Lignes directrices pour le traitement de contrefaçons de marques
Auteur de la fiche IRM : CERT SG / Jean-Philippe Teissier
Version de la fiche IRM : 1.1
Préparation
1Objective: Identifier les contacts, définir les procédure, réunir les informations nécessaires pour gagner du temps en cas d’incident.
- Maintenir à jour une liste de toutes les marques déposées appartenant à l’entreprise et ses filiales. Elle aidera à apprécier la situation et évitera de lancer une procédure sur une marque obsolète, un site ou un compte de réseaux sociaux tiers et légitimes.
- Etablir une liste rigoureuse et factuelle de preuves à l’appui des droits sur les marques déposées:
- Nom(s), noms de domaines et comptes de réseaux sociaux légitimes utilisés par l’entreprise et ses filiales ;
- Expressions, slogans, symboles et marques semi-figuratives déposés… ;
- Numéros d’enregistrement des marques ;
- Bureaux d’enregistrement internationaux ou locaux (INPI, OEB/EPO, OMPI/WIPO, USPTO…) auprès desquels les marques ont été enregistrés ;
- Tout autre document établissant clairement la propriété de la marque.
- Préparer des modèles de courriels de notification de contrefaçons. Vous les utiliserez pour tous les cas de contrefaçon, si possible dans plusieurs langues. Ils accélereront la communication auprès des registrar, des fournisseurs de service et autres parties impliquées dans la procédure.
- Encourager un système de gestion centralisé des noms de domaine utilsant les champs normalisés du WHOIS.
- Encourage une publicité en ligne éthique pour éviter d’apparaitre sur des noms de domaine parqués (parked domain).
Contacts internes
- Maintenir à jour un annuaire des personnes de l’entreprise impliquées dans le dépôt de marques, en particulier des directions juridique et de la communication.
- Maintainir à jour un annuaire des personnes en capacité de décision sur les marques et les éventuelles actions en cas de contrefaçon. Dans la mesure du possible, obtenir une délégation de pouvoir vous conférent cette compétence.
Contacts externes
- Etablir et maintenir à jour un annuaire des contacts externes avec les registrars et les fournisseurs de service partie au traitement des contrefaçons.
Identification
2Objective: Détecter l’incident, qualifier sa portée et engager les différentes parties.
Détection des contrefaçons
- Mettre en place autant que possible une supervision des enregistrements de noms de domaines dans les mises à jour des zones par les registres, ou par des services d’alertes comme DomainTools ;
- Mettre en place une supervision des noms d’utilisateurs, pages et groupes sur les réseaux sociaux ;
- Analyser les referrers HTTP dans les journaux de vos sites Internet pour identifier un téléchargement frauduleux ou un clone frauduleux de vos sites ;
- Mettre en place une supervision des marques à l’aide de moteurs de recherche spécialisés.
Tirez profit d’une automatisation pour la levée d’alertes et l’amélioration des temps de réaction.
Engagement des différentes parties
- Dès qu’une contrefaçon est détectée, prendre attache avec les employés habilités à prendre les décisions en la matière si vous ne disposez pas d’une délégation de pouvoir.
La décision d’agir sur le nom de domaine, le groupe ou le compte utilisateur doit être prise aussi vite que possible.
Rassembler les preuves
- Rassembler les preuves de contrefaçon sur les noms de domaine, sites Internet ou URL spécifiques (notamment URL Facebook), pages, groupes ou comptes.
- Réaliser des copies horodatées des contrefaçons (pages, groupes, blog, forums, fil de micro-blogging…) et prenez des captures d’écrant dans la mesure du possible.
Endiguement
3Objective: Limiter les impacts de la contrefaçon sur le périmètre cible.
- Qualifier l’impact de la contrefaçon :
- Peut-elle être utilisée pour rediriger le traffic (cybersquatting, typosquatting, amélioration du référencement/SEO) ?
- Peut-elle être utilisée pour de l’usurpation, de la contrefaçon de modèles ou produits, ou des escroqueries (cybersquatting redirigeant vers un site de l’entreprise) ?
- Peut-elle être utilisée pour diffamer la marque ?
- Qualifier la visibilité de la contrefaçon :
- Visibilité du site Internet (classement / page rank).
- Nombre de fans ou followers sur les réseaux sociaux
- Rechercher sur les domaines contrefaits mais non utilisés les traces d’une activité frauduleuse :
- Se réferer aux fiches IRM#13-Phishing et IRM#14-Scam pour plus d’information
Remédiation
4Objective: Prendre des mesures pour mettre fin à la contrefaçon.
Dans la majorité des contrefaçon, la supervision est suffisante. Une action de remédiation ne doit être entreprise que si l’entreprise ou une filiale sont impactées.
Nom de domaine
- Contactez le propriétaire du nom de domaine et l’hébergeur pour leur notifier une contrefaçon et réclamer la suppression du contenu litigieux.
- Contactez le registrar du nom de domaine pour lui notifier la contrefaçon et réclamer la désactivation du nom de domaine ou son transfert à votre profit.
- Demandez si possible au propriétaire du nom de domaine ou son registrar de rediriger toutes les requêtes DNS vers vos serveurs de noms.
- Si le propriétaire du nom de domaine ni son registrar n’obtempèrent à vos demandes, engagez une procédure de ligite (Uniform Domain-Name Dispute-Resolution Policy, UDRP) si vous en avez le pouvoir ou faire le faire par les contacts internes approriés.
Compte de réseaux sociaux
- Contactez le fournisseur de service de la page, du groupe ou du compte ligitieux pour lui notifier une violation des politiques de marque (Trademark Policies) ou d’utilisation (Terms of Service) et réclamez la désactivation du compte litigieux.
- Demandez au fournisseur de service de transférer le compte ligitgieux à un compte existant de l’entreprise.
Dans les deux cas, adressez un courriel aux adresses de contact du registrar ou du fournisseur de service, typiquement les adresses de signalement d’abus et contenus illicites (abuse, legal…).
Complétez si applicable les formlaires de plainte pour atteinte aux marques ou abus.
RĂ©tablissement
5Objective: Revenir Ă un Ă©tat normal
Clôture du cas de contrefaçon
- S’assurer que les noms de domaine, pages, groupes ou comptes ligitieux sont supprimés ou redirigent vers votre entreprise.
- Poursuivre la supervision des noms de domaines, pages, groupes ou comptes litigieux. Un site Internet peut ainsi réapparaitre quelques après temps.
- Rechater le nom de domaine litigieux dès sa mise à disposition.
Suites
6Objective: Documenter les détails de l’incident, débrattre des enseignements à en tirer et améliorer les plans et mesures de défense en conséqience.
- Réfléchir aux étapes de préparation qui auraient permis d’accélerer ou de rendre plus efficace la réponse à cet type d’incident.
- Mettre à jour les annuaires et ajouter en note les moyens les plus efficaces de contacter les différentes parties.
- Réfléchir aux relations internes ou externes à votre entité qui vous aideraientt dans de futurs incidents.
- Travailler avec les équipes juridiques sur une action légale est nécessaire.