À l’heure où nos vies deviennent de plus en plus numériques, la sécurité de nos informations personnelles n’a jamais été aussi cruciale. Qu’il s’agisse de consulter nos comptes bancaires, d’effectuer des paiements mobiles ou simplement de nous connecter à nos réseaux sociaux, nous partageons chaque jour des données sensibles à travers nos écrans. Nous parlons beaucoup de phishing, de ransomwares complexes ou de failles de sécurité Zero-Day. C’est normal : ces termes font peur et semblent sortir d’un film d’espionnage. Cependant, il existe une menace discrète, presque invisible, qui ne nécessite ni virus ni piratage sophistiqué : le shoulder surfing. C’est frustrant, n’est-ce pas ? Cette pratique, souvent sous-estimée, repose sur la simple observation visuelle pour dérober des informations confidentielles. Contrairement à une attaque de malware, le « pirate » ici n’a pas besoin de taper une seule ligne de code. La technique n’est pas nouvelle, mais elle a désormais un nom : le « shoulder surfing ». Littéralement : espionner par-dessus l’épaule. Cette attaque relève moins de la technique que de la psychologie : elle exploite notre inattention naturelle et notre confiance dans les environnements quotidiens. Ne laissez pas un simple regard compromettre des mois de travail acharné.
Qu’est-ce que le Shoulder Surfing ? Une Menace Discrète mais Puissante
Le shoulder surfing est une technique d'ingénierie sociale qui consiste à espionner les informations sensibles d'une personne. L'expression anglaise « shoulder surfing » se traduit littéralement par « surfer par-dessus l'épaule », illustrant la méthode utilisée par les fraudeurs pour capturer visuellement des données confidentielles, telles que des mots de passe, des codes PIN ou d'autres données confidentielles, en regardant par-dessus son épaule pendant qu'elle les saisit. Le Shoulder Surfing est une méthode de vol d’informations dans laquelle un cybercriminel observe une victime de près pour voir toutes les informations qu’il tape ou voit sur ses écrans. Il s’agit pour le fraudeur de regarder par-dessus votre épaule pendant que vous effectuez une opération à un appareil automatique ou à la caisse dans un magasin. Le « pirate » ici n’a pas besoin de taper une seule ligne de code. Parfois, le danger n’est même pas malveillant. C’est juste quelqu’un de curieux. Mais une information critique, une fois vue, ne peut plus être « dé-vue ». Cette pratique est plus courante qu'on ne l'imagine, et peut survenir sans intention malveillante dans diverses situations quotidiennes, rendant la sécurité de nos informations cruciale alors que nos vies deviennent de plus en plus numériques.
Comment le Shoulder Surfing Fonctionne-t-il ? Modes Opératoires et Techniques
Les attaques par shoulder surfing peuvent prendre plusieurs formes, allant de la simple observation visuelle à des méthodes technologiquement avancées. Le Shoulder Surfing est utilisé par un attaquant qui regarde par-dessus l’épaule d’une victime pour voir ce qu’elle fait et voler les informations privées affichées sur son écran.
La forme la plus courante est l'observation directe. Cela consiste à observer la victime à proximité, par exemple dans une file d’attente à un guichet automatique ou lorsqu’elle utilise son téléphone dans les transports publics. L'attaquant peut se tenir n’importe où, du moment où il peut regarder la victime. Le fraudeur mémorise alors le code PIN, le mot de passe ou le numéro de carte bancaire saisi.
Des méthodes plus sophistiquées peuvent inclure l'utilisation de dispositifs optiques. Certains cybercriminels se montrent plus ingénieux et utilisent des caméras miniatures dissimulées dans des objets du quotidien (montres, stylos, lunettes) pour enregistrer les gestes de la victime à distance. De même, des caméras de surveillance ciblées sont employées : d’autres attaquants installent des caméras de surveillance orientées vers les claviers d’ordinateurs ou les terminaux de paiement pour capter les saisies. Dans certains cas, des attaques à distance impliquent le filmage discret d’un utilisateur en train de taper son code à plusieurs mètres grâce à un téléobjectif. Le Shoulder Surfing à un guichet automatique peut se produire de deux façons : soit une caméra est installée face au pavé PIN du guichet automatique afin de capturer le code PIN que vous saisissez et obtenir éventuellement un aperçu de votre carte de débit ou de crédit, soit le shoulder surfer se tient directement derrière vous et regarde par-dessus votre épaule.
