Contrairement aux affirmations d’une certaine opinion politique au sommet de la pyramide décisionnelle des TIC en Côte d’Ivoire, la cybercriminalité a encore de beaux jours devant elle. En effet, la mise en place progressive de l’environnement TIC et le développement du e-business, ouvrent de nouvelles perspectives pour les univers cybercriminels Ivoiriens.

Outre les cyberescroqueries classiques de nos chers « brouteurs », à savoir : love tchat scam, chantage à la vidéo, arnaque à la fausse loterie, etc., une nouvelle vague de cyberescrocs a vu le jour est en passe de s’implanter profondément dans l’écosystème TIC national. Loin d’être des virtuoses de l’informatique ou du hacking, il s’agit plutôt de personnes malveillantes qui savent tirer profit des failles organisationnelles et humaines dans la sécurisation des transactions économiques, effectuées via les nouveaux moyens de paiements électroniques.

Nous avons mené l’enquête pour tenter de comprendre les nouvelles arnaques réalisées au préjudice des usagers des services de transfert d’argent via les moyens de mobile monney. Avoir un compte électronique reposant sur son abonnement mobile est devenu depuis quelques années maintenant la grande tendance en Côte d’Ivoire, notamment à travers la multiplication des solutions offertes par les opérateurs de téléphonie mobile ; à savoir : Orange Money ( ORANGE CI), MTN Mobile Money (MTN), Flooz (Moov CI), etc. On a trop vite fait de nous présenter les multiples avantages liés à l’utilisation de ces solutions de transfert d’argent, sans prévenir des risques de sécurité énormes qui peuvent en découler.

Comment l’escroquerie est-elle réalisée ?

Les nombreuses personnes victimes de cette forme d’escroquerie ont toutes décrit un procédé quasi identique avec des variations à quelques degrés près.

Phase 1:

Tout part de l’envoi ou du dépôt par un usager de ces services d’argent cash vers son compte électronique. Une fois la transaction effectuée, un reçu d’opération est délivré pour confirmer la réussite de l’opération conformément aux règles de chaque établissement.

L’arnaque prend forme une fois que le client quitte les locaux de l’agence dans laquelle il vient d’effectuer le transfert. En effet, il reçoit un coup de fil d’une personne se présentant comme un agent de la direction de l’établissement proposant le service (Orange, Moov, MTN, etc.). En prétextant des problèmes d’ordre technique, ce prétendu agent demande, en prenant le soin de signifier au client la somme transférée, l’heure du transfert et bien d’autres détails relatifs à l’opération – pour mettre le client en confiance – que lui soit communiqué le code secret du client donnant libre accès à son compte. Bien ficelée et bien menée, cette attaque par ingénierie sociale est redoutable, vu que le client voue une confiance totale au prestataire de service. Dans la majorité des cas, il est demandé au client de saisir du code USSD (#123xxx*xx) afin de régler le problème technique à la base de l’échec de la transaction. En vérité il s’agit de code exécuté par la victime, afin de soit transférer elle-même l’argent vers d’autres comptes ou simplement envoyer ses informations personnelles à l’escroc.

Phase 2 :

Une fois que le code confidentiel de la victime est entre les mains de l’usurpateur, commence la phase la plus critique de l’opération. En effet, disposer du code secret ne suffit pas à lui seul pour effectuer un retrait d’argent sur le compte qui est lui adossé à la carte SIM de l’usager.  Ceci dit, pour réussir son arnaque l’escroc doit disposer de la carte SIM de sa victime.

Dans l’ensemble des cas étudiés, la carte SIM de la victime (du titulaire légitime du compte) est suspendue dans les minutes suivant le coup de fil du prétendu agent de l’opérateur. On devine aisément que l’escroc réussit à faire suspendre la carte SIM de sa victime auprès de l’Opérateur et se la faire reprogrammer sur un autre support de carte SIM, afin de pouvoir retirer l’argent disponible sur le compte associé.

Qui fait quoi dans cette affaire ?

Complicité entre l’agence de transfert et des salariés de l’entreprise prestataire de service, supercheries savamment menées par ces  réseaux de cyberescrocs, naïveté excessive des clients ?? C’est bien là, la grosse interrogation ???

Quoi qu’il en soit, cet état de fait laisse clairement transparaître des grosses lacunes et failles dans la mise en œuvre de la sécurisation de ces nouveaux canaux de monétisation.

Orange monney

Sans vouloir outre mesure jeter le discrédit, sur l’un ou l’autre opérateur, il convient de souligner que sur l’ensemble des cas étudiés, le produit Orange Money proposé par l’opérateur ORANGE Côte d’Ivoire, reste celui qui présente le plus grand nombre d’implication pour ce type d’affaires. Des efforts ont été faits par ladite structure, notamment à travers l’augmentation du nombre de caractères du code secret, mais ceux-ci restent visiblement inefficaces.

Nous tenterons dans les jours qui viennent de produire des chiffres officiels traitant de cette nouvelle tendance de cyberescroqueries, pour illustrer les propos énoncés dans ce billet. D’ores et déjà, l’on estime que le préjudice global de cette nouvelle d’arnaque atteint des proportions suffisamment alarmantes pour susciter une réaction des Opérateurs de téléphonie mobile proposant de tels services en général et le propriétaire du produit Orange money en particulier.

Transfert et retrait d’argent Orange Monney, via GAB

Silence coupable, protection du consommateur négligée ou impuissance d’action ?

Avec l’arrivée imminente des moyens de paiement électronique, de portefeuille, de e-banking, etc., il convient de s’interroger sur le niveau de maturité des opérateurs locaux, quant à la sécurisation de ces outils technologiques. Vraisemblablement, l’écosystème TIC Ivoirien est encore très peu solide, mais la volonté des instances dirigeantes d’en faire une alternative nouvelle à l’émergence d’une économie nationale forte, nécessite de proposer à minima des mesures participatives assurant une certaine confiance à l’utilisateur final.

C’est le lieu d’inviter les consommateurs des TIC à initier des actions fortes, en vue d’exiger la mise en place en d’outils de protection de leurs intérêts. Pour ce faire, les communautés de blogueurs, notamment l’ABCI ont un rôle plus que primordial à jouer.

En fin de compte faut-il utiliser ces services de mobile monney, e-banking, etc. ou pas ?

Sans équivoque la réponse est OUI il faut aller vers les solutions de monétisation électronique, au vu des énormes avantages qu’elles présentent. Si l’industrie numérique Ivoirienne encore balbutiante participe pour plus de 3% au PIB national, cela témoigne du grand impact que pourrait une industrie mature, propulsée par l’ensemble des acteurs.

Comme pour l’ensemble des technologies, l’utilisation doit être combinée à une bonne connaissance de certaines de sécurité de base, à savoir :

• Ne jamais communiquer son code secret, pour quelque raison que ce soit à une personne tierce, par e-mail, par téléphone, etc ;
• Changer régulièrement son code secret et utiliser un code fort
• Favoriser l’utilisation de moyens offrant un plus grand contrôle établissements bancaires) pour des transactions portants sur de grandes sommes
• Prendre immédiatement attache avec les services de Police si vous êtes victime
• Signaler automatiquement toute perte de votre carte SIM à votre Opérateur

Pour compléter ce dossier, un appel à témoignage est lancé de recueillir de plus amples informations sur le sujet. SI vous ou l’une de vos connaissances avez été victime de cette forme d’escroquerie, n’hésitez pas à partager votre expérience en publiant votre histoire en commentaire de ce billet.