Botnet, VPN et faux chèques

Vous vous rappelez sans doute de l’histoire de notre ami Jo, l’escroc qui se faisait passer pour une fille pour mieux escroquer ses victimes en leur faisant encaisser des faux chèques. C’était il y a quelques mois, et désormais les petites combines de Jo sont devenues d’amusantes petites farces par rapport à  l’arnaque que je vais vous décrire.

Aujourd’hui, les syndicats du cybercrime sont capables de prouesses technologiques dans le but de voler toujours plus d’argent, et la beauté de la chose, c’est que pratiquement toute l’escroquerie est automatisée !

Voici concrètement les principales caractéristiques de cette arnaque:

– L’utilisation inédite de VPN sur des opérations liées au botnet Zeus.
– Un système entièrement automatisé capable de piloter un nombre impressionnant de services en ligne, tels que l’archivage de chèques bancaires, la vérification de ces chèques, les sites d’offres d’emploi et certains Webmails.
– Le recrutement automatique de mules pour l’encaissement des chèques et le virement bancaire.
– Le détournement de certains systèmes anti-fraude pour faciliter l’arnaque.
– Fraude à  la carte de crédit pour utiliser des services de livraison postale.

Utiliser un tunnel VPN pour dissimuler les opérations.

Le VPN (Virtual Private Network) permet de faire passer des données d’un réseau privé au travers l’Internet. Pour un maximum de sécurité, les données sont cryptées. Concrètement, vous êtes en déplacement et vous avez besoin d’accéder aux ressources privées de votre entreprise (Fichiers, intranet, imprimantes, etc.) Le VPN « creuse » un tunnel privé et sécurisé jusqu’à  un serveur qui vous authentifie et redistribue ces données vers votre poste: vous faites désormais partie intégrante du réseau privé de votre entreprise, même si physiquement vous êtes à  des milliers de kilomètres de votre lieu de travail.

L’arnaque utilise ce dispositif pour piloter les machines Zombie, préalablement intégrées au botnet Zeus. Windows dispose en standard d’un client VPN s’appuyant sur le protocole PPTP. Le Zombie se connecte au moyen de cette technologie à  un serveur C&C (Command and Control) qui peut lui envoyer ses ordres en toute discrétion. Le système va alors s’installer sur un port TCP aléatoire et se transformer en proxy Socks.

La technique est beaucoup plus évoluée par rapport à  ce qui se fait habituellement, notamment sur le Botnet Storm et son système de pilotage à  base de P2P. Ici le flux de commandes est encrypté et encapsulé dans un protocole très courant et largement répandu, ce qui rend sa détection quasi impossible: une signature VPN est généralement anodine et ignorée par un IPS/IDS ou même un anti-spyware. Mais la grande force de la méthode est qu’elle permet de contourner n’importe quel firewall et aussi de résoudre la problématique du NAT (translation d’adresses IP) qui masque la machine sur Internet.

Des Zombies qui travaillent à  différentes taches.

A partir du moment où un groupe de cyber-criminels prend le contrôle de plusieurs milliers de machines, il lui est facile d’organiser des opérations à  un niveau industriel. Les Zombies sont capables d’effectuer automatiquement les tâches suivantes:

– Scraper des sites d’emploi pour y récupérer des adresses email.
– Lancer des campagnes de spams via Webmail (Yahoo, Gmail, etc.) afin de recruter de nouvelles mules.
– Créer automatiquement de nouveaux comptes Webmail pour générer du spam, la création se faisant à  l’aide d’un service de décodage de Captcha.
– Utilisation des raccourcisseurs d’URL afin de camoufler les liens dans les spams.
– Piratage des images de chèques numérisés sur des sites de e-commerce.
– Achat automatique grâce à  des cartes de crédit volées, d’enveloppes pré-timbrées et pré-remplies pour l’expédition par voie postale des faux chèques.

Toutes ces opérations jouent un rôle crucial dans le but ultime des escrocs: sortir de l’argent de certains comptes bancaires via de faux chèques et virer l’argent ainsi obtenue dans un autre pays.

Le mécanisme de l’arnaque.

Si l’on décortique un peu plus en détail les activités des machines Zombies, on comprend mieux comment le groupe contrefait les chèques. Un processus automatique scrape les images des chèques sur certains sites de e-commerce qui archivent leurs chèques. Ironiquement, l’un de ces sites s’avère être un site spécialisé dans la lutte contre la fraude aux chèques.

Finalement, le groupe était capable de s’introduire dans d’autres systèmes sous-traitants la gestion des chèques en provenance d’autres sites commerciaux. Le système était capable d’aller chercher un très grand nombre de ces chèques numérisés; il avait alors les précieuses informations nécessaires à  l’élaboration des faux chèques: le numéro du chèque, le numéro de compte, le nom et l’adresse de la société ainsi que l’image de la signature des personnes autorisées à  signer les chèques: comptables, particuliers, etc.

