Chapitre 84 : Cartographie des entités : à qui s'adresser et dans quel ordre

Le scénario suivant est un exemple éducatif basé sur des modèles d'escroquerie courants. Les personnages et les événements sont destinés à des fins d'illustration uniquement.

Il était deux heures du matin lorsque Sarah sentit la vibration familière du téléphone sur sa table de chevet. C'était une femme de soixante-douze ans, veuve, professeure de littérature à la retraite qui s'était toujours enorgueillie de la vivacité de son esprit. Mais à deux heures du matin, alors que la chambre est plongée dans l'ombre et que le sommeil colle encore aux paupières, cette vivacité est un luxe dont personne ne dispose. À l'écran s'affichait le message : « Message de la banque ».

« Cher client, y était-il écrit, une activité suspecte a été détectée sur votre compte. Si vous n'effectuez pas un virement de 14 500 NIS maintenant, cliquez ici pour une annulation immédiate. » Sarah, le cœur battant, a cliqué. Elle a été redirigée vers une page qui ressemblait exactement – mais alors, exactement – au site Web de sa banque. Elle a saisi son nom d'utilisateur, son mot de passe et le code de vérification qui lui a été envoyé par SMS une seconde plus tard. Ce n'est que lorsque l'écran est devenu blanc et que le téléphone s'est tu qu'elle a compris que quelque chose ne tournait pas rond. Lorsqu'elle s'est connectée le matin au compte réel, elle a découvert dans ce scénario que son solde avait chuté de 80 000 NIS. Toutes ses économies destinées à la rénovation de la cuisine et à la Bar Mitzvah du petit-fils avaient disparu en six minutes de terreur nocturne.

Lorsque le fils de Sarah, Oren, est arrivé une heure plus tard, il l'a trouvée dans la cuisine, tremblante, tenant le téléphone comme s'il s'agissait d'une bombe à retardement. « Il faut appeler la police », a-t-il dit. « Non, la banque ! » a répondu Sarah. « Peut-être un avocat ? Peut-être les nouvelles ? » Cette confusion, ce sentiment d'impuissance face au labyrinthe bureaucratique, est l'arme la plus puissante des escrocs. Ils misent sur le fait que pendant que vous courrez en rond d'un employé à l'autre, votre argent subira déjà des processus de blanchiment dans des pays étrangers.

Ce chapitre est conçu pour mettre de l'ordre dans le chaos. C'est votre carte sur le terrain hostile du « lendemain ». Il définira à qui il est recommandé de s'adresser, pourquoi s'adresser à eux, et quel est l'ordre des opérations qui pourrait influencer les chances de récupération des fonds.

Le chaos avant l'ordre : le cas de Sarah et l'erreur tactique

Dans le scénario éducatif, Sarah et Oren ont fait ce que la plupart des gens font : ils ont commencé par la fin. Oren a d'abord appelé son ami qui travaille dans l'unité cyber de la police. L'ami, avec toute la bonne volonté du monde, était en vacances. Ensuite, ils ont essayé de joindre le centre d'appels général de la banque, où ils ont attendu longtemps en ligne, seulement pour entendre de la représentante qu'elle « n'est pas autorisée à traiter les incidents de fraude » et qu'il faut appeler le service de sécurité – qui avait fermé dix minutes plus tôt.

Pendant ce temps, l'argent de Sarah faisait son chemin vers un portefeuille numérique non identifié. L'erreur de Sarah et d'Oren dans ce scénario découlait d'un manque de « feuille de route ». Ils ont agi par émotion, non par stratégie. Dans le monde des fraudes numériques, le temps est un facteur significatif. Chaque minute qui passe est une minute pendant laquelle la banque pourrait arguer plus tard que « le client a été négligent dans son signalement », un argument parfois soulevé pour tenter de réduire la responsabilité conformément à la Loi sur les services de paiement, 5779-2019.

Le sentiment de Sarah – un mélange de honte, de rage et de désespoir – est naturel. Mais nous devons séparer l'émotion de l'action juridique et technique. L'objectif est de créer une documentation de chaque étape et de mettre la pression sur les entités concernées pour qu'elles accomplissent leur devoir. La loi en Israël impose des obligations aux sociétés bancaires et aux émetteurs de cartes de crédit, mais pour activer ces obligations, il est recommandé d'agir selon un protocole ordonné.

