De la tentation
à la sextorsion

Il y a plus d’une façon de mentir aux gens pour connaître du succès sur les réseaux sociaux. Je lis et combats les fausses nouvelles depuis trois ans, et j’en ai vu de toutes les couleurs. Toutefois, un profil Facebook au nom de Béatrice Boistard m’a vraiment laissé perplexe.

Béatrice était jolie, elle était mystérieuse et elle avait un auditoire de plusieurs centaines de milliers de personnes sur Facebook. Le hic, c’est qu’elle usurpait l’identité de personnes handicapées ou malades pour créer cet auditoire. J’ai voulu en savoir plus sur elle.

Ainsi débutait l’enquête la plus étrange de ma carrière, qui m’a plongé dans le monde kaléidoscopique des faux profils Facebook, où rien n’est vrai.

J’ai découvert le profil de Béatrice en février 2016. Elle partageait régulièrement des photos de personnes amputées ou chauves, en invitant les gens à écrire « amen » dans les commentaires. Pourquoi? Parce qu’on pouvait y lire « personne ne m’aime, parce que j’ai le cancer » ou « mon copain m’a laissée, parce que je n’ai plus de jambes ».

Ces publications accumulaient des milliers de partages, de commentaires et de « j’aime ». Sans surprise, le compte de Béatrice est parvenu à recueillir quelque 671 000 abonnés. C’est plus que les pages Facebook de médias canadiens majeurs, tels Radio-Canada Information, La Presse et le Journal de Montréal.

Ce profil volait des photos. Les personnes dans les images n’avaient pas toujours le cancer ou vivaient très bien avec leur handicap. Il m’a été facile de le prouver.

À l’époque, j’ai conclu qu’il s’agissait d’une campagne de production intensive de « j’aime » (like-farming), soit une stratégie où l’on crée une page Facebook, on dope ses statistiques en partageant du contenu viral pour accumuler des abonnés, puis on vend la page sur le marché noir ou on l’utilise pour faire de la publicité.

Curieux, j’ai décidé de surveiller la page de Béatrice pour voir ce qu'il allait en advenir. Il s’agissait d’une bonne histoire potentielle. Imaginez si ce profil devait se transformer subitement en page de boisson énergisante, par exemple.

Puis, un jour, Béatrice a cessé de partager des photos de personnes handicapées et s’est mise à partager des images de filles sexualisées. Des clichés de filles très jeunes.

Un réseau émerge

Toutes les photos comportaient un message de cette nature : « Elle cherche un copain. Écris un commentaire et elle t’enverra un message en privé. Ne sois pas timide, ajoute-la! » Béatrice identifiait quatre ou cinq « amies » dans chaque publication.

Tout aussi faux, les comptes de ses « amies » mettaient en vedette des photos de jolies filles volées sur d’autres réseaux sociaux. L’utilisateur de chacun de ces faux profils partageait à son tour des images sexy et identifiait d’autres « amies ».

En observant les liens entre ces profils, je me suis rapidement bâti une base de données contenant une quarantaine de comptes. Toujours la même formule : publier une photo sexy (volée), inviter les hommes à écrire un commentaire et identifier d’autres faux profils dans la publication.

J’avais affaire à un réseau complexe de faux profils, qui utilisaient les « j’aime » et les partages pour se promouvoir entre eux et ainsi aller chercher plus d’abonnés.

Sans surprise, les photos utilisées présentent des jeunes filles - parfois en apparence mineures - mais surtout sexualisées. Certaines disent avoir 15 ou 16 ans, comme vous pouvez le voir dans cet exemple.

Avec un logiciel d’analyse de réseau, j’ai pu créer une carte et organiser les faux profils selon les liens qui existent entre eux. Le logiciel considère les comptes les plus actifs comme des « noyaux » et les entoure des profils avec lesquels ils interagissent le plus souvent. Plus un cercle est gros, plus ce profil est utilisé pour identifier d’autres comptes ou plus il se fait identifier.

J’ai aussi utilisé un algorithme de détection de réseau. Celui-ci détermine quels profils interagissent le plus souvent entre eux. Il les classe donc en sous-réseaux (en jaune et bleu dans ce graphique). Cela peut vouloir dire qu’il s’agit de différents réseaux qui s'entraident en se faisant mutuellement de la publicité, ou que ces portions du réseau sont gérées par des personnes ou des groupes différents.