Le groupe semblait utiliser un véritable programme d’édition de chèques que l’on peut acheter chez un revendeur spécialisé.

Mules ou pigeons voyageurs ?

Les mules constituent l’un des piliers de l’arnaque; il est donc nécessaire d’en recruter toujours plus. C’est grâce aux sites d’emploi que les escrocs peuvent trouver des mules. Vraisemblablement grâce à  des accès volés, ils accèdent aux adresses email de demandeurs d’emploi qu’ils n’ont plus qu’à  insérer dans leur base de données de spam. Ces mules sont ensuite contactées par un email pour leur proposer une offre alléchante: travailler pour une grande société financière à  la recherche de « talents » pouvant effectuer quelques opérations simples comme l’encaissement d’un chèque et un virement bancaire.

Voici un exemple de proposition:

A: [le nom du demandeur d’emploi]
De: Service des ressources humaines
Sujet: Proposition pour [le nom du demandeur d’emploi]

Cher [le nom du demandeur d’emploi]

Notre société – « La SA Méga Fiduciaire Internationale«  gère des prestations bancaires depuis plus de 10 ans. Pour faire face à  notre croissance exceptionnelle, nous sommes à  la recherche de personnes pouvant transférer de l’argent depuis les à‰tats-Unis vers l’étranger.

Le travail consiste en les opérations suivantes:
– Récupérer un chèque via un point de dépôt postal.
– Encaisser le chèque.
– Effectuer un virement bancaire vers des comptes que nous vous indiquerons.

Pour ce travail, il vous est demandé:
– Une adresse active.
– 1 à  2 heures de disponibilité par jour.
– Un compte bancaire suffisamment approvisionné.

Rémunération:

De $100 à  $500 par jour avec une garantie minimale de $3000 en à  peine quelques heures. Notre société prend en charge tous les frais.

Si cela vous intéresse, merci de bien vouloir vous inscrire sur notre site Web et d’y renseigner vos coordonnées.

Sincères salutations.
Le Directeur des Ressources Humaines
SA Méga Fiduciaire Internationale.

Le groupe a utilisé bon nombre de noms de société proches de sociétés financières complètement légitimes, afin de gagner la confiance des mules. Si le demandeur d’emploi répondait à  l’annonce, voici le genre de mail qu’il recevait:

Sujet: Première opération pour [le nom de la mule]. Veuillez suivre attentivement les instructions ci-jointes.
De: Paiement réussi
A: [le nom de la mule]

Cher [le nom de la mule]
Attention: veuillez répondre à  ce message au maximum 12 heures après sa réception.

Notre client vous a envoyé un chèque de $2740. Vous recevrez ce chèque par voie postale entre le 10 et le 12 juillet.

Vous pouvez voir en temps réel l’état d’avancement de l’expédition grâce à  son numéro de suivi: X3535XX

Une fois reçu, vous pouvez encaisser le chèque:
1) Auprès de la banque qui a émit le chèque.
2) Auprès d’un centre d’encaissement.
3) En déposant directement le chèque sur votre compte bancaire.

Plus vite vous enverrez l’argent par virement, et plus importante sera votre commission. Si vous envoyez l’argent dans les 24 heures, votre commission représentera 15% du montant du chèque. Dans le cas contraire, vous ne percevrez que 8% de la somme.

Dans les 24 heures:
Somme à  envoyer: 2204
Votre commission: 411
Frais: 125

Après 24 heures:
Somme à  envoyer: 2395
Votre commission: 220
Frais: 125

S’il y a d’autre frais, merci de bien vouloir les déduire du montant à  envoyer.

Vous allez avoir besoin des informations suivantes pour effectuer le virement bancaire:
1) Prénom ** [Le prénom de la mule russe]
2) Nom ** [Le nom de la mule russe]
3) Ville ** Saint-Saint-Pétersbourg
4) Pays ** Russie

Une fois que vous avez envoyé l’argent, la banque va vous donner un numéro de suivi que vous nous enverrez par email.

Merci de bien vouloir indiquer précisément les informations suivantes
1) Votre adresse (celle que vous avez indiquée dans le virement):
2) Vos noms et prénoms (que vous avez indiqué dans le virement):
3) Somme transférée:
4) Le numéro de suivi:

Une fois que notre client aura reçu le virement, prouvant ainsi votre efficacité, le nombre de chèques à  encaisser sera augmenté au jour le jour. Nous apprécions votre collaboration et espérons que vous travaillerez longtemps avec nous. Merci de bien vouloir nous répondre par mail et nous indiquer que vous avez bien compris les instructions.

