Fraude aux données personnelles

Ce qu’il faut retenir…

Plusieurs techniques d’ingénierie sociale en ligne sont utilisées pour leurrer les victimes et les inciter à communiquer leurs données sensibles :

- L’hameçonnage (phishing) s’appuie sur un message électronique frauduleux qui présente toutes les apparences d’un message authentique provenant d’une source fiable et qui incite le destinataire à cliquer sur un lien suspect, à télécharger une pièce jointe malveillante ou à partager directement ses informations personnelles ou financières. Nous parlons de phishing lorsqu’il s’agit de fraude par email, de smishing par sms, de vishing par appel téléphonique et de quishing par QR code.

- Le harponnage (spear-phishing) est une variante très efficace de l’hameçonnage qui vise à collecter en amont des informations sur une victime bien ciblée afin de personnaliser le message qui lui est envoyé (par exemple en liant l’objet du courriel et le corps du message à son activité). Est souvent invoqué un caractère d’urgence dans le message de manière à assaillir la personne, l’exhortant à “agir avant qu’il ne soit trop tard”, annihilant ainsi sa capacité de réflexion.

- L’appâtage (baiting) est une méthode un peu différente car elle sous-tend l’utilisation d’un composant physique, comme par exemple une clé USB qui contient un maliciel, et mise sur la curiosité de la victime pour la brancher sur son ordinateur, ce qui exécutera automatiquement le code malveillant, donnant accès à ses activités en ligne et hors ligne, dossiers personnels, etc.

- Le faux-semblant (pretexting) consiste à mobiliser un prétexte solide pour rentrer en contact avec la victime. Pour cela, le cyberharceleur emprunte généralement les traits d’une figure d’autorité ou d’un tiers de confiance (une banque, une compagnie d’assurance, l’administration fiscale, etc.) qui nécessite que la cible confirme son identité (par son numéro de téléphone, par son adresse mail, par des informations relatives au service qu’elle utilise, etc.) afin de débloquer une situation problématique.

Aux origines…

Les origines du phishing remontent aux années 90, à l’époque où la société AOL était l’un des principaux fournisseurs de services Internet et comptait plus d’un million de clients abonnés.

Cette popularité grandissante a attiré l’attention de pirates qui se sont constitués en un groupe s’identifiant comme la “communauté Warez”. Ils volaient les données sensibles des clients (leur nom d’utilisateur, leur mot de passe, etc.), puis grâce à un algorithme, généraient de manière aléatoire des numéros de carte de crédit qu’ils réutilisaient pour créer de faux comptes AOL.

En mettant à jour ses mesures de sécurité, AOL réussit à freiner à cette extorsion organisée de cartes de crédit, ce qui obligea les pirates à rechercher d’autres techniques pour tromper les utilisateurs. Ils ont alors commencé à utiliser AOL Messenger et créé de faux e-mails se faisant passer pour des employés de la société.

Pour enrayer ce nouveau mouvement de phishing (hameçonnage), AOL s’est mis à détecter des mots-clés dans les salons de conversation afin d’identifier tout vocabulaire qui pourrait les conduire jusqu’aux malfrats.

De manière à ne plus se faire repérer, les hackers ont alors cessé d’utiliser des mots, remplaçant simplement par la chaîne de caractères « <>< » toute référence à leurs activités illégales. Omniprésent dans toutes les pages HTML, ce symbole proche de la forme d’un poisson était devenu indétectable.

Que dit le cadre légal…

Dans le cadre d’une fraude aux données personnelles, plusieurs atteintes aux STAD sont sanctionnées par le code pénal et le code monétaire et financier. Nous pouvons retenir principalement :

- “Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite” qui est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende (article 226-18) ;

- “Le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données” (article 323-2) qui est puni de cinq ans d’emprisonnement et de 150 000 euros d’amende ;

- “Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient” (article 323-3) qui est puni de cinq ans d’emprisonnement et de 150 000 euros d’amende ;

- “Le fait de fabriquer, d’acquérir, de détenir, de céder, d’offrir ou de mettre à disposition des équipements, instruments, programmes informatiques ou toutes données conçus ou spécialement adaptés pour commettre les infractions” (article L. 163-3 du Code monétaire et financier) qui est puni de sept ans d’emprisonnement et de 750 000 euros d’amende ;

- “Le fait, sans motif légitime, notamment de recherche ou de sécurité informatique, d’importer, de détenir, d’offrir, de céder ou de mettre à disposition un équipement, un instrument, un programme informatique ou toute donnée conçus ou spécialement adaptés pour commettre une ou plusieurs des infractions” (article 323- 3-1 du Code pénal) qui est puni des peines prévues respectivement pour l’infraction elle-même ou pour l’infraction la plus sévèrement réprimée.