Lire aussi: Biarritz : Le Surfing, une expérience unique
Au-delà de la simple observation, les fraudeurs recourent souvent à des stratégies de distraction pour dérober des informations ou des biens après avoir obtenu le code. Dans les self bankings, par exemple, vous retirez de l’argent à un distributeur de billets et la personne qui se tient juste derrière vous vous signale aimablement que vous avez laissé tomber un billet. Le temps que vous le ramassiez, cette personne s’est envolée, avec votre carte. Pendant que vous effectuiez votre opération, elle n’attendait pas simplement son tour : elle regardait votre code secret par-dessus votre épaule au moment où vous l’introduisiez. Disposant de votre code et de votre carte, elle peut désormais retirer sans problème de l’argent de votre compte. Un autre scénario courant est qu'au moment où vous quittez le self banking, un inconnu vous informe qu'un message est apparu sur l'écran de l'appareil que vous veniez de quitter. Vous remettez alors votre carte dans l'appareil et l'escroc regarde votre code. Ensuite, une deuxième personne détourne votre attention en jetant un billet par terre, par exemple. Grâce à ce subterfuge, le voleur s'empare de votre carte et prélève immédiatement de l’argent sur votre compte. Vous constatez la disparition de votre carte mais pensez qu’elle a été avalée par l'appareil. Un complice entre alors dans l'agence, vous fait croire que votre carte vient de ressortir et vous la remet. L’exemple du billet de banque est une possibilité, mais le fraudeur peut tout aussi bien entamer une petite conversation avec vous ou utiliser tout autre moyen susceptible de vous distraire. Une fois qu’ils ont votre code PIN, ils veulent votre carte. Ils vont donc essayer de vous la dérober en entamant une conversation avec vous ou en faisant par exemple semblant d’avoir trouvé l’argent dans la rue. Ils auront alors votre nom, votre carte bancaire et votre code PIN. Ils pourront ainsi retirer l’argent de votre compte avant même que vous ayez constaté la disparition de votre carte de banque.
Dans tous les cas, la réussite du shoulder surfing repose sur la discrétion. L’attaquant ne laisse aucune trace numérique, ce qui rend la détection très difficile. Bien que le shoulder surfing se produise dans le monde physique, il s’agit d’un problème de cybersécurité.
Les Lieux de Prédilection du Shoulder Surfing : Où Êtes-vous le Plus Vulnérable ?
Les Shoulder Surfers choisissent souvent des lieux publics où ils peuvent regarder plusieurs victimes à la fois. Cette pratique est plus courante qu'on ne l'imagine, et peut survenir sans intention malveillante dans diverses situations quotidiennes, mais les fraudeurs ciblent spécifiquement certains environnements.
Les distributeurs automatiques de billets (DAB) et les terminaux de paiement sont des cibles privilégiées. Que ce soit pour un retrait aux distributeurs automatiques de billets ou des transactions sur terminaux de paiement, les fraudeurs vous espionnent afin de prendre connaissance de votre code PIN au moment où vous effectuez un paiement. On a même remarqué que les codes PIN des épiceries ont un bouclier protecteur autour des boutons, un dispositif spécifiquement placé pour empêcher les shoulder surfers d’apercevoir votre code PIN. Lorsque vous payez à la caisse d’un magasin, les fraudeurs vous espionnent par le biais des miroirs placés au-dessus des caisses. Ils peuvent également essayer de voir votre code secret lorsque vous payez dans un restaurant ou sur n’importe quel terminal de paiement.
Les transports en commun, comme le train et l’avion, sont les lieux de prédilection du shoulder surfing. Imaginez la scène : vous êtes dans un wagon de train, pressé de terminer vos dossiers avant votre arrivée. Autour de vous, des dizaines de personnes. Les fraudeurs pourraient se détendre et observer les gens dans un café où les invités travaillent couramment sur leurs ordinateurs portables.
Lire aussi: Guide ultime du surf à San Juan del Sur
Plus généralement, l'utilisation d'ordinateurs et de mobiles en espaces publics (cafés, bibliothèques, aéroports, etc.) constitue un risque majeur. Par exemple, une personne qui choisit de travailler à distance à partir de son café local et ne prend pas de précautions pour empêcher un shoulder surfer de voir les informations sensibles sur son écran, s'expose. Si un shoulder surfer est dans le même café, il peut choisir de se positionner dans un endroit où il peut voir juste ce qu’il faut sur l’écran de sa victime ciblée. La saisie de codes confidentiels sur mobile en public est également un moment de vulnérabilité. En bref, partout où vous saisissez des informations sensibles ou visualisez du contenu privé sur un écran en présence d'autres personnes, le risque de shoulder surfing existe.
Conséquences Dévastatrices du Shoulder Surfing : Au-delà de la Simple Fuite d'Information
Les conséquences d’une attaque de shoulder surfing peuvent être graves et variées, impactant à la fois la vie personnelle et professionnelle des victimes.
