Témoignages sur la cybercriminalité

Sandra | Steve | Koby | Michelle

L'expérience de Sandra

Sandra E. travaille dans les ressources humaines dans une petite ville de Miami, en Floride.Elle se sert d'un ordinateur dans le cadre de son travail depuis plus de dix ans.Au travail, son ordinateur est géré par le service informatique de l'entreprise et elle n'a jamais eu aucun problème de sécurité avec son ordinateur.

Elle ne se considère pas comme une néophyte en informatique et estime qu'elle ne risque pas vraiment d'être victime d'une fraude en ligne, pour les raisons suivantes :

• Elle n'achète rien en ligne car elle ne veut pas divulguer d'informations sur sa carte de crédit et ne veut pas que les informations concernant ses achats soient stockées et utilisées pour créer un profil de ses goûts.
• Elle utilise simplement son ordinateur domestique pour envoyer du courrier électronique à ses amis et à sa famille, pour consulter le Web à la recherche d'informations concernant son activité professionnelle et pour gérer ses comptes en ligne une fois par mois sur le site Web de sa banque.
• Il lui arrive occasionnellement de regarder d'autres choses sur Internet.

La situation de Sandra semble assez sûre.

Malheureusement, les apparences sont trompeuses.Au travail, l'été dernier, elle a entendu parler d'une nouvelle faille dans le navigateur Internet Explorer qui était si importante que le service informatique de son entreprise a dû appliquer un correctif d'urgence à tous les ordinateurs.Elle a voulu s'assurer que son ordinateur domestique était aussi protégé et a donc consulté Internet à son retour pour obtenir plus d'informations sur cette faille, et pour savoir si elle était protégée.

Grâce à un moteur de recherche connu, elle a trouvé un site Web qui proposait non seulement des informations sur la faille mais aussi la possibilité de télécharger automatiquement un correctif adapté sur l'ordinateur.Sandra a lu toutes ces informations mais a refusé le téléchargement, car elle avait appris à refuser tout téléchargement en provenance d'une source suspecte. Elle a ensuite consulté le site officiel de Microsoft pour obtenir le correctif.

Quelle erreur a-t-elle commise ?

Malheureusement, du fait que Sandra avait lu des informations sur la vulnérabilité sur le premier site, l'escroc qui avait créé le site Web avait profité du fait que son ordinateur était justement affecté de cette vulnérabilité. En fait, lorsqu'elle a cliqué sur "Non" (pour refuser le téléchargement proposé), un logiciel criminel petit mais puissant était déjà en train de s'installer à son insu.

Ce programme était un programme d'enregistrement de frappes de clavier.Au même moment, le créateur du site Web était déjà informé que le programme d'enregistrement de frappes de clavier s'était correctement (et secrètement) installé sur l'ordinateur de Sandra. Le programme était conçu pour enregistrer discrètement toutes les informations tapées à partir du clavier et pour les envoyer au créateur du site Web.Il a fonctionné à merveille, enregistrant tout ce que Sandra tapait (tous les sites Web visités, tous les messages électroniques envoyés) et envoyant ces informations au cybercriminel.

Plus tard ce soir-là, Sandra a consulté son compte bancaire en ligne comme chaque mois.Lorsqu'elle s'est connectée pour consulter son compte bancaire personnel, le programme d'enregistrement de frappes de clavier a également enregistré ces frappes, y compris des informations confidentielles : le nom de sa banque, son ID utilisateur, son mot de passe, les quatre derniers chiffres de son numéro de sécurité sociale et le nom de jeune fille de sa mère. Le système de la banque était sécurisé et toutes les données saisies étaient chiffrées. Nul ne pouvait ainsi intercepter les informations. Cependant, le programme d'enregistrement de frappes de clavier enregistrait les informations en temps réel - pendant la frappe - avant qu'elles ne soient chiffrées ; il était donc capable de contourner la sécurité qui avait été mise en place.