Une organisation bien huilée mais trahie par un mauvais anglais

Afin que l’opération soit un réel succès, la mule devait agir dans les meilleurs délais. C’est pour cette raison qu’il était vital que le virement se fasse le plus rapidement possible, d’où la commission de 15% pour la première journée et de seulement 8% pour un délai supérieur. Le montant des faux chèques n’excédait jamais $3000. Au delà  de ce montant, les délais d’encaissement ont tendance à  augmenter et le risque de découvrir la fraude devient beaucoup plus important.

Lorsque la mule ne répondait pas au mail d’information, le groupe insistait en lui téléphonant directement. Une femme parlant anglais mais avec un accent russe appelait la mule en lui demandant d’envoyer l’argent le plus rapidement possible.

Les chèques reçus par les mules semblaient bien réels. Même les habituelles mesures anti-contrefaçons y apparaissaient.

Un exemplaire de faux chèque

Malheureusement pour le groupe, la mauvaise maitrise de l’anglais leur a été fatale: les très nombreuses fautes d’orthographe et de grammaire présents directement sur les chèques trahissaient la contrefaçon.

Pour terminer, nous avons ici affaire à  un groupe très bien organisé et qui a su exploiter les gigantesques possibilités offertes par un botnet; le degrés d’automatisme est tel que l’avenir nous prépare certainement encore de bien belles surprises en provenance des cyber-syndicats.

Spam, partnerka et Tianeptine

Il est 2h30 du matin, je suis étendu là , gisant dans cette sordide rue d’Aleksandrovskaya. J’ai froid, il pleuvine , et comme d’habitude, je suis raide défoncé. J’ai toujours eu un problème avec la drogue, et avec le temps, j’ai appris à  me résigner sur le fait qu’elle finira bien par m’avoir, tout comme elle a déjà  emporté mon jeune frère Pyotr, à  seulement 22 ans. Ce n’est plus qu’une question de quelques années maintenant. Deux, voir trois ans à  la rigueur, mais certainement pas au delà : je vais mourir, c’est certain. En ce moment, je carbure à  un tout nouveau truc, la Tianeptine. C’est une bien belle cochonnerie, mais cela m’aide à  supporter ce terrible mal être que j’ai toujours ressenti au plus profond de moi même.

Je m’appelle Arkady, j’ai bientôt 28 ans, je suis Russe, junkie de mon état et accessoirement professionnel de tout ce qui se fait de pire en matière d’Internet.

D’aussi loin que je me rappelle de ma jeunesse, j’ai toujours eu un faible pour le cinéma Italo-Americain de Scorsese, De Palma et surtout Copola. Ce sont certainement ces réalisateurs qui ont donné toute leur lettre de noblesse aux bandits de la Cosa Nostra. Mais je ne peux m’empêcher de penser que s’ils avaient su tout ce que nous sommes désormais capables de faire, nous autres Bratva, alors Robert de Niro aurait certainement pà» jouer Flyman, le mystérieux leader de la Russian Business Network.

Car nous sommes désormais des gens riches et puissants, et ce grâce à  cette fabuleuse mine d’or qui s’appelle l’Internet. Cela fait maintenant plus de 8 ans que ma vie a été transformée par le e-eldorado. Je n’étais alors qu’un minable étudiant en informatique, épuisé par les milliers de lignes de code Cobol et C données par mes professeurs de l’ETU, l’université de   Saint Petersbourg. Mais après les cours, le pitoyable Arkady commençait à  faire ses armes sur la toile au commande de quelques puissants systèmes Unix, généreusement « prêtés » par son université. J’étais encore pauvre, incapable de me payer ne fut-ce qu’une simple connexion RTC; heureusement que j’avais à  ma disposition mon accès universitaire qui m’a ouvert à  peu près toutes les portes de la criminalité informatique mondiale. Dieu bénisse la Sainte Russie.

Car j’ai vite découvert que dans cet endroit sans frontière, la fortune n’était qu’à  deux doigts, ceux que j’utilisais au début pour communiquer et créer ce qui allait devenir mon véritable empire.

J’ai commencé comme tout le monde: par le spam. Avec un script de ma composition, s’appuyant sur des relais ouverts trouvés dans les groupes de discussion, j’étais capable d’envoyer des dizaines de milliers d’emails par jour sur toute la planète. La promotion, c’était bien entendu ce qu’il y avait de plus simple: du porno. Je faisais entre une à  dix conversions par jour, ce qui pouvait me rapportait jusqu’à  $100 quotidiennement; pour un petit étudiant fauché comme moi, c’était l’Amérique ! Cette histoire a duré quelques mois jusqu’au jour ou toute une partie du bloc IP de mon université a été blacklistée par Spamhaus. Les deux administrateurs réseaux de l’école étaient de vieux fonctionnaires de l’époque soviétique qui n’avaient jamais prêté attention à  « mes activités ». Mais cette fois-ci, c’était différent, au vue de la gravité de la situation: la plupart des mails de l’université était systématiquement rejetée. Je suis passé en conseil de discipline et ce n’est que de justesse que je n’ai pas été renvoyé.

