Que faire si votre identité a été volée ?

Avec le développement d’Internet et des services en ligne nécessitant une authentification numérique (banques, réseaux sociaux, boîte mail, administration publique), le vol d’identité s’est propagé sur le web comme une traînée de poudre.

Il aura cependant fallu attendre 2011 et la LOPPSI 2 pour que la loi française reconnaisse l’usurpation d’identité en ligne comme une infraction et la sanctionne pénalement (article 226-4-1 du Code pénal prévoyant jusqu’à un an d’emprisonnement et 15 000 euros d’amende).

Qu’est-ce que l’usurpation d’identité numérique ?

Définie par les textes officiels, l’usurpation d’identité constitue un délit qui désigne le vol et l’utilisation d’informations personnelles dans le but de réaliser des actions frauduleuses au nom de la personne lésée.

Du vol d’informations personnelles relatives à l’identité d’une personne découlent, dans la majorité des cas, d’autres infractions autrement plus graves portant atteinte à la tranquillité, à la réputation et à la propriété d’autrui. On pense notamment à l’utilisation d’informations bancaires dérobées (articles L163-3 et L163-4 du code monétaire et financier, jusqu’à sept ans d’emprisonnement et 750 000 euros d’amende), au piratage de compte en ligne (article 323-1 du code pénal, jusqu’à trois ans d’emprisonnement et 100 000 euros d’amende) ou au piratage de compte de messagerie (article 226-15 du code pénal, jusqu’à un an d’emprisonnement et 45 000 d’amende).

Que faire en cas d’usurpation d’identité en ligne ?

En cas de soupçon ou de vol avéré d’informations personnelles, la première chose à faire est de prévenir immédiatement les plateformes concernées par l’usurpation d’identité. La plupart des réseaux sociaux (Facebook, Instagram, LinkedIn, Twitter, YouTube, Snapchat, TikTok) proposent aujourd’hui un parcours guidé pour récupérer son compte après un piratage, ou renforcer la sécurité du compte à la suite d’activités suspectes. Selon les cas de figure, il faudra fournir un certain nombre de documents officiels et de renseignements permettant de prouver l’identité de la victime, l’intrusion sur le compte et le vol d’informations.

Si le vol d’identité concerne des identifiants bancaires, il convient évidemment de signaler sans attendre l’usurpation auprès de son établissement, de bloquer sa ou ses cartes de paiement, de modifier son mot de passe d’accès aux comptes. Les plateformes de paiement en ligne comme PayPal ou Google Pay permettent également de signaler des transactions suspectes, d’obtenir un remboursement le cas échéant et de renforcer la sécurité du compte après un vol ou une tentative de vol. En cas de souscriptions indésirables à des crédits en ligne, c’est à la Banque de France qu’il faudra s’adresser.

L’usurpation d’identité et l’utilisation frauduleuse d’informations personnelles relevant du pénal, il est vivement conseillé de porter plainte au commissariat de police, à la brigade de gendarmerie ou directement auprès du procureur de la République. L’association France Victimes (appel et service gratuits au 116 006) accompagne les victimes d’usurpation d’identité dans le dépôt et le suivi de leur plainte auprès des services adéquats. Enfin, la plateforme Info Escroqueries (mise en place par le ministère de l’Intérieur et joignable au 0 805 805 817) informe, conseille et oriente les personnes victimes d’escroquerie.

Dans tous les cas, il est impératif de collecter et conserver toutes les preuves qui permettront de constater l’usurpation et les usages frauduleux de l’identité de la victime (captures d’écran, messages, URL de pages web concernées), ainsi que des copies des plaintes et échanges qui témoignent de l’avancement du dossier.

Prévenir plutôt que guérir

Au-delà des dommages directs causés par une usurpation d’identité en ligne, prouver le vol et l’utilisation frauduleuse d’informations personnelles s’apparente à un parcours du combattant pour les victimes. Les enquêtes sont longues et les résultats parfois peu concluants, qu’il s’agisse d’identifier l’usurpateur, d’obtenir un remboursement des sommes dérobées ou de récupérer un compte piraté (messageries, réseaux sociaux, plateformes d’achats en ligne).

