Plongée dans le dark web #7 : le recruteur cybercriminel est un recruteur comme un autre... sans la discrimination !
Aucun recrutement n'est plus inclusif que celui organisé par un cybercriminel. Cachés derrière leur écran et leur pseudonyme, tous les candidats aux jobs du dark web sont logés à la même enseigne, quels que soient leur âge, leur sexe ou leur origine. Seules leur motivation, et souvent leurs compétences, sont évaluées. Les méthodes de sélection varient uniquement en fonction de la complexité de l'emploi proposé. Comme sur le marché du travail légal, plus la mission exige une expertise pointue, plus le candidat doit prouver ses compétences.
Du CV aux mises en situation : les experts sont passés au crible
Sur les forums cybercriminels, les offres d'emploi réservées aux experts ressemblent souvent à celles du marché du travail légal. Elles mentionnent des informations essentielles comme le poste, les missions, le salaire, et indiquent également certaines étapes du recrutement. Parmi celles-ci, l'envoi d'un CV est parfois exigé. "Je recherche des personnes ayant de l'expérience dans la promotion de communautés Telegram via Reddit et d'autres communautés en ligne. (…) Si vous avez déjà développé avec succès des communautés Telegram par le passé, envoyez-moi votre expérience et les communautés que vous avez promues", indique par exemple une annonce.
"Recherche individus sérieux et créatifs pour rejoindre notre équipe à distance en tant que créateurs d'avatars IA sur notre plateforme du même genre qu'OnlyFans. (…) Vous devez être capables de créer des avatars IA réalistes et cohérents (…) et avoir des compétences techniques de base : création de compte, mise en ligne, gestion de contenu. (…) Pour postuler : envoyez une courte présentation et vos expériences éventuelles", précise une autre offre d'emploi.
Les CV transmis sont anonymisés et comprennent souvent des liens vers des projets hébergés sur GitHub ou d'autres plateformes pour prouver des compétences.
D'autres annonces exigent uniquement des mises en situation ou des entretiens à froid pour évaluer l'aptitude du candidat à remplir la mission proposée. "Je vous donnerai six heures pour trouver une cible lors de l'entretien d'embauche", indique par exemple un recruteur qui cherche des experts en Osint capables de cibler des victimes facilement manipulables par phishing. Cela peut être aussi un test de compétences plus froid, tel qu'un "court entretien sur votre OpSec", la posture de sécurité exigée par un recruteur qui cherche des téléconseillers spécialisés en ingénierie sociale.
Les étapes de recrutement ne sont toutefois pas toujours mentionnées dans les annonces. Parfois, c'est seulement quand le candidat engage une discussion avec le recruteur que celui-ci teste ses compétences en direct. Dans le deuxième épisode de cette série consacrée aux business du dark web, je raconte comment un recruteur m'a soudainement demandé de lui envoyer un message vocal en direct, dans lequel je devais me faire passer pour Jonathan, un téléconseiller de Crypto.com, avec un accent anglais impeccable.
Quand le candidat ne réussit pas le premier test, il est rare que le recruteur lui laisse une seconde chance. Alors que je discutais avec un cybercriminel qui cherchait des affiliés pour vendre de faux services de suppression d'avis négatifs Google à des entreprises, il m'a demandé la meilleure stratégie pour y parvenir. "Pas besoin d'être très long, juste pour qu'on sache que vous avez du métier et que vous êtes sérieux". Sûr de moi, je lui ai répondu directement, sans réfléchir, et avec un brin de suffisance :
- La stratégie est simple : je publie de faux avis négatifs sur les comptes de petites entreprises qui dépendent fortement des avis. Ensuite, via une messagerie, je leur propose de faire supprimer ces avis en échange d'argent, en me faisant passer pour une entreprise de marketing digital. - Pourquoi avez-vous besoin de nous si vous publiez les avis négatifs vous-même ? Nous ne faisons pas ce genre de fraude. - Quel genre de fraude pratiquez-vous alors ?
Ma réponse ne l'a évidemment pas satisfait et il ne m'a plus jamais adressé la parole.
Les petites mains acceptées les yeux fermés
Le recrutement pour les petits jobs ne nécessitant que peu de compétences, voire aucune, peut exceptionnellement prévoir un test ou un entretien. C'est parfois le cas pour vendre des données d'entreprise en tant qu'insider à des groupes cybercriminels comme ShadowByt3$. Celui-ci demande au candidat de passer un entretien pour devenir son affilié. Pour vendre de la drogue, attirer des victimes vers une plateforme d'arnaque, devenir une money mule ou frauder les casinos en ligne, les recruteurs ne sont en revanche pas du tout exigeants. Ils acceptent les candidats les yeux fermés. Ils espèrent seulement qu'ils seront assez inconscients pour accepter leurs missions. Sans aucune discrimination.