Les faux cadeaux de cartes-cadeaux sont un piège de sondages et d’abonnements, disent des chercheurs

Une carte-cadeau gratuite d’une boutique familière, annoncée à côté du nom d’une célébrité, est un appât bien connu. CTM360, une firme de risque numérique, dit avoir maintenant consigné plus de 1 000 incidents dans une campagne qui utilise cet appât à grande échelle. Les pages ressemblent à des portails de récompenses officiels. Elles ne livrent pas de carte.

Ce que les chercheurs ont trouvé

Dans son rapport « The Gift Card » (en anglais), CTM360 dit que la campagne usurpe des marques de confiance, dont PlayStation, Google Play, Sephora, SHEIN et Walmart, et envoie les gens vers de faux sites de récompenses. Là, on demande aux visiteurs de remplir des sondages, des étapes de vérification ou des offres d’abonnement. Au lieu d’une carte-cadeau, ils risquent de transmettre des renseignements personnels, d’installer des applications non désirées, ou d’être inscrits à des services mobiles payants.

Un texte du 7 novembre sur BleepingComputer (en anglais), publié avec CTM360, ajoute des détails de la même recherche :

• Les opérateurs s’appuient sur des publicités sociales commanditées, des publications virales de « cadeaux » et de fausses recommandations de célébrités ou d’influenceurs.
• Parce que le dispositif est modulaire, ils peuvent changer la marque usurpée, la célébrité et le nom de domaine sans reconstruire le reste de l’arnaque.
• Après qu’une personne a choisi une valeur de carte, le site joue une animation de progression et peut montrer un code en partie caché, pour que la récompense paraisse réelle et presque prête.
• Une étape de « vérification de sécurité » ou de « vérification humaine » lance ensuite une boucle de sondages, de questionnaires, d’installations d’applications ou d’extensions, et d’abonnements mobiles payants facturés par l’opérateur téléphonique.
• Terminer une tâche ne produit pas la carte. Elle produit une autre tâche.

BleepingComputer inscrit aussi Amazon parmi les marques usurpées et nomme des recommandations de personnalités utilisées comme appât. La constatation sous-jacente, dans la page du rapport comme dans ce texte, est que le modèle d’affaires de la campagne est constitué de commissions d’affiliation, et non de stocks de cartes-cadeaux volées.

Ce que ça signifie pour vous

Vous n’avez pas manqué un cadeau secret de PlayStation ou de Sephora. Les marques officielles ne distribuent pas de cartes par une publicité commanditée au hasard qui vous demande ensuite de prouver que vous êtes humain en installant une application ou en vous inscrivant à une offre mobile.

Le préjudice est souvent plus discret qu’un compte bancaire vidé. Un sondage peut recueillir assez de renseignements personnels pour une fraude ultérieure. Une application ou une extension de navigateur non désirée peut surveiller ce que vous tapez. Un abonnement mobile « gratuit » peut apparaître comme des frais récurrents sur une facture de téléphone. Rien de tout cela n’exige que les opérateurs vous envoient une vraie carte.

Cet appât est différent des fausses pages d’événements OpenAI et SpaceX dont nous avons écrit plus tôt cette semaine, qui tentaient de voler des identifiants de travail. L’idée commune est une page soignée qui emprunte un nom de confiance.

Ce que vous pouvez faire

1. Ignorez les publicités de cartes-cadeaux et les publications de cadeaux inattendues, surtout celles qui utilisent le visage d’une célébrité ou un logo bien connu et vous demandent de réclamer une récompense tout de suite.
2. Ne remplissez pas de « vérification humaine », de sondages ni d’installations d’applications sur une page que vous avez atteinte depuis une publicité ou une publication sociale au sujet d’une carte gratuite. Fermez l’onglet.
3. Vérifiez les abonnements facturés par téléphone auprès de votre opérateur mobile si vous avez déjà cliqué, et retirez toute application ou extension que vous avez installée pendant ce processus.
4. Si vous avez tapé des renseignements personnels dans un sondage, surveillez les arnaques de suivi qui réutilisent ces détails. Voyez comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage, et comment le repérer.
5. Achetez des cartes-cadeaux seulement sur le site du détaillant ou dans une boutique à laquelle vous faites déjà confiance, en tapant l’adresse vous-même.

Comment Frame peut aider

Il s’agit ici d’une campagne d’arnaque, pas d’une liste publiée de courriels de clients. Les vérifications ci-dessus sont la partie utile. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• De fausses pages d’événements OpenAI et SpaceX hameçonnent des comptes Microsoft et Google : un autre appât soigné qui emprunte des noms de confiance, cette fois pour voler des identifiants de travail.
• Comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage, et comment le repérer : pourquoi les détails que vous donnez dans un sondage peuvent rendre le message suivant plus convaincant.

Sources

• CTM360, The Gift Card (en anglais)
• BleepingComputer, CTM360 exposes fake gift card scams exploiting trusted brands (en anglais), 7 novembre 2026