Quelque part grisé par mon « exploit » et aussi par le bon filon, j’ai néanmoins continué depuis chez moi via ma toute nouvelle et très couteuse ligne RTC. Mais mon expérience universitaire m’avait appris à  être prudent: afin de brouiller les pistes, je multipliais les relais ouverts, et aussi changeais régulièrement mon adresse IP en redémarrant mon modem analogique. Le problème, c’est que j’y ai beaucoup perdu en terme de performances. Passer d’une connexion T1 à  un simple RTC à  33kb, pas fiable de surcroit, mes conversions ont chuté dramatiquement: il y avait même des jours où je ne gagnais pas d’argent !

C’est aussi à  cette époque que je me suis diversifié vers le spam via les failles des formulaires mail: plus discret, et plus fiable, j’ai réussi quelques bons coups avec cette technique. Et parallèlement, c’est aussi à  ce moment que je me suis mis à  fumer beaucoup de marijuana essentiellement chez moi.

Un jour, alors que j’étais en plein « travail » (ma dose de spam quotidienne, agrémenté d’un bon joint), un magnifique BSoD a magistralement planté mon ordinateur. Après quelques heures passées à  réparer les quelques dégats constatés, j’ai découvert quelque chose qui allait changer radicalement ma conception de faire des affaires sur Internet: j’avais été contaminé par un ver.

Cette histoire m’a fait longuement cogité, et ce pendant plusieurs nuits. Mon business n’allait pas très bien, essentiellement à  cause du débit largement insuffisant de ma connexion et des précautions dont je m’étais entouré. Et voilà  qu’un programme informatique pénètre sur mon PC, et commence à  utiliser mes précieuses ressources, déjà  bien limitées. Je me suis alors dit que je tenais là  certainement la solution à  mon problème de performance: il fallait que j’aille chercher ailleurs ce que j’étais pour l’heure incapable de fournir.

Mon idée était toute simple: j’allais développer un cheval de Troie qui une fois installé, me permettrait d’envoyer mes spams en profitant de la connexion de ma « victime ». J’ai mis deux mois pour développer mon parfait petit système. Celui se présentait sous forme d’un simple processus Windows qui prenait ses directives via un canal IRC dissimulé. Je pouvais envoyer des spams et aussi mettre à  jour le programme à  distance. Mon cheval n’était pas un ver, un système capable de s’autorepliquer, il fallait qu’il soit exécuté pour pouvoir être installé. J’ai utilisé le P2P ainsi que les canaux warez pour propager ma création. En le dissimulant par exemple dans un générateur de clé ou un crack, j’ai rapidement pu disposer de plusieurs centaines de machines « infectées », essentiellement basées en Europe ou aux Etats-Unis et pourvues de connexions DSL. C’est là  que j’ai fait un malheur ! J’étais capable d’envoyer des dizaines de milliers d’emails par jour, avec bien entendu toutes les retombées financières qui vont avec. En ce mémorable 8 mai 2002, j’ai réussi à  gagner $2203 en une seule journée, grâce à  une performante affiliation pornographique dont j’avais réussi à  avoir l’exclusivité via une de mes Partnerka.

A ce sujet, je pense avoir eu beaucoup de chances dans ma vie. Car on ne rentre pas comme cela dans une Partnerka, nos plateformes d’affiliation en Russie. Contrairement à  celles que l’on voit en Europe, nos Partnerka ont beaucoup moins pignon sur rue; elles sont discrètes, et il faut montrer patte blanche pour pouvoir espérer un jour y rentrer. Pour ma part, cela a commencé en fréquentant un forum de Webmasters de chez nous. On savait tous qu’il y avait des gens des Partnerka parmi les membres, mais la plupart du temps, ils n’intervenaient que très rarement. On les reconnaissait à  leur signature et leur manière unique de communiquer: l’ICQ. Il était inutile de leur envoyer un MP, ils ne répondaient que très rarement, voir même ils finissaient par filtrer les plus insistants d’entre nous. Certains des nôtres avaient fini par rentrer chez eux, mais ils restaient discret sur ce qu’ils faisaient et nous affirmaient toutefois que « cela valait le coup mais qu’il fallait faire ses preuves ».

