Ce jeu en ligne massivement multi-joueurs, édité par la société française Ankama, fait l’objet de tentatives régulières de hameçonnage.

[Les événements relatés ici ont eu lieu, il y a une quinzaine de jours. Ce délai a permis aux sociétés concernées d’effectuer sans encombre les démarches nécessaires, ndlr].

Tout a commencé par un mail suspect avec la mention « Votre compte banni !!! » reçu par l’auteur de cet article un dimanche soir en provenance de dofus@dofus.com : « Salutations ! Il a été porté à notre attention que vous malheureux qui ont participé à des activités commerciales en ligne. Dofus Entertainment prend ces violations très sérieux », pouvait-on lire.

« Dans un effort visant à protéger l’intégrité du jeu, nous sommes contraints de mener une enquête sur la question […] Conséquences pour compte: Compte suspendu définitivement […] Pour empêcher cette action d’avoir lieu, nous avons besoin que vous vous connectez « en cliquant ici » ou bien dans 20 jours votre compte sera banni merci pour empêcher cela connectez vous en cliquant ici », est-il indiqué. Alerte crédible ou arnaque ?

Bien évidemment, il s’agissait d’une tentative de phishing envoyée aux fans de Dofus, un des jeux en ligne massivement multijoueurs les plus populaires exploité par la société française Ankama : 15 millions d’inscrits dans le monde (dont 65% sur le territoire national), 1,5 million d’abonnés payants (dont 600 000 joueurs actifs, 450 000 sont français).

En cliquant sur le lien proposé, on arrivait effectivement à une page qui ressemblait en tout point au site officiel de Dofus et qui invitait à se connecter à son compte, en indiquant son nom de compte et son mot de passe.

Même graphisme, même avertissement en haut à droite : « Pour la sécurité de votre compte, ne partagez pas ces informations ! » Sauf que l’adresse stipulée dans la barre du navigateur était celle d’un site Internet hébergé en Autriche :http://royalxm.bplaced.net/df/f/k/.

Du phishing d’amateur, cela arrive une fois par semaine

« Des opérations de phishing, organisées, comme celle-ci, par des amateurs, il y en a au moins une, une fois par semaine, reconnaît Thomas Bahon, directeur des produits d’Ankama installée à Tourcoing. « Mais, heureusement, des opérations de phishing de grande envergure, nous n’en avons pas connu depuis deux ans. »

Le profil type du pirate amateur qui se livre au phishing sur Dofus ? « Un gamin de douze ans, qui veut accéder aux comptes de ses amis, pour récupérer les éléments que ces derniers ont gagnés au cours de leurs parties, afin de les transférer sur son propre compte, avant de les revendre éventuellement sur les nombreux marchés gris, gravitant autour de Dofus », poursuit Thomas Bahon.

(lire la fin de l’article page suivante)
Contacté par mail, Miroslav Bozic, un responsable de la structure d’hébergement du site de phishing installé à Vienne, en Autriche, a confirmé que l’auteur de cette tentative de phishing résidait, selon les informations en sa possession, en France. « Le site a été fermé et remplacé par une page d’erreur 404 – site introuvable », affirmait Miroslav Bozic.

Menace persistante

Sauf que le lendemain, l’auteur de cet article a reçu une nouvelle tentative de phishing : « ANKAMA : Problemes Techniques ». Cette fois-ci, le message est apparemment envoyée depuis dofus@ankamagames.fr, mais avec exactement le même texte : « Salutations! Il a été porté à notre attention que vous malheureux qui ont participé à des activités commerciales en ligne… ». Et le lien proposé renvoyait encore sur http://royalxm.bplaced.net/df/f/k/.

A nouveau contacté pour signaler cette nouvelle tentative de phishing sur le même URL, Miroslav Bozic faisait remarquer que le site qu’il hébergeait n’était qu’une cible – toujours fermée – et que le mail provenait de Grande-Bretagne, à partir d’un nom de domaine – ankamagames.fr – ressemblant étrangement à ceux déposés par Ankama (ankama-games.com et ankama.com).

L’information suscita un vif intérêt chez Ankama. « Ce cas est intéressant dans la mesure où les moyens mis en œuvre – achat d’un nom de domaine et utilisation d’un serveur avec la complicité ou à l’insu d’une société britannique – sont bien plus importants que tout ce nous avons connu jusqu’ici », confirmait Thomas Bahon.

