Usurpation d’identité : Votre messagerie est-elle sûre ?
En France, comme partout dans le monde, les messageries instantanées et les emails sont devenus des outils indispensables de notre quotidien.
Car ces plateformes ne nous servent plus seulement à envoyer des messages texte ou des photos. Elles nous permettent également de passer des appels vidéo, de partager des fichiers, de créer des groupes de discussion et même d’effectuer des paiements.
Ainsi, Gmail, WhatsApp, Messenger, Discord, Telegram, Snapchat… sont devenus des incontournables pour communiquer avec nos amis, notre famille, nos collègues ou même pour des démarches administratives, et sont utilisés par environ 4 français sur 5.
Mais face à cette multitude de plateformes, une question se pose : nos données personnelles sont-elles en sécurité ?
Car l’utilisateur moyen reçoit des dizaines d’emails et de messages par jour. En entreprise par exemple, chaque collaborateur reçoit en moyenne 88 e-mails et en envoie 34 par jour.
Dans cette avalanche de communications, il peut être difficile de faire le tri entre les messages légitimes et les emails suspects. Les cybercriminels profitent de cette confusion pour tenter de nous piéger et voler nos données personnelles.
Face à ces enjeux, il est crucial de sensibiliser aux risques liés à l’utilisation des messageries et de prendre des mesures pour protéger nos données et éviter le risque d’usurpation d’identité.
Dans cet article, ID-Protect explore en détail les principales plateformes de messageries qui sont exposées à ces risques, en revenant sur les attaques et fuites les ayant affecté.
Gmail
Gmail, créé en 2004 par l’américain Google, est aujourd’hui bien plus qu’une simple messagerie.
Avec ses 1,8 milliard d’utilisateurs dans le monde, dont environ 40 à 50 millions en France, il représente le plus gros fournisseur d’adresses e-mails au monde, détenant plus de 27% de part de marché, et représentant les ¾ des emails échangés. (source)
Intégré à l’écosystème Google, Gmail est devenu un élément central de la vie moderne pour de nombreux utilisateurs.
Le logiciel de messagerie en ligne sert ainsi de plateforme de communication personnelle et professionnelle, permettant d’envoyer et de recevoir des e-mails, de gérer des calendriers, de stocker des documents et des photos, et d’accéder à de nombreux autres services Google.
Son intégration avec de nombreuses plateformes externes, telles que Facebook, Twitter, LinkedIn et bien d’autres, en fait un outil indispensable pour la gestion de l’identité numérique et l’accès à une multitude de services en ligne.
Cette centralisation d’informations personnelles sensibles fait de Gmail une cible de choix pour les hackers, conscients de la valeur des données qui y sont stockées.
Face à ces enjeux de sécurité, Google a mis en place plusieurs mesures pour protéger les comptes Gmail :
- Identification sécurisée : Lorsque vous vous connectez depuis un nouvel appareil ou une nouvelle adresse IP, Gmail envoie un code de vérification à votre téléphone portable ou à votre adresse e-mail de secours. Cela permet de s’assurer que la personne qui se connecte est bien le propriétaire du compte.
- Authentification à deux facteurs : En plus du mot de passe, vous pouvez activer l’authentification à deux facteurs, qui consiste à entrer un code supplémentaire envoyé par SMS ou par une application d’authentification lors de la connexion. Cela ajoute une couche de sécurité supplémentaire à votre compte.
- Chiffrement des données : Gmail utilise le chiffrement TLS pour protéger la confidentialité des e-mails en transit. Cela signifie que les informations échangées entre votre ordinateur et les serveurs de Google ne peuvent pas être interceptées et lues par des tiers.
- Analyse des comportements suspects : Gmail utilise des algorithmes pour analyser les comportements de connexion et identifier les activités suspectes. Si une activité inhabituelle est détectée, votre compte peut être temporairement bloqué pour des raisons de sécurité.
- Mise à jour régulière du logiciel : Google met régulièrement à jour le logiciel Gmail pour corriger les failles de sécurité et améliorer la protection des comptes.
