Le youtubeur Kitboga piège 200 escrocs dans un « labyrinthe impossible » [vidéo]

 (youtube.com)
2 points par GN⁺ 2023-11-04 | 1 commentaires | Partager sur WhatsApp
  • Kitboga et son équipe ont créé un faux système de remboursement en Bitcoin pour retenir trop d’escrocs à la fois pour pouvoir les gérer directement, en leur faisant croire qu’ils pourraient récupérer des Bitcoin volés
  • Le piège utilise comme appâts de faux codes de cartes-cadeaux, des codes de reçus de DAB et des QR, puis les force à traverser successivement des CAPTCHA, des barres de chargement, des files d’attente téléphoniques, des menus de support client, des vérifications par dessin et un labyrinthe
  • Pendant plusieurs mois, des centaines de personnes se sont fait piéger et ont gaspillé au total 60 jours, soit 1 440 heures ; un escroc y a passé plus de 5 jours et un autre est resté connecté 40 jours d’affilée
  • Comme les escrocs saisissaient de vraies adresses de portefeuilles, cela a aussi révélé des portefeuilles ayant fait transiter des centaines de milliers de dollars, et avec l’équipe anti-fraude de Kraken, ils ont enquêté sur des portefeuilles par lesquels étaient passés plus de 280 BTC
  • Ce qui avait commencé comme un outil conçu pour plaisanter a fini par aider de vraies victimes, notamment une femme âgée escroquée pendant 6 ans et des dizaines d’autres victimes aux États-Unis

Un faux système Bitcoin pour retenir les escrocs

  • Kitboga a constaté qu’il y avait trop d’escrocs — dans les commentaires YouTube, au téléphone, et même se faisant passer pour lui — pour pouvoir leur répondre directement, et a donc créé avec son équipe un piège automatisé destiné à les occuper le plus longtemps possible
  • En donnant aux escrocs de fausses cartes-cadeaux Bitcoin ou de faux reçus, ils leur font croire qu’il suffit d’entrer un code pour encaisser facilement l’argent
  • Le site est en réalité une fausse plateforme sur le thème du Bitcoin, qui enregistre toutes les interactions
    • quels tickets de support ils essaient d’ouvrir
    • quels CAPTCHA ils essaient de résoudre
    • quelles barres de chargement ils attendent
    • quelles procédures téléphoniques ils tentent de franchir
  • Les escrocs ne peuvent jamais recevoir de Bitcoin à la fin, et ces Bitcoin n’existent de toute façon pas

Des CAPTCHA, barres de chargement et files d’attente téléphoniques qui font perdre du temps

  • L’un des premiers obstacles est un faux CAPTCHA basé sur des images générées par IA, dont le résultat fonctionne comme s’il avait 50 % de chances d’être correct
    • il pose des questions ouvertes sur le nombre de noix, la hauteur des vagues, la voiture la plus rapide ou la valeur de dés
    • les escrocs ont saisi des réponses comme « uncountable », « 32 ft », « beam balance », « 8 », « 1,232 », « 1,322 »
  • Entre les CAPTCHA, de longues barres de chargement sont volontairement insérées pour leur faire perdre facilement 10 à 15 minutes avant même d’atteindre le tableau de bord en ligne
  • Lorsqu’ils saisissent une adresse de portefeuille, une erreur apparaît à chaque fois et ils sont renvoyés vers un appel au support client
    • le menu téléphonique ne comprend pas correctement des entrées comme option five, même lorsqu’elles sont répétées
    • la file d’attente affiche des messages comme 10 à 19 minutes d’attente ou 13 personnes devant vous, mais aucun conseiller réel n’existe
    • pendant l’attente, on leur demande de répéter des expressions comme « colorful comrade », « buttered bicycle », « purple pig » pour vérifier qu’ils écoutent toujours
  • À la fin de l’attente, plusieurs fausses conclusions s’enchaînent
    • on a l’impression qu’un conseiller répond, mais personne ne parle
    • ils sont redirigés vers un support par e-mail, mais l’adresse est difficile à comprendre
    • un faux conseiller enregistré les embrouille entre confirmation et annulation, puis coupe l’appel
    • ils arrivent sur une messagerie vocale, mais la boîte est pleine et il est impossible de laisser un message