La hiérarchie opérationnelle : la banque et l'émetteur de carte de crédit en première ligne

L'entité à contacter en premier lieu est l'établissement financier où l'argent est géré. Si l'argent a quitté le compte bancaire, on s'adresse à la banque. Si des achats par carte ont été effectués, on s'adresse à l'émetteur de la carte de crédit. Ces entités ont la capacité technique d'effectuer des actions d'arrêt immédiates.

Lors de cet appel, vous devez être bref et précis. Le représentant en face de vous recherche des mots-clés : « fraude », « transaction non autorisée », « blocage de compte ». Selon la Loi sur les services de paiement, après notification du payeur (la banque ou l'émetteur de carte) concernant un vol ou une utilisation abusive d'un « moyen de paiement » (incluant l'autorisation d'accès à une application), il est possible d'examiner la répartition de la responsabilité pour les transactions futures.

Il est important de se rappeler qu'une allégation peut parfois être soulevée selon laquelle il s'agit d'une « transmission du moyen de paiement à un tiers dans des circonstances déraisonnables », ce qui pourrait affecter la question de la responsabilité. Par conséquent, lors de la conversation avec la banque, la documentation est extrêmement importante. Il est recommandé de noter le nom du représentant, l'heure exacte de l'appel, et de demander un « numéro de dossier » ou un « numéro d'incident ». L'enregistrement de l'appel pourrait aider à prouver le signalement immédiat.

Que peut-on demander à la banque ? 1. Blocage immédiat de l'accès au site Web et à l'application. 2. Examen de la possibilité d'effectuer un « rappel » (Recall) des virements non encore finalisés. Dans le système bancaire, il existe parfois une fenêtre d'opportunité très étroite pour arrêter les virements en attente de compensation finale. 3. Clarification des détails de la destination de l'argent – nom du bénéficiaire, numéro de compte et banque de destination. Ces informations pourraient aider à la suite du traitement.

Analyse professionnelle : le rôle de la banque dans le processus

Il est important de comprendre que la banque est une institution commerciale agissant selon des procédures et des intérêts économiques. Si une négligence de la part du client est identifiée, l'information pourrait être utilisée par la banque dans une procédure future. Par conséquent, il est recommandé de décrire les faits avec précision : « J'ai reçu un message qui semblait être une communication officielle, j'ai agi selon des instructions qui semblaient légitimes, et j'ai découvert que le compte avait été piraté ».

Le souverain et la loi : la police israélienne et l'Autorité de protection de la vie privée

Après le blocage du compte, l'entité suivante sur la liste est la police israélienne. Au fil des années, un sentiment de scepticisme s'est souvent manifesté chez les victimes concernant la capacité de la police à restituer les fonds réellement. Cependant, sur le plan juridique, la confirmation du dépôt de plainte à la police est un document essentiel. De nombreuses banques exigent de voir une telle confirmation dans le cadre de la procédure d'examen de la demande de restitution de fonds.

La plainte à la police constitue une déclaration officielle de la commission d'une infraction. Aujourd'hui, il est possible de déposer une plainte en ligne sur le site de la police, mais dans les cas de fraudes portant sur des montants significatifs, on peut envisager de se rendre physiquement au poste. Dans la plainte, il est important de fournir des détails techniques : numéros de compte vers lesquels l'argent a été transféré, numéro de téléphone à partir duquel le message a été envoyé, et l'adresse du site Web frauduleux. Ces informations pourraient aider à identifier des modèles d'action se répétant chez d'autres victimes.

L'Autorité de protection de la vie privée

Une autre entité que l'on peut contacter est l'Autorité de protection de la vie privée au ministère de la Justice. Si la fraude a eu lieu suite à une fuite de données provenant d'une autre entité, il est possible qu'il y ait lieu de le signaler. Dans les cas où des entreprises n'ont pas protégé les informations de manière adéquate, des questions pourraient se poser concernant leur responsabilité professionnelle.

La surveillance et le cadre : la Banque d'Israël et l'Autorité des titres financiers

Dans les cas où une allégation est soulevée concernant une gestion négligente de la part de la banque – par exemple, si les systèmes n'ont pas détecté un virement exceptionnellement inhabituel – on peut s'adresser au Contrôle des banques à la Banque d'Israël.

Le Contrôle exerce une unité de relations publiques qui traite de l'examen réglementaire. C'est une procédure qui permet d'examiner si la banque a respecté les procédures et les circulaires du superviseur (comme la circulaire « Gestion de la banque par communication »). Les conclusions du Contrôle pourraient servir de preuve significative dans des procédures judiciaires futures.

