« ANTAI : votre avis de contravention n° 7841556230 demeure impaye. Montant 35 EUR, majoration a 75 EUR le 30/09. Reglement immediat : https://antai-avis-paiement.com »
Wiadomość przychodzi we wtorek o 8:12, w trakcie porannej drogi do pracy. Żadnego rażącego błędu ortograficznego, żadnej cudownej obietnicy, żadnej widmowej przesyłki. Tylko dziesięciocyfrowy numer sprawy, wiarygodna kwota, termin za dwa dni i doskonale neutralny, urzędowy ton.
To właśnie najlepszy produkt francuskiego smishingu w 2026 roku: oszustwo, które nie próbuje już cię uwieść, lecz przypomnieć ci o obowiązku, o którym być może naprawdę zapomniałeś. A na tym polu mandat drogowy to cel wart złota: każdego roku we Francji wystawia się kilkadziesiąt milionów zawiadomień o wykroczeniu. Statystycznie jest spora szansa, że odbiorca faktycznie gdzieś jechał, parkował albo coś przekroczył.
ANTAI — skrót, który każdy już widział, ale nikt go nie zapamiętał
Agence nationale de traitement automatisé des infractions (Krajowa Agencja Zautomatyzowanego Przetwarzania Wykroczeń) to instytucja publiczna podlegająca francuskiemu Ministerstwu Spraw Wewnętrznych. To ona przygotowuje i wysyła zawiadomienia o wykroczeniach wynikających z automatycznej kontroli (fotoradary) oraz z elektronicznych protokołów, i to ona prowadzi oficjalną stronę antai.gouv.fr. Samą płatność obsługuje natomiast amendes.gouv.fr, prowadzony przez Direction générale des finances publiques.
Dwa skróty, dwie strony, system, który niewielu kierowców naprawdę rozumie. I właśnie tę strefę niejasności wykorzystują oszuści. Kiedy SMS mówi o ANTAI, nazwa brzmi mgliście znajomo — widniała na pismach, które już kiedyś dostałeś — ale nie potrafisz powiedzieć, jakim kanałem ta agencja powinna się z tobą kontaktować.
Odpowiedź jest tymczasem prosta i warta zapamiętania:
ANTAI ani DGFiP nigdy nie wysyłają SMS-ów ani e-maili z linkiem do zapłaty mandatu. Zawiadomienie o wykroczeniu przychodzi listem pocztowym, na adres widniejący w dowodzie rejestracyjnym.
Istnieje wprawdzie usługa informacyjna przez SMS lub e-mail, ale jest ona opcjonalna, wymaga wyraźnego zapisania się przez konto użytkownika i nie zawiera bezpośredniego linku do płatności. Innymi słowy: jeśli o nic nie prosiłeś, nic nie powinieneś otrzymać.
Anatomia fałszywego mandatu: siedem składników
Kampanie obserwowane od roku trzymają się wyjątkowo stałego schematu. Rozpoznać go to zaszczepić się przeciw niemu.
| Składnik | Co robi oszust | Co robi prawdziwa administracja |
|---|---|---|
| Numer sprawy | Losowo wygenerowany ciąg 10–12 cyfr | Rzeczywisty numer zawiadomienia, wydrukowany na papierowym pismie |
| Kwota | 35 €, 45 €, 68 € — zawsze wiarygodna, nigdy okrągła | Kwoty ustawowe określone w kodeksie drogowym |
| Podwyższenie kary | Zapowiadane w ciągu 24, 48 lub 72 godzin | Podwyższenie po 45 dniach (lub 60 dniach przy płatności online) |
| Nadawca | Dziesięciocyfrowy numer komórkowy lub podszyta krótka nazwa | Żadnych SMS-ów o płatności, kropka |
| Link | antai-avis-paiement.com, amendes-gouv-fr.net, paiement-antai.info | antai.gouv.fr i amendes.gouv.fr, nigdy nic innego |
| Ton | Urzędowy, oschły, bez formuł grzecznościowych | Również urzędowy — w tym właśnie tkwi pułapka |
| Sposób zapłaty | Wyłącznie karta płatnicza, formularz od razu | Karta, polecenie zapłaty, znak opłaty elektronicznej, czek |
Najbardziej rozstrzygającym szczegółem jest termin. Francuskie przepisy przewidują 45 dni na uregulowanie mandatu w kwocie zryczałtowanej, zanim zostanie podwyższony (do 60 dni w przypadku płatności elektronicznej). Żadna prawdziwa procedura nie daje ci 48 godzin. Kiedy urzędowa wiadomość kompresuje czas, to nigdy nie urząd mówi.
