Chapitre 32 : La citadelle assiégée : Usurpation de comptes bancaires et de cartes de crédit

Dans l'ancien monde, l'accès à l'argent d'autrui passait par des portes blindées, des coffres-forts massifs et des gardes armés. Le braqueur de banque d'antan avait besoin d'un plan d'action physique, d'une arme et d'une bonne dose d'adrénaline et de risque. Aujourd'hui, cette forteresse a changé. Les portes blindées ont été remplacées par des lignes de code et les gardes par des algorithmes de chiffrement. Mais le changement le plus fondamental n'est pas technologique, il est psychologique. Le braqueur moderne ne force pas l'entrée de la banque ; il vous convainc de lui ouvrir la porte, de l'inviter à l'intérieur et de lui remettre les clés du coffre sur un plateau d'argent.

Le compte bancaire et la carte de crédit sont le « saint des saints » de notre identité financière. Ils représentent des années de dur labeur, les économies pour un logement, l'argent pour les études des enfants et la sécurité quotidienne pour acheter le pain et le lait. Lorsque cette forteresse est forcée, le sentiment n'est pas seulement celui d'une perte financière. C'est une atteinte grave au sentiment de sécurité, une intrusion brutale dans la vie privée et un ébranlement de la confiance fondamentale dans les systèmes censés nous protéger. Dans ce chapitre, nous analyserons les mécanismes permettant l'usurpation de comptes financiers, nous comprendrons le paysage juridique complexe qui en découle et nous examinerons les recours juridiques à la disposition des victimes.

Le scénario suivant est un exemple pédagogique basé sur des modes opératoires de fraude courants. Les personnages et les événements sont destinés à l'illustration uniquement.

Scénario pédagogique : Le piège téléphonique

Rami (nom fictif), travailleur indépendant dans le domaine de l'aménagement paysager, ne s'est jamais considéré comme un « technophobe », mais pas non plus comme un grand expert en informatique. Il savait utiliser l'application de sa banque pour vérifier ses soldes et payer ses fournisseurs. Un jour, dans l'après-midi, son téléphone a sonné. Sur l'écran apparaissait un numéro semblant être celui du service client de sa banque.

« Bonjour, je parle bien à Rami ? » a demandé une voix féminine, professionnelle et autoritaire à l'autre bout du fil. « Ici Dana, du service de sécurité de la banque. Nous détectons depuis une heure des tentatives de retrait inhabituelles sur votre compte depuis l'étranger. Avez-vous effectué une telle opération récemment ? »

Rami a paniqué. La pensée de voir son argent disparaître a affecté sa capacité de jugement. « Comment ça ? Je suis à la maison, je viens juste de finir de travailler », a-t-il répondu d'une voix tremblante.

« C'est ce que je pensais », a répondu Dana calmement. « Ne vous inquiétez pas, nous sommes là pour arrêter cela. Pour que nous puissions bloquer l'opération et mettre votre compte en mode protection, je dois vérifier votre identité. Je viens de vous envoyer un code de vérification par SMS. Veuillez me le dicter pour que nous puissions procéder au blocage. »

Rami a vu le message arriver. L'expéditeur semblait être la banque. Le message contenait un code à six chiffres. Sous le stress du moment, il n'a pas prêté attention à l'avertissement indiquant de ne pas divulguer le code. Il a dicté les chiffres. Dana a poursuivi et l'a invité à cliquer sur le lien envoyé pour effectuer une « resynchronisation ». Le site ressemblait exactement à celui de la banque. Il a saisi son nom d'utilisateur et son mot de passe comme demandé, et a transmis un code de vérification supplémentaire reçu.

À la fin de l'appel, Rami a ressenti un soulagement. Il ne savait pas qu'à ce moment-là, des éléments malveillants utilisant la technologie de spoofing (usurpation de numéro) agissaient sur son compte. Les codes qu'il a fournis n'étaient pas destinés à la sécurité, mais à l'approbation de virements de fonds et à l'ajout de nouveaux bénéficiaires en temps réel.

