Fraude au QR code mobile money en Côte d'Ivoire : comment les escrocs détournent-ils vos paiements ?

Vous scannez un QR code, vous validez, mais le commerçant ne reçoit rien. En Côte d'Ivoire, cette arnaque touche déjà des clients et des vendeurs. Des professionnels des risques informatiques ont signalé des cas de fraude par substitution de QR code dans le pays. « Plusieurs personnes en ont été victimes à Abidjan et dans l'intérieur du pays », confirme un responsable interrogé par Sika Finance. Zoom Bourse explique le mécanisme de la fraude au QR code mobile money, ses conséquences et les gestes qui limitent le risque.

Comment fonctionne la substitution de QR code ?

Le phénomène porte un nom : le quishing, contraction de « QR » et de « phishing ». On parle aussi de QR code swapping, de QR code overlay ou de fraude par substitution. Le principe tient en une idée : un faux code recouvre le vrai.

Un simple autocollant posé sur le vrai code

Les fraudeurs impriment des étiquettes autocollantes à l'effigie d'un code de paiement. Ils les collent par-dessus le support du commerçant, ou remplacent l'original. L'opération dure quelques secondes.

Le client ne remarque rien. Il scanne le code affiché, comme à son habitude. L'application de paiement s'ouvre normalement.

Commerce de rue : cible privilégiée de la fraude au QR code mobile money

Les escrocs choisissent de préférence les petits commerces de rue. Ils profitent d'un moment d'inattention du vendeur. Parfois, ils le distraient volontairement, par exemple avec un appel téléphonique.

Ces points de vente affichent souvent un code imprimé, laissé sans surveillance. C'est précisément ce type de support que les fraudeurs savent détourner.

Une faille d'abord physique, pas informatique

Cette arnaque ne casse aucun système de paiement. Elle exploite l'espace de vente et la surveillance des supports affichés. Un code statique imprimé, exposé sans contrôle, peut être remplacé par n'importe qui.

Les spécialistes des risques informatiques la rattachent à la sécurité physique. Selon l'un d'eux, « cela relève plutôt de la sécurité physique », au même titre que le contrôle d'accès des salles serveur. Sa consigne tient en une phrase : « ne pas afficher son QR code dans une zone hors de notre contrôle ».

Ajouter des étapes au paiement par QR code serait une solution tentante. Elle irait pourtant à l'encontre de ce qui fait son succès : la rapidité et la simplicité d'usage.

Des pertes immédiates, rarement récupérables

Le client paie, mais l'argent arrive sur le compte de l'escroc. Le commerçant ne touche rien et la vente reste, dans les faits, impayée. Le client perd la somme, sans que son achat soit réglé.

Une fois la transaction validée, récupérer les fonds devient très difficile. Les recommandations internationales vont donc dans deux directions. Il faut vérifier l'identité du bénéficiaire avant de payer. Confirmer la réception des fonds avant de remettre le produit ou le service s'impose également.

Comment les commerçants peuvent-ils se protéger ?

La protection dépend du niveau d'intégration du paiement mobile money dans l'activité. Un vendeur de rue et une enseigne équipée d'un logiciel de caisse n'ont pas les mêmes moyens.

Pour les commerces sans système intégré

Les spécialistes recommandent une organisation en trois éléments. Le commerçant dispose d'un compte marchand, d'un compte ordinaire et d'un terminal confié à la caissière. Le compte marchand reçoit les paiements des clients.

Le terminal reporte alors chaque paiement reçu. La caissière valide la vente uniquement après cette confirmation. Le client ne peut donc plus payer à un faux code sans que cela se voie.

Pour les structures dotées d'un système interconnecté

Ici, le contrôle doit être automatisé. Un mécanisme de validation, comme un jeton de transaction ou un identifiant unique, authentifie chaque opération. La caissière ne reçoit l'information qu'une fois le paiement authentifié.

Sans ce type de dispositif, le risque de quishing reste élevé, préviennent les experts informatiques.

