Arnaque QR code paiement en Côte d’Ivoire : protégez vos caisses

Un client scanne le QR code posé sur votre comptoir, paie, vous montre son écran et repart avec sa marchandise. Le soir, l'argent n'est pas sur votre compte marchand. Il est parti chez quelqu'un d'autre. C'est le principe de l'arnaque au QR code signalée le 19 octobre par Eco Business : des fraudeurs collent une fausse étiquette par-dessus le code du commerçant, et les paiements filent vers leurs propres comptes (Eco Business). Selon des professionnels des risques informatiques cités par le journal, plusieurs cas auraient été signalés à Abidjan et dans l'intérieur du pays (Eco Business).

Une PME peut se protéger avec quelques gestes, à mettre en place dès cette semaine.

Le « quishing », une simple étiquette collée au bon endroit

Le mot vient de l'anglais : QR code et phishing, l'hameçonnage. La fraude consiste à remplacer un code de paiement authentique par un faux, à l'insu du commerçant (Eco Business). Pas besoin de pirater quoi que ce soit. Il suffit d'imprimer un autocollant et de profiter d'un moment d'inattention.

Le client, lui, ne remarque rien. Il scanne, valide, et son argent part directement vers le compte du fraudeur (Eco Business). Il y a donc deux victimes d'un coup : le client a payé, le vendeur n'a rien reçu (Eco Business). Et la dispute commence souvent à la caisse, devant les autres clients.

D'après Eco Business, la technique profite surtout du manque de surveillance des supports de paiement, en particulier dans les petits commerces (Eco Business). Le cas typique : un QR code scotché sur un comptoir ou une vitrine, que personne n'a regardé de près depuis des mois.

Arnaque au QR code : les PME aussi sont exposées

Ne croyez pas que cela ne touche que les petites échoppes. Une pharmacie, un restaurant, un salon de coiffure, une boutique avec plusieurs caisses : partout où un QR code reste affiché sans contrôle, le risque existe. Plus vous avez de points d'encaissement et de personnes à la caisse, plus il est difficile de tout surveiller.

Le contexte n'aide pas. Le même 19 octobre, L'Infodrome publiait les chiffres 2024 de la cybercriminalité en Côte d'Ivoire : 2 326 plaintes pour escroquerie sur internet, en hausse de 190 %, pour un préjudice de 2,36 milliards de FCFA (L'Infodrome). Au total, 12 100 affaires ont été traitées en 2024, contre 6 579 en 2022 (L'Infodrome). Ces chiffres ne visent pas le QR code en particulier. Ils rappellent seulement que les escrocs suivent l'argent, là où il circule.

Le 27 octobre, à l'occasion du Mois de la cybersécurité 2026, le ministre de la Transition numérique et de l'Innovation technologique, Djibril Ouattara, a appelé la population à adopter les bons réflexes numériques (AIP). Aux entreprises, il a demandé de se mettre en conformité avec le Référentiel général de sécurité des systèmes d'information, le RGSSI (L'Infodrome). Ce document, publié sur le site de l'ANSSI Côte d'Ivoire, fixe des règles de sécurité organisationnelles et techniques pour les administrations, les organismes privés et les infrastructures d'importance vitale (ANSSI Côte d'Ivoire). Retenez le mot « organisationnelles » : la sécurité, c'est aussi la façon dont votre équipe travaille.

Quatre gestes pour sécuriser vos encaissements mobile money

1. Contrôler vos supports de paiement chaque jour

Les spécialistes cités par Eco Business recommandent d'inspecter régulièrement ses QR codes (Eco Business). Voici comment le faire sans y passer la matinée :

• à l'ouverture et à la fermeture, regardez chaque QR code affiché : pas d'autocollant superposé, pas de bord décollé, pas d'étiquette plus neuve que le support ;
• scannez vous-même le code avec un téléphone de service : le nom du bénéficiaire qui s'affiche doit être exactement celui de votre compte marchand ;
• placez le support dans le champ de vision du caissier, fixé et protégé, plutôt qu'à l'entrée où personne ne le surveille ;
• notez qui a vérifié et à quelle heure. Une feuille près de la caisse suffit.

2. Valider chaque paiement depuis votre propre compte marchand

C'est la règle qui protège le plus. On ne remet pas la marchandise en regardant l'écran du client. On la remet quand le paiement apparaît sur votre compte marchand, ou quand vous avez reçu la notification officielle de votre opérateur (Eco Business).

L'écran du client ne prouve rien. Il peut afficher un paiement envoyé à un autre bénéficiaire, la capture d'écran d'un ancien paiement ou un faux SMS. Votre application marchande, elle, vous dit ce que vous avez réellement reçu.

Concrètement, prévoyez un téléphone ou une tablette réservé à la caisse, connecté au compte marchand, avec les notifications activées. Le caissier vérifie le montant et la référence de l'opération avant de dire merci.

3. Former le personnel de caisse

Pas besoin d'un séminaire. Une réunion courte, un lundi matin, suffit pour poser trois règles :

• on ne valide jamais un paiement sur l'écran du client, même pressé, même habitué ;
• au moindre doute sur un QR code, on le retire et on prévient le responsable ;
• un paiement absent du compte marchand n'est pas un paiement, quoi qu'en dise le client.

Donnez aussi à vos caissiers une phrase toute prête pour éviter la gêne : « Je vérifie sur notre compte, c'est aussi pour votre sécurité. » Un client honnête comprend. Un fraudeur s'impatiente, et c'est déjà un signal.