Longue bataille pour remonter la filière

Le responsable d’Ankama/Dofus contacta aussitôt la société qui avait enregistré le nom de domaine. Après bien des démarches, le registrar accepta de bloquer cette URL.

Ce cas de cybersquatting, sans intention de nuire (apparemment Ankamagames.fr cherchait juste à attirer les internautes vers ses publicités), ne serait pas fondamentalement illégal. Mais la société française légitime Ankama/Dofus argua du fait que le responsable de ce site Internet n’avait pas pris les mesures minimales pour empêcher son nom d’être exploité à des fins de phishing.

« Et nous allons tenter d’obtenir une injonction afin de découvrir la personne qui l’a enregistré. Malheureusement, il y a de fortes chances que les coordonnées qu’elle a laissées soient fausses », explique Thomas Bahon. « Nous avons encore un espoir auprès du prestataire de paiement de ce registrar, mais pour peu que la carte bancaire utilisée soit volée, nous pourrions rester sans réponse. »

La prévention, meilleur remède

Quinze jours plus tard, ces démarches n’ont pas encore abouti. Seule certitude : les adresses électroniques visées par ces tentatives de phishing auraient été récoltées sur le Web (dans des blogs, par exemple), et non dans des forums de discussion consacrés à Dofus ou sur des sites illicites ou pour adulte. Ceci explique sans doute en partie qu’il n’y ait pas eu de victime.

Thomas Bahon veut plutôt y voir le fruit des actions de sensibilisation qu’Ankama mène auprès des utilisateurs sur les risques de phishing. « Contre ce type d’attaque, la prévention reste encore la meilleure arme », estime-t-il.

Il souhaite cependant encore renforcer sa coopération avec les services de webmail (Yahoo!, Hotmail, Gmail…) pour que ces derniers puissent mieux authentifier auprès de leurs utilisateurs les messages en provenance du « vrai » Ankama.

[Juin 2010 : il semblerait que la société Ankama n’ait jamais tenu les engagements qu’elle m’avait annoncés en décembre 2008. Jacques Henno]

A partir de janvier, Ankama, la société qui édite le célèbre jeu en ligne, transférera aux parents, les e-mails de leurs enfants transmis dans le cadre de Dofus.

Les jeux en ligne gratuits constituent un business très rentable en France. Pas moins de 6,5 millions de Français auraient joué au moins une fois dans l’univers fantastique de Dofus, qui comporte une partie gratuite accessible sans limites à côté d’une partie payante. Et 7,5 millions de Français se sont déjà rendus dans la communauté virtuelle Habbo, dont l’accès est entièrement gratuit.

Dofus compte près d’un million d’abonnés dans l’Hexagone, qui paient entre 1,80 euro par semaine et 48 euros par an. Et Habbo France draine 50 000 joueurs qui chaque mois dépensent en moyenne 10 euros en meubles virtuels. Résultat, cette petite entreprise de 15 personnes a enregistré en 2008 un chiffre d’affaires de 6 millions d’euros, généré à 95% par la vente de mobiliers virtuels et à 5% par la publicité.

Autant dire que les deux maisons-mères de ces jeux, Ankama pour Dofus et Sulake France pour Habbo France, ne sont pas pauvres… Pourtant, de nombreux parents trouvent que les mesures de protection des enfants proposées par ces deux entreprises ne sont pas à la hauteur de leur fortune.

Beaucoup de familles se plaignent de l’insécurité qui règne dans ces jeux, fréquentés des ados de 14-15 ans, voire par des enfants beaucoup plus jeunes. « Mes garçons ont souvent été approchés par des adultes sur Dofus », affirme une mère de trois enfants. « Comme c’est gratuit et facile à jouer, n’importe qui peut s’inscrire et utiliser le chat pour entrer en contact avec des mineurs. »

Normalement, ces jeux en ligne ne sont pas recommandés aux moins de 12 ans. Sur Dofus, cette précaution élémentaire est simplement indiquée au moyen d’un petit pictogramme « +12 » situé tout en bas à gauche de la page d’accueil, mais rien n’empêche un enfant de dix ans de créer son compte. Dofus demande bien la date de naissance, mais cela ne sert apparemment à rien : nous avons indiqué 1998 comme année de naissance et notre compte a été créé !

Habbo semble plus vigilant, puisque ce jeu demande aux nouveaux inscrits de préciser leur date de naissance et que les moins de 13 ans sont systématiquement rejetés. Mais là aussi, rien n’empêche un enfant d’indiquer une année de naissance mensongère.

