E-mail de chantage à la webcam qui cite votre mot de passe : pourquoi c'est presque toujours du bluff et comment réagir sans payer

Marc, 61 ans, ouvre sa messagerie un dimanche matin à Namur. Un e-mail en français approximatif lui annonce que son ordinateur a été piraté, que sa webcam l'a filmé pendant qu'il visitait des sites pour adultes et que la vidéo sera envoyée à tous ses contacts s'il ne paie pas l'équivalent de 1 500 euros en bitcoins sous 48 heures. Le pire, c'est la première ligne : elle contient un mot de passe qu'il a vraiment utilisé. Marc a la gorge serrée. Pourtant, comme dans l'immense majorité des cas, il n'existe aucune vidéo.

Cet article explique comment fonctionne ce chantage, pourquoi le mot de passe cité ne prouve rien, et ce qu'il faut faire, ou surtout ne pas faire, dans les heures qui suivent.

Ce que dit ce message, et pourquoi il fait si peur

Les variantes sont nombreuses, mais la trame est presque toujours la même :

• l'expéditeur affirme avoir installé un logiciel espion sur votre appareil, souvent « depuis plusieurs mois » ;
• il prétend avoir filmé votre visage par la webcam pendant que l'écran affichait des contenus intimes ou gênants ;
• il menace d'envoyer la vidéo à votre famille, vos collègues ou vos contacts de réseaux sociaux ;
• il exige un paiement en cryptomonnaie, avec un compte à rebours de 24 à 72 heures ;
• il ajoute un détail censé prouver qu'il dit vrai : un ancien mot de passe, votre numéro de téléphone ou un e-mail qui semble envoyé depuis votre propre adresse.

Ce mélange est redoutablement efficace parce qu'il joue sur la honte. On n'ose pas en parler à son conjoint, encore moins à ses enfants, et on se retrouve seul face à l'urgence. C'est exactement ce que recherche l'escroc : vous faire agir vite, sans demander conseil.

Pourquoi c'est presque toujours du bluff

Ces e-mails sont envoyés par milliers, voire par millions, de manière automatique. Leur auteur ne vous connaît pas et n'a rien filmé. Plusieurs indices le montrent :

• Le texte est générique. Il ne cite ni le nom d'un site précis, ni une date, ni une image extraite de la prétendue vidéo. S'il avait réellement une preuve, il la montrerait.
• Le même message circule partout. Safeonweb et la police mettent régulièrement en garde contre ces vagues d'envois, avec des formulations quasiment identiques d'une victime à l'autre.
• La « preuve » ne demande aucun piratage. Le mot de passe et le numéro de téléphone proviennent de fuites de données anciennes, nous y revenons ci-dessous. L'adresse d'expéditeur identique à la vôtre est une simple falsification d'affichage, aussi facile que d'écrire une fausse adresse d'expéditeur au dos d'une enveloppe.
• Le paiement en cryptomonnaie trahit l'escroquerie de masse. L'auteur choisit un moyen de paiement difficile à tracer et à annuler, pas une méthode qui lui permettrait de « tenir parole ».

Un logiciel espion capable d'allumer une caméra à votre insu existe en théorie, mais il serait utilisé pour des attaques ciblées, pas pour envoyer le même texte à des millions de personnes. Si vous n'avez rien remarqué d'anormal sur votre ordinateur, le scénario du piratage est à ranger dans la fiction.

Le mot de passe cité : d'où vient-il et que faire maintenant

C'est le détail qui inquiète le plus, et pourtant il s'explique simplement. Chaque année, des sites se font dérober leurs fichiers d'utilisateurs : une boutique en ligne, un forum, un réseau social oublié. Ces listes d'adresses e-mail et de mots de passe circulent ensuite entre escrocs. L'auteur du chantage n'a qu'à piocher votre ligne dans un de ces fichiers et à la copier dans son message.

Le mot de passe cité est donc presque toujours ancien. Mais il vous donne une information précieuse : il a fuité. Posez-vous trois questions.

1. L'utilisez-vous encore quelque part ? Si oui, changez-le partout où il sert, en commençant par votre messagerie et votre banque en ligne.
2. Ressemble-t-il à vos mots de passe actuels ? Si vous ajoutez simplement un chiffre ou l'année à une base commune, les escrocs le devinent sans peine. Créez de vrais mots de passe différents.
3. La double authentification est-elle activée sur votre e-mail, vos réseaux sociaux et vos comptes d'achat ? Elle empêche un escroc d'entrer même s'il connaît le mot de passe.

Pour savoir quels autres comptes sont concernés, certains services gratuits, comme Have I Been Pwned, indiquent si votre adresse e-mail figure dans des fuites connues, et la plupart des gestionnaires de mots de passe et des navigateurs signalent eux-mêmes les mots de passe compromis. Si vous avez l'habitude d'utiliser le même code partout, c'est le bon moment pour suivre notre guide pour passer au gestionnaire de mots de passe et à la double authentification.

