Un message arrive : vous auriez une amende routière impayée. Il annonce un montant, un délai, et un lien pour régulariser avant l’application de pénalités. C’est l’arnaque SMS Maroc la plus tenace de 2026, et trois autorités marocaines l’ont désormais publiquement démentie : la DGSSI (Direction Générale de la Sécurité des Systèmes d’Information) le 3 avril 2026, la NARSA (Agence Nationale de la Sécurité Routière) le 13 avril, puis le ministère de la Justice au mois de juin.
Personne n’est visé personnellement. Ces messages partent en masse et fonctionnent au volume : sur des dizaines de milliers d’envois, certains atteindront un conducteur qui ignore réellement s’il a une amende en cours. Voici comment la campagne opère, les signaux qui restent valables quelle que soit la formulation employée ensuite, et les seuls endroits où une amende se paie réellement au Maroc.
Arnaque SMS Maroc : comment fonctionne la fraude
Le mécanisme est identique dans toutes les versions. Un SMS crée une obligation plausible et un délai court, puis propose un lien censé la résoudre. Ce lien ouvre une copie d’une page de paiement officielle. La suite est tout l’objet de l’opération : la page collecte vos données d’identité, puis votre carte bancaire, puis le code de confirmation que votre banque vous envoie.
Cette dernière étape est celle qui transforme une belle page web en argent qui quitte un compte. Une page de paiement que vous avez ouverte vous-même n’a jamais besoin que vous lui recopiiez un code que votre banque vient de vous adresser.
Première vague : numéros étrangers et page de paiement clonée
Le 3 avril 2026, la DGSSI a publié une alerte de sécurité sur cette campagne. Les messages, rédigés en arabe, provenaient de numéros étrangers aux indicatifs +44 ou +63, invoquaient une infraction au code de la route non réglée et exigeaient un paiement immédiat pour éviter une pénalité. Le site frauduleux demandait le nom, le numéro de CIN et le téléphone, puis le numéro de carte, la date d’expiration et le CVV, et enfin l’OTP (mot de passe à usage unique) envoyé par la banque de la victime.
Les recommandations de la DGSSI sont précises, et c’est le point le plus utile à retenir de toute cette affaire : les autorités officielles n’utilisent pas de numéros étrangers pour contacter les citoyens, et tous les sites gouvernementaux marocains authentiques relèvent du domaine .gov.ma. Une amende ne se vérifie que sur le portail amendes.justice.gov.ma ou dans l’application officielle Infractions Routières.
Dix jours plus tard, le 13 avril, la NARSA a ajouté son propre démenti, indiquant qu’elle « ne propose aucun service de ce type » et n’a « absolument aucun lien » avec les messages en circulation. La NARSA a aussi décrit la technique : les fraudeurs utilisent des outils d’usurpation pour faire croire qu’un SMS provient d’une source officielle, et les liens mènent à des copies de portails gouvernementaux où la victime saisit ses papiers avant qu’on lui réclame sa carte. Le paiement légitime passe par des canaux reconnus, dont les centres de paiement agréés comme Barid Cash et M2T.
Deuxième vague : un « avis d’exécution administrative »
La campagne ne s’est pas arrêtée après avril, elle s’est solennisée. En juin 2026, le ministère de la Justice a alerté le public sur une nouvelle version de la même arnaque SMS Maroc, présentée cette fois comme un « avis d’exécution administrative ». Elle comportait un numéro de dossier fabriqué, affirmait que l’infraction avait été détectée par des systèmes de surveillance, fixait un délai et menaçait de conséquences administratives et judiciaires, dont la saisie de comptes. Le lien reprenait une orthographe altérée d’un domaine officiel, hébergée sur une extension gratuite et non gouvernementale.
Le ministère a confirmé que ce message n’a aucun lien avec un système gouvernemental officiel, et a répété la même consigne : ne cliquez pas, ne communiquez aucune donnée personnelle ou bancaire, supprimez le message et signalez-le.
Pourquoi le nom de l’expéditeur ne prouve rien
La plupart des gens jugent un SMS à son expéditeur. C’est précisément cet automatisme que la technique déjoue. L’identité de l’expéditeur d’un SMS n’est pas vérifiée comme l’est une carte bancaire ou un passeport, et des outils d’usurpation permettent d’y inscrire presque n’importe quel nom ou numéro. C’est le même principe que les faux messages bancaires décrits dans notre article sur le phishing au nom de Bank Al-Maghrib, et que la vague de piratage WhatsApp Maroc de septembre, où les messages provenaient réellement du compte d’un ami.
Traitez le champ « expéditeur » comme une affirmation, pas comme une preuve.
