Chapitre 15 : Virements bancaires en série : La fuite silencieuse

Dans les films du siècle dernier, un braquage de banque était un événement bruyant. Il y avait des cagoules, des armes dégainées, des sacs marqués d'un signe dollar et des sirènes hurlantes de voitures de police encerclant le bâtiment. Aujourd'hui, le braquage le plus sophistiqué se déroule dans un silence absolu. Il ne nécessite pas d'armes, mais seulement un smartphone, une connexion internet et une victime sous une pression psychologique intense. Le braqueur moderne ne force pas le coffre-fort physique ; il vous convainc de lui ouvrir les portes numériques et de lui remettre l'argent sur un plateau d'argent, petit à petit, jusqu'à ce que le compte soit vidé.

Ce chapitre traite de l'une des techniques les plus douloureuses et les plus efficaces du monde des fraudes numériques : les virements bancaires en série. Il s'agit d'une méthode où l'argent ne disparaît pas d'un seul coup – ce qui pourrait allumer des signaux d'alerte immédiats dans les systèmes de surveillance de la banque – mais s'écoule par une série de virements relativement « petits », effectués les uns après les autres. C'est un processus d'épuisement et de contournement des mécanismes de défense, au terme duquel le client se retrouve face à un compte vide, et la banque, bien souvent, soutient : « Mais vous avez autorisé chaque opération ».

L'anatomie du silence : comment se construit le piège de la séquence

Lorsque nous parlons de la « fuite silencieuse », nous parlons du laps de temps critique entre l'exécution de l'opération et la réalisation qu'il s'agit d'une fraude. Dans la technique des virements en série, les escrocs exploitent la confiance qu'ils ont bâtie chez la victime pour l'amener à effectuer une série d'actions répétitives. Parfois, il s'agit d'un code de vérification que le client communique, et parfois, c'est une opération de virement que le client effectue lui-même depuis son application, sous les instructions d'un « représentant de la banque ».

Pourquoi cette séquence est-elle si critique pour les escrocs ? Il y a deux raisons principales. La première concerne les contraintes techniques. La plupart des comptes bancaires ont un plafond de virement quotidien ou un plafond par opération dans l'application. Pour voler cent mille shekels d'un compte limité à vingt mille shekels par jour, l'escroc doit agir sur plusieurs jours, ou convaincre le client d'augmenter le plafond (une action suspecte aux yeux de la banque), ou simplement effectuer de nombreux virements de montants qui semblent « standards ». La deuxième raison est psychologique : une fois que la victime a effectué le premier virement et que le ciel ne lui est pas tombé sur la tête, sa barrière de peur s'abaisse. Elle est déjà « dans le processus » et a tendance à collaborer pour les virements suivants, dans le désir de mettre fin à la situation stressante dans laquelle elle se trouve.

Le scénario suivant est un exemple pédagogique basé sur des modèles de fraude courants. Les personnages et les événements sont uniquement destinés à l'illustration.

Itamar, un retraité du ministère de l'Éducation, était assis sur sa terrasse un mardi matin lorsque son téléphone a sonné. Sur l'écran apparaissait le numéro connu du centre d'appels de sa banque. À l'autre bout du fil se trouvait « Roy », un représentant du département de la sécurité. La voix de Roy était calme, professionnelle et inspirait confiance. « Itamar, nous détectons en ce moment même une tentative d'intrusion sur votre compte depuis une adresse IP à l'étranger. Quelqu'un essaie de retirer une grosse somme. Nous avons bloqué l'opération temporairement, mais pour protéger votre solde, nous devons transférer l'argent vers un 'compte de protection' temporaire de la banque, jusqu'à ce que nous vous délivrions une nouvelle carte et un nouveau code ».

Itamar a été pris de panique. Toutes ses économies se trouvaient sur ce compte. « Que dois-je faire ? » a-t-il demandé, les mains tremblantes. Roy l'a guidé pour ouvrir l'application bancaire. « Nous allons procéder par petites tranches pour ne pas alerter les systèmes des pirates qui sont sur votre ligne », a expliqué le « représentant de la banque » avec une excuse techniquement absurde, mais qui semblait logique à une personne stressée. « Effectuez un virement de 15 000 ILS vers le compte que je vous dicte maintenant. Il s'agit d'un compte de fiducie de la banque ».

Itamar a obéi. « Excellent », a dit Roy, « le premier est passé sans encombre. Maintenant, faisons-en un autre, du même montant. Nous devons nous dépêcher avant que les pirates ne réessayent ». Pendant quarante minutes, Itamar a effectué cinq virements différents. Chaque fois vers un compte différent (« Ce sont des sous-comptes du département de la sécurité », expliquait Roy). À la fin du processus, 75 000 ILS avaient quitté le compte d'Itamar. « Voilà, Itamar, l'argent est en sécurité. Demain matin, l'agence vous appellera pour coordonner l'ouverture d'un nouveau compte et la restitution des fonds ». Itamar a poussé un soupir de soulagement, a remercié Roy pour son traitement dévoué et est allé dormir. Ce n'est qu'au matin, lorsqu'il a appelé l'agence et compris qu'il n'existait aucun « compte de protection », aucun « Roy » et aucun 75 000 ILS, qu'il a compris qu'il avait été victime de la « fuite silencieuse ».

