Chapitre 13 : Le code à usage unique : la clé de votre compte

Si je vous demandais dans la rue la clé de votre maison, vous appelleriez probablement la police ou, à tout le moins, vous vous éloigneriez rapidement. Si je vous demandais votre code secret de carte de crédit près d'un distributeur automatique, vous me prendriez pour un fou. Nous sommes éduqués dès le plus jeune âge à protéger nos biens physiques, nos clés, nos portefeuilles. Mais dans le monde numérique, le concept de "clé" a changé de visage. Elle n'est plus faite de métal et elle ne se trouve pas dans votre poche. Elle se compose de six chiffres envoyés par SMS, et on l'appelle OTP — One Time Password (mot de passe à usage unique).

Dans ce chapitre, nous aborderons le point de défaillance le plus critique de la chaîne de sécurité moderne. Le code à usage unique est la dernière ligne de défense. C'est le portail qui sépare l'escroc de votre argent, la prise de contrôle de votre compte bancaire de sa protection. Mais paradoxalement, précisément parce qu'il est le "gardien" ultime, il est devenu la cible principale des organisations de cybercriminalité. Au fil des années de pratique professionnelle, une phrase revient sans cesse : "Mais je lui ai donné le code. Je suis coupable, n'est-ce pas ? Je n'ai aucune chance de récupérer mon argent".

La réponse à cette question est beaucoup plus complexe qu'il n'y paraît en surface. Elle réside dans les méandres de la psychologie de l'escroquerie et dans la lettre de la loi israélienne, qui tente d'équilibrer la responsabilité du client et le devoir de diligence de l'établissement financier. Plongeons dans le vif du sujet.

Le scénario suivant est un exemple pédagogique basé sur des modèles de fraude courants. Les personnages et les événements ne sont destinés qu'à l'illustration.

L'histoire d'Erez : quand la confiance en soi rencontre l'escroc expérimenté

Erez (nom d'emprunt) n'est pas le genre de personne que vous imagineriez se faire piéger. 42 ans, ingénieur logiciel de profession, un homme qui vit et respire la technologie. Il est conscient du phishing, il sait ce qu'est le "chiffrement de bout en bout", et il a toujours été celui qui avertissait ses parents âgés de ne pas cliquer sur des liens suspects. Un mardi, à 18h30, alors qu'Erez tentait de jongler entre la préparation du dîner pour les enfants et la réponse à des e-mails urgents, son téléphone a sonné.

Sur l'écran apparaissait le nom : "Banque Leumi - Service de sécurité". Le numéro était identique à celui figurant au dos de sa carte de crédit (une technique sur laquelle nous nous sommes étendus dans le chapitre précédent traitant de l'usurpation du numéro de l'appelant). Erez a répondu.

"Bonjour, ici Daniel du service de sécurité de la banque", a déclaré une voix autoritaire et calme, avec en arrière-plan des bruits de centre d'appels actif — sonneries de téléphone, murmures d'agents. "Erez, nous détectons actuellement une tentative de retrait inhabituelle sur votre compte depuis l'agence de Beer-Sheva. Avez-vous autorisé un virement de 8 500 NIS à quelqu'un nommé 'Mohamed Ahmed' ?"

Le rythme cardiaque d'Erez s'est accéléré. "Quoi ? Absolument pas ! Je suis chez moi à Haïfa, je n'ai rien autorisé de tel."

"Je comprends", a répondu Daniel d'un ton rassurant. "Ne vous inquiétez pas, notre système a bloqué l'opération temporairement, mais pour l'annuler définitivement et protéger le compte contre d'autres tentatives, je dois effectuer une vérification avec votre application. Je vous envoie maintenant un message de la banque avec un code temporaire. Lisez-le-moi afin que je puisse le saisir dans le système et verrouiller l'accès non autorisé."

En quelques secondes, le téléphone d'Erez a vibré. Un SMS est arrivé dans le fil de discussion habituel de la banque. Le texte disait : "Votre code d'accès au compte est 449281. Ne divulguez ce code à personne". Erez a vu l'avertissement, mais Daniel était en ligne. Daniel était "de la banque". Daniel était là pour le sauver du voleur de Beer-Sheva.

"Je l'ai reçu", a dit Erez. "Le code est 44-92-81."

"Excellent, Erez. Je vois que l'opération a été annulée. Maintenant, pour être sûr à 100 %, le système nécessite une confirmation supplémentaire pour resynchroniser votre appareil. Je vous envoie un autre code."

Le deuxième code est arrivé. Cette fois, Erez n'a même pas lu l'avertissement. Il a simplement lu les chiffres. "992103".

"Merci beaucoup, Erez. Votre compte est désormais protégé. Un représentant de l'agence vous appellera demain matin pour émettre une nouvelle carte. Bonne soirée." L'appel a été coupé.

