Le « March Madness » est le tournoi annuel de basket-ball masculin et féminin de la Division I de la NCAA, au cours duquel 68 équipes s'affrontent dans un tableau à élimination directe pour remporter le titre de champion national des États-Unis.
Mais le « March Madness » ne se résume pas à des paniers décisifs au buzzer et à des pronostics ratés. Il marque également le coup d'envoi d'une saison courte mais intense pour les escrocs, qui savent que les fans sont distraits, émus et souvent pressés. Dans cet article, nous allons passer en revue les principaux types d'arnaques qui apparaissent autour du tournoi de basket-ball masculin de la NCAA, afin que vous puissiez les repérer et les déjouer avant qu'ils ne marquent un panier.
Les grands événements sportifs réunissent trois éléments que les escrocs adorent : l'argent, l'émotion et l'urgence. Les supporters sont à la recherche de billets de dernière minute, de paris « à ne pas manquer » et de moyens de suivre tous les matchs. Ils sont pressés, et baissent donc leur garde.
Du point de vue d'un pirate informatique, la « March Madness » est d'une prévisibilité redoutable. Chaque année en mars, des millions de personnes recherchent les mêmes termes sur Google, cliquent sur le même type d'annonces et mordent à la même appât sur les réseaux sociaux. Une fois que vous aurez repéré ces schémas, vous commencerez à les reconnaître également lors d'autres événements majeurs.
Les sites de vente de faux billets et la fraude à la revente
Les arnaques aux billets sont monnaie courante lors des grands concerts, des séries éliminatoires ou des tournois, et le « March Madness » ne fait pas exception.
Le principe est simple : les escrocs créent des sites et des annonces qui ressemblent à ceux de revendeurs de billets légitimes, puis ils s'enfuient avec votre argent.
À surveiller :
- Les captures d'écran ou les fichiers PDF des codes-barres ne fonctionnent pas lorsque les billets d'entrée sont dynamiques ou liés à une application, mais les escrocs continuent de les vendre. Les victimes ne s'en rendent compte qu'à l'entrée, lorsque leurs billets sont refusés.
- Des offres de dernière minute qui semblent trop belles pour être vraies. Des places de choix proposées à des prix bien inférieurs à ceux pratiqués au guichet, souvent accompagnées de messages visant à créer un sentiment d'urgence : « Vous devez payer dans les 10 prochaines minutes », « Trois autres acheteurs attendent » ou « Je vais perdre mon acompte si vous ne vous décidez pas tout de suite ».
- Les vendeurs orientent les victimes vers des canaux privés (SMS, WhatsApp, messages privés) et insistent pour qu'elles utilisent des moyens de paiement irréversibles, tels que les virements bancaires, les applications P2P, les cartes-cadeaux ou les cryptomonnaies.
Les sites de paris frauduleux, les pronostics « infaillibles » et les pièges des bonus
Les paris sportifs légaux se sont généralisés aux États-Unis, et le « March Madness » est l'un de leurs événements phares. Le nombre considérable de parieurs occasionnels est une aubaine pour les escrocs. Leurs tactiques peuvent être classées en deux grandes catégories :
- Plateformes de parisclonées. Les pirates créent des sites et des applications qui imitent les véritables sites de paris sportifs, avec des logos, des cotes et des pages de connexion copiés. Les utilisateurs déposent de l'argent, placent des paris et voient parfois même leurs « gains » s'accumuler sur l'interface… jusqu'à ce qu'ils essaient de retirer leurs fonds et se retrouvent confrontés à des frais, à des dépôts supplémentaires, à des suspensions de compte sans préavis, ou assistent tout simplement à la disparition pure et simple de leur argent.
- Les paris « garantis ». Les réseaux sociaux regorgent d’experts autoproclamés qui vendent l’accès à des groupes de paris VIP ou des pronostics « garantis » sur les matchs de tournois. Les victimes paient pour obtenir ces pronostics ou sont redirigées vers des sites offshore douteux qui, comme par hasard, perdent leur argent ou exigent des dépôts supplémentaires pour « débloquer » les retraits.
Arnaques liées au streaming
Tout le monde ne dispose pas d'un abonnement au câble ou d'un forfait de streaming officiel, et les escrocs savent que de nombreux fans rechercheront des alternatives gratuites ou bon marché. Cela crée un terrain propice aux offres de streaming frauduleuses. Voici quelques schémas courants à surveiller :
- De faux sites promettant de diffuser tous les matchs en direct. Ces sites proposent des diffusions gratuites en HD de tous les matchs du tournoi, mais vous obligent à créer un compte et à saisir les détails de votre carte bancaire « pour vérifier votre âge » ou dans le cadre d’un « essai gratuit ». Une fois ces informations fournies, des frais sont prélevés ou les données de votre carte sont revendues.