Le mécanisme du « Salami » numérique : pourquoi cela fonctionne-t-il pour eux ?

L'utilisation de virements en série est une sorte de « méthode du salami ». Au lieu de couper une tranche épaisse qui attirerait l'attention, l'escroc coupe de fines tranches. Pour les systèmes de surveillance automatique des banques (systèmes anti-fraude), un virement unique de 15 000 ILS peut ne pas être considéré comme une activité inhabituelle pour un client donné. Cependant, lorsque cinq virements de ce type sont effectués en une heure vers des personnes différentes à qui aucun argent n'avait été transféré auparavant – c'est ici qu'un signal d'alarme brillant devrait s'allumer.

Le problème est que dans de nombreux cas, les escrocs savent exactement où se situe la limite. Ils demandent au client d'effectuer les virements à un rythme qui ne déclenche pas toujours le système en temps réel, ou ils utilisent des « mules » financières (comptes de personnes innocentes ou de complices dans différentes banques du pays), ce qui rend le suivi plus difficile pour la banque émettrice. Une fois que l'argent a atterri sur le compte de la mule, il est immédiatement retiré en espèces au distributeur ou converti en cryptomonnaies, disparaissant ainsi du radar bancaire.

Un autre aspect crucial de la séquence est le sentiment illusoire de contrôle de la victime. Lorsqu'une personne effectue elle-même l'opération dans l'application, elle sent qu'elle maîtrise la situation. Elle ne donne pas son mot de passe (bien que nous ayons vu dans les chapitres précédents que cela arrive aussi), c'est elle qui valide le virement. Les escrocs utilisent un langage bancaire standard, ils parlent de « protocoles de sécurité », de « comptes de transit » et d'« authentification à deux facteurs ». Ils construisent un scénario où l'action illégale (retirer de l'argent du compte) se déguise en l'opération la plus légitime qui soit (la protection de l'argent).

L'obligation légale : où était la banque ?

Lorsqu'un tel cas est examiné au fil des ans dans le cadre d'un travail professionnel, la question centrale à examiner n'est pas seulement les actions du client, mais aussi les manquements possibles de la banque. La Loi sur les services de paiement, 2019, est notre point de départ. La loi définit des dispositions concernant « l'utilisation abusive » de moyens de paiement, mais le cas des virements bancaires initiés par le client sous l'effet d'une fraude est plus complexe qu'un simple manque de prudence.

Dans la relation entre une banque et un client, il existe un « devoir de diligence » accru. La banque n'est pas seulement un « conduit » pour transférer des fonds ; elle est un gardien. On peut analyser selon les principes juridiques admis que la banque a le devoir de surveiller les activités inhabituelles et de les arrêter, même si le client lui-même a demandé à les effectuer. Lorsque nous venons examiner la responsabilité d'une banque dans le cas de virements en série, nous poserons plusieurs questions clés :

• Test d'anomalie : La séquence des virements était-elle inhabituelle par rapport aux habitudes d'activité du client ? Si une personne qui n'a jamais transféré plus de 2 000 ILS par mois transfère soudainement 75 000 ILS en cinq temps en une heure, c'est un signal d'alarme que le système devrait détecter.
• Test de prévention : La banque a-t-elle contacté le client en temps réel ? A-t-elle tenté d'arrêter les virements suivants de la séquence ? Dans de nombreux cas, le système automatique ne bloque qu'à un stade tardif, et il faut examiner la préparation précoce des systèmes.
• Alertes en temps réel : Le client a-t-il reçu des alertes claires sur son mobile mettant en garde contre une fraude possible lors de l'exécution des opérations ?

Les banques ont l'habitude de se défendre en invoquant la négligence du client. Cependant, l'analyse professionnelle montre que ces fraudes ne découlent pas nécessairement d'un manque de prudence, mais d'une ingénierie sociale (Social Engineering) extrêmement sophistiquée. La responsabilité de l'institution financière, qui détient les systèmes technologiques les plus avancés, est de servir de ligne de défense significative dans ces situations.

La zone de démarcation entre négligence et tromperie

La question de la « négligence grave » est le champ de bataille juridique central. Selon la Loi sur les services de paiement, si le client a agi avec une négligence grave, la responsabilité de la banque peut être réduite. Mais la question de savoir ce qu'est une négligence grave dans les circonstances d'une fraude numérique reste ouverte à l'interprétation. Accorder sa confiance à une personne qui semble être un représentant de la banque, qui appelle depuis un numéro de téléphone qui semble être celui de la banque, est-ce considéré comme une négligence grave ? Parfois, il s'agit d'une réaction humaine raisonnable dans une situation de pression extrême.

