Articles 2004

LA CITATION : LA CONFIANCE DU CONSOMMATEUR, MENACEE COMME JAMAIS

(article mis en ligne le 22 juin 2004)

Pour le cabinet d'étude Gartner, « la confiance des consommateurs est menacée comme elle ne l'a jamais été ». La cause ? Le phishing, cette arnaque par e-mail, simple, efficace et pratiquement sans risque pour les escrocs. Le phénomène aurait fait deux millions de victimes aux Etats-Unis. En France, c'est pour bientôt nous disent les spécialistes.

Selon l'étude du cabinet Gartner, publiée en juin 2004 et réalisée auprès de 5000 internautes, c'est un véritable raz-de-marée. En extrapolant à partir des réponses communiquées par les personnes interrogées, Gartner estime que 57 millions d'américains ont reçu un e-mail de type phishing au cours des 12 dernier mois. Plus inquiétant encore, près de 2 millions ont été victimes de l'arnaque. Le coût total est estimé à 2,4 milliards de dollars, soit une moyenne de 1200 dollars par victime. La croissance du phishing est phénoménale pour un phénomène pratiquement inconnu il y a 18 mois. Selon une autre étude, le phishing se limitait à 279 cas recensés en septembre 2003 contre 337 000 au début de l'année 2004.

Phénomène en forte progression, le phishing est aussi un phénomène qui associe plusieurs dimensions. Il commence comme le spam, dont il est une des composantes. Selon la société Brightmail, spécialisée dans la lutte contre les pourriels, 5% du spam appartient à cette catégorie. Il se poursuit grâce à la contrefaçon de marque. L'internaute reçoit un e-mail qui semble provenir d'une enseigne connue, par exemple eBay ou Citibank, ce qui lui inspire confiance. L'étape suivante est celle de la collecte déloyale de données personnelles avant de passer à l'usurpation d'identité, grâce au mot de passe volé, puis à l'escroquerie en ligne par exemple en procédant à un transfert de fonds depuis un service de banque en ligne vers un établissement offshore.

Si le développement est aussi rapide, c'est qu'il s'agit d'une fraude efficace et rentable. Le phishing est peu coûteux - on retrouve ici l'une des caractéristique du spam - et assez facile à mettre en oeuvre ? Nul n'est besoin d'être un super pirate aux compétences pointues : c'est la victime qui va donner les clés d'accès à son cambrioleur. Il est de plus efficace car il repose sur l'utilisation des fondements de la confiance et de la sécurité : l'utilisation de la marque d'une institution perçue par le public comme un tiers de confiance et la demande d'informations motivée souvent par des impératifs de sécurité. Potentiellement très rentable, c'est une activité qui est peu risquée. Les auteurs ont peu de chances de se faire attraper surtout que, dans un premier temps, l'entreprise et le client vont perdre du temps à se suspecter mutuellement. Dernier avantage, le malfrat n'a même pas à subir le pénible spectacle de la souffrance de ses victimes !

Avec des rendements élevés, ce qui n'est sans doute pas le cas du spam, et peu de risques associés, le phishing possède les caractéristiques d'une activité susceptible d'intéresser le crime organisé. Nul doute que cette occupation ne restera pas longtemps l'apanage d'escrocs bidouilleurs en chambre. La sophistication croissante des attaques est sans doute un indice d'une professionnalisation en cours.

Pour lutter contre les attaques, Avivah Litan analyste chez Gartner appelle de ses voeux un recours à l'identification forte. Une solution simple consisterait selon elle à poser de multiples questions à l'utilisateur d'un service au moment où il se connecte. Selon Ray Everett-Church, dont le titre de gloire est d'avoir été le premier CPO (Chief Privacy Officer), ce sera de plus en plus au consommateur de se défendre lui-même, alors même que les attaques des fraudeurs deviendront de plus en plus sophistiquées. Il indique également qu'il faudrait privilégier les autres canaux de communications avec les entreprises. Donc, schématiquement, pour sécuriser les services en ligne il faudrait soit les rendre très peu ergonomiques, soit éviter de les utiliser.

Et en France ? Le phishing concerne aujourd'hui exclusivement le monde anglo-saxon. Très répandu aux Etats-Unis, il commence à sévir au Royaume-Uni où le phénomène aurait déjà coûté 1 million de livres aux banques. Comme pour le spam il y a quelques années, il est vraisemblable que l'arrivée en France ne sera qu'une question de temps. Raphaël Richard, dirigeant fondateur de l'agence de webmaketing CVFM et auteur d'une étude sur le sujet en est convaincu. « D'une façon générale, si le phishing continue à se développer, c'est la confiance dans l'e-commerce qui peut-être atteinte » estime-t-il. Comme Gartner.

Sources :

Emilie Leveque, « Fraudes en ligne : deux millions d'américains affectés », JDNet, 17 juin 2004
http://www.journaldunet.com/0406/040617phishing.shtml
Matt Hines, « Gartner : Phishing on the rise in U.S. », News.com, 15 juin 2004
http://news.com.com/2100-7349_3-5234155.html?tag=prntfr
Erika Morphy, « Report : Phishing Scam Hits 57 Million Users », 7 mai 2004
http://www.newsfactor.com/story.xhtml?story_title=Report--Phishing-Scam-Hits----Million-Users&story_id=23966

En savoir plus sur le Phishing :

http://www.biz-n-cash.fr/dossiers.bnc?dossierid=11&skin=4