Usurpation d’identité en entreprise

L’usurpation d’identité est une pratique cybercriminelle de plus en plus courante. Elle peut entrainer d’énormes pertes financières dans une entreprise. Il existe quelques méthodes pour s’en prémunir, mais les hackers ne cessent de renouveler leurs techniques.

Comment se présente une usurpation d’identité ?

Une usurpation d’identité se définit comme l’utilisation de données propres à vous identifier par un tiers et sans votre accord. Une usurpation d’identité peut servir pour tromper une victime. Dans une entreprise, l’usurpateur peut, par exemple, se faire passer pour le PDG auprès d’un employé (arnaque au PDG). Il peut inciter ce dernier à transférer des fonds sur un compte pour un prétendu projet important. La victime croyant avoir affaire au véritable PDG effectuera la transaction sans le moindre doute, c’est ce que l’on nomme l’arnaque au président.

Ce type d’usurpation peut se faire par l’utilisation d’adresses emails frauduleuses. Cette méthode permet de faire croire à la victime que le mail provient d’une source sûre. L’usurpation de mail fait aussi partie des étapes du phishing ou spearphishing. Le phishing ou hameçonnage est une technique d’escroquerie qui vous pousse à révéler vos identifiants importants (mot de passe, numéro de carte de crédit, etc.).

Sur les logiciels de messagerie, souvent il n’y a que le nom de l’expéditeur qui est affiché lorsque vous recevez un mail. En empruntant le nom d’une personne haut placée dans une entreprise, le pirate peut facilement tromper quelques employés. Si ces derniers sont occupés, ils ne vérifieront pas l’adresse email suspecte et croiront avoir affaire à leur supérieur. Le pirate pourra alors leur demander de faire un virement sur un compte qui lui appartient.

Une autre méthode intelligente consiste à utiliser un nom de mail proche de l’original (méthode dite de voisin proche). Si par exemple l’adresse email de votre PDG est « paul@gmail.com », le pirate peut utiliser l’adresse « pauI@gmail.com ». La différence entre ces deux adresses c’est que celle du pirate utilise un « i » en majuscule à la place du « l ».

Comment se protéger ?

La première chose à faire pour se protéger de ce type d’arnaque est de former et sensibiliser ses employés pour qu’ils soient plus prudents. Même si certaines usurpations sont difficiles à distinguer, il est possible de les empêcher de nuire. La mise en place d’une politique claire concernant le processus de transfert d’argent peut, par exemple, réduire les risques de fraude au PDG.

Concernant les noms de domaines frauduleux, les entreprises doivent habituer leurs employés à se méfier. Tous les noms de domaines appartenant à l’entreprise devront être connus. Il est même possible pour une entreprise d’acheter tous les noms de domaine similaires ou proches de celui qu’elle utilise, ou de mettre en place un système d’alerte sur l’achat de domaines proches : cybersquatting / typosquatting.

Si un mail nécessite de se rendre sur un site connu, le mieux est de taper l’adresse du site dans le navigateur. Quant aux pièces jointes, il est préférable de ne pas les ouvrir si le mail ne provient pas d’une source connue.

Pour sécuriser ses actions, il faut aussi utiliser un antivirus à jour ainsi que d’autres systèmes de protection. Certains de ces dispositifs professionnels de sécurisation des emails, comme Altospam, sont capables de détecter l’emploi d’un mail utilisant la méthode de typosquatting. Ils peuvent également analyser la structure d’un mail et bloquer toute tentative d’arnaque au président.

Quels recours en cas d’usurpation ?

Si une usurpation d’identité est constatée, il est important de collecter les preuves concernant l’infraction (capture d’écran, justificatifs, etc.). Ensuite, il faut impérativement contacter les sites où l’usurpation a eu lieu afin que les services concernés prennent les dispositions nécessaires.

La solution pour gagner du temps si ce problème vous arrive consiste à effectuer une préplainte en ligne https://www.pre-plainte-en-ligne.gouv.fr/ . Celle-ci n’aura de valeur légale que lorsqu’elle sera signée par les autorités. Vous aurez alors à déposer votre plainte auprès des autorités compétentes. Votre plainte peut être déposée auprès d’un commissariat de police, d’une brigade de gendarmerie ou auprès du procureur de la République. Ces derniers pourront vous aider dans la résolution du problème. Ils mèneront une enquête, mais si le criminel n’est pas identifié, votre dossier sera classé sans suite. Vous pouvez aussi signaler une escroquerie sur la plateforme PHAROS: https://www.internet-signalement.gouv.fr/

Si vous êtes vous-même victime d’arnaque au président et que vous avez déjà fait un virement, contactez votre banque au plus vite afin qu’elle essaie de procéder à un retour des fonds.

Si votre identité a été volée, la première étape est de déposer une plainte auprès de la banque si l’usurpateur a effectué des transactions en votre nom. Selon les actions que l’usurpateur a menées, il se peut que la victime se retrouve fichée à la Banque de France. Il faudra alors vérifier si le fichage a eu lieu ou non.