Chapitre 12 : Usurpation du numéro de l'appelant : le numéro qui semble authentique

Nous vivons à une époque où nos yeux sont la porte d'entrée principale de la confiance. Lorsque nous voyons le logo de la banque sur l'application, nous lui faisons confiance. Lorsque nous recevons un SMS qui s'inscrit dans le fil de discussion officiel de la société de carte de crédit, nous supposons qu'il est authentique. Mais le piège le plus sophistiqué, celui qui attrape même les plus méfiants d'entre nous, se trouve sur l'écran de notre téléphone au moment où l'appareil commence à vibrer. Un numéro familier apparaît à l'écran. Parfois, il s'agit du numéro exact de notre agence bancaire, et parfois du centre d'appel national du service client. Le nom « Banque Leumi », « Banque Hapoalim » ou « Mizrahi Tefahot » clignote en lettres capitales.

À ce stade, notre cerveau opte pour un raccourci cognitif dangereux. Il nous dit : « Si le numéro est correct, alors la personne à l'autre bout est bien celle qu'elle prétend être ». C'est l'essence même de la technologie de « spoofing » (usurpation du numéro de l'appelant), et c'est l'outil le plus puissant dans l'arsenal de l'escroc moderne. Dans ce chapitre, nous analyserons comment cette technologie coupe l'herbe sous le pied des consommateurs, et comment le système juridique et bancaire fait face à une réalité où la vérité numérique n'est qu'un mensonge total.

Le scénario suivant est un exemple pédagogique basé sur des modèles de fraude courants. Les personnages et les événements sont destinés à des fins d'illustration uniquement.

Miriam (nom fictif), enseignante retraitée de Haïfa, ne s'est jamais considérée comme une « proie facile ». Elle utilise des applications, effectue des achats en ligne sur des sites sécurisés, et même ses petits-enfants la consultent parfois sur des questions technologiques de base. Ce mardi-là, à seize heures, Miriam était assise sur son balcon avec une tasse de thé quand son téléphone portable a sonné. Le numéro affiché sur l'écran était celui identifié comme le centre de sécurité de la banque.

« Bonjour, ici Miriam », a-t-elle répondu poliment.

« Bonjour Miriam, ici Daniel du département de la sécurité et des fraudes de la banque », a répondu une voix masculine, autoritaire, incroyablement calme. « Je suis désolé de vous déranger, mais notre système a détecté une tentative de retrait inhabituelle sur votre compte depuis l'agence de Haïfa. Avez-vous effectué un virement de 12 000 ILS au cours des dernières minutes ? »

Le cœur de Miriam a raté un battement. « Quoi ? Absolument pas ! Je suis à la maison, je n'ai pas touché à mon compte. »

« Je le craignais », a répondu Daniel avec un soupir professionnel. « Il semble qu'il y ait actuellement une intrusion active sur votre compte via une application installée sur un autre appareil. Ne vous inquiétez pas, Miriam, je suis avec vous. Nous allons bloquer l'accès et transférer l'argent vers un compte de protection temporaire jusqu'à ce que nous vous délivrions de nouveaux codes. Vous voyez le numéro à partir duquel je vous appelle, n'est-ce pas ? Vous l'identifiez comme le centre de service de la banque ? »

Miriam a de nouveau jeté un œil à l'écran. Le numéro semblait tout à fait correct. « Oui, je le vois. C'est votre numéro. »

À cet instant, les dernières défenses de Miriam se sont effondrées. Elle ne savait pas que Daniel n'était pas assis dans un bureau climatisé, mais qu'il utilisait une technologie lui permettant de saisir n'importe quel numéro de son choix comme « identifiant appelant ». Pour Miriam, le numéro à l'écran était une preuve suffisante. Pendant la demi-heure suivante, Daniel l'a guidée pour « sécuriser » son argent. Il lui a demandé de lui dicter les codes qu'elle recevait par SMS – des codes qui étaient en réalité les clés permettant de valider des virements bancaires en temps réel. Miriam, convaincue qu'elle sauvait ses économies, a dicté les chiffres les uns après les autres.

Lorsque la conversation s'est terminée, Daniel lui a promis que « tout était sous contrôle » et qu'un représentant la rappellerait le lendemain matin. Miriam a poussé un soupir de soulagement. Ce n'est qu'une heure plus tard, lorsqu'elle a essayé de se connecter à son compte pour vérifier que tout allait bien et qu'elle a découvert qu'elle était bloquée, qu'elle a commencé à comprendre que quelque chose n'allait pas. Elle a composé le numéro qui s'affichait sur l'écran – le vrai numéro de la banque – et là, la véritable conseillère lui a annoncé la triste nouvelle : « Madame Miriam, nous ne vous avons pas appelée aujourd'hui. Votre compte a été vidé. »

L'anatomie de l'illusion : comment fonctionne le spoofing ?

