Chapitre 65 : La vérification d'identité à l'ère numérique : quand se méfier et quand vérifier

Au cours de mes années de pratique en tant qu'avocat et notaire, j'ai rencontré de nombreux cas où le sol s'est dérobé sous les pieds des gens. J'ai vu des retraités perdre leurs économies et des chefs d'entreprise découvrir que la société qu'ils avaient bâtie était devenue la victime d'une escroquerie sophistiquée. Cependant, s'il existe une ligne ténue qui traverse tous ces cas, elle n'est pas nécessairement liée à une faiblesse technologique ou à une faille de sécurité dans les serveurs. Cette ligne, c'est la confiance. La confiance humaine fondamentale, celle qui nous permet de maintenir une société, une famille et une économie, est devenue, à l'ère numérique, notre vulnérabilité la plus fatale.

Autrefois, dans le monde physique, la « vérification d'identité » était une affaire simple. Nous voyions le visage de la personne en face de nous, nous entendions le timbre familier de sa voix, nous reconnaissions la poignée de main unique. En tant que notaire, une partie de mon rôle professionnel consiste à m'assurer, au moyen d'une pièce d'identité et d'une présence physique, que la personne qui signe est bien celle qu'elle prétend être. Mais dans l'espace virtuel, tous ces signes d'identité se sont effondrés. L'image n'est qu'un fichier de pixels, la voix est un échantillon numérique, et le texte est une ligne de code. Dans ce chapitre, nous analyserons la crise de l'identité numérique, nous apprendrons à identifier les fissures dans les masques des escrocs, et nous comprendrons comment le droit israélien peut faire face à un monde où « voir » ne signifie plus « croire » depuis longtemps.

Le scénario suivant est un exemple pédagogique basé sur des modèles d'escroquerie courants. Les personnages et les événements sont destinés à l'illustration uniquement.

La tempête parfaite de Dalia : quand le lien du sang devient un piège

Dalia (nom d'emprunt), 68 ans, était une femme qui connaissait bien le monde de la finance. Ancienne directrice financière, elle connaissait les modes de fonctionnement avec les fournisseurs et était consciente des tentatives d'escroquerie. Elle vivait dans son appartement, et son lien le plus proche était avec sa fille, Maya, qui travaillait comme journaliste à l'étranger à cette époque.

Mardi, 14h00. Dalia était assise sur le balcon quand son application WhatsApp a vibré. Un message de Maya. Mais quelque chose était différent. « Maman, c'est mon numéro temporaire. Mon téléphone a été volé avec mon sac. Je suis dans une panique terrible, réponds s'il te plaît. »

Dalia a senti son pouls s'accélérer. Elle a essayé d'appeler le numéro habituel de Maya, mais il était éteint. Elle a envoyé un message au nouveau numéro : « Maya ? Tu vas bien ? ». Un message vocal est arrivé immédiatement. Dalia a appuyé sur le bouton de lecture. C'était la voix de Maya. Exactement sa voix – ce léger enrouement, le ton rapide quand elle est stressée, même le surnom spécial qu'elle lui donne.

« Maman, je suis au poste de police. Je suis restée sans rien. Ils m'ont volé mon passeport et mon portefeuille. Je dois payer une amende urgente et une caution pour ne pas être arrêtée cette nuit. S'il te plaît, je t'envoie les détails pour un transfert rapide. Je suis perdue. »

Dalia n'a pas hésité. L'instinct maternel a pris le dessus sur tout jugement interne. Elle a essayé de poser des questions, mais la « fille » de l'autre côté a répondu avec impatience, en pleurant, en intégrant des détails que Dalia savait être vrais – le fait que Maya soit à l'étranger et le nom du chien de la famille. Ce que Dalia ignorait, c'est que toutes ces informations peuvent être publiques sur les profils des réseaux sociaux, et que la voix qu'elle a entendue pouvait être générée par intelligence artificielle (clonage vocal) à partir de vidéos existantes en ligne.

Dalia s'est connectée à l'application de la banque. Le montant requis était très important – « pour un avocat local et une caution au tribunal », lui avait-on dit. Elle a effectué le transfert vers un compte dans une banque étrangère, comme cela lui avait été ordonné. Lorsque l'employé de la banque a appelé pour confirmer le transfert inhabituel, Dalia, sous le poids de la pression émotionnelle et des instructions de la « fille » (« Ne leur dis pas que c'est pour moi, ils vont tout bloquer à cause des procédures de lutte contre le blanchiment d'argent »), a validé l'opération avec une totale assurance.

Une heure plus tard, le téléphone habituel de Maya a sonné. « Salut maman, comment ça va ? Je viens de sortir d'une interview ». Dalia a senti le sang quitter son visage. « Maya ? Tu... tu n'es pas au commissariat ? On ne t'a pas volé ton téléphone ? ». Le silence à l'autre bout du fil fut la réponse la plus amère. L'argent était déjà en route vers une destination inconnue. La forteresse de Dalia avait été brisée grâce à l'imitation de l'être qui lui était le plus cher.

