Chapitre 21 : Courriel frauduleux : le lien qui cache un piège

Notre boîte de réception n'est plus depuis longtemps qu'un simple espace de « courrier ». C'est l'archive de nos vies, le coffre-fort de nos secrets professionnels et la porte par laquelle nous communiquons avec la banque, les autorités fiscales, la caisse d'assurance maladie et l'employeur. Si le SMS que nous avons examiné dans le chapitre précédent est un coup fort et soudain à la porte, alors l'e-mail de phishing (hameçonnage) est un magnifique cheval de Troie, celui qui semble avoir été commandé par nous, conçu avec soin, utilisant un langage qui nous est familier et nous interpellant par notre nom. Il ne demande pas seulement à entrer ; il nous persuade de l'inviter à l'intérieur et de lui remettre les clés.

Alors que la question du SMS repose le plus souvent sur une urgence brève et brutale, un e-mail frauduleux sait exploiter son large « espace » visuel. Il présente des logos officiels, des signatures de responsables, des liens qui semblent légitimes et des documents joints qui suscitent la curiosité ou l'anxiété. Dans ce chapitre, nous analyserons le mécanisme psychologique et technologique du lien empoisonné, nous comprendrons l'architecture des sites d'hameçonnage, et nous examinerons l'analyse juridique complexe autour de la question : qui porte la responsabilité lorsque c'est le client qui a appuyé sur la gâchette numérique ?

Le scénario suivant est un exemple pédagogique basé sur des schémas de fraude courants. Les personnages et les événements sont destinés à l'illustration uniquement.

Ingénierie sociale dans la boîte de réception : l'histoire d'Erez

Il était 21h30 un mardi. Erez, un architecte indépendant, était assis dans son bureau. Sur l'écran, les plans d'un nouveau projet résidentiel étaient ouverts, mais ses yeux étaient déjà fatigués. Le son familier de l'alerte d'un nouvel e-mail a fait apparaître une petite notification dans le coin de l'écran. Le titre était : « Microsoft Security Team – Suspicious activity detected on your account ».

Erez, dont tout le monde professionnel est sauvegardé dans le cloud – des contrats avec les entrepreneurs aux plans d'ingénierie sensibles – a senti son pouls s'accélérer. Il a ouvert le message. L'e-mail semblait extrêmement professionnel. Le logo familier, les couleurs identifiables à la marque et la formulation formelle : « Cher Erez, une connexion a été détectée sur votre compte depuis un appareil inconnu. Pour des raisons de sécurité, votre compte a été temporairement restreint. Vous devez vérifier votre identité dans un court laps de temps pour éviter le blocage et la suppression des données ».

Au bas de l'e-mail figurait un bouton visible : « Review Recent Activity ».

Erez n'a pas réfléchi à deux fois. La pression liée à la possibilité que tous ses fichiers soient supprimés a pris le dessus sur tout sens critique. Il a cliqué sur le bouton. Le navigateur s'est ouvert et l'a conduit vers un site qui ressemblait exactement à la page de connexion habituelle. L'adresse dans la barre d'adresse était très similaire à l'originale, ce qui semblait assez légitime pour des yeux fatigués d'une fin de soirée.

Erez a saisi son adresse e-mail et son mot de passe. Un instant plus tard, le site lui a demandé un code de vérification envoyé sur son téléphone. « Super », a-t-il pensé, « la sécurité fonctionne ». Le code est arrivé par SMS, Erez l'a saisi sur le site et a reçu le message : « Le compte a été vérifié avec succès, merci ». Il a soupiré de soulagement et est retourné à son travail.

En pratique, dans ce scénario, un attaquant a utilisé une technologie copiant en temps réel les détails saisis et les transférant vers le serveur réel. Lorsque le code de vérification à deux facteurs (MFA) a été saisi, l'attaquant a pu l'utiliser pour accéder au compte réel, remplacer les détails de récupération et accéder à toute la boîte mail, y compris aux documents sensibles.