Malgré ces mesures, il est important de rester vigilant et de prendre des précautions supplémentaires pour protéger votre compte Gmail. Car en matière de sécurité, Gmail n’est pas exempt de reproches, et en tout cas, n’est clairement pas intouchable, comme les quelques faits divers suivants le prouvent.
En 2018, il a été révélé que Google utilisait des sous-traitants pour analyser le contenu des boîtes de réception des utilisateurs à des fins publicitaires. À cette époque, des entreprises tierces telles que Return Path, ont ainsi pu accéder aux messages Gmail des utilisateurs avec leur consentement implicite.
En février 2021, une cyberattaque massive nommée Comb a conduit à la fuite de plus de 3,2 milliards de comptes et mots de passe provenant de services comme Gmail, Hotmail, Netflix, LinkedIn, et d’autres, rendus accessibles sur le darkweb.
En juin 2024, une nouvelle fuite de données massive a affecté environ 10 millions de personnes en France, impliquant des informations personnelles telles que des adresses e-mail et des mots de passe associés à divers services en ligne comme Gmail, Facebook, Netflix, Amazon, et d’autres plateformes populaires.
Liens utiles :
- Signaler un compte Google pour utilisation abusive
- Prévenir et signaler les emails d’hameçonnage
- Un utilisateur envoie des e-mails depuis une adresse usurpée
- Sécuriser un compte Google piraté
Vous êtes victime d’usurpation d’identité sur Gmail ? Faites-vous accompagner par nos experts !
Lancé en 2009 aux États-Unis, WhatsApp a connu une ascension fulgurante pour devenir un incontournable de la messagerie instantanée, comptant aujourd’hui plus de 2 milliards d’utilisateurs dans le monde, dont 32 millions en France.
Sa simplicité d’utilisation, son cryptage des messages et ses appels vocaux gratuits en ont fait un outil de communication privilégié pour des millions de personnes.
En 2014, Facebook rachète WhatsApp pour la somme astronomique de 19 milliards de dollars, une acquisition qui a soulevé de nombreuses interrogations quant à l’avenir des données personnelles des utilisateurs. Cette opération a alimenté les craintes de voir Facebook, déjà critiqué pour sa gestion des données des utilisateurs, mettre la main sur une mine d’informations encore plus précieuse : les conversations privées et les données sensibles échangées sur WhatsApp.
Depuis lors, Whatsapp se retrouve régulièrement au cœur de polémiques et de faits divers relatifs à ses conditions d’utilisation et de sécurité.
En 2019, une faille dans les appels audio de WhatsApp avait été exploitée par le NSO Group, un fabricant israélien de logiciels espions, pour cibler les téléphones de 1400 victimes à travers le monde, incluant des journalistes et des défenseurs des droits de l’homme. Cette attaque avait suscité une réaction mondiale en matière de sécurité numérique.
En 2021, l’entreprise filiale de Facebook, a été condamné par le gendarme irlandais des données personnelles à une amende record de 225 millions d’euros. Cette sanction faisait suite à une enquête débutée en décembre 2018, qui reprochait à WhatsApp de ne pas avoir suffisamment informé ses utilisateurs sur l’utilisation de leurs données personnelles.
En novembre 2022, une importante fuite de données a impacté les utilisateurs de WhatsApp à travers le monde, y compris en France. Un hackeur a mis en vente une base de données contenant 487 millions de numéros de téléphone sur un forum du dark web. En France, environ 20 millions de numéros ont été compromis dans cette violation de données.
Bref, comme vous pouvez le constater, WhatsApp est une cible privilégiée des hackers. L’organisation Norton, réputée pour sa lutte contre le cybercrime, a ainsi listé dans un article quelques 13 escroqueries que l’on retrouve communément sur Whatsapp :
- Le proche dans le besoin : Les malfaiteurs se font passer pour des proches demandant de l’argent en cas d’urgence.
- Les cartes-cadeaux : Les victimes reçoivent des liens pour réclamer des cartes-cadeaux gratuites qui mènent à des sites malveillants.
- Les codes QR : Les escrocs envoient des codes QR pour obtenir des informations personnelles ou accéder à des comptes.
- Le support technique : Les escrocs se font passer pour le support client de WhatsApp pour voler des informations personnelles.