A la longue, j’ai fini par tisser des liens avec un type que j’ai beaucoup aidé en PHP, un certain Voevoda666, Venyamin de son vrai nom. Or celui-ci avait déjà  réussi à  rentrer chez Topsold2.ru, une Partnerka montante. Il m’a parrainé et j’ai été accepté après avoir discuté au téléphone avec leur AM (Gestionnaire de comptes), un Arménien du nom de Vardan. Au fil des années, je suis resté en contact avec Vardan. Nous sommes d’ailleurs devenus assez proches, et il est sans conteste, le rare ami que je n’ai jamais eu dans le « business ». Car Vardan m’a beaucoup aidé, de par ses étroites relations et aussi de son implication dans le monde des Partnerka. Le jour où il quittait Topsold2.ru pour créer sa propre Partnerka, j’ai été son premier affilié. Et c’est aussi lui qui m’a initié à  la coke :-]

Les années qui suivirent ont vu la professionnalisation de mes activités sur Internet: je suis devenu rapidement un spécialiste pour faire de l’argent par tous les moyens possible et inimaginable. J’ai touché à  tout et pratiquement tout fait: à  coup de Xrumer, je suis devenu un spammeur chimique grâce à  l’obscur Canadian Pharmacy. J’ai installé des dizaines de milliers de faux Codecs, antivirus, spywares. Vendu des fausses montres et évidemment trempé dans les juteux marchés du casino, des rencontres, et bien entendu continué comme pas un dans le porno. Je dois dire que Vardan y est aussi pour beaucoup dans ma réussite, il avait toujours le chic pour me trouver un bon produit à  promouvoir. En bref, c’est essentiellement grâce à  sa Partnerka que je suis devenu riche avec des revenus qui pouvaient atteindre plus de $20000 par mois.

Les moyens pour y arriver sont simples: du volume, de l’industrialisation et même de la sous-traitance. J’ai continué à  spammer de plus belle par mail; grâce à  un très gros travail d’automatisation, je suis arrivé au chiffre astronomique de 700000 mails envoyés par jour. J’ai aussi utilisé toute la panoplie du Blackhateur en herbe, comme Xrumer, Scrapebox, Senuke. Mais jouer à  cache-cache avec Google a finis par me lasser; par ailleurs, il est fort hasardeux de baser tout un chiffre d’affaire uniquement sur le bon vouloir d’un seul moteur de recherche ! J’ai aussi beaucoup utilisé les régies PPC de seconde zone qui vous demandent 1 centime du clic. Au début, j’étais tellement mauvais à  ce jeu que j’ai payé un type pour le faire à  ma place. A force d’observer ce qu’il faisait, j’ai fini par comprendre le truc, mais il était plus rentable de continuer la sous-traitance. J’ai même poussé le vice à  aller injecter des ActiveX « malsains » dans des publicités à  la bannière sur des forums adultes.

De toutes les manières, quand vous connaissez les ficelles de ce milieu, vous arrivez toujours à  faire de l’argent ou à  faire faire de l’argent pour vous par quelqu’un d’autres.
Par exemple, vous achetez un « blast Xrumer » pour $35 qui peut vous rapporter 10 fois plus en même pas une semaine. Vous pouvez aussi vous procurer de la longue traine extrêmement bien ciblée à  partir de 1 centime l’expression. Si vous faites 1% de conversion sur un produit de type Forex qui se vend $50, il vous faut donc investir seulement $1. Il y a même des gens qui louent leur botnets pour que vous puissiez envoyer vos spams ou plus subtile, monter des escroqueries au CPM, au CPA ou au parking de domaine. En bref, les moyens possible sont légions pour qui veut gagner de l’argent mais il faut savoir différencier les coups d’un véritable emploi à  plein temps.

Il est arrivé un jour où j’ai pris un peu de recul sur mes activités, notamment sur le côté éthique de tout ce que j’avais accompli en une dizaine d’années. J’en avais fait quand même des belles durant tout ce temps, et il est clair que plusieurs fois, j’aurai peut être pu finir dans les goulags de Sibérie. Mais j’ai toujours eu un avantage certain: le fait d’être russe. Notre pays n’est pas tellement en avance en matière de législation sur la criminalité informatique, et nos dirigeants ont bien d’autres chats à  fouetter que de s’occuper de malheureux spams. Je me suis souvent dit que finalement, je ne faisais pas véritablement de mal à  mon prochain, que je n’étais qu’une sorte de profiteur des failles d’un système complétement ouvert. Et aux quelques rares détracteurs que j’ai parfois côtoyé, je n’ai eu qu’un seul mot: « des clous ! » La seule véritable limite que je me suis imposé est de ne jamais faire de pédo-pornographie; pour tout le reste, je ne me suis jamais véritablement posé de question: ce n’est que du business, et pas forcément illégal, du moins pas chez nous.

