Application de rencontre piégée : le monde merveilleux des bots sur Tinder

A votre avis, quel est le pourcentage d’hommes qui cliquent sur des messages d’application de rencontre provenant de femmes séduisantes ? Devinez : 1% ? 5% ? 15% ? Selon des recherches menées par Inbar Raz de PerimeterX, le pourcentage est de 70% ! Deux hommes sur trois cliquent en effet sur ces liens, ce qui le rend sans aucun doute le meilleur taux de conversion au monde. Devinez autre chose : qu’est-ce qui pourrait mal tourner ?

Inbar Raz a commencé ses recherches en concevant le parfait profil Tinder. Ce sujet est étonnamment bien étudié. Je parle de mathématiquement recherché. Il existe beaucoup de lignes directives à ce sujet, et même une interview avec le PDG de Tinder Sean Rid où il décrit quels types de photos peuvent obtenir le plus d’affinités. Voici une courte liste des types de photos qui fonctionnent le mieux :

• une photo prise par un photographe professionnel ;
• une photo avec un animal ;
• une photo de vous en train de faire du sport ou de pratiquer un loisir ;
• quelque chose d’officiel ou au travail ;
• quelque chose de stupide ou de créatif

Coup de foudre

Il y a environ un an, Raz a voyagé à Copenhague, au Danemark, pour y donner un discours lors d’une conférence de sécurité. Lorsqu’il est arrivé, il a mis en marche Tinder et en moins d’une heure avaient huit rencontres avec de belles femmes. L’une d’entre elles lui avait envoyé un message en danois, avec un lien à la fin. Beaucoup d’autres rencontres ont ensuite suivi, et de nombreux messages également. Les messages étaient presque identiques, avec seulement les quatre derniers caractères du lien différents entre eux.

Naturellement, Raz suspectait que ces belles femmes pouvaient être en fait des bots et commença à faire des recherches sur ses « rencontres » douteuses. Premièrement, il a remarqué que sur les 57 rencontres, la plupart d’entre elles disaient qu’elles étaient mannequins.

De plus, même si tous les bots excepté un exerçaient un métier dans l’enseignement au Danemark, la quasi-totalité d’entre eux avaient un emploi au Royaume-Uni, principalement à Londres.

Après cela, Raz a vérifié les informations de profils des rencontres. Il s’agissait de combinaisons d’identités volées. Il y avait des liens vers des comptes Facebook et Instagram qui ne correspondaient pas aux noms et photos des profils Tinder.

Apprendre à mieux connaître les bots

Quelques mois ont passé et Inbar Raz s’est rendu à une conférence sur la sécurité à Denver, dans le Colorado. Devinez quoi ? Il est tombé sur d’autre rencontres Tinder, la plupart encore fausses. Certaines des rencontres à Denver étaient plus avancées que les chatbots, elles n’avaient pas envoyé un lien suspect immédiatement et essayer de chatter premièrement. Raz leur avait posé des questions complexes afin de prouver à quel point ces chatbots étaient interactifs. Il s’est avéré (pas exactement) que les chats étaient passés pas un script codé en dur, qu’importe les questions et réponses que le chercheur fournissait. Et bien sûr , ils ont tous fini par recevoir une invitation à poursuivre la conversation sur Skype ou via un lien.

Cette fois, Raz a décidé de vérifier les liens que les bots lui avaient envoyés. Les liens menaient à des sites web qui redirigeaient à d’autres sites web qui eux-mêmes redirigeaient vers un autre site. Et la destination finale avait été intitulée « Ceci N’EST PAS un site de rencontre » et donnait l’avertissement suivant. « Vous verrez des photos dénudées. S’il vous plait soyez discret ». Peu importe ce que discret est censé vouloir dire dans de telles circonstances.

Quelques mois plus tard, Raz a assisté à une autre conférence, le Chaos Communication Congress à Hambourg, en Allemagne. Cette fois, une de ces affinités bot avait un lien sur son profil qui menait à un site web intitulé « Mieux que Tinder », présentant de grandes photos dénudées tout droit sur la page principale.

Poursuivre le marionnettiste

Un mois plus tard, Raz s’était rendu à sa prochaine conférence de sécurité, à Austin, au Texas. Il s’était connecté à Twitter où il avait trouvé davantage de partenaires compatibles. Après cette précédente investigation, Raz n’avait plus d’attentes et était certain qu’il s’agissait de bots. Alors qu’il était en train de chatter avec un autre bot, il savait qu’il ne parlait pas à une personne réelle. A la place, la conversation était passée par le script, et à la fin, Raz avait reçu une invitation afin de poursuivre le chat sur Skype avec juicyyy768.

