Le chiffrement protège le chemin du message ; une demande d'argent doit être vérifiée indépendamment.
Le chiffrement de bout en bout peut protéger le contenu des messages contre les intermédiaires, mais il ne garantit pas que l'expéditeur dise la vérité. Un escroc peut lui aussi envoyer des messages chiffrés depuis son propre compte. Face à un faux administrateur, à un gain fictif ou à une offre liée aux cryptomonnaies, il faut examiner l'identité du compte et sa demande séparément de la sécurité du chemin emprunté par le message.
Trois scénarios courants et la bonne réaction
| Message reçu | Ce qu'il faut vérifier | Réaction plus sûre |
|---|---|---|
| « Je suis l'administrateur du groupe ; envoyez cette somme immédiatement » | Le nom et la photo d'un administrateur ont peut-être été copiés | Consultez la liste des administrateurs et faites confirmer la demande par un moyen de contact déjà connu |
| « Vous avez gagné ; payez des frais pour recevoir votre lot » | Payer pour débloquer un gain est un signe d'arnaque | Ne payez pas ; retrouvez l'organisateur par vos propres moyens |
| « Rendement garanti ; vous n'avez que quelques minutes » | La pression de l'urgence et la promesse de gains certains empêchent de vérifier sereinement | N'envoyez ni argent ni informations sur votre portefeuille et vérifiez l'affirmation de manière indépendante |
Ces signes invitent à s'arrêter et à vérifier. Une apparence officielle, un grand nombre de membres ou l'approbation de plusieurs autres comptes ne suffisent pas, à eux seuls, à établir la légitimité d'une demande.
Comment vérifier si un administrateur est un imposteur ?
Le nom affiché et la photo d'un compte peuvent être imités. Examinez attentivement le nom d'utilisateur et l'identifiant, mais gardez à l'esprit que même un compte authentique peut avoir été piraté. Si la demande est inhabituelle, contactez la personne par un autre moyen que vous connaissez déjà plutôt que de répondre dans la même conversation.
Par exemple, si l'administrateur d'un groupe professionnel vous demande un virement en message privé, faites confirmer la demande au moyen d'un numéro ou d'un canal officiel enregistré auprès de l'organisation, et non d'un nouveau numéro fourni par ce même compte. N'envoyez pas d'informations sensibles pour « prouver votre appartenance au groupe ».
Un numéro de sécurité ou une empreinte de clé peut aider à vérifier la connexion cryptographique avec votre correspondant. Mais la concordance des clés ne prouve ni que son offre financière est légitime, ni que son appareil est exempt de logiciels malveillants.
Pourquoi ne faut-il envoyer ni argent ni code de connexion pour recevoir un gain ?
Le guide de la Federal Trade Commission américaine sur les faux gains présente les demandes de paiement pour recevoir un gain et les demandes d'informations financières comme des signaux d'alerte majeurs. Le message peut prendre l'apparence d'un concours, d'un tirage au sort, d'un cadeau ou d'une intervention de l'assistance du compte.
N'envoyez ni code de connexion, ni mot de passe, ni phrase de récupération dans une conversation. Si quelqu'un vous demande de visiter un site pour « activer votre gain », ouvrez vous-même l'adresse officielle de l'organisateur par un chemin connu. Un cadenas HTTPS ou la mention « chiffré » sur la page ne prouve pas que l'organisateur est authentique.
En quoi les opérations de pump and dump et les offres en cryptomonnaies diffèrent-elles des faux gains ?
Dans une opération de pump and dump, une promotion coordonnée peut faire monter la demande et le prix d'un actif pour permettre aux organisateurs de vendre leurs propres avoirs. Dans un investissement fictif, il peut n'y avoir aucune transaction réelle : un tableau de bord affiche alors des profits inventés. Ce sont deux mécanismes distincts, mais tous deux peuvent exploiter l'enthousiasme du groupe et la pression de l'urgence.
Le guide officiel de la FTC sur les arnaques aux cryptomonnaies met en garde contre les promesses de rendements garantis, l'usurpation d'identité et les demandes de transfert de cryptomonnaies. Cet article ne conseille pas d'acheter ou de vendre des actifs ; son objectif est d'aider à examiner une demande suspecte.
Évitez de connecter un portefeuille ou de signer une transaction dont vous ne comprenez pas la portée. Ne saisissez jamais votre phrase de récupération pour un administrateur, un service d'assistance ou pour recevoir un airdrop. Un paiement supplémentaire pour « débloquer des profits » ou « récupérer de l'argent perdu » peut prolonger la même arnaque.
À quoi sert le chiffrement de bout en bout, et que ne résout-il pas ?
Un chiffrement correctement mis en œuvre, associé à l'authentification des clés, vise à protéger la confidentialité et l'intégrité des messages contre les personnes extérieures à la conversation. Mais un membre autorisé du groupe lit le texte et peut mentir, envoyer des liens malveillants ou copier des messages. La sécurité après compromission n'est ni un système de détection des arnaques, ni une révocation automatique de l'accès d'un attaquant.
De même, un protocole comme SRP, qui ne transmet pas directement le mot de passe lors de la connexion, n'empêche pas de saisir ce même mot de passe sur une fausse page. Protéger la connexion et reconnaître une tromperie sont deux problèmes distincts.
Selon les limites de sécurité publiées par Livara, les canaux publics ne sont pas équivalents aux conversations privées. La possibilité de signaler du contenu est utile, mais ni le caractère public d'un canal ni la présence d'outils de signalement ne rendent les arnaques impossibles.
Que faire si j'ai envoyé des informations ou de l'argent ?
- Cessez tout nouvel échange et tout paiement supplémentaire ; ne payez pas de nouveaux frais pour « résoudre le problème ».
- Conservez les messages, l'identifiant du compte, l'adresse du site et le reçu de transaction pour effectuer un signalement ; ne les publiez pas.
- Si vous avez communiqué vos identifiants de connexion, accédez au site officiel depuis un appareil de confiance, changez votre mot de passe et vérifiez vos sessions ainsi que vos moyens de récupération.
- Si vous avez effectué un paiement, contactez rapidement la banque ou le service de paiement concerné. Le remboursement n'est pas garanti, en particulier pour les cryptomonnaies.
- Signalez et bloquez le compte et le message à l'aide des outils officiels de la messagerie. Pour un signalement aux autorités, demandez l'aide de l'organisme officiel compétent de votre lieu de résidence.
Questions rapides
Un badge de vérification ou un grand nombre de membres suffit-il ?
Non. Vérifiez de manière indépendante la demande précise, l'identité de la personne et la destination du paiement ; aucun signe visuel ne remplace ces vérifications.
Si le numéro de sécurité est correct, la demande d'argent est-elle légitime ?
Non. La vérification des clés concerne le correspondant de la connexion chiffrée, pas la véracité de ses affirmations financières ni la sécurité de son appareil.
Faut-il cliquer sur le lien pour savoir s'il est faux ?
Non. Pour examiner une demande suspecte, rendez-vous d'abord sur le service par un chemin officiel et connu. Un aperçu soigné ou un nom de domaine ressemblant à l'original ne constitue pas une preuve de légitimité.
