Il existe une différence fondamentale entre le SMS qui vous annonce que votre compte bancaire est bloqué et celui qui vous réclame 2,80 € de péage impayé. Le premier déclenche une alerte : c'est gros, c'est grave, c'est suspect. Le second ne déclenche rien du tout. Il est petit, plausible, presque ennuyeux — et c'est exactement pour cela qu'il est devenu, en 2026, l'une des campagnes de smishing les plus rentables en France.
« Vous avez emprunté l'A10 le 03/09 sans passage validé. Montant dû : 2,80 €. Régularisez sous 48 h pour éviter une majoration de 90 €. »
Personne ne panique en lisant ça. On soupire. On se dit qu'on a dû mal badger. Et on paie, parce que trois euros ne valent pas trente minutes d'enquête. Sauf que le formulaire ne demande pas trois euros : il demande votre numéro de carte, sa date d'expiration, son cryptogramme, et souvent un code reçu par SMS quelques minutes plus tard. À ce moment-là, ce n'est plus 2,80 € qui partent.
Pourquoi les automobilistes concentrent autant de campagnes
Le conducteur est une cible idéale pour une raison très simple : il reçoit légitimement beaucoup de messages courts liés à sa voiture. Badge de télépéage, avis de contravention, forfait post-stationnement, rappel de contrôle technique, notification d'assurance, borne de recharge, application de parking. Le canal SMS est déjà saturé de messages authentiques et impersonnels, ce qui rend le faux presque indétectable par simple lecture.
S'ajoutent trois facteurs propres à la période.
Le flottement réglementaire. Entre la fin progressive des barrières physiques sur plusieurs axes autoroutiers, le passage au péage en flux libre où l'on paie après son passage, et la généralisation des forfaits post-stationnement gérés par des prestataires privés, l'automobiliste ne sait plus très bien qui a le droit de lui réclamer de l'argent, ni sous quel délai. Le flux libre en particulier a créé une situation inédite : un message vous réclamant un paiement quelques jours après un trajet peut être parfaitement légitime. Les escrocs se sont engouffrés dans cette brèche dès le premier trimestre 2026.
Les fuites de données. Les bases circulant sur les marchés parallèles contiennent souvent bien plus qu'un numéro de téléphone : nom, code postal, parfois marque du véhicule ou immatriculation partielle. Un message qui affiche « votre véhicule immatriculé XX-123-XX » devient instantanément crédible, même si l'escroc n'a jamais vu votre voiture.
Le petit montant. C'est la vraie innovation. Une campagne réclamant 400 € d'amende obtient un taux de clic faible et beaucoup de signalements. Une campagne réclamant 2,80 €, 4,10 € ou 17,50 € passe sous le radar émotionnel et sous le radar des services anti-fraude bancaires, qui laissent passer les micro-paiements sans friction.
Les quatre familles de messages qui circulent
1. Le péage non acquitté
C'est la campagne la plus visible depuis le printemps 2026, notamment via l'usurpation de marques de télépéage bien connues comme Ulys, Bip&Go ou Ulys/Vinci. Le message évoque un passage non validé, un badge défectueux, ou un trajet en flux libre non régularisé. Le montant est dérisoire, la menace de majoration est chiffrée et datée.
Signe distinctif : le lien ne pointe jamais vers le domaine officiel de l'opérateur. On trouve des variantes du type ulys-regularisation.com, peage-flux-libre.info, paiement-vinci-autoroutes.net. Aucun opérateur français ne gère ses paiements sur un domaine parallèle créé la semaine précédente.
2. La fausse contravention ANTAI
L'Agence nationale de traitement automatisé des infractions (ANTAI) est l'organisme officiel qui envoie les avis de contravention en France. Elle est massivement usurpée. Le SMS annonce un excès de vitesse, une infraction relevée par radar, ou une amende majorée imminente.
Point capital à retenir : l'ANTAI n'envoie pas d'avis de contravention initial par SMS. Un avis de contravention arrive par courrier postal à l'adresse figurant sur la carte grise, ou dans l'espace personnel du site officiel antai.gouv.fr. Un SMS surgi de nulle part réclamant le paiement d'une amende que vous n'avez jamais reçue par courrier est, dans l'immense majorité des cas, une fraude. Cybermalveillance.gouv.fr rappelle régulièrement ce point dans ses alertes sur le smishing.