Vérification par dessin et labyrinthe presque impossible

  • Plus récemment, le système a commencé à demander aux escrocs de dessiner pour prouver qu’ils sont humains
    • on leur demande de reproduire des images comme un serpent portant un chapeau, un cube, une souris, un corbeau soulevant des haltères ou un robot
    • la réussite est déterminée avec une probabilité de 50 %
    • un escroc a envoyé un message disant qu’il était littéralement impossible de terminer la vérification humaine
  • Pour créer une passphrase de sécurité, le système prétend qu’il faut une entropie aléatoire, et leur demande donc de terminer un labyrinthe
    • même Kitboga a essayé pendant environ 10 minutes sans réussir à le terminer tant il était difficile
    • un escroc a réussi après 127 tentatives, avant que tout soit réinitialisé et qu’il doive recommencer depuis le début
  • Certains escrocs se voient indiquer de mettre leur téléphone en mode avion pour effectuer un retrait
    • en passant en mode avion, l’appel se coupe
    • un escroc a commencé un compte à rebours à partir de 10 avant que l’appel ne soit interrompu

Temps gaspillé et enquête sur de vrais portefeuilles d’escroquerie

  • Pendant plusieurs mois, le système a retenu des centaines d’escrocs et leur a fait perdre au total 60 jours, soit 1 440 heures
  • Un escroc a utilisé le site pendant plus de 5 jours, persuadé qu’il allait recevoir de faux Bitcoin
  • Un autre s’est connecté au site 40 jours d’affilée
  • Comme certains escrocs faisaient confiance au système, ils ont fini par entrer de vraies adresses de portefeuilles ayant de la valeur
    • certains portefeuilles montraient des transactions de plusieurs centaines de milliers de dollars
    • en collaboration avec l’équipe anti-fraude de Kraken, ils ont enquêté sur ces portefeuilles et vérifié les possibilités de blocage
    • pour certaines fraudes perturbées et signalées, les Bitcoin passés par ces portefeuilles représentaient plus de 280 BTC
  • L’équipe de Kraken a aidé à construire l’outil et a participé comme partenaire pour enquêter sur les portefeuilles et les escrocs

D’une blague à une aide concrète aux victimes

  • Un jour, l’équipe support de Kraken a signalé à Kitboga qu’une personne les avait contactés à propos de « Bitcoin stock » et semblait confuse
  • Cette femme a transmis à Kraken l’adresse e-mail et le nom d’utilisateur de Kitboga, puis le lien s’est fait quand l’escroc lui a demandé d’appeler une fausse hotline Bitcoin
  • Cette femme était une victime âgée escroquée depuis 6 ans, et l’équipe de Kitboga lui a expliqué la situation avant de l’orienter vers l’aide nécessaire
  • Par la suite, des dizaines de victimes aux États-Unis ont appelé ce système et, après qu’on leur a expliqué l’escroquerie, ont été mises en relation avec les bonnes personnes localement
  • Au départ, ce n’était qu’une idée amusante pour faire perdre du temps aux escrocs, mais le projet a fini par inclure de vraies enquêtes sur des portefeuilles et de l’aide aux victimes

À lire aussi

1 commentaires

 
GN⁺ 2023-11-04
Avis sur Hacker News

  • Le passage où, après avoir attendu une longue file d’attente et enfin réussi à être mis en relation, on tombe sur un répondeur disant « la boîte vocale est pleine » était beaucoup trop réaliste
    Je sais que c’est un mécanisme conçu exprès, mais j’ai récemment vécu exactement la même chose avec un système gouvernemental important
    J’ai appelé le California EDD pour obtenir le reste impayé du congé familial rémunéré de l’État, mais il n’y a aucun moyen de le faire en ligne et il faut absolument téléphoner
    Après une heure d’attente, le téléphone sonnait, basculait sur la messagerie vocale, annonçait que la boîte était pleine puis raccrochait ; ça m’est arrivé deux fois, et comme on n’a au départ qu’environ 1 chance sur 100 d’entrer dans la file d’attente, c’est vraiment à devenir fou