Le nom du compte lui avait rappelé le bot qui l’avait invité sur Skype lorsqu’il était à Denver, le nom suivait la même formule : un mot avec les dernières lettres répétées plusieurs fois et trois numéros à la fin. Raz a créé un compte Skype disponible et a chaté avec le bot sur Skype. Suite à un autre dialogue scripté, le bot a demandé à Raz de créer un compte sur un site web de partage de photos. Il va sans dire que le site web demandait un numéro de carte de crédit. A l’heure qu’il l’est, vous avez probablement le présentiment où tout cela mène.

La prochaine étape était de traquer l’infrastructure de l’Empire des bots. Raz a vérifié l’adresse IP de l’un des sites Web sur lesquels il avait reçu un lien dans ses premiers chats avec les bots de Tinder. Une liste de noms de domaine louches était associée à l’IP. Les noms de sites web était associés au sexe, à Tinder, ou quelque chose du genre. Raz a commencé à vérifier les informations d’enregistrement pour ces domaines, mais la plupart des domaines avaient été enregistrés de façon anonyme.

Cependant, vérifier tous les 61 domaines a abouti à un peu plus d’informations. Certains d’entre eux étaient enregistrés par différents moyens, et plusieurs avaient même certaines informations d’inscription indiquant un nom, un numéro de téléphone, une adresse (à Marseille, France), et un e-mail. Tout ceci s’avérait être faux, cependant cela a permis à Raz d’obtenir quelques nouvelles pistes à suivre et des points à connecter.

En utilisant un site web appelé Scamadviser.com, qui vérifie la sécurité d’autres sites web pour faire ses achats en ligne, Raz a pu relier des campagnes de bots de différentes villes situées sur des continents différents à la même adresse e-mail, *****752@gmail.com, qu’il a obtenu depuis le domaine d’informations d’enregistrement. Le propriétaire de cette adresse utilise plusieurs faux noms, divers faux numéros de téléphone, et différentes adresses. Les éléments cohérents étaient les adresses à Marseille et la formule de mots-plus-trois chiffres pour les surnoms. Raz n’avait pas réussi à trouver la vraie identité du fraudeur.

Après cela, Raz est passé à une autre plateforme, OkCupid, afin de vérifier s’il y avait des bots là aussi. Et en effet il y en avait. Ils n’étaient pas aussi bien conçus que ceux de Tinder, et les sites web auxquels il menaient n’étaient pas très professionnels. Comme l’ont montré d’autres recherches, la personne derrière ce petit empire de bot n’était pas aussi bonne en sécurité opérationnelle que ne l’était *****752. Après avoir vérifié un bon nombre de sites web, Raz a d’abord découvert une adresse e-mail, et après ça le nom du fraudeur, et même par la suite son vrai compte Facebook avec une belle photo du fraudeur en possession de piles d’argent dans ses mains.

N’ayez pas peur de Tinder

Ok, donc il y a des bots sur Tinder. Et alors ? Eh bien, ces bots ne vous font pas perdre votre temps par hasard. Ils utilisent l’hameçonnage dans le but de s’emparer de votre carte de crédit, et comme nous l’avion mentionné au début de cet article, le taux de clics pour les liens qu’il envoie est incroyablement élevé. Ceci signifie que de nombreux hommes se rendent en réalité sur ces sites web, et certains même y saisissent leur données bancaires, en quête de leur belle partenaire. Pauvre d’eux.

Rien de cela ne veut dire que vous devez arrêter d’utiliser Tinder, ou OkCupid, ou n’importe quelle autre application de rencontre que vous aimez. Cela veut tout simplement dire que devez être préparé et prudent.

1. Ne cliquez pas sur n’importe quel lien qu’un étranger vous envoie. Il n’y a pas de raison légitime dans le monde pour que votre « âme sœur » vous envoie un lien. Ceci étant dit, vérifiez les détails de profil. Si votre rencontre vous envoie des liens vers des profils avec différents noms, quelque chose ne tourne pas rond.
2. Soyez vigilant et sur vos gardes. Il y a des bots un peu partout sur Internet. Du moins, pour le moment ils ne sont pas très sophistiqués, par conséquent il est relativement facile de distinguer une vraie personne d’un bot. Veillez simplement à ne pas perdre la tête lorsque vous faites une rencontre magnifique. Essayez de changer de sujet et voir si elle vous suit par exemple.
3. Ne draguez pas des bots. Et faites notre quiz sur l’hameçonnage pour en savoir plus sur les pièges des fraudeurs.