La découverte dans un tel scénario survient généralement seulement après coup, lorsque l'accès au compte est bloqué ou lorsque des alertes concernant des opérations financières non autorisées sont reçues. L'accès au mail accorde à l'attaquant un accès à d'autres services via l'option « récupération de mot de passe » envoyée au mail qui est désormais sous son contrôle.

L'anatomie du piège : pourquoi tombons-nous dans le panneau ?

De telles histoires ne témoignent pas d'un manque de compréhension, mais d'une ingénierie humaine précise. Les fraudes par e-mail réussissent grâce à trois éléments principaux : l'autorité, l'urgence et la familiarité.

1. Autorité usurpée (Spoofing)

Les attaquants utilisent des techniques d'« usurpation de l'adresse de l'expéditeur ». Bien que le mail semble provenir d'une adresse officielle d'une institution connue, un examen technique approfondi des en-têtes du mail (Headers) pourrait révéler une source totalement différente. Pour l'utilisateur moyen, la ligne de l'expéditeur est perçue comme fiable, et les attaquants exploitent cela.

2. Urgence simulée (Le tic-tac de l'horloge)

« Votre compte sera bloqué », « Le colis sera retourné », « Dernière chance ». Le but est de faire passer l'utilisateur d'un état de réflexion analytique à un état de réaction émotionnelle basée sur la pression. Quand le cerveau est sous pression, il cherche la solution la plus rapide, et parfois cette solution semble être le lien proposé dans le message.

3. « Un paradis de liens »

Le lien est le cœur de la fraude. Il peut conduire à deux types de pièges :

• Page d'atterrissage usurpatrice : un site qui semble identique à celui de la banque ou de la compagnie d'assurance, dont le but est la collecte de noms d'utilisateur et de mots de passe.
• Téléchargement malveillant (Drive-by Download) : le simple fait de cliquer sur le lien ou d'ouvrir un fichier joint peut installer un logiciel malveillant permettant le suivi des frappes au clavier ou la prise de contrôle de l'appareil.

L'aspect juridique : la responsabilité de la banque face à la « négligence » du client

Dans les cas où un client exige l'annulation de débits ou une indemnisation à la suite d'une telle fraude, l'argument courant de la part des institutions financières est que le client a agi de manière consciente lorsqu'il a transmis ses détails et qu'il s'agit donc d'une opération autorisée qui ne nécessite pas de remboursement.

Sur ce point, une analyse juridique de la Loi sur les services de paiement, 2019 est requise. La loi est conçue pour protéger le consommateur en cas d'« utilisation abusive » d'un moyen de paiement, définie comme une utilisation par une personne qui n'y est pas autorisée.

Cependant, les organismes financiers s'appuient parfois sur l'argument de la « négligence grave ». Selon la loi, si le client a agi avec intention frauduleuse ou a transmis le moyen de paiement dans des circonstances de négligence grave, sa responsabilité pourrait être totale. La question juridique centrale débattue est de savoir si cliquer sur un lien de phishing sophistiqué constitue une « négligence grave ».

Il existe une position professionnelle selon laquelle la réponse n'est pas automatique. Dans un monde où les fraudes par hameçonnage sont devenues extrêmement sophistiquées, on ne peut pas toujours attendre de la personne raisonnable qu'elle les distingue. On peut examiner si l'institution financière a activé des systèmes de surveillance conçus pour détecter une activité inhabituelle, car il est possible qu'elle soit responsable dans les cas où ces systèmes ont échoué.

Obligation de diligence de l'établissement financier

De manière générale, on peut dire que le système bancaire a une obligation de diligence envers ses clients. L'analyse juridique de ces obligations révèle que la banque est tenue de jouer un rôle de gardien. Dans les cas où une opération inhabituelle est rendue possible sans identification suffisante ou sans alerte, on peut examiner le degré de responsabilité de l'organisme qui gère les fonds, même si l'origine initiale était un clic sur un e-mail malveillant.

Le cercle qui s'élargit : pas seulement de l'argent, mais l'identité

Les fraudes par e-mail ne se terminent pas seulement par un dommage financier direct. L'accès aux correspondances permet l'exécution de fraudes de type BEC (Business Email Compromise), dans lesquelles des messages sont envoyés au nom de l'utilisateur à des tiers, tels que des clients, avec des demandes de modification des détails du compte pour le paiement.