La fraude financière est l'une des conséquences les plus directes. Si un fraudeur parvient à obtenir votre code PIN ou vos identifiants bancaires, il peut vider votre compte ou effectuer des transactions frauduleuses en quelques minutes. Une fois ces données sensibles volées, le shoulder surfer retourne dans le monde numérique et peut utiliser ce qu’il a appris pour pirater les comptes appartenant à la victime.
Au niveau professionnel, la compromission professionnelle peut avoir des répercussions majeures. La divulgation de vos identifiants professionnels peut entraîner l'accès de données sensibles de l’entreprise, des pertes financières ou une atteinte à la réputation de l’organisation. Il peut également entraîner des fuites d’informations commerciales confidentielles secrètes, ce qui peut exposer une entreprise au risque de subir une cyberattaque.
Le vol d’identité est une autre conséquence sérieuse. Sur le plan personnel, le shoulder surfing peut permettre à des criminels d’utiliser vos informations pour ouvrir des comptes, contracter des crédits frauduleux ou effectuer des achats sans votre consentement. Les attaques de shoulder-surfing peuvent entraîner un vol d’argent, des attaques de détournement de compte et même une usurpation d’identité. Selon le type d’informations que la personne a sur son écran, le shoulder surfer peut noter toutes les informations qu’il pense pouvoir utiliser à des fins malveillantes, telles que l’usurpation d’identité ou le vol de fonds.
Lire aussi: Aventures aquatiques : des films de surf avec des acteurs renommés
L'atteinte à la vie privée est également un préjudice considérable. Cette forme d’espionnage permet de lire vos messages, voir vos photos ou consulter vos échanges confidentiels, qui peuvent être exploités à des fins de manipulation, de chantage ou de harcèlement. Lorsque la victime tape des mots de passe, vérifie son compte bancaire, participe à des réunions de travail confidentielles ou effectue des achats en ligne, le shoulder surfer peut enregistrer ou mémoriser ses données.
Une caractéristique particulièrement insidieuse du shoulder surfing est l'absence d’alerte. Contrairement aux cyberattaques classiques, le shoulder surfing ne génère aucune notification. La victime ne découvre l'attaque que lorsque les préjudices sont déjà constatés, souvent bien après que le mal ait été fait.
Des Cas Concrets : Le Shoulder Surfing, une Réalité Criminelle Organisée
Le shoulder surfing est une menace aussi ancienne que l’utilisation des mots de passe, mais qui reste parfaitement d’actualité dans notre société ultra-connectée. Cette ruse utilisée par des bandes de voleurs a été identifiée à de multiples reprises dans l’ouest de la France en 2022. Particulièrement concerné, le département du Finistère a été le théâtre de plusieurs arnaques de ce type, souvent au préjudice de personnes âgées.
Dimanche 26 février, quatre individus soupçonnés d’avoir escroqué plusieurs centaines de personnes ont été interpellés dans un hôtel de Brive-la-Gaillarde (Corrèze). L’occasion pour la gendarmerie d’alerter sur les dangers du fameux « shoulder surfing ». Parfois utilisée pour dérober des mots de passe, cette technique consiste à observer le code de carte bancaire des personnes en regardant par-dessus leur épaule au moment du paiement. D’après la gendarmerie du Finistère, les voleurs agissent en général au sein des supermarchés. « Ils dérobent ensuite discrètement le portefeuille des victimes. Après, ils utilisent les cartes des victimes pour retirer du numéraire et réaliser des achats », expliquent les enquêteurs. Ces derniers précisent que ce sont souvent des personnes âgées, moins alertes et moins promptes à repérer les comportements suspects, qui sont visées. La moyenne d’âge des victimes recensées est de 77 ans.
La technique utilisée est loin d’être amateur. D’après les enquêteurs, les trois femmes et l’homme interpellés appartiennent à un groupe criminel organisé international bosnien. Ils ont été interpellés dimanche par les gendarmes de l’Office central de lutte contre la délinquance itinérante (OCLDI) et du groupement de gendarmerie départementale du Finistère alors qu’ils étaient en escale dans un hôtel de Brive. De retour d’Espagne, les quatre mis en cause s’apprêtaient à retourner au-delà de nos frontières pour y poursuivre leurs vols, toujours sur le même mode opératoire. Ils ont sur eux 12.000 euros, soit l’équivalent de trois jours de « shoulder surfing ». D’après les gendarmes, le préjudice total s’élève à ce stade à 153.000 euros rien qu’en France. « Les rapprochements permettent d’établir que des faits sont également commis en Espagne, en Italie, en Suisse, en Croatie et en Allemagne, témoignant de la mobilité du groupe organisé ».
#