    • Quand j’ai dû contacter l’EDD il y a quelques années, le numéro principal ne marchait pas du tout, et j’ai fini par passer par un numéro en langue étrangère
      En général, il y avait davantage de conseillers par rapport au nombre de locuteurs de cette langue, donc le ratio était meilleur ; dans mon souvenir, le numéro vietnamien était le plus efficace, mais ça a pu changer depuis
      Si on ne parle pas la langue, passer les menus automatiques est délicat, mais une fois en relation avec quelqu’un, les agents étaient bilingues et parlaient parfaitement anglais
    • C’est à peu près ce qui se passe quand on appelle le support client de Comcast
      Si on continue à demander un conseiller, ils raccrochent, et le seul moyen fiable de joindre un humain était de dire : « je veux parler à un conseiller pour résilier mon compte »
      J’ai peur que, quand ils commenceront à y intégrer des LLM ou une meilleure IA, il devienne vraiment impossible de parler à quelqu’un
    • Comme 98 % des gens dans le monde ne connaissent probablement pas ces sigles, en toutes lettres : EDD signifie Employment Development Department, ce qui ressemble à une agence d’aide aux demandeurs d’emploi, et PFL signifie Paid Family Leave, proche d’un congé de naissance, parental ou d’aidant
    • Pour les problèmes avec le California EDD, le mieux est d’appeler le bureau de votre député à l’assemblée de l’État et de demander de l’aide
    • Je compatis pour l’EDD
      Il me reste encore plusieurs milliers de dollars d’allocations chômage dues à cause des licenciements pendant la pandémie, mais j’ai vécu quelque chose de similaire et j’ai fini par abandonner

  • Je connais Kit par un ami, et j’ai même joué une fois à Magic: The Gathering avec lui
    Sa personnalité dans les vidéos n’est pas différente de sa vraie personnalité ; on dirait quelqu’un né pour faire ce travail, et c’était vraiment quelqu’un de bien, tout comme sa femme et ses enfants
    À l’origine, il a commencé comme développeur web, et il a créé lui-même tous les faux sites bancaires
    C’est un travail très malin : utiliser, paradoxalement, des techniques de phishing pour piéger des hameçonneurs

    • Je n’aurais vraiment jamais imaginé qu’il était programmeur

  • J’aime les vidéos de Kitboga
    À chaque fois que j’en regarde, je suis frappé par à quel point les escrocs sont arrogants, suffisants et imbus d’eux-mêmes
    Ils croient sincèrement être extrêmement intelligents et n’hésitent pas à se moquer des personnes âgées qu’ils ont au téléphone
    Merci à Kitboga de mener le bon combat, et c’est satisfaisant de voir les banques et les plateformes d’échange de cryptomonnaies geler immédiatement les comptes qu’il signale

    • Cette arrogance est peut-être une attitude nécessaire pour dormir la nuit
      Ils doivent probablement se justifier en se disant des choses comme « l’Occident a volé les pays en développement, donc on ne fait que reprendre ce qui nous revient » ou « cet idiot se fera arnaquer par quelqu’un de toute façon, donc autant que ce soit moi »
      Cela dit, je ne sais pas ce qui vient en premier, la poule ou l’œuf, et il se peut que les personnes attirées par ce genre de travail dans des centres d’appels frauduleux soient déjà ce genre de pourritures
      À l’inverse, une personne ordinaire qui entre dans un tel centre d’appels pourrait aussi se retrouver dans une situation à la Stanford Prison Experiment et être facilement manipulée
    • Depuis que ces escrocs ont piégé ma tante, je les déteste vraiment
      Depuis, quand je reçois un appel, j’essaie de les garder en ligne le plus longtemps possible pour qu’ils ne puissent au moins pas escroquer une autre personne
      J’en ai gardé trois assez longtemps pour leur demander : « pourquoi escroquez-vous de pauvres grands-mères ? », et les trois ont donné la même réponse
      « Les Occidentaux sont riches et ne méritent pas leur argent »
    • Vous prenez la causalité à l’envers
      Les gens ont généralement tendance à mieux suivre les personnes qui parlent avec assurance, donc pour augmenter ses chances de réussite, un escroc doit avoir une voix pleine de certitude
      L’escroc veut empêcher son interlocuteur de douter de ses compétences, et au contraire l’amener à douter constamment de son propre jugement
    • Quelqu’un qui paraît arrogant et insolent à certains peut sembler sûr de lui à d’autres
    • Pour maximiser ses chances de succès, un escroc doit menacer, crier et mettre la pression
      Les victimes les plus vulnérables réagissent à ce type d’approche
      S’il avait été prudent et aimable, l’appel se serait probablement terminé par « je vais vérifier auprès de ma banque et je vous recontacterai, merci »

