MISE EN GARDE

Cet billet est en ligne depuis décembre 2012. Il est particulièrement bien référencé par Google, et les internautes qui font une recherche avec les mots-clés « arnaque leboncoin » tombent régulièrement dessus.
Ces personnes viennent souvent d’être victimes elles-mêmes d’une arnaque et écument Internet pour trouver une solution. Ils lisent les commentaires à la recherche d’une aide.

Mais d’autres personnes malhonnêtes ont repéré le filon et passent le plus clair de leur temps à laisser des commentaires sous ce type de billet. Ils se font alors passer pour d’anciennes victimes d’arnaques qui ont pu s’en sortir. Généralement, ils vous donnent, une adresse email qu’ils prétendent être celle d’un « lieutenant d’Interpol » (ça peut faire sourire) qui serait l’homme providentiel capable de vous aider.

Autre technique : ils ont mis en place de faux sites avec une adresse comportant le mot « Interpol ». Une fois sur ce site, on vous invite à laisser un témoignage. Ensuite vous recevez un mail et on vous embobine en vous faisant croire qu’il faut faire une avance de frais pour votre procédure.
Au final, vous voilà arnaquer pour une seconde fois.
Vous savez quoi ? Les commentaires en question ont tous une adresse IP en Côte d’Ivoire…
Donc méfiez-vous en lisant les commentaires sous ce billet. Vous voilà avertis.

Ce vendredi soir, un « ami Facebook » que je ne connais pas (j’accepte tout le monde ou presque) m’envoie un « bonjour bonjour » en privé. La suite vous la lirez ci-dessous.
À l’évidence, il s’agit d’une arnaque… L’homme (ou la femme) cherche une tierce personne pour poster en son nom une annonce sur leboncoin.fr …

Voyez le début de la conversation, mon « ami » me parle comme quelqu’un qui me connait alors que je n’avais jamais échangé avec lui. En l’occurrence, le profil utilisé était celui d’un restaurant de Besançon qui a pignon sur rue… ça peut rassurer.

Bref, ça sentait l’arnaque à plein nez mais j’ai voulu jouer. Bonne lecture. Vous trouverez ensuite quelques explications.

Notre arnaqueur s’est donc retrouvé le bec dans l’eau et moi j’ai bien rigolé… Petite précision : je ne travaille pas à la Gare d’Eau 🙂
Mais où est l’arnaque ? Quel est le risque si l’on rend ce petit service ?

Dans un premier temps j’ai pensé  que l’objectif était de trouver un pigeon pour poster une annonce cachant une classique arnaque à la vente. La publication de l’annonce se faisant depuis l’ordinateur du pigeon, c’est son adresse IP qui est alors collectée. On imagine les risques qu’il encourt si une plainte liée à cette vente est ensuite déposée.

Mais c’est un message posté sur un forum de discussion qui m’a révélé le véritable danger de ce type d’arnaque… et le risque est très grand.

Si mon « arnaqueur » insistait tant pour que je valide mon annonce, c’est parce qu’une fois notre annonce validée, leboncoin.fr nous en présente un récapitulatif et nous demande de choisir un mot de passe qui servira ultérieurement à modifier l’annonce.

Le naïf donne alors un mot de passe…. et comme il a l’habitude (à tort) d’utiliser toujours le même pour l’ensemble de ses comptes (Facebook, courriel…), il y a de grandes chances pour qu’il utilise son mot de passe habituel.
Une fois l’annonce validée par leboncoin quelques heures plus tard, c’est l’arnaqueur qui recevra la confirmation à l’adresse email qu’il avait indiquée à sa victime. Or cette confirmation affiche en clair le mot de passe donné par le pigeon.

Notre arnaqueur n’a plus qu’à essayer ce mot de passe sur le compte Facebook de sa victime, sur son compte mail, etc.
Si ça marche, c’est bingo ! Car on trouve beaucoup d’informations intéressantes dans nos courriels non effacés : des identifiants, des mots de passe….

Notre compte Facebook piraté servira à son tour pour appâter nos propres amis. Et ainsi de suite…

Conclusion : si l’on vous demande ce genre de service via Facebook ou MSN, fuyez ! Vos amis ne sont peut être pas vos amis…

Mise à jour (samedi 17 décembre)

J’ai fait un petit test hier soir avec une annonce bidon. Apparemment, leboncoin.fr n’envoie plus le mot de passe en clair dans ses messages de confirmation. À confirmer si vous faites le test vous aussi.