Mail de chantage à la webcam : que faire

↑ Ce conseil fait partie du guide : Arnaques et hameçonnage

Le message type, toujours le même

Le texte varie à peine d'une version à l'autre : l'expéditeur affirme avoir pris le contrôle de votre ordinateur, vous avoir filmé par la webcam pendant que vous consultiez des sites pour adultes, et avoir récupéré votre liste de contacts. Il réclame une somme en bitcoins — souvent quelques centaines d'euros — sous 24 ou 48 heures, faute de quoi la vidéo sera envoyée à vos proches.

Trois ingrédients sont toujours présents : la honte, qui décourage d'en parler autour de soi ; l'urgence, qui empêche de réfléchir ; et un détail vrai (votre adresse mail, parfois un ancien mot de passe, parfois un numéro de téléphone) qui donne au reste un air de vérité.

C'est un envoi de masse, expédié à des dizaines de milliers d'adresses d'un coup. Le rédacteur ne sait pas qui vous êtes, et il n'a pas ouvert votre webcam.

Pourquoi c'est presque toujours un bluff

Plusieurs éléments du message le trahissent, une fois qu'on sait les lire.

• Aucune preuve n'est jointe. Quelqu'un qui détiendrait réellement une vidéo en enverrait une capture : c'est le principe même du chantage. Ici, on vous demande de croire sur parole.
• Le message est générique. Pas de nom, pas de date, pas de site précis : rien qui ne puisse s'appliquer à n'importe qui.
• Le délai est court et le moyen de paiement anonyme. L'objectif est que vous payiez avant d'avoir cherché à vérifier.
• Les informations citées viennent d'une fuite publique, pas de votre machine — c'est le point suivant.

Si vous n'avez pas de webcam du tout, ou qu'elle est cachée par un volet, la démonstration est faite en une seconde. Sinon, la vérification prend deux minutes, plus bas.

Le mot de passe affiché dans le mail

C'est la variante qui fait le plus peur : le message contient un mot de passe que vous reconnaissez. Cela ne prouve pas que quelqu'un est entré chez vous ; cela prouve que ce mot de passe a circulé dans une fuite de données d'un site sur lequel vous aviez un compte, parfois il y a des années. Ces listes se revendent et se recyclent dans ce genre d'envois.

La bonne réaction n'est donc pas de payer, mais de traiter la fuite :

1. Vérifiez votre adresse sur haveibeenpwned.com, qui liste les fuites connues où elle apparaît.
2. Changez ce mot de passe partout où il servait encore, en commençant par la messagerie et la banque.
3. Activez la double authentification sur ces comptes-là.

Notre fiche mots de passe fuités détaille cette bascule sans tout casser, et savoir si son adresse mail a fuité explique comment lire le résultat.

Comment votre adresse est arrivée là

Les personnes qui envoient ces messages n'ont pas choisi votre adresse : elles ont acheté une liste. Ces listes se constituent de trois façons, et aucune ne suppose la moindre intrusion chez vous.

• Les fuites de données de sites tiers, revendues et recoupées entre elles. C'est la source principale : une boutique en ligne, un forum, un service utilisé une fois il y a dix ans.
• La collecte automatique d'adresses affichées publiquement — un site professionnel, une annonce, un annuaire.
• Les carnets d'adresses de contacts eux-mêmes piratés : votre adresse figurait dans leur messagerie.

Vous pouvez vérifier à quelles fuites connues votre adresse est associée, et avec quelles données : la méthode est décrite dans comment savoir si mon adresse mail a fuité. Le résultat est presque toujours positif, et c'est normal : ce qui compte est de savoir si un mot de passe encore utilisé s'y trouve.

Une conséquence pratique : inutile de changer d'adresse mail. Les listes déjà diffusées ne disparaîtront pas, et vous perdriez au passage vos comptes et vos correspondants. Renforcer la boîte, c'est mieux.

« Le mail vient de ma propre adresse »

Autre variante troublante : l'expéditeur affiché est votre propre adresse, ce qui semble prouver l'accès à votre boîte. En réalité, l'adresse d'expéditeur d'un mail s'écrit librement, comme le nom au dos d'une enveloppe : on appelle cela l'usurpation d'expéditeur. Le message n'est jamais parti de chez vous.

