Des codes QR dangereux ont fait leur apparition dans des parkings à travers tout le Luxembourg

Les experts en cybersécurité de LetzSecure (letzsecure.com) ont mis au jour une campagne active de « quishing » (hameçonnage physique) visant les automobilistes au Luxembourg. Des autocollants portant la mention « SCANNEZ ET PAYEZ » ont commencé à apparaître en masse sur les parcmètres officiels de la ville. Ces autocollants imitent un moyen de paiement sans contact légitime, mais redirigent les utilisateurs vers un site web tiers conçu pour voler des données financières en temps réel.

La confusion de l'utilisateur commence par une redirection vers le faux domaine directingtoapps.com, où opère un service frauduleux appelé ParkPay. Afin de donner à la victime un faux sentiment de sécurité, le système imite le fonctionnement d'un véritable terminal de paiement : il demande d'abord le numéro d'immatriculation du véhicule et la durée estimée du stationnement. Parallèlement, l'écran affiche le montant « 0 EUR », qui est présenté comme devant faire l'objet d'une facturation ultérieure une fois le stationnement terminé.

Cette manœuvre psychologique permet aux malfaiteurs de demander sans scrupules toutes les coordonnées bancaires du titulaire de la carte, notamment le numéro de carte, la date d'expiration et le code de sécurité CVV. Les informations ainsi obtenues leur permettent d'effectuer des transactions non autorisées au nom du titulaire de la carte. Il convient de noter que ce service n'a absolument aucun lien avec Indigo Neo, l'application officielle utilisée par les autorités locales.

Au 27 avril 2026, des codes QR contrefaits ont été détectés à plusieurs endroits stratégiques de la ville. Bien que ces codes aient été rapidement retirés des horodateurs du parking du Glacis, des autocollants falsifiés continuent d'être signalés aux endroits suivants :

• Avenue de la Faïencerie;
• Jean l'Aveugle Street;
• Rue Alfred de Musset ;
• Joseph II Boulevard.

À la suite de cet incident, des notifications officielles ont été adressées au service de stationnement de la Ville de Luxembourg, au Centre d'intervention en cas d'incidents informatiques (CIRCL) et à la police. Les autorités recommandent vivement aux automobilistes d'éviter de scanner tout code tiers présent sur les infrastructures de la ville et d'utiliser uniquement l'application certifiée ou les fentes pour cartes physiques situées sur les parcomètres eux-mêmes pour effectuer leurs paiements.