  • Le rebondissement final était excellent à plusieurs égards
    Kitboga a, par pur hasard, directement sauvé quelqu’un d’une arnaque au long cours, et il a peut-être même découvert par accident une nouvelle technique pour aider les victimes
    Si l’on pousse l’escroc à donner le numéro de Kitboga à la victime, il peut l’aider directement

    • Je n’ai pas bien compris cette situation
      Kitboga et son équipe ne jouaient-ils pas le rôle de la personne en train de se faire arnaquer ?
      Je ne vois pas quel rapport cette femme avait avec le reçu Bitcoin ou le QR code

  • Tout le monde rigole, mais j’ai rencontré un CAPTCHA impossible en essayant de me connecter à mon compte OpenAI
    C’est un compte à 20 $ par mois, mais il fallait cliquer 80 fois sur le puzzle, et à la moindre erreur il fallait recommencer depuis le début
    Ce n’était pas drôle du tout, alors j’ai résilié mon abonnement ; de toute façon, Phind est plus rapide et de meilleure qualité

    • C’est aussi la première chose à laquelle j’ai pensé
      Ici, tout le monde trouve ça amusant, mais moi je ne vois que les efforts de ceux qui conçoivent l’expérience Internet que je dois subir tous les jours
      Ça irait très bien aux équipes IA et CAPTCHA /sarcasme
      C’est assez absurde de recevoir une longue série de puzzles alors qu’on paie 20 $ par mois
      Parfois, il y a tellement de puzzles trop difficiles à résoudre que j’abandonne tout simplement, en espérant qu’il n’y en aura que quelques-uns un autre jour
      Je m’étais abonné pour pouvoir l’utiliser immédiatement et éviter le dépotoir SEO, mais au final je perds toujours du temps et je paie pour fournir du travail gratuit destiné à l’entraînement des modèles
    • C’est drôle quand ça arrive à de mauvaises personnes, mais le plus triste, c’est que leur expérience de support client n’est pas si anormale que ça
      Si elle l’était, la plupart auraient tout de suite compris que c’était faux
      Demander de compter le nombre de noix sur une photo, c’est un peu excessif, mais on est désormais tellement habitués aux CAPTCHA médiocres que ça paraît plausible
      Même chose pour les menus téléphoniques
    • Je me demande quel système d’exploitation et quel navigateur ils utilisent
      Donnez-moi quelques minutes et je peux faire écrire à ChatGPT un script pour gérer ça
    • Moi aussi, après avoir subi des CAPTCHA pendant plusieurs minutes dans l’application desktop Proton VPN, je compte résilier mon abonnement
    • Je n’ai même pas eu l’occasion de vraiment l’essayer
      En l’espace de quinze jours, je n’ai pas utilisé dix prompts, et à chaque fois je n’ai obtenu que « notre système a détecté une activité suspecte, veuillez réessayer plus tard »
      Avec ou sans abonnement, ça ne semble pas être un problème rare

  • Je me demande si quelqu’un se souvient du bot téléphonique anti-arnaqueurs qui se faisait passer pour une personne âgée atteinte de démence
    Il me semble qu’il s’appelait « Lemmy », et il attendait que l’arnaqueur cesse de parler avant de poser une question ou de partir dans une longue divagation incohérente
    C’était drôle, mais aussi très finement conçu pour faire durer la conversation pendant des heures ; puis, quand les répétitions commençaient, l’arnaqueur finissait souvent par exploser
    C’était un peu plus malin que cette belle arnaque, parce que le fil de la conversation restait très naturel, et cela exploitait le fait que les arnaqueurs adorent parler dès qu’on leur en donne l’occasion
    Ça pourrait être une bonne idée pour une prochaine version

  • Ce qui est vraiment triste, c’est qu’on subit régulièrement bon nombre de ces choses quand on appelle de « vraies » entreprises
    Ils dégradent volontairement la voix jusqu’à donner l’impression d’écouter un talkie-walkie dans un avion à hélice ; l’horrible musique d’attente, poussée au volume maximal avec sous-échantillonnage et amplification du volume, fait physiquement mal ; la ligne coupe au hasard ; des redirections en boucle apparaissent
    Et tout cela arrive même quand on reste poli et patient avec le pauvre conseiller qui travaille toute la journée dans ce genre d’entreprise

