Sécurité de l'information : comment Yuri Mosh porte plainte contre Yandex

Avec le développement actif d'Internet, la communauté mondiale est confrontée à un problème de sécurité des données. En effet, Internet est essentiellement un environnement non réglementé, qui obéit très peu aux lois des États, ce qui ouvre un nombre immense de possibilités pour les cybercriminels.

C'est pourquoi les pays développés consacrent aujourd'hui une attention considérable et investissent des millions de dollars dans l'amélioration des systèmes de cybersécurité et de réponse immédiate aux cyberattaques.

Cependant, toutes les entreprises ne peuvent pas garantir un haut niveau de protection des données — cela coûte très cher. Que dire des utilisateurs ordinaires qui n'ont aucune connaissance en cybersécurité.

Dans cet article, je souhaite partager des situations de ma pratique et de mon expérience personnelle, où même avec un soutien juridique assez sérieux, il est impossible de se protéger contre les escrocs et leurs extorsions.

Principaux problèmes de la sécurité de l'information et de la cybersécurité

Assurer la cybersécurité est un processus, pas une solution ponctuelle. Pendant que les spécialistes gèrent déjà des problèmes bien connus tels que les virus, les ransomwares et les menaces de jours zéro, les cybercriminels développent de nouveaux outils, plus perfectionnés et efficaces.

Voici quelques-uns d'entre eux :

• Le jailbreaking — l'installation de logiciels malveillants sur des smartphones avec un logiciel modifié.
• Ghostware — un virus qui pénètre dans le système dans le but de voler des données et s'auto-détruit après avoir accompli sa mission.
• Les virus « à deux faces » — des programmes qui imitent des fichiers système et, après avoir réussi à passer la vérification de l'antivirus, commencent le processus de vol de données.

Et il existe des dizaines, voire des centaines, d'outils similaires. Même dans la protection la plus « parfaite », des lacunes sont découvertes, que des hackers habiles peuvent transformer en fuites de données secrètes. Des fuites se produisent même périodiquement au Pentagone, l'une des structures les plus protégées au monde en matière de cybersécurité.

Les algorithmes des moteurs de recherche permettent-ils de faire chanter les utilisateurs ?

Pour voir les problèmes de sécurité de l'information, il suffit d'ouvrir un navigateur. En effet, la quantité d'informations indexables sur Internet double tous les 1,5 ans.

Les experts supposent, d'ici la fin de l'année 2020, le volume total des données sur Internet augmentera à 44 zettaoctets (44 milliards de téraoctets), et les moteurs de recherche traitent déjà des dizaines de milliers de requêtes par seconde.

Les cybercriminels exploitent habilement cette saturation des données, où pratiquement toutes les données sont traitées par le moteur de recherche sans intervention humaine.

À quoi cela ressemble-t-il le plus souvent ?

1. Un escroc crée un site dont le but est de soutirer de l'argent aux utilisateurs. Les méthodes peuvent être variées : investissements sans risque, travail prometteur avec un « dépôt de garantie », achats de produits à des prix dérisoires. Ou juste un site one-page qui infecte les ordinateurs avec un virus.
2. L'escroc obtient de l'argent des citoyens naïfs en moyenne pendant une période de 2 à 6 mois — c'est le temps nécessaire pour que les gestionnaires du moteur de recherche identifient le problème et bloquent le site.
3. Mais cela ne suffit pas, car le même jour, l'escroc peut créer un nouveau site avec un contenu similaire, poursuivant ainsi son activité criminelle.

C'est seulement l'un des nombreux scénarios dont les escrocs peuvent bénéficier de la fonctionnalité des moteurs de recherche, car si le site ne contient pas de contenus violant directement les règles (comme du contenu plagié), le site est indexé sans problème par le moteur de recherche et apparaît dans les résultats.

La lutte contre ces escroqueries est inégale. L'objectif est d'obtenir de petites sommes d'argent de la part d'un maximum de personnes.

Un format complètement différent est la fraude ciblant une personne spécifique. Celle-ci gagne en popularité aujourd'hui, car elle est beaucoup plus difficile à contrer — et tous les objets de chantage ne savent pas comment procéder. En général, la cible devient un homme d'affaires assez en vue, dont l'image doit rester impeccablement propre. Cela concerne principalement des avocats, des médecins privés (souvent des chirurgiens plastiques), des spécialistes hautement rémunérés du domaine numérique (programmeurs, designers, auteurs).