Pour comprendre la complexité du sujet, nous devons d'abord appréhender la technologie. Par le passé, les réseaux téléphoniques étaient fermés et sécurisés. Lorsqu'un numéro de téléphone passait d'un central à un autre, il était sous le contrôle des grands opérateurs de télécommunications. Aujourd'hui, avec la transition vers la technologie VoIP (Voice over IP) – les appels transmis via Internet – les règles ont changé. Le protocole de communication permet à l'émetteur de l'appel de définir manuellement l'identifiant (ID) de l'appelant. Il s'agit d'un champ de données facilement modifiable.

Le problème majeur est que nos smartphones sont programmés pour faire confiance à ce champ de données. Si la donnée provenant du réseau est un numéro de téléphone figurant dans notre liste de contacts, ou un numéro associé dans la base de données à une entreprise connue, le téléphone affichera le nom explicite de l'entreprise. L'escroc n'a pas besoin de pirater le central de la banque ; il transmet simplement une donnée fallacieuse au réseau.

Sur le plan juridique, c'est là que commence le grand drame. Les banques peuvent arguer qu'elles ne sont pas responsables du fait qu'une tierce partie ait usurpé leur numéro, car il s'agit d'une faille dans la technologie de téléphonie. En revanche, le client se retrouve impuissant face aux informations affichées sur son appareil. La question de la responsabilité en cas d'usurpation de numéro est l'une des problématiques professionnelles les plus complexes en droit bancaire actuel.

La lutte juridique : la responsabilité entre le client et la banque

Lorsqu'un tel cas est examiné sur le plan juridique, la première question qui se pose est de savoir s'il s'agit d'une « opération de paiement non autorisée » au sens de la Loi sur les services de paiement, 2019. Selon la loi, si une opération sur le compte a été effectuée sans l'autorisation du client, il est possible d'examiner l'obligation de la banque de lui restituer l'argent, à moins qu'une « négligence grave » ne soit prouvée.

Les établissements financiers peuvent faire valoir que la divulgation d'un code à usage unique (OTP) à un inconnu constitue une négligence grave. Cependant, le cas de l'usurpation de numéro (spoofing) modifie l'équation de la négligence. Peut-on définir comme « négligence grave » le fait qu'une personne ait fait confiance au numéro de téléphone officiel de sa propre banque ? Dans une analyse juridique professionnelle, il existe une compréhension selon laquelle une tromperie technologique sophistiquée peut réduire le niveau de culpabilité du client.

Lorsque nous examinons la responsabilité de la banque, nous devons vérifier plusieurs paramètres :

• Devoir de vigilance et de surveillance : Le système a-t-il détecté un modèle d'activité inhabituel ? Si un client qui n'a pas l'habitude d'effectuer des virements importants réalise soudainement une série de virements vers de nouveaux comptes, on peut examiner si le système bancaire aurait dû arrêter l'activité.
• Conscience du danger : La banque était-elle consciente que des fraudes par spoofing étaient en cours en utilisant son numéro de téléphone et n'a-t-elle pas pris de mesures de précaution ou d'avertissement suffisantes ?
• Présentation des informations par SMS : La Loi sur les services de paiement établit des exigences de clarté pour les messages de confirmation. Si le message est ambigu et n'indique pas clairement qu'il s'agit de la confirmation d'un transfert d'argent, on peut soutenir que le client a été induit en erreur en pensant qu'il s'agissait d'une opération de sécurité.

Fissures dans le mur de protection bancaire

Au fil des ans, au cours du travail professionnel de l'avocat Zion Behaloul, des cas ont été observés où il existe un écart entre la capacité technologique de l'institution financière et la protection réelle du « facteur humain ». Les escrocs investissent dans l'« ingénierie sociale » (Social Engineering) de haut niveau, en exploitant la réputation de l'institution.

Sur le plan juridique, on peut examiner l'argument selon lequel les banques ont une obligation accrue de protéger leurs clients contre l'usurpation de leurs numéros officiels, par exemple en utilisant des technologies avancées d'authentification des appels. L'obligation de loyauté de la banque envers le client est un principe fondamental, et l'on peut analyser si une banque qui permet à une tierce partie d'utiliser son identité numérique porte la responsabilité des dommages causés.