Environ une heure plus tard, lorsque Rami a tenté d'accéder à son application, il a découvert que son accès était bloqué. En contactant officiellement la banque, il est apparu que des virements de montants significatifs avaient été effectués depuis son compte. Sa forteresse n'a pas été fracturée par la force ; les clés ont été remises à la suite d'une manipulation sophistiquée.

Anatomie de l'usurpation : Analyse des mécanismes

L'usurpation d'un compte bancaire ou d'une carte de crédit est souvent un événement à étapes multiples. Les attaquants collectent des renseignements préalables, parfois via des fuites de données antérieures, et construisent un scénario destiné à contourner le mécanisme d'authentification à deux facteurs (2FA).

1. Ingénierie sociale

C'est un outil conçu pour créer un sentiment d'urgence et de panique. Sous pression, les clients peuvent sauter les étapes de vérification. L'utilisation de la technologie de spoofing fait paraître l'appel comme provenant d'une source fiable.

2. Hameçonnage ciblé (Spear Phishing)

Envoi d'un message personnalisé incluant un lien vers un « site miroir » — une copie exacte du site de la banque. Dès que le client saisit ses identifiants, l'information est directement transmise à l'attaquant qui l'utilise sur le vrai site.

3. Obtention d'un code de vérification unique (OTP)

Les attaquants tentent d'obtenir le code envoyé par SMS de diverses manières :

• Persuasion : Tromper le client pour qu'il fournisse le code volontairement lors de l'appel.
• Échange de carte SIM (SIM Swapping) : Usurper l'identité du client auprès de l'opérateur mobile pour transférer le numéro vers une carte SIM en possession de l'attaquant.
• Logiciels malveillants (Malware) : Installation d'un logiciel permettant de lire les messages à distance.

4. Usurpation de carte de crédit

Le processus peut commencer par de petits débits pour tester la validité de la carte, suivis d'achats importants. Dans certains cas, les coordonnées dans les systèmes de la société de carte de crédit sont modifiées afin d'éviter la réception d'alertes.

Le paysage juridique : Analyse des responsabilités et des obligations

La question centrale dans ces cas est celle de la responsabilité des fonds débités. La réponse dépend des circonstances de l'espèce, du comportement du client et du respect par l'établissement financier de ses obligations professionnelles.

Loi sur les services de paiement, 2019

Cette loi régit les relations entre le client et le prestataire de services de paiement (banque, société de carte de crédit ou application de paiement). Le concept décisif de la loi est la « transaction non autorisée ».

Selon la loi, en règle générale, dans le cas d'une transaction non autorisée, le prestataire de services de paiement doit rembourser au client le montant de l'opération dans un délai défini, à moins qu'il n'existe une base raisonnable de suspicion de fraude de la part du client. La loi distingue différents niveaux de responsabilité :

1. Responsabilité limitée du client

Dans les cas de vol ou de perte d'un moyen de paiement, dès lors que le client a signalé l'événement immédiatement après sa découverte, sa responsabilité peut être limitée aux montants prévus par la loi. Le reste du préjudice peut incomber à l'établissement financier.

2. Argument de faute lourde

Les institutions financières peuvent tenter de prouver que le client a agi avec « faute lourde » (comme la remise volontaire d'un code secret) afin de se libérer de l'obligation de remboursement. Cependant, dans une analyse juridique professionnelle, on prend en compte le fait que les fraudeurs utilisent des manipulations sophistiquées, et ce qui semble être une erreur a posteriori, peut être considéré comme une réaction raisonnable sous pression à ce moment-là. L'examen de l'ingénierie sociale peut influencer l'attribution de la responsabilité au client.

