L'offre d'emploi venait d'une vraie adresse universitaire. Pas le chèque.
Le chèque fait environ mille dollars et il va revenir impayé. Peut-être pas ce jour-là, peut-être pas cette semaine, mais cela arrivera, et d'ici là les cartes cadeaux auront été achetées et les codes lus à voix haute à un inconnu.
Proofpoint a publié la chaîne complète le 28 septembre, en l'attribuant à des fraudeurs ouest-africains. Elle commence par quelque chose de banal: un e-mail demandant à un étudiant de vérifier ou de renouveler son mot de passe, avec un lien vers un formulaire hébergé sur Google Forms, Wix, Jotform, Zoho Forms ou Microsoft Office. Le formulaire récupère le mot de passe avec un nom, un numéro de téléphone et une adresse e-mail.
Ensuite, le compte volé se met au travail. Des offres d'emploi partent depuis une véritable adresse universitaire, postes d'assistant personnel à distance et de client mystère, et cette adresse est tout le capital de l'opération. Les questions de relance sont le signal: avez-vous une application bancaire sur votre téléphone, avez-vous accès à une imprimante. Les deux sont nécessaires pour photographier et déposer un chèque falsifié. Déposez-le, gardez une part comme première paie, dépensez le reste en cartes cadeaux par tranches de cent dollars, renvoyez les codes. Quand les chercheurs de Proofpoint ont joué le jeu puis refusé de payer, les appels et les textos ont viré aux menaces, et l'un des hommes au bout du fil s'est présenté comme l'agent Dozier Jr. du FBI. Les adresses de connexion renvoyaient vers des réseaux mobiles nigérians.
Personne au FBI ne vous appellera au sujet d'un emploi. Aucun vrai employeur n'envoie d'argent avant que vous ayez travaillé, et aucune banque ne considère un chèque déposé comme encaissé dès le premier jour, quoi qu'affiche le solde à l'écran. Si un mot de passe est bien parti dans l'un de ces formulaires, le compte concerné est le petit problème; tous les autres sites où le même mot de passe a été réutilisé sont le grand. Le contrôle confidentialité et comptes de Tendvane montre quels comptes sont connectés sur le PC et si la validation en deux étapes y est réellement activée.