Dès que les gens commencent à comprendre comment fonctionne un certain type d'arnaque, les criminels déploient de nouvelles tactiques pour continuer à voler de l'argent. Maintenant que les gens ont appris à se méfier des liens contenus dans les SMS, les escrocs ont changé d'appât, et en 2026, ce « nouveau lien » prend souvent la forme d'un code QR dissimulé dans une fausse notification.
La dernière variante des anciennes arnaques liées aux péages impayés et aux infractions routières est particulièrement sournoise, car elle semble plus officielle qu'un simple message contenant une URL. Au lieu d'un simple lien, les victimes reçoivent une image représentant un avis émanant d'un tribunal ou d'une administration et sont invitées à scanner le code QR pour payer une amende relativement modeste.
Ce montant modique fait partie de l'arnaque. Il semble suffisamment insignifiant pour qu'on le paie sans hésiter, et c'est précisément pour cela que l'arnaque fonctionne. Ces escrocs ne veulent pas que vous y réfléchissiez trop.
Les éléments fondamentaux de ces nouvelles campagnes restent les mêmes : l'urgence, l'autorité et un paiement modique destiné à contourner la méfiance.
BleepingComputer a rapporté que les destinataires avaient été informés qu'ils avaient une infraction au code de la route en suspens et qu'ils devaient agir immédiatement, tandis que Cyber Safety Watchdog a mis en lumière l'évolution de cette arnaque aux péages.
Que le message porte sur les péages, le stationnement ou les infractions au code de la route, l'essentiel est qu'il se fait passer pour une autorité publique et pousse la victime à prendre une décision précipitée sans prendre le temps de vérifier quoi que ce soit.
Pourquoi les codes QR facilitent la tâche des escrocs
Les codes QR offrent aux escrocs un moyen supplémentaire de dissimuler leurs agissements. Au lieu d'un lien textuel visible, la victime est incitée à scanner un code intégré à une image, ce qui réduit les chances qu'elle s'en aperçoive immédiatement.
Les escrocs savent que les gens ont appris à repérer les liens évidents, les noms de domaine suspects et les e-mails mal rédigés. Ils intègrent donc le contenu malveillant dans des images, des notifications et des codes QR, puis présentent le tout sous le couvert d'un langage officiel.
Dans le cadre de la campagne décrite par BleepingComputer, le code QR redirigeait d'abord les victimes vers un site intermédiaire qui leur proposait un test CAPTCHA, puis les redirigeait vers une page de hameçonnage se faisant passer pour le Service des immatriculations ou une agence publique similaire.
Cette étape supplémentaire avec le CAPTCHA vise à ralentir toute analyse automatisée. L'objectif final est de se faire passer pour une institution de confiance, de créer un sentiment d'urgence, d'imposer des frais minimes et de dérober les données personnelles et financières sur la page de paiement.
Dans les deux cas, les faux sites demandent aux utilisateurs de fournir leur nom, leur adresse, leur numéro de téléphone, leur adresse e-mail et les détails de leur carte bancaire. Une fois ces données saisies, l'arnaque peut se poursuivre sous forme d'usurpation d'identité ou de fraude à la carte bancaire, et les données peuvent être revendues à d'autres criminels en vue de nouvelles fraudes.
L'impact des escroqueries est considérable
Le rapport annuel 2025 de l'IC3 du FBI montre clairement que les escroqueries ne sont pas un phénomène marginal ; elles constituent le cœur du problème. L'IC3 a reçu plus d'un million de plaintes en 2025, et les pertes déclarées ont dépassé les 20,8 milliards de dollars.
À eux seuls, le phishing et l'usurpation d'identité ont fait l'objet de près de 200 000 plaintes, tandis que les cas d'usurpation d'identité au nom des pouvoirs publics ont atteint 32 424 plaintes et près de 800 millions de dollars de pertes déclarées.
Ces chiffres sont significatifs, car l'arnaque aux frais de communication s'inscrit pleinement dans le même écosystème que le phishing, l'usurpation d'identité et la fraude aux paiements. Il ne s'agit pas d'un simple désagrément isolé. C'est un signe évident que la cyberfraude s'inscrit dans un réseau plus vaste de criminalité organisée.
Comment rester en sécurité
Les escrocs s'adaptent à nos habitudes plus vite qu'on ne le pense. Dès qu'une méthode de protection se généralise, les criminels modifient légèrement leur mode opératoire.
C'est pourquoi ces messages doivent être considérés avec la même méfiance que toute autre demande d'argent non sollicitée.
- Vérifiez le numéro de téléphone d'où provient le SMS. Certaines arnaques étaient faciles à repérer car elles provenaient de numéros situés en dehors des États-Unis.
- Recherchez le site concerné par l'infraction présumée et comparez le nom de domaine. Il arrive parfois qu'il n'y ait qu'une légère différence, alors examinez-le attentivement.
- Si vous pensez que cette infraction est plausible parce que vous avez effectivement circulé dans cette zone, consultez le site web officiel du service de péage ou appelez leur service clientèle.
- Si vous avez décidé d'effectuer le paiement, vérifiez que vous avez bien reçu une confirmation de paiement. Les organismes officiels envoient une confirmation après avoir encaissé les paiements. Si vous ne recevez pas cette confirmation, appelez-les pour vérifier et prenez les mesures qui s'imposent si vous pensez avoir versé de l'argent à des escrocs. Contactez immédiatement votre banque, ainsi que le Centre de signalement des crimes sur Internet du FBI (IC3) àl'adresse ic3.gov. Veillez à indiquer le numéro de téléphone d'où provient le SMS, ainsi que le site web mentionné dans le message.
- N'entrez en aucun cas en contact avec l'escroc. Toute réaction lui fournit des informations, ne serait-ce que le fait que le numéro de téléphone est bien en service.
- Si vous recevez un message suspect, Scam Guard peut vous aider à déterminer si un SMS, un e-mail ou tout autre message est une arnaque et vous guider tout au long du processus.
- Bénéficiez d'une protection anti-malware à jour et en temps réel, qui bloquera les domaines malveillants connus.
Soyons réalistes, une fenêtre de navigation privée a ses limites.
Fuites de données, commerce sur le dark web, fraude à la carte de crédit. Malwarebytes Identity Theft surveille tous ces risques, vous alerte rapidement et inclut une assurance contre l'usurpation d'identité.
