Chapitre 10 : Comment les victimes sont-elles choisies : profilage et ciblage

De nombreuses personnes confrontées aux conséquences d'une escroquerie, stupéfaites de découvrir que leur compte bancaire a été vidé, posent la même question encore et encore : "Pourquoi moi ? Pourquoi m'avoir choisi, moi ?". Elles ont l'impression que la foudre s'est abattue sur elles par un ciel clair, comme s'il s'agissait d'un coup du sort ou d'une malchance extrême. Elles imaginent l'escroc comme un pêcheur lançant un filet large dans la mer et attendant de voir ce qu'il ramènera. Et effectivement, dans certains cas – les arnaques par hameçonnage de masse – c'est bien le cas. Mais lorsqu'il s'agit d'escroqueries sophistiquées, dans des cas d'arnaques significatives où des sommes importantes sont dérobées, la réalité montre que, dans certains cas, les victimes ne sont pas choisies au hasard, mais sont identifiées à l'avance.

Dans les chapitres précédents, nous avons analysé les mécanismes psychologiques et les scénarios complexes, mais dans ce chapitre, nous irons à la racine du problème : l'étape du "renseignement". Dans le monde du renseignement, on appelle cela OSINT (renseignement de sources ouvertes). Dans le monde de la cybercriminalité, c'est le travail préparatoire qui transforme un parfait inconnu en une cible. Pour comprendre comment se protéger, nous devons d'abord comprendre comment le profil d'une victime peut être construit, comment la fenêtre d'opportunité est identifiée, et comment des informations privées peuvent devenir un outil entre les mains d'escrocs.

Le scénario suivant est un exemple pédagogique basé sur des modèles d'escroquerie courants. Les personnages et les événements ne sont destinés qu'à l'illustration.

Ingénierie de cible : scénario pédagogique - l'histoire d'Amos et l'appartement à Haïfa

Amos (nom fictif), âgé de 67 ans, était loin de l'image classique de la "victime naïve". Il avait pris sa retraite après une riche carrière en tant que vice-président des opérations dans une grande entreprise de logistique. Il connaissait les systèmes informatiques, savait négocier et s'était toujours considéré comme un homme prudent qui vérifiait chaque document. Dans ce scénario, l'erreur d'Amos n'était pas un manque de prudence, mais la supposition que ses actions sur le réseau restaient anonymes.

Tout a commencé lorsqu'il a été décidé de vendre un appartement d'investissement afin d'aider la famille. Une annonce a été publiée sur un site de vente, des photos ont été téléchargées, et les coordonnées ont été indiquées. Pour des entités criminelles, une telle annonce peut constituer un marquage de cible.

Pendant deux semaines, les informations ont été collectées. Un escroc peut utiliser le nom complet pour trouver des profils sur les réseaux sociaux, identifier des domaines d'intérêt, des groupes d'appartenance ou un parcours professionnel. Les informations s'accumulent et se transforment en un dossier de renseignement complet.

Dans un scénario possible, le téléphone sonne et le numéro qui s'affiche semble officiel. La voix à l'autre bout du fil peut se présenter comme un représentant du service de sécurité d'une banque, sur un ton autoritaire et calme, et signaler une "tentative de virement suspecte".

Lorsque la victime réagit sous le stress, l'escroc peut utiliser les informations collectées à l'avance : "Avez-vous publié récemment une annonce immobilière ? C'est un modèle connu de pirates qui scannent ces sites". Ces informations précises créent un niveau de confiance très élevé. Dans ce "tunnel de pression", la victime risque d'agir selon les instructions de l'escroc, de transférer des fonds vers un prétendu "compte de protection", et de découvrir plus tard que les fonds ont été transférés vers des comptes écrans et qu'il existe une complexité significative dans la tentative de les récupérer.

Le mythe du hasard : comment les informations peuvent fuiter

Le scénario d'Amos illustre un point critique : le choix de la victime est parfois un processus de filtrage. Les acteurs de la fraude recherchent parfois un "fruit mûr" – des personnes qui se trouvent à un moment où elles effectuent de grosses transactions ou vivent des changements de vie.

Il existe différentes manières dont les informations peuvent tomber entre de mauvaises mains :

1. Fuites de données (Data Breaches)

Chaque fois qu'un site Internet sur lequel une inscription est requise est piraté, des informations personnelles peuvent tomber entre des mains criminelles. Ces listes sont parfois segmentées par âge, type de carte de crédit ou autres caractéristiques, ce qui permet de créer une liste de cibles potentielles.

2. Réseaux sociaux

Le partage excessif sur les réseaux sociaux peut constituer une invitation pour des entités hostiles. Une publication sur la vente d'un bien, une photo de billet d'avion ou une mise à jour sur un déménagement fournissent des informations sur la liquidité financière ou sur une absence du territoire, ce qui rend la personne plus vulnérable aux escroqueries ciblées.

3. Bases de données

Au fil des années, des fuites de bases de données officielles et publiques ont été signalées. Des informations comprenant des numéros de cartes d'identité, des adresses et des liens familiaux permettent aux escrocs de créer une présentation très crédible lors d'une conversation téléphonique, ce qui augmente le niveau de confiance qui leur est accordé au début de l'interaction.

Profil de la victime : qui risque d'être dans la ligne de mire ?

