Der gefälschte Bescheid ist auf maximalen Druck angelegt. „Diese Mitteilung stellt eine letzte und dringende Warnung wegen eines ausstehenden Verkehrsverstoßes mit Ihrem registrierten Fahrzeug im Bundesstaat New York dar", heißt es darin. Weiter wird behauptet, die Angelegenheit sei „nun in die förmliche Vollstreckungsphase eingetreten".

Die an BleepingComputer weitergeleitete SMS gibt vor, vom „Criminal Court of the City of New York" zu stammen. Sie behauptet, es bestehe ein unbezahlter Parkverstoß oder eine offene Maut, die sofort beglichen werden müsse – andernfalls müsse die betroffene Person vor Gericht erscheinen. Beigefügt ist die Anweisung, einen QR-Code zu scannen, um die offenen Beträge zu begleichen.

Wer den QR-Code scannt, landet zunächst auf einer Zwischenseite, die zur Lösung eines CAPTCHAs auffordert. QR-Codes und CAPTCHA dienen laut BleepingComputer dazu, die Analyse der Kampagne durch automatisierte Sicherheitssoftware und Forscher zu erschweren.

Nach dem Lösen des CAPTCHAs erfolgt die Weiterleitung auf eine weitere Phishing-Seite, die sich als die Zulassungsbehörde (DMV) des jeweiligen Bundesstaats oder als andere Behörde ausgibt und eine offene Maut oder einen Strafzettel behauptet. In allen von BleepingComputer beobachteten Fällen lag dieser ausstehende Betrag bei 6,99 US-Dollar. Gefälschte Seiten, die sich als New Yorker DMV ausgeben, nutzen etwa die Hostnamen „ny.gov-skd[.]org" oder „ny.ofkhv[.]life".

Ein Klick auf „Weiter" führt zu einem Formular, in das Opfer ihre persönlichen Daten und Kreditkarteninformationen zur Begleichung der angeblichen Forderung eingeben sollen. Tatsächlich dient das Formular dem Diebstahl von Name, Adresse, Telefonnummer, E-Mail-Adresse und schließlich der Kreditkartendaten. Diese Informationen lassen sich anschließend für eine Vielzahl schädlicher Zwecke nutzen – von weiteren Phishing-Angriffen über Finanzbetrug und Identitätsdiebstahl bis zum Verkauf der Daten an andere Akteure.

Als allgemeine Regel gilt: Wer eine SMS von einer unbekannten Nummer oder E-Mail-Adresse mit einer Zahlungsaufforderung erhält, sollte sie ignorieren. Staatliche Behörden haben in Reaktion auf diese Maschen wiederholt betont, dass sie keine SMS versenden, in denen persönliche Daten oder Zahlungsinformationen verlangt werden.