Les escrocs et les pirates informatiques tentent d’inciter les utilisateurs de médias sociaux qui souhaitent être vérifiés à transmettre leurs informations personnelles.
Getty Images
Enver Ceylan se présente en ligne comme un homme de la Renaissance.
C’est un consultant turc en médias sociaux, musicien et acteur qui a « joué le rôle principal dans de nombreuses séries télévisées et films », selon son site Web. Parmi ses services digitaux : aider les utilisateurs de Facebook et Instagram à résoudre les problèmes de publicité et développer leurs comptes. Une version de son site Web affichait en évidence un formulaire demandant aux utilisateurs de TikTok de remplir des informations personnelles pour faire vérifier leur compte, un statut généralement réservé aux personnalités notables.
Les meilleurs choix des éditeurs
Abonnez-vous à Camaraderielimited Now pour les critiques, les actualités et les vidéos les plus intéressantes de la journée.
« Votre compte a été suivi pendant 30 jours, et il a été déterminé que vous êtes éligible pour recevoir le badge bleu TikTok », a déclaré son site en anglais le 9 juin. Un formulaire sous le logo de TikTok, une note musicale animée, a demandé un mot de passe, adresse et numéro de téléphone de l’utilisateur.
Si les promesses de Ceylan semblent trop belles pour être vraies, c’est parce qu’elles le sont probablement. Le formulaire de Ceylan a disparu peu de temps après que Camaraderielimited a saisi des informations pour le tester. La majeure partie du site est ensuite devenue vierge avant de réapparaître entièrement en turc. (TikTok a confirmé que le formulaire n’était pas légitime.)
Un formulaire apparaissant sur le site Web d’Enver Ceylan indique aux utilisateurs de TikTok qu’ils sont éligibles à la vérification et demande des informations personnelles.
Capture d’écran par Queenie Wong/Camaraderielimited
Presque toutes les grandes plates-formes proposent une vérification sous une forme ou une autre. Initialement destinés à authentifier les comptes jugés d’intérêt public, les badges se sont transformés en symboles de statut qui donnent aux utilisateurs des médias sociaux le droit de se vanter. Cela offre de nombreuses opportunités aux escrocs, qui manipulent les émotions d’utilisateurs en herbe mais sans méfiance poursuivant une carrière d’influenceur ou de créateur.
Diriger les utilisateurs de médias sociaux vers de faux formulaires de vérification, comme Ceylan semble l’avoir essayé, est une tactique utilisée pour duper les gens en leur exploitant leurs informations personnelles et en s’emparant de leurs comptes. Les escrocs se glisseront également dans des messages directs sur Instagram et attireront les utilisateurs avec des promesses de vérification. Des variantes de cette arnaque existent depuis des années, mais les experts en cybersécurité disent qu’ils s’attendent à ce que cette arnaque se développe à mesure que les gens passent plus de temps à construire leur marque sur les réseaux sociaux.
De même, les personnes vérifiées ont généralement un grand nombre d’abonnés, ce qui peut en faire des cibles de choix pour les escrocs ou les pirates informatiques qui tentent d’atteindre un grand nombre de personnes. En 2020, des pirates ont détourné les comptes d’utilisateurs de Twitter de premier plan tels que les célébrités Kim Kardashian et Joe Biden, qui briguaient la présidence des États-Unis à l’époque, et ont tenté des utilisateurs crédules avec une fausse promesse de doubler tout bitcoin envoyé à un portefeuille de crypto-monnaie spécifique. .
Annoncer que vous venez d’être vérifié sur les réseaux sociaux peut également faire de vous une cible si vous cherchez à obtenir le badge bleu sur d’autres réseaux sociaux ou si un pirate informatique essaie de trouver un compte avec un large public.
Jon Clay, vice-président des renseignements sur les menaces chez Trend Micro, a déclaré que la société de sécurité informatique avait été témoin d’escroqueries par vérification dans environ 70 pays. « C’est juste un leurre qui donne aux criminels l’opportunité de cibler ces victimes », a déclaré Clay.
Un utilisateur des médias sociaux, qui a demandé à rester anonyme par crainte de représailles, a déclaré à Camaraderielimited que Ceylan avait présenté un argumentaire convaincant lorsqu’il a déclaré qu’il pouvait faire vérifier le compte Instagram de la personne. À sa demande, la personne lui a fourni une photo en tenant une pièce d’identité (bien que son numéro ait été masqué). Après cela, Ceylan a semblé utiliser la photo pour faire supprimer les comptes de médias sociaux de la personne pour usurpation d’identité.
