Chez les escrocs aussi, on recrute. Et parfois avec une rigueur toute relative. Au mois d’août, un utilisateur de Telegram a publié dans un canal consacré à la fraude une offre d’emploi pour des « appelants », hommes ou femmes, chargés de téléphoner à des victimes en se faisant passer pour l’équipe de sécurité des comptes Google. Les candidats devaient viser des cibles aux États-Unis et au Canada.
L’annonce insistait en gras sur un point : interdiction de lire un script. Problème, le message reproduisait juste en dessous le texte exact que les recrues devaient débiter au téléphone, depuis la formule de politesse jusqu’à la mention d’un appel « sur une ligne enregistrée », censée rassurer la personne au bout du fil.
Tourner les criminels en dérision
L’épisode a été repéré par les analystes de Trellix, une entreprise de cybersécurité, qui l’ont intégré à leur série Dark Web Roast. Le principe : collecter les bévues des cybercriminels et les moquer publiquement, à coups de mèmes. Une démarche assumée par John Fokker, responsable de la stratégie de renseignement sur les menaces chez Trellix, qui refuse de contribuer à glorifier des pirates souvent présentés comme des génies. Selon lui, ce ne sont que des individus qui cherchent à voler des données pour gagner de l’argent, et ils n’ont « pas de superpouvoirs ». Les chercheurs rappellent toutefois que ces maladresses cachent de vraies escroqueries, aux dégâts bien réels.
Un business en pleine expansion
Car l’hameçonnage vocal, ou vishing, a le vent en poupe. D’après Google, c’était l’an dernier la deuxième méthode la plus utilisée par les cybercriminels pour pénétrer un système informatique, et la première pour s’introduire dans les environnements cloud. La société ReliaQuest estime de son côté que les offres d’emploi publiées sur les marchés clandestins et mentionnant des compétences en manipulation psychologique en anglais ont plus que doublé entre 2024 et 2025.
Aux États-Unis, le centre de signalement des plaintes du FBI a enregistré pour 2025 son pire bilan : 20,87 milliards de dollars de pertes déclarées liées aux arnaques en ligne.
La leçon vaut aussi de ce côté de l’Atlantique : un appel prétendument envoyé par le service de sécurité d’un grand groupe technologique, même poli et bien rodé, doit éveiller la méfiance. Le réflexe le plus sûr reste de raccrocher, puis de vérifier l’état de son compte en passant soi-même par l’application ou le site officiel, sans jamais communiquer de code reçu par SMS.
À lire aussi : Des publicités Google piégées bloquent l’écran pour pousser vers un faux support technique · Arnaques en ligne : Truecaller lance un vérificateur gratuit, sans application ni compte
