Fin juillet, un client m’informe que son site web marchand s’est fait allègrement copier (contenu, adresse, logo, mentions légales, SIRET). Le but est de faire croire qu’il s’agit du site officiel. Les arnaqueurs encaissent les commandes et ne livrent pas. Le nom de domaine est un .com ressemblant au site officiel, l’hébergement est en Indonésie et l’équipe derrière l’arnaque se situe en Afrique.
Que faire dans cette situation ?
L’usurpation d’identité professionnelle par un faux site marchand est une vraie plaie. Parce qu’il y a des risques financiers mais aussi des risques réputationnels, des risques juridiques et des risques administratifs.
La riposte est une gestion de crise numérique qui s’organise autour de quatre actions : conserver les preuves, protéger le public, couper les relais techniques et engager les démarches officielles.
La PME ne doit pas chercher une solution juridique miracle. Bon courage pour faire fermer un hébergement installé dans un pays non coopératif ! Avec un budget et des ressources limités, l’objectif consiste donc à réduire rapidement sa capacité de nuisance.
Préserver les preuves avant de demander la fermeture
C’est l’ordre critique : une suppression trop rapide peut également faire disparaître des éléments utiles. À faire dès la détection.
Vous devez collecter les éléments suivants dans un dossier de preuves :
- URL exacte et nom de domaine ;
- Date et heure des constatations ;
- Captures complètes des pages ;
- Mentions légales et coordonnées affichées ;
- Pages produits et éléments copiés ;
- Tunnel de commande et moyens de paiement proposés ;
- Publicités, comptes sociaux et fiches d’établissement associés ;
- Courriels ou messages reçus par les victimes ;
- Témoignages et justificatifs transmis avec leur accord ;
- Comparaison avec les éléments du site officiel ;
- Chronologie de toutes les démarches engagées.
Ces « preuves » ont plus de poids lorsqu’elles sont collectées par un commissaire de justice (anciennement un huissier). Pour une PME avec des moyens limités, c’est à faire lorsque le préjudice est important, que plusieurs victimes sont identifiés mais aussi si le contenu risque de disparaître vite et si une action en justice est envisagée.
Riposter
L’important est d’être organisé, d’être actif sur les 4 fronts en parallèle et de tout documenter.
1. Protéger les clients et la réputation
À faire le premier jour.
- Publier un bandeau sur le site officiel ;
- Épingler une alerte sur les réseaux sociaux ;
- Envoyer un email aux clients ;
- Rappeler l’unique domaine officiel ;
- Préparer une réponse commune pour le SAV ;
- Informer les partenaires susceptibles d’être contactés ;
- Surveiller les avis et messages publics.
Le message doit être simple. Par exemple :
Un site frauduleux utilise actuellement l’identité de notre entreprise. Notre seul site officiel est [domaine]. Nous n’avons aucun lien avec les commandes passées sur [faux domaine]. Si vous avez effectué un paiement sur ce site, contactez rapidement votre banque et déposez plainte.
Vous pouvez simplifier le travail des clients abusés en leur fournissant quelques clés d’actions à mener de leur côté : demande de rétrofacturation à leur banque, plaintes sur la plateforme publique THESEE ou PHAROS et signalements.
Vous n’avez pas intérêt à reconnaître votre responsabilité face aux clients victimes et vous ne devez pas promettre de remboursement. Vous êtes vous aussi victime.
2. Couper l’infrastructure de la fraude
À faire dès J+2
Identifier les différents intermédiaires : registrar, hébergeur, CDN ou proxy, prestataire de paiement, plateformes publicitaires et sociales, moteurs de recherche.
Une recherche RDAP (le successeur des interrogations Whois) permet d’identifier au moins une partie de ces acteurs.
Un signalement « abuse » peut alors être déposé chez chaque prestataire à l’encontre de l’entité découverte. Il n’y a pas de petites victoires et tout doit être entrepris :
- Signalement « abuse » au registrar, à l’hébergeur (envoi d’un email via abuse@… en anglais). Si le nom de domaine est un .fr, c’est une chance : les procédures extrajudiciaires SYRELI et PARL de l’Afnic sont rapides et efficaces. Si l’arnaqueur opère depuis l’Europe, direction Europol ;
- Signalement du prestataire de paiement ;
- Demande de suppression des comptes sociaux ;
- Demande de retrait des annonces frauduleuses ;
- Demande de déréférencement ;
- Signalement à Phishing Initiative ou Signal Spam ;
- Signalement à Google ;
- Signalement aux dispositifs de protection des navigateurs.
3. Déposer plainte et engager les démarches officielles
Le signalement porte un contenu à la connaissance d’un organisme. La plainte, elle, constitue la démarche pénale de la victime. Votre conseil juridique saura vous épauler (escroquerie, usurpation d’identité, contrefaçon, collecte frauduleuse de données…). Si vous n’en avez pas, vous pouvez aller au poste de police ou à la gendarmerie et déposer plainte vous-même.
Si l’hébergeur et le registrar ne réagissent pas, si le faux site prend de plus en plus d’importance et génère de nouvelles victimes, si des fuites de données (informations personnelles ou bancaires) fuitent, vous devez missionner votre conseil juridique sans tarder.
Vérifiez aussi si votre banque ou votre assurance ne vous a pas vendu un service d’assistance juridique pour vous épauler en cas de cybercriminalité.
Enfin, le site Cybermalveillance.gouv.fr propose une mise en relation avec des prestataires habitués à ce type de nuisance.
4. Piloter la crise
Il faut tout noter : les preuves, les signalements, les accusés de réception, les réponses des plateformes, les nouveaux domaines ou comptes découverts, les témoignages reçus, les décisions prises.
Un simple tableur avec les colonnes suivantes suffit : Élément, Interlocuteur, Action, Date, Référence, Statut, Relance.
Après la crise : renforcer la protection sans chercher l’impossible
Il n’est pas possible de se protéger complètement. Ce que doit faire une PME :
- Déposer la marque (via un cabinet de propriété intellectuelle) et conserver les preuves d’usage ;
- Sécuriser le registrar : compte nominatif, double authentification, alertes d’expiration ;
- Réserver les variantes de noms de domaine les plus crédibles : extensions principales (.fr, .com), tirets et fautes réellement dangereuses ;
- Créer les comptes sociaux officiels ;
- Afficher systématiquement le domaine officiel sur les factures, signatures, emballages et profils ;
- Organiser une procédure automatisée de surveillance sur le nom de la marque, sur la raison sociale, sur le SIRET et l’adresse, sur les nouveaux domaines ressemblants, sur les annonces publicitaires, sur les résultats de recherche. Cela peut se faire avec des Google Alerts, via le registrar ou via un avocat/cabinet de propriété intellectuelle ;
- Demander aux plateformes publicitaires de verrouiller votre marque ;
- Préparer un kit de crise contenant un modèle de signalement abuse, un message d’alerte, la réponse du SAV, la liste des comptes et prestataires, les responsabilités internes.
Une PME ne peut pas empêcher quelqu’un de copier son identité en quelques heures. Elle peut en revanche éviter l’improvisation. Dans ce type de crise, l’actif le plus utile n’est pas une collection infinie de noms de domaine : c’est un dossier de preuve solide, des canaux officiels clairement identifiés et une procédure de riposte prête à être déclenchée.