- Le code de vérification non autorisé : Les escrocs demandent le code de vérification sous prétexte d’une erreur, pour accéder à un compte.
- Les loteries et tirages au sort : Les victimes sont informées qu’elles ont gagné un prix fictif, souvent avec un lien malveillant.
- Les investissements en cryptomonnaies : Les escrocs proposent des investissements lucratifs en cryptomonnaie, puis disparaissent avec l’argent.
- Les escroqueries sentimentales : Les escrocs gagnent la confiance en ligne pour demander de l’argent ou des informations personnelles.
- Le transfert d’appel : Les escrocs détournent les appels pour obtenir des mots de passe ou accéder à des comptes WhatsApp.
- Le numéro erroné : Les escrocs contactent les victimes par erreur pour obtenir des informations personnelles ou de l’argent.
- WhatsApp Gold : Les escrocs proposent une version exclusive de WhatsApp via un lien malveillant.
- Les bons d’achat : Les victimes sont incitées à suivre des liens pour obtenir des coupons, menant à des sites malveillants.
- Les escroqueries aux organisations caritatives : Les escrocs se font passer pour des organisations caritatives pour voler de l’argent ou des informations.
Liens utiles :
Vous êtes victime d’usurpation d’identité sur WhatsApp ? Faites-vous accompagner par nos experts !
Facebook Messenger
Messenger, créé en 2011 aux États-Unis, compte aujourd’hui 2,9 milliards d’utilisateurs dans le monde, dont 32 millions en France, le service y étant utilisé par environ 58% des 16-64 ans.
Cette messagerie de Facebook collecte des données sur ses utilisateurs, telles que le nom, le prénom, la photo de profil, les contacts, les messages, les appels et la localisation.
Tout comme pour ses comparses, la sécurité de Messenger n’est pas non plus irréprochable.
Cette fuite n’était pas le résultat d’une cyberattaque, mais du détournement frauduleux d’une fonctionnalité permettant d’importer des contacts mobiles pour retrouver des connaissances plus facilement via leurs numéros de téléphone.
Des individus ont massivement importé des numéros non identifiés pour les lier à des profils utilisateurs correspondants, collectant ainsi des informations « disponibles publiquement » sur ces profils tels que : noms, prénoms, dates et lieux de naissance, genres, numéros de téléphone, adresses e-mail associées, villes et pays de résidence, activités professionnelles, et statuts maritaux.
Cela aurait concerné les utilisateurs de Facebook entre 2016 et 2019, soit environ la moitié des utilisateurs français !
La même année, toujours en 2018, le scandale Cambridge Analytica a éclaté, révélant que les données personnelles de 87 millions d’utilisateurs de Facebook avaient été collectées à leur insu et utilisées à des fins politiques. Dans le cadre de ce scandale, il a été révélé que les robots de Facebook indexaient le contenu des messages privés échangés sur Messenger.
La méfiance est donc de mise lorsque vous utilisez cette messagerie !
Liens utiles :
- Comment signaler un compte ou une Page Facebook qui se fait passer pour moi ou pour quelqu’un d’autre
- Signaler une personne qui se fait passer pour vous ou pour quelqu’un d’autre sur Messenger
- Comptes piratés et faux comptes
Vous êtes victime d’usurpation d’identité sur Messenger ? Faites-vous accompagner par nos experts !
Discord
Créé en 2015 aux États-Unis, Discord compte aujourd’hui 300 millions d’utilisateurs réguliers dans le monde, dont plus de 7,6 millions en France.
Cette plateforme de communication vocale et textuelle recueille des données sur ses utilisateurs, telles que le nom d’utilisateur, l’adresse e-mail, la date de naissance, le pays de résidence, les messages, les appels et les serveurs fréquentés.
La particularité de Discord réside dans son architecture unique qui la distingue des applications de messagerie instantanée traditionnelles. Discord se dote en effet d’un système de serveurs personnalisables, permettant la création de communautés dédiées à des centres d’intérêt spécifiques. Cette fonctionnalité, associée à l’intégration de bots, ouvre un champ de possibilités unique, mais aussi, l’expose à plus de risques. Voici quelques points clés à prendre en compte :
Accès aux données personnelles :
- Permissions étendues : Les bots Discord peuvent être configurés pour accéder à un large éventail de données utilisateur, y compris les messages privés, les informations de profil et les serveurs fréquentés.
