Concept-clé

Dans le cadre de pratiques de cyberharcèlement, la fraude aux données personnelles consiste à mettre en place des techniques d’escroquerie numériques afin de dérober des informations personnelles, professionnelles et/ou bancaires, souvent à des fins d’enrichissement (revente des données, transactions frauduleuses, etc.), dans le but de porter préjudice à une victime ciblée.

L’usage frauduleux de ces données recourt généralement à l’art de la manipulation et fait appel
à des mécanismes de conditionnement des comportements pour duper les personnes. Plus communément appelé « ingénierie sociale » ou « processus d’élicitation » (qui signifie étymologiquement « tirer de », « faire sortir de »), cette démarche exploite les failles humaines et instrumentalise certains biais cognitifs (biais de cadrage, biais de confirmation, biais de distorsion perceptive, etc.) pour inciter de façon détournée les victimes à enfreindre elles-mêmes les procédures de sécurité de leurs appareils numériques.

Ce type d’approche relationnel se fonde principalement sur l’abus de confiance et profite du manque de connaissance informatique, d’une faille des logiciels de sécurité, d’une incrédulité ou d’une fragilité momentanée des personnes, etc., pour leur soutirer des renseignements sensibles et stratégiques (mot de passe, codes d’accès, etc.) afin de commettre leur forfait.

Ce qu’il faut retenir…

Plusieurs techniques d’ingénierie sociale en ligne sont utilisées pour leurrer les victimes et les inciter à communiquer leurs données sensibles :

• l’hameçonnage (phishing) s’appuie sur un message électronique frauduleux qui présente toutes les apparences d’un message authentique provenant d’une source fiable et qui incite le destinataire à cliquer sur un lien suspect, à télécharger une pièce jointe malveillante ou à partager directement ses informations personnelles ou financières. Nous parlons de phishing lorsqu’il s’agit de fraude par mail, de smishing par SMS, de vishing par appel téléphonique et de quishing par QR code ;
• le harponnage (spear-phishing) est une variante très efficace de l’hameçonnage qui vise à collecter en amont des informations sur une victime bien ciblée afin de personnaliser le message qui lui est envoyé (par exemple en liant l’objet du courriel et le corps du message à son activité). Est souvent invoqué un caractère d’urgence dans le message de manière à assaillir la personne, l’exhortant à « agir avant qu’il ne soit trop tard », annihilant ainsi sa capacité de réflexion ;
• l’appâtage (baiting) est une méthode un peu différente, car elle sous-tend l’utilisation d’un composant physique, par exemple une clé USB qui contient un maliciel, et mise sur la curiosité de la victime pour la brancher sur son ordinateur, ce qui exécutera automatiquement le code malveillant, donnant accès à ses activités en ligne et hors ligne, dossiers personnels, etc. ;
• le faux-semblant (pretexting) consiste à mobiliser un prétexte solide pour entrer en contact avec la victime. Pour cela, le cyberharceleur emprunte généralement les traits d’une figure d’autorité ou d’un tiers de confiance (une banque, une compagnie d’assurance, l’administration fiscale, etc.) qui nécessite que la cible confirme son identité (par son numéro de téléphone, par son adresse mail, par des informations relatives au service qu’elle utilise, etc.) afin de débloquer une situation problématique.

Aux origines

Les origines du phishing remontent aux années 1990, à l’époque où la société AOL était l’un des principaux fournisseurs de services Internet et comptait plus d’un million de clients abonnés.

Cette popularité grandissante a attiré l’attention de pirates qui se sont constitués en un groupe s’identifiant comme la « communauté Warez ». Ils volaient les données sensibles des clients (leur nom d’utilisateur, leur mot de passe, etc.), puis grâce à un algorithme, généraient de manière aléatoire des numéros de carte de crédit qu’ils réutilisaient pour créer de faux comptes AOL.

En mettant à jour ses mesures de sécurité, AOL réussit à freiner cette extorsion organisée de cartes de crédit, ce qui obligea les pirates à rechercher d’autres techniques pour tromper les utilisateurs. Ils ont alors commencé à utiliser AOL Messenger et créé de faux mails se faisant passer pour des employés de la société.

Pour enrayer ce nouveau mouvement de phishing (hameçonnage), AOL s’est mise à détecter des mots-clés dans les salons de conversation afin d’identifier tout vocabulaire qui pourrait les conduire jusqu’aux malfrats.

De manière à ne plus se faire repérer, les hackers ont alors cessé d’utiliser des mots, remplaçant simplement par la chaîne de caractères « <>< » toute référence à leurs activités illégales. Omniprésent dans toutes les pages HTML, ce symbole proche de la forme d’un poisson était devenu indétectable.

Exemple concret