Après plusieurs mois à enquêter sur un blogueur, Klakinoumi, de son vrai nom Éric Liégeois, fait éclater une affaire qui déplaira à plus d'un. Imaginez que votre compte Netflix ou Spotify devienne le prix d'un concours sur Twitter. Sur son blog, le Community Manager explique comment cela est possible et comment les hackers font pour faire marcher leur affaire.
Comment les concours se déroulent-ils ?
Sur Twitter, un nombre important de concours se déroulent tous les jours. La plupart sont légaux et ne posent aucun problème. D'autres le sont moins, puisque les prix sont issus de vols de comptes premium auxquels les utilisateurs souscrivent. On vous propose donc de gagner un compte Netflix ou Spotify, voir même des jeux comme Fortnite. Eric Liégeois explique dans un long article sur son blog comment les hackers s'y prennent pour faire gagner le compte volé.Sur Twitter, le compte organisant le concours ne vous indique pas que les comptes premium gagnés proviennent d'utilisateurs existants. Lorsque vous gagnez, vous recevez donc un mail avec un pseudo et un code. Bien entendu, ces identifiants correspondent à ceux de l'utilisateur. « J'ai pu donc, à plusieurs reprises, retrouver la trace des propriétaires des comptes qu'on m'offre : sur Linkedin, (notamment un mec consultant en sécurité informatique...), dans des comptes-rendus d'Assemblée générale d'associations, dans un journal local... » écrit Éric Liégeois sur son blog.
Plusieurs réseaux de concours frauduleux existent et chacun fait par ailleurs de la pub à l'autre. Le blogueur s'est aperçu des connexions qu'il y avait entre les nombreux comptes proposant des concours : « ...il y a quand même une filiation entre certains comptes. Ça fait référence à d'autres comptes "partenaires", à des "shops" qu'on croise de manière régulière... ». À travers son enquête, il a pu constater que souvent, les profils des hackers étaient ceux de jeunes lycéens et collégiens : « ça parle de m'envoyer les lots une fois sortis des cours, ça vanne entre les comptes sur les évènements qui se sont passés dans diverses soirées ».
Le tweet ci-dessous est un exemple de concours frauduleux.
#Speed #Concours
— 🔥 OPZ | TTW 🔥 (@OpZconcours) 27 avril 2018
⚔️WIN⚔️
🎁x5 lots aléatoires🎁
• Pour Win
• #RT & #FOLLOW
- @AirpezedTTW 🎁
- @OpZconcours 🎁
📛Mentionne un ami pour plus de chance (je vérifie)✅
TAS : 24 Hours (5 gagnants) pic.twitter.com/bT1NBgnqiI
La vente de comptes premium piratés
Le blogueur s'est aussi penché sur un autre cas. Il a constaté que certaines personnes derrière ces concours disposaient aussi de sites proposant la vente de comptes premium. Certains vont alors jusqu'à vendre pour quelques centimes des comptes premium piratés. Les sites de ce genre s'appellent des générateurs de comptes, et sont illégaux. En principe, les hébergeurs, s'apercevant de la supercherie, ferment immédiatement le site Web. Mais pour éviter de se faire pincer, les hackers ferment leur site eux-mêmes au bout d'une certaine période et en ouvrent un nouveau.Éric Liégeois a tenté de contacter Netflix et Spotify, mais la réaction escomptée n'a pas eu lieu. En effet, ils se disent impuissants face à cette situation. Les deux sites ne voient pas le problème puisqu'ils autorisent un seul et même compte à disposer de plusieurs utilisateurs. Pour résoudre le souci, ils parlent de mettre au point une identification en deux étapes. Pour l'instant, la seule solution trouvée est de changer son mot de passe si l'on s'aperçoit qu'une personne indésirable utilise le compte. Les données bancaires n'étant pas affichées, elles restent ainsi en sécurité.