« La partie réaliste de moi était comme » ne tombez pas dans le piège de cette arnaque « , mais ensuite il a commencé à envoyer toutes ces vidéos et photos de lui capable de le faire », a déclaré la personne dans une interview. « Tous ces petits drapeaux rouges se sont déclenchés dans mon cerveau, mais j’étais super excité. Je ne pensais pas clairement. »
Twitter a déclaré que le compte de l’utilisateur avait été suspendu pour usurpation d’identité, mais a déterminé après un examen plus approfondi qu’il avait été piraté. Instagram a déclaré qu’il sécurisait le compte. La société a également supprimé le propre compte de Ceylan, bien qu’un nouveau soit rapidement apparu et soit toujours en ligne.
Camaraderielimited, qui appartient à Red Ventures, a contacté Ceylan et l’a interrogé sur son travail en tant que spécialiste des médias sociaux. « Je voudrais vous aider avec ce dont vous avez besoin d’aide », a déclaré sa réponse par courrier électronique, suivie d’un lien. Le service informatique de Red Venture a déclaré que le lien semblait être une tentative de phishing, notant qu’un fournisseur de sécurité l’avait signalé comme malveillant. Camaraderielimited a été avisé d’éviter tout contact ultérieur avec Ceylan.
Un problème permanent
Les escrocs ont également profité de la pandémie de coronavirus pour faire croire aux gens qu’ils peuvent être vérifiés. Dans un message direct Instagram, un compte appelé ig.verificationbadgeservice a tenté d’attirer les utilisateurs en prétendant faussement que les demandes de badge bleu étaient traitées via un formulaire en ligne plutôt que directement sur Instagram en raison de la pandémie. Le compte n’est plus sur Instagram.
La Federal Trade Commission prévient que les escroqueries de tous types sur Facebook, Instagram et d’autres sites de médias sociaux ont bondi pendant la pandémie. Les pertes signalées dues aux escroqueries sur les réseaux sociaux au cours des six premiers mois de 2020 ont atteint près de 117 millions de dollars, soit presque autant que les 134 millions de dollars signalés pour l’ensemble de 2019. Les escroqueries de vérification constituent une partie de ce total, bien que l’on ne sache pas quelle est sa part.
Certains comptes Instagram proposent une vérification payante.
Capture d’écran par Queenie Wong/Camaraderielimited
Certains comptes Instagram gérés par des personnes qui prétendent être des consultants en médias sociaux promettent une vérification pour des frais de 1 000 $ ou plus.
Un compte, marion_digital, offrait une vérification et 100 000 abonnés pour 2 200 $. Dans un message direct sur Instagram, le titulaire du compte a déclaré à Camaraderielimited qu’il ne pouvait garantir la vérification du compte, mais qu’il rédigerait des articles et du matériel marketing au nom d’un client. Marion_digital envoie ensuite « des photos de ces articles à instagram, puis ils décident d’autoriser ou non la marque de vérification ».
Le compte a refusé de répondre aux questions sur l’endroit où les articles apparaissent ou s’ils ont déjà fait vérifier quelqu’un grâce à ce processus. Le titulaire du compte, qui s’identifie comme consultant en médias sociaux et responsable marketing, a déclaré que cela aidait uniquement à vérifier les pages commerciales. L’utilisateur n’a pas répondu lorsqu’on lui a demandé pourquoi il utilisait une photo de Trayvon Martin, un adolescent noir dont la mort en 2012 a déclenché des protestations à l’échelle nationale, comme photo de profil Instagram.
Un porte-parole de Facebook, propriétaire d’Instagram, a déclaré que la vérification de la vente ou de l’achat est contraire aux règles du réseau social.
« Si nous détectons que la vérification a été acquise de manière malveillante, ou qu’un individu vend des comptes vérifiés à d’autres, nous prendrons des mesures qui pourraient conduire à une suppression permanente d’Instagram », a déclaré un porte-parole de Facebook dans un communiqué, notant qu’il effectue « régulièrement balaie à la fois sur et hors de la plate-forme pour supprimer les acteurs malveillants d’Instagram. »
Omar Bham, un blogueur de 32 ans sur les crypto-monnaies à Las Vegas, a reçu des messages directs de comptes Instagram affirmant qu’ils pouvaient le faire vérifier sur le service de partage de photos. Bham a déclaré qu’il essayait de se faire vérifier sur Instagram et sur d’autres sites parce qu’un « nombre fou » de personnes essaient de se faire passer pour lui via de faux comptes de médias sociaux.
Un compte, elisasupporteam, lui a demandé dans un message de vérifier qu’il possède un compte afin qu’il puisse lui garantir une coche bleue. Il a signalé elisasupporteam à Instagram parce qu’il soupçonnait qu’il s’agissait d’une arnaque. Le compte n’est plus disponible.