Dans les cas de fraudes à l'investissement promettant des rendements exceptionnels dans le trading sur le Forex ou l'or, l'entité pertinente est l'Autorité des titres financiers. L'Autorité gère des listes d'entités non autorisées à opérer en Israël, et s'adresser à eux pourrait mener à des mesures d'application contre des intermédiaires locaux si ceux-ci existent.

Il faut se rappeler que la responsabilité de ces entités est essentiellement de nature de contrôle. Elles pourraient ordonner à la banque de réexaminer sa position si une violation d'une instruction réglementaire est prouvée.

Stratégie de lutte : gestion de crise en temps réel

En élaborant un plan d'action en cas de suspicion de fraude, on peut définir plusieurs étapes critiques :

Premières minutes : blocage opérationnel. Prise de contact immédiate avec le centre d'urgence de la banque pour l'arrêt des virements et le blocage de l'accès numérique. Première heure : collecte de documentation. Sauvegarde de captures d'écran des messages, des adresses de sites Web et des détails des virements dans un dossier sécurisé. Premières heures : signalement formel. Dépôt de plainte à la police et obtention d'un numéro de dossier. Suite du traitement : demande officielle par écrit. Envoi d'une lettre détaillée au service des relations publiques de la banque exigeant l'examen de la restitution des fonds conformément à la Loi sur les services de paiement. Si nécessaire : recours aux régulateurs. Si la réponse de la banque est insuffisante, il est possible de s'adresser au Contrôle des banques.

Dans le scénario éducatif de Sarah, après un examen professionnel du déroulement des événements, il aurait été possible de soulever l'argument que la banque n'a pas activé de mécanismes de vérification appropriés pour un virement d'une telle ampleur vers un bénéficiaire inconnu. Dans un tel cas, après examen des preuves, les parties pourraient parvenir à un compromis restituant une partie de la somme, en tenant compte des circonstances de l'affaire et de l'obligation de diligence de l'établissement bancaire.

Le rôle de la représentation juridique

Au cours des années de travail professionnel, il est apparu que de nombreuses victimes s'interrogent sur la nécessité d'une représentation juridique. Un accompagnement professionnel pourrait aider à traduire les événements en langage juridique et réglementaire, tout en tenant compte des obligations de fiducie de la banque, des failles de surveillance possibles et de la répartition de la responsabilité selon la loi. Plus les actions initiales sont documentées et ordonnées, mieux il est possible d'examiner les options juridiques à la disposition de la victime.

Signes avant-coureurs (quand est-il recommandé de commencer à agir ?)

• Réception d'un code de vérification par SMS pour une action que vous n'avez pas initiée.
• Appel téléphonique d'une entité se présentant comme un représentant de la banque et demandant un code envoyé sur le mobile.
• Message concernant un « verrouillage de compte » incluant un lien externe.
• Détection de mouvements inconnus de petits montants sur le compte.

Que faire immédiatement (check-list opérationnelle)

1. Déconnexion du réseau : passage de l'appareil en mode avion en cas de suspicion de piratage à distance. 2. Contact avec la banque : appel immédiat au centre de lutte contre la fraude et demande de blocage. 3. Documentation : captures d'écran de toute information pertinente. 4. Sécurisation des comptes : modification des mots de passe des services essentiels à partir d'un autre appareil sain. 5. Signalement : dépôt de plainte à la police dès que possible.

Aspect juridique : Loi sur les services de paiement, 5779-2019

Cette loi constitue un cadre juridique central dans les incidents de fraude. Elle établit que dans le cas d'une « utilisation abusive » d'un moyen de paiement, la responsabilité du client pourrait être limitée, à moins qu'il ne soit prouvé que le client a agi avec une intention frauduleuse ou a transmis le moyen de paiement dans des circonstances déraisonnables.

La question de savoir ce qui est considéré comme des « circonstances déraisonnables » est examinée au fil des années par les tribunaux, d'autant plus que les fraudes par ingénierie sociale (Social Engineering) deviennent plus complexes. Un argument juridique qui peut être examiné est que même si le client a commis une erreur, le système bancaire a l'obligation d'activer des moyens technologiques pour empêcher une activité anormale. La carte présentée dans ce chapitre est destinée à aider à la centralisation des données requises pour l'examen de ces arguments.

La découverte d'une fraude exige une action calculée. Une action selon la hiérarchie des entités compétentes, avec une documentation rigoureuse, pourrait améliorer la capacité à faire face à l'incident sur le plan juridique et économique.