Pourquoi le ciblage paraît si juste
Une deuxième raison explique l’efficacité de ces messages : le volume de données personnelles marocaines qui circule publiquement après les fuites de ces deux dernières années, que nous avons analysé dans notre article sur la fuite de données au Maroc. Des informations exactes dans un message ne prouvent pas qu’il est authentique, seulement que quelqu’un possède vos données.
Arnaque SMS Maroc : cinq signaux qui la trahissent
- Le numéro est étranger, ou simplement inconnu. La DGSSI est explicite : les autorités ne contactent pas les citoyens depuis des numéros étrangers.
- Le lien ne se termine pas par .gov.ma. Lisez la partie située juste avant la première barre oblique. Dans
amendes-paiement.exemple.com/infraction, le propriétaire estexemple.com, pasamendes-paiement. - Il y a un délai et une conséquence. L’urgence n’est pas une habitude administrative, c’est un levier de pression.
- On veut votre carte, puis le code envoyé par votre banque. Communiquer un OTP, c’est valider la transaction.
- L’amende est introuvable ailleurs. Une vraie amende existe sur le portail officiel, que quelqu’un vous ait écrit ou non.
Où se paie réellement une amende routière au Maroc
Les canaux légitimes sont peu nombreux, et aucun ne commence par un lien reçu dans un message :
- Le portail officiel amendes.justice.gov.ma, saisi vous-même dans la barre d’adresse.
- L’application officielle Infractions Routières.
- Les centres de paiement agréés comme Barid Cash et M2T, rappelés par la NARSA.
Si un message et le portail officiel se contredisent, c’est le portail qui a raison.
Que faire si vous avez déjà saisi vos données
La rapidité compte plus que la gêne, et cela arrive à des personnes prudentes.
- Appelez votre banque immédiatement et faites bloquer la carte. Si vous avez communiqué un OTP, dites-le clairement : une opération contestée tôt est plus facile à arrêter.
- Changez tout mot de passe réutilisé sur la fausse page, en commençant par celui de votre messagerie.
- Surveillez vos relevés, en particulier les petits débits de test qui précèdent souvent un prélèvement important.
- Signalez à votre banque et aux autorités via e-Blagh, le portail de signalement de la cybercriminalité de la DGSN, ouvert 24h/24 et accessible de façon anonyme. Prévenez aussi les autres destinataires du même message.
- Vérifiez le lien avant qu’un collègue ne le touche avec notre vérificateur de sécurité de site gratuit.
Ce que cela change pour les entreprises marocaines
L’arnaque SMS Maroc est une fraude grand public, mais elle entre dans les entreprises par les téléphones personnels. Le même scénario, un avis d’apparence officielle assorti d’un délai et d’un lien de paiement, sert contre les sociétés sous forme de fausses factures fournisseurs et de faux avis fiscaux, et une boîte mail comptable est une cible bien plus rentable que la carte d’un conducteur.
Deux habitudes suppriment l’essentiel du risque : aucun paiement n’est jamais effectué depuis un lien reçu dans un message, uniquement depuis une adresse saisie à la main, et toute instruction de paiement urgente est vérifiée sur un numéro que votre équipe possédait déjà, jamais sur celui fourni par le message. Pour replacer tout cela dans son contexte, consultez notre panorama de la cybersécurité au Maroc.
Questions fréquentes
La NARSA envoie-t-elle des SMS au sujet des amendes ?
Non. La NARSA a déclaré le 13 avril 2026 qu’elle « ne propose aucun service de ce type » et n’a « absolument aucun lien » avec les messages en circulation au sujet du paiement d’amendes.
amendes.justice.gov.ma est-il le seul site officiel ?
C’est le portail gouvernemental officiel des amendes routières, aux côtés de l’application Infractions Routières et des centres de paiement agréés comme Barid Cash et M2T. Quel que soit le canal, accédez-y par vous-même plutôt que par un lien reçu.
J’ai ouvert le lien sans rien saisir. Suis-je en danger ?
Ouvrir une page est bien moins grave que d’y soumettre des données. Fermez-la et n’y revenez pas par le même lien. Si elle vous a proposé d’installer quelque chose, faites vérifier l’appareil.
Que faire maintenant
L’habitude qui neutralise à elle seule cette arnaque SMS Maroc ne coûte rien : quand un message vous demande de payer, ignorez le lien et rendez-vous par vous-même à la source officielle. Partagez-la avec votre famille et votre équipe, car les personnes les plus exposées sont celles qui n’ont jamais entendu l’avertissement.
Si votre entreprise traite des paiements ou des données clients, SecureWeb propose un scan de sécurité gratuit comme point de départ, ainsi que des formations de sensibilisation pour les équipes.
Sources : alerte de sécurité de la DGSSI du 3 avril 2026, rapportée par le360 ; communiqué de la NARSA du 13 avril 2026, rapporté par Morocco World News ; alerte du ministère de la Justice de juin 2026, rapportée par The North Africa Post.
