Arnaque au QR code au restaurant : comment protéger vos clients et votre réputation

Un client scanne le code sur la table. Une page s’ouvre, aux couleurs vaguement familières, et lui demande sa carte bancaire « pour accéder au menu ». Il hésite, entre ses chiffres, puis appelle le serveur parce que la carte ne s’affiche toujours pas. Le code n’était pas le vôtre : quelqu’un avait collé un autocollant par-dessus.

Ce scénario n’a rien d’hypothétique. Le ministère de l’Économie cite désormais les cartes de restaurant parmi les supports visés par l’arnaque au QR code.

Une personne scanne un QR code affiché sur un écran

Qu’est-ce que le quishing ?

Le « quishing » est l’hameçonnage par QR code. Selon la fiche publiée par le ministère de l’Économie en octobre 2026, le fraudeur génère un code malveillant, le place dans un lieu public, souvent par-dessus un code légitime, ou l’envoie par e-mail. Une fois scanné, il mène vers un faux site ou déclenche le téléchargement d’un logiciel malveillant, dans le but de récupérer des données personnelles ou bancaires (economie.gouv.fr).

La fiche cite parmi les exemples les horodateurs, les bornes de recharge, les faux avis de contravention ou de passage, les affiches et prospectus, les e-mails, et les cartes de restaurant.

Pourquoi les tables de restaurant sont une cible

Un QR code de table cumule trois caractéristiques qui intéressent les fraudeurs : il est en libre accès, les clients le scannent sans méfiance parce qu’ils s’attendent à voir la carte, et un autocollant collé discrètement peut rester des jours sans être remarqué.

Pour le restaurant, le risque n’est pas seulement celui du client. Une personne arnaquée à votre table associera l’incident à votre adresse, et un avis en ligne peut suivre.

Les signaux d’alerte, côté client

Le ministère recommande plusieurs réflexes, que vos clients ont tout intérêt à connaître :

Vérifier qu’aucun autocollant n’a été collé sur un autre code. Un second code en dessous est un signal d’alarme.
Regarder l’adresse web qui s’affiche après le scan, avant de l’ouvrir, et vérifier qu’elle correspond au site attendu.
Se méfier de toute demande d’informations personnelles ou bancaires. Comme le résume la fiche officielle : « Au moindre doute, n’ouvrez pas le lien. »

Une carte de restaurant n’a aucune raison de demander un numéro de carte bancaire pour s’afficher. C’est sans doute le signal le plus simple à retenir.

Gros plan d’une personne qui scanne un QR code avec son téléphone

Les bons réflexes, côté restaurant

Des supports difficiles à détourner. Un code imprimé ou gravé sur un support rigide, ou un sticker pelliculé, se recouvre moins facilement qu’un papier glissé dans un porte-menu. Notre guide d’impression détaille les options.
Votre identité près du code. Logo, nom de la maison et consigne claire : un client sait à quoi s’attendre, et un code anonyme collé à côté attire l’attention.
Un contrôle régulier. Un coup d’œil sur chaque table à l’ouverture, ou au moins chaque semaine : bords décollés, épaisseur suspecte, code différent des autres.
Une équipe informée. Si un client signale une page étrange ou une demande de paiement, le serveur doit savoir réagir : retirer le support, prévenir le responsable.
Une carte papier disponible. Pour le client qui préfère ne pas scanner, ou qui a un doute.

Si un client a été victime, la fiche officielle oriente vers 17Cyber pour un diagnostic et la marche à suivre, et vers une plainte en ligne, au commissariat ou à la gendarmerie.

Une carte qui ne demande jamais rien

Le meilleur argument de sécurité est aussi le plus simple : une carte qui n’encaisse rien. MenuOnGo est une carte d’affichage, par choix : pas de commande, pas de paiement, aucune donnée bancaire demandée. Vos clients le savent vite, et une page qui réclame une carte bancaire devient d’emblée suspecte. Votre carte s’ouvre sur une adresse claire, sur le domaine menuongo.com, que le client peut vérifier en un regard avant d’ouvrir le lien, et le code ne change jamais : vous imprimez une fois des supports solides, sans avoir à les renouveler. Vous pouvez commencer gratuitement et télécharger votre code dès aujourd’hui.

Signaux d’alerte et réflexes

Signal	Ce que voit le client	Bon réflexe
Autocollant collé sur un autre code	relief, bords, double code	ne pas scanner, prévenir le serveur
Adresse web inconnue ou étrange	nom de domaine sans rapport	ne pas ouvrir le lien
Demande de carte bancaire pour voir la carte	formulaire de paiement	quitter la page, signaler
Téléchargement d’application imposé	invitation à installer un fichier	refuser
Code différent des autres tables	design, couleur, emplacement	retirer le support, vérifier toute la salle

Questions fréquentes

Qu’est-ce que le quishing ? C’est l’hameçonnage par QR code. Un fraudeur place un code malveillant, souvent par-dessus un code légitime, qui mène vers un faux site ou un logiciel malveillant afin de récupérer des données personnelles ou bancaires.

Les QR codes de restaurant sont-ils visés par les arnaques ? Oui. La fiche du ministère de l’Économie publiée en octobre 2026 cite explicitement les cartes de restaurant parmi les supports utilisés pour le quishing.

Comment protéger les QR codes de mes tables ? En utilisant des supports rigides ou pelliculés difficiles à recouvrir, en plaçant votre logo près du code, en contrôlant régulièrement chaque table et en informant votre équipe de la conduite à tenir.

Que faire si un client a été victime d’un faux QR code ? Retirer immédiatement le support, vérifier les autres tables, et orienter le client vers 17Cyber et vers un dépôt de plainte, en ligne ou auprès de la police ou de la gendarmerie.

Sources : economie.gouv.fr (« Arnaque au QR code ou quishing : comment la reconnaître et que faire ? », 1er octobre 2026). Images : Pexels (libres de droits). À jour en octobre 2026.