La police européenne démantèle un réseau cybercriminel ayant exploité 49 millions de faux comptes

• Les polices de plusieurs pays européens ont démantelé un réseau de « cybercriminalité en tant que service » en arrêtant 7 personnes, mettant fin à une organisation qui avait créé environ 49 millions de faux comptes en ligne
• Ce groupe exploitait un service payant fournissant des numéros de téléphone temporaires dans plus de 80 pays, aidant les criminels à masquer leur identité et à contourner l’authentification à deux facteurs
• L’infrastructure saisie comprenait 1 200 boîtiers SIM et 40 000 cartes SIM actives, 5 serveurs et 2 sites web de services illicites
• Le réseau était utilisé pour divers crimes, notamment les fraudes à l’investissement, le phishing, le smishing, l’usurpation d’identité de policiers et la diffusion de contenus d’exploitation sexuelle d’enfants
• Cette opération illustre les résultats d’une enquête internationale coordonnée et d’un appui en analyse technique, ainsi que l’importance du démantèlement des infrastructures cybercriminelles

---

Aperçu de l’opération : Operation SIMCARTEL

• Cette opération, menée sous le nom de code « SIMCARTEL », a été conduite en Lettonie le 10 octobre dans le cadre d’une enquête internationale coordonnée
  • Les polices de Lettonie, d’Autriche, d’Estonie et de Finlande y ont participé conjointement
  • Cinq ressortissants lettons et deux suspects supplémentaires ont été arrêtés
• Les biens saisis comprenaient 1 200 boîtiers SIM et 40 000 cartes SIM actives
  • 5 serveurs internet ont également été saisis et les sites de services illicites gogetsms.com et apisim.com ont été fermés

Mode opératoire du réseau criminel

• Ce réseau fonctionnait sous la forme d’une « cybercriminalité en tant que service » (CaaS, Cybercrime-as-a-Service)
  • Il fournissait des numéros de téléphone temporaires dans plus de 80 pays, utilisés par les criminels pour dissimuler leur identité et contourner les vérifications
• Les escrocs utilisaient ce service pour contourner les systèmes d’authentification à deux facteurs et créer en masse de faux comptes
  • Ces comptes étaient ensuite utilisés dans des fraudes à l’investissement, de fausses boutiques en ligne et des attaques de phishing
• L’infrastructure servait de base à divers crimes, notamment la fraude, l’extorsion, la traite des êtres humains et la diffusion de contenus d’exploitation sexuelle d’enfants

Principales méthodes criminelles

• Les criminels recouraient à des approches émotionnelles comme la « daughter-son scam », afin d’inciter les victimes à effectuer des virements urgents
  • Des attaques plus classiques de phishing et de smishing étaient également menées en parallèle
• Certains membres du groupe étaient spécialisés dans les escroqueries sur les plateformes de vente d’occasion, tandis que d’autres exploitaient de faux sites d’investissement ou de fausses boutiques en ligne
• Dans un autre cas, les enquêteurs ont aussi constaté une méthode consistant à se faire passer pour des policiers, présenter de fausses pièces d’identité et récupérer directement l’argent auprès des victimes

Préjudices financiers et avoirs saisis

• Rien qu’en Autriche, les pertes sont estimées à environ 4,5 millions d’euros (environ 7,4 millions de dollars)
  • En Lettonie, des pertes de 420 000 euros (environ 690 000 dollars) ont également été signalées
• La police a saisi 431 000 euros (environ 710 000 dollars) sur des comptes bancaires ainsi qu’environ 516 000 dollars en cryptomonnaies
• Les enquêteurs estiment qu’un total de plus de 3 200 affaires de cyberfraude, dont 1 700 en Autriche et 1 500 en Lettonie, est lié à ce réseau

Coopération internationale et soutien technique

• Europol a fourni un soutien analytique, des analyses d’open source intelligence (OSINT) et une expertise forensique pour la collecte de preuves numériques
• En coopération avec Eurojust, l’organisation a soutenu les procédures juridiques et la coordination des enquêtes entre pays
• Le Shadowserver Foundation a participé au démantèlement technique de l’infrastructure criminelle
  • Shadowserver est une organisation de sécurité à but non lucratif qui aide à suivre et fermer les infrastructures liées aux cybermenaces

Affaires similaires et contexte international

• En septembre 2024, aux États-Unis, une « ferme SIM » détenant plus de 100 000 cartes SIM et 300 équipements a également été découverte près du siège de l’ONU à New York
  • L’enquête, menée par le US Secret Service, a soulevé la possibilité d’une implication de groupes de hackers soutenus par des États
• Cette opération européenne est considérée comme faisant partie des efforts internationaux visant à répondre à l’expansion mondiale des infrastructures cybercriminelles fondées sur les SIM

