Le premier sondage français sur l'usurpation d'identité

À ma connaissance, le sondage réalisé par le CREDOC pour Fellowes est le premier instrument de mesure de l'ampleur de l'usurpation d'identité en France.

D'après les résultats de ce sondage, 4,2% de la population française âgée de 15 ans et plus aurait été victime au cours des 10 dernières années, ce qui est considérablement moins que ce que l'on observe en Amérique du Nord, où les chiffres oscillent autour de 5% de la population adulte victime chaque année.

La difficulté dans ce type de sondage réside dans la méconnaissance qu'ont les répondants de ce que recouvre le terme "usurpation d'identité", particulièrement lorsque celui-ci vient de faire son apparition dans la terminologie des menaces criminelles. Ainsi, dans le cadre d'un sondage mené au Québec sur le même sujet pour le Ministère de la Sécurité Publique, nous avons pu démontrer que les répondants tendent à considérablement sous-évaluer leur taux de victimisation, n'associant pas le crime dont ils ont été victime au terme générique utilisé par l'institut de sondage.

Comme dans bien des pays, il est également frappant de noter que ce sondage est financé par des intérêts privés, même s'il met en lumière un problème indéniable de sécurité publique.

Nicolas Sarkozy victime d'un vol d'identité

Le Président de la République Française a été victime il y a quelques mois d'une classique affaire de vol d'identité, mise en lumière dans un article du Nouvel Obs. Les fraudeurs ont en effet utilisé ses coordonnées bancaires pour obtenir des services de téléphonie mobile, qui ont ensuite certainement été revendus à des tiers. La fraude a été rendue possible grâce à des complicités au sein de deux entreprises.

Les informations bancaires ont été obtenues par des employés d'une entreprise sous-traitante d'un grand fournisseur de télévision payante, et elles ont été utilisées sans grande difficulté avec la bénédiction de vendeurs de boutiques de téléphonie mobile, qui fermaient les yeux sur l'ouverture multiple de lignes rattachées aux même comptes bancaires. Dans le premier cas, on peut imaginer que le salaire minimum des employés des centres d'appels peut constituer un fort incitatif à l'amélioration du quotidien par la revente d'informations privilégiées, alors que dans le cas des vendeurs d'abonnements téléphoniques, c'est la perspective de commissions importantes sur l'ouverture de nombreuses nouvelles lignes qui a permis d'obtenir leur complicité.

Dans les deux cas, il s'agit de variables contre lesquelles des solutions technologiques de prévention sont totalement impuissantes.

Ridicule ou affligeant?

À vous de juger:

Une française est convoquée par la police pour avoir déposé un commentaire qui qualifiait une ministre (secrétaire d'état à la famille plus précisément) de "menteuse" sur un site de vidéo en ligne.

On peut imaginer que les enquêteurs ayant d'autres chats à fouetter, c'est la plainte de Madame Morano qui a mis la machine policière en branle. Pour mettre en contexte les rapports de Madame Morano à l'Internet, voici deux citations assez récentes:

«Internet peut être un outil dangereux, celui se trouve derrière l'écran peut-être un prédateur»

«Internet, c’est comme une magnifique voiture de course. Si vous n’avez pas votre permis de conduire et que vous ratez un virage, c’est la mort»

C'est vrai qu'elle semble parler d'expérience.

Mesures législatives de lutte contre la cybercriminalité: un avant-goût du projet de loi Loppsi 2

Le quotidien Le Monde publie aujourd'hui un article qui donne quelques précisions sur les nouveaux pouvoirs d'enquête qui pourraient être bientôt conférés aux policiers français dans le cadre du projet de loi Loppsi 2 (pour Loi d'orientation et de programme pour la performance de la sécurité intérieure). 

On y retrouve des mesures qui feront certainement couler beaucoup d'encre dans les mois à venir, comme la possibilité pour les services d'enquête d'installer des chevaux de Troie sur les ordinateurs des personnes surveillées afin d'accéder à l'insu de celles-ci au contenu de leurs communications ou de leurs disques durs. Ces logiciels espions, qui sont déjà utilisés fréquemment par les fraudeurs informatiques pour s'emparer des informations personnelles de leurs victimes, seraient installés pour une période de 4 mois renouvelable.

D'autres dispositions, comme la création d'un délit d'usurpation d'identité sur Internet, seront certainement accueillies de manière moins polémique. Il faut également souligner que ce projet de loi n'est pas uniquement axé sur la lutte contre la cybercriminalité, comme l'auteur de l'article le laisse entendre, mais qu'il concerne aussi plus largement la modernisation des moyens technologiques de la Police Nationale et de la Gendarmerie, avec notamment le déploiement d'un système de lecture automatisé des plaques d'immatriculations (LAPI), l'acquisition de mini-drônes ou encore l'installation d'ordinateurs embarqués à bord des véhicules de police. Le milliard d'euros ainsi prévu sur cinq ans ne concerne donc pas exclusivement la lutte contre la cybercriminalité, loin de là.

