« J'ai piraté votre webcam » : ce mail de chantage affiche votre ancien mot de passe, et voici ce qu'il prouve vraiment sur votre ordinateur

Le message s'ouvre sur une certitude : quelqu'un connaît l'un de vos mots de passe. Il l'écrit en clair, dès les premières lignes, comme une preuve. Puis vient la menace — une vidéo tournée à votre insu via votre webcam, prête à être envoyée à vos contacts si vous ne payez pas. La somme demandée, en bitcoin, est précise. Le délai, court. Le ton, froid. Et ce mot de passe que vous reconnaissez : il est là, indéniable. C'est exactement pour ça que cette arnaque fonctionne.

Ce que le mot de passe prouve — et ce qu'il ne prouve pas

Commençons par dissiper l'essentiel. Ce mot de passe n'a pas été volé sur votre ordinateur. Il provient d'une base de données compromise — un site que vous avez utilisé il y a des années, parfois une décennie, et qui a subi une fuite. Ces fuites sont légion : LinkedIn en 2012, Adobe en 2013, Yahoo à plusieurs reprises, des centaines de services moins connus. Les données récoltées lors de ces incidents circulent librement sur des forums spécialisés, revendues en lots de millions d'entrées pour quelques dizaines d'euros.

Des outils comme Have I Been Pwned, créé par le chercheur en sécurité Troy Hunt, permettent à chacun de vérifier si son adresse mail figure dans ces bases. La réponse est souvent oui — plusieurs fois. Ce n'est pas une honte, c'est une réalité statistique. Quiconque a un compte en ligne depuis plus de dix ans a toutes les chances d'y apparaître.

L'escroc, lui, a simplement croisé votre adresse mail avec le mot de passe associé dans l'une de ces listes. Il n'a jamais touché à votre machine. Il n'a aucune vidéo. Il n'a même pas lu votre mail avant de l'envoyer : le message est généré automatiquement et expédié en masse, à des dizaines de milliers de destinataires simultanément.

Pourquoi l'adresse expéditrice peut être la vôtre

Certaines versions du mail semblent provenir de votre propre adresse électronique. L'effet est saisissant — la preuve ultime, en apparence, que quelqu'un a pris le contrôle. En réalité, il s'agit d'une technique banale appelée spoofing : falsifier le champ "De" d'un mail ne demande aucun accès à votre compte. N'importe quel serveur mal configuré, ou n'importe quel outil disponible sur des marchés parallèles, permet de faire apparaître l'adresse de son choix comme expéditeur. Votre boîte mail n'a pas été compromise. Votre mot de passe de messagerie n'a pas été volé.

Si le mail a atterri dans votre boîte de réception plutôt qu'en spam, c'est que les filtres automatiques ne sont pas infaillibles — surtout quand l'adresse expéditrice ressemble à la vôtre.

Ce qu'il faut faire — et ne pas faire

Ne pas payer. Jamais. Le paiement en bitcoin est précisément conçu pour être intraçable et irrévocable : une fois envoyé, il n'existe aucun recours. Et payer ne garantit rien — cela signale surtout que vous êtes une cible réactive, ce qui peut déclencher d'autres tentatives.

Ne pas répondre non plus. Toute réponse confirme que l'adresse est active et lue.

En revanche, trois gestes s'imposent. D'abord, identifier le mot de passe cité dans le mail et vérifier s'il est encore utilisé quelque part. Si c'est le cas, le changer immédiatement sur tous les services concernés. Ensuite, consulter Have I Been Pwned pour avoir une vue d'ensemble des fuites qui vous touchent. Enfin, activer l'authentification à deux facteurs sur vos comptes les plus sensibles — messagerie, banque, réseaux sociaux. Cette mesure seule rend caduque la grande majorité des tentatives d'intrusion réelles.

Quant à la webcam : un cache physique, vendu pour moins de deux euros, règle définitivement l'anxiété sur ce point. Ce n'est pas de la paranoïa, c'est de l'hygiène numérique — au même titre qu'on ferme sa porte à clé sans craindre une intrusion imminente.

Une arnaque ancienne, toujours efficace

Ce type de chantage, connu sous le nom de sextortion même quand aucun contenu sexuel n'est en jeu, circule depuis la fin des années 2010. Il a connu un regain notable à partir de 2018, quand plusieurs grandes bases de données ont été mises en vente simultanément, fournissant aux escrocs des millions de couples adresse-mot de passe exploitables. Les variantes se sont depuis multipliées : certaines mentionnent un logiciel espion installé, d'autres citent des sites prétendument visités, d'autres encore jouent sur la honte plutôt que sur la peur.

Ce qui ne change pas, c'est la mécanique : créer un choc suffisant pour court-circuiter le jugement. Le mot de passe reconnu produit exactement cet effet — une fraction de seconde où l'on se dit il sait. Cette fraction de seconde est tout ce dont l'escroc a besoin.

Le mot de passe dans le mail n'est pas une preuve de piratage. C'est la preuve qu'un site tiers a été compromis, un jour, quelque part — et que vos données en faisaient partie.

Signaler le mail à la plateforme Pharos (signal-spam.fr ou internet-signalement.gouv.fr en France) prend deux minutes et contribue à documenter ces campagnes. Ce n'est pas une démarche vaine : les autorités s'appuient sur ces signalements pour cartographier les vagues d'envoi et, parfois, remonter jusqu'aux infrastructures utilisées.

Source : senioractu.com.