La porte ouverte à tous les abus ?

« Sur Habbo, il y a effectivement quelques dossiers judiciaires en cours : des enquêteurs ont déjà dû faire des réquisitions à la société qui gère le jeu », confirme un haut gradé des services de police français. « Sur Dofus, il y aurait surtout des problèmes de « piratage » de comptes. Cela permettrait au pirate de rentrer en contact avec les amis des détenteurs des comptes. Et il y aurait également des vols de gains obtenus sur le jeu. »

Les éditeurs, cependant, nient être au courant de toute affaire de pédophilie. « A ma connaissance, il n’y a eu aucun cas de pédophilie en huit ans chez Habbo dans le monde », a affirmé, il y a quelques jours, à Vnunet.fr Jean-Baptiste Géraud, alors responsable de Sulake France (il a depuis pris la tête d’un hôtel 3 étoiles – un vrai celui-ci – à Paris !). « Nous ne déplorons aucun incident grave », commente de son côté Thomas Bahon, directeur des produits chez Ankama. « Il y a bien eu quelques insultes à caractère sexuel, mais plutôt entre mineurs. »

Habbo France affirme qu’un modérateur, salarié, est présent 24 heures sur 24 et sept jours sur sept sur la partie française du jeu. « Nous en employons sept à plein temps, voire en heures supplémentaires. » Le modérateur se promène dans les salles et intervient en cas de problème signalé par les joueurs.

Des modérateurs et des alertes permettent de surveiller les deux univers

Un système l’alerte également lorsqu’une conversation se noue entre seulement deux personnes. « Nous pensons que si un prédateur se rendait sur Habbo, il irait d’abord dans une salle pour repérer une victime potentielle, puis tenterait de l’attirer dans une autre salle pour être seul avec elle et essayer de l’amadouer », explique Jean-Baptiste Géraud.

Chez Ankama, on n’aime pas trop parler de tout cela : « Il est vrai que n’importe qui peut entrer sur le chat », reconnaît Thomas Bahon. « Mais nous avons mis en place un filtre lexical susceptible de censurer des propos inappropriés rédigés en langage clair. De plus, les joueurs ont la possibilité de bloquer un contact qui les importune. Enfin, 12 community and content managers, salariés, animent et modèrent le jeu, tandis que 30 modérateurs bénévoles se relaient sur le forum et 50 modérateurs bénévoles tournent sur le jeu. »

En revanche, les deux entreprises reconnaissent avoir rencontré des problèmes de contestation de paiement par carte bancaire. « En 2007, nous en avons reçu une centaine, représentant un total de 10 000 euros », admet Jean-Baptiste Géraud. « A chaque fois, nous avons bien sûr collaboré avec la police. Il s’agissait presque toujours d’un ado qui avait usurpé la carte bancaire de ses parents. »

Permettre aux parents de limiter le temps de jeu des enfants

« Nous avons bien conscience que nous ne sommes pas encore au top pour aider les parents », reconnaissait Florence di Ruocco, chargée de communication chez Ankama, lors du colloque « Générationsbranchées@lienoudépendance » organisé à Lille par l’Ecole des grands-parents européens nord. « Nous sommes prêts à mettre à la disposition des parents de nouveaux outils pour qu’ils assument leur rôle ».

L’entreprise serait à la recherche de développeurs Web pour mettre en place de nouvelles mesures de protection des mineurs. « A partir de janvier, pour les nouveaux comptes qui vont se créer, nous allons récupérer l’e-mail des parents, afin que ceux-ci puissent être en copie des messages échangés entre leur enfant et Ankama, au sujet des achats et de la modération », révèle à Vnunet.fr Thomas Bahon.

Autres pistes explorées : envoyer un courrier électronique aux parents pour les informer du temps que leur progéniture passe sur le jeu ou encore les autoriser à activer des alertes au bout d’un certain temps passé dans le jeu, afin de prévenir les risques de dépendance. Il est aussi suggéré de permettre aux parents d’offrir une récompense à leurs enfants sous la forme d’un bonus dans le jeu s’il a eu de bonnes notes à l’école. Il parait qu’un accord de ce type aurait déjà été conclu en Corée du Sud entre le ministère de l’Education et le jeu Ragnarök.

Le spécialiste français des navires militaires acquiert un équipement en 3D pour faciliter la conception des sous-marins et leur présentation virtuelle aux clients