Il existe pourtant quelques parades simples à mettre en place pour limiter les risques de vol d’identité numérique : ne pas ouvrir les emails en provenance d’expéditeurs inconnus, ne pas cliquer sur des liens ni télécharger de documents joints à des messages suspects, communiquer un minimum d’informations personnelles à ses interlocuteurs et sur les réseaux sociaux, ne jamais divulguer ses identifiants à un tiers (les sites nécessitant la création d’un compte personnel ne demandent jamais à leurs utilisateurs de leur communiquer leur mot de passe ou toute autre information confidentielle).

On en profite également pour rappeler qu’un mot de passe solide doit être long et comporter des majuscules, minuscules, chiffres et caractères spéciaux. Il est par là même impératif de créer un mot de passe unique par compte et de le changer régulièrement. Il existe aujourd’hui de nombreux gestionnaires de mots de passe de confiance permettant de générer des chaînes de caractères aléatoires et de les stocker dans des coffres-forts sécurisés.

Il est enfin vivement conseillé d’activer l’authentification à double facteur sur les sites qui le proposent.

Un VPN pour consolider la sécurité de son identité numérique

Malgré toutes les mesures prises pour sécuriser son identité numérique, le risque zéro n’existe pas et nul n’est à l’abri de faire les frais d’actes cybermalveillants. D’où l’intérêt d’opter pour un VPN comme ExpressVPN.

Pour rappel, un VPN (réseau privé virtuel) établit un tunnel à l’aide d’un protocole sécurisé entre l’appareil source (ordinateur, tablette, smartphone, routeur) et un serveur VPN géré par le fournisseur du service. Isolés du reste du trafic Internet, les paquets de données sont chiffrés et transitent via ce tunnel jusqu’au serveur VPN. À l’issue de cette première étape, la requête est déchiffrée avant d’être redirigée sur le réseau Internet public, identifiée non plus par l’adresse IP de l’internaute, mais par celle du serveur VPN intermédiaire.

Déjouer les interceptions de trafic

Outre l’impossibilité d’identifier l’utilisateur ou l’utilisatrice à l’origine de la requête, le recours à un VPN promet de sécuriser les connexions, et donc les données, sortantes et entrantes de l’appareil. Chez ExpressVPN, cette sécurité est garantie par la prise en charge des protocoles de tunneling Lightway, OpenVPN, IKEv2/IPSec ou encore L2TP/IPSec. Quiconque tenterait d’intercepter la connexion entre un ordinateur ou un smartphone et le serveur VPN intermédiaire se heurterait à un double mur : le tunnel sécurisé (authentifications de serveur et HMAC) et le chiffrement militaire des paquets qui l’empruntent (AES-256). Un point essentiel, notamment, lorsque l’on se connecte à Internet via un réseau Wi-Fi public, souvent mal sécurisé et cible privilégiée des hackers qui dérobent sans difficulté identifiants bancaires et autres mots de passe de comptes utilisateur.

ExpressVPN dispose par ailleurs de ses propres DNS sur chacun de ses serveurs, garantissant la sécurité et la confidentialité des requêtes qui ne passent plus par les DNS publics, mais bien par ceux du service de VPN.

Anticiper les instabilités de connexion

En guise de protection contre les instabilités de connexion, responsables de l’arrêt du VPN et de l’exposition des données personnelles, ExpressVPN embarque une fonctionnalité essentielle : le kill switch. Baptisée Network Lock, cette option activée par défaut détecte en temps réel la moindre microcoupure Internet (panne FAI, changement de réseau, etc.) et bloque instantanément tout trafic entrant et sortant jusqu’à la réactivation automatique ou manuelle du bouclier VPN. Exit le risque de connexion au réseau public sans que l’on ne s’en rende compte !

Contrer le piratage de serveurs

Encore aujourd’hui, la plupart des serveurs mis à disposition par les différents fournisseurs de VPN existants reposent sur des disques durs. Une configuration matérielle qui pose un réel problème de sécurité dans la mesure où cette technologie de stockage conserve les données enregistrées jusqu’à ce qu’elles soient réécrites. On peut dès lors imaginer que des hackers parvenant à exploiter une faille sur l’un de ces serveurs puissent s’y introduire sans difficulté et récupérer des informations potentiellement sensibles.

Afin de lutter contre cette éventualité, ExpressVPN a fait le choix de troquer ses disques durs contre de la mémoire vive. Cette technologie appelée TrustedServer, auditée par PwC et participant au bug bounty organisé par le fournisseur, permet aux serveurs de fonctionner sur RAM, et donc de supprimer automatiquement l’ensemble des données traitées à chaque redémarrage du système.