Druga wskazówka to nazwa domeny. Każda francuska administracja publiczna w internecie korzysta z domeny .gouv.fr, a uzyskać ją może wyłącznie organ publiczny. Strona w domenie .com, .net, .info, .top czy .online, która twierdzi, że pobiera państwowy mandat, jest fałszywa — bez wyjątków i bez dyskusji. Ulubioną sztuczką oszustów jest łącznik: amendes-gouv.fr nie ma nic wspólnego z amendes.gouv.fr. Liczy się to, co znajduje się bezpośrednio przed pierwszym ukośnikiem.
Co dzieje się po kliknięciu
Wbrew obiegowej opinii celem prawie nigdy nie są zapowiedziane 35 euro. To tylko przynęta.
Strona płatności to starannie wykonana kopia interfejsu amendes.gouv.fr: trójkolorowy pasek, Marianna, skopiowana nota prawna, dobrze widoczna kłódka HTTPS — certyfikat szyfrowania można zdobyć bezpłatnie w kilka minut i nie dowodzi on absolutnie niczego co do uczciwości strony. Wpisujesz numer zawiadomienia (który oczywiście zostanie „rozpoznany”), a potem szesnaście cyfr karty, datę ważności i kod CVV.
Wtedy rozwijają się trzy scenariusze, czasem łącznie:
- Małe obciążenie potwierdzające. 35 € naprawdę wychodzi z konta. Oszust upewnia się w ten sposób, że karta jest aktywna, a ciebie uspokaja: „zapłaciłeś”, sprawa w twojej głowie jest zamknięta.
- Duże obciążenie z opóźnieniem. Dane twojej karty są odsprzedawane albo wykorzystywane ponownie kilka dni lub tygodni później, na znacznie większe zakupy online.
- Fałszywy doradca bankowy. To najgroźniejszy dalszy ciąg. Kilka godzin później dzwoni telefon: „Dział przeciwdziałania oszustwom pańskiego banku, wykryliśmy podejrzaną próbę płatności na 35 € na rzecz oszukańczej strony”. Fałszywy doradca zna kwotę, godzinę, opis transakcji — bo to on zorganizował to obciążenie. Prosi cię wtedy o zatwierdzenie operacji w aplikacji bankowej albo o podyktowanie kodu otrzymanego SMS-em, „żeby zablokować transakcję”. W rzeczywistości to dodanie nowego odbiorcy albo zatwierdzenie przelewu.
Banque de France i Observatoire de la sécurité des moyens de paiement od kilku lat alarmują o tym przesunięciu: oszustwo nie opiera się już na technicznej kradzieży danych, lecz na manipulowaniu ofiarą, która sama zatwierdza operację. Przelew autoryzowany przez klienta jest — z prawnego punktu widzenia — znacznie trudniejszy do odzyskania niż nieautoryzowane obciążenie.
Dlaczego ten scenariusz tak dobrze działa na kierowców
Nakładają się tu trzy mechanizmy psychologiczne.
Uzasadniona niepewność. Nikt nie pamięta dokładnie wszystkich swoich parkowań z ostatnich sześciu miesięcy. Wątpliwość — „a jeśli naprawdę o czymś zapomniałem?” — wystarcza, by otworzyć link. To zasadnicza różnica w stosunku do oszustwa na paczkę: wiesz, czy czekasz na przesyłkę, ale nigdy nie wiesz, czy zostałeś sfotografowany przez fotoradar.