4. Savoir quoi faire si cela arrive

1. Retirez immédiatement le faux code et gardez-le comme preuve, avec une photo.
2. Notez l'heure, le montant et le nom du bénéficiaire affiché sur le téléphone du client.
3. Prévenez votre opérateur de mobile money et déposez plainte.
4. Contrôlez tous les autres points de paiement de la boutique.

Pensez aussi à vos clients. Eco Business leur conseille de vérifier l'identité du bénéficiaire avant de valider (Eco Business). Affichez la consigne en clair près du code : « Vérifiez que le bénéficiaire est bien le nom de notre boutique. »

En ligne, le paiement confirme lui-même la commande

Tout ce qui précède repose sur la vigilance humaine. Elle est indispensable, mais elle se relâche, surtout un samedi de forte affluence. Une partie de vos ventes peut passer par un circuit où la vérification ne dépend plus du caissier.

Sur une boutique en ligne bien branchée, le paiement mobile money et carte est intégré au parcours d'achat. Le client choisit ses produits, paie sur la page sécurisée du prestataire de paiement, et c'est ce prestataire qui informe directement votre site que l'argent est arrivé. La commande passe alors en « payée », toute seule. Sans cette confirmation, elle reste en attente et rien ne part de l'entrepôt.

Ce que cela change pour vous :

• aucun QR code physique à détourner : la demande de paiement est créée pour chaque commande, avec son montant, vers votre compte ;
• les fausses captures d'écran ne servent plus à rien : personne ne regarde un écran, le site lit la confirmation officielle ;
• chaque paiement est relié à une commande, un client et une date, ce qui simplifie le pointage en fin de mois ;
• vos clients peuvent payer en ligne puis retirer en boutique ou se faire livrer, ce qui réduit d'autant les encaissements au comptoir.

Une boutique en ligne n'est pas une forteresse pour autant. Elle doit être mise à jour, protégée et surveillée : un site WordPress laissé à l'abandon devient lui-même une porte d'entrée. Prévenez aussi vos clients que vous ne leur enverrez jamais de lien de paiement en dehors de votre site. Et si vous suivez le chantier des paiements instantanés de la BCEAO, nous avons détaillé ce que les PME doivent préparer pour PI-SPI.

Ce que vous pouvez faire dès demain

Faites le tour de vos QR codes à l'ouverture, scannez-les vous-même et affichez la règle « paiement validé sur notre compte, pas sur votre écran ». Réunissez ensuite vos caissiers pour fixer les trois règles ci-dessus.

Si vous voulez qu'une partie de vos ventes soit encaissée et confirmée sans intervention humaine, DiGit Summit conçoit des boutiques en ligne avec paiement mobile money et carte intégré et en assure la sécurité et la maintenance. Pour en parler à partir de votre situation, écrivez-nous.

Questions fréquentes

Comment reconnaître un faux QR code collé sur mon support de paiement ?

Regardez s'il y a un autocollant superposé, un bord qui se décolle ou une étiquette plus neuve que le support. Le test le plus sûr reste de scanner le code vous-même avec un téléphone de service : le nom du bénéficiaire affiché doit être exactement celui de votre compte marchand.

Une capture d'écran de paiement envoyée par un client suffit-elle comme preuve ?

Non. Une capture peut montrer un ancien paiement, un paiement vers un autre bénéficiaire ou être tout simplement fabriquée. Ne remettez la marchandise que lorsque le paiement apparaît sur votre propre compte marchand ou après la notification officielle de votre opérateur.

Que faire si un client a payé sur un faux QR code dans ma boutique ?

Retirez le faux code et gardez-le comme preuve, photo à l'appui. Notez l'heure, le montant et le nom du bénéficiaire affiché chez le client, prévenez votre opérateur de mobile money et déposez plainte. Contrôlez ensuite tous vos autres points de paiement.

Le RGSSI concerne-t-il une PME ?

Selon l'ANSSI Côte d'Ivoire, le Référentiel général de sécurité des systèmes d'information s'applique aux administrations, aux organismes privés et aux infrastructures d'importance vitale. Le 27 octobre, le ministre de la Transition numérique a appelé les entreprises à s'y conformer. Le niveau d'exigence précis pour une petite structure est à vérifier auprès de l'ANSSI.

Une boutique en ligne supprime-t-elle tout risque de fraude au paiement ?

Elle supprime le faux QR code collé et rend inutiles les fausses captures d'écran, car c'est le prestataire de paiement qui confirme lui-même la commande au site. Mais le site doit être mis à jour, protégé et surveillé, et vos clients doivent savoir que vous n'envoyez aucun lien de paiement en dehors de votre site.

Sources

• Eco Business, Côte d’Ivoire : une nouvelle arnaque détourne les paiements par QR code (19 octobre 2026)
• L'Infodrome, Cybercriminalité en Côte d'Ivoire : Les plaintes ont bondi de 84 % en 2 ans (19 octobre 2026)
• AIP, Côte d’Ivoire-AIP/ Djibril Ouattara appelle les populations à renforcer leur vigilance numérique (27 octobre 2026)
• L'Infodrome, « La meilleure défense, c’est vous » : Face aux cybermenaces, l'Etat engage chaque citoyen (27 octobre 2026)
• ANSSI Côte d'Ivoire, RGSSI – Référentiel Général de Sécurité des Systèmes d’Information

Cet article vous a été utile ?

Pas vraiment Utile Très utile