« Depuis 2020, notre équipe s’efforce de vous offrir les meilleures cartes bancaires du web, avec un service client de qualité et des dizaines de nouvelles bases tous les jours. » Telle était la promesse douteuse de PureCC, un site doublé de canaux de messagerie Telegram qui, comme son nom l’indique, était consacré à la revente de données bancaires.
Cette place de marché illégale vient d’être ciblée par une opération policière de grande ampleur, à la suite d’une enquête ouverte l’été dernier. Comme l’a précisé le parquet de Paris à Zdnet.fr, elle a ainsi mobilisé deux brigades de la police judiciaire de Paris, celle de lutte contre la cybercriminalité et celle de lutte contre la fraude aux moyens de paiement, soit entre une dizaine et une quinzaine de policiers.
Neuf arrestations
Les investigations se sont soldées à la fin mars par neuf interpellations, un coup de filet dévoilé par La Dépêche du Midi. De source proche du dossier, deux adolescents toulousains de 17 ans sont ainsi suspectés d’être les administrateurs de cette place de marché qui mettait en relation des vendeurs et des acheteurs d’informations bancaires volées. Deux autres mis en cause sont soupçonnés d’avoir été des contributeurs très actifs, c’est-à-dire des pourvoyeurs de données à mettre en vente.
Enfin, les cinq dernières personnes arrêtées sont elles suspectées d’avoir proposé ou acheté des données sur la plateforme. Un couple est par exemple suspecté d’avoir acheté pour 50 000 euros d’informations bancaires, ce qui lui aurait permis d’engranger 130 000 euros de gains illicites. Les données bancaires étaient vendues de 10 à 150 euros, avec des prix dégressifs suivant le volume d’achat.
Un million d’euros de chiffre d’affaires
La place de marché illégale se distinguait par l’attention portée à la qualification des données volées. Un message du marché noir sur un canal Telegram rappelait d’ailleurs l’intérêt des administrateurs pour les données bancaires, quelque soient leur provenance, sous réserve qu’elles soient complètes et « de bonne qualité ». Ce qui leur aurait permis de générer au moins un million d’euros de chiffre d’affaires, une estimation basse compte-tenu des investigations toujours en cours.
Il reste en effet encore de nombreuses zones d’ombres à éclaircir par l’information judiciaire, qui a repris ce dossier ouvert par le parquet cyber de Paris. Le montant du préjudice pour les victimes, les personnes dont les données bancaires ont été vendues, est ainsi pour l’instant inconnu. Il va falloir que les banques identifient des opérations frauduleuses qui auraient pu être menées sur les comptes des victimes.
Une donnée bancaire volée par un escroc peut par exemple servir à faire de petits détournements réguliers, en misant sur le fait que la victime ne remarquera par ces versements. Mais elle peut également être utilisée pour faire un achat important d’une seule volée, comme l’acquisition d’un téléphone coûteux.
Effet boulet de neige
La provenance des données bancaires volées reste également à établir, sachant qu’il est vraisemblable qu’elles ont été soit obtenues après un piratage informatique, soit soutirées par la ruse, avec des attaques par hameçonnage visant spécifiquement des internautes français, comme par exemple Crit’Air ou Ameli.
Autant investigations qui pourraient être facilitées par l’organisation de PureCC. La logique industrielle de ce marché noir risque en effet se retourner contre lui. Si les enquêteurs arrivent mettre la main sur l’historique des commandes et autres bons de livraison, cela pourrait leur permettre de retrouver en cascade de nombreuses petites mains de ce genre de trafic. Et de faire ainsi boule de neige à partir du démantèlement du marché noir.