Il est maintenant 3 heures du matin, je vais rentrer chez moi me coucher, seul comme d’habitude. Qui voudrait d’un type comme moi, un nerd certes aisé mais quand même complétement jeté ? En chemin, je me prendrai sans aucun doute une dernière dose de Tianeptine, histoire d’écourter encore plus le délai qui m’amène irrémédiablement vers ma tragique destinée.

Les arnaques à  la marge

Les arnaques rodent autour de nous, tels les moustiques de la Dombes, elles sont toujours prêtes à  nous tomber dessus, à  papillonner le stylo à  la main, toujours parées pour nous faire signer à  la moindre faiblesse de notre part. Je ne sais pas pourquoi mais dès qu’il est question d’argent et de contrat entre deux parties, j’ai toujours une once de soupçon qui me vient à  l’esprit. Est-ce un symptôme de paranoà¯a grandissante ou bien tout simplement les nombreuses expériences accumulées   au cours de ces dernières années ?

Ce que je sais désormais et que j’applique systématiquement, c’est qu’une transaction impliquant de l’argent appelle toujours à  la prudence et au recul.

Mais ce qu’il y a de bien avec une arnaque, c’est qu’elle n’est finalement pas tellement difficile à  démontrer et que l’on peut éprouver beaucoup de plaisirs à  l’exposer à  celui qui tente de vous escroquer, surtout devant une assemblée ou une tribune, qu’elle soit virtuelle ou réelle.

Une chose qui caractérise notre société de consommation est qu’avant tout, elle est financière et repose entièrement sur le calcul d’une marge. Pour ma part, et contrairement à  une partie de mes concitoyens Français, je n’ai franchement rien contre ceux qui gagnent de l’argent; après tout, tant mieux pour eux, surtout si c’est fait dans les règles de l’art. Cette situation étant clair dans ma tête, je m’intéresse tout de même à  cette fameuse marge que je vous ai évoquée auparavant: gagner de l’argent n’est en rien répréhensible, toutefois je m’inspire un droit de regard sur cette marge.

Ma réflexion est liée à  des contraintes idéologiques personnelles, et je vous livre ici un petit tableau avec mon échelle de valeur. C’est très simple à  comprendre: lorsque quelqu’un investit X euros, voici ce que je déclare lorsqu’il récupère Y euros:

  • 1€ donne 1,5€ = Bravo !
  • 1€ donne 2€ = Excellent !
  • 1€ donne 3€ = Chapeau
  • 1€ donne 4€ = Continuez comme cela
  • 1€ donne 10€ = Heu, comment avez-vous fait ??
  • 1€ donne 20€ = Hum, est-ce bien honnête ?
  • 1€ donne 50€ = Il y a quelque chose de louche !
  • 1€ donne 100€ = Jérôme, c’est toi ??

Vous allez me dire que ce sont des bobards et que de tels ROI n’existent pas. Et bien détrompez et ici il n’est pas question de Trading, de Forex, ou autre super produits de la nébuleuse financière, mais bien d’actes de la vie
courante et qui vous sont facturés tels quel.

Ici, je m’attaque plus particulièrement à  l’acte que l’on vous facture. Cela peut être une prestation artisanale, intellectuelle ou encore de service, mais la plupart du temps quelque chose de non conventionné et qui s’appuie sur l’absence total de transparence quand au tarif qui vous est communiqué.

Je vais prendre un exemple concret avec ces fameux frais de mutation des syndics de copropriété. Je m’intéresse à  l’acte en lui même, ce que cela coute à  une régie et à  ce que cela lui rapporte, à  savoir 322€ dans mon cas
particulier. La personne qui s’occupe des états datés les établit de temps en temps, mais cela fait partie de ces attributions et de son travail quotidien. J’ai déjà  ici une interrogation: pourquoi facturer quelque chose qui n’est pas exceptionnel, puisque l’on paye déjà  quelque chose pour ce type de service ?

C’est là  une question qui revient souvent: pourquoi dans un abonnement certaines choses sont comprises et pas d’autres. Un exemple flagrant est la relance, à  ne pas confondre avec le recouvrement qui est systématiquement facturé. Dans mon cas, je n’ai que deux type de prestataires qui les facturent: l’administration fiscale et les régies immobilières.

Mais passons, nous supposerons donc qu’il s’agit d’une surcharge de travail qu’il faut donc facturer. Cette personne fait 2300€ brut et travaille 167 heures par mois. Donc son cout horaire revient à  13,77€. En réalité, c’est un peu plus car il faut ajouter les charges patronales, 40% pour cette personne. Ce qui nous entraine à  19,27€ par heure.