Comment cela fonctionne-t-il ?

1. L'escroc crée des dizaines d'articles standardisés avec des avis négatifs, dans lesquels il dépeint sa victime comme un escroc, un mauvais et un spécialiste peu fiable. Les matériaux peuvent même être générés par un bot — leur qualité importe peu. En effet, l'essentiel est que le moteur de recherche les indexe.
2. Ensuite, ces avis et articles sont publiés sur des plateformes de second ordre, où il est relativement facile de publier des avis et des articles sur n'importe quel sujet.
3. Les avis sont indexés et apparaissent lors de recherches par mots-clés. Le mot-clé principal est « PROFESSION PRÉNOM NOM ». Par exemple, « designer Ivan Petrov » ou « avocat Piotr Ivanov ». La plupart des gens consultent des informations sur un spécialiste dans un moteur de recherche avant de commencer à travailler avec lui. Le résultat est prévisible : une multitude d'avis négatifs tels que « Ivan Petrov est un escroc ». Dans la plupart des cas, le client potentiel n'ose pas entreprendre une collaboration.
4. Puis, un mois ou deux plus tard, lorsque la victime ressentira clairement l'impact de la diffamation, elle reçoit un message par e-mail lui demandant de payer une certaine somme d'argent sur un portefeuille bitcoin ou un autre service financier garantissant l'anonymat, et alors les fraudeurs retireront les articles (mais rien n'est moins sûr). En cas de refus de paiement, les escrocs promettent d'augmenter considérablement le nombre d'avis négatifs.

À ce stade, de nombreuses victimes de chantage ne savent pas exactement quoi faire. Il y a plusieurs options :

• Contacter la police. Mais si l'agresseur n'a pas laissé de preuves évidentes (comme le numéro de sa carte bancaire), l'affaire se résumera rapidement à une impasse.
• Contacter les propriétaires des ressources où sont publiés les avis. Cela prend énormément de temps, car il peut y avoir des dizaines de portails. De plus, l'efficacité est proche de zéro. Même après avoir écouté les arguments, il n'est pas sûr que les propriétaires acceptent de retirer la diffamation de leur site. Et il n'est pas garanti que les propriétaires répondront même à votre demande.
• Contacter le service d'assistance du moteur de recherche. Les spécialistes de Google et de Yandex travaillent lentement : le retrait de la diffamation peut prendre jusqu'à plusieurs mois, mais à ce jour, c'est le moyen le plus rapide d'éradiquer ce genre d'escroquerie. Même dans ce cas, il n'est pas garanti que ces avis seront supprimés. Je vais expliquer pourquoi ci-dessous.

Nous constatons que même dans le meilleur des cas, la réputation de l'entrepreneur subira un coup sérieux, ce qui impactera sans aucun doute le niveau de profit. Les escrocs, quant à eux, ne risquent absolument rien tant qu'ils restent anonymes. Ils ne dépensent que du temps à générer et à publier des contenus.

Comment j'ai été victime de chantage de cette manière

Pourquoi ai-je abordé ce sujet — il y a peu, j'ai été victime de chantage de ce type.

Au printemps 2018, j'ai découvert que des insultes sur moi, ma famille et mon travail apparaissaient trop souvent sur Internet. Les critiques étaient très banales : « il trompe tout le monde », « ne respecte pas ses engagements », « pas professionnel ».

Évidemment, il n'y avait aucune preuve — juste un flot d'émotions et d'insultes de la part des « clients escroqués ».

En plus du fait que c'était désagréable pour moi en tant que personne, ces « avis » ont gravement nui à ma réputation. C'était bien orchestré : une personne tape « Youri Mosha » sur un moteur de recherche, et dans les dix premiers résultats, elle voit quelques avis négatifs percutants. Elle continue à descendre, et là, c'est une véritable boue. De plus, la personne peut même ne pas cliquer sur les liens, mais simplement lire les titres. Cela suffit pour se faire une « impression souhaitée ».

Au début, je pensais qu'il s'agissait d'une commande de concurrents, mais tout était plus prosaïque. En septembre, j'ai reçu un e-mail me demandant de payer 20 000 dollars — et alors ils supprimeraient les textes. En cas de refus, les escrocs promettaient de rédiger encore plus d'avis similaires.

