Plongée dans le dark web : comment je suis devenu l'associé d'un cybercriminel
Des annonces de vente de drogue en gros ou de hackers qui proposent leurs services, j'en vois passer des kilos sur le dark web. Mais des offres de partenariat commercial pour développer une plateforme d'arnaques, jamais. Pourtant, c'est bien ce sur quoi je suis tombé sur le forum Dread : "Cherche un associé qui peut amener des gens vers notre plateforme d'arnaque au job e-commerce". Quand j'en prends connaissance, je ne sais pas encore qu'elle va me propulser dans les rouages du marché du travail cybercriminel. Cet article marque le premier volet d'une vaste enquête, consacrée à cette économie clandestine.
"Bonjour les amis, nous recherchons des partenaires, qu'il s'agisse d'individus ou d'équipes, pour attirer du monde sur notre site web. Il s'agit d'une plateforme d'arnaque au e-commerce. Vous devez inviter des gens avec des liens de parrainage (…). Nous cherchons des personnes qui vont simplement partager notre site web. Quand quelqu'un fait un dépôt, vous recevez une commission fixe de 25% sur les profits nets." Les pseudonymes et indications spatio-temporelles ont tous été effacés des captures d'écran qui suivent.
Ma curiosité l'emporte sur la crainte que je ressens souvent quand je discute avec ce type d'individu. Je lui écris via message privé : "Salut, je suis très intéressé par ton offre. J'ai une forte présence sur les réseaux sociaux. Pouvons-nous en discuter ? Quels sont les produits ? Comment se déroule le processus de recrutement ? Quelles sont les conditions ? Etc. Merci". Toutes ces questions envoyées dès le premier message permettent de crédibiliser mon intérêt pour son business. Il me répondra au bout de quelques jours.
Il me propose de passer sur Telegram pour poursuivre la discussion, comme souvent sur ce forum. Je comprends qu'il est européen : il répond très vite, nous partageons probablement le même fuseau horaire, l'indicatif téléphonique de son numéro de téléphone le situe en Allemagne (apparemment, il fait partie de ces utilisateurs Telegram qui pensent que leur numéro de téléphone est masqué par défaut). Dans nos échanges, il me confiera aussi que le service client de sa plateforme est calé sur les horaires du Royaume-Uni. Cette absence de décalage horaire favorise une discussion fluide et me permet donc de tisser un lien de confiance plus rapidement. Je lui écris :
- Salut mon pote, nous avons parlé ensemble sur Dread. Comme je l'expliquais, je suis vraiment intéressé par ton offre d'emploi, et j'ai une forte présence et influence sur les réseaux sociaux. Peux-tu m'en dire plus sur ta proposition de partenariat s'il te plait ? - Salut frère. Il s'agit d'une arnaque au job e-commerce. Les gens s'inscrivent sur la plateforme. Puis, quand ils contactent le service client de la plateforme, ils reçoivent un bonus de bienvenue de 20 dollars. Ensuite, on configure une première commande "combo" d'environ 15 à 20 dollars. Quand ils la valident avec leur propre argent, ils peuvent ensuite retirer 50 dollars environ. Après cette première étape terminée, lorsqu'ils recommencent, ils tombent sur cinq commandes "combo" avec de très gros montants et ne pourront plus jamais faire de retrait. (…) Tu toucheras une commission fixe de 25 % sur l'ensemble du profit net de tes clients."
Pour masquer mes lacunes sur ce type d'arnaque et me donner le temps de potasser le sujet, je lui explique que je suis en train de travailler, et que je ne lui répondrai que dans une heure. Et lui parler de ma vie privée ne peut que le mettre plus à l'aise avec moi. Je comprends qu'il s'agit en fait d'une "arnaque à la tâche".
La technique du cybercriminel est bien ficelée : Quand une victime s'inscrit sur sa plateforme, son compte affiche un bonus de 20 dollars. Elle s'engage alors dans une petite série de commandes à évaluer, qui lui apporte chaque fois de faux gains financiers. Grâce à ces gains affichés sur son compte, elle poursuit ses tâches avec un solde qui ne fait qu'augmenter. Puis apparaît une fameuse commande piégée dont le prix dépasse son solde pour le faire passer en négatif : c'est la fameuse commande combo. La victime est contrainte de combler le déficit avec son propre argent qu'elle dépose sur la plateforme. Cela lui permet de valider la commande et les suivantes, dans l'espoir de retirer tous ses gains.
Pour appâter ses victimes, le cybercriminel a programmé une première commande combo pour laquelle elles doivent dépenser seulement 15 à 20 dollars. Après cette opération, elles peuvent retirer 50 dollars. Les victimes, confiantes, se lancent alors naïvement dans un grand cycle de 25 commandes où s'intercalent cinq commandes combo avec de gros montants. Elles ne pourront en fait jamais retirer leurs gains. Et c'est sur l'argent dépensé lors des commandes combo que le cybercriminel me propose une commission fixe de 25%.