Il est important de comprendre : transférer l'argent en série est une tactique conçue pour réduire la vigilance de la banque. Si le client avait demandé à transférer une somme colossale d'un coup vers un inconnu, il est probable qu'une approbation humaine aurait été requise. En décomposant la somme, les escrocs tentent de contourner le système. Dans de nombreux cas où la conduite des banques a été examinée au fil des ans, des situations sont apparues où les systèmes ont permis une séquence d'opérations sans intervention suffisante, ce qui peut indiquer une défaillance des systèmes de protection.

Au cours des années de travail professionnel et d'examen de cas similaires, des situations ont été observées où la banque n'a envoyé qu'un simple SMS laconique. L'absence d'avertissements spécifiques et saillants en temps réel peut être significative lors de l'examen de la responsabilité légale. La banque peut et doit présenter des avertissements clairs empêchant le client d'effectuer des opérations sous les instructions de parties tierces.

Analyse de cas : le point de crise et la révélation

Revenons à Itamar de notre scénario pédagogique. Son point de crise n'était pas seulement au moment où il a découvert que l'argent avait disparu, mais au moment où la banque a refusé d'assumer la responsabilité, arguant que les opérations avaient été effectuées par lui. Itamar s'est senti trahi par l'institution où il avait déposé son argent pendant tant d'années.

Dans le cadre de l'analyse du scénario, on peut voir que parfois, une partie des virements est effectuée vers des comptes déjà marqués dans le système bancaire comme suspects. S'il y avait eu une meilleure synchronisation ou un examen plus approfondi de la destination du virement, il aurait peut-être été possible d'arrêter la séquence. C'est la « défaillance de prévention » qui constitue un point clé dans l'examen de la responsabilité.

En fin de compte, dans de tels cas, l'objectif est de vérifier si la banque a manqué à ses obligations professionnelles. Il n'y a pas ici de garantie automatique de restitution des fonds, car chaque cas est examiné selon ses circonstances spécifiques : le contenu de la conversation, les signes d'avertissement et la rapidité du signalement. Mais l'expérience professionnelle montre que lorsqu'il s'agit d'une séquence d'opérations inhabituelle de manière extrême, il existe des outils juridiques pour examiner la responsabilité de la banque en tant que gardien.

Signes d'avertissement : comment reconnaître que vous êtes à l'intérieur de la « fuite silencieuse » ?

• Demande de transfert de fonds « pour les protéger » : C'est le signe le plus clair. Une banque ne vous demandera jamais de transférer de l'argent vers un autre compte pour le protéger. Des notions comme « compte de protection » n'existent pas dans la pratique bancaire.
• Pression pour effectuer des opérations en série : Si une partie quelconque vous pousse à effectuer encore et encore des virements rapidement, elle essaie de vous empêcher d'avoir le temps de réfléchir et d'empêcher les systèmes de la banque de réagir.
• Utilisation de termes techniques complexes : Le but de l'utilisation de termes comme « protocoles de cryptage » est de vous faire ressentir un manque de confiance et d'obéir aux instructions.
• Numéro de téléphone « correct » : Ne vous fiez pas à l'identification de l'appelant. L'usurpation de numéro (Spoofing) est une technique courante. Si une demande d'opération financière survient – raccrochez et contactez de votre propre initiative le numéro officiel de la banque.

Que faire immédiatement si vous avez été victime de virements en série ?

1. Arrêt immédiat : Dès qu'un doute surgit – arrêtez tout et raccrochez.
2. Signalement à la banque en temps réel : Contactez immédiatement le centre d'urgence de la banque et demandez d'arrêter tout virement non encore finalisé.
3. Documentation : Gardez tous les détails : numéros de téléphone, noms présentés, heures et numéros de comptes vers lesquels l'argent a été transféré.
4. Dépôt d'une plainte à la police : Une étape essentielle pour étayer les arguments à l'avenir.
5. Recours à un conseil juridique : Il est possible d'examiner les circonstances du cas en profondeur pour vérifier s'il existe un motif pour demander une restitution à la banque.

Aspect juridique : l'obligation de surveillance de l'entité bancaire

Les banques sont soumises à des directives claires de la Banque d'Israël concernant la gestion des risques et la cybersécurité. Elles sont tenues d'exploiter des systèmes de surveillance avancés censés détecter les anomalies dans le comportement du client. Lorsqu'une exigence légale est déposée contre une banque dans de tels cas, l'argument est souvent avancé que les systèmes technologiques de la banque n'ont pas fourni la protection requise ou que leurs définitions étaient défaillantes.

De plus, nous examinerons le principe juridique du « préventeur de dommage le moins coûteux ». La question est de savoir qui avait la meilleure capacité de prévenir le dommage avec un minimum de coût et d'effort. Dans de nombreux cas, l'analyse juridique peut indiquer que la banque, en tant qu'organisme professionnel doté d'outils technologiques, est celle qui possède la capacité centrale de prévenir de telles fraudes.

En conclusion, les virements bancaires en série sont le résultat d'une exploitation psychologique sophistiquée. Votre conscience est la première ligne de défense, mais en cas d'échec, il existe des possibilités juridiques pour examiner la responsabilité des institutions financières dans la garde des fonds des clients.