À un moment donné, une grande partie des internautes reçoit un e-mail prétendant que l'expéditeur détient un contenu compromettant, a piraté leur ordinateur, ou les a filmés via leur propre webcam, et exigeant un paiement en cryptomonnaie pour empêcher que cela ne soit partagé avec leurs contacts, leur famille, ou le public. C'est l'une des formes de fraude en cryptomonnaie les plus courantes, et elle fonctionne parce qu'elle est conçue pour déclencher la panique avant que la victime ne réfléchisse clairement. Ce guide explique le fonctionnement réel de ces arnaques, pourquoi le bitcoin est presque toujours le paiement exigé, et ce qu'il faut réellement faire si vous en recevez une.
La structure de base d'un e-mail d'extorsion crypto
Malgré d'innombrables variantes, la grande majorité de ces messages suivent un modèle quasi identique, ce qui constitue en soi un indice utile sur la façon dont ils sont produits et diffusés à grande échelle.
- Une affirmation selon laquelle l'expéditeur a installé un logiciel malveillant sur votre appareil, citant souvent un mot de passe que vous avez réellement utilisé un jour comme preuve, généralement obtenu d'une ancienne fuite de données sans rapport
- Une affirmation selon laquelle il vous a filmé via votre webcam pendant que vous visitiez un site pour adultes, ou qu'il a accédé à des photos, messages ou fichiers privés
- Une menace d'envoyer ce contenu à l'ensemble de vos contacts, de le publier publiquement, ou d'en informer votre employeur ou votre famille, sauf paiement dans un délai court, souvent de 24 à 48 heures
- Une exigence de paiement spécifiquement en bitcoin, envoyé vers une adresse de portefeuille incluse directement dans l'e-mail
- Un langage conçu pour décourager tout signalement, comme l'affirmation qu'il surveille votre réponse ou qu'impliquer la police déclenchera la diffusion immédiate du contenu
Dans l'écrasante majorité des cas documentés, il s'agit d'un bluff complet. Il n'y a ni logiciel malveillant réel, ni enregistrement webcam, ni contenu compromettant. L'e-mail est envoyé en masse à d'immenses listes de diffusion, et l'ancien mot de passe fourni comme preuve a été extrait d'une fuite de données précédente et sans rapport, qui n'a rien à voir avec votre appareil actuel.
Un exemple concret, annoté ligne par ligne
Un message typique s'ouvre par une phrase du type, je sais que votre mot de passe est [un ancien mot de passe réel], j'ai un accès complet à votre appareil. Cette phrase repose entièrement sur le choc du destinataire à la vue d'un vrai mot de passe, et provient presque toujours d'une fuite de données survenue des années plus tôt sur un site sans rapport, et non d'un quelconque accès réel actuel. Le message poursuit avec quelque chose comme, j'ai installé un cheval de Troie via un site pour adultes que vous avez visité, et j'ai enregistré une vidéo via votre webcam. Cette affirmation est volontairement générique afin de s'appliquer à un maximum de destinataires, et elle est présentée avec un vocabulaire technique précis et confiant, logiciel malveillant, cheval de Troie, outil d'accès à distance, pour paraître plus crédible qu'elle ne l'est réellement.
Le message précise ensuite généralement un délai, envoyez l'équivalent de quelques centaines de dollars en bitcoin à l'adresse suivante dans les 48 heures ou j'enverrai cette vidéo à tous vos contacts. Le montant précis en dollars et le délai court sont tous deux des tactiques de pression délibérées. Il se termine habituellement par une mise en garde contre le fait de contacter la police, car je surveille votre boîte de réception, une affirmation sans aucun fondement technique étant donné que l'expéditeur n'a en réalité aucun accès à l'appareil ou aux comptes du destinataire. Lire l'e-mail en identifiant chacune de ces tactiques individuellement rend le bluff bien plus facile à repérer que de le lire dans un moment de panique.
Idée reçue : payer une fois mettrait fin à tout
Un nombre important de personnes qui paient une demande d'extorsion en masse le font en croyant que cela règle la situation de façon définitive. En pratique, payer confirme deux choses à l'expéditeur : que l'adresse e-mail de la cible est active et surveillée, et que la cible est disposée à payer sous pression. Ces deux faits rendent une cible récurrente plus intéressante, pas moins, et il est courant que la même campagne d'extorsion, ou une différente, cible à nouveau quelqu'un qui a déjà payé une fois, parfois quelques semaines plus tard, souvent avec une exigence plus élevée la seconde fois. Il n'existe aucune étape de vérification, aucune confirmation, et aucun véritable registre de qui a payé ou non, au-delà de ce que montre le portefeuille bitcoin de l'expéditeur lui-même, et même cela n'offre aucun moyen réel pour l'expéditeur de distinguer un paiement définitif d'un paiement qui invite simplement à recommencer.
