La banque n'existe pas. Le site web a coûté vingt-cinq dollars.
Une arnaque à l'investissement a besoin d'un endroit où votre argent semble se trouver. Pas un vrai compte, juste une page avec votre nom dessus, un chiffre qui augmente, et une connexion qui fonctionne. Il s'avère qu'on peut acheter cela pour 25 dollars.
Molly DeQuattro, vice-présidente des opérations chez Allure Security, examinait un domaine usurpant la marque d'un client et a repéré une phrase étrangement précise dans le texte : "l'un des plus grands fournisseurs de services bancaires numériques". Une recherche de cette phrase a fait remonter environ 2 200 domaines. Sur ceux-ci, 1 095 servaient encore une page active, 838 comportaient la phrase exacte, et 810 d'entre eux, soit 97 %, étaient construits à partir de Cuex, un modèle d'interface prêt à l'emploi pour les sites de change et de banque numérique. L'étude a été publiée cette semaine.
Ils fonctionnent parce qu'ils se comportent normalement. Parmi ces 838 sites, 770 disposaient de pages de connexion fonctionnelles, 767 posaient des cookies de session, et 94 % tournaient sous Laravel, si bien que s'inscrire vous procure un compte, un tableau de bord, un solde et un historique de transactions. Allure appelle cette astuce l'empilement de légitimité : entasser interfaces, produits d'investissement, coordonnées d'entreprise et contact d'assistance jusqu'à ce qu'un établissement qui n'a jamais été agréé nulle part ressemble à un vrai. Personne ne trouve ces sites en cherchant. Quelqu'un vous envoie le lien : un courtier, un agent de prêt, une personne dont vous vous êtes rapproché en ligne, ou un "service de récupération" proposant de vous faire récupérer l'argent déjà perdu.
Le modèle les trahit si l'on regarde bien. Quatre-vingt-dix pour cent affichent toujours un intitulé mal orthographié, "Curreny Charts". Un site opérant sous le nom Classtands Crest avait un code source faisant référence à une banque complètement différente et envoyait les données d'inscription vers un domaine sans rapport. Mais le réflexe fiable n'est pas de repérer les fautes de frappe, c'est de refuser de prendre la parole d'une banque pour argent comptant quant à sa propre existence. Vérifiez-la dans le registre officiel de votre pays et tapez vous-même l'adresse. Et si l'un de ces sites vous a convaincu d'installer un logiciel de trading ou d'accès à distance, le contrôle de sécurité de Tendvane vous montrera ce qui a atterri sur votre PC et à quel moment.