Strach nie przed mandatem, ale przed jego podwyższeniem. 35 € płaci się bez namysłu. 75 € już boli. Oszust nie sprzedaje kary, sprzedaje oszczędność, jaką osiągniesz, działając szybko.
Zakotwiczenie w dokumentach. Osoby, które niedawno sprzedały lub kupiły samochód, zmieniły adres albo dostały prawdziwy mandat, są wyjątkowo podatne. A wycieki danych z platform mobilnościowych, wypożyczalni, serwisów carpoolingowych czy salonów dealerskich zasilają ukierunkowane listy. Niektóre wiadomości podają już dokładny numer rejestracyjny: to nie przypadek, to baza danych.
Weryfikacja w trzy minuty, bez klikania
Metoda sprowadza się do jednej zasady: nigdy nie weryfikuje się informacji w tym samym kanale, który ją przyniósł. Wychodzimy z SMS-a.
- Samodzielnie otworzyć przeglądarkę i wpisać ręcznie
antai.gouv.fralboamendes.gouv.fr. Nigdy kopiuj-wklej z wiadomości, nigdy szukanie po słowach kluczowych (fałszywe strony kupują reklamy na czele wyników). - Skorzystać z usługi „consulter mon dossier d'infraction” na antai.gouv.fr: wymaga ona numeru zawiadomienia widniejącego na papierowym pismie. Nie ma pisma, nie ma numeru zawiadomienia → nie ma mandatu na twoje nazwisko w tym kanale.
- Zalogować się na swoje konto na impots.gouv.fr albo sprawdzić wyciągi: nieopłacone podwyższone mandaty ostatecznie pojawiają się w korespondencji z Trésor public, zawsze pocztą.
- Zadzwonić do centrum automatycznego stwierdzania wykroczeń drogowych, którego dane kontaktowe znajdują się na papierowym zawiadomieniu — nigdy pod numer podany w SMS-ie.
Dodatkowy odruch: na smartfonie długie przytrzymanie linku (bez puszczania) wyświetla pełny adres URL w podglądzie, co pozwala odczytać prawdziwą domenę bez otwierania strony. Jeśli często sprawdzasz wiadomości na zewnątrz, w samochodzie albo w pełnym słońcu, zwykła antyrefleksyjna folia ochronna na ekran pozwala nie mrużyć oczu i nie klikać na oślep w źle odczytany link — to drobiazg, ale wiele błędów czujności to najpierw błędy czytelności. Kierowcy, którzy odbierają takie wiadomości za kółkiem, powinni zostawić telefon na magnetycznym uchwycie samochodowym i sięgać po niego tylko na postoju: sztucznie wytworzony pośpiech z wiadomości nigdy nie uczynił drogi bezpieczniejszą.
Zgłaszanie: oficjalne kanały
Zgłoszenie nie jest gestem symbolicznym. Zasila mechanizmy blokowania.
- 33700: przekaż podejrzany SMS na ten numer (bezpłatnie), a następnie wyślij w kolejnej wiadomości numer nadawcy. To międzyoperatorska platforma zgłaszania spamu głosowego i SMS-owego, wspierana przez Arcep i francuskich operatorów. Pozwala zamykać numery nadawców.
- Cybermalveillance.gouv.fr: krajowy system pomocy ofiarom oferuje prowadzoną diagnozę i kontakt z lokalnymi specjalistami. Publikuje również karty odruchów dotyczące smishingu.
- Phishing Initiative / internet-signalement.gouv.fr (PHAROS): aby zgłosić adres fałszywej strony i przyczynić się do wpisania jej na listy blokowania w przeglądarkach.
- SignalConso, prowadzony przez DGCCRF, w sprawie powiązanych nieuczciwych praktyk handlowych.
Zapłaciłeś: procedura awaryjna, po kolei
Czas liczy się bardziej niż wstyd. Kilka minut może wszystko zmienić.
- Natychmiast zablokować kartę w swoim banku (numer na odwrocie karty lub w aplikacji). Poproś o zablokowanie karty i sprawdzenie operacji oczekujących.
