Des concours Twitter pour gagner des comptes Netflix ou Spotify volés

Si vous fréquentez les réseaux sociaux, et plus particulièrement Twitter, vous êtes peut-être déjà tombé dessus. Un jeu concours avec, à la clé, un abonnement d’un an à Netflix. Pour participer, rien de plus simple : il suffit de s’abonner au compte de l’organisateur et de retweeter le message du concours. Avec un peu de chance, vous pouvez être l’heureux gagnant. Sauf que le compte a peut-être été volé. Et que, quelque part dans le monde, quelqu’un peut avoir acquis… le vôtre.

Des lots au bout du bot

C’est ce qu’a découvert le blogueur Klakinoumi dans une enquête choc relayée par plusieurs médias généralistes et spécialisés. Un travail d’investigation aux résultats quelque peu involontaires puisque le blogueur était motivé à l’origine par des considérations d’ordre professionnel : apprendre à programmer un bot. Une tâche quelque peu ingrate sauf à faire participer le bot à pas moins de 9 500 jeux concours sur Twitter.

C’est à ce moment que le blogueur est entré dans la matrice, découvrant un univers qu’il ne soupçonnait pas. Générés en quantité industrielle, ces jeux sont le plus souvent l’œuvre de comptes récents gérés par des personnes mineures qui ne cessent de se faire de la publicité entre eux. Au programme de ces concours, on retrouve les mêmes lots : des comptes premium pour Netflix, Spotify ou encore de l’argent à dépenser pour le jeu en ligne Fortnite.

Comptes en stock

Sauf qu’au lieu de recevoir un code promo lorsque vous gagnez, vous vous retrouvez avec un véritable compte avec adresse mail et mot de passe. Autrement dit, volé. Pour s’assurer de l’authenticité de ces comptes, le blogueur a remonté leur trace dans différents espaces (Linkedin, journal local…) pour retrouver leur propriétaire. En cherchant plus loin, il est tombé sur des générateurs de comptes. Comme leur nom l’indique, ces sites payants produisent des comptes à la pelle pour le service souhaité. Le tout avec l’apparence de la légalité (présence de conditions générales d’utilisation…) et en toute transparence (publicité sur les réseaux sociaux…).

« Apparence » seulement car les comptes ont tous été récupérés de manière illégale. Détenus par de pauvres malheureux qui se sont faits pirater ou ont été victimes de phishing, ces comptes sont compilés dans des « combolists » circulant librement dans la nature « numérique ». Ils sont alors essayés par des testeurs qui vérifient qu’ils fonctionnent bien. Si c’est le cas, ils sont stockés dans les fameux générateurs de comptes. Il ne reste plus qu’à les acheter et les inclure dans des jeux concours sur Twitter.

L’audace de la jeunesse

Autre point de ce business : la diffusion d’un concours « RT + follow » est l’occasion pour certains influenceurs de grappiller des followers en payant l’organisateur contre une mention dans le tweet d’annonce du jeu. Pour autant, cette carotte (quelques euros dans le meilleur des cas) est-elle suffisante pour justifier un tel risque juridique ? Visiblement, oui. D’abord, parce que certains arrivent, en cumulant les concours, à amasser de coquettes sommes, jusqu’à 2 000 euros en un mois. Sur ce point, l’organisation de jeux concours n’est pas forcément la seule source de financement, des trafiquants poussant le vice jusqu’à créer des boutiques en ligne vendant, entre autres, ces fameux comptes volés.

Toujours sur le plan financier, Klakinoumi établit un lien intéressant entre ce business et le succès de jeux en ligne comme Fortnite. Quel est-il ? Si le jeu est gratuit, il contient des micro transactions dites « cosmétiques » (qui n’impactent pas le gameplay) qui personnalisent l’expérience utilisateur. Le succès du jeu est tel qu’il est indispensable de se distinguer aussi bien par son « skill » que par sa « skin » (l’apparence de son avatar) pour sortir de la masse. Les trafiquants de compte l’ont bien compris en vendant de la monnaie virtuelle du jeu.

Fortnite, rétribution qui se limite le plus souvent à de l’argent de poche, manque de discrétion… L’organisation de ces jeux concours se fait avec une audace qui confine à l’immaturité. Cela explique pourquoi la plupart sont des mineurs qui ne se rendent pas forcément compte de la gravité de leurs actes.

Pour Klakinoumi, cette affaire est l’occasion de parler des bonnes pratiques en matière de sécurité informatique. Du côté des plateformes, il y a urgence à mettre en place l’authentification à deux facteurs c’est-à-dire qu’en plus de rentrer le mot de passe et le login, le possesseur du compte doit taper un autre code envoyé par SMS ou par mail. Du côté des utilisateurs, il est recommandé d’adopter une hygiène numérique dans la gestion des mots de passe.

Article de Theirry Randretsa