Erez est retourné préparer des omelettes. Il ressentait un soulagement. Quelle chance que la banque soit vigilante, a-t-il pensé. Ce n'est qu'une heure plus tard, lorsqu'il s'est connecté à l'application pour vérifier si son solde était mis à jour, qu'il a découvert l'amère vérité. Le compte n'était pas protégé. Au contraire. Il avait été vidé. Deux virements "or" (RTGS) de 50 000 NIS chacun avaient été effectués depuis son compte quelques minutes après l'appel. De plus, un nouvel ordre permanent a été ajouté et des achats à l'étranger ont été réalisés.

Ce qu'Erez ignorait, c'est que pendant qu'il parlait à "Daniel", l'escroc était assis devant son ordinateur. Le premier code qu'Erez a donné était celui qui autorisait l'escroc à accéder à son compte depuis un nouvel appareil. Le deuxième code était l'approbation du transfert massif de fonds. "Daniel" n'était pas de la banque ; c'était le voleur en personne.

L'anatomie de la fraude : que se passe-t-il réellement en coulisses ?

Pour comprendre pourquoi le code à usage unique est un outil si puissant pour les escrocs, nous devons comprendre le système bancaire moderne. Les banques sont passées à une méthode d'"authentification à deux facteurs" (2FA). L'idée est simple : pour effectuer une opération sensible, il ne suffit pas de savoir quelque chose (un mot de passe), il faut aussi posséder quelque chose (votre téléphone portable).

Les escrocs ont compris qu'ils n'avaient pas besoin de pirater les serveurs de la banque — une tâche presque impossible. Ils doivent pirater le "serveur" le plus faible du système : le cerveau humain. C'est de l'ingénierie sociale dans toute sa splendeur. Le code à usage unique est la dernière barrière, et ils l'obtiennent en créant un sentiment d'urgence et d'anxiété.

Lorsque Erez a lu le code, il a en fait effectué un acte juridique et technique d'"approbation". Du point de vue des systèmes informatiques de la banque, l'opération a été effectuée par le client lui-même, car le code a été envoyé sur son appareil vérifié et saisi correctement. C'est la raison pour laquelle les banques s'empressent de décliner toute responsabilité dans de tels cas. Elles soutiennent qu'il s'agit d'une négligence du client.

Mais est-ce si simple ? Le fait qu'Erez ait transmis le code scelle-t-il son sort concernant ses chances de récupérer son argent ? C'est ici qu'entre en jeu la complexité de l'analyse juridique.

Le champ de bataille juridique : la Loi sur les services de paiement et la limite étroite de la "négligence grave"

En Israël, le cadre juridique principal régissant les relations entre le client et la banque en cas de fraude est la Loi sur les services de paiement, 5779-2019. Cette loi a remplacé l'ancienne loi sur les cartes de paiement et a étendu les protections du consommateur à l'ère numérique.

L'article 14 de la loi traite de "l'opération de paiement non autorisée". La règle de base est que si une opération a été effectuée sur le compte sans l'autorisation du client, la banque (ou la société de carte de crédit) peut être tenue de lui rembourser son argent. Cependant, il existe une exception importante : si le client a agi avec une "négligence grave", la banque peut être exonérée de restitution, ou du moins d'une partie de celle-ci.

C'est ici que commence l'examen juridique. Les représentants des établissements financiers peuvent soutenir que la transmission d'un code OTP constitue une "négligence grave" par définition, en raison de l'avertissement figurant dans le message.

Cependant, une analyse juridique des tendances courantes indique que la "négligence grave" est un concept relatif. Il est d'usage d'examiner l'ensemble des circonstances :

• La sophistication de l'escroquerie : L'escroc a-t-il utilisé des informations personnelles préalables dont il disposait sur le client pour gagner sa confiance ?
• L'usurpation du numéro de téléphone : Lorsque l'appel ressemble à un appel provenant d'une source officielle, le client peut se trouver dans une situation de tromperie optique rendant difficile l'identification de la fraude.
• La situation du client : Les circonstances au moment de l'appel ont-elles affecté le jugement du client ?
• Le devoir de surveillance de la banque : C'est un point clé. L'établissement bancaire est tenu de mettre en place des systèmes de surveillance des activités inhabituelles. Un examen juridique vérifiera si les systèmes d'alerte ont fonctionné correctement et s'il était possible d'arrêter l'opération à temps.

Dans de nombreux cas, il est possible d'examiner l'argument selon lequel même si le client a été négligent, il existe une certaine responsabilité de l'établissement financier s'il n'a pas identifié une activité extrêmement inhabituelle. La responsabilité juridique peut être partagée entre les parties en fonction des circonstances de l'affaire.