A ceci, il existe quelques frais qu’il faut rentabiliser: les fournitures de bureau, 1€ par jour (C’est très généreux, sauf si on rajoute l´amortissement des meubles de bureau!), l’amortissement de l’informatique (Internet, PC, électricité) pour 5€ par jour, divers (eau, toilette, locaux), 1€ par jour. Soit 7€ par jour, et Madame travaille 7h5 par jour.Ajoutons donc un euro de frais supplémentaire (7 divisé par 7,5), ce qui porte le cout total horaire de cette personne à  20,27€.

J’en viens maintenant à  l’acte en lui même: il faut un peu moins d’une heure pour l’établir; à  ceci ajoutons quelques frais annexes en étant toujours aussi généreux: téléphone et timbre pour 3€.

Cout total de l’opération = 20,27 * 1 + 3 = 23,27€.

Ajoutons à  cela la TVA (19%) = 27,69€

Nous avons donc désormais accès à  la marge qui n’est que la division de la prestation par son cout total, 322 / 27,69 = 11.

Donc pour schématiser, pour un euro investi, la régie touchera 11€. Reportez-vous à  mon échelle de valeur pour voir ce que j’en pense. Alors quand je demande en assemblée si une marge de 1/11 est normale, on me répond génériquement:

« Mais Monsieur, ce n’est pas comme cela que cela marche, ce n’est pas si simple ! »

J’applique désormais beaucoup plus ce type de raisonnement sur les prestations douteuses et j’ai parfois d’étonnantes surprises. Bien entendu mon calcul peut être parfois faussé, il y a surement des choses internes qui m’échappent, mais dans le cas des frais de mutation, même si je double mes chiffres, j’arrive tout de même à  un ROI de 5, ce qui me semble tout de même bien élevé.

Finalement, je crois qu’il n’y a rien de choquant à  faire beaucoup de profits; en revanche avoir des marges aussi importantes me laisse tout de même perplexe.

Ponzi: ce qui se fait sur Internet

Si vous ne vivez pas sur une à®le déserte ou au fin fond de l’Ardèche, vous avez probablement entendu parlé de l’affaire Madoff, cette gigantesque fraude de 50 milliards d’Euros. L’arnaque était bien ficelée: Madoff utilisait l’argent des nouveaux arrivants dans son fond d’investissement pour payer les anciens membres. Grâce à  son charisme, son implication dans la riche communauté juive et aussi une habilité à  cultiver une certaine forme de communautarisme financier, Madoff a pu ainsi duper des milliers de personnes et engranger des milliards de dollars (Oui monsieur, parfaitement des milliards !).

Le type d’arnaque employé par Madoff s’appelle un montage Ponzi du nom de Charles Ponzi. Celui-ci était un immigrant Italien qui travaillait comme commis à  Boston. En 1919, il mit en place un programme pyramidal dans un bureau situé au deuxième étage d’une banque. Ironiquement, il appela sa société « Securities and Exchange Company ». Au mois de décembre de cette même année, il commença à  envoyer des prospectus offrant un retour de 50% sur investissement après 45 jours et 100% après 90 jours. A la fin du mois de juin 1920, il lui arrivait de recevoir jusqu’à  500 000 dollars par jour et le même jour il déboursait 200 000 dollars.

Des milliers de personnes enthousiastes débarquaient chez lui pour investir. La quantité de cash qui entrait était telle qu’il fut obligé d’employer 16 commis pour trier et compter les sommes gigantesques qu’il stockait dans ses cabinets et empilait dans de larges corbeilles à  papier.

Comme la plupart des montages pyramidaux, il arriva un moment où les espèces entrantes ne suffirent plus pour payer les anciens investisseurs. Au moment où le cash cessa d’entrer, la pyramide s’effondra. Des journaux d’investigations ainsi que l’intervention du gouvernement mirent un terme définitif à  son activité. Le 26 juillet 1920, 30000 personnes avait payé à  Ponzi la somme de 9 582 591 dollars.

Ponzi fut arrêté et beaucoup de ceux qui avait perdu leur argent blâmèrent le gouvernement pour son intervention. Ponzi fut condamné à  7 années de détention dans une prison d’état du Massachussets mais fut finalement libéré sous caution. Par la suite, il lança d’autres programmes similaires en Georgie, Texas et Floride. Il fut finalement arrêté et retourna au Massachussets où il purgea sa peine initiale de 7 ans.

Ponzi fut extradé vers son pays d’origine, l’Italie et trouva un travail au bureau Brésilien de la nouvelle compagnie aérienne de Mussolini. Il mourut dans un dispensaire de charité d’un hôpital de Rio, à  moitié aveugle et paralysé. Le peu d’argent qui lui resta lui permit tout juste d’éviter d’être enterré dans un cimetière pour indigents.

