Un cybercriminel affirme avoir récupéré les plaques d'immatriculation de près de 850 000 véhicules français, accompagnées des coordonnées de leurs propriétaires. De quoi alimenter des campagnes d'escroquerie redoutablement crédibles, notamment autour des contraventions. Voici les précautions à prendre.
Imaginez recevoir un SMS vous réclamant le paiement d'une contravention avec votre nom et votre véritable numéro d'immatriculation. De quoi hésiter avant de crier à l'arnaque. C'est précisément le risque soulevé par une nouvelle fuite de données revendiquée ce week-end par ChimeraZ, un pirate informatique qui affirme détenir les informations personnelles associées à près de 850 000 plaques françaises.
Le 24 octobre, ce dernier a annoncé sur un forum cybercriminel posséder une archive de 175 Mo qui contiendrait plus de 905 000 enregistrements. L’authenticité de l’ensemble du fichier et l’origine des données n’ont pas été confirmées indépendamment. ChimeraZ promet également de publier un second fichier bien plus volumineux.
Des plaques d'immatriculation associées à des identités complètes
Les échantillons examinés par le site spécialisé FrenchBreaches ont de quoi inquiéter. On y trouve des noms, des prénoms, des numéros de téléphone, des adresses e-mail et des coordonnées postales parfois très détaillées.
Au total, le pirate revendique 847 064 plaques distinctes, plus de 506 000 adresses électroniques et près de 475 000 numéros de téléphone uniques. Cela ne signifie pas nécessairement qu'autant de personnes sont concernées, puisque plusieurs véhicules peuvent appartenir au même propriétaire.
L'origine de ces informations demeure inconnue. ChimeraZ évoque simplement un site Internet vulnérable, sans donner son nom. Rien ne permet à ce stade d'affirmer que le Système d'immatriculation des véhicules (SIV) de l'État a été compromis. Les données présentées semblent par ailleurs s'échelonner de 2017 à 2026.
Le pseudonyme n'est pas inconnu des spécialistes de la cybersécurité. Ces dernières semaines, ChimeraZ a également revendiqué des attaques visant la Fédération française de tir et plusieurs armureries, ainsi que la mise en vente de données d'adhérents du Parti communiste français.
De fausses contraventions beaucoup plus difficiles à repérer
Une plaque d'immatriculation est visible par n'importe qui dans la rue. Mais lorsqu'elle est associée à une identité et à un numéro de téléphone, elle devient autrement plus intéressante pour les escrocs.
Le scénario le plus évident est celui d'un faux SMS de l'ANTAI, l'Agence nationale de traitement automatisé des infractions, réclamant le règlement urgent d'une amende. En mentionnant la bonne immatriculation, voire l'adresse du destinataire, le message paraît immédiatement plus sérieux.
D'autres escroqueries sont envisageables, notamment de faux appels de garages, des demandes de paiement pour des réparations imaginaires ou des tentatives d'usurpation d'identité.
Vous avez reçu une contravention ? Voici comment éviter de vous faire arnaquer
La première règle est simple. L'ANTAI n'envoie jamais de SMS pour réclamer le paiement d'une amende. Si un message vous invite à régler une contravention depuis un lien, même en mentionnant votre véritable plaque, ne cliquez surtout pas dessus.
Les véritables avis arrivent généralement par courrier, mais l'administration peut aussi les transmettre par e-mail. Dans ce cas, l'expéditeur officiel est nepasrepondre_noreply@antai.gouv.fr et le destinataire doit accepter la dématérialisation de son avis. Sans réponse dans les sept jours, un courrier postal est envoyé. Et, attention, l'adresse de l'expéditeur ne suffit pas à elle seule à garantir l'authenticité d'un message.
En cas de doute, ouvrez vous-même votre navigateur et rendez-vous sur antai.gouv.fr pour consulter votre dossier à l'aide des références figurant sur l'avis. Pour payer une véritable amende, l'adresse officielle est amendes.gouv.fr.
Si vous recevez un véritable avis concernant une infraction que vous n'avez pas commise, ne le payez pas précipitamment. Le paiement vaut reconnaissance de l'infraction. Vous disposez généralement de 45 jours pour la contester auprès de l'ANTAI. Si votre plaque a été usurpée, déposez plainte et joignez le récépissé à votre contestation.
Enfin, transférez les SMS frauduleux au 33700. Si vous avez déjà communiqué vos coordonnées bancaires sur un faux site, contactez immédiatement votre banque pour faire opposition et conservez les preuves de l'escroquerie.