3. Le forfait post-stationnement
Depuis la dépénalisation du stationnement payant, le fameux « FPS » est géré par les communes ou leurs prestataires. C'est un terrain de jeu parfait pour la fraude, parce que les modalités varient d'une ville à l'autre et que peu de gens savent à quoi ressemble un avis authentique. Le message évoque un stationnement non payé dans une ville où vous êtes effectivement passé — parfois par simple probabilité, parfois grâce à des données achetées.
4. Le remboursement inversé
Variante plus retorse : on ne vous réclame rien, on vous doit quelque chose. « Suite à une erreur de facturation, un remboursement de 38,40 € vous est dû. Renseignez vos coordonnées bancaires pour le percevoir. » Le mécanisme psychologique s'inverse : vous n'avez plus peur, vous êtes content. Et vous transmettez un RIB, voire un numéro de carte, à un inconnu.
Ce que le message essaie réellement d'obtenir
Il faut distinguer trois objectifs, parce que la réaction à avoir n'est pas la même.
| Objectif | Ce que demande le formulaire | Conséquence |
|---|---|---|
| Paiement direct | Carte bancaire pour un « petit » montant | Débit unique, parfois abonnement caché |
| Capture de carte | Carte + cryptogramme + code de validation | Achats frauduleux jusqu'à plafond |
| Profilage | Nom, adresse, immatriculation, e-mail | Revente et campagnes ciblées ultérieures |
Le troisième cas est le plus sous-estimé. Un formulaire qui ne demande pas d'argent n'est pas inoffensif : il enrichit une fiche qui servira à une arnaque au faux conseiller bancaire deux mois plus tard, celle-là beaucoup plus coûteuse.
La vérification en trente secondes
La bonne nouvelle, c'est qu'il existe une méthode simple qui fonctionne pour les quatre familles de messages, sans aucune compétence technique.
1. Ne cliquez sur rien. Aucune exception. Le lien est le seul point d'entrée de l'attaque ; tant que vous ne l'ouvrez pas, il ne se passe rien.
2. Passez par le canal officiel que vous connaissez déjà. Pour une amende : antai.gouv.fr, tapé à la main dans la barre d'adresse. Pour un télépéage : l'application ou le site de votre opérateur, celui sur lequel vous avez ouvert votre contrat. Pour un FPS : le site officiel de la commune. Si la somme est réellement due, elle apparaîtra dans votre espace personnel. Sinon, le message était faux.
3. Regardez le montant et le délai. L'urgence chiffrée à 24 ou 48 heures est une signature. L'administration française fonctionne avec des délais de plusieurs semaines et des courriers.
4. Vérifiez la cohérence avec votre vie réelle. Avez-vous emprunté cet axe ? Stationné dans cette ville ? Un message évoquant une autoroute que vous n'avez jamais prise se disqualifie tout seul.
5. Signalez. Le 33700 reste le dispositif national de signalement des SMS frauduleux : transférez le message au 33700, puis envoyez le numéro de l'expéditeur quand on vous le demande. Le service est gratuit. En parallèle, la plateforme Signal Conso et le site cybermalveillance.gouv.fr recensent les campagnes en cours.
Règle générale : ce n'est jamais à vous de prouver que le message est faux. C'est au message de prouver qu'il est vrai — et il ne peut le prouver que par un canal que vous avez choisi vous-même.
Le cas particulier du conducteur en déplacement
La vigilance chute quand on est sur la route. On lit le message à une aire d'autoroute, entre deux étapes, fatigué, avec 12 % de batterie. C'est précisément le moment que les campagnes ciblent, en concentrant leurs envois sur les vendredis soir, les débuts de vacances et les grands chassés-croisés.
Quelques réflexes matériels réduisent le risque plus efficacement que n'importe quel conseil abstrait :
- Garder un support téléphone pour voiture correctement fixé, pour ne jamais avoir à consulter un message dans l'urgence ou en conduisant : un SMS lu à l'arrêt est un SMS mieux évalué.
- Emporter une batterie externe pour smartphone : un téléphone à plat, c'est l'impossibilité de vérifier quoi que ce soit sur le site officiel, donc la tentation de « régler vite fait » depuis le lien reçu.
