sintassi corretta da usare vicino a '?'

Dovresti eseguire PrepareStatement senza parametri come segue:

statement.executeQuery()

Chiamando executeQuery con una String parametro eseguirà la query fornita così com'è (senza i parametri associati).