- Nigdy nie odbierać połączenia od kogoś, kto w kolejnych godzinach przedstawia się jako twój bank. Rozłącz się i sam zadzwoń pod oficjalny numer. Żaden prawdziwy doradca nie poprosi cię o kod potwierdzający, hasło ani „zabezpieczający” przelew.
- Złożyć zawiadomienie o przestępstwie w komisariacie, jednostce żandarmerii lub przez zgłoszenie wstępne online. Zachowaj zrzut ekranu SMS-a, adres URL, godzinę, kwotę.
- Zażądać zwrotu środków na podstawie art. L.133-18 i następnych francuskiego kodeksu monetarnego i finansowego. W przypadku nieautoryzowanej transakcji bank musi zwrócić pieniądze natychmiast, chyba że dopuściłeś się rażącego zaniedbania — co bank musi udowodnić. W razie odmowy można zwrócić się do Fédération bancaire française oraz do rzecznika swojej instytucji.
- Zmienić hasła powiązanych kont (poczta, bankowość internetowa, konta w sklepach) i wszędzie włączyć uwierzytelnianie dwuskładnikowe. Menedżer haseł czyni to wykonalnym; a książka o cyberbezpieczeństwie dla osób prywatnych pomaga raz na zawsze zrozumieć logikę tych zabezpieczeń.
Ochrona najbardziej narażonych kierowców
Doświadczenia organizacji profilaktycznych są zgodne: najbardziej dotknięte grupy to nie te najmniej obeznane z technologią, ale te najbardziej zabiegane. Menedżerowie w podróży, rzemieślnicy, kurierzy, rodzice pracujący w nietypowych godzinach — ci, którzy przeglądają wiadomości między dwoma zadaniami.
Kilka ustawień mechanicznie zmniejsza pole ekspozycji:
- Włączyć filtrowanie nieznanych nadawców: zarówno iOS, jak i Android pozwalają przenosić do osobnej zakładki wiadomości z numerów, których nie ma w kontaktach.
- Nigdy nie zapisywać karty płatniczej w mobilnej przeglądarce: ręczne wpisywanie tworzy dziesięciosekundowy opór, w zupełności wystarczający, by się opamiętać.
- Ustawić limity płatności online w aplikacji bankowej i włączyć natychmiastowe powiadomienia o każdej operacji.
- Korzystać z wirtualnej karty jednorazowej przy płatnościach na mało znanych stronach — usługa dostępna w większości francuskich banków.
- Dla starszej lub mniej biegłej bliskiej osoby telefon komórkowy z dużymi klawiszami bez przeglądarki internetowej całkowicie eliminuje ryzyko kliknięcia, nie pozbawiając jej możliwości wysyłania SMS-ów.
Na koniec słowo o zachowywaniu dowodów. Wiele ofiar usuwa wiadomość z odruchu zażenowania. To błąd: SMS, adres URL i znacznik czasu to jedyne materialne elementy sprawy. Zrzut ekranu, notatnik do zapisania daty i godziny — i gotowe. Zarówno bank, jak i śledczy o to poproszą.
Co warto zapamiętać
Oszustwo z fałszywym mandatem nie jest technicznie bardziej wyrafinowane niż inne. Jego siła leży gdzie indziej: opiera się na istniejącej instytucji, wiarygodnym pretekście i rozmytym poczuciu winy. Nie prosi cię, byś uwierzył w wygraną, a tylko byś przyznał się do możliwego zaniedbania — co jest nieskończenie łatwiejsze.
Trzy zdania wystarczą, by trwale się przed tym zabezpieczyć:
- Mandat przychodzi pocztą, nigdy SMS-em z linkiem do zapłaty.
- Ustawowy termin to 45 dni, nigdy 48 godzin.
- Państwowa płatność odbywa się w domenie
.gouv.fr, nigdy nigdzie indziej.
Wszystko inne — numer sprawy, tablica rejestracyjna, kwota, ton — to tylko dekoracja. A dekoracja, choćby najstaranniej wykonana, nigdy nie wytrzymuje trzech minut weryfikacji przeprowadzonej poza samą wiadomością.