Comme vous pouvez le voir, tous les comptes sont interreliés, mais certains agissent à titre de pôles. Ce sont ces profils qui ont souvent le plus d’abonnés et qui font la promotion des autres.

En plus des publications qui font la promotion des autres faux profils, les personnes associées aux comptes du réseau se répondent même parfois dans les commentaires des publications, donnant l’impression qu’il s’agit de vraies personnes. Les administrateurs de ce réseau ne gèrent pas tous ces comptes pour s’amuser. Mais pourquoi se donner autant de mal?

Je me suis dit que c’était fort probablement une question d’argent. En effet, certaines publications envoyaient des liens menant vers des sites frauduleux, où on nous demandait d’entrer nos informations bancaires. Toutefois, j’ai émis l’hypothèse que ces profils servaient aussi à faire de la sextorsion. C’est ce que le reportage de Corde sensible a permis de prouver.

Bref, tout indique que ce vaste réseau sert à attirer les hommes et à les diriger vers différentes tentatives de fraude. En analysant la structure du réseau, j’ai pu comprendre que les faux profils y jouent différents rôles. Tous coopèrent à leur façon pour créer un immense piège, qui trie les victimes sur le volet, en vue de trouver les cibles les plus vulnérables.

Il serait assez improbable qu’une seule personne puisse gérer l’ensemble des faux profils du réseau. Il s’agit d’ailleurs fort probablement de plusieurs réseaux interreliés, qui se promeuvent mutuellement pour créer un terreau fertile à l’escroquerie.

Selon ce que j’ai pu déterminer, une partie du réseau provient du nord de la France et de la Belgique. Un autre semble émaner de l’Espagne. Toutefois, le plus gros d’entre eux vient du sud de la France, près de Marseille.

Voici comment il fonctionne.

Le fonctionnement

Les faux profils du réseau peuvent se décliner en trois catégories : les comptes sources, les comptes appâts et les comptes chasseurs.

Le mercredi 6 septembre 2017, vers 15 h (21 h, heure de France).

Poursuivant mes recherches sur Facebook, je tombe sur la preuve la plus accablante de mon enquête: une photo publiée sur Facebook, banale à priori, où pose un groupe d’amis. Mais grâce à cette image, ainsi qu'aux commentaires qu’elle a suscités, je parviens à confirmer l’identité d’un des administrateurs du réseau.

Comme dans un film, quelques secondes après avoir pris des captures d’écran incriminantes, tout disparaît. Une douzaine de faux profils parmi les plus populaires du réseau sont simultanément mis hors ligne.

C’est le black-out total, comme si l'on savait que je m’approchais de la vérité.

Appelons-le Mehdi. Depuis des mois, son nom revient dans mes notes. Il est modérateur d’un groupe Facebook de plus de 600 000 abonnés souvent utilisé par les faux profils pour faire de la publicité. Les comptes de ses comodérateurs sont tous faux. Tout pointe vers lui.

Puis, je trouve cette photo datant de septembre 2016, qui révèle une importante bévue de sa part.

Une amie de Mehdi a publié un cliché et y a identifié ses amis, dont lui. Je le reconnais dans la photo. Toutefois, en faisant glisser le curseur de la souris sur le visage de Mehdi, ce n’est pas son nom qui apparaît, mais bien celui d’Amandine Ponticaud, un faux profil du réseau.

Un homme a taquiné Mehdi dans les commentaires. Mehdi a répondu, mais avec le profil d’Amandine et non le sien.

S’en est suivie une enfilade d’insultes entre cet homme et Mehdi. Celui-ci a téléchargé une photo de la mère de l’homme sur Facebook et a menacé ce dernier de l’utiliser « pour [son] prochain lien porno ». Rappelez-vous que les utilisateurs des faux profils appâtent leurs victimes en partageant des liens menant vers de supposées vidéos pornographiques.

Las des insultes, l’homme a bloqué le profil d’Amandine. Puis, Mehdi est revenu à la charge… cette fois-ci, sous le nom de Léa Pierné, à qui est associé un autre faux profil du réseau. L’homme l’a bloqué encore une fois, et Mehdi a contre-attaqué avec un autre faux profil, celui d’Isabelle Bekaert.