Instagram a déclaré qu’il n’envoyait pas de messages aux utilisateurs pour des informations personnelles, telles que des mots de passe, mais il existe une section dans l’application appelée « e-mails d’Instagram ».
Les gens pourraient être la proie de messages directs promettant une vérification, car un marché noir pour les badges Instagram se serait développé en dehors du service. Dans un message direct vu par Camaraderielimited, un utilisateur Instagram vérifié portant le nom de Youssef dit à Bham qu’il peut le faire vérifier ou fournir des « comptes vérifiés pré-créés ».
Certains comptes prétendent avoir aidé d’autres utilisateurs à être vérifiés, indiquant leurs coches bleues comme preuve de succès. Le profil d’un compte Instagram appelé verify_account_569 indique que des coches bleues peuvent être utilisées pour un « prix bon marché ».
Dans une histoire Instagram – un message en voie de disparition sur le service de partage de photos – verify_account_569 a déclaré qu’il avait obtenu une coche bleue pour David Slotnick, journaliste à The Points Guy. Il a publié une photo du compte vérifié de Slotnick comme preuve.
Slotnick dit qu’il a été vérifié en mars par son employeur, mais qu’il a commencé à recevoir des messages d’étrangers lui demandant comment obtenir la coche bleue au moment où l’histoire Instagram avec les fausses informations a été publiée. (The Points Guy appartient également à Red Ventures.)
Camaraderielimited a envoyé un message verify_account_569, mais le compte n’accepte pas les nouvelles demandes de messages de personnes qu’il ne suit pas. Slotnick a déclaré qu’il avait signalé le compte et l’histoire à Instagram mais n’avait pas reçu de réponse. Le compte est toujours ouvert.
drapeaux rouges
Camaraderielimited a montré le formulaire de vérification TikTok qui figurait sur le site de Ceylan au chercheur en sécurité Web Luke Leal, qui travaille chez GoDaddy. Leal a déclaré que le formulaire semble avoir été conçu pour hameçonner les informations de connexion au compte TikTok. Ceylan aurait également pu masquer le site Web afin que le formulaire n’apparaisse qu’une seule fois, a-t-il déclaré.
En avril, le compte Twitter de Ceylan s’est transformé en une identité différente, mais il y avait encore des indices que l’utilisateur avait changé de personnage.
Capture d’écran par Queenie Wong/Camaraderielimited
En plus de la forme, d’autres signes indiquent que Ceylan utilise des sites Internet et des réseaux sociaux pour renforcer ce qui semble être un faux personnage. Le code source du site montre que Ceylan a copié sa page Web à partir d’un site Web utilisant HTTrack, un service qui, selon Leal, est couramment utilisé par les hameçonneurs pour télécharger des sites Web.
Sur YouTube et Spotify appartenant à Google, où Ceylan est un artiste vérifié, il publie des chansons avec des titres tels que Death, Satan et King. Les chansons semblent avoir été produites par d’autres artistes et se sont fait passer pour les siennes. Les chansons de Ceylan Dead and Death sont identiques aux beats hip hop Mania et Septic de MTC Beatz mais ont été publiées 22 jours plus tard. Satan de Ceylan, sorti en décembre, est un clone du beat For Real posté par AngelLaCiencia Beats en novembre.
MTC Beatz ne savait pas si Ceylan avait loué le beat, une forme de location de musique pendant un certain temps, mais a déclaré qu’il signalait la vidéo à YouTube. AngelLaCiencia Beats n’a pas répondu à une demande de commentaire.
Sur IMDb, Ceylan dit qu’il a joué dans 48 séries télévisées et films, dont un rôle de policier dans la série à suspense turque Fatma disponible sur Netflix. Lorsqu’on lui a demandé si Ceylan était apparu dans la série, le producteur de Fatma, Barış Abacıgil, a déclaré dans un e-mail qu’il s’agissait de « fausses informations ».
À un moment donné, le pseudo du compte Twitter de Ceylan a été changé en un personnage féminin Nurdan Yilmaz, bien que des vestiges de son identité soient restés dans ses tweets. Dans un tweet, Yilmaz a partagé un lien sur Ceylan. Le compte Twitter s’est ensuite transformé en l’identité de Ceylan.
Sur son site Web, Ceylan affiche des photos de personnes évaluant ses services. Les photos, cependant, semblent être des photos d’archives, suggérant que les témoignages peuvent avoir été falsifiés.
« Je peux créer un compte Instagram de haut niveau pour vous. Je peux agrandir votre compte Instagram, Facebook, YouTube », a déclaré le site, selon Google Translate. « Je peux garder vos comptes en sécurité. »