- Manque de transparence : Il n’est pas toujours évident de savoir quelles données un bot collecte et comment il les utilise.
- Risque d’abus : Des bots malveillants pourraient exploiter les données collectées à des fins illégales, telles que le vol d’identité, la fraude ou le harcèlement.
Diffusion de malwares :
- Chevaux de Troie : Des bots déguisés en programmes légitimes peuvent diffuser des malwares qui infectent les appareils des utilisateurs.
- Attaques par déni de service (DDoS) : Des bots coordonnés peuvent être utilisés pour lancer des attaques DDoS, submergeant les serveurs Discord et les rendant inaccessibles.
- Propagation de spam : Des bots peuvent être utilisés pour envoyer des messages indésirables et du spam aux utilisateurs.
Manque de contrôle :
- Bots tiers : De nombreux bots sont développés par des parties tierces indépendantes de Discord, ce qui limite le contrôle de la plateforme sur leur comportement et leurs pratiques de sécurité.
- Mises à jour malveillantes : Des bots peuvent recevoir des mises à jour malveillantes qui modifient leur comportement et compromettent la sécurité des utilisateurs.
- Difficulté de détection : Il peut être difficile pour Discord de détecter et de supprimer les bots malveillants, surtout ceux qui opèrent de manière discrète.
En 2023, un malware nommé Vare s’est rapidement répandu rapidement sur Discord, utilisant la brute-force et l’ingénierie sociale pour obtenir frauduleusement des clés cadeau Nitro (la formule payant de Discord). Ce faisant, le malware a également obtenu les informations bancaires des utilisateurs pour effectuer des achats non autorisés, notamment des abonnements Nitro et des cadeaux sur Discord.
Puis, en octobre de la même année, Discord a été confronté à une attaque sophistiquée de type phishing. Les hackers ont exploité un fichier OneNote nommé « dobroua.one », se faisant passer pour une organisation ukrainienne caritative afin d’inciter les utilisateurs à verser des dons pour soutenir l’Ukraine. Une fois activé, ce fichier a déclenché un script pour exfiltrer les données des utilisateurs sans leur consentement.
Liens utiles :
- Mon compte Discord a été piraté ou compromis
- Mise en place de l’authentification multi-facteurs
- Bots d’arnaque et hameçonnage
Vous êtes victime d’usurpation d’identité sur Discord ? Faites-vous accompagner par nos experts !
Snapchat
Snapchat, créée en 2011 aux États-Unis, compte aujourd’hui plus de 750 millions d’utilisateurs actifs quotidiens dans le monde, dont environ 27 millions en France.
L’application de messagerie instantanée collecte une multitude de données personnelles : nom, prénom, photo, contacts, messages, Snaps, localisation, historique de recherche… et se démarque par ses messages photos et vidéos éphémères (24 heures), censés disparaître après consultation, une fonctionnalité particulièrement utilisée pour le partage de contenus à caractère sexuel.
Mais malheureusement, la promesse d’éphémère n’a pas toujours été tenue, ouvrant la porte à de conséquences graves, tels que la diffusion de contenus intimes (photos et vidéos dénudées partagées sans consentement, pouvant mener à du harcèlement, des cyberintimidations, voire du revenge porn), l’usurpation d’identité et des atteintes à la vie privée.
En janvier 2014, Snapchat a été confronté à une importante fuite de données affectant environ 4,6 millions de comptes utilisateurs. Cette faille de sécurité a permis à des hackers de compromettre les identifiants et les numéros de téléphone associés à ces comptes. Les données volées ont été initialement publiées sur le site SnapchatDB.info, où elles étaient accessibles au public avant que le site ne soit suspendu.