Pourquoi le bitcoin en particulier
Le bitcoin est de très loin la monnaie de choix dans ces campagnes, pour des raisons pratiques plutôt que pour un lien particulier avec la menace elle-même. Il peut être envoyé mondialement sans intermédiaire bancaire, il ne nécessite pas la vérification d'identité de l'expéditeur comme le ferait un virement bancaire, et une adresse de portefeuille peut être générée instantanément et utilisée pour un volume énorme d'e-mails identiques envoyés à des cibles différentes. Des recherches analysant les campagnes de sextorsion ont constaté l'usage du bitcoin dans la quasi-totalité des cas documentés, précisément parce que ces propriétés en font la voie de moindre résistance pour un escroc opérant à grande échelle plutôt qu'en ciblant un individu en particulier.
L'ampleur et le coût réels de ce phénomène
L'extorsion figure systématiquement parmi les catégories de cybercriminalité les plus signalées dans les données du FBI, avec des dizaines de milliers de signalements chaque année rien qu'aux États-Unis, et des pertes financières signalées se comptant en dizaines de millions de dollars chaque année. Les paiements individuels ont tendance à être relativement modestes selon les standards de la fraude en cryptomonnaie, souvent dans une fourchette de quelques centaines à quelques milliers de dollars, ce qui est en soi un choix délibéré, car une exigence plus modeste est plus susceptible d'être payée rapidement par un destinataire paniqué, sans qu'il prenne le temps de vérifier la menace.
Une variante bien plus sérieuse : la sextorsion ciblée
Une catégorie distincte et nettement plus sérieuse concerne les cas où la menace n'est pas un bluff, ciblant le plus souvent des mineurs ou de jeunes adultes précédemment manipulés pour partager de véritables images ou vidéos dans le cadre d'une relation en ligne fabriquée, parfois construite via un faux profil de rencontre ou un contact sur les réseaux sociaux sur une période prolongée. Cette variante, parfois appelée sextorsion financière, a été liée à des groupes criminels organisés opérant à l'international et a mené à des issues tragiques documentées. Si un contenu réel existe effectivement en raison d'une relation en ligne antérieure, cela doit être traité comme une affaire criminelle grave et signalé immédiatement aux forces de l'ordre et, pour les affaires impliquant des mineurs, au National Center for Missing and Exploited Children, plutôt que traité comme un simple e-mail indésirable de routine.
Comment distinguer un bluff d'une affaire réelle
La distinction se résume généralement à une question simple : une relation, une conversation, ou un échange d'images réels ont-ils déjà eu lieu avec la personne formulant la menace, même si cette relation s'est révélée reposer sur une fausse identité. Un e-mail d'extorsion en masse arrive de nulle part, sans contact préalable, et ne fait référence à rien de spécifique au destinataire au-delà d'un mot de passe recyclé. Une affaire ciblée fait suite à des semaines ou des mois de véritable conversation, souvent sur une application de rencontre, un réseau social ou une application de messagerie, durant lesquelles des images ou vidéos ont réellement été partagées, et la personne formulant les exigences peut produire ce contenu réel parce qu'elle le possède effectivement. S'il n'y a jamais eu de relation ou d'échange préalable, considérez la menace comme presque certainement un bluff. S'il y en a eu un, considérez-la comme une affaire réelle et sérieuse nécessitant l'implication des forces de l'ordre plutôt qu'une décision à prendre seul.
Que faire réellement si vous en recevez un
- Ne payez pas. Le paiement ne fait pas disparaître la menace, et il confirme à l'expéditeur que votre adresse e-mail appartient à quelqu'un disposé à payer, ce qui mène fréquemment à des demandes répétées
- Ne répondez pas à l'e-mail et n'engagez aucun échange avec l'expéditeur, car cela confirme également que l'adresse est active et surveillée
- Changez le mot de passe mentionné dans l'e-mail si vous l'utilisez encore quelque part, et vérifiez si ce mot de passe apparaît dans une fuite de données connue via un service fiable de vérification de fuites
- Activez l'authentification à deux facteurs sur vos comptes importants, en particulier votre messagerie, car la compromission d'un compte e-mail est un vecteur courant pour un large éventail de fraudes sans rapport
- Signalez l'e-mail à l'Internet Crime Complaint Center du FBI sur ic3.gov, en incluant le message complet et l'adresse bitcoin le cas échéant, ce qui aide les agences à suivre et parfois à perturber ces campagnes
Si vous avez une raison réelle de croire que votre appareil est effectivement compromis, indépendamment des affirmations contenues dans l'e-mail lui-même, comme une activité de compte inexpliquée ou un logiciel que vous n'avez pas installé, traitez cela comme un incident de sécurité distinct et faites examiner l'appareil par un professionnel, plutôt que de supposer que les affirmations de l'e-mail d'extorsion sont exactes simplement parce qu'autre chose semble anormal.