3. Devoir de vigilance renforcé de la banque

Les banques et les sociétés de cartes de crédit ont un devoir de vigilance renforcé envers leurs clients. En cas d'intrusion ou d'usurpation, plusieurs questions sont examinées :

• Identification des signaux d'alerte : Les systèmes de surveillance auraient-ils dû détecter une activité s'écartant radicalement des habitudes du client ?
• Réaction en temps réel : Dès le signalement, l'établissement financier a-t-il agi avec la célérité requise pour bloquer le compte ?
• Qualité des mécanismes de défense : L'établissement a-t-il utilisé des mesures de sécurité raisonnables et avancées conformément aux normes en vigueur ?

Au cours de mes années de pratique professionnelle, j'ai rencontré des cas où, malgré une erreur du client, des défaillances ont été découvertes dans le système de surveillance de la banque. Dans de telles situations, une responsabilité de l'établissement financier pour le dommage, ou une part de celle-ci, peut être invoquée dans le cadre d'un examen de « faute contributive ».

Gestion auprès des sociétés de cartes de crédit

Dans les cas de débits non autorisés sur une carte de crédit, il existe une procédure de « contestation de transaction ». La loi sur les services de paiement stipule que la société doit créditer temporairement le client jusqu'à la résolution du litige. Dans les situations d'usurpation complète, où les coordonnées de contact ont été modifiées, une analyse juridique approfondie est nécessaire pour prouver que les opérations n'ont pas été effectuées par le client.

Signaux d'alerte et moyens de prévention

La vigilance peut empêcher de nombreuses tentatives de fraude. Voici des signes suspects :

• Demandes de code lors d'un appel sortant : Les représentants officiels des banques ne demandent jamais au client de dicter un code de vérification envoyé par SMS.
• Liens dans les messages : Il est recommandé d'éviter d'accéder aux sites bancaires via des liens dans les messages, et d'utiliser les applications officielles ou de taper directement l'adresse du site.
• Changements dans la réception mobile : Une perte soudaine de réception peut indiquer une tentative de changement de carte SIM.
• Demande de prise de contrôle à distance : L'exigence d'installer des logiciels permettant un accès à l'ordinateur par une personne se présentant comme un agent de service est un signal d'alarme.

Actions immédiates en cas de suspicion

La rapidité de réaction est un facteur décisif pour limiter le préjudice :

1. Raccrocher : En cas de moindre soupçon, couper tout contact immédiatement.
2. Appel proactif vers l'établissement financier : Contacter le centre d'appel officiel pour geler les comptes et les moyens de paiement.
3. Changement de mots de passe : Mettre à jour les identifiants d'accès aux services financiers et à la messagerie électronique.
4. Documentation : Enregistrer des captures d'écran des messages, noter les numéros de téléphone et les heures d'appel.
5. Signalement aux autorités : Déposer plainte à la police pour obtenir le document requis pour la suite des démarches auprès de la banque.

Aspect juridique et recours

Dans les cas où une institution financière refuse de restituer les fonds, il est possible d'examiner les outils juridiques à la disposition de la victime. Au fil des ans, il apparaît qu'une analyse professionnelle détaillant la faille de sécurité ou les manquements au devoir de vigilance peut, selon les circonstances, conduire à envisager des accords transactionnels ou des possibilités de récupération des fonds.

Dans le cadre d'une procédure judiciaire, les tribunaux examinent l'ensemble des circonstances, y compris les moyens dont disposait l'établissement financier pour prévenir le dommage. Plus la fraude est sophistiquée, plus une responsabilité, totale ou partielle, de l'établissement financier pourrait être examinée, compte tenu du fait que le client est perçu comme la partie nécessitant une protection dans la transaction. La loi sur les services de paiement constitue un socle central de protection des utilisateurs, et il est crucial de faire valoir les droits qui en découlent.

Dans le chapitre suivant, nous examinerons un scénario d'usurpation d'identité d'un employé ou d'un propriétaire d'entreprise auprès de fournisseurs, un autre type de fraude touchant le secteur économique.