Tout a commencé par un coup de fil, comme c'est souvent le cas avec les escroqueries en ligne.
La personne à l'autre bout du fil m'a dit qu'il était sergent au bureau du shérif de la ville où j'habitais auparavant. Il a déclaré que j'avais été convoqué pour témoigner devant un grand jury, mais que je ne m'étais pas présenté. Un mandat d'arrêt allait être lancé contre moi.
J'ai expliqué qu'il s'agissait manifestement d'une erreur. Je n'avais reçu aucune convocation. En réalité, cela faisait plus de cinq ans que je n'habitais plus à cette adresse.
Le sergent Brian a déclaré qu'il ne fallait pas s'inquiéter, qu'il s'agissait d'une « visite de courtoisie » avant la délivrance du mandat. Si je souhaitais éviter d'avoir à justifier mon absence devant le juge, je pourrais déposer une « caution » de 1 500 dollars en espèces et régler cette affaire ultérieurement au commissariat de mon quartier. Il m'a ensuite mis en relation avec Dave, le chef d'équipe, afin que celui-ci m'indique comment et où effectuer le paiement.
Plus la conversation avançait, plus mes soupçons grandissaient. J'ai donc commencé à faire des recherches sur Google. Les infractions au Code pénal qu'ils ont invoquées étaient plus ou moins exactes. Les noms qu'ils ont donnés au sergent et au chef d'équipe étaient ceux de véritables policiers de ce commissariat. Il en va de même pour le juge dont j'aurais prétendument enfreint l'ordonnance. Lorsque j'ai demandé à voir une copie de la convocation que j'aurais soi-disant signée, Dave m'a envoyé par e-mail un fichier PDF représentant une véritable convocation devant un grand jury (même s'il s'est avéré qu'elle concernait un district d'un autre État). C' , presque , a été vérifié.
Plus je me démenais, plus ils se montraient insistants. Au bout de plus de 40 minutes, j'en avais assez, j'ai raccroché et j'ai immédiatement appelé le véritable bureau du shérif. La femme qui m'a répondu m'a confirmé que j'étais victime d'une arnaque. On m'a proposé de déposer plainte auprès de la police, mais, a-t-elle ajouté, cela ne servirait à rien. Elle m'a vivement conseillé de contacter le FBI. (Voir les liens ci-dessous.)
Le fait est que j'écris depuis près de trois décennies sur les arnaques en ligne sur . Je pensais avoir déjà tout vu et tout entendu. Le fait que j'y aie cru pendant 15 minutes donne vraiment à réfléchir.
En fin de compte, la quasi-totalité des escroqueries visent des particuliers, qu'il s'agisse d'entrepreneurs individuels comme moi ou d'employés d'entreprises pesant plusieurs milliards de dollars. Une fois que ces cybercriminels auront gagné votre confiance, ils vous exploiteront – vous ou votre employeur – autant qu’ils le pourront, en vidant vos comptes bancaires, en dérobant des données personnelles, des informations sur les clients et des données relatives aux employés , et en portant atteinte à la réputation et à la valeur de votre marque.
Ce n'est pas parce que vous travaillez dans le domaine de la sécurité et que vous pensez connaître toutes les astuces que vous êtes à l'abri. Le petit secret inavouable concernant les escroqueries en ligne, c'est que les personnes qui exposent le plus elles-mêmes et leur entreprise à des risques sont celles qui se croient trop intelligentes pour se faire avoir.
J'aurais dû m'en douter
Il y a beaucoup de gens qui auraient dû faire preuve de plus de bon sens, mais qui ne l'ont pas fait. En février dernier, l'auteur Cory Doctorow – qui compte parmi ses nombreux romans un thriller financier consacré à la cybersécurité – a raconté avoir été victime d'une arnaque de 8 000 dollars perpétrée par des escrocs se faisant passer pour des agents du service de détection des fraudes de sa banque.
«» Cela fait près de trois décennies que j'écris sur les escroqueries en ligne. Je pensais avoir déjà tout vu et tout entendu. Le fait que j’y aie cru pendant 15 minutes donne vraiment à réfléchir. »
À peu près à la même période, Charlotte Cowls, chroniqueuse spécialisée dans les conseils financiers pour The Cut, a avoué avoir perdu 50 000 dollars au profit d'escrocs se faisant passer pour des employés du service client d'Amazon, de la FTC et de la CIA.
Mais ce ne sont que des broutilles comparées à Shan Hanes, ancien PDG de la Heartland Tri-State Bank à Elkhart, au Kansas, qui a perdu 47 millions de dollars des actifs de la banque à la suite d’une arnaque liée à l’investissement dans la crypto- , « ». Dans cette affaire, tant l'ancien PDG que les actionnaires de la banque ont été victimes. La banque a fait faillite ; Hanes a été condamné à 24 ans de prison fédérale pour détournement de fonds.