En mai 2019, Snapchat a été au cœur d’une polémique lorsque des employés ont été accusés d’avoir utilisé un logiciel interne, SnapLion, pour collecter illégalement des données personnelles d’utilisateurs. Cette violation incluait des adresses e-mail, des numéros de téléphone, des données de géolocalisation et même des snaps archivés (les « Memories ») des utilisateurs. Bien que Snapchat ait affirmé que ces données n’avaient pas été rendues publiques, l’incident a soulevé des préoccupations quant à la sécurité et à la vie privée des utilisateurs du réseau social, particulièrement populaire parmi les jeunes.
En février 2024, une affaire de grande ampleur a secoué Snapchat au Maroc, impliquant la diffusion non autorisée de photos et de vidéos privées et compromettantes de femmes et de jeunes filles marocaines sur les réseaux sociaux. L’Association Tahadi pour l’Égalité et la Citoyenneté (ATEC) a lancé une campagne intitulée « Tu n’es pas seule ! » pour soutenir les victimes de cette atteinte à la vie privée.
La question peut donc se poser légitimement dans le cas de Snapchat : l’éphémère est-il vraiment possible sur une plateforme qui collecte et stocke autant de données ?
Liens utiles :
Vous êtes victime d’usurpation d’identité sur Snapchat ? Faites-vous accompagner par nos experts !
Telegram
Telegram, créée en 2013 par Pavel Durov, le fondateur de VKontakte (le « Facebook russe »), se distingue par son engagement envers la confidentialité et la sécurité.
L’application de messagerie instantanée offre un chiffrement de bout en bout par défaut pour tous les messages et appels, et propose des fonctionnalités de sécurité avancées comme les chats secrets et les appels vocaux sécurisés.
Avec plus de 700 millions d’utilisateurs actifs mensuels dans le monde, et 14% d’utilisateurs dans la tranche 16-64 en France, Telegram attire des utilisateurs à la recherche d’une alternative plus sécurisée aux plateformes de messagerie traditionnelles.
Mais malgré ses promesses de sécurité, Telegram n’a pas été épargné par les failles de sécurité et les fuites de données.
Le 21 juillet 2021 notamment, des chercheurs de l’Université de Londres et de l’Ecole polytechnique fédérale de Zurich ont révélé la découverte de quatre vulnérabilités critiques dans le protocole de chiffrement utilisé par Telegram pour sécuriser les conversations. Les vulnérabilités identifiées comprenaient :
- Modification de l’ordre des mots dans les messages : Cette faille permettait de modifier l’ordre des mots dans les messages envoyés par un client vers le serveur, potentiellement altérant le sens du message d’origine.
- Détection des messages spéciaux : Une autre vulnérabilité permettait de distinguer quel message spécial avait été chiffré par le client ou le serveur dans des conditions spécifiques, comme les accusés de réception.
- Exposition partielle du texte en clair : Trois clients Telegram (Android, iOS, Desktop) présentaient un code qui, théoriquement, permettait de récupérer une partie du texte en clair des messages chiffrés, sous réserve d’envoyer un grand nombre de messages spécialement conçus à la cible.
- Attaque de type « man-in-the-middle » : La dernière vulnérabilité identifiée concernait la possibilité pour un attaquant de mener une attaque de type « man-in-the-middle » lors de la négociation initiale de la clé entre le client et le serveur. Cela aurait permis à l’attaquant de se faire passer pour le serveur afin d’intercepter et de manipuler la communication.
Les cybercriminels utilisent diverses techniques d’arnaque sur Telegram en envoyant des messages contenant des liens malveillants sous prétexte d’invitations à voter, de participer à des concours, d’obtenir des versions d’essai de Telegram Premium, ou de signer des pétitions. L’utilisateur est incité à s’authentifier via Telegram en fournissant son numéro de téléphone et le code de vérification ou en scannant un code QR, ce dernier permettant de prendre le contrôle du compte sans avoir besoin du code de vérification. Une fois le compte piraté, les criminels peuvent l’utiliser pour envoyer des liens malveillants à tous les contacts de l’utilisateur et accéder à des données personnelles telles que contacts, historique de conversations, et fichiers envoyés.
