Pour réaliser cette étude, les experts de Sophos X-Ops se sont intéressés à Exploit et XSS, deux forums cybercriminels russophones publiant des offres AaaS (Access as a Service) ainsi qu’à BreachForums, un forum cybercriminel anglophone et une place de marché spécialisée dans les fuites de données. Ces trois sites sont tous dotés de chambres d’arbitrage dédiées. Bien que ce dispositif de résolution de conflits sème occasionnellement la zizanie entre « plaignants » et accusés », certains des seconds ne se présentant pas à l’audience ou traitant les premiers d’extorqueurs, la pratique des escroqueries entre escrocs se révèle lucrative. Sur une période de 12 mois, Sophos a examiné quelque 600 cas ayant conduit des acteurs malveillants à perdre au total plus de 2,5 millions de dollars au profit d’autres, rien que sur ces trois forums, avec des plaintes portant sur des montants compris entre 2 et 160 000 $.

« En enquêtant sur les escroqueries entre cybercriminels, nous sommes tombés sur toute une sous-économie qui ne fait pas intervenir que des seconds couteaux, mais aussi certains des groupes de ransomwares les plus en vue. En outre, ces arnaques ne sont pas toujours motivées par des raisons financières : les griefs personnels et les rivalités sont monnaie courante. Nous avons également observé des cas où des escrocs arnaquaient en représailles des concurrents qui les avaient floués. Par exemple, nous avons vu un concours de trolls organisé pour se venger d’un arnaqueur qui tentait de faire payer 250 dollars à des utilisateurs pour s’inscrire à un faux forum clandestin. Le “gagnant” du concours a reçu 100 dollars », raconte Matt Wixey, chercheur senior en menaces chez Sophos.

Sophos a également découvert que les litiges et la procédure d’arbitrage laissent derrière eux une mine d’informations que les professionnels de la sécurité et les forces de l’ordre pourraient exploiter afin de mieux cerner et contrer les comportements des cybercriminels.

« Étant donné que les plaignants doivent souvent apporter quantité de preuves des escroqueries dont ils se disent victimes, ils fournissent de nombreuses informations tactiques et stratégiques concernant leurs opérations, autant de ressources demeurées inexploitées jusqu’à présent. Ces rapports d’arbitrage nous permettent en outre d’observer de l’intérieur les priorités des cyberattaques, leurs rivalités et leurs alliances et, paradoxalement, leur vulnérabilité aux mêmes méthodes qu’ils utilisent pour tromper leurs propres victimes », souligne Matt Wixey.