CTM360 révèle des escroqueries aux cartes cadeaux utilisant des marques reconnues

A partially open door revealing a bright red room in a dark space — Dima Pechurin / Unsplash

CTM360 a exposé des campagnes mondiales de portails de récompenses frauduleux et de faux cadeaux de cartes cadeaux qui trompent les utilisateurs.

Ces escroqueries attirent les victimes via des publicités utilisant des recommandations de célébrités. Elles promettent des cartes cadeaux gratuites de marques connues en échange d'une étape rapide de vérification humaine pour débloquer la récompense. CTM360 a identifié plus de 1 000 incidents liés à cette campagne récurrente.

Les acteurs de la menace usurpent l'identité de grandes plateformes de consommation et de détaillants, notamment Amazon, Walmart, SHEIN, Sephora et PlayStation. L'infrastructure utilisée est modulaire, ce qui permet aux fraudeurs de changer le nom de domaine, la célébrité utilisée comme appât ou la marque usurpée sans modifier le moteur principal de l'escroquerie.

Le processus commence lorsqu'un utilisateur clique sur une publicité malveillante et est redirigé vers un portail de récompenses. Le site affiche une animation de progression simulée et un code partiellement masqué pour convaincre l'utilisateur que la récompense existe. Cependant, avant de révéler le code complet, la victime doit passer par un contrôle de sécurité ou une vérification humaine.

Cette étape de vérification est un pivot trompeur qui redirige les victimes vers des activités tierces pour générer des revenus. Les utilisateurs sont poussés dans une boucle sans fin de tâches. Même si une tâche est accomplie, le site indique qu'elle est incomplète et propose une autre offre. CTM360 a constaté qu'aucune récompense n'a été livrée lors des tests.

Techniquement, ces campagnes fonctionnent comme des systèmes de monétisation d'affiliés. Les pages d'appât redirigent les victimes via des adresses URL de suivi d'affiliation. Les fraudeurs gagnent une commission lorsque une victime soumet un numéro de téléphone mobile et effectue une vérification par code PIN ou mot de passe unique pour un abonnement.

Les conséquences pour les victimes incluent l'exposition d'informations personnelles, des frais de facturation mobile imprévus et un afflux de courriers indésirables. Pour les organisations, cela représente un abus grave de la réputation de leur marque.