Outre les failles de sécurité, Telegram a également été critiqué pour ses pratiques de collecte de données opaques. La plateforme collecte une quantité importante de données sur ses utilisateurs, y compris leurs numéros de téléphone, leurs contacts, leurs messages et leur localisation. Bien que Telegram affirme que ces données ne sont collectées qu’à des fins de sécurité et d’amélioration du service, le manque de transparence quant à sa politique de collecte et de gestion des données suscite des interrogations légitimes sur le respect de la vie privée des utilisateurs.
Enfin, en raison de ses fonctionnalités de sécurité et de son manque de modération, Telegram est devenu un terrain fertile pour les activités illégales, telles que la diffusion de contenus illégaux (dont des données utilisateurs volées).
Lien utile :
Vous êtes victime d’usurpation d’identité sur Telegram ? Faites-vous accompagner par nos experts !
Skype
Skype, créé en 2003 en Estonie, s’est imposé comme un pionnier dans le domaine de la communication par visioconférence et messagerie instantanée.
Avec plus de 300 millions d’utilisateurs actifs mensuels dans le monde et de 8 à 10 millions en France, la plateforme attire des particuliers et des professionnels à la recherche d’une solution de communication simple et accessible. Rachetée par Microsoft en 2011 pour 8,5 milliards de dollars, l’application offre des fonctionnalités telles que les appels vidéo et audio, la messagerie instantanée, le partage d’écran, le transfert de fichiers et les appels vers des téléphones fixes et mobiles.
Skype est particulièrement touché par des phénomènes d’arnaque à la vidéo, qui consiste à capturer des images intimes de la victime lors d’une visioconférence Skype. Les victimes, persuadées d’interagir avec une personne réelle, se retrouvent piégées par des enregistrements vidéo et des menaces de diffusion.
En 2006, Skype a eu un bug de sécurité sur ses versions Windows et bêta, où un lien Skype piégé pouvait transférer des fichiers sans consentement à un autre utilisateur, ce qui laissait le champ libre aux hackers pour pénétrer les défenses des ordinateurs des utilisateurs.
En février 2018, une faille critique dans Skype permettait l’utilisation d’un fichier DLL malveillant dans le module de mise à jour sous Windows, compromettant ainsi la sécurité des données confidentielles et nécessitant une réécriture substantielle du code de l’application.
En août 2023, une nouvelle faille a permis à des pirates de découvrir l’adresse IP d’un utilisateur à travers la lecture de messages sur un smartphone, révélant ainsi sa localisation. Microsoft n’a pas immédiatement considéré cette vulnérabilité comme prioritaire, retardant la publication d’un correctif et soulevant des préoccupations quant à la sécurité et au potentiel de harcèlement facilité par l’accès non autorisé à ces données personnelles.
Lien utile :
Vous êtes victime d’usurpation d’identité sur Skype ? Faites-vous accompagner par nos experts !
Conclusion
D’une simple utilisation pour l’envoi de messages texte à des plateformes multifonctionnelles, les messageries instantanées ont radicalement transformé nos vies. Elles sont désormais indispensables pour la communication personnelle et professionnelle, facilitant non seulement l’échange de messages, mais aussi les appels vidéo, le partage de fichiers et même les transactions financières. Cependant, cette omniprésence et cette utilité accrue s’accompagnent de risques importants pour la sécurité des données personnelles.
Chaque jour, des millions de messages sont échangés à travers ces plateformes, créant un terreau fertile pour les cybercriminels cherchant à exploiter les failles et à voler des informations sensibles. Gmail, WhatsApp, Messenger, Discord, Telegram, Snapchat, Skype… toutes ces applications sont devenues des cibles de choix en raison de leur large adoption et de la valeur des données qu’elles stockent.
Malgré les mesures de sécurité mises en place par les fournisseurs de services, comme l’authentification à deux facteurs, le chiffrement des données et les analyses comportementales, aucun système n’est infaillible. Les utilisateurs doivent rester vigilants et prendre des précautions supplémentaires pour protéger leurs comptes et leurs informations personnelles.
En conclusion, bien que les messageries instantanées aient révolutionné notre manière de communiquer, il est impératif de rester informé et proactif face aux menaces croissantes. La sensibilisation aux risques et l’adoption de bonnes pratiques de sécurité sont essentielles pour minimiser les dangers potentiels et préserver notre vie privée à l’ère numérique.