Les gestes simples qui complètent le dispositif

Ces mesures s'ajoutent à des réflexes accessibles à tous. Voici la checklist à garder près de la caisse :

✅ Checklist commerçant : sécuriser son QR code

• Inspecter le QR code affiché plusieurs fois par jour ;

• Ne jamais laisser le support sans surveillance ;

• Installer une grille de protection qui empêche de coller un autre code sans gêner la lecture ;

• Former le personnel à repérer une étiquette suspecte ;

• Confirmer chaque paiement sur le tableau de bord marchand ou par notification officielle ;

• Remettre la marchandise seulement après cette confirmation.

Le réflexe du client : scanner, vérifier, payer

Le client peut aussi se protéger. Un expert cité par Sika Finance résume ce réflexe : au lieu de « scannez et payez », il faut « scannez, vérifiez, payez ».

Concrètement, après le scan, l'application affiche le nom du bénéficiaire. Il faut comparer ce nom avec celui du commerçant. Si le nom ne correspond pas, ou s'il paraît étrange, mieux vaut ne pas valider la transaction.

Un autocollant qui dépasse ou un code qui semble posé par-dessus un autre doit aussi alerter. Dans ce cas, mieux vaut payer autrement et prévenir le vendeur.

✅ Checklist client : 4 vérifications avant de payer

• Observer le support : un autocollant décalé ou superposé est un signal d'alerte ;

• Scanner le code, puis lire le nom du bénéficiaire affiché ;

• Comparer ce nom avec celui du commerçant ;

• Annuler le paiement au moindre doute, puis prévenir le vendeur.

Le défi du commerce de proximité

Ces mesures se heurtent à la réalité du secteur informel. Chez la vendeuse de rue, le boulanger ou le tenancier de « maquis », il n'y a souvent ni caissière ni terminal. Le téléphone relié au compte se trouve parfois ailleurs. Il peut aussi être entre les mains d'un propriétaire absent.

Le commerçant vérifie alors le paiement sur l'écran du téléphone du client. La pratique est fragile et laisse la porte ouverte aux manipulations. Elle illustre l'enjeu principal : protéger les paiements numériques sans les rendre trop lourds pour ceux qui y ont recours chaque jour.

Un enjeu de confiance qui dépasse la Côte d'Ivoire

Le problème ne se limite pas à la Côte d’Ivoire. Au Togo comme dans le reste de l'UEMOA, la modernisation des paiements numériques soulève une question de confiance.

Le PI-SPI accélère les paiements, pas les vérifications

La BCEAO a lancé la Plateforme Interopérable du Système de Paiement Instantané, le PI-SPI, le 30 septembre 2025. Au 2 avril 2026, elle comptait 80 participants connectés.

Parmi eux figurent 59 banques, 9 établissements de monnaie électronique, 11 institutions de microfinance et un établissement de paiement. Par ailleurs, 42 autres institutions poursuivaient leurs tests en conditions réelles.

Cette infrastructure simplifie les transferts et paiements instantanés entre organismes financiers. Elle vise aussi les commerçants équipés de QR codes interopérables. Mais la rapidité et l'interopérabilité ne dispensent personne d’effectuer des contrôles. Vendeurs et clients doivent passer en revue le bénéficiaire et la confirmation du paiement.

La BCEAO a déjà dénoncé de fausses méthodes de détection des faux billets. Sa consigne vaut aussi ici : ne se fier qu'aux sources officielles.

Pourquoi la vigilance reste-t-elle décisive ?

Les paiements numériques simplifient les transactions et favorisent l'inclusion financière. Mais la confiance des utilisateurs reste déterminante. Pour un petit commerçant, une fraude se traduit par une perte directe de revenus. Pour un client, elle revient à payer sans recevoir son achat.

Dès le 2 novembre 2026, la BCEAO compte relever le plafond des comptes mobile money de 2 à 4 millions FCFA. Davantage d'argent pourra donc y transiter, ce qui renforce l'intérêt de sécuriser chaque paiement.

Au Togo comme en Côte d'Ivoire, la prévention tient en trois gestes. Contrôler le QR code, vérifier le nom du bénéficiaire, et confirmer la réception des fonds. Une transaction n'est terminée qu'une fois l'argent réellement reçu.

Sources : Sika Finance (alerte sur les fraudes par substitution de QR code) ; BCEAO (PI-SPI).