Ce n'était qu'une question de temps avant que le nom de sa banque, son identifiant d'utilisateur et le nom de jeune fille de sa mère ne tombent aux mains du cybercriminel. Ce dernier a ajouté son nom ainsi que toutes les autres informations recueillies à sa longue liste de victimes et l'a vendue à un tiers rencontré sur Internet qui se spécialisait dans l'exploitation d'informations bancaires volées pour effectuer des prélévements illégaux.Quelques semaines plus tard, lorsque Sandra est allée déposer de l'argent sur son compte, elle a été étonnée de constater que son compte était presque vide.Sandra a été la victime d'un cybercrime. Il s'agit du genre d'histoire qui vient à l'esprit lorsque le terme "cybercriminalité" est évoqué. Et cette histoire devient de plus en plus familière.Consultez les autres témoignages pour en savoir davantage sur la cybercriminalité.

L'expérience de Steve

Steve F. vit dans la banlieue de Kansas City, Missouri, et est retraité de l'administration. Steve s'était équipé d'un logiciel antivirus et d'un pare-feu, et le mettait à jour régulièrement. Il savait qu'il ne faut pas cliquer sur une pièce jointe dans un message électronique s'il n'en attend pas, qu'il s'agisse d'un message de ses amis ou d'un expéditeur inconnu.

Un jour de septembre, Steve a reçu un message électronique qui semblait provenir de sa banque, lui demandant de se connecter à son compte bancaire pour mettre à jour ses informations personnelles.Il a cliqué sur l'URL contenue dans le message électronique et a obtenu directement le site Web de sa banque. Ou du moins, c'est ce qu'il pensait. En réalité, l'URL du message a dirigé Steve vers une réplique du site Web de sa banque. Le site semblait identique à celui de sa propre banque, et donc, lorsqu'il lui a été demandé son numéro de compte, son nom d'utilisateur et son mot de passe, il les a fournis sans hésiter. Puis il se souvint d'une discussion entendue environ deux mois auparavant lors d'une réunion de son Rotary Club.

L'invité du Rotary Club avait parlé des attaques par phishing, en mentionnant particulièrement les répliques de sites Web. Steve s'est souvenu que les banques n'envoyaient jamais à leurs clients de messages électroniques contenant un lien et demandant aux utilisateurs de cliquer pour se connecter à leur compte en banque.L'invité avait conseillé de supprimer simplement les messages de ce genre.Et c'est ce qu'a fait Steve.

Steve a failli être la dernière victime d'une attaque par "phishing". Cependant, il s'est souvenu à temps d'une règle simple : une banque n'envoie jamais de lien Web par courrier électronique pour demander des informations personnelles.S'il avait saisi les informations demandées, les cybercriminels auraient obtenu tout ce dont ils avaient besoin pour manipuler son compte en banque.

L'expérience de Koby

Certaines méthodes de phishing peuvent être relativement sophistiquées. Koby, professeur de collège, a récemment été la victime de l'une de ces méthodes.Koby utilisait eBay pour vendre l'un de ses véhicules et a trouvé un acheteur en quelques jours.L'acheteur a payé le véhicule et Koby a retiré son annonce d'eBay.

Il est resté perplexe lorsqu'il s'est connecté à son compte eBay et a été informé qu'il avait un article à vendre.Il a regardé la page des articles à vendre et le véhicule, identique à celui qu'il venait de vendre, s'y trouvait bien ! Il a cependant remarqué quelque chose de très suspect :l'adresse électronique indiquée dans ses coordonnées n'était pas la sienne.Elle était très similaire, similaire au point que la plupart des gens ne remarqueraient ni ne soupçonneraient jamais rien, mais Koby savait que c'était suspect.