Au cours des années de travail professionnel et de l'examen de nombreux cas, il apparaît que les victimes n'appartiennent pas à un seul groupe. On peut trouver parmi elles des travailleurs indépendants, des professionnels de la technologie et des personnes dotées d'une riche expérience de vie. Cependant, il existe des caractéristiques qui peuvent faire d'une personne une cible privilégiée :

• Détenteurs de liquidités financières temporaires : personnes venant de vendre un bien, de recevoir un héritage ou d'ouvrir un fonds d'épargne.
• Personnes à des carrefours de décision ou sous pression : ceux qui sont dans des procédures personnelles complexes comme un divorce ou un déménagement, des situations où l'attention cognitive peut être divisée.
• Indépendants et propriétaires de petites entreprises : habitués à effectuer de nombreux virements bancaires et à répondre à des appels de numéros inconnus.
• Seniors : personnes maîtrisant la technologie mais pouvant témoigner un grand respect à l'autorité (comme une banque ou la police) et ayant tendance à croire une voix autoritaire au téléphone.

La sphère juridique : examen de la responsabilité de l'institution financière

À ce stade, la question juridique complexe est examinée. La question centrale dans ces cas n'est pas seulement comment la fraude a été commise, mais quel était le niveau de diligence exercé par les "gardiens du seuil". En Israël, la relation entre une banque et le client est basée sur un devoir de loyauté et de diligence.

La loi sur les services de paiement, de 2019, réglemente la question de la responsabilité. En règle générale, en cas de transaction non autorisée, il existe une obligation de restitution. La complexité augmente dans les cas d'"ingénierie sociale", où c'est le client qui a autorisé l'opération suite à une fausse représentation. Ici, l'équilibre entre la "négligence contributive" et le devoir de diligence de la banque est examiné.

Dans le cadre de l'analyse des options juridiques, la question se pose de savoir si la banque doit identifier des modèles de fraude inhabituels. Si un client effectue une opération qui diffère radicalement de ses habitudes de gestion habituelles, il est possible qu'il existe une attente que les systèmes de surveillance de la banque arrêtent l'opération ou effectuent une vérification supplémentaire.

L'expérience professionnelle montre que les institutions financières peuvent tenter de décliner leur responsabilité en prétendant que le client a agi de sa propre volonté. Cependant, il est possible d'examiner si, dans les circonstances de l'affaire, la banque était tenue d'identifier des "feux rouges". Dans certains cas, il est possible qu'il existe un motif de poursuite pour négligence dans la gestion des risques.

Il est important de souligner : il n'y a aucune garantie absolue de restitution des fonds. Chaque cas est examiné individuellement en fonction de ses circonstances uniques. Les tribunaux examinent si la conduite du client équivaut à une "négligence grave". La remise d'un code personnel contrairement à des avertissements explicites complique la situation juridique, mais n'exclut pas nécessairement la possibilité d'examiner les défaillances de la banque dans l'octroi d'une protection globale.

Analyse de cas : pourquoi la cible a-t-elle été choisie ?

Pour revenir au scénario pédagogique, on peut voir que le travail de renseignement s'appuyait sur des outils accessibles :

1. Collecte d'informations : une annonce de vente publique fournissant nom, téléphone et emplacement.
2. Croisement de données : utilisation de moteurs de recherche et de réseaux sociaux pour identifier le parcours professionnel et l'âge.
3. Vérification d'identité : utilisation d'applications d'identification d'appels pour confirmer l'identité de la cible.
4. Calendrier : choix d'un moment où la victime risque d'être occupée mais disponible.
5. Création d'autorité : utilisation de terminologies professionnelles adaptées au parcours de la victime.

Signes d'avertissement : quand craindre d'être une "cible" ?

L'identification précoce des signes d'avertissement peut éviter des dommages financiers :

• Appels initiés par la banque concernant une opération que vous ne connaissez pas : il est important de se rappeler que les banques ne demandent pas de transférer de l'argent vers des "comptes de protection".
• Connaissance préalable de détails personnels : lorsque l'interlocuteur connaît des détails sur des biens, des membres de la famille ou des opérations récentes, ce n'est pas nécessairement un signe de fiabilité, mais le témoignage d'une collecte de renseignements préalable.
• Création d'urgence : l'utilisation de pression temporelle ("il faut agir maintenant") est destinée à empêcher la pensée rationnelle ou la consultation.
• Demande de confidentialité : instruction de ne pas couper la communication ou de ne parler à personne de ce qui se passe.

Mesures immédiates en cas de suspicion

1. Coupure de la communication : en cas de doute, il faut couper l'appel immédiatement.
2. Établissement d'un contact indépendant : il faut composer le numéro officiel du centre d'appel de la banque ou de la société de carte de crédit, et ne pas rappeler le numéro à partir duquel l'appel a été reçu.
3. Vérification indépendante du compte : accès au compte à partir d'un appareil sécurisé et vérification des mouvements.
4. Documentation : conservation des numéros de téléphone, des messages et des heures d'appel comme matériel de preuve potentiel.
5. Signalement aux autorités : dépôt d'une plainte auprès de la police.

Aspect juridique : résumé de la responsabilité

Dans les cas d'"ingénierie sociale", la situation juridique est complexe et évolutive. La loi sur les services de paiement établit la responsabilité du client s'il a agi avec intention frauduleuse ou par "négligence grave".

L'interprétation juridique du terme "négligence grave" est examinée à la lumière du fait que les escrocs utilisent des techniques avancées. Il existe une tendance à reconnaître que le client moyen peut se trouver en position de faiblesse face à des systèmes d'escroquerie bien rodés.

Parallèlement à cela, les banques ont des obligations de prévention des fraudes. Dans certaines circonstances, s'il peut être démontré que l'institution financière a échoué à identifier un modèle de fraude connu ou n'a pas empêché une opération extrêmement inhabituelle sans explication, une responsabilité juridique peut survenir.

En conclusion, la protection des informations personnelles et la réduction des traces numériques sont la première couche de protection. En cas de préjudice, il existe des options juridiques qui peuvent être examinées, tout en comprenant que le résultat dépend des circonstances spécifiques de chaque affaire.