Je n'ai pas payé, bien sûr. J'ai contacté le service d'assistance de Google et de Yandex pour demander la désindexation de ces pages.

Les résultats ont été très variés.

Après un mois de communication avec le support de Google, les spécialistes ont confirmé que ce contenu était diffamatoire et violait les règles d'indexation des pages web. Les articles mensongers ont été retirés des résultats de recherche. Merci donc aux managers de Google.

Mais il y a aussi des complications. Rien n'empêche le criminel de rédiger d'autres articles un peu plus tard — ils seront également indexés dans le moteur de recherche et apparaîtront dans les résultats de recherche. Comme le disent les spécialistes de Google avec lesquels j'ai dialogué : pour fermer l'indexation sur des mots-clés spécifiques (comme « Youri Mosha escroc » ou « Youri Mosha arnaqueur »), il faut une décision de justice qui reconnaisse les combinaisons de mots susmentionnées comme mensongères.

Avec Yandex, la situation est beaucoup plus complexe. Les responsables, dès le début de nos échanges, ont pris la position du « ma maison est à l'écart ». Ils ont déclaré qu'ils n'étaient pas responsables du contenu indexé par le moteur de recherche et n'avaient pas l'obligation de le surveiller.

C'est vrai, le moteur de recherche ne doit pas surveiller le contenu. Mais il y a une petite réserve : il ne doit pas le faire tant que cela ne concerne pas des crimes, comme la diffamation et le chantage.

Néanmoins, le service client a clairement fait comprendre qu'il n'avait pas l'intention de résoudre le problème.

À cet égard, j'ai étudié la législation et j'ai porté l'affaire contre Yandex devant le tribunal, car le refus direct de supprimer le contenu illégal de ses résultats rend en réalité l'entreprise complice du crime.

En Russie, l'affaire a été perdue. En effet, la législation russe en matière de cybercriminalité est encore très primitive et ne permet pas de protéger efficacement les droits des utilisateurs, même avec la loi sur "l'information, les technologies de l'information et la protection de l'information".

Selon les dispositions de l'article 10.3, un opérateur de moteur de recherche diffusant sur Internet une publicité visant à attirer l'attention des consommateurs situés sur le territoire de la Fédération de Russie, doit, à la demande d'un citoyen (personne physique), cesser de fournir des informations sur l'indice de page du site Internet permettant d'accéder à des informations sur le demandeur, diffusées en violation de la législation de la Fédération de Russie, qui sont fausses, ainsi que non actualisées, ayant perdu de leur pertinence pour le demandeur en raison d'événements ou d'actions ultérieures de celui-ci, à l'exception des informations sur des événements présentant des signes d'infractions pénales, dont les délais de poursuites pénales ne sont pas expirés, et des informations sur la commission par un citoyen d'un crime pour lequel une condamnation n'a pas été annulée ou purgée.

L'affaire au tribunal de Moscou a été perdue en raison d'inexactitudes procédurales. Les preuves étaient en ordre.

C'est pourquoi j'ai décidé de porter l'affaire devant un tribunal américain. La plainte contre la société "Yandex" est actuellement devant le tribunal fédéral du district sud de New York (affaire 1:18-CV-05444-ER).

J'ai déjà eu une expérience réussie de litiges aux États-Unis, donc cette option me semble plus prometteuse en termes de rétablissement de la justice.

Aujourd'hui, l'affaire est en attente d'une décision de justice. Les plaidoiries des parties ont déjà eu lieu et mes avocats attendent une décision favorable au procès. Cependant, dans les litiges avec des entreprises, le résultat d'une affaire reste imprévisible jusqu'à la fin.

Le cadre légal dans le cyberespace évolue lentement, ce qui permet aux fraudeurs d'utiliser de telles méthodes d'extorsion et de chantage relativement primaires. Pour ma part, tous ces procès ont duré plus d'un an — pendant ce temps, ma réputation auprès des clients potentiels en a sérieusement souffert.

Même après une décision de justice favorable, la restauration de ma réputation prendra du temps. Mais j'espère que cette décision créera un précédent, grâce auquel les affaires similaires de fraude et d'extorsion pourront être résolues plus facilement et plus rapidement à l'avenir.

Source : habr.com