Thread by @l_ogrre

[Thread arnaque] @SandozProd il est pour toi celui-là Tout à commencé sur un live de @CabriDIY avec un vendeur Leboncoin qui ne lui répond pas à une offre qu'il a faite sur un SteamDeck à un prix incoyable : 200€ seulement ! ( je masquerai l'identité du "professionnel" bien sur)

Cabri demande si quelqu'un peut envoyer un message, chose que je fait. Etonnement je reçois une réponse assez rapidement, mais pas à toutes les questions que j'ai posée (n.b le numéro de téléphone)

Du coup, pour confirmer, je demande d'autres photos :

On vois rapidement un problème : Pas d'écran anti-reflets alors que l'annonce l'indique clairement.

Bon là je commence à fouiner du coté du nom de professionnel que j'ai et le SIRET indiqué sur LBC. Je tombe rapidement, avec , sur l'identité du gérant. Et je vois vite que quelque chose ne va pas. societe.com

En cherchant ce que je trouve avec le nom du gérant je trouve :
- Son Linkedin (donc photo de profil, école, etc...)
- Un Facebook
- des comptes sur divers RS

Et le plus intéressant :
J'arrive sur ne section 'nos collaborateurs" d'une entreprise agricole

Evidemment, j'y trouve les coordonnées de quelqu'un qui porte le même nom+prénom que ma target. Ni une ni deux, je l'appelle en masqué pour faire un premier contact.

Le courant passe bien donc j'attaque en demandant si à tout hasard la SAS ****** lui appartient. Il me répond par le positif. Je pousse pas plus loin, je raccroche rapidement et je continue d'investiguer. Bien sûr je tiens le GOAT @CabriDIY au courant.

Je vais pour reprendre la discussion avec mon contact et je vois qu'il m'a envoyé une "capture d'écran" qui me confirme tout de suite qu'il s'agit d'une arnaque ! Petit clin d'oeil au "nouveau système Leboncoin" bien louche.

Bizarrement, je n'ai aucune offre sur mon compte leboncoin. Je me demande où va donc mener cette arnaque. Je cherche, je cherche, je cherche et je trouve la réponse.....Dans mes mails :

Alors là, chapeau ! C'était "presque" parfait ! Pourquoi presque ? Le nom d'objet du mail, et l'adresse mail :

‼️ J'en profite pour rappeler qu'il faut toujours vérifier les adresses mail d'envoi pour s'assurer de la véracité des infos que vous recevez ‼️

Je prend la décision de commencer par signaler l'annonce, chose qui est rapidement traité par Leboncoin et qui bloque le compte du vendeur. Ensuite commence la VRAIE enquête.

J'exporte le mail en EML puis je le converti en HTML. Je fouine au niveau du bouton "confirmer et poursuivre" pour trouver vers quelle adresse ça renvoi. Naturellement il s'agit d'une URL réduite, avec un service Turque (qui semble tout à fait LEGIT)

Bon, là j'ouvre le lien sur une VM toujours. Et stupeur :

La page est très très bien faites. On retrouve vraiment les codes LBC, la même typo, le même design que la page d'achat LB habituelle. Pour comparer (gauche scam et droite legit)⬇️

Bon, on avance et on remplis les infos demandées, on clique sur "payer":

Depuis le début je vous cache l'url du site :

Je remplis avec des infos complétement incorrecte pour tester le formulaire , je constate qu'on ne peux mettre que des chiffres (ok il ont fait attention) :

Moment de vérité ! Je clique sur "Payer" et......il ne se passe rien. Littéralement rien. Le néant.
Enfait, tout se passe en off. Les données du formulaire sont envoyé sur un serveur et vous venez de vous faire voler vos coordonnées bancaires !

Je fais une petite pause dans mon enquête numérique et je décide de passer au social engineering. J'appelle le numéro de téléphone que j'ai récupéré au début, et je commence à discuter avec le contact et le pousse à me parler de la SARL ****** dont il est le gérant.

Je constate que les infos qu'il me donne sont en concordance avec celles que j'ai eu. Je me risque donc à cette question :" Du coup la SARL **** sur LeBonCoin c'est bien vous ?" Ce à qui il me répond : "Alors je n'ai pas de compte Leboncoin professionnel".

Là je comprend rapidement qu'il n'est pas du tout au courant de ce qu'il se passe, et je prend la décision de lui expliquer ce que je suis entrain de faire. Après quelques minutes il comprend et il tombe sur le c*l (littéralement).

Je lui envoi toutes les informations que j'ai, il va faire un recourt à Leboncoin, probablement porter plainte (évidemment je me met à sa disposition pour témoigner). Il s'agit donc d'une USURPATION D'IDENTITE MORALE.

Je vais terminer mon enquête et je vous tiens au courant de comment ça avance. Voilà les prochaines étapes :
- Tenter de trouver le propriétaire du nom de domaine
- analyser les requêtes qui partent du formulaire
- Faire tomber ce scam
#OSINT

Alors j'avance tranquillement, et j'ai un petit fun fact à partager. En bas à droite de la page de paiement, on trouve un bouton de Chat. 100% fonctionnel. Je déconne pas on peux discuter directement avec le scammeur. Choqué. @SandozProd c'est une belle porte d'entrée non ?

AH et au passage, il vient de dégager mon IP 😂😂

UPDATE : Son compte Leboncoin a sauté, l’annonce n’est plus en ligne et le site n’existe plus. Il a sûrement simplement déménagé et va continuer ses arnaques ailleurs, mais je continuerai de le traquer 👍

Comme je vois que y’a un petit peux de visibilité je me permet de me faire une petite pub : Je viens de lancer mon activité @MesServicesTech, réparation de console, dépannage, conception de site web.
Encore merci pour le soutient les BG 👍

@MesServicesTech Poke @leboncoin et @leboncointech qui ne sécurise pas plus la plateforme pour créer un compte pro : Il suffit de renseigner un SIRET, un numéro de téléphone et une adresse mail pour créer un compte « pro ». Une petite vérification avec KBIS + CNI ne serait pas de trop 😔