La prévention des comportements à risque chez les jeunes: c'est la barbe!

Le célèbre intervieweur de l'émission Inside the Actor's Studio, James Lipton, a prêté sa barbe à une campagne de prévention destinée aux jeunes afin de les sensibiliser aux périls de comportements impulsifs en matière d'utilisation des fonctions enrichies de leur téléphone portable comme la photo, les messages textes ou encore les sites de réseaux sociaux.

Le message insiste sur les conséquences indésirables de comportements tels que le fait de répandre des rumeurs sur des amis ou connaissances, ou de faire circuler des images compromettantes de soi qui pourraient échapper au contrôle de la personne représentée. Mais ce qui me semble le plus intéressant, c'est qu'il n'est ni condescendant ni alarmant. Il utilise plutôt le ressort de l'humour pour essayer d'attirer l'attention des adolescents sur ces pratiques qu'ils considèrent bien souvent comme normales, alors qu'elles sont susceptibles de créer des torts psychologiques importants à ceux qui en sont les victimes.

L'un des quatre films disponibles ici:

Campagne de sensibilisation contre le vol d'identité au Québec

Cette semaine, l'Institut de Sécurité de l'Information du Québec (ISIQ) lance sa troisième campagne de sensibilisation sur la protection de l'identité sur Internet. Celle-ci comprend un certain nombres d'activités et de contenus afin d'aider les Québécois à réduire les risques de vol d'identité auxquels ils sont exposés. C'est très bien fait, et on a même trouvé un porte parole de renom pour aider à faire passer le message.

Cependant, après trois ans, une question légitime serait celle de l'efficacité d'une telle campagne. On ne peut pas forcément s'attendre à des effets directs comme la baisse de la victimisation, mais peut-on au moins mesurer des changements dans les comportements des internautes qui permettraient d'affirmer que ces campagnes atteignent leurs objectifs? Un article publié sur le site Canoë soulignait la paradoxe apparent entre une campagne récurrente et des chiffres de la criminalité présentés comme étant en augmentation.

À vrai dire, on ne sait pas réellement si les chiffres du vol d'identité augmentent, stagnent ou diminuent, car les statistiques présentés par l'ISIQ sont tirés d'un sondage mené par le Ministère de la Sécurité Publique du Québec en 2007 qui lui n'a pas été reconduit. Ce qui fait que le point de mesure unique ne permet de dégager aucune tendance.

Il est certain par contre qu'une campagne de sensibilisation au vol d'identité ne devrait pas nécessairement se focaliser sur les seules transactions en ligne. En effet, dans une étude menée plus tôt cette année, nous avons montré que les voleurs d'identité n'utilisent Internet pour acquérir l'identité de leur victime que dans un peu moins de 20% des cas.

Comme on le voit, bien des mesures de prévention sont encore conçues et mises en oeuvre sans que l'on sache vraiment si elles correspondent au phénomène auquel elles prétendent s'attaquer, ni si elles produisent des effets tangibles.

Quel est le profil des prédateurs sexuels sur Internet?

Le Crime Against Children Research Center de l'Université du New Hampshire aux USA vient de publier les résultats de son étude longitudinale sur le profil des pédateurs sexuels arrêtés par la police aux États Unis en 2006 (la première étude avait été menée en 2001). Les données proviennent directement des enquêteurs qui ont procédé aux arrestations, ce qui constitue un excellent exemple de collaboration entre chercheurs et praticiens, et permet de produire des connaissances nouvelles qui permettent de discréditer un certain nombre de mythes sur la dangerosité de l'Internet pour les enfants et les adolescents.

Parmi les résultats les plus intéressants:

