Question soumise le 30 mai 2013

Mme Catherine Procaccia interroge Mme la ministre déléguée auprès du ministre du redressement productif, chargée des petites et moyennes entreprises, de l'innovation et de l'économie numérique, sur la lutte contre le « phishing ».

Les internautes et entreprises sont de plus en plus fréquemment destinataires de mails frauduleux de type hameçonnage ou « phishing » qui usurpent l'identité d'entreprises, d'administrations publiques ou d'organismes reconnus afin d'obtenir leurs informations personnelles et coordonnées bancaires.

À première vue, il est difficile d'identifier le véritable expéditeur car les pirates informatiques utilisent les en-têtes et logos officiels de l'organisme détourné. Dans la plupart des cas, les internautes sont invités à se connecter en ligne via un lien hypertexte pour actualiser leurs coordonnées sur un site web factice dont la mise en page et l'URL semblent authentiques.

Alors que les contribuables français sont encouragés à réaliser leur déclaration d'impôts en ligne, de faux mails semblant provenir de l'administration fiscale circulent, profitant des victimes les moins vigilantes.

Très récemment ce sont des entreprises françaises qui ont été la cible de cyber-attaques très organisées, adressant un mail personnalisé couplé avec un appel téléphonique au salarié pour gagner sa confiance.

Alors que la France serait classée au seizième rang des pays où la cybercriminalité est la plus active, elle aimerait qu'elle lui indique les mesures prévues pour prévenir et protéger particuliers et PME de ces détournements.

Ce type d'escroquerie s'étend également aux téléphones portables par le biais de SMS.

Elle aimerait connaître le nombre de cas recensés et que lui soit précisé quelle est la cellule chargée de coordonner la lutte contre cette épidémie numérique.

Réponse émise le 5 septembre 2013

La technique du phishing ou du « hameçonnage » est utilisée pour obtenir des renseignements personnels dans le but de perpétrer une usurpation d'identité. Elle peut se faire par courrier électronique, par l'intermédiaire de sites web falsifiés, voire par sms sur les téléphones portables. En fait, grâce à cette technique, les auteurs de phishing trompent les internautes sur l'identité réelle de l'expéditeur. Le hameçonnage ou la tentative d'hameçonnage est avant tout constitutive de l'infraction d'escroquerie ou de tentative d'escroquerie, telle que prévue par l'article 313-1 du code pénal. Les agents de la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) n'étant pas habilités pour relever directement cette infraction, il est conseillé aux personnes qui s'estiment lésées de s'adresser aux services de l'OCLCTIC (office central de lutte contre la criminalité liée aux technologies de l'information et de la communication) qui gèrent la plate-forme d'harmonisation, d'analyse, de recoupement et d'orientation des signalements (PHAROS), laquelle a pour objet : - d'offrir la possibilité aux utilisateurs d'internet et aux fournisseurs d'accès de signaler aux services de police compétents des contenus ou des sites illicites ; - de permettre aux services de l'OCLCTIC de traiter et de recouper les signalements et de les transmettre aux services compétents afin qu'ils leur réservent d'éventuelles suites judiciaires. Il faut cependant rappeler que les auteurs de cette infraction sont essentiellement basés dans les pays de l'est de l'Europe ou en Afrique, qu'ils sont donc difficilement identifiables, ce qui rend souvent difficile, voire illusoire, toute poursuite judiciaire éventuelle. Aussi, les moyens les plus efficaces de se prémunir contre ce type de fraudes passent d'abord par une sensibilisation des internautes ainsi que par l'emploi de navigateurs intégrant par défaut des systèmes de contre-mesures comme par exemple Internet Explorer, Chrome, Firefox ou Safari. En effet, ces navigateurs intègrent un filtre anti-phishing alimenté par les signalements effectués par les internautes sur le site : www. phishing-initiative. com Ce site géré par une association créée en 2011 regroupe un cabinet indépendant de sécurité informatique (le CERT-LEXI) ainsi que les sociétés Microsoft et Paypal. Il travaille en collaboration avec l'IRCGN (institut de recherche criminelle de la gendarmerie nationale). Ainsi, dès lors qu'un internaute a signalé l'adresse d'un site de hameçonnage, le site suspect fait l'objet d'un blocage dans les navigateurs.