Dans ces cas, la question juridique devient complexe et touche à la répartition de la responsabilité entre les parties victimes de la fraude. Les tribunaux peuvent être amenés à trancher des questions de négligence contributive et de répartition du dommage entre des parties innocentes.

De plus, l'objectif est parfois la « récolte d'identités » (Identity Harvesting). L'obtention de documents d'identité à partir de la boîte mail permet aux escrocs d'effectuer diverses opérations au nom de la victime, ce qui peut conduire à des dommages durables au-delà du vol financier immédiat.

Signes avant-coureurs : comment identifier le piège avant de cliquer ?

Malgré la sophistication, on peut identifier des signes suspects dans de nombreux e-mails :

• Le domaine de l'expéditeur : il est conseillé d'examiner l'adresse e-mail complète et pas seulement le nom affiché. Une adresse qui ne correspond pas exactement au domaine officiel de la société est un signe avant-coureur significatif.
• S'adresser de manière générale : les institutions officielles ont tendance à s'adresser par le nom complet. Une interpellation générale telle que « Cher client » devrait éveiller la suspicion.
• Vérification du lien (survol) : le passage de la souris au-dessus d'un lien (sans cliquer) permet de voir l'adresse de destination réelle. Si l'adresse semble suspecte ou n'est pas liée à la société, il ne faut pas cliquer dessus.
• Langue et syntaxe : des erreurs linguistiques, des formulations non naturelles ou une utilisation inhabituelle de la ponctuation peuvent indiquer une fraude.
• Demande de détails sensibles : les organismes financiers n'ont pas l'habitude de demander des mots de passe ou des détails complets de carte de crédit via des liens à l'intérieur des messages e-mail.

Que faire immédiatement si vous avez cliqué sur un lien suspect ?

En cas de crainte d'être tombé dans un piège, une action rapide peut réduire les dommages :

1. Coupure de la communication : en cas de téléchargement d'un fichier, déconnecter l'appareil d'Internet peut empêcher une fuite d'informations supplémentaires.
2. Changement de mots de passe : procéder immédiatement au changement des mots de passe à partir d'un autre appareil qui n'a pas été exposé à la fraude.
3. Contrôle des moyens de paiement : contacter les sociétés de cartes de crédit et les banques afin de geler ou d'annuler les moyens de paiement qui auraient pu être exposés.
4. Documentation : conserver l'e-mail frauduleux, l'adresse de l'expéditeur et les liens en tant que preuves potentielles pour une procédure judiciaire future.
5. Signalement : contacter le système national de cyberdéfense (CERT) et déposer plainte auprès de la police.

Aspect juridique : la voie pour le remboursement des fonds

Au fil de leurs années de travail professionnel, les avocats travaillant dans le domaine ont rencontré divers cas de victimes de fraude. Il est possible d'examiner des options juridiques pour le remboursement des fonds, et la chance d'y parvenir dépend des circonstances spécifiques de chaque cas. Dans le cadre de l'examen d'une action en justice contre un organisme financier, il est d'usage de se concentrer sur plusieurs aspects :

• Niveau de sophistication de la fraude : examen pour savoir s'il s'agit de techniques avancées qu'une personne raisonnable aurait également eu du mal à identifier.
• Conduite de l'organisme financier : des opérations de surveillance suffisantes ont-elles été effectuées et y avait-il des signes suspects qui auraient dû conduire à l'arrêt de l'opération par la banque.
• Respect des obligations de déclaration : examen de la rapidité avec laquelle le client a signalé l'incident, car un signalement immédiat est une condition significative pour l'exercice des droits selon la loi.

La meilleure défense est l'adoption d'une règle selon laquelle il ne faut pas accéder à des comptes sensibles via des liens envoyés par courrier électronique. Une connexion proactive via le site officiel ou l'application est le moyen le plus sûr de vérifier l'authenticité des messages et de préserver la sécurité des informations et des fonds.