Depuis des années, les courriels frauduleux et les logiciels malveillantsse propagent sur l'internet. Grâce à de l'information tirée de sites comme Facebook et LinkedIn, la menace est toutefois plus ciblée que jamais : courriels personnalisés, coordonnées financières précises et sollicitation apparemment légitime provenant de personnes ou d'institutions connues.
Un internaute pris à l'étranger se dit prêt à vous vendre son véhicule remisé à Montréal si vous acceptez de le payer en ligne. Une collègue en voyage en Afrique vous demande de faire un virement bancaire de toute urgence pour la dépanner. La banque vous envoie un courriel contenant votre numéro de carte de crédit et vous exhorte à changer votre mot de passe à la suite d'une fraude au Moyen-Orient. Ça semble normal? Ça ne l'est pas. C'est la plus récente vague de fraudes en ligne, plus raffinée que jamais. Et les Québécois n'y échappent pas.
L'automne dernier, Chéli Sauvé-Castonguay et son copain s'apprêtaient à faire l'achat d'une nouvelle propriété. C'est un moment excitant dans la vie de tout jeune couple: posséder enfin sa propre maison. C'est aussi angoissant: l'hypothèque, les rénovations, les mauvaises surprises... Par exemple, la disparition soudaine des 10 000$ qui avaient été mis de côté pour le premier versement hypothécaire.
«Dix mille dollars, c'est une somme énorme pour nous. Imagine en plus quand tu essaies d'acheter une maison! Ça m'a vraiment fait paniquer», raconte la jeune professionnelle montréalaise.
C'est à ce moment qu'un représentant de la banque RBC lui a téléphoné pour l'avertir qu'elle était victime d'une fraude: plusieurs retraits successifs de sommes variables dans son compte d'épargne avaient alarmé le service de sécurité de l'institution bancaire.
Pourtant, quelques jours plus tôt, Mme Sauvé-Castonguay, animatrice à MusiquePlus, avait rempli un formulaire envoyé par courriel par la RBC, qui visait justement à renforcer les mesures de prévention contre l'hameçonnage. Comment les pirates ont-ils pu déjouer cette sécurité additionnelle?
En fait, ce sont eux qui lui ont envoyé le courriel. Celui-ci a redirigé la pauvre victime vers un site établi en Russie qui reproduisait à merveille celui de la RBC, a récupéré son nom d'usager et son mot de passe et a permis aux malfaiteurs de virer ses économies vers un autre compte, d'où elles ont été retirées et probablement expédiées à l'extérieur du pays par envoi postal.
C'est un cas classique de fraude bancaire en ligne. Malgré les avertissements et les mesures de sécurité renforcées, le phénomène continue de progresser au Canada. Depuis 10 ans, la valeur de ces fraudes a crû de plus de 60% au pays, selon le peu de statistiques que publient les institutions financières canadiennes à ce sujet.
Facebook: une arme pour les pirates
Ce n'est pas en 2011 que ça va ralentir. La popularité fulgurante des réseaux sociaux comme Facebook et LinkedIn, au Canada, donne de nouvelles armes aux pirates informatiques étrangers. Ils n'hésitent pas non plus à voler les listes d'envoi de grandes entreprises. McDonald's s'est d'ailleurs fait prendre, l'an dernier.
Grâce à ces données, même s'ils sont établis en Europe de l'Est, aux États-Unis ou en Amérique du Sud, les pirates nous connaissent comme s'ils étaient nos voisins immédiats, constate David Poellhuber, fondateur de Zerospam, une société montréalaise qui combat les courriels frauduleux pour le compte d'institutions bancaires et de fournisseurs de services internet.
«Facebook, c'est le WikiLeaks de l'information privée. Avec tout ce qu'on y trouve, les fraudeurs ont les moyens de créer des messages particulièrement ciblés. En 2011, je ne serais pas surpris qu'on voie un cas de fraude de plusieurs millions de dollars dans la haute direction d'une grande entreprise canadienne, lié à l'utilisation excessive d'un site de ce genre», dit-il.
Les jeux multijoueurs en ligne sont aussi une nouvelle plateforme pour ces menaces, selon lui, comme tout ce qui s'apparente à un lieu sûr mais ne l'est pas. «Les pirates essaient de percer des réseaux auxquels les internautes font confiance, mais qui sont mal protégés. Les jeux en ligne et les sites publics en sont d'excellents exemples.»