- Lecteurs et extensions malveillants. Certains sites vous invitent à télécharger un lecteur, un codec ou une extension de navigateur spécifique avant de pouvoir visionner la vidéo. Au lieu de la vidéo, vous recevez des logiciels publicitaires, des pirates de navigateur ou une porte d'entrée pour des logiciels malveillants plus dangereux.
- Les URL raccourcies et les liens vers des « diffusions officielles » republiés se propagent rapidement au moment de l'annonce, redirigeant souvent les utilisateurs vers plusieurs réseaux publicitaires et de suivi avant de les mener vers des pages de phishing ou d'escroquerie.
- La « like-farming » et autres pièges à clics sur les réseaux sociaux qui promettent des diffusions gratuites dans le seul but de renforcer la réputation du compte en vue d'une nouvelle vague d'escroqueries.
Les paris sur les résultats sportifs, les paris entre collègues et les arnaques aux lots
Les paris font partie intégrante de la culture : entre amis, en famille ou au travail, on organise des paris où chacun tente de prédire les résultats du tournoi. Les escrocs profitent de cette habitude pour lancer des campagnes de phishing et de faux tirages au sort. Ces pratiques se manifestent généralement de plusieurs façons :
- Arnaque officielle au « tournoi de pronostics ». Des e-mails ou des messages vous invitent à participer à un tournoi de pronostics organisé par une grande marque ou un média, avec des logos et un texte qui semble crédible. Le lien mène en réalité à une page destinée à récupérer vos identifiants, qui se fait passer pour votre messagerie, votre système d'authentification unique (SSO) professionnel ou un site sportif réputé.
- Fausses notifications du type « Vous avez gagné au pari ». Ces messages prétendent que vous avez remporté un prix dans un pari auquel vous n’avez jamais participé et vous invitent à cliquer sur un lien ou à fournir des informations personnelles et bancaires pour recevoir votre gain.
- Toutes les données qu'ils peuvent obtenir pour vous inciter à vous inscrire. Certains sites de pronostics ou de concours demandent bien plus d'informations que nécessaire. Ils veulent votre adresse complète, votre date de naissance, voire vos numéros d'identification, le tout sous prétexte de vérifier votre âge ou de déclarer vos revenus. Une fois que vous leur aurez fourni ces informations, les hameçonneurs les exploiteront à des fins lucratives.
Comment rester en sécurité
Pour vous prémunir contre les arnaques liées au « March Madness », il ne s'agit pas de ne jamais parier ni d'acheter de billets. Vous devez toutefois considérer l'ensemble du tournoi comme une période à haut risque et redoubler de vigilance par rapport à vos habitudes habituelles.
Même si les techniques utilisées peuvent varier, les thèmes de l'ingénierie sociale restent les mêmes :
- L'urgence. Le temps est compté, pour une raison ou une autre. Le but est de vous empêcher de réfléchir.
- La rareté. Places limitées, cotes boostées en nombre restreint, places limitées pour les concours. Tout cela est conçu pour susciter le syndrome FOMO.
- Trop beau pour être vrai. On joue sur l'espoir et l'enthousiasme.
- Autorité et familiarité. Les escrocs utilisent des logos d'équipes, des marques de chaînes de télévision ou un langage qui imite les annonces internes de votre employeur pour paraître légitimes.
Les défenses sont également très similaires :
- Réfléchissez avant de cliquer, d'agir ou d'acheter. Si quelque chose vous semble suspect, vérifiez-le avec Scam Guard.
- Saisissez les URL officielles directement dans le navigateur ou utilisez des applications fiables plutôt que de cliquer sur des liens contenus dans des e-mails, des messages privés ou des publications sur les réseaux sociaux.
- Utilisez des moyens de paiement sécurisés. Effectuez vos paiements par carte de crédit ou par d'autres moyens qui prennent en charge les rétrofacturations et le règlement des litiges.
- Considérez tous les messages non sollicités et inattendus comme suspects.
- Signalez les incidents. Si vous pensez avoir été victime d'une arnaque, signalez-le à votre banque, à laFTCet viale Scam Tracker du BBB.
Nous ne nous contentons pas de signaler les escroqueries, nous contribuons à les détecter.
Les risques liés à la cybersécurité ne devraient jamais dépasser le stade des gros titres. Si quelque chose vous semble louche, vérifiez s'il s'agit d'une arnaque à l'aide de Malwarebytes Guard. Envoyez une capture d'écran, collez le contenu suspect ou partagez un lien, un texte ou un numéro de téléphone, et nous vous dirons s'il s'agit d'une arnaque ou d'un site légitime. Disponible avec Malwarebytes Premium pour tous vos appareils, et dans Malwarebytes pour iOS Android.