• Entre 2000 et 2006, le nombre de prédateurs arrêtés qui avaient sollicité des mineurs en ligne afin de les convaincre d'avoir des rapports sexuels a augmenté de 21%, alors que le nombre de prédateurs arrêtés après avoir contacté des policiers se faisant passer pour des mineurs a augmenté de 381%. Cela semble indiquer que les organisations policières nord américaines sont très actives, et mêmes proactives, dans ce domaine. En effet, pendant la même période, le nombre total d'arrestations pour abus sexuels commis contre des mineurs diminuait de 10%.
• Les arrestations de prédateurs sexuels en ligne représentent seulement 1% de l'ensemble des arrestations pour abus sexuels de mineurs, et la majorité des victimes d'abus sexuels ont toujours plus à craindre des membres de leur famille ou de leur entourage que d'inconnus rencontrés sur Internet.
• Dans l'immense majorité des arrestations impliquant des victimes mineures, les victimes avaient plus de 13 ans (95%), elles étaient informées des attentes des prédateurs, et seulement 5% des rencontres impliquaient des violences imposées aux victimes (et 2% des enlèvements). Cela confirme les résultats de 2001 selon lesquels les victimes étaient en grande majorité des participantes informées prenant une part active aux abus sexuels, et que la nature de l'abus reposait majoritairement sur l'incapacité légale de fournir un consentement éclairé.
• Contrairement à une crainte couramment répandue, les sites de réseaux sociaux ne semblent pas exposer les adolescents à du harcèlement ou des enlèvements facilités par les informations personnelles mises en ligne.
• La plupart des prédateurs sont des hommes (99%) blancs (84%) qui n'ont jamais été arrêtés auparavant pour des crimes contre des mineurs (90% pour ceux impliquant des victimes mineures et 97% pour ceux arrêtés par des policiers prétendant être des mineurs). Il semble donc que les efforts imposés aux sites de réseaux sociaux afin d'éliminer de leurs fichiers les personnes déjà condamnées pour des abus sexuels contre des mineurs soient relativement inutiles et consistent principalement en un exercice incontournable de relations publiques.
• Un changement notable concerne le rajeunissement des suspects, dont 40% sont âgés de 18 à 25 ans contre 23% en 2001. Cette augmentation ne correspond pas à une augmentation générale des arrestations pour abus sexuels dans cette tranche d'âge et peut s'expliquer soit par de nouvelles pratiques déviantes qui se manifestent d'abord en ligne chez cette génération, soit par l'effacement des frontières de socialisation sexuelle entre jeunes adultes âgés de 13 à 25 ans.

Outre la réussite des organisations policières dans la lutte contre les prédateurs sexuels que cette étude semble indiquer, une approche renouvelée dans la conception des programmes de prévention destinés aux adolescents paraît indispensable. Au lieu de mettre l'accent sur des risques de violence, de viol et d'enlèvement qui semblent marginaux, les campagnes de sensibilisation s'adressant aux jeunes devraient plutôt décourager ceux-ci d'échanger des propos et des images sexuellement explicites avec des inconnus, de se lancer dans des relations amoureuses et sexuelles avec des adultes, et les sensibiliser aux interdictions légales entourant de telles rencontres. 

Facebook fait payer pour la sécurité

Le très populaire site de réseaux sociaux Facebook (120 millions d'utilisateurs) viendrait (selon le blog Webmonkey) de lancer un programme de vérification de l'intégrité des applications offertes par des tierces parties à ses usagers. Il y aurait actuellement 52.000 applications créées par des tiers mais distribuées par Facebook à ses membres. Le nouveau programme confère aux développeurs de logiciels qui en font la demande un label de qualité destiné à rassurer les usagers sur la sécurité des logiciels qu'ils installent. En effet, certaines de ces applications se sont avérés être des malwares (maliciels) infectant les ordinateurs des usagers à leur insu (voir par exemple ici ou ici). Le seul hic de ce programme est qu'il est accompagné de frais s'élevant à 375$ pour les auteurs de ces applications.

Ma question est alors la suivante: si l'on peut comprendre que Facebook cherche à récupérer une partie des coûts associés à la vérification approfondie de la non-dangerosité des programmes mis à la disposition de ses usagers, pourquoi a-t-il fallu attendre si longtemps pour que des contrôles minimaux soient établis, et pourquoi continue-t-il à accepter des programmes sans avoir au préalable procédé à une évaluation de leur sécurité?

Serait-ce tout simplement parce que la sécurité était jusqu'à récemment une variable absente de son modèle d'affaire?

L'humiliation publique des délinquants sur YouTube

Un juge de Floride vient de trouver un nouvel usage à YouTube: Il vient de condamner deux adolescents à mettre en ligne une vidéo d'excuses publiques à la suite d'un incident dans le "drive-through" d'un restaurant Taco Bell. Les deux jeunes délinquants n'avaient en effet rien trouvé de mieux à faire pour se divertir que d'utiliser les verres en plastiques remplis de boissons gazeuses que venait de leur remettre une employée du restaurant comme d'un projectile contre cette dernière, et d'enregistrer cette scène d'anthologie au moyen d'une caméra vidéo, avant de diffuser le tout sur YouTube. D'après l'article du quotidien USAToday, cette pratique serait tellement répandue parmi les adolescents désoeuvrés des banlieues cossues américaines qu'elle aurait même un nom: le coup du "fire in the hole" (le feu dans le trou). 