Au-delà du code : comment construire un mur de défense psychologique et juridique

Le code à usage unique n'est que le symptôme. Le problème est la capacité des escrocs à construire une "réalité alternative" où la transmission du code semble être la seule action logique. En règle générale, il est important de se rappeler qu'un établissement bancaire ne doit pas demander un code envoyé par SMS pour annuler une opération ou sécuriser un compte de manière proactive lors d'une conversation téléphonique.

Un code OTP est destiné à effectuer des opérations. La transmission du code à un tiers peut lui permettre d'effectuer des opérations en votre nom.

Que faire lorsque la pression lors d'un appel est énorme ? La réponse professionnelle recommandée est de rompre le contact. Vous pouvez raccorder l'appel et contacter de manière proactive le numéro officiel de l'établissement financier pour vérifier l'état du compte.

D'un point de vue juridique, la documentation est cruciale. En cas de suspicion de fraude, il est recommandé de documenter l'heure de l'appel, le numéro de téléphone, le texte du SMS et tout autre détail. Ces éléments peuvent servir d'outils lors d'un examen juridique de l'affaire et dans la tentative de récupérer les fonds.

Le gardien du seuil qui est devenu un cheval de Troie

La technologie destinée à nous protéger peut parfois servir d'arme entre les mains d'escrocs effectuant une "intrusion douce" par l'intermédiaire de l'utilisateur. Il existe des techniques plus complexes de prise de contrôle des moyens de communication, sur lesquelles nous nous étendrons plus tard.

Il est important de se rappeler : la lutte juridique dans de tels cas nécessite une compréhension approfondie. Les établissements financiers sont soutenus par d'importants conseils juridiques et auront tendance à plaider la responsabilité du client. Un examen professionnel tentera de démontrer la complexité de la mise en scène présentée à la victime et le niveau de sophistication de l'entité hostile.

L'analyse juridique moderne reconnaît que les phénomènes de fraude téléphonique sont courants, et il faut examiner s'il est raisonnable d'attendre d'un citoyen qu'il identifie toute tentative de fraude sophistiquée à tout moment. Parfois, la responsabilité institutionnelle est examinée aux côtés de la responsabilité personnelle.

Signes d'alerte (Red Flags)

• Urgence excessive : Création d'une pression pour une action immédiate sous prétexte que l'argent est en danger.
• Demande de code pour annuler une opération : Demande d'obtention d'un code OTP pour annuler une transaction ou sécuriser un compte.
• Appel proactif à des heures inhabituelles : Tentatives de confirmation d'opérations par téléphone à des moments où les centres habituels ne fonctionnent pas pleinement.
• Incapacité de l'agent à fournir des détails d'identification : Difficulté de l'appelant à fournir des informations que seule la banque est censée connaître.
• Langue et syntaxe : Fautes d'orthographe ou formulation inhabituelle dans les SMS provenant de l'établissement financier.

Que faire immédiatement (Plan d'action)

1. Raccrocher et vérifier : Interrompre l'appel et contacter de manière proactive le centre officiel de la banque.
2. Documentation : Capture d'écran des messages, enregistrement des numéros de téléphone et des noms tels qu'ils ont été présentés.
3. Blocage : Si un code a été transmis, il est recommandé d'agir pour changer les mots de passe ou geler les cartes immédiatement.
4. Signalement à la banque : Signalement au service de sécurité de l'établissement financier et documentation du numéro de dossier.
5. Dépôt de plainte à la police : Une étape nécessaire pour l'établissement des faits et la demande de restitution possible.
6. Conseil juridique : Il est possible d'examiner les possibilités de récupération des fonds par le biais d'une consultation avec un professionnel du domaine, afin de vérifier si le devoir de diligence requis de la part de la banque a été respecté.

Aspect juridique : résumé de la responsabilité

Lorsqu'il s'agit d'examiner un cas de fraude au code à usage unique, l'analyse juridique se concentrera sur l'examen de la responsabilité de chaque partie. Selon la Loi sur les services de paiement, la charge de la preuve de la négligence grave incombe à l'établissement financier. Il s'agit d'une charge juridique significative.

Au cours des années de travail professionnel, il est d'usage d'analyser chaque cas selon ses mérites : les avertissements étaient-ils clairs ? Les systèmes technologiques ont-ils identifié l'activité comme inhabituelle ? Existe-t-il des indicateurs de défaillances dans le dispositif de protection de l'établissement financier ?

N'oubliez pas : la transmission d'un code est certes une erreur, mais dans certaines circonstances, il est possible d'examiner si elle équivaut à une "négligence grave" privant de vos droits. Le système financier est fondé sur la confiance, et dans des circonstances possibles, après examen des preuves, les parties peuvent parvenir à des ententes ou à des arrangements concernant le remboursement des fonds. La chance dépend des circonstances spécifiques de chaque cas.

Dans le prochain chapitre, nous aborderons l'un des outils les plus complexes de l'arsenal du cyber-escroc : la prise de contrôle à distance des terminaux.