Il est donc clair que Mehdi a eu, du moins en septembre 2016, accès à ces faux profils, qui sont des pierres angulaires du réseau. Il admet même créer des « liens pornos ».

En fait, dans une publication du 7 juillet 2017, ces mêmes trois faux profils ont été utilisés dans la section des commentaires pour donner l’illusion que des personnes avaient regardé une de ces supposées vidéos pornos.

La clique de Marseille

Là où ça devient intéressant, c’est quand on effectue une recherche Google en utilisant le nom de Mehdi comme élément de recherche. Voyez-vous, celui-ci roule sa bosse avec ses faux comptes depuis plusieurs années. Il est nommé dans plusieurs forums d’amateurs de jeux vidéo.

Depuis 2012, des utilisateurs veulent l’expulser de Facebook, notamment parce qu’il utilise de faux comptes avec des « photos de meufs volées ». On le traite de tous les noms. En juillet 2012, des internautes ont signalé les activités sur la page de Mehdi pour que Facebook la supprime.

Dans ces anciennes publications, on nomme aussi un certain Pablo, qui serait le comparse de Mehdi dans ces histoires de faux comptes. Vérification faite, Pablo est bel et bien ami Facebook avec certaines personnes-clés du réseau. Mehdi et Pablo semblent habiter dans le sud de la France, dans le coin de Marseille.

D’ailleurs, on peut trouver deux annonces - une publiée par Pablo, et l’autre, par Mehdi - sur le site de vente Webfrance en avril 2015. Dans les deux annonces, ils tentent de vendre une même page Facebook, maintenant inaccessible, qui avait à l’époque 280 000 abonnés. Une personne dans les commentaires affirme s’être fait arnaquer trois fois par Pablo, qui aurait tenté de lui vendre de faux comptes.

Dans une autre annonce, Pablo affirme vouloir « quitter les réseaux sociaux et [se] consacrer à la vie réelle ». Il a mis en vente trois pages Facebook avec 280 000, 129 000 et 70 000 abonnés. Dans son annonce, il utilise une adresse courriel au nom de Mehdi.

La main dans le sac

Voici où l’histoire prend un virage assez inespéré. En cherchant le nom de Pablo sur Facebook, je suis tombé sur une page assez étrange. Celle-ci est à son nom et sa photo figure comme image de profil.

Le 10 juillet 2013, 373 photos ont été simultanément publiées sur sa page, dans un même album public, accessible à tous. La majorité des images semble être des captures d’écran d’ordinateur et de téléphone mobile. On y voit l’essentiel du fonctionnement d’un réseau de faux comptes.

On y voit des images de jeunes filles et des photos un peu explicites, tout ce dont on aurait besoin pour, disons, créer un faux profil et arnaquer des hommes.

On y voit beaucoup de captures d’écran contenant des statistiques de pages Facebook de supposées jolies jeunes filles.

On y voit une conversation Facebook, où Mehdi demande à un ami de lui donner le rôle d’administrateur d’une page. « Je vais arnaquer de l’argent à un mec. Je viens de lui dire que j’étais le créateur », écrit Mehdi dans la conversation. Il se targue quelques minutes plus tard d’avoir réussi son coup.

On y voit un transfert de 500 euros par PayPal.

Puis, une série de quatre captures d’écran incriminantes, où une personne s'adonne à un acte de sextorsion.

C’est le coup classique de la sextorsion : faire croire à un homme qu’il jase avec une femme dans le but qu’il se dénude et qu’on prenne des captures d’écran intimidantes pour ensuite lui faire du chantage.

Dans l’image, on suit une conversation vidéo Skype. L’interlocuteur de la personne à qui appartient l’ordinateur est un homme. Il est nu et il se masturbe. Dans la fenêtre supposée montrer ce que l’utilisateur de l’ordinateur diffuse à son interlocuteur, on voit une femme, nue et se masturbant elle aussi.

Par contre, derrière la fenêtre Skype, on peut aussi voir le logiciel qui est utilisé pour faire jouer des vidéos pornographiques sur Skype, donnant l’illusion à l’interlocuteur qu’il converse en temps réel avec une femme. En arrière-plan, on découvre que l’utilisateur de l’ordinateur possède au moins deux vidéos de la même femme nue, qu’il peut faire jouer dans sa fenêtre Skype.