Le juge a décidé de retourner l'outil YouTube contre ceux qui comptaient s'en servir pour bénéficier d'une fugace notoriété, en les obligeant à enregistrer une vidéo de repentance et d'excuses qui peut être visionnée ici. Une des particularité de la vidéo est que l'identité des coupables est cachée, puisqu'ils sont mineurs. Il y a donc fort à parier que l'effet d'humiliation publique d'une telle peine soit pour le moins limité. Par ailleurs, un blogueur de SiliconValley.com se questionne à juste titre sur l'opportunité d'une sentence qui semble renforcer l'effet de médiatisation qui était recherché par les auteurs, en leur donnant l'occasion de se mettre en scène une deuxième fois et d'augmenter ainsi leur petite notoriété. Comme le précise la victime, elle aurait préféré que les deux adolescents lui adressent directement leurs excuses, plutôt que d'avoir à les visionner par l'intermédiaire de YouTube. 

Le plus ironique de toute cette histoire est que le travail d'enquête n'est pas le résultat de la compétence de cyber-policiers. C'est en effet la victime elle-même qui a retrouvé les coupables sur Internet par le biais de la page MySpace de l'un d'entre eux, avant de se lier d'amitié virtuelle avec lui afin d'obtenir son nom, et d'appeler sa mère pour identifier l'autre personne impliquée. L'humiliation réside bien plus selon moi dans la facilité avec laquelle la victime a pu identifier les deux délinquants et transmettre leurs noms à la justice que dans la peine qui leur a été infligée par un système judiciaire qui semble avoir du mal à imaginer le rôle que les nouvelles technologies pourraient jouer dans le prononcé et l'administration de sanctions dissuasives et/ou réparatrices.

La cyberintimidation: une spécificité adolescente?

La journaliste Émilie Côté nous propose ces jours-ci dans le quotidien La Presse une série d'articles forts bien documentés sur la cyberintimidation et sur les conséquences dévastatrices pour ceux qui en sont les victimes. La cyberintimidation recouvre les menaces et insultes proférées entre adolescents par le biais des divers outils de communication comme l'Internet ou les téléphones cellulaires (pour les adultes, on parle de cyberharcèlement). La distinction fondamentale avec les pratiques d'intimidations traditionnelles enregistrées dans les cours d'école est la permanence de la victimisation et l'impact disproportionné sur ceux qui en sont l'objet.

En effet, alors que les intimidations traditionnelles cessent une fois l'élève rentré chez lui, la cyberintimidation prolonge son calvaire en s'infiltrant aussi dans sa vie privée et en se rappelant constamment à lui. De plus, les rumeurs colportées ne dépassent pas dans les cas d'intimidation traditionnelle le cercle relativement restreint des élèves d'une école, alors que sur Internet, le public potentiel de tels actes est quasiment illimité et qu'il est beaucoup plus difficile de tirer un trait sur des informations diffamatoires qui vont rester en ligne pour une durée indéfinie.

Émilie Côté revient dans ses articles sur l'ampleur du phénomène au Québec et au Canada. Elle nous donne quelques exemples concrets de pratiques de cyberintimidation et traite des conséquences parfois irrémédiables (suicide) pour les victimes. Elle nous montre que depuis que les professeurs sont aussi visés, les programmes de prévention se mettent en place plus facilement, car ces derniers sont représentés par des syndicats puissants, contrairement aux élèves dont les parents peuvent difficilement influencer le fonctionnement des établissements. Finalement, la question des sanctions judiciaires et de la difficulté à les mettre en oeuvre est abordée.

Ces comportements devraient être étudiés d'autant plus près et prévenus qu'un sondage récent mené aux États-Unis sur un échantillon de plusieurs milliers de jeunes montre qu'ils sont en recrudescence et que les relations entre adolescents sur Internet ont tendance à devenir de plus en plus inciviles.

La Roumanie, leader mondial de la fraude sur les sites de ventes aux enchères?

Un article publié dans le Los Angeles Times nous explique comment les fraudeurs roumains semblent avoir peaufiné l'art de la fraude sur les sites de ventes aux enchères, dont le plus connu est certainement eBay. Les fraudes impliquent soit la non livraison d'un bien promis, malgré le paiement par la victime, soit la livraison d'un bien qui ne correspond pas aux spécifications annoncées. Une autre variante est la fraude de la "deuxième chance", qui consiste pour les fraudeurs à contacter une personne ayant participé à une enchère sans avoir remporté cette dernière et à lui proposer un produit identique au prix qu'elle était prête à payer -- ou à un montant inférieur pour rendre l'offre encore plus attractive. Les sites d'enchères permettent dans ce dernier cas aux fraudeurs d'identifier des victimes à la recherche d'un produit en leur faisant savoir combien celles-ci sont disposées à dépenser pour obtenir celui-ci.