Les bons gestes, dans l'ordre

Une fois la première émotion passée, voici la marche à suivre, calmement :

1. Ne payez pas. Payer ne supprime rien, puisqu'il n'y a rien à supprimer, et vous désigne comme une cible qui cède : d'autres demandes suivraient.
2. Ne répondez pas, même pour insulter ou pour dire que vous n'êtes pas dupe. Une réponse confirme que votre adresse est lue.
3. Ne cliquez sur aucun lien et n'ouvrez aucune pièce jointe du message.
4. Transférez l'e-mail à suspicious@safeonweb.be, puis supprimez-le. Safeonweb analyse ces messages et fait bloquer les adresses de paiement et les liens dangereux.
5. Changez le mot de passe cité partout où il était utilisé et activez la double authentification sur votre messagerie.
6. Vérifiez l'historique de connexion de votre messagerie si le message semblait venir de votre propre adresse. Les principaux services montrent les appareils et les lieux des dernières connexions. Rien d'inconnu ? Votre compte n'a pas été utilisé.
7. Faites une analyse de l'ordinateur avec l'antivirus intégré au système, et installez les mises à jour en attente. C'est surtout pour votre tranquillité d'esprit.

Si l'e-mail est arrivé dans votre boîte principale plutôt que dans les indésirables, marquez-le comme courrier indésirable : vous aiderez le filtre à arrêter les suivants.

Et si vous avez déjà payé ?

Il n'y a aucune honte à avoir : ces messages sont conçus par des professionnels de la manipulation. Agissez simplement sans tarder :

• Déposez plainte auprès de la police locale, en apportant l'e-mail, l'adresse du portefeuille de cryptomonnaie indiquée et la preuve de votre paiement (capture d'écran, relevé de la plateforme d'achat).
• Prévenez la plateforme ou la banque qui a servi à acheter la cryptomonnaie. Un paiement en bitcoins est en pratique très difficile à récupérer, mais le signalement peut aider l'enquête.
• Méfiez-vous des sauveurs. Après un paiement, des escrocs se présentent souvent comme des spécialistes capables de « récupérer vos fonds » moyennant des frais. C'est une seconde arnaque. Seule la police est compétente.
• Ne payez pas une deuxième fois si un nouveau message réclame davantage.

Quand le chantage est réel : la vraie sextorsion

Il existe une autre situation, beaucoup plus grave : le chantage par une personne avec qui vous avez réellement échangé des images intimes, souvent après une rencontre sur un réseau social ou un site de rencontre. Les adolescents et les jeunes hommes sont particulièrement visés. Ici, les images existent bel et bien.

Même dans ce cas, la règle reste de ne pas payer : les paiements entraînent presque toujours de nouvelles exigences. Il faut :

• cesser tout échange, sans supprimer la conversation ;
• faire des captures d'écran du profil, des messages et des demandes de paiement ;
• signaler le profil à la plateforme et bloquer la personne ;
• déposer plainte auprès de la police.

Si la victime est mineure, contactez Child Focus au 116 000, joignable jour et nuit : le service accompagne les jeunes et leurs parents et peut aider à faire retirer des contenus. Dites-le clairement à vos enfants et petits-enfants : s'ils tombent dans ce piège, vous les aiderez sans les juger. La peur de se faire gronder est la meilleure alliée des maîtres chanteurs.

En parler sans gêne, à la maison et autour de soi

Marc a fini par montrer l'e-mail à sa fille Julie, qui a reconnu le message en quelques secondes. « Une collègue a reçu exactement le même la semaine dernière, mot pour mot. » Ils ont transféré l'e-mail à Safeonweb, changé le vieux mot de passe qui servait encore pour un site de jardinage, et activé la double authentification sur sa messagerie. « J'ai perdu une nuit de sommeil pour rien. Si j'en avais parlé tout de suite, j'aurais été rassuré en cinq minutes. »

C'est la leçon la plus utile : ce chantage ne fonctionne que si l'on reste seul avec lui. Parlez-en à vos proches avant même qu'ils ne le reçoivent, en particulier aux personnes âgées et aux adolescents. Le même ressort, l'urgence associée à la peur, se retrouve dans d'autres escroqueries, comme l'arnaque au faux support technique qui bloque l'écran avec un message alarmant.

À retenir : l'e-mail qui prétend vous avoir filmé par la webcam est envoyé en masse, sans aucune vidéo derrière. Le mot de passe cité vient d'une ancienne fuite de données et l'adresse d'expéditeur peut être falsifiée. Ne payez pas, ne répondez pas, transférez le message à suspicious@safeonweb.be puis supprimez-le. Profitez-en pour changer ce mot de passe partout où il sert et activer la double authentification. Si des images existent réellement, ou si un mineur est visé, déposez plainte et contactez Child Focus au 116 000.