Photos de distributeurs de billets piégés par des fraudeurs

Le site Zataz a mis la main sur deux séries de photos très informatives (ici et ici) qui montrent les moyens techniques utilisés par des fraudeurs français pour cloner des cartes de débit ou de crédit introduites dans des distributeurs automatiques de billets. Les photos sont d'origine française, mais la technique est universelle.

On y voit qu'il est de plus en plus difficile pour l'usager lambda d'identifier la présence de tels kits sur des distributeurs où tout semble normal et "propre", ainsi que la présence de caméras qui peuvent capturer les codes secrets des clients et les transmettre par le biais de téléphones cellulaires.

Les stratégies de protection contre le vol d'identité sont-elles efficaces?

Un récent sondage mené par Paypal semblerait démontrer que non. Conduit dans plusieurs pays en Amérique du Nord et en Europe, ce sondage démontre que le meilleur moyen de protection est la langue, les consommateurs des pays anglophones étant proportionnellement plus exposés au vol d'identité que les autres citoyens du monde. Alors que 10% des personnes ayant acheté des produits en ligne au Canada, aux USA ou au Royaume Uni ont été victimes d'un vol d'identité, le taux n'est que de 5% en France, en Espagne ou en Allemagne. Les échantillons de 1000 répondants dans chaque pays sont suffisamment importants pour que les résultats obtenus soient relativement fiables.

Cette variation s'explique évidemment par le fait que les fraudeurs ciblent en priorité les pays où le commerce électronique est le plus développé, mais aussi (et surtout) ceux où les moyens de paiement comme les cartes de crédit disposent des limites les plus élevées. Cependant, plusieurs questions portaient également sur les pratiques des internautes en matière de sécurité comme l'utilisation des mots de passe, la possession de machines à déchiqueter le papier ou encore le partage d'informations personnelles sur des sites de réseaux sociaux. Ces pratiques sont considérées comme génératrices de risques et de nombreux sites enjoignent les internautes à ne jamais partager leur mots de passe, à ne jamais utiliser des données faciles à deviner comme leur date de naissance pour créer leur mot de passe, à ne jamais divulguer des données personnelles sur les réseaux sociaux, ou encore à déchiqueter systématiquement les documents qu'ils reçoivent. Un exemple type est la campagne menée à grand frais au Québec par l'Institut de Sécurité de l'Information du Québec sur le thème "Je protège mon identité sur Internet".

Sans vouloir faire de peine à l'ISIQ, je ne suis pas certain que les recommandations faites aux internautes pour se protéger du vol d'identité soient suivies de résultats très probants si on se base sur le sondage de Paypal.

En effet, le fait de partager ses mots de passe avec des amis ou de membres de sa famille ne semble pas être une variable discriminante dans la victimisation: si seulement 28% des internautes allemands ont déclaré s'être livrés à cette pratique risquée, la proportion était du double (60%) aux États-Unis. On pourrait donc assumer que c'est là l'une des causes du vol d'identité... Mais une minute, la proportion de français qui font preuve d'une négligence identique (58%) est presque aussi élevée qu'aux USA, et pourtant, ils sont deux fois moins victimes de cette fraude. Les Français sont aussi les internautes qui sont le moins équipés de déchiqueteuses (seulement 17%), qui n'hésitent pas à laisser leurs logiciels de navigation administrer leurs mots de passe (plus de la moitiés des sondés français), ou encore qui indiquent leur date de naissance sur leur profil sur les sites de réseau social (plus d'un quart) ET qui utilisent cette date de naissance dans leur mot de passe!!! Qui plus est, ces Gaulois inconscients ne changent leurs mots de passe que très rarement (61% le changent moins d'une fois par an), à l'instar de leurs homologues ibères.

Visiblement, si l'on ne parle pas anglais, on peut se permettre de relâcher sa vigilance sans trop de conséquences. Pourquoi? Peut-être parce que contrairement aux idées reçues, la responsabilité individuelle des victimes de vols d'identité est relativement limitée comparativement aux moyens de prévention et aux bonnes pratiques que pourraient mettre en oeuvre les entreprises administrant les moyens de paiement et toute la chaîne du commerce en ligne.