L'article examine l'organisation et la division du travail au sein des groupes de fraudeurs, qui emploient des étudiants pour contacter à la chaîne leurs futures victimes et des "mules" pour rapatrier l'argent transféré par le biais d'entreprises spécialisées comme Western Union. Ces groupes créent parfois également des entreprises de fournisseurs d'accès à Internet, afin de faciliter leurs opérations. L'article décrit le sentiment d'impunité qui anime les fraudeurs face à des services de police et des systèmes judiciaires de pays de l'ancienne Europe de l'Est mal équipés pour faire face à une criminalité aussi sophistiquée.

L'aspect le plus intéressant est cependant la description de l'implication d'eBay auprès des agences d'application de la loi roumaines, sous la forme de séances de formation offertes aux policiers et aux juges, d'équipements informatiques neufs et d'abonnements à Internet destinés à ces derniers. L'étroite collaboration entre le service des fraudes de l'entreprise et les organisations policières américaines présentes à l'étranger est également mise de l'avant, même si de l'aveu des acteurs impliqués, les spécificités du système judiciaire local rendent les poursuites pénales très lentes. À partir de cette expérience, eBay aurait développé un programme de sensibilisation des autorités étrangères prêt à être déployé au moindre signe qu'une région du monde est en train de développer une expertise de niveau international en matière de fraude.

Il serait intéressant de connaître les détails de ce programme. Mais il est également fascinant de voir quel rôle jouent des entreprises privées dans la gouvernance internationale de la sécurité informatique, essayant de se substituer avec des moyens dont il est difficile d'évaluer l'ampleur à des services de police et à des organisations internationales de coopération policière (Interpol, Europol) qui semblent pour le moins démunis.

Les campagnes de prévention facilitent-elles le travail des fraudeurs?

Une fraude actuellement menée à grande échelle en Ontario exploite la peur du vol d'identité de la population. Les fraudeurs se font ici passer pour des représentants de la Direction de la protection des consommateurs de l'Ontario, et font croire à leurs victimes que celles-ci ont fait l'objet d'un vol d'identité, puis les persuadent de leur communiquer les informations relatives à leurs comptes bancaires sous le prétexte qu'ils vont les aider à transférer leur argent en lieu sûr. L'efficacité de cette méthode (qui n'est pas nouvelle en soi) s'appuie en grande partie sur les campagnes de sensibilisation menées au Canada et aux États-Unis par les divers ordres de gouvernement et par les institutions bancaires, qui mettent en garde les consommateurs contre divers usages frauduleux de leurs renseignements personnels. Le ressort de l'arnaque consiste ici à retourner l'anxiété créée par de telles campagnes au profit des fraudeurs et à convaincre les victimes que ces derniers sont là pour les aider, la confiance ainsi établie permettant de finaliser la fraude.

Cette approche illustre parfaitement la forte composante d'ingénierie sociale mise en oeuvre par les fraudeurs, et les limites des préconisations "statiques" ou techniques faites aux consommateurs, comme par exemple de se procurer une déchiqueteuse de papier. Devant la créativité des fraudeurs, des recommandations trop spécifiques risquent d'être rapidement périmées, et on devrait certainement plutôt s'orienter vers des campagnes qui visent à changer les comportements des consommateurs, dont le sens critique vis-à-vis des diverses institutions leur demandant des renseignements personnels pourrait être avantageusement renforcé.

Une initiative de prévention décriée dans le New Jersey

Le procureur général de l'état du New Jersey, aux États-Unis, a demandé à quatre grandes banques de lui communiquer les mesures qu'elles prennent pour combattre le vol d'identité, et notamment l'hameçonnage (ou phishing), qui consiste à obtenir frauduleusement des données personnelles (numéros de comptes, codes secrets) à l'aide de courriers électroniques prétendument expédiés par des entreprises légitimes. Cette initiative qui vise à obtenir une plus grande transparence de la part des institutions financières est louable. En effet, on suspecte que les critères de revenu et de profitabilité restent un obstacle de taille se dressant sur le chemin d'une plus grande sécurité de l'identité dans les transactions en ligne.

Cependant, le second volet de cette campagne, qui encourage les banques à communiquer avec leurs clients par courriel afin de les informer qu'elles ont été victimes de ce type de fraude et de les conseiller sur les meilleurs moyens de s'en protéger, est plus douteux. En effet, comme le soulignent les experts consultés par les journalistes du Washington Post, cette initiative pourrait être exploitée par des fraudeurs qui se serviraient de sa médiatisation pour envoyer leurs propres courriels à des victimes potentielles. Dans un tel cas de figure et malgré toute la bonne volonté du monde, le procureur crée les conditions d'une victimisation accrue en conférant une crédibilité additionnelle aux missives des fraudeurs. Une prise de contact plus personnalisée et difficile à contrefaire, comme une lettre sur support papier, une visite en personne à son conseiller bancaire ou un séminaire organisé dans chaque succursale seraient de loin préférables.