Je ne peux pas déterminer la provenance de ces captures d’écran. Il serait assez improbable qu’une personne ait réussi à trafiquer 373 fausses captures d’écran dans le but de mettre Pablo dans l’embarras. Les images ont-elles été piratées? Ont-elles été téléversées par erreur sur la page par quelqu’un associé au réseau? Il est impossible de le savoir.

Reste que c’est une curieuse coïncidence que des captures d’écran montrant le fonctionnement d’un réseau de sextorsion ont été publiées sur une page au nom de Pablo, alors qu’il semble être au centre d’un réseau qui fait exactement la même chose.

Pablo et Mehdi ont tous deux refusé de répondre à nos questions. Par contre, ma collègue Marie-Eve a parlé à deux (vraies) jeunes femmes qui ont fait partie du réseau et partagé des publications à partir de faux profils. Elles ont toutes deux confirmé que le but du réseau est de faire de l’argent. Une d’entre elles a même affirmé avoir empoché 10 000 euros en un mois pour avoir « partagé des liens ». Elle a aussi attesté que le réseau était basé en France, en Espagne et en Italie. Malheureusement, les deux faussaires de comptes Facebook ont subitement cessé de parler à Marie-Eve après avoir accepté de lui accorder une entrevue.

C’est à ce moment que les faux profils ont commencé à disparaître. Ce n’est sûrement pas une autre coïncidence que ceux auxquels Mehdi avait accès en 2016 étaient du lot.

Il est clair que Pablo et Mehdi ne sont pas les seuls à gérer ce réseau. Il s’agit fort probablement de plusieurs réseaux interreliés, qui s’entraident dans le but de faire gonfler l'auditoire. Un autre tentacule de cette nébuleuse, basé en Belgique et au nord de la France, utilise plutôt ses faux profils Facebook pour attirer les victimes vers des comptes Snapchat. Ceux-ci servent à faire de la cyberprostitution (un sujet que nous n'avons pas développé, mais qui fera peut-être l'objet d'un futur reportage).

En ce qui concerne la portion du réseau gérée par Pablo et Mehdi, sa disparition (qui n’est sûrement que temporaire) m’a permis de mieux comprendre son étendue. Les comptes ont été désactivés et non pas carrément supprimés. En outre, des comptes Snapchat associés aux faux profils gérés par eux ont continué à être utilisés pour publier de faux liens pornographiques en recourant à la même tactique que sur Facebook.

Après avoir analysé le code HTML d’un de ces liens pornos, j’ai pu déterminer que le réseau fait affaire avec une entreprise de marketing de style « coût par action » (CPA). En insérant un bout de code sur une page web, le réseau envoie automatiquement ses victimes vers un site de rencontre frauduleux, qui les invite à s’inscrire et à entrer leurs informations personnelles, dont leur numéro de carte de crédit.

Selon ce que j’ai pu voir sur le site de l’entreprise, le réseau peut gagner jusqu’à 28 euros pour chaque personne qui s’inscrit au site de rencontre après avoir cliqué sur un des liens. Lorsqu’on sait que ces liens génèrent des milliers de « j’aime » et de commentaires sur Facebook, et que la taille de leur auditoire peut atteindre des dizaines, voire des centaines de milliers d’hommes, la cagnotte peut être intéressante. À en croire ses comptes Instagram et Snapchat, Mehdi voyage beaucoup ces jours-ci.

Mehdi et Pablo sont-ils responsables de tout ce qui se passe au sein du réseau, de A à Z? Impossible de le dire. Il serait possible que le réseau « loue » ses abonnés à des arnaqueurs en échange d’un pourcentage des revenus de ces derniers. Ou peut-être les arnaqueurs ont-ils compris que les publications du réseau sont parfaites pour trouver des victimes. Il reste que le processus est en place, et il semble très bien fonctionner.

Et Béatrice, dans tout ça?

Malheureusement, je ne sais toujours pas qui se cache derrière ce compte.

Mais Béatrice a cessé de publier des photos de filles sexy et recommencé à partager des images de personnes malades ou handicapées. Bref, la vie (et la fraude?) continue.