Teknik - Le CI/CD pour piéger les développeurs
09 juillet 2026
Parce que... c'est l'épisode 0x330!
PME - Retour d'expérience de la seconde cohorte de l'UQTR FORCE
11 juin 2026
Parce que... c'est l'épisode 0x32F!
Actu - 16 août 2026
16 août 2026
Parce que... c'est l'épisode 0x32E!
Teknik - Breaking the Backbone of Global ISP Networks (Troopers)
20 juillet 2026
Parce que... c'est l'épisode 0x32D!
Teknik - Pas besoin d'être un Mythos pour faire de l'offensif (leHACK)
30 juillet 2026
Parce que... c'est l'épisode 0x32C!
H'umain - identroad ou l'application de le souveraineté numérique au Québec (Propolys)
11 juin 2026
Parce que... c'est l'épisode 0x32B!
Actu - 09 août 2026
09 août 2026
Parce que... c'est l'épisode 0x32A!
PME - Impact de l'intelligence artificielle sur la cybersécurité et la fraude
02 juin 2026
Parce que... c'est l'épisode 0x329!
H'umain - Crypto-surprise (leHACK)
24 juillet 2026
Parce que... c'est l'épisode 0x328!
Parce que… c’est l’épisode 0x328!
Shameless plug
- 6 au 9 août 2026 - Las Vegas, USA - - DEFCON 34
- 19 septembre 2026 - Montréal Canada - - Bsides Montréal 2026
- 22 septembre 2026 - Belgique - - BE-Cyber
- 24 au 25 septembre 2026 - Belgique - - BruCON
- 1er au 3 octobre 2026 - Krakow, Pologne - - AligatorCon
- 13 et 14 novembre 2026 - Worldwide - - DEATHCon
- 16 au 19 novembre - Rennes, France - Pôle d'Excellence Cyber (PEC) - European Cyber Week 2026
- 1 au 3 décembre 2026 - Ottawa, Canada - Forward Global - Forum inCYBER Canada
Description
Présentation des invités
Charlie Bromberg, ancien expert en cybersécurité offensive devenu entrepreneur (il développe Exegol, une boîte à outils pour pentesters et red teamers), et Florian Boudot, pentester chez Capgemini, reviennent sur leur conférence donnée au leHACK, intitulée « Crypto-surprise ». Le titre volontairement énigmatique cachait un exercice original : arnaquer en direct une partie du public pour mieux l’éveiller aux mécanismes de la fraude cyber.
Le principe du talk
Pendant les cinq premières minutes de leur conférence de vingt minutes, les deux animateurs ont simulé être à la tête d’un système d’arbitrage crypto extrêmement lucratif, invitant l’audience à scanner un QR code pour rejoindre un groupe d’investissement fermé à cent places. Sur environ neuf cents personnes présentes, près de cent cinquante ont scanné le code, soit plus de 15 % de l’assistance — un public pourtant composé de professionnels de la cybersécurité, réunis dans un événement dédié à ce sujet. Après le scan, Charlie et Florian ont révélé la supercherie, provoquant surprise et rires, avant d’enchaîner sur la véritable partie de la conférence.
Une mécanique construite sur des biais connus
Les deux intervenants expliquent avoir préparé cette introduction de façon quasi scientifique, en listant à l’avance une série de biais psychologiques et de techniques de manipulation à activer en un temps record : principe de rareté (places limitées), preuve sociale (via une fausse jauge de scans calquée sur de vraies courbes de sondages en direct), principe d’autorité, de réciprocité (promesse d’open-sourcer leur « système » et de faire un bilan un an plus tard), de cohérence, et surtout l’isolement — chaque personne scannait seule, sans avoir le temps d’en discuter avec ses voisins, ce qui renforçait son engagement individuel dans la décision.
Florian, de son côté, jouait le rôle de la caution technique, noyant le public sous un jargon crédible mais largement exagéré (nœuds custom, quarante téraoctets de logs, arbitrage sur Polymarket…) pour créer une surcharge cognitive empêchant toute analyse critique — une stratégie qu’ils comparent au « flood the zone » : aller si vite que la réflexion n’a pas le temps de s’installer.
Les deux auteurs notent aussi que le discours, très orienté « gain rapide » et technique, a davantage touché les hommes présents que leurs compagnes, restées globalement sceptiques — sans que cela signifie qu’elles sont moins vulnérables à ce type d’arnaque en général.
Le cas réel : l’histoire de « Marc »
La seconde partie, plus grave, retrace l’enquête menée par Charlie et Florian sur une véritable victime, surnommée Marc, escroquée sur plusieurs mois pour un montant final de plusieurs centaines de milliers d’euros. Tout commence sur les réseaux sociaux et un groupe WhatsApp d’investissement, avec une mise en scène très structurée : un « donneur d’ordre » basé aux États-Unis, inaccessible et jouant sur le principe d’autorité, épaulé par une assistante plus proche, qui mise elle sur la sympathie. Autour d’eux, des dizaines de faux comptes publient régulièrement de fausses preuves de gains, renforçant la crédibilité du système.
Marc, profil à l’aversion au risque plutôt faible et disposant de moyens financiers, est identifié comme une cible intéressante. Après quelques pertes mineures sur des placements classiques, on lui « rembourse » sur son compte des sommes qu’il n’avait jamais réellement perdues, renforçant sa confiance. Des retraits réussis de plusieurs dizaines de milliers d’euros achèvent de le convaincre que la plateforme est fiable.
Les échanges se déroulent volontairement la nuit, entre une heure et trois heures du matin, épuisant psychologiquement la victime et la maintenant en état de dépendance et de culpabilité dès qu’elle rate une opportunité ou essuie une perte. L’escalade est vertigineuse : d’un premier virement de cinquante mille euros, Marc finit par engager environ quatre cent mille euros dans le cadre d’un prétendu « 10x Challenge » censé multiplier son capital par dix en trois mois.
La fin de l’arnaque et la sortie de crise
L’arnaque se termine par une manœuvre habile : les fraudeurs invoquent une intervention fictive des autorités financières pour clore le groupe rapidement, minimisant ainsi le risque que la victime cherche à se venger ou porte plainte, d’autant que la manipulation de marché à laquelle elle avait « participé » était elle-même illégale. Quelques semaines plus tard, une nouvelle arnaque tente de recontacter Marc en se présentant comme un service capable de récupérer les fonds perdus.
C’est finalement en sortant de son isolement, en demandant un avis extérieur, que Marc a pu rompre l’engrenage et éviter de tomber dans ce second piège. Charlie et Florian insistent sur la difficulté, pour une victime, d’admettre s’être fait piéger et de demander de l’aide — un frein qui explique pourquoi tant de fraudes de ce type perdurent dans le silence.
Conclusion : un business à l’échelle industrielle
Les deux conférenciers terminent en comparant le chiffre d’affaires mondial de la fraude cyber, estimé à environ cinq cents milliards de dollars par an, à celui cumulé de groupes automobiles comme Stellantis, BMW et Mercedes, ou encore au trafic de drogue. Leur message central : ces arnaques ne ciblent pas des personnes naïves, mais reposent sur des mécanismes psychologiques universels, professionnalisés et industrialisés — souvent opérés depuis l’Asie du Sud-Est, notamment le Cambodge. Se croire immunisé parce qu’on travaille dans la cybersécurité serait, selon eux, la plus grande vulnérabilité.
Notes
Collaborateurs
Crédits
- Montage par Intrasecure inc
- Locaux virtuels par Riverside.fm
Tags: fraude, lehack, manipulation
Tweet