La vérification : ouvrez les éléments envoyés de votre messagerie. Si le message ne s'y trouve pas, il n'a pas été envoyé depuis votre compte. En complément, contrôlez l'activité de connexion (appareils et lieux récents) : c'est la preuve qui compte vraiment. Si vous y voyez des connexions inconnues, alors là oui, votre boîte est concernée, et la fiche compte en ligne piraté devient la bonne lecture.

Vérifier en deux minutes

Trois contrôles suffisent à lever le doute, sans logiciel particulier :

• Le voyant de la webcam. Sur la quasi-totalité des ordinateurs portables, la diode est câblée avec le capteur : la caméra ne filme pas sans que le voyant s'allume.
• Les autorisations caméra. Dans les réglages de confidentialité de Windows ou de macOS, la liste des applications autorisées à utiliser la caméra tient en quelques lignes. Un nom inconnu se repère vite.
• Une analyse complète avec la protection déjà installée. Si elle ne trouve rien, et que les deux points précédents sont clairs, le message est un envoi automatique.

Les vrais signes d'un appareil compromis sont d'une autre nature — ils sont listés dans appareil piraté : les signes qui comptent.

Et si on a déjà payé

Cela arrive, et il n'y a pas de honte à le dire : le message est écrit pour ça. Deux conséquences suivent. D'abord, un paiement en cryptomonnaie est rarement récupérable ; il faut le savoir pour ne pas s'épuiser à le poursuivre. Ensuite, une personne qui a payé une fois est relancée, parfois sous un autre prétexte : ne répondez plus, même pour refuser.

Déposez plainte avec le mail, la date et la référence de la transaction : cela nourrit des enquêtes qui portent souvent sur des milliers de victimes. Et bloquez l'expéditeur, sans supprimer le message tout de suite.

Signaler le chantage

Le signalement prend cinq minutes et il est utile :

• Pharos pour le contenu lui-même ;
• cybermalveillance.gouv.fr et 17Cyber pour être guidé selon votre cas ;
• le dépôt de plainte en gendarmerie ou en commissariat si vous avez payé.

Marquez ensuite le message comme indésirable plutôt que de le supprimer : votre messagerie apprend, et les suivants partent directement dans le bon dossier.

Le seul cas qui inquiète vraiment

Il existe une situation différente, plus rare mais réelle : celle où la personne détient vraiment des images, parce qu'elles ont été échangées volontairement, souvent après une rencontre en ligne. On parle alors de sextorsion, et le ton du message change : il vous nomme, il cite la conversation, il joint une capture.

Là, la règle reste la même — ne pas payer, parce que le paiement n'arrête rien — mais la suite diffère : conservez toutes les preuves, ne supprimez pas les échanges, déposez plainte rapidement et demandez le retrait des contenus auprès de la plateforme concernée. Si des mineurs sont impliqués, c'est immédiat et prioritaire.

Enfin, si ce chantage arrive après une intrusion avérée sur votre machine, l'ordre des opérations change aussi : voyez mon ordinateur a été piraté, puis faites faire un nettoyage complet. En cas de doute, quinze minutes au téléphone suffisent généralement à trancher entre le bluff de masse et une vraie intrusion.

Questions fréquentes

Dois-je répondre pour dire que je ne paierai pas ?

Non. Toute réponse confirme que l'adresse est lue et vous fait passer dans une liste « active », donc plus relancée. Bloquez l'expéditeur et signalez le message.

Le mail cite un vrai mot de passe, suis-je piraté ?

Pas forcément. Ce mot de passe provient presque toujours d'une fuite publique ancienne, pas de votre ordinateur. Changez-le partout où il servait encore et activez la double authentification ; c'est la seule action utile.

Faut-il mettre un cache sur sa webcam ?

C'est deux euros bien dépensés pour la tranquillité, mais cela ne protège ni vos comptes ni vos fichiers. Les mises à jour, des mots de passe uniques et la double authentification comptent bien davantage.

Dois-je changer d'adresse mail après ce genre de message ?

Non. Les listes déjà diffusées circuleront de toute façon, et changer d'adresse est lourd de conséquences. Renforcez plutôt la boîte : mot de passe unique, double authentification, et filtre indésirable bien entraîné.

À lire aussi : le guide des arnaques et de l'hameçonnage · mots de passe fuités.