Le point de rupture : l'aspect personnel des victimes

De nombreuses victimes décrivent que la partie la plus douloureuse n'est pas seulement la perte d'argent, mais le sentiment de perte de confiance. Lorsqu'une personne voit le numéro de la banque sur l'écran, elle suppose que l'institution dépositaire de son argent la contacte pour sa protection. Cette perte de confiance est un préjudice important qui accompagne les victimes pendant longtemps.

En examinant des cas similaires, il s'avère parfois que les escrocs détiennent d'autres informations personnelles sur la victime, ce qui renforce la crédibilité de la mise en scène fallacieuse. Lorsque l'on combine le spoofing avec des informations personnelles réelles, on crée un piège extrêmement complexe difficile à identifier sans une sensibilisation préalable.

Analyse juridique : existe-t-il un motif d'action en justice ?

Lorsque l'on examine la possibilité d'engager des poursuites judiciaires dans un cas d'usurpation de numéro d'appelant, il faut examiner la situation factuelle complète. Les chances juridiques dépendent des circonstances, mais voici les jalons pour analyser le cas :

1. Le test de la « personne raisonnable » dans les circonstances de l'espèce : Une personne raisonnable aurait-elle dû se méfier d'un appel provenant du numéro officiel de sa banque ? Dans de nombreux cas de tromperie profonde, les mécanismes de contrôle habituels peuvent ne pas fonctionner.

2. Violation du devoir d'information et d'avertissement : L'institution financière a-t-elle pris des mesures actives et claires pour mettre en garde contre cette méthode spécifique de spoofing ?

3. Défaillance des systèmes de surveillance (Anti-Fraud) : Examen visant à déterminer si les systèmes ont permis une activité inhabituelle sans authentification supplémentaire, ce qui pourrait constituer un motif d'accusation de négligence.

4. Loi sur les services de paiement - partage de responsabilité : La loi définit le partage de responsabilité entre le client et la banque. La jurisprudence peut interpréter la communication d'un code dans des circonstances d'usurpation sophistiquée comme une négligence qui n'est pas « grave », ce qui pourrait faire peser une part importante de la responsabilité sur la banque.

Signaux d'alerte : comment identifier le spoofing ?

Bien que le numéro semble authentique, des modèles ont été identifiés au fil des ans qui peuvent témoigner d'une fraude :

• L'urgence et la pression : Création d'un sentiment d'urgence qui pousse à agir rapidement sans réfléchir.
• La demande du code secret : Les institutions financières n'ont pas l'habitude de demander au client de dicter un code reçu par SMS. Le code est destiné à une saisie personnelle uniquement.
• Le transfert vers un « compte sécurisé » : La suggestion de transférer des fonds vers un autre compte pour les « protéger » est un signal d'alerte évident.
• L'utilisation de terminologies inhabituelles : Utilisation d'un langage ou d'expressions qui ne sont pas acceptés dans le monde bancaire.

Que faire immédiatement si l'on craint d'être une victime ?

Le temps est un facteur critique. Vous pouvez envisager les actions rapides suivantes :

1. Raccrocher et vérifier : En cas de doute, raccrochez et initiez vous-même un contact avec la banque par des canaux officiels et connus uniquement.
2. Signalement immédiat : Contacter les centres de lutte contre la fraude de la banque et de la société de carte de crédit pour examiner la possibilité de geler les opérations.
3. Documentation : Conserver le journal des appels, les messages SMS et toute autre information pertinente.
4. Signalement aux autorités : Déposer une plainte à la police dans le cadre de la documentation de l'événement.
5. Examen des possibilités juridiques : Il est recommandé d'examiner les circonstances du cas au regard des dispositions de la loi et de la jurisprudence actuelle.

Aspect juridique : résumé de la responsabilité de la banque

Le système juridique examine chaque cas selon ses mérites, avec une tendance à protéger le consommateur en tant que partie faible dans la transaction. Dans les cas de spoofing, on peut analyser si l'institution financière a fourni des outils suffisants pour se protéger contre l'usurpation de sa propre identité.

Au cours des années de travail professionnel de l'avocat Zion Behaloul, des cas ont été observés où un examen minutieux des systèmes de surveillance et du profil d'activité du client a conduit à la conclusion que le dommage aurait pu être évité. Dans un scénario possible, après examen des preuves et conduite d'une procédure judiciaire, les parties peuvent parvenir à un accord transactionnel remboursant une partie des fonds, selon les circonstances du cas.

N'oubliez pas : le numéro à l'écran est une donnée numérique susceptible d'être manipulée. À l'ère actuelle, il est recommandé de ne faire confiance qu'aux appels que vous avez initiés via des canaux sécurisés. La sensibilisation aux modes opératoires est l'outil principal pour éviter de tomber dans ces pièges.