ANTAI-Faux PV : le boom des arnaques à n’en plus finir !

Cela fait maintenant plus d’un an que se multiplient les fraudes laissant croire à ceux pris dans le filet qu’une infraction au code de la Route a été commise, qu’un PV a en conséquence été dressé et qu’une amende est à régler.

« Depuis plusieurs mois, des SMS, courriels ou courriers frauduleux vous proposent de régulariser ou contester des amendes impayées sur de faux sites administratifs en collectant illicitement vos données personnelles ou vos coordonnées bancaires », met ainsi en garde sur son site Internet l’Agence nationale de traitement automatisé des infractions (ANTAI).

Pour rappel, l'ANTAI, c'est l'agence de l'État qui gère le centre de Rennes où sont traitées toutes les contraventions dressées en France, via les radars comme par les policiers, gendarmes et autres personnels assermentés comme pour les forfaits de post-stationnement (FPS).

Or ces arnaques se sont corsées cet été, car elles deviennent de plus en plus difficilement détectables. Les modes opératoires n’arrêtent pas d’évoluer.

On n’en est plus seulement aux sms ou e-mails frauduleux envoyés à tout va, ni aux fausses contraventions glissées directement derrière les pare-brise, comme cela a notamment été repéré en banlieue parisienne.

Par La Poste comme les vrais !

Il s'agit désormais, comme brièvement indiqué par l’ANTAI, de vrais courriers postaux, avec nom et adresse qui correspondent, mais aussi et surtout la bonne immatriculation du véhicule des destinataires.

De ce fait, l’un des clients de Caroline Tichit, qui habite à Dourdan (Essonne), a bien failli s’y laisser prendre. Heureusement consultée pour avis avant toute action, l’avocate a repéré la tentative de duperie.

Il faut dire que le procédé n’a vraiment rien d’habituel, alors pour les spécialistes, c’est tout de suite suspect.

La missive ne ressemble pas – contrairement à d’autres cas également récents (voir plus loin) – aux avis de contravention envoyés normalement.

Le courrier indique (voir ci-dessous) émaner non pas de l’ANTAI mais de l’ANTAIR avec un « R » à la fin, pour « Routières »… ANTAIR qui en vrai n'existe pas, bien évidemment.

Mais le mode n’en reste pas moins très piégeux, du fait même de la présence de ce numéro d’immatriculation valide.

Autre procédé détecté et arnaque d'autant plus indétectable : l’envoi de faux avis de contravention qui ont pour le coup tout l’air d’être de vrais (voir ci-dessous).

C’est la police de Vannes (Morbihan) qui en a eu vent à la mi-août.

Plusieurs indices peuvent certes permettre de déceler la supercherie :

• Les montants des amendes ne correspondent pas aux bons montants liés à l’infraction (un excès de vitesse de moins de 20 km/h hors agglomération à 90 €, alors qu’il doit être de 45 €, au taux minoré).
• La présence d’un QR Code détonne puisque l’administration n’en mentionne jamais sur les vraies contraventions.
• Et bien sûr, l’adresse Internet indiquée pour payer - gouv.antai-suivi.com - n’est pas la bonne, puisqu’il n’existe qu’un seul site officiel pour ce faire, soit celui-ci : https://www.amendes.gouv.fr/tai

Mais cela reste tout de même assez redoutable.

Et sur ces faux PV aussi, comme dans le cas du client de Me Tichit, on retrouve l’association « nom + adresse + numéro d’immatriculation du véhicule ».

Et ça, c'est vraiment nouveau, nous a confirmé le dispositif national d'assistance aux victimes de cybermalveillance.

Une fuite de données de quel(s) fichier(s) ?

Dans le Morbihan, « des plaintes ont été déposées, une enquête est en cours », nous a indiqué la police sur place.

En Essonne, en revanche, on reste en attente de précisions (qui n'arrivent donc pas).

Comment expliquer qu’autant de données personnelles se retrouvent ainsi réunies sur des documents frauduleux ?

Le fichier des cartes grises – le Système d’immatriculation des Véhicules (SIV), dans le jargon - se serait-il fait hacker ?

Que nenni, nous a répondu le ministère de l’Intérieur, le SIV « n’a subi aucune attaque ni fuite de données » ! Et la Sécurité routière de nous rappeler : ces « données (nom, prénoms, coordonnées et plaque d'immatriculation) sont présentes dans d'autres systèmes d'information gérés par d'autres acteurs (concessionnaires, assureurs, banques…) ».

Contactée, la fédération des assureurs, France Assureurs, n’a jamais entendu parler d’un quelconque piratage de données chez ses adhérents (autrement dit les assureurs). Idem du côté de la Fédération nationale de l’Automobile (FNA), qui représente notamment les garagistes.

Bref, personne n’a à ce stade d’explication.

Pour vider les comptes bancaires

Quel que soit le cas de figure, nous explique l’un des porte-parole de Cybermalveillance.gouv.fr, l’objectif principal est en tout cas toujours le même : « il s’agit d’hameçonnage ou phishing [en anglais], c’est-à-dire de collecter les données personnelles comme les nom, adresse, numéros de téléphone, permis de conduire et autres (quand les fraudeurs ne les ont pas encore), en plus des coordonnées bancaires ».

En fait, même si ces faux-PV nous invitent à régler une amende via un site Internet bidon, le règlement en question n’a jamais lieu (même si on nous le fait croire jusqu'au bout).

En revanche, cela aspire toutes les données réclamées en vue de ce pseudo-paiement. Données qui ont vocation à être revendues et c'est là que cela devient dangereux.

Car ces données peuvent permettre de payer des achats à l’étranger hors Union européenne, là où la procédure d’authentification pour valider un paiement en ligne n’est pas encore en place.

Ou bien ces données contribuent à crédibiliser un soi-disant conseiller bancaire qui en assurant vouloir nous aider par la suite pour sécuriser notre compte bancaire va en fait en profiter pour nous dévaliser.

Des célébrités prises au piège

Même les célébrités se font avoir ! C’est ce qui s’est passé dernièrement pour Dave, comme l’a raconté en juin le magazine Capital

À l’origine de l’escroquerie dont il a été victime, il avait été invité à régler une simple amende pour stationnement.

C'est après s'être connecté sur le site frauduleux pour la régler qu'un pseudo-conseiller l'a appelé pour lui faire croire que ses données bancaires avaient été piratées.

La fripouille a réussi à aller jusqu'à son domicile pour le convaincre de lui laisser sa carte bleue avec son code.

Résultat : 30 000 euros vidés de son compte depuis un distributeur automatique.

Le voleur a en fait été retrouvé par la suite, et le chanteur remboursé. Mais ce n’est pas toujours évident que cela se termine aussi bien.

Au stade de l’hameçonnage, il est rare que les responsables soient recherchés.

Car pour le coup, le dommage, tant que les données collectées n’ont pas servi à aller plus loin, n’est pas manifeste.

Cybermalveillance.gouv.fr invite tout de même les victimes à porter plainte en ligne via la plateforme THESEE. Car, à partir de là, les plaintes peuvent être regroupées et il peut être plus intéressant d'enquêter.

Devant la multiplication de ces faux-PV, qui ont supplanté, aux dires de nos interlocuteurs, les hameçonnages à la vignette Crit’Air, il n'y a qu'un seul mot d'ordre : à réception d'une amende, méfiance, il faut tout vérifier !