Si vous avez déjà payé
Si vous avez payé une demande d'extorsion, vérifiez d'abord si d'autres demandes suivent, car payer une fois mène fréquemment à une seconde demande, plus élevée, plutôt qu'à une résolution. Signalez le paiement via l'IC3, et conservez l'e-mail original ainsi que les détails de transaction, y compris l'adresse de portefeuille et le hachage de transaction. Bien que la récupération de fonds envoyés à un maître chanteur soit difficile, car ces opérations sont spécifiquement conçues pour éviter toute identification, la transaction peut parfois être retracée dans le cadre d'une enquête plus large, de manière similaire au processus décrit dans notre guide sur comment retracer un Bitcoin volé, même lorsqu'un résultat de récupération individuel précis ne peut être promis.
Il vaut aussi la peine de rester vigilant face à un enchaînement prévisible : être contacté par la suite par quelqu'un proposant de vous aider à récupérer l'argent déjà versé, ce qui constitue fréquemment lui-même une arnaque à la récupération, traitée dans notre guide sur les arnaques à la récupération de cryptomonnaie.
- L'e-mail original complet, en-têtes compris si possible, car les données d'en-tête peuvent parfois révéler l'infrastructure d'envoi même lorsque l'adresse d'expéditeur visible est usurpée
- L'adresse bitcoin vers laquelle la demande a été envoyée, et le hachage de transaction si un paiement a été effectué
- Toute capture d'écran ou pièce jointe que l'expéditeur a fournie comme prétendue preuve
- Une note de la date et de l'heure exactes de réception de l'e-mail et, en cas de paiement, de la date et de l'heure exactes de cette transaction
Questions fréquentes
Presque toujours à partir d'une ancienne fuite de données sans rapport sur un autre site web ou service, où votre combinaison e-mail et mot de passe a été exposée puis diffusée ou revendue en masse sur des places de marché criminelles. Cela ne signifie pas que votre appareil ou vos comptes actuels sont réellement compromis, mais cela signifie que vous devriez cesser de réutiliser ce mot de passe où que ce soit.
C'est déstabilisant mais cela fait généralement toujours partie du même bluff, car des détails personnels comme une adresse ou un numéro de téléphone sont souvent inclus dans les mêmes ensembles de données piratées ou achetés séparément auprès de courtiers de données, et n'indiquent pas en soi que l'expéditeur détient un véritable contenu compromettant ou un accès continu à votre appareil.
Ces campagnes sont généralement menées par des groupes organisés opérant depuis l'étranger, utilisant spécifiquement le bitcoin pour compliquer le suivi, ce qui rend les arrestations individuelles peu fréquentes pour les campagnes de masse ordinaires. Le signalement reste néanmoins important, car les signalements agrégés soutiennent des actions plus larges des forces de l'ordre contre l'infrastructure criminelle derrière ces campagnes.
Un e-mail d'extorsion en masse est un bluff envoyé à un très grand nombre de destinataires sans accès réel à un quelconque appareil. Un rançongiciel est une véritable infection par un logiciel malveillant qui chiffre réellement les fichiers ou systèmes d'une victime, et la demande d'extorsion fait suite à une compromission technique réelle et vérifiable, ce que traite en détail notre guide sur les paiements de rançongiciels.
La transaction elle-même peut généralement être tracée sur la chaîne comme n'importe quel autre paiement en cryptomonnaie, en suivant l'adresse de portefeuille à travers les sauts suivants. Que cette piste mène quelque part d'exploitable dépend de la destination finale des fonds, car les opérateurs d'extorsion en masse blanchissent généralement rapidement les petits paiements, mais signaler le hachage de transaction et l'adresse de portefeuille contribue tout de même aux efforts d'enquête plus larges.
Sources et lectures complémentaires
- Sextortion Scams · Chainabuse
- Scam Alert: Beware of sextortion emails · Better Business Bureau
- Cryptocurrency Crime Information · Internet Crime Complaint Center, Federal Bureau of Investigation