[GN⁺]

Avis Hacker News

• Appeler la « coopération entre Europol et la Shadowserver Foundation » des « Euro cops » me semble être la tournure la plus australienne que j’aie vue sur Internet
  Article lié : communiqué de la newsroom d’Europol
  • Le titre est tellement drôle qu’il faut bien le reconnaître :)
    Dans les différents pays d’Europe, on n’aime pas forcément le gouvernement ou la police, mais quand ça sonne comme une coopération à l’échelle européenne telle que « Euro cops », ça donne étrangement une impression plus positive
    « Europe » peut évoquer une image négative, comme la réglementation ou les bandeaux cookies, mais je trouve qu’en réalité c’est une notion bien moins clivante et plus saine que la politique locale
  • Dans ma tête, les « Euro cops », c’est l’image d’un RoboCop néerlandais en survêtement des années 90
  • Heureux de voir que je ne suis pas le seul à l’avoir ressenti. Euro Cops !
• Ce n’est pas vraiment une bonne nouvelle de voir Operation SIMCARTEL menée en Lettonie, mais on n’y peut rien
  J’aimerais pouvoir avoir, comme pour les e-mails avec une adresse distincte par service, un numéro de téléphone dédié à chaque entreprise
  Ça permettrait sans doute de savoir quelle société a revendu mes données
  • J’ai essayé sérieusement, mais même en séparant les adresses e-mail, l’effet sur la réduction du spam a été quasi nul
    Si l’ISP ou l’opérateur revend votre adresse e-mail, il n’y a pas vraiment de moyen de l’empêcher, et se plaindre au service client ne sert à rien
• Les médias locaux ont publié bien plus de photos du terrain
  Article et galerie liés
• On parle de 40 000 cartes SIM dans 1 200 SIM boxes saisies ; je me demande si voir autant de SIM se connecter à une seule station de base ne serait pas considéré comme un signal anormal
  • Du point de vue de l’opérateur, cela revenait à gagner 40 000 clients payants ; tant qu’ils ne causaient pas de problème, il est très possible qu’ils aient simplement laissé faire. Ils ont probablement gagné des centaines de milliers d’euros par mois
  • Il est difficile de connaître avec précision la position des SIM. On ne peut faire qu’une triangulation à partir du signal de plusieurs stations de base, donc il est compliqué de cibler une petite zone
  • Il y a eu un cas similaire à New York : voir des dizaines de milliers de personnes concentrées dans une même zone n’a rien d’inhabituel, donc il n’est pas impossible de le dissimuler complètement
    En plus, ils n’utilisaient probablement pas toutes les SIM en même temps et les faisaient peut-être tourner
  • En orientant des antennes directionnelles vers plusieurs stations de base, on peut compliquer le repérage de l’emplacement
    Mais en pratique, il se peut aussi qu’ils aient simplement arrosé le bon réseau de relations en interne
  • Si l’essentiel du trafic était entrant, l’opérateur y gagnait probablement de l’argent et n’avait donc aucune raison de l’empêcher
    En général, les opérateurs ne considèrent cela comme un problème que lorsqu’il y a beaucoup de trafic sortant
• L’expression « Euro Cop » ressemble à un titre de film avec Jean-Claude Van Damme
  • Sauf que Van Damme n’est pas policier
    Article lié
• Je suis en voyage d’affaires en Australie et l’enregistrement d’une SIM locale est incroyablement difficile
  Avec un passeport étranger, impossible de s’enregistrer chez les trois opérateurs, et le roaming coûte beaucoup trop cher
  Le service client de Telstra me dit d’appeler un numéro gratuit, mais je ne peux pas téléphoner
  Le site web envoie une vérification par SMS au nouveau numéro, mais ce numéro n’est pas encore activé
  J’ai fini par prendre rendez-vous pour un passage en agence, mais avec mon planning chamboulé, il est impossible de régler ça pendant ce séjour d’un mois
  En plus, il y a ici tellement de tentatives de piratage qu’il n’y a même pas de Wi‑Fi public
  • Je crois que vous avez manqué le fait que le groupe mentionné dans l’article se trouvait en Lettonie, pas en Asie
• Ces numéros de burner phone ne sont pas utilisés uniquement par les criminels ; les personnes soucieuses de leur vie privée s’en servent aussi pour créer des comptes
  De nos jours, trop de services exigent un numéro de téléphone
  • Mais ces entreprises ne se concentrent pas sur la protection de la vie privée ; elles visent surtout l’envoi massif de SMS ou la vente de numéros pour contourner les protections anti-bot
• Un jour, INTERPOL publiera peut-être une liste de faux comptes au lieu de photos de véhicules