MSTR Cat

Droit crypto/Niveau IV · Les pièges des détenteurs/4.2 Les arnaques vues par le droit/Leçon 4

Usurpation d'identité et faux services de support

Comment les escrocs se font passer pour des plateformes d'échange, des banques, des services d'assistance technique ou des organismes gouvernementaux, pourquoi la connaissance de vos données personnelles ne prouve rien, et ce que dit le droit américain sur l'usurpation d'identité.

Ceci est une ressource éducative et non un conseil juridique, fiscal ou en investissement. Le droit des crypto-actifs varie d'un pays à l'autre et d'un État à l'autre, et évolue souvent. Avant d'agir, vérifiez les règles en vigueur là où vous vivez auprès d'un avocat ou d'un conseiller fiscal qualifié.

La voie la plus légère

La voie la moins chère, la moins imposée, la plus simple et la plus discrète que permet la loi, de la meilleure à la moins bonne. Chaque étape indique la règle sur laquelle elle repose et la condition qui la maintient dans la légalité.

  1. Règle gratuite : si quelqu'un vous contacte au sujet d'un problème de compte, raccrochez et appelez l'entreprise ou l'agence en utilisant les coordonnées que vous trouvez vous-même ; le FBI indique que les agents n'exigent jamais de paiement en cryptomonnaie, par carte prépayée ou par messagerie.
  2. Notez à l'avance le canal officiel de support de chaque plateforme et ne partagez jamais une phrase de récupération ni un code à usage unique ; se faire passer pour une entreprise ou un gouvernement est illégal au titre de la règle de la FTC, 16 C.F.R. Part 461.
  3. Si vous avez déjà envoyé des fonds, verrouillez le compte via la véritable entreprise et signalez gratuitement sur ic3.gov et ReportFraud.ftc.gov ; vérifiez si la plateforme offre un remboursement, comme Coinbase l'a fait pour les clients éligibles après son incident de données de 2025.
  4. Une perte liée au vol d'un compte d'investissement peut être déductible au titre du §165(c)(2) sur le formulaire 4684 (IRS CCA 202511015) ; les pertes à usage personnel restent non déductibles au titre du §165(h)(5), il convient donc de conserver la preuve que les actifs étaient détenus dans un but d'investissement.

Matériel16 C.F.R. Part 461, la règle de la FTC sur l'usurpation d'identité de gouvernements et d'entreprises (sur ecfr.gov)Communiqué de service public du FBI « FBI Warns of Scammers Impersonating Cryptocurrency Exchanges » (1er août 2024)Le formulaire 8-K de Coinbase Global déposé le 15 mai 2025, article 1.05, décrivant un incident lié aux données des clientsLe canal officiel de contact du support pour chaque plateforme que vous utilisez, noté à l'avance

Curiosité

  1. Comment un appelant qui se disait être de ma plateforme d'échange connaissait-il mon solde et mes transactions récentes ?
  2. Une véritable plateforme d'échange, banque ou agence gouvernementale me demanderait-elle jamais de transférer des crypto-actifs vers un portefeuille « sûr » ?
  3. Se faire passer pour une entreprise ou un agent officiel est-il illégal en soi, ou seulement lorsque de l'argent est pris ?