Il a donc envoyé un message électronique au soit-disant vendeur, se faisant passer pour un acheteur potentiel, et a pris des dispositions pour envoyer l'argent.Il s'est avéré que le soit-disant vendeur était à Chicago.Koby a transmis les informations au FBI qui a suivi la piste des fraudeurs.Comment les fraudeurs ont-ils pu accéder au compte de Koby ? Koby avait reçu un message électronique de "phishing" indiquant que son compte eBay avait été attaqué et l'incitant à cliquer sur une URL pour accéder à son compte.Il a cliqué sur l'URL et a été dirigé vers une page identique à celle de la page de connexion d'eBay, dans laquelle il a saisi les informations sur son compte.Les criminels ont ensuite utilisé ces informations pour se connecter à son compte et changer ses coordonnées.

L'expérience de Michelle

Michelle, esthéticienne du Kansas, a eu son premier ordinateur il y a trois ans. Elle s'en servait pour communiquer avec ses anciens amis d'université. Elle recherchait aussi les derniers produits de beauté en ligne, sans jamais rien acheter.Mère célibataire avec deux garçons à charge, Michelle laissait surtout l'ordinateur à ses enfants pour qu'ils fassent des recherches sur des projets scolaires.

L'an dernier, Michelle a remarqué que l'ordinateur était plus lent.En fait, au moment où nous l'avons rencontrée, Michelle et ses enfants n'utilisaient plus l'ordinateur parce que sa lenteur le rendait inutilisable.

A Noël elle avait l'intention d'acheter quelques petits cadeaux pour certains de ses collègues.Elle voulait tout particulièrement trouver des coccinelles pour l'une de ses collègues.Comme elle ne pouvait plus utiliser son ordinateur, elle a emprunté celui de sa grand-mère pour effectuer ses achats.Peu après, elle a constaté que l'ordinateur de sa grand-mère était lent, et a conclu que l'informatique n'était vraiment pas faite pour elle.

Le nouveau compagnon de Michelle, étudiant en sciences informatiques, a cependant deviné immédiatement l'origine du problème lorsqu'elle lui a parlé de la lenteur des ordinateurs : les logiciels espions. Il a téléchargé un programme de détection des logiciels espions et a confirmé son diagnostic.Il lui a fallu plusieurs jours pour rétablir la situation mais il est parvenu à supprimer les logiciels espions des ordinateurs.Il a installé des logiciels antivirus et de sécurité sur l'ordinateur de Michelle et sur celui de sa grand-mère. Elles ont pu de nouveau utiliser Internet.Mais l'histoire ne s'arrête pas là !

Alors que Michelle utilisait l'ordinateur de sa grand-mère, une fenêtre intempestive s'est affichée, indiquant qu'elle avait gagné un prix de 500 $. Il lui suffisait de répondre à quelques questions pour pouvoir bénéficier du prix de 500 $ à dépenser dans un grand magasin local.Michelle a répondu aux questions ; puis on lui a fait savoir qu'elle devait acheter deux articles bon marché avant d'obtenir le prix.Elle a donc commandé les deux articles les moins chers de la liste, a indiqué les informations sur sa carte de crédit puis a essayé de saisir le reste des informations pour bénéficier des 500 $.

Le site Web refusait les informations qu'elle rentrait et elle a fini par abandonner, pensant qu'un message électronique aux responsables du site lui permettrait de clarifier la situation.Elle a envoyé deux messages électroniques restés sans réponse.Sa carte de crédit a été débitée du montant des deux articles bon marché qu'elle avait accepté de commander mais Michelle n'a jamais vu la couleur des 500 $ promis. Ces cas de figure démontrent que les cybercriminels sont parfaitement capables d'exploiter non seulement la technologie (comme la faille du navigateur de Sandra ou l'absence de logiciel de sécurité de l'ordinateur de Michelle) mais aussi la nature humaine.Les gens ont tendance à croire ce qu'ils voient en ligne et obéissent lorsqu'on leur demande des informations.

En étant conscients du rôle qu'ils peuvent jouer dans la réduction du nombre de victimes de la cybercriminalité, les utilisateurs sont à même de prendre des décisions qui les protègent et qui protègent leur entourage.