  • Je n’ai pas compris la dernière partie
    L’équipe anti-arnaque de Kraken découvre qu’une personne qu’elle considérait comme victime d’une arnaque, mais qu’elle n’arrivait pas à contacter, a appelé son Gauntlet ; ensuite, elle peut aider cette femme ainsi que d’autres victimes arrivées dans le Gauntlet

    1. Je ne comprends pas comment une victime d’arnaque arrive dans le Gauntlet au départ
      Je pensais que tout le principe était que Kitboga et son équipe jouaient les cibles et envoyaient de faux QR codes aux arnaqueurs
    2. Si l’arnaqueur manipule la victime pour lui faire résoudre le Gauntlet, alors notre attitude consistant à prendre plaisir à la frustration de « l’arnaqueur » devient aussi discutable
      Si une partie des personnes que l’on frustre sont des innocents manipulés par des arnaqueurs, le calcul moral devient plus complexe
    3. Je me demande aussi comment ils ont identifié les non-arnaqueurs entrés sur la plateforme
      S’il existe une réponse solide à cette question, cela pourrait atténuer l’inquiétude du point 2, mais j’ai du mal à y croire sauf si ce n’est pas une méthode tellement laborieuse qu’elle réduit l’utilité du système automatisé
      Dans l’ensemble, la vidéo était amusante, et en pensant à l’expérience des arborescences de répondeurs téléphoniques, c’était tellement réaliste que c’en était drôle, mais les points ci-dessus m’empêchent de soutenir pleinement ce qu’il fait
    • D’accord
      Ce qui risque beaucoup de se produire avec ce système ressemble à la manière dont procédaient les logiciels de bots qui tentaient de contourner les CAPTCHA
      Ils pourraient aussi embaucher des personnes en difficulté pour les résoudre
      La vidéo était drôle, mais elle m’a aussi clairement fait prendre conscience de la position privilégiée que j’occupe, du fait de ne pas être né dans un environnement où l’on n’a guère d’autre choix que de devenir l’une de ces « personnes maudites », arnaqueur ou victime
    • La vidéo suivante, publiée après ce commentaire, contient plus de détails
      https://youtu.be/tzXRb8PdmJo
    • Les questions sont vraiment pertinentes
      Au bout du compte, ces arnaqueurs sont des prédateurs, les personnes montrées dans la vidéo ne sont que la partie émergée de l’iceberg, et les arnaques visant des Occidentaux aisés constituent une industrie à plusieurs milliards de dollars
      Mais en même temps, eux aussi sont victimes de la structure de récompenses asymétrique du capitalisme mondial et du colonialisme, et plus précisément beaucoup sont victimes de traite humaine et forcés à commettre ce type d’arnaques
      https://www.csis.org/analysis/cyber-scamming-new-destination...
      J’ai lu tout à l’heure le site de Kitboga, où il était écrit qu’il « rend une situation sombre un peu plus légère », et c’est une formulation qui résume assez bien les choses

  • Scammers vs Impossible Password Game vaut aussi le coup d’œil
    [1] https://www.youtube.com/watch?v=knhQ2f8anT8

    • Éteins le feu ! Tu as tué le poulet !!
      Je n’en reviens pas
      J’ai failli rire à m’en faire sortir les poumons
    • C’est mis en scène, hein ? Hein ??

  • « Pourquoi vous l’avez utilisé ?! »
    Kitboga est un trésor national de YouTube

    • Il y a des phrases qu’il suffit de lire pour entendre une personne précise les prononcer d’une manière précise
      D’habitude, ce sont des répliques de films, mais maintenant le « Pourquoi vous avez fait ça?!?!?! » crié par un arnaqueur est gravé dans ma tête
    • Du bon trolling pour une bonne cause, c’est très satisfaisant
    • Son ancien système Google Play était excellent
      Un chiffre à un emplacement précis indiquait au faux Google Play Store le montant dépensé par l’utilisateur
    • Grâce à lui, j’ai appris énormément d’insultes en langues étrangères
    • sir sir sir siR sIR SIR SIR SIR