Si l'envoi massif de courriels frauduleux, l'hameçonnage, a diminué depuis trois mois, cette nouvelle génération de messages ciblés et hautement personnalisés, appelée harponnage, est en plein essor. Le FBI a décelé les premiers cas en 2005. En 2011, il évalue le harponnage à 6 milliards de courriels, soit 6,3% de l'ensemble des courriels frauduleux.
Bref, les pirates ne mettent plus seulement une ligne à l'eau en espérant que ça morde. Ils lancent une attaque ciblée sur des victimes bien précises. Les lieux de l'attaque sont multiples: boîte de courriel, Facebook, petites annonces sur Kijiji ou LesPAC, tout y passe.
Véritable roman d'espionnage
Il n'y a pas que la façon de leurrer les victimes qui se soit raffinée. Le modus operandi pour faire sortir l'argent du pays est aussi complexe. Quand on écoute Benoît Dupont, directeur du Centre international de criminologie comparée et titulaire de la chaire en sécurité, identité et technologie à l'Université de Montréal, on a l'impression qu'il cite un roman d'espionnage.
En 2011, c'est pourtant la réalité: «C'est une industrie très structurée. Des opérateurs situés à l'étranger utilisent des logiciels malveillants pour infiltrer des ordinateurs au Canada. Ceux-ci reconnaissent l'accès à un site bancaire, notent les codes d'accès et les renvoient à l'opérateur, qui les revend à un tiers. Il offre même un service après-vente: si les codes ne sont pas bons, il en fournit de nouveaux.»
«Ceux qui achètent ces codes en lot dirigent ensuite l'argent vers un autre compte. Ils recrutent des internautes désireux de faire de l'argent facilement, qui retirent ces fonds et les envoient à l'étranger grâce à un service traditionnel, comme Western Union. On soupçonne même des étudiants étrangers d'avoir séjourné au Canada grâce à un visa d'études, et dont la tâche était justement de récupérer cet argent.»
Cette sous-traitance de la fraude internet est inquiétante, mais le professeur Dupont demeure optimiste. «On a l'impression que les banques canadiennes sont impuissantes, mais c'est faux: elles font beaucoup d'efforts pour empêcher la fraude. Même si la valeur des fraudes augmente, au pays, c'est à un rythme inférieur à celui de toutes les transactions.»
Elles sont aussi conciliantes envers les victimes. Chéli Sauvé-Castonguay a été remboursée par RBC, une semaine après la constatation de la fraude. Elle jure qu'elle a retenu la leçon. «Je me méfie de tout. J'ai réduit mes transactions en ligne au strict minimum. Je paie mes factures au guichet. Si la banque m'appelle, je demande un numéro pour les rappeler.» Bref, on ne l'y reprendra plus.
Des mesures simples pour éviter le pire
Les mesures pour se prémunir contre la fraude en ligne sont simples. Les éditeurs de logiciels de sécurité proposent bien sûr des logiciels conçus exprès pour protéger les postes informatiques contre les virus, les logiciels malveillants et l'hameçonnage, mais les pirates savent déjouer ces outils de base. C'est pourquoi les experts recommandent la méfiance lorsque vient le temps de surfer dans des zones inconnues de la Toile. Voici leurs conseils.
Éviter de télécharger, d'ouvrir ou d'exécuter des fichiers reçus en pièce jointe d'une source inconnue, pour une raison suspecte ou également inconnue.
Éviter de cliquer sur un lien contenu dans un courriel dont on ne connaît pas l'origine. De même, éviter de télécharger ou d'ouvrir un document téléchargé à partir d'un site web sur lequel on atterrit après avoir cliqué sur un hyperlien d'origine incertaine.
Vérifier l'adresse internet des sites où nous envoient des services d'abréviation comme Bit.ly et Tiny URL. Ces services sont très populaires sur Facebook et Twitter et seraient une mine d'or pour les pirates.
Limiter son inscription à des applications ou à des jeux sur Facebook. Facebook ne supervise pas la sécurité de ses applications, conçues par des tiers, mais celles-ci peuvent récupérer assez facilement l'information personnelle des utilisateurs.
Observer la qualité du français dans les messages. Souvent, les pirates traduisent un message en anglais à l'aide d'un service de traduction en ligne, ce qui donne des résultats plus qu'approximatifs. Une entreprise comme Desjardins, elle, ne commettra pas de telles fautes de français dans ses communications officielles.
(Sources: Centre international de criminologie comparée, FBI, Symantec, ZeroSpam)
Suivez-moi sur Twitter: @mcken