Un service d'envoi de faux mails de l'Hadopi crée la panique

Le problème avait été soulevé déjà par l'opposition lors des débats sur la loi Création et Internet au Parlement. Si l'Hadopi envoie des e-mails aux abonnés pour les avertir de l'usage de leur accès à Internet à des fins de piratage, et pour les menacer de poursuites en cas de récidive, des personnes mal intentionnées pourraient facilement se faire passer pour l'Hadopi et envoyer des mails de phishing plus vrais que nature.

Plusieurs lecteurs nous préviennent depuis ce matin de la réception de courriels dont l'objet s'intitule "Message du gouvernement Français à Madame/Monsieur XXXXXXXX". Le message se veut être un "premier avertissement" envoyé par l'Hadopi suite à la "la détection de connexions et de transferts de données protégées sans autorisation ni licence associée".

Bien évidemment, il ne s'agit pas de vrais mails de l'Hadopi, puisque celle-ci n'a pas encore ni les outils techniques ni les moyens juridiques d'envoyer ses premiers avertissements. Ca ne se fera au plus tôt qu'en juin, et très probablement plus tard encore.

Le message est en fait envoyé depuis le service Mask-Mail.com, qui propose un formulaire permettant de saisir le nom de sa victime, une date de téléchargement supposée, et une adresse de destinataire. "Mask-Mail n'enregistre absolument aucune information personnelle. Ce site est 100% anonyme", précise le service (ce qui n'engage que ceux qui le croient).

Une fois envoyé, le mail reçu par la victime depuis un serveur hébergé par OVH est personnalisé d'après le modèle suivant :

De :
Date: xxx
Objet : Message du gouvernement Français à Madame/Monsieur XXXXXXXX
A : la@victime.com

Ceci est un message du ministère de la culture, merci de le lire en entier.

Madame, monsieur XXXXXX, en application de la Loi Création et Internet et de la Haute Autorité HADOPI, vous recevez cet e-mail qui fait foi de 1ER AVERTISSEMENT.

Cet e-mail vous a été envoyé par la Commission de Surveillance des Échanges Numériques, suite à la détection de connexions et de transferts de données protégées sans autorisation ni licence associée.
L'acte frauduleux a été commis le XX/XX/XXXX à xxHxx environ.
Ceci est votre PREMIER AVERTISSEMENT. Vous ne serez donc aucunement sanctionné pour cet acte de fraude. Attention, en cas de récidive de nouvel échange sans autorisation (ni licence correspondante) de données protégées, le Comité d'Application de Sanction de la Haute Autorité HADOPI se verra dans l'obligation de sanctionner votre acte de récidive.

Vous n'avez pas la possibilité de contester le PREMIER AVERTISSEMENT.

-------------
Si vous n'êtes pas Madame/Monsieur XXXXXXXX, veuillez ignorer cet e-mail.

Veuillez agréer l'expression de mes sentiments respectueux.

Haute Autorité pour la diffusion des oeuvres et la protection des droits sur Internet.

Le service en l'espèce n'est pas mal intentionné. Il s'agit simplement d'une mauvaise blague, qui pourrait d'ailleurs se retourner contre son auteur. Il n'ajoute aucun lien vers un quelconque site Internet inventé qui convaincrait par exemple ses victimes de dévoiler des informations personnelles. Mais on imagine assez vite que le modèle pourrait être imité par de véritables escrocs.

Confrontée à la question, Christine Albanel avait en son temps évité de répondre. Elle avait néanmoins répondu sur le risque de voir les mails de l'Hadopi refoulés parmi les spams : "Je ne vois pas quel éditeur de logiciel anti-spam créera un logiciel pour faire obstacle aux messages de la Hadopi", avait-elle avancé.