Les cryptomonnaies faisaient peut-être également partie du mode opératoire de mes escrocs. « Si j’étais resté en ligne, “Dave” m’aurait probablement dirigé vers un distributeur de cryptomonnaies, puis m’aurait demandé de déposer l’argent et de le transférer vers un compte Bitcoin pseudonyme », explique Mason Wilder, directeur de recherche à l’Association des examinateurs certifiés en matière de fraude ( , ACFE).
« Et si j’avais été assez stupide pour faire cela, les escrocs s’en prendraient probablement à nouveau à moi en utilisant une autre arnaque, en augmentant le montant à chaque fois jusqu’à ce qu’il ne reste plus rien à prendre », explique M. Wilder. Il ajoute que les fraudes visant les particuliers ont atteint un niveau record, en particulier les « escroqueries de type "pig butchering" » impliquant de faux investissements dans les cryptomonnaies, qui peuvent coûter des millions de dollars aux victimes.
e Sue-Lin Wong, de The Economist, explique comment ces escroqueries fonctionnent :
Dans un premier temps, les escrocs mettent en place un piège à l'aide de faux profils sur les réseaux sociaux. Ensuite, ils choisissent leur « cochon » en identifiant une cible ; ils l’élèvent en passant des semaines, voire des mois, à instaurer un climat de confiance ; ils l’attirent en les incitant à investir ; et enfin, ils l’abattent en tirant « jusqu’à la dernière goutte » d’eux-mêmes, de leur famille et de leurs amis.
Et, enfin, faire hurler leurs victimes.
La panoplie d'outils des escrocs en ligne ne cesse de s'étoffer
Grâce à des « ressources » disponibles sur Internet, telles que des kits d'outils destinés aux escrocs en herbe, voire des services de fraude à la demande (FaaS) destinés aux cybercriminels paresseux, le taux de fraude n'a jamais été aussi élevé. En 2024, les consommateurs américains ont perdu 12,5 milliards de dollars au profit de fraudeurs – soit une augmentation de 25 % par rapport à l'année précédente –, près de la moitié de ces pertes étant imputables à des escroqueries liées à l'investissement. Étant donné que de nombreuses victimes ne signalent jamais aux autorités qu'elles ont été victimes d'une escroquerie, les pertes réelles sont probablement bien plus élevées.
«La création d’un effet de réseau encouragera davantage de personnes à s’exprimer lorsqu’elles sentent que quelque chose cloche et leur permettra d’obtenir le soutien d’autrui. »Katalin Parti, maître de conférences en sociologie à Virginia Tech
« La technologie a supprimé les barrières à l'entrée, même pour les stratagèmes les plus sophistiqués », déclare M. Wilder. « Il vous suffit d'une connexion Internet pour disposer d'une multitude d'outils. »
Si Internet a considérablement facilité la fraude, l'intelligence artificielle a rendu d'autant plus difficile de détecter que vous êtes victime d'une arnaque, en masquant bon nombre des signaux d'alerte habituels.
Par le passé, vous avez peut-être reçu un appel d'une personne qui tentait de vous convaincre que votre ordinateur était infesté de virus, mais son fort accent étranger et sa maîtrise insuffisante de l'anglais pouvaient le trahir. « Aujourd’hui, l’IA est capable de générer un script et une voix qui donnent l’impression de provenir d’une personne vivant dans la ville voisine de la vôtre », explique M. Wilder.
Avec les progrès rapides de la technologie du « deepfake » , les escrocs peuvent prendre l'apparence et la voix d'une personne que vous connaissez réellement. Demandez donc à cet employé malchanceux de la société d'ingénierie britannique Arup, qui a transféré 25 millions de dollars à des escrocs d' janvier 2024 , lors d'un appel vidéo mettant en scène des « deepfakes » de quatre dirigeants de l'entreprise.
« Trois secondes d'enregistrement vocal suffisent pour imiter la voix d'une personne », explique Katalin Parti, maître de conférences en sociologie à Virginia Tech, dont les travaux de recherche portent sur la cybercriminalité et la manipulation en ligne. « Toute vidéo ou tout fichier audio disponible en ligne peut faire l'objet d'une utilisation abusive de la part d'escrocs. »
La curiosité est un mauvais conseiller
Que ce soit pour les particuliers ou pour les organisations, être pleinement conscient du risque accru de fraude constitue le meilleur moyen d'éviter de se faire escroquer. Les entreprises en prennent bonne note ; selon Cybersecurity Ventures, éditeur du magazine et du podcast « Cybercrime », le marché mondial de la formation à la sensibilisation à la sécurité devrait croître , passant de 5,6 milliards de dollars en 2023 à plus de 10 milliards de dollars en 2027.
