Arnaque courrier : le QR code piège les boîtes aux lettres
L'arnaque par courrier évolue avec des QR codes frauduleux qui piègent les utilisateurs en leur volent des informations sensibles.
Arnaque en ligne bien rodée, le faux courrier recommandé revient avec une variante plus dangereuse : le QR code frauduleux. Le piège est simple. Un message, un avis déposé ou une page copiée, puis un scan qui mène vers un faux formulaire de paiement ou de connexion.
Ce que vise vraiment l’escroc
Le but n’est pas seulement de vous faire payer une fausse contravention. L’objectif est aussi de récupérer vos identifiants, votre numéro de carte, ou des données utiles pour vider un compte plus tard. Les campagnes récentes signalent la persistance de faux SMS et courriels usurpant l’identité de l’ANTAI et d’amendes.gouv.fr, avec une logique d’attaque très claire : pousser à l’action rapide avant toute vérification.
Le QR code sert ici d’accélérateur. Il contourne votre vigilance sur l’adresse affichée à l’écran. Vous scannez d’abord. Vous réfléchissez après. C’est exactement l’inverse du bon réflexe en cybersécurité.
Un point clé mérite d’être retenu : l’ANTAI rappelle qu’elle n’envoie pas de SMS pour demander un paiement direct, et qu’un règlement officiel passe par le portail de télépaiement du service public. Le site légitime à connaître est amendes.gouv.fr, et rien d’autre pour ce type de paiement.
Pourquoi cette fraude marche si bien sur mobile
Le smartphone favorise le clic trop rapide. L’écran est petit. Le nom de domaine est tronqué. Le faux site paraît crédible au premier regard. C’est là que le phishing change de visage et devient plus efficace.
Autre faiblesse : beaucoup de téléphones ouvrent le QR code directement dans le navigateur, sans afficher assez tôt les indices de danger. Un domaine proche d’un site officiel, une page qui copie un logo public, un formulaire qui réclame carte bancaire et date de naissance, et le tour est joué.
Les escrocs exploitent aussi la saison. Avant les départs en vacances, les utilisateurs sont plus pressés. Les appareils mobiles deviennent alors une cible prioritaire. Le message est plausible. Le timing est mauvais. Le mélange fonctionne.
Le bon ordre de vérification
Avant tout scan, je vous conseille une règle simple : stopper le réflexe automatique. Si un courrier recommandé, un SMS ou un papier glissé sur le pare-brise vous demande d’agir vite, prenez trente secondes. Pas plus. C’est souvent suffisant pour démasquer une fraude.
Commencez par lire le texte du message. Cherchez les fautes, les formulations floues, l’urgence artificielle et les adresses bizarres. Ensuite, vérifiez l’expéditeur. Enfin, si un QR code est présent, observez l’URL affichée par le navigateur après le scan. Si elle ne mène pas vers le domaine officiel attendu, fermez la page.
Pour un avis de contravention supposé officiel, le contrôle doit se faire à la main. Ouvrez vous-même le navigateur et saisissez l’adresse connue du service public. Ne passez jamais par le lien reçu. Ne saisissez aucune donnée tant que le site n’a pas été identifié sans ambiguïté.
La fiche pratique du ministère de l’Intérieur sur le phishing, les QR codes et les SMS frauduleux rappelle justement ce principe : vérifier l’adresse finale avant toute saisie.
Les signes qui doivent vous faire quitter la page
Un faux site laisse presque toujours des traces. Le nom de domaine peut ressembler à un site public, mais il ne se termine pas comme attendu. Une page de paiement demande parfois trop d’informations. Un formulaire réclame un numéro de carte, puis un code SMS, puis d’autres données. Là, on quitte.
Un autre signal d’alerte vient du document papier. Certaines fraudes déposent un avis imitant une contravention sur le pare-brise. Si le document mise sur un QR code pour payer, méfiance immédiate. Les avis officiels cités par les autorités renvoient vers un traitement identifié, pas vers une page bricolée à la va-vite.
Le cas du courrier recommandé est voisin. Un escroc joue sur la peur d’un acte administratif à récupérer. Il pousse vers un scan, puis vers un faux espace client ou un faux paiement. Le mécanisme est identique. Seul le costume change.
| Signal | Réaction utile |
|---|---|
| QR code sur un courrier ou un avis inattendu | Ne scannez pas tout de suite. Vérifiez l’émetteur. |
| Adresse internet proche d’un site officiel | Fermez la page. Ouvrez le site officiel manuellement. |
| Demande urgente de paiement ou de données bancaires | Considérez le message comme suspect. |
Que faire si vous avez déjà scanné
Si vous avez scanné le code mais n’avez rien saisi, le risque reste limité. Fermez la page. Effacez l’historique si besoin. Puis surveillez les jours suivants, surtout si le site a demandé une autorisation, une connexion ou l’installation d’un fichier.
Si vous avez entré votre carte bancaire, appelez immédiatement votre banque et faites opposition. Ensuite, changez les mots de passe concernés si vous avez aussi saisi un identifiant. Protection des données oblige, il faut agir vite, car le vol d’accès peut servir plus tard à d’autres tentatives.
Si vous avez transmis des informations personnelles, signalez le message. Pour un SMS, utilisez le 33 700. Pour un courriel, passez par le signalement adapté aux spams et tentatives d’hameçonnage. Vous pouvez aussi déposer un signalement sur la plateforme publique dédiée aux arnaques numériques.
Je recommande aussi de prendre une capture d’écran du message, du QR code et de l’adresse visitée. Ce sont souvent les seules preuves exploitables. Gardez-les avant de nettoyer votre téléphone.
Les réflexes qui évitent le piège
Le meilleur filtre reste la lenteur. Un message pressant, surtout s’il parle d’amende, de recommandé ou de frais à régler, mérite une vérification hors du canal reçu. Ouvrez vous-même le site connu. Renseignez le numéro de dossier uniquement dans l’espace officiel.
Vérification manuelle, adresse officielle et absence de clic direct forment la base. Sans ces trois réflexes, vous laissez trop de place au piège. Avec eux, la plupart des tentatives tombent à plat.
Côté téléphone, gardez aussi un œil sur les permissions. Une page qui pousse vers une installation d’application ou une autorisation de notification doit vous alerter. Le QR code est alors seulement l’entrée. Le vol, lui, se joue après.
Si vous devez aider un proche, particulièrement sur iPhone ou Android, prenez le temps de montrer la différence entre une adresse affichée et une adresse réelle. C’est souvent là que tout se joue. Une vérification de 10 secondes vaut mieux qu’une récupération de compte pendant 10 jours.
En cas de doute, gardez cette règle simple : aucun paiement, aucun identifiant, aucun scan impulsif. Si le document est légitime, il supportera la vérification. S’il est frauduleux, il cassera au premier contrôle sérieux.