L'anatomie de l'usurpation : pourquoi risquons-nous de tomber dans le piège ?

De tels cas ne proviennent pas d'un manque de compréhension, mais de l'ingénierie sociale. Pour comprendre comment vérifier une identité, nous devons d'abord comprendre comment les escrocs tentent de la « voler » à nos yeux. La vérification numérique repose sur trois piliers, et les escrocs tentent de les contourner tous :

1. Quelque chose que vous savez (Something you know)

Autrefois, un mot de passe ou une « question secrète » constituaient une protection suffisante. Aujourd'hui, à l'ère des piratages de bases de données et des réseaux sociaux, beaucoup d'informations personnelles peuvent être accessibles. Un escroc peut connaître des détails sur des vacances, des noms de membres de la famille et d'autres détails personnels publiés en ligne.

2. Quelque chose que vous avez (Something you have)

Un téléphone portable ou un numéro de téléphone spécifique. Avec des techniques de « Spoofing » (usurpation d'identité de l'appelant), les escrocs peuvent faire en sorte que le téléphone affiche le nom d'un organisme reconnu ou d'un contact. Lorsqu'une personne voit le nom familier, le cerveau identifie le contexte logique et l'applique à l'identité physique.

3. Quelque chose que vous êtes (Something you are)

C'est ici qu'intervient la technologie du Deepfake. Il ne s'agit pas seulement d'images, mais d'une imitation de la voix et de la vidéo en temps réel. Il existe des technologies qui échantillonnent les ondes sonores et produisent une nouvelle sortie dans les mêmes fréquences et intonations. Pour le cerveau humain, habitué à se fier à l'ouïe comme indicateur d'identité, il s'agit d'une manipulation à laquelle il est difficile de résister.

Aspects juridiques : entre responsabilité de l'établissement financier et responsabilité du client

Dans de tels scénarios, la question centrale qui se pose est de savoir si l'établissement financier aurait dû empêcher l'opération. Le droit israélien traite de la question des fraudes numériques, et la réponse dépend des circonstances spécifiques de chaque cas.

Loi sur les services de paiement, 2019

C'est la loi principale régissant les relations entre un client et un établissement financier en cas d'« usage abusif » d'un moyen de paiement. La loi stipule en règle générale que le client peut ne pas être responsable de l'utilisation faite de son moyen de paiement sans son consentement. Cependant, il existe une exception : si le client a agi avec une « intention de fraude » ou s'il a communiqué les détails du moyen de paiement ou l'autorisation d'exécution « dans des circonstances de négligence grave ».

Dans l'analyse de scénarios similaires, un conflit juridique peut survenir. D'un côté, le client est celui qui a effectué et autorisé l'opération. D'un autre côté, il est possible d'examiner si, dans des circonstances où un client effectue un transfert très inhabituel vers une destination à l'étranger, tout en montrant des signes de stress, une « obligation de vigilance » accrue incombe à l'établissement financier.

L'obligation de loyauté et de vigilance des banques

La jurisprudence en Israël traite des obligations de loyauté et de vigilance des banques envers leurs clients. Dans une analyse juridique générale, on peut dire que lorsqu'il existe des « drapeaux rouges » (Red Flags) clairs, l'exigence peut être soulevée que la banque effectue une vérification plus approfondie. S'il est constaté qu'une banque n'a pas agi conformément aux procédures ou a ignoré un modèle d'escroquerie connu, les possibilités de remboursement peuvent être examinées en fonction des circonstances.

Il est important de souligner : les tribunaux examinent chaque cas individuellement. La question posée est de savoir si le client aurait dû se méfier, et si les moyens technologiques utilisés par l'escroc étaient si avancés qu'une personne raisonnable aurait pu se tromper. Plus l'usurpation est sophistiquée, plus l'analyse de la responsabilité des parties peut changer.

Quand se méfier ? Les signes d'avertissement de l'identité usurpée

Dans un monde où le numérique peut fausser la réalité, il vaut la peine de développer une conscience plus élevée. Voici des circonstances où il est conseillé d'accroître la vigilance :

1. Canal de communication nouveau et inattendu

Si une personne proche, qui communique toujours via un canal spécifique, envoie soudainement un message depuis un « numéro temporaire » ou un nouveau profil, c'est une raison de se méfier. Les explications peuvent sembler logiques (téléphone perdu ou volé), mais c'est un moment qui exige une vérification supplémentaire.

2. Urgence extrême et stress émotionnel

C'est un outil courant chez les usurpateurs. La création de pression vise parfois à empêcher un examen rationnel de la demande. Plus la demande est présentée comme urgente, plus il est conseillé de ralentir le rythme et de vérifier.