Les cyberenquêteurs français peuvent dormir tranquille

En effet les journalistes qui s'intéressent à leurs activités restent extrêmement déférents, et ne risquent pas de soulever des questions trop embarassantes. À preuve, l'article signé par Laurence Neuer dans Le Point du 14 juillet 2008. On y apprend que la soixantaine d'enquêteurs de l'Office Central de Lutte contre la Criminalité Liée aux Technologies de l'Information et de la Communication (OCLCTIC) sont activement impliqués dans la lutte contre le 'phishing', le détournement de compte bancaire ou le clonage des cartes de paiement contrefaites. Un enquêteur ose même avancer des statistiques pour le moins surprenantes qui n'ont pas eu l'air de faire réagir Madame Neuer. En effet, selon le policier, "aujourd'hui, près de 50% des machines en France sont infectées" [par des logiciels malveillants capables de saisir les mots de passe des internautes lorsqu'ils réalisent des opérations bancaires en ligne]. Devant une affirmation aussi alarmiste, on aurait au moins aimé savoir sur quelles bases statistiques on s'appuie: s'agit-il d'un sondage auprès des vendeurs d'antivirus, d'une étude approfondie des machines du parc informatique français ou d'une enquête de victimisation auprès des internautes français? Si ce chiffre est crédible, alors le nombre d'enquêteurs affecté à cette forme émergente de criminalité est manifestement insuffisant (60 enquêteurs pour la moitié du parc informatique français). Il y a là comme une incohérence qui ne semble pas avoir attisé la curiosité journalistique de Madame Neuer.

Qui plus est, celle-ci aurait pu demander aux enquêteurs rencontrés quelle était la nature de leur collaboration avec les juges d'instruction. Ces derniers sont-il suffisamment préparés pour faire face à la criminalité informatique dont on comprend bien qu'elle prend une place de plus en plus importante, notamment en raison de sa nature extrêmement lucrative? Tant qu'à faire, on aurait pu se poser la question du nombre d'affaires jugées et des taux de condamnation, ou même de la nature des peines prononcées. On aurait enfin pu se demander si la coopération policière internationale fonctionnait de façon satisfaisante, ou si quelques pays impliqués de manière disproportionnée se faisaient encore prier avant d'accorder toute leur attention à des crimes qui ne représentent pour eux qu'une priorité secondaire? L'efficacité d'une poignée d'enquêteurs ne signifie rien si ces derniers doivent ramer à contre-courant dans un système judiciaire inadapté pour faire face à une criminalité aussi complexe, aussi bien sur le plan organisationnel que technique. 

Bref, devant le potentiel journalistique d'un tel sujet (le Washington Post s'est par exemple doté d'un journaliste spécialisé dans les questions de sécurité informatique), on attend encore de la part des quotidiens et des hebdomadaires français des articles qui dépassent le stade de la promotion complaisante pour une unité spécialisée d'enquête, aussi compétente soit-elle.

La francisation des malwares

Selon le blogueur spécialisé en sécurité informatique Dancho Danchev, le logiciel malveillant (malware ou maliciel) IcePack serait dorénavant disponible dans la langue de Molière. Cet outil de piratage bien décrit dans cet article de Zataz.com permet d'automatiser l'exploitation des vulnérabilités informatique et met ce type de pratiques à la portée de tous ceux capables de payer les 500 dollars qu'en demandent ses auteurs. 

La mise à disposition d'une version française (qui suit de près la traduction de cet outil en chinois) risque d'augmenter considérablement les instances de vol d'identité ou de données personnelles dans les pays francophones, qui étaient jusqu'à présent quelque peu protégés par leur langue minoritaire à l'échelle mondiale. Danchev qualifie ce phénomène de "localisation", par opposition à la mondialisation. En effet, il s'agit ici de doter des outils universels de piratage informatique de propriétés qui les rendront plus efficaces dans certains contextes régionaux et qui faciliteront l'accès à des victimes potentielles jusque là plus ou moins épargnées. En tout cas, on ne pourra pas reprocher aux fraudeurs de faire la sourde oreille aux exceptions culturelles.

Les sites internet des ambassades de France au service des fraudeurs

Le site français Zataz a révélé il y a quelques jours que le site Internet de l'ambassade de France en Libye avait été infecté par un code malicieux (malware), qui cherche à télécharger sur les ordinateurs des internautes qui le consultent des programmes d'enregistrement clandestin de frappes de clavier. Ces programmes enregistrent les mots de passe des Internautes et les expédient aux pirates qui s'en servent ensuite pour prendre le contrôle de leurs comptes bancaires, d'email gratuit ou Ebay. Zataz a mis à la disposition des internautes la vidéo suivante, qui illustre le fonctionnement du programme:



Hier, il semblait que l'ambassade de France en Israël ait connu le même sort.

Ces récents développements démontrent que la langue ne constitue plus un facteur de protection contre des pirates qui ciblaient jusque là principalement des sites anglophones. Par ailleurs, les administrations qui se dirigent vers un modèle de gouvernement en ligne vont devoir guarantir à leurs usagers des accès parfaitement sécurisés, au risque d'éroder une part importante de leur légitimité.