« Ne croyez pas tout ce que vous voyez, surtout sur Internet », conseille Parti, « et essayez de résister à la tentation de cliquer sur quelque chose dont vous savez que vous ne devriez pas cliquer. » (Dans le cadre d'une escroquerie tristement célèbre, des cybercriminels nord-coréens se sont fait passer pour des ingénieurs spécialisés dans la blockchain d' , incitant d'autres ingénieurs à télécharger un logiciel malveillant en leur faisant croire qu'il s'agissait de bots ou de logiciels qui leur permettraient de tirer profit des écarts entre les cours des cryptomonnaies sur différentes plateformes.) Si vous êtes malheureusement victime d'une arnaque, faites preuve d'humilité et partagez votre expérience avec d'autres afin qu'ils puissent redoubler de vigilance.
« Nous avons besoin d'une communauté bien informée, où chacun est à l'écoute des autres et où l'on partage les informations concernant les escroqueries commises dans les environs », ajoute-t-elle. « La mise en place d'un effet de réseau encouragera davantage de personnes à s'exprimer lorsqu'elles ont le sentiment que quelque chose cloche et leur permettra d'obtenir le soutien des autres. »
Dans le cadre professionnel, où les pertes financières et les atteintes à la réputation potentielles sont bien plus importantes, les salariés doivent redoubler de vigilance pour éviter d'exposer leur entreprise à des tentatives d'escroquerie. Selon M. Wilder, les employés doivent se méfier des demandes urgentes formulées à la dernière minute – par exemple, sur 4:30 un vendredi après-midi – ou de celles qui nécessitent de modifier les procédures de paiement habituelles. Les organisations pourraient souhaiter revoir leurs protocoles de virement bancaire et mettre en place une séparation des tâches, afin d'empêcher qu'une seule et même personne n'autorise des paiements dépassant un certain montant en dollars.
Outre les formations de sensibilisation à l' et les tests périodiques, les entreprises devraient encourager leurs employés à signaler à leurs supérieurs hiérarchiques toute demande de contact inhabituelle, tout e-mail douteux ou tout appel vidéo suspect qu'ils reçoivent. Ils devraient également éviter de sanctionner les salariés qui ont été victimes d'abus, afin de ne pas dissuader d'autres personnes de se manifester à l'avenir.
« Mais le meilleur moyen de contrôle, c'est la vérification indépendante », ajoute M. Wilder. « Si vous pensez être victime d'une arnaque par deepfake, raccrochez et rappelez la personne en utilisant les coordonnées dont vous êtes sûr qu'elles sont correctes. »
À mesure que l'IA sera intégrée aux outils utilisés par les escrocs, les stratagèmes frauduleux deviendront encore plus sophistiqués et difficiles à détecter. Même les personnes qui s'y connaissent bien en technologie peuvent se faire avoir.
N'oubliez pas : ce n'est pas parce que vous n'êtes pas encore tombé dans le piège d'une arnaque en ligne que cela ne vous arrivera jamais. Croyez-moi sur ce point.
POUR SIGNALER UN DÉLIT OU EN SAVOIR PLUS :
Consultez ces ressources pour en savoir plus sur les formes les plus courantes de cybercriminalité et sur les moyens dont disposent les entreprises pour s'en prémunir.
- Si vous êtes victime d'un cybercrime ou si vous pensez en avoir été la cible, rendez-vous sur . Déposez une plainte dès que possible auprès du Centre de signalement des crimes sur Internet (IC3) du Bureau des enquêtes criminelles de la police des États-Unis ( ) (IC3). Géré par le FBI, le « IC3 » est le centre névralgique chargé de recueillir les signalements relatifs à tous les types de cybercriminalité.
- Pour signaler un cybercrime en cours ou une menace pour la sécurité nationale : . Déposez un signalement sur , tips.fbi.gov ou , ou contactez votre bureau local du FBI à l'adresse .
- Pour en savoir plus sur les ransomwares : . Malgré une accalmie temporaire observée en 2023, les attaques par ransomware visant les secteurs public et privé connaissent à nouveau une forte recrudescence. Voici votre cours «Raas : Guide de défense contre les attaques de ransomware-as-a-service ».
- Pour en savoir plus sur le « Business Email Compromise » (BEC), une menace aux conséquences financières plus lourdes – . Si les ransomwares font la une de l'actualité, le BEC entraîne en réalité des pertes financières nettement plus importantes pour les entreprises. Consultez cette fiche explicative de l' sur les attaques de type BEC pour découvrir des conseils permettant de les repérer et de s'en protéger.
- Pour en savoir plus sur le phishing : . Il s'agit de l'une des formes les plus tristement célèbres et les plus répandues d'attaques d'ingénierie sociale de type « » ( ), et elle est désormais plus difficile à détecter grâce à l'IA. Voici notre guide explicatif « » consacré aux différents types d'hameçonnage, aux risques associés et aux mesures de prévention :.
- Pour prendre les devants face à la cybermenace – Envisagez de devenir un « partenaire du secteur privé » du FBI dans le cadre du programme «
». Vous pouvez découvrir comment les entreprises collaborent avec le FBI ( ) en cliquant ici :.
