Nigeria : de faux sites de la sécurité routière volent les codes bancaires en temps réel

Le 16 septembre 2026, l’actrice nigériane Eva Ibiam a raconté sur les réseaux sociaux comment elle avait perdu près de 400 000 nairas en quelques minutes. Tout est parti d’un SMS l’informant d’une nouvelle infraction routière enregistrée par la Federal Road Safety Corps (FRSC), l’agence fédérale de sécurité routière. Quelques jours plus tôt, elle avait justement été arrêtée par des agents qui avaient photographié sa plaque. Le message lui a donc paru crédible.

Le lien menait à une page soignée, présentant un excès de vitesse, une amende « réduite » à régler rapidement, et un formulaire pour saisir les coordonnées de sa carte bancaire. Selon une alerte de sa banque consultée par le média The Condia, UBA lui a envoyé un vrai code à usage unique à 15 h 27, suivi quelques minutes plus tard d’un débit de 364 574,36 nairas. Libellé de l’opération : un achat en ligne chez un commerçant nommé « SERIOUS FIX MACHINERY », à Dubaï.

Le code de sécurité, cible de l’arnaque

L’élément le plus inquiétant de cette affaire, c’est le code. Le code à usage unique envoyé par la banque, souvent appelé OTP, est censé protéger contre ce type de fraude : même si un escroc connaît le numéro de votre carte, il ne peut pas payer sans ce code. Ici, les fraudeurs l’ont obtenu en direct.

Deux méthodes sont possibles, et l’analyse du cas n’a pas permis de trancher. Soit le faux site affiche un second écran demandant de saisir le code reçu, sous prétexte de « confirmer le paiement de l’amende ». Soit les opérateurs de l’arnaque surveillent le site en temps réel : dès que la victime entre ses données de carte, ils lancent eux-mêmes un achat à l’étranger, déclenchent l’envoi du code par la banque, et récupèrent ce code sur la fausse page avant qu’il n’expire. Dans les deux cas, la rapidité est essentielle, d’où l’urgence martelée dans le SMS et sur le site.

• 1. Un SMS annonce une infraction routière et renvoie vers un lien.
• 2. Une fausse page aux couleurs officielles affiche une amende « réduite » à payer vite.
• 3. La victime saisit ses coordonnées de carte bancaire.
• 4. Les escrocs lancent un achat à l’étranger ; la banque envoie un vrai code à la victime.
• 5. La victime saisit ce code sur la fausse page : l’achat est validé, l’argent est parti.

Des adresses qui tournent sans arrêt

Le cas d’Eva Ibiam n’était pas isolé. De nombreux internautes ont partagé sur X et Facebook des messages presque identiques, renvoyant vers une liste croissante d’adresses : fctevreg.cam, frscgov.top, frsac-govt.cc, fctevregonline.click, fctevreg-gov.top, et plusieurs sous-domaines d’un service en .eu.cc. La plupart finissent par le chemin « /ng ». Ces sites ne redirigent pas vers les portails officiels : ce sont les pages de hameçonnage elles-mêmes, imitant l’apparence des services de la FRSC ou d’immatriculation des véhicules.

Les données publiques d’enregistrement ne sont disponibles que pour l’une de ces adresses. Selon The Condia, fctevreg.cam a été enregistrée le 15 septembre, la veille des premiers signalements, auprès du bureau d’enregistrement Gname.com, basé à Singapour, avec des informations de propriétaire masquées et une localisation indiquée à Hong Kong. Les autres utilisent des services de confidentialité ou des sous-domaines, qui n’ont pas d’enregistrement propre. C’est une méthode classique : acheter des adresses à bas prix, les utiliser quelques jours, puis passer aux suivantes quand elles sont signalées.

La réponse de la FRSC

La FRSC a réagi le jour même par un communiqué signé de son responsable de l’éducation du public, Osondu Ohaeri. Elle y désigne directement l’adresse frscgov.top, affirme qu’elle n’a aucun lien avec l’agence, et renvoie vers son site officiel et sa ligne gratuite, le 122. Le commandant de la FRSC, Shehu Mohammed, a demandé une campagne de sensibilisation résumée en trois mots : arrêtez-vous, vérifiez, signalez.

« Ces messages sont conçus pour créer un sentiment d’urgence en affirmant qu’une nouvelle infraction a été enregistrée. Cliquer sur les liens peut entraîner la perte d’informations personnelles, de données financières et d’autres données sensibles. »

Communiqué de la Federal Road Safety Corps

L’agence dit travailler avec les forces de l’ordre et les autorités de cybersécurité pour identifier les responsables. Le communiqué ne précise pas quelles mesures techniques ont été prises pour faire fermer les autres adresses.

D’où viennent les numéros de téléphone ?

Reste une question gênante : comment les escrocs ont-ils obtenu les numéros des automobilistes ? À ce stade, rien ne prouve une fuite des systèmes de la FRSC, et un responsable de l’agence a refusé de commenter davantage. Mais le contexte nigérian rend l’opération possible sans accès direct aux données officielles. Des numéros issus de fuites passées, chez des banques, des registres d’entreprises ou d’autres plateformes, circulent sur les marchés clandestins et sont réutilisés d’une arnaque à l’autre. Des listes commerciales de numéros mobiles nigérians sont aussi faciles à acheter.

Surtout, l’arnaque n’a pas besoin de cibler précisément des personnes verbalisées. Il suffit d’envoyer des milliers de messages : parmi les destinataires, certains auront effectivement croisé un contrôle routier ces derniers jours, et le message leur paraîtra d’autant plus crédible. C’est ce qui est arrivé à Eva Ibiam.

La responsabilité des banques en question

L’affaire relance un débat récurrent au Nigeria : le code par SMS suffit-il encore ? Un achat à l’étranger, chez un commerçant jamais utilisé par la cliente, pour un montant important, aurait pu déclencher une alerte dans les systèmes de détection de fraude de la banque. Plusieurs banques proposent aussi de bloquer par défaut les paiements internationaux par carte, que le client active seulement quand il en a besoin. C’est une protection simple, encore trop peu connue.

Pour les victimes, les recours sont limités mais existent : contester immédiatement l’opération auprès de la banque, en signalant qu’il s’agit d’une fraude, et déposer une plainte. Plus la contestation est rapide, plus les chances de récupérer l’argent sont élevées, notamment si le commerçant n’a pas encore été payé.

Un modèle qui se répète

Le scénario n’a rien de propre au Nigeria. Des arnaques aux fausses amendes, aux faux colis bloqués en douane ou aux faux remboursements d’impôts sévissent dans le monde entier, en exploitant la même mécanique : une autorité connue, une petite somme à régler, une urgence. Ce qui change, c’est la vitesse : ces sites apparaissent et disparaissent en quelques jours, et le vol se fait en quelques minutes. Face à cela, la prudence des utilisateurs reste la première ligne de défense, mais elle ne suffit pas. Les opérateurs mobiles, qui acheminent ces SMS, les banques, qui valident les paiements, et les bureaux d’enregistrement, qui vendent les adresses, ont chacun un rôle à jouer pour casser la chaîne.