L’utilisation du QR code pour les transferts bancaires se répand, mais recouvre des mécanismes distincts, aux protections différentes. Cet article explique ce que contient réellement un QR code de paiement, comment il se traite dans une application bancaire et comment limiter les risques.
Que contient un QR code de virement ?
Le QR code de virement le plus répandu en zone SEPA suit une norme publiée par le Conseil européen des paiements (EPC) : le code « BCD ». Il encode, dans un petit volume de données (331 octets au maximum), les informations nécessaires à un virement SEPA :
- l’IBAN du bénéficiaire (obligatoire) et, selon la version, son BIC ;
- le nom du bénéficiaire ;
- le montant en euros (facultatif) ;
- une référence ou un motif de paiement.
Les lignes directrices de l’EPC précisent que ce code convient aux cas où les mêmes données sont aussi affichées en clair pour le payeur, par exemple sur une facture. Elles le jugent inadapté lorsqu’un QR code est seul affiché au payeur (caisse, panier d’achat en ligne) : d’autres standards existent pour ces situations.
Comment se déroule un virement par QR code ?
- Ouvrir la fonction de scan ou de virement de l’application de sa banque et scanner le code (si l’application le propose : la prise en charge varie d’un établissement à l’autre).
- Vérifier les champs préremplis : nom du bénéficiaire, IBAN, montant, référence.
- Compléter si besoin (montant libre, date).
- Valider avec l’authentification forte de la banque (code, biométrie du téléphone).
Le standard EPC l’indique expressément : le payeur doit valider l’opération par le moyen d’autorisation de son prestataire de paiement ; le QR code seul n’initie pas le paiement. Ce point est essentiel, car il laisse un point de contrôle humain avant l’envoi des fonds. Pour les délais et plafonds de ces virements, consultez notre guide sur le virement en banque en ligne.
Quelle différence avec Wero et les paiements instantanés ?
Certains QR codes servent à initier un virement instantané entre comptes, sans carte. C’est le cas de Wero, le portefeuille européen de paiement qui a remplacé Paylib en France à partir de septembre 2024 : l’envoi d’argent y passe par le numéro de téléphone, l’adresse e-mail ou un QR code. Pour le commerce en ligne, le paiement s’effectue en scannant un code affiché sur la page de paiement puis en validant dans l’application ; ce mode existe déjà en Allemagne et en Belgique, et le lancement en France est annoncé pour la fin 2026 ou le début 2027, selon La Banque Postale.
| Type de QR code | Usage | Ce qu’il faut vérifier |
|---|---|---|
| Code EPC (BCD) sur facture | Préremplir un virement SEPA | Nom, IBAN et montant comparés à la facture |
| QR code d’un service de paiement instantané | Initier un virement instantané via une application | Bénéficiaire et montant affichés dans l’application avant validation |
| QR code de lien (affiche, courrier, stationnement) | Ouvrir une page web | Adresse du site ; ne pas saisir de données bancaires sur une page inconnue |
Un virement instantané est crédité en moins de dix secondes, à toute heure, et ne peut pas coûter plus cher qu’un virement classique, d’après le règlement européen. Notre article sur les paiements instantanés détaille ce fonctionnement, et celui sur le paiement sans contact traite l’autre grand mode de règlement mobile.
Quels sont les risques d’un QR code de paiement ?
Le quishing (QR code et phishing) consiste à remplacer un QR code légitime par un code malveillant renvoyant vers un faux site. Le ministère de l’Économie et Cybermalveillance.gouv.fr citent des faux codes sur des horodateurs, des bornes de recharge, des menus de restaurant, de faux avis de contravention ou des courriers. Cybermalveillance précise toutefois que cette menace reste relativement limitée, car elle suppose des actions physiques ou un second appareil pour scanner.
- Vérifier qu’aucun autocollant ne recouvre le code d’origine.
- Contrôler l’adresse du site affichée après le scan ; au moindre doute, ne pas l’ouvrir.
- Ne jamais saisir ses identifiants bancaires sur une page ouverte par QR code.
- Comparer le nom et l’IBAN préremplis à ceux d’une source fiable, par exemple la facture ou le contrat.
Depuis octobre 2025, les banques de la zone euro proposent la vérification du bénéficiaire pour les virements SEPA : le nom saisi est comparé au titulaire du compte associé à l’IBAN. Le résultat peut être une concordance, une concordance proche ou une absence de concordance, ou indiquer que la vérification est impossible. Ce contrôle réduit les erreurs et certaines fraudes, mais la responsabilité finale repose sur la vigilance du payeur.
Que faire en cas d’erreur ou de fraude ?
Contacter immédiatement la banque, par un canal authentifié, pour signaler le virement et demander s’il peut être rappelé. Un virement que vous avez vous-même validé n’est pas traité comme une opération non autorisée : son remboursement n’est pas automatique, et la banque apprécie chaque situation. Il faut aussi déposer plainte et signaler les faits : Perceval pour la fraude à la carte, Thésée pour les autres escroqueries, 17Cyber pour un diagnostic en cas de quishing. Pour juger de la fiabilité d’un établissement, notre guide banque en ligne fiable propose des critères de base.
À lire aussi
Questions fréquentes
Un QR code peut-il lancer un virement sans que je le valide ?
Non. Selon la norme EPC, le payeur doit valider l’opération avec l’authentification de sa banque. Le code ne fait que préremplir les informations du virement.
Que contient un QR code de virement SEPA ?
L’IBAN du bénéficiaire, son nom, éventuellement le BIC, le montant et une référence, dans la limite de 331 octets. Ces données doivent être comparées à la facture avant validation.
Toutes les banques permettent-elles de scanner un QR code de virement ?
Non, la prise en charge dépend de l’application de chaque établissement. À défaut, il faut saisir manuellement les coordonnées affichées en clair sur la facture.
Qu’est-ce que le quishing ?
C’est un hameçonnage par QR code : un faux code, souvent collé sur un vrai, renvoie vers un site frauduleux qui collecte des données personnelles ou bancaires. Il se repère en vérifiant l’adresse du site avant toute saisie.
Le virement par QR code est-il instantané ?
Cela dépend du type de virement choisi et des capacités de la banque. Un virement instantané est crédité en moins de dix secondes, mais le QR code lui-même n’en fixe pas la vitesse.
Sources
- European Payments Council — lignes directrices EPC069-12 sur le QR code pour virement SEPA : contenu, taille, validation par le payeur
- Ministère de l’Économie — arnaque au QR code (quishing) : mécanisme, signes, conduite à tenir
- Cybermalveillance.gouv.fr — hameçonnage par QR code, niveau de la menace
- Banque de France — règlement européen sur les virements instantanés et vérification du bénéficiaire
- La Banque Postale — vérification du bénéficiaire et fonctionnement de Wero par QR code
- Cybermalveillance.gouv.fr : que faire en cas de phishing ou d’hameçonnage ? — fiche réflexe sur l’hameçonnage
Article informatif ne constituant pas un conseil financier, juridique ou fiscal personnalisé. Les offres, frais et conditions évoluent : vérifiez les informations officielles et à jour de chaque établissement avant toute décision.