Voilà  pour la petite histoire; mais ce qu’il faut avant retenir, c’est que Mr Ponzi n’a fait qu’exploiter deux faiblesses humaines: la cupidité et surtout la naà¯veté des gens. Il est également intéressant de constater que l’Internet pullule de ce type d’arnaque: c’est facile, mondialisé, discret et l’on ne risque pas de voir un jour débarquer chez soi des investisseurs floués.

Le Ponzi le plus courant est le HYIP, pour High Yield Investment Programs, programmes d’investissement à  haut rendement. Vous mettez par exemple $10 et le programme vous rapporte quotidiennement 20% ($2) pendant 20 jours, soit $40 sans rien faire. Pour payer, vous devez utiliser une monnaie électronique louche, comme E-Gold par exemple. L’avantage de ce type de devise, c’est que contrairement à  Paypal, il n’y a pratiquement jamais de recours possible en cas de litige. Le programme repose toujours sur le même axiome: « Des professionnels du Forex ou de la bourse souhaitant vous aider à  parvenir à  l’indépendance financière ». La durée de ce type de Ponzi va de une journée à  une dizaine de jours, rarement plus. Il est amusant de constater que des scripts tout faits sont disponibles à  l’achat. A l’instar des vendeurs de pelles durant la ruée vers l’or, ce sont certainement ces personnes qui sont les grands gagnants du marché du HYIP. Vous pouvez vous rendre compte à  quel point ce genre de script a du succès au moyen de cette requête Google. Vous trouverez une montagne de HYIP sur les forums d’argent comme celui-ci ou encore celui-là  et même en français.

Les autosurfs sont une forme de Ponzi un peu différente: vous achetez des crédits et vous engagez à  visualiser un certain nombre de sites au moyen d’une « visionneuse ». Lorsque vous avez fait votre quota, vous êtes payés moyennant une commission. L’exemple le plus célèbre d’autosurf est 12DailyPro. Le site proposait une commission de 44% à  ses membres à  condition qu’ils visitent 5 minutes par jour d’autres sites, et ce pendant 12 jours. Les propriétaires de 12DailyPro affirmaient que l’argent provenait de la publicité ainsi que d’autres investissements, mais en réalité 95% de l’argent provenait des cotisations des nouveaux membres. Au cours de l’année 2006, plus de 50 millions de dollars ont ainsi été extorqués à  environ 300000 personnes. Vous trouverez ici des autosurfs.

Les matrices vous vendent une position dans leur schéma et vous demandent de recruter des filleuls qui à  leur tour vous paieront. Parfois l’argent obtenu est investi dans « d’autres programmes performants ». Souvent, il s’agit tout simplement d’autres matrices amies ou même concurrentes !

Prédicat final: « Sur Internet, si l’on te propose de gagner de l’argent, cela signifie que tu vas en perdre ».

La RIAA veut faire installer des Spywares

Il y a maintenant plusieurs mois, j’ai fait comme 14 millions de Français: je suis allé voir ce petit bijou du cinéma appelé AVATAR. Ce que je retiens de ce film, c’est avant tout sa beauté, sa poésie mais aussi les 10€ de place + les 2€ de 3D + le 1€ de lunettes ainsi que les 2,5€ de parking, soit 28,5€ à  deux. Il faudra que j’essaye de faire passer cette soirée en note de frais.

A contrario, il y a plus de 15 ans, je me rappelle avoir été au cinéma de General Santos City dans une salle tout à  fait correcte où j’ai payé la modique somme de 12 pesos (soit 20 centimes maintenant).

On comprend parfois que certains soient tentés par le côté obscur de l’Internet et sombre dans le piratage, au risque d’avoir à  subir les foudres des ayatollahs de l’industrie cinématographique, comme la MPAA ou encore la RIAA.

A ce sujet, ces deux organisations américaines viennent de présenter leur plan au tout nouvel Office de la Propriété Intellectuelle, l’équivalent de notre INPI Française au travers de cinq propositions phares dont elles demandent la mise en place par l’administration Américaine:

– La possibilité d’installer des Spywares sur les ordinateurs particuliers capables de détecter des médias contrefaits et aussi de pouvoir les effacer.

– Installer un dispositif de filtrage sur toutes les connexions Internet afin d’interdire tout transfert de médias contrefaits.

– Autoriser la fouille des lecteurs MP3/DIVX, portables, notebooks et clés/disques USB.

– Faire pression sur les autres pays afin qu’ils puissent mettre en place les mêmes directives de contrôle.

– Faire en sorte que toutes les agences fédérales (FBI et ministère de l’intérieur compris) puissent effectuer d’elles même les contrôles.

A ce niveau là , j’hésite entre deux explications: Le désespoir ou la science-fiction !