Explorer

  1. Les arnaques par usurpation d'identité commencent par un appel inattendu, un SMS, un e-mail ou un message sur les réseaux sociaux de quelqu'un qui se fait passer pour votre plateforme d'échange, le fabricant de votre portefeuille, votre banque, l'assistance technique ou une agence gouvernementale. L'alerte du FBI d'août 2024 décrit le script : l'appelant affirme que votre compte a un problème ou est sous attaque, crée un sentiment d'urgence et vous demande de partager vos identifiants ou codes à usage unique, de cliquer sur un lien ou de montrer une pièce d'identité. Des variantes vous demandent d'installer un logiciel d'accès à distance, ou de transférer des fonds vers un portefeuille « sûr » contrôlé par l'escroc. Les versions gouvernementales accusent la cible d'un crime et exigent un paiement, souvent en crypto-actifs ou en espèces introduites dans un distributeur automatique de cryptomonnaie.
  2. Les pertes sont importantes. Le rapport du FBI de 2025 a recensé plus de 80 000 plaintes pour fraude par usurpation d'identité de l'assistance technique, du support client ou de gouvernements, avec des pertes dépassant les 2,9 milliards de dollars ; les plaintes concernant uniquement les distributeurs automatiques de cryptomonnaie ont atteint 13 460, avec 389 millions de dollars perdus, dont environ 257 millions par des personnes âgées de 60 ans et plus. Une alerte du FBI de septembre 2026 a signalé près de 61 000 plaintes pour usurpation d'identité de forces de l'ordre ou de gouvernements entre janvier 2025 et juillet 2026, avec des pertes supérieures à 1,6 milliard de dollars. Il y est indiqué que les agents ne demanderont jamais de paiement par carte prépayée, cryptomonnaie ou messagerie, et n'appelleront ni n'enverront de SMS au public pour exiger un paiement.
  3. Un appelant qui connaît vos données personnelles n'a rien prouvé. Dans un formulaire 8-K déposé le 15 mai 2025, Coinbase a révélé qu'elle avait reçu un e-mail d'extorsion le 11 mai, et que l'attaquant avait payé des sous-traitants ou des employés occupant des postes de support hors des États-Unis pour collecter des données clients : noms, adresses, numéros de sécurité sociale masqués, images de pièces d'identité gouvernementales, instantanés de soldes et historique des transactions. Les mots de passe et les clés privées n'ont pas été volés. L'entreprise a refusé de payer, a déclaré qu'elle rembourserait volontairement les clients particuliers éligibles qui avaient envoyé des fonds à l'attaquant en conséquence directe, et a estimé préliminairement les coûts entre 180 millions et 400 millions de dollars. Les données fuites rendent l'usurpation d'identité convaincante.
  4. Le droit américain traite directement l'usurpation d'identité. La règle sur l'usurpation d'identité de la Federal Trade Commission, 16 C.F.R. Part 461, est entrée en vigueur le 1er avril 2024. Elle rend une pratique déloyale ou trompeuse le fait de se faire passer de manière substantielle et fausse pour une entité gouvernementale ou une entreprise ou ses dirigeants, ou de représenter à tort une affiliation avec l'une d'elles. La FTC a déclaré que cette règle lui permet d'introduire des poursuites devant les tribunaux fédéraux visant à récupérer l'argent pour les consommateurs et à obtenir des pénalités civiles. En droit pénal, se faire passer faussement pour un agent ou un employé américain est un crime au titre du 18 U.S.C. §912, puni de jusqu'à trois ans d'emprisonnement, et le plan lui-même constitue généralement une fraude électronique (wire fraud). L'application dépend de la localisation des escrocs, qui sont souvent à l'étranger.
  5. Le faux support attend aussi que vous preniez l'initiative. Les publicités dans les résultats de recherche et les sites imitateurs reproduisent les pages de connexion des plateformes d'échange, et de faux profils sur les réseaux sociaux se font passer pour des entreprises et des agences. L'alerte du FBI de novembre 2025 sur la fraude par prise de contrôle de compte a signalé plus de 5 100 plaintes et des pertes dépassant 262 millions de dollars depuis janvier 2025, et a averti que les codes à double facteur ne vous protègent pas si vous les saisissez sur une page de connexion frauduleuse. Un agent de support authentique n'a aucune raison de demander votre phrase de récupération, qui contrôle entièrement un portefeuille en auto-conservation (leçon 4.1.5), et le « portefeuille sûr » choisi par l'appelant est le portefeuille de l'appelant.
  6. Le conseil central du FBI est simple : si quelqu'un vous contacte au sujet d'un problème de compte, raccrochez ou cessez de répondre, et contactez l'entreprise ou l'agence via un numéro de téléphone ou une adresse que vous trouvez vous-même, pas celui que donne l'appelant. Noter à l'avance le canal officiel de support de chaque plateforme facilite cette démarche sous pression. Si vous avez déjà partagé des codes ou envoyé des fonds, contactez la véritable entreprise par son canal officiel pour verrouiller le compte, changez les mots de passe sur ce compte et tout autre compte où ils sont réutilisés, conservez les messages et les identifiants de transaction, et signalez l'incident à l'IC3 et à la FTC (leçon 4.2.7). Attendez-vous à des offres de « récupération » ultérieures (leçon 4.2.5).

Faits clés

  • La règle de la FTC sur l'usurpation d'identité de gouvernements et d'entreprises, 16 C.F.R. Part 461, est entrée en vigueur le 1er avril 2024.
  • Au titre du 18 U.S.C. §912, se faire passer faussement pour un agent ou un employé américain est puni de jusqu'à trois ans d'emprisonnement.
  • Le rapport du FBI de 2025 a recensé plus de 80 000 plaintes pour usurpation d'identité de l'assistance technique, du support client ou de gouvernements, avec des pertes dépassant les 2,9 milliards de dollars.
  • L'IC3 du FBI a reçu 13 460 plaintes impliquant des distributeurs automatiques de cryptomonnaie en 2025, avec environ 389 millions de dollars de pertes déclarées.
  • Coinbase a révélé dans un formulaire 8-K déposé le 15 mai 2025 que du personnel de support payé par un attaquant avait obtenu des données clients, mais pas les mots de passe ou les clés privées.
  • Coinbase a estimé préliminairement les coûts de l'incident, y compris les remboursements volontaires aux clients, à environ 180 millions à 400 millions de dollars.

Exercice neuf, six, trois, un

9RassemblerListez jusqu'à 9 façons dont une organisation avec laquelle vous traitez pourrait vous contacter, telles que des appels téléphoniques, des SMS, des e-mails, des notifications d'application, des messages sur les réseaux sociaux, des lettres ou des résultats de recherche que vous cliquez.
6RegrouperClassez-les en 6 catégories : les contacts initiés par vous, ceux initiés par eux, les messages officiels via l'application ou le compte, les réseaux sociaux publics, les résultats de recherche et les publicités, et le courrier physique.
3DistillerRéduisez ces 6 catégories à 3 groupes : les canaux que vous pouvez vérifier vous-même, ceux qui sont faciles à falsifier, et ceux que vous n'utiliseriez jamais pour partager des codes ou transférer de l'argent.
1CristalliserRédigez une phrase décrivant ce que vous feriez si un appelant se faisant passer pour votre plateforme d'échange affirmait que votre compte était sous attaque.

Vérification des faits

Les dates, les chiffres et les affirmations ont été vérifiés à l’aide des sources publiées listées ci-dessous.

Ouvrir dans l'académie interactive →

EN PT ES ZH JA KO RU DE MS