Usurpation d'identité

Définition

L'usurpation d'identité, au sens de cette famille, est le fait d'emprunter l'identité d'une personne ou d'une organisation existante pendant un échange, afin de bénéficier de la confiance qui lui est accordée.

À ne pas confondre avec

Toutes les attaques qu'on confond, côte à côte : le comparateur « X ou Y ? »

Comment ça fonctionne

L'usurpation joue sur la façon dont nous accordons notre confiance : à un nom affiché, à un logo, à un numéro, à un ton — c'est-à-dire à des éléments qui se copient tous. Le nom d'expéditeur d'un email est un champ libre, l'expéditeur d'un SMS est un simple libellé, le numéro appelant peut être falsifié, et une photographie de profil se recopie en une seconde. L'attaquant n'a donc pas besoin de compromettre un compte pour paraître en être le titulaire, même si une messagerie réellement piratée rend l'usurpation indétectable. Elle est rarement l'objectif final : elle sert de couche de confiance à autre chose, un virement, un identifiant, un accès. C'est pourquoi elle apparaît en amont de nombreuses fiches de ce site.

Pourquoi ça marche

On accorde sa confiance à ce que l'on reconnaît : un nom, un logo, une photo, un ton familier. Tous ces éléments se copient sans effort, et vérifier un proche paraît impoli.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Nom affiché correct mais adresse ou domaine différent de celui attendu
• Demande inhabituelle venant d'un contact habituel, sans explication de ce changement
• Ton, formule de politesse ou horaire d'envoi qui détonne par rapport aux échanges précédents
• Adresse de réponse différente de l'adresse d'expédition
• Compte récemment créé reprenant le nom et la photographie d'une personne que vous connaissez
• Demande de ne pas utiliser le canal habituel pour répondre

Comment vérifier

Vérifiez sur un canal que la personne usurpée maîtrise et que l'attaquant ne contrôle pas : un numéro que vous possédiez déjà, une rencontre, un compte auquel vous accédez par vos propres moyens. Vérifier sur le canal de la demande revient à demander à l'inconnu de confirmer qu'il est bien votre interlocuteur.

Les questions à se poser, dans l'ordre

1. 1

   Un contact connu vous fait-il une demande inhabituelle d'argent, de codes ou d'accès ?

   Si oui : Vérifiez avec lui par un autre canal que vous possédiez déjà : son numéro habituel, en personne.

2. 2

   L'adresse, le numéro ou le compte diffère-t-il de celui que vous connaissez ?

   Si oui : Ne répondez pas à ce message, et prévenez la personne dont le nom est utilisé.

3. 3

   Avez-vous déjà envoyé de l'argent, des codes ou des informations ?

   Si oui : Contactez votre banque, conservez les échanges et déposez plainte.

Que faire

Traitez le nom affiché comme une information, jamais comme une preuve. Face à une demande inhabituelle venant d'un contact connu, la vérification par un autre canal doit devenir un réflexe plutôt qu'une marque de méfiance.

Si c'est déjà arrivé

Prévenez la personne ou l'organisme usurpé : d'autres personnes de son entourage reçoivent généralement les mêmes messages. Conservez les échanges et signalez le compte à la plateforme concernée. Si des informations ou des fonds ont été transmis, contactez votre banque et déposez plainte.

• Les premiers gestes, dans l'ordre : la checklist d'urgence
• L'assistant « J'ai cliqué » : les gestes après un email, dans l'ordre

Pour que ça ne se reproduise pas

• Traitez le nom affiché comme une information, jamais comme une preuve.
• Faites de la vérification par un autre canal un réflexe, pas une marque de méfiance.
• Convenez avec vos proches et collègues qu'une demande d'argent se confirme toujours de vive voix.

Les gestes qui déjouent cette attaque

• Vérifier à qui vous parlez vraimentComment être sûr que la personne qui me contacte est bien celle qu'elle prétend ?
• La checklist pour votre famille, à imprimerUn mot de passe familial, un nouveau numéro qui se confirme à l'ancien, en parler sans attendre : les règles qui protègent une famille, sur une page à imprimer.

Questions fréquentes

Quelle différence avec le vol d'identité ?

L'usurpation décrite ici est un moyen employé pendant un échange : quelqu'un se fait passer pour un autre le temps d'obtenir quelque chose. Le vol d'identité désigne un préjudice durable, où un tiers agit en votre nom auprès d'organismes — crédits, abonnements, démarches. Le second suit parfois le premier, mais ce sont deux situations distinctes.

Mon nom a été utilisé pour écrire à mes contacts. Mon compte est-il piraté ?

Pas nécessairement. Un compte peut être imité sans être compromis : nom, photographie et description se recopient. Vérifiez malgré tout l'historique de connexion de votre compte, et prévenez vos contacts, qui distingueront ainsi le faux compte du vrai.

Attaques liées

• Prétexting (scénario fabriqué)
• Usurpation d'un proche par messagerie
• Faux conseiller bancaire
• Faux agent administratif
• Usurpation de profil sur les réseaux sociaux
• Vol d'identité
• Fraude aux documents d'identité

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement