Côte d’Ivoire : alerte sur les fraudes au mobile money par substitution de QR code
Un simple autocollant suffit. En Côte d’Ivoire, des fraudeurs collent de faux QR codes par-dessus ceux des commerçants pour détourner les paiements mobiles vers leurs propres comptes. Cette arnaque, appelée « quishing », touche le cœur du paiement marchand au moment où le QR code devient le réflexe de millions d’Ivoiriens.
Une alerte venue du terrain
Selon Sika Finance, qui a relayé l’alerte le 19 octobre 2026, des fraudeurs recouvrent les QR codes des commerçants avec des étiquettes falsifiées pour détourner les paiements mobiles. Le même jour, le site Eco-Finance Guinée a publié un article d’Eco Business sur le sujet. Il cite des professionnels des risques informatiques, selon lesquels plusieurs cas auraient été signalés à Abidjan et dans d’autres localités du pays.
À ce stade, aucun chiffre n’a été rendu public : ni nombre de victimes, ni montant détourné. Ni la Plateforme de lutte contre la cybercriminalité (PLCC), ni les opérateurs de mobile money, ni la BCEAO n’ont publié de communiqué spécifique dans les sources consultées. L’alerte n’en est pas moins sérieuse, car le procédé est simple, peu coûteux et difficile à repérer.
Le mode opératoire : un autocollant par-dessus le vrai code
Le scénario est d’une grande simplicité :
- Le fraudeur génère un QR code de paiement lié à son propre compte de mobile money.
- Il l’imprime sur une étiquette autocollante, au même format que celui du commerçant.
- Il la colle discrètement sur le QR code affiché au comptoir, sur la vitrine ou sur le présentoir.
- Le client scanne et paie normalement. L’argent part chez le fraudeur, pas chez le commerçant.
La fraude est d’autant plus efficace qu’elle fait deux victimes à la fois. Le client a bien payé, mais au mauvais bénéficiaire. Le commerçant, s’il remet la marchandise sans vérifier la réception des fonds, perd son produit. Elle exploite surtout la faible surveillance des supports de paiement dans les petits commerces, boutiques de quartier, maquis, kiosques et marchés, où le QR code est souvent un simple carton plastifié posé sur le comptoir.
Le procédé n’est pas propre à la Côte d’Ivoire. En Europe, des escroqueries similaires ont visé des parcmètres et des bornes de recharge électrique. Mais dans une économie où le paiement mobile remplace massivement l’espèce, l’exposition est beaucoup plus large.
Pourquoi le QR code devient une cible
Si les fraudeurs s’intéressent aux QR codes, c’est que l’argent y passe désormais en masse. En Côte d’Ivoire, le paiement marchand par QR code s’est généralisé en quelques années, porté par Wave, Orange Money, MTN MoMo et Moov Money. Selon Digital Mag CI, qui a rapporté les chiffres le 30 avril 2026, Wave revendique à lui seul plus de 21 millions de comptes et environ 60 % de parts de marché dans le pays. Nous avions détaillé ces chiffres lors de l’inauguration de son siège à Cocody.
Le mouvement s’accélère avec la Plateforme interopérable du système de paiement instantané (PI-SPI). La BCEAO a annoncé, dans un communiqué publié lors de son lancement officiel à Dakar le 30 septembre 2025, que cette infrastructure permet aux commerçants d’accepter les paiements grâce à un QR code standardisé, quel que soit l’établissement du client. L’objectif est l’inclusion financière. Mais un code unique et universel est aussi, pour un fraudeur, une cible unique et universelle.
Trois facteurs rendent le terrain favorable :
- Un support physique : le QR code statique est souvent imprimé et affiché en permanence, sans protection contre la falsification.
- Un paiement instantané et souvent définitif : une fois les fonds envoyés, le recours dépend de la rapidité du signalement et de la réactivité de l’opérateur.
- Une vérification rarement faite : au moment de valider, peu de clients lisent le nom du bénéficiaire affiché sur leur écran.
La question de la responsabilité reste ouverte. Dans une tribune publiée par Financial Afrik le 7 octobre 2026, le juriste Koné Péléni Jonathan Aimé rappelle que l’émetteur de monnaie électronique répond en principe des opérations de ses distributeurs et agents. Il souligne aussi que la notion de négligence grave est centrale lorsqu’il s’agit de l’exonérer. Dans le cas d’un faux QR code collé dans une boutique, savoir qui supporte la perte, entre le client, le commerçant et l’opérateur, pourrait vite devenir un sujet de litige.
Comment se protéger
Côté commerçants
- Inspecter régulièrement le QR code affiché, plusieurs fois par jour si possible, et rechercher toute surcouche, bord décollé ou étiquette inhabituelle.
- Protéger le support : le placer derrière une vitre ou dans un cadre, ou le garder près de la caisse plutôt qu’en libre accès.
- Ne jamais remettre la marchandise sur la seule présentation de l’écran du client. Il faut attendre la notification officielle de réception sur son propre compte ou sur l’application marchande.
- Privilégier les QR codes dynamiques générés pour chaque transaction, ou les terminaux qui affichent le code à l’écran, lorsque l’opérateur les propose.
- Signaler sans délai tout code suspect à l’opérateur et à la PLCC.
Côté clients
- Vérifier le nom du bénéficiaire affiché avant de valider le paiement. S’il ne correspond pas à la boutique, il ne faut pas confirmer.
- Se méfier d’un QR code collé de travers, abimé ou visiblement superposé à un autre.
- En cas de doute, demander au commerçant son numéro marchand ou un nouveau code.
- Conserver la preuve de paiement et signaler immédiatement toute erreur à son opérateur.
Les points à surveiller
- La réponse des opérateurs : campagnes de sensibilisation, affichage systématique du nom du marchand avant validation, et blocage rapide des comptes bénéficiaires signalés.
- Les données officielles : un décompte de la PLCC ou de la BCEAO permettrait de mesurer l’ampleur réelle du phénomène, pour l’instant inconnue.
- La responsabilité en cas de perte : sans règle claire, le risque est que la confiance dans le paiement par QR code s’érode, alors qu’il est la pierre angulaire de l’inclusion financière visée par la PI-SPI.
- La contagion régionale : le même QR code standardisé circulant dans les huit pays de l’UEMOA, une méthode qui fonctionne à Abidjan peut être reproduite à Dakar, Ouagadougou ou Lomé.