3. Demande de confidentialité

La tentative d'isoler la personne et de lui demander de ne pas partager la demande avec d'autres peut indiquer une tentative d'escroquerie, par volonté d'empêcher un tiers de souligner les contradictions dans l'histoire.

4. Manque de correspondance dans les petits détails

Même une technologie avancée peut se tromper. Un langage qui n'est pas typique, des fautes d'orthographe inhabituelles ou l'évitement de répondre à des questions personnelles doivent soulever des points d'interrogation.

Protocole de vérification : comment vérifier réellement une identité ?

Pour se protéger, on peut adopter des méthodes combinant le bon sens. Si un doute survient, il est recommandé de ne pas poursuivre la conversation sur le même canal. Voici des étapes possibles :

Méthode du « canal parallèle » (Out-of-Band Verification)

Si un message a été reçu d'un nouveau numéro, il est conseillé d'essayer de prendre contact par le canal familier et ancien, ou de prendre contact avec d'autres personnes dans l'entourage de la personne sollicitante. Si un organisme officiel appelle, il est recommandé de raccrocher et d'initier un appel au numéro officiel de cet organisme tel qu'il apparaît sur son site Internet.

La question du « secret partagé »

Il est possible de définir à l'avance avec les membres de la famille une question dont seuls les membres de la famille connaissent la réponse, quelque chose qui n'a pas été publié sur les réseaux sociaux. Si l'autre partie évite de répondre – il y a place à une suspicion sérieuse.

Demande d'appel vidéo en temps réel

On peut demander à la personne d'effectuer une action physique spécifique devant la caméra. Certaines technologies peuvent avoir du mal à suivre des mouvements rapides et complexes, ce qui peut révéler la falsification. Cependant, il faut garder à l'esprit que la technologie continue d'évoluer.

Usurpation d'identité auprès des autorités

Un autre type d'usurpation consiste à se faire passer pour des forces de l'ordre ou des autorités officielles. Dans ces cas, des menaces de sanctions ou de pression légale sont utilisées.

Il est important de savoir : les autorités chargées de l'application de la loi en Israël n'ont pas pour habitude de demander des transferts d'argent vers des comptes à l'étranger ou la communication de codes d'accès bancaires par téléphone. Les demandes de paiement officielles sont généralement envoyées par des moyens réglementés. Une activité financière urgente demandée par téléphone par quelqu'un qui prétend être une figure d'autorité doit être vérifiée avec une grande prudence.

Aspects juridiques supplémentaires : protection de la vie privée et fraude

Au-delà de la loi sur les services de paiement, il existe d'autres causes juridiques qui peuvent être examinées. La loi sur la protection de la vie privée traite de l'utilisation des informations personnelles. Dans les cas où des informations ont fuité de bases de données, la responsabilité de l'entité qui détenait les informations peut être examinée. De même, il existe le « délit de fraude » selon l'ordonnance sur les dommages, qui exige la preuve d'une représentation mensongère effectuée sciemment et avec l'intention de tromper. Dans ces cas, l'effort juridique se concentre souvent sur l'examen de la responsabilité des entités intermédiaires dans la chaîne de paiement.

Étapes recommandées en cas de suspicion ou de préjudice :

• Arrêt : Éviter d'effectuer des opérations supplémentaires malgré la pression.
• Documentation : Conservation des captures d'écran, enregistrements et numéros de téléphone.
• Signalement à l'établissement financier : Prise de contact immédiate avec le centre de sécurité de la banque.
• Plainte à la police : Le dépôt d'une plainte est une étape importante pour la poursuite de futurs droits.
• Sécurisation des comptes : Modification des mots de passe et des détails d'accès s'ils ont été exposés.
• Examen juridique : Consultation d'un professionnel pour examiner les possibilités d'action contre les parties concernées.

Signes d'avertissement (résumé)

• Changement soudain des détails de contact d'une personne connue.
• Demande financière urgente sous couvert d'histoires de stress extrême.
• Évitement de la vérification d'identité par des moyens directs.
• Demande de transfert d'argent par des canaux inhabituels.

Aspect juridique (résumé)

La responsabilité des banques et des établissements financiers est examinée selon des critères de vigilance et de loyauté. La loi sur les services de paiement peut offrir une protection au client, sous réserve de l'examen de son comportement. La tendance juridique examine les cas en fonction de l'évolution technologique et des circonstances uniques de chaque événement. Plus l'escroquerie est sophistiquée, plus cela peut influencer la répartition de la responsabilité juridique.

Dans le monde numérique, la conscience et une méfiance saine sont des outils importants pour l'autoprotection. Une vérification d'identité rigoureuse peut éviter des dommages lourds, et il est important de se rappeler que demander une vérification ne devrait pas susciter de malaise vis-à-vis de l'autre partie.