- Ranger les documents du véhicule — carte grise, attestation d'assurance, constat — dans un porte-documents pour voiture unique. Quand on sait où sont ses papiers, on vérifie une immatriculation en dix secondes au lieu de faire confiance au chiffre affiché dans le SMS.
Rien de tout cela n'est spectaculaire, mais l'arnaque au faux péage ne se joue pas sur la technique : elle se joue sur les cinq secondes où l'on décide de vérifier ou pas.
Si vous avez déjà cliqué et payé
L'erreur est fréquente et n'a rien de honteux. La seule chose qui compte est la vitesse.
Dans l'heure : appelez votre banque ou faites opposition depuis son application. Le numéro d'urgence interbancaire pour l'opposition carte est le 0 892 705 705. Demandez explicitement le blocage de la carte, pas seulement la contestation du débit.
Dans la journée : changez les mots de passe des comptes qui partagent l'adresse e-mail utilisée dans le formulaire, en commençant par la messagerie elle-même. Si vous avez transmis un code reçu par SMS, considérez que le compte associé est compromis. Un gestionnaire de mots de passe, ou à défaut un carnet de mots de passe papier rangé hors de vue, évite de recycler partout la même combinaison — ce qui est précisément ce que les fraudeurs exploitent ensuite.
Dans la semaine : déposez plainte. La pré-plainte en ligne est possible sur le site du ministère de l'Intérieur, mais un dépôt physique en commissariat ou gendarmerie reste plus efficace pour obtenir un procès-verbal exploitable par la banque. Conservez captures d'écran du SMS, horodatage, numéro de l'expéditeur et relevé du débit.
Le droit de votre côté : l'article L. 133-18 du Code monétaire et financier prévoit le remboursement immédiat d'une opération de paiement non autorisée signalée dans les délais. La banque peut refuser en invoquant une négligence grave du client, mais la Cour de cassation a rappelé à plusieurs reprises, notamment dans des arrêts de 2023 et 2024, que la seule transmission de données à la suite d'un message frauduleux imitant un organisme officiel ne suffit pas à caractériser cette négligence grave. En cas de refus, saisissez le médiateur bancaire, puis la Banque de France si nécessaire.
Réduire la surface d'attaque en amont
On ne peut pas empêcher un escroc d'envoyer un SMS, mais on peut réduire la probabilité d'être ciblé et surtout la probabilité de mordre.
- Cloisonner ses coordonnées. Utiliser une adresse e-mail secondaire pour les inscriptions à des services de stationnement, de recharge ou de covoiturage limite la corrélation des fuites.
- Activer le filtrage anti-spam SMS de votre téléphone. Android comme iOS proposent un filtrage des expéditeurs inconnus, imparfait mais utile.
- Ne jamais enregistrer sa carte bancaire dans les applications de stationnement où ce n'est pas indispensable. Une carte virtuelle à usage unique, proposée par de nombreuses banques, limite mécaniquement les dégâts.
- Prévenir son entourage. Les conducteurs les plus exposés sont souvent ceux qui utilisent peu le numérique et qui, face à un SMS mentionnant une administration, préfèrent payer « pour être tranquilles ». Un guide de la cybersécurité au quotidien laissé à portée de main dans une famille fait plus qu'un long discours.
Ce qu'il faut retenir
Le faux SMS de péage ou d'amende n'a pas été conçu pour tromper les gens crédules. Il a été conçu pour tromper les gens pressés, sur un montant assez faible pour ne pas mériter une vérification. C'est une arnaque de volume : elle ne gagne pas beaucoup par victime, mais elle touche des centaines de milliers de numéros à chaque vague.
Sa faiblesse est constante et elle ne changera pas : elle a besoin que vous cliquiez sur son lien. Une administration ne vous demande jamais de payer via une URL reçue par message ; elle vous laisse toujours la possibilité de vous rendre par vous-même sur son site officiel. Le jour où ce réflexe devient automatique — vérifier ailleurs, jamais dans le message — la campagne s'effondre, quel que soit son degré de sophistication.
Et si le doute persiste : un avis authentique attendra bien trente minutes de vérification. Une arnaque, non. C'est toute la différence.