Il me crée un compte de démonstration, avec un nom d'utilisateur et un mot de passe, pour que je puisse expérimenter une partie de ce grand cycle, jusqu'à la première commande combo. Pendant qu'il s'attèle à la tâche, je lui demande quelques renseignements.
- Comment dois-je présenter cette arnaque sur les réseaux sociaux pour attirer des victimes ? - Présente cela comme un travail à temps partiel, un complément de revenu, du travail à domicile, une possibilité de gagner de l'argent avec son téléphone, ou un emploi dans le e-commerce à temps partiel, ce genre de contenu, quoi. - Il arrive souvent que des victimes acceptent de commander des combos qui ont un gros montant ? - Pas vraiment. C'est pourquoi nous commençons avec peu d'argent. Dans le grand cycle, pour les personnes qui commencent avec seulement 20 dollars, le premier combo est par exemple à 50 dollars, le deuxième à 160 dollars, le troisième à 390 dollars, le quatrième à 700 dollars, le cinquième à 1500 dollars. Par contre, si quelqu'un commence avec un gros montant, alors nous augmentons les montants des combos. Au fait, as-tu trouvé la page consacrée aux commandes et as-tu cliqué sur commander pour voir comment ça fonctionne ? - Oui, c'est bon, je l'ai trouvée.
Pendant qu'il m'abreuve d'explications complémentaires, j'explore sa plateforme. Même avec la lucidité de celui qui connait les rouages de l'arnaque, me glisser dans la peau des victimes ne fait qu'accroître mon empathie pour celles-ci, qui sont souvent des personnes précaires ou jeunes. Froidement, il me précise que la plateforme comporte un espace où les victimes peuvent déposer leur propre argent, et que j'obtiendrai un lien à diffuser sur mes comptes de réseaux sociaux pour les parrainer.
"Tu n'as encore soumis aucune commande, comment as-tu pu comprendre comment la plateforme fonctionnait ?", me demande-t-il, agacé, capture d'écran à l'appui pour prouver son propos. Depuis l'interface réservée aux administrateurs, il peut en effet suivre en direct toute mon activité dans le compte de démonstration.
- J'explore le site web là. - Si tu as des questions dis-le-moi, maintenant que tu regardes l'interface utilisateur.
L'idée de m'engager dans ce cycle de commandes m'effraie. J'ai peur qu'en cliquant sur le bouton qui valide une commande, un malware soit téléchargé. Ou qu'il me manipule pour me transformer en victime. Cette crainte est absurde puisque je n'ai pas déposé d'argent sur la plateforme. Mais peu importe. Je décide de retarder le moment du grand cycle, comme on recule pour mieux sauter, en l'interrogant sur son business :
- Pour le service client, tu cherches des gens aussi ou pas ? - Non, j'ai des gens au support client qui aident et guident tous ceux qui rencontrent des problèmes. Ils peuvent contacter le service client par chat, en direct sur la plateforme, ou via Telegram. - Ah oui, effectivement, je l'ai vu sur le site. Laisse-moi encore du temps pour explorer la plateforme et je reviendrai vers toi avec d'autres questions.
L'interface de la plateforme est habilement conçue pour convaincre les victimes qu'elles pratiquent une activité professionnelle légale et rémunératrice qu'elles pourront recommander à des amis.
Mes appréhensions enfin dissipées, je démarre le grand cycle. Quand je valide les commandes grâce au faux bonus de 300 dollars que le cybercriminel m'a accordé, mon solde n'est jamais entamé par leur prix. La plateforme laisse croire que les sommes dépensées pour valider une commande sont gelées pendant quelques minutes, en accord avec les sites d'e-commerce partenaires. Ce procédé doit me convaincre que les paiements que j'effectuerai avec mon propre argent lors des commandes combo ne sont que des avances qui me seront rapidement restituées.
Une fois que j'ai validé et évalué six commandes, un message exceptionnel surgit pour m'avertir que ma "prochaine tâche est prête. Cette fois, il s'agit d'une plus grande commande", assure-t-il, avec des confettis virtuels, comme pour me féliciter d'être parvenu jusqu'à cette étape. "Cette tâche fonctionne exactement comme les autres", précise ce message, pour rassurer de nouveau les victimes réticentes à devoir dépenser leur propre argent pour valider la première commande combo du grand cycle.
Comme le cybercriminel me l'a demandé, je le préviens que je suis tombé sur ce message :
- J'ai fini d'explorer l'application et j'ai validé six commandes. Pour la 7e commande, ce message s'est affiché. - Quand tu ouvres cette tâche, il t'est demandé de valider une commande combo pour laquelle tu dois dépenser 151 dollars avec ton argent personnel afin de passer à la commande suivante. C'est grâce à ces commandes combo qu'on gagne de l'argent. Alors, toujours intéressé à travailler pour moi ?
Hum… non !