Account Farming – Ce que vous devez savoir pour protéger votre entreprise

Account fraud

L’account farming consiste à créer plusieurs comptes sur une même plateforme en ligne. Les comptes ainsi « farmés » sont utilisés pour exploiter de manière abusive des offres promotionnelles, telles que les bonus d’inscription. Par exemple, les bonus de jeu gratuits accordés aux nouveaux inscrits sur les sites d’iGaming. Les cybercriminels utilisent également ces comptes pour publier de faux avis négatifs sur leurs concurrents, commettre des vols d’identité, pirater des portefeuilles numériques ou mener des campagnes de phishing et de spam.

Tout type de compte en ligne, qu’il soit personnel ou professionnel, peut être « farmé » à des fins de fraude, d’usurpation d’identité, de phishing ou d’autres activités malveillantes. Les comptes de messagerie, les comptes sur les réseaux sociaux et les comptes publicitaires en ligne sont fréquemment exploités par les cybercriminels pour créer de fausses identités.

La Federal Trade Commission (FTC) des États-Unis a signalé que les activités frauduleuses ont entraîné des pertes de 10,0 milliards de dollars en 2023.¹ À l’échelle mondiale, les fraudes en ligne ciblant les entreprises de e-commerce auraient causé des pertes estimées à 48 milliards de dollars.² Les analystes prévoient que ces pertes pourraient atteindre jusqu’à 343 milliards de dollars d’ici 2027.³

Comment fonctionne l’account farming ?

Bien que chaque cybercriminel ait ses propres méthodes, le processus d’account farming suit généralement plusieurs étapes.

Un compte personnel est créé auprès d’un fournisseur de messagerie, tel que Gmail, Outlook ou un autre service.
Le cybercriminel efface les cookies de son navigateur afin d’empêcher la plateforme de suivre les activités précédentes ou d’identifier plusieurs comptes associés à un même utilisateur.
Le cybercriminel se connecte à un réseau privé virtuel (VPN) et crée un autre compte email avec des informations différentes, comme un faux nom et un faux numéro de téléphone.

Ce processus est répété à l’aide d’une adresse de serveur VPN différente à chaque fois afin de masquer l’emplacement du cybercriminel et d’éviter la détection par des entités telles que les entreprises de cybersécurité, les autorités ou les fournisseurs de messagerie.

L’account farming peut être effectué manuellement, mais cela prend énormément de temps. Pour générer un grand nombre de faux comptes, les cybercriminels utilisent généralement des bots qui automatisent les tâches.

Les bots sont des programmes capables d’exécuter automatiquement des actions répétitives en ligne et d’imiter le comportement humain. Ils sont utilisés dans l’account farming pour automatiser la création, la gestion et l’utilisation de plusieurs comptes. Les bots peuvent contourner les défis CAPTCHA, remplir les formulaires d’inscription et effectuer des actions comme liker ou suivre des comptes sur les réseaux sociaux. Ils peuvent également exploiter à grande échelle des promotions commerciales afin d’obtenir de manière frauduleuse des produits gratuits, des remises ou des récompenses.

Les cybercriminels utilisent des proxys ou des VPN pour dissimuler leur identité et leur emplacement. Cela permet de faire transiter leur trafic Internet par des serveurs intermédiaires qui remplacent leur adresse IP réelle par celle des serveurs proxy ou VPN. Dans certains cas, l’account farming est réalisé via des réseaux Wi-Fi publics pour renforcer l’anonymat.

Pour configurer les comptes, les cybercriminels utilisent de faux noms et des numéros de téléphone virtuels jetables afin de fournir des informations aux fournisseurs de messagerie. Une fois les faux comptes actifs, ils peuvent être utilisés pour effectuer diverses activités visant à les faire paraître légitimes. Les cybercriminels utilisent un outil appelé générateur d’activité pour imiter un comportement humain en ligne et tromper les algorithmes. Si le criminel possède des compétences en codage, il peut créer lui-même un générateur d’activité. Ces outils sont également disponibles à la vente sur les forums du dark web et les plateformes de messagerie chiffrée comme Telegram ou Discord.

Les générateurs d’activité peuvent envoyer et recevoir des emails, suivre et liker d’autres comptes, effectuer des recherches sur Internet en étant connectés, et s’inscrire à des services en ligne. Cela permet aux cybercriminels de contourner les contrôles de sécurité et d’éviter de déclencher des alertes pouvant mener à la suspension ou à la détection du compte.

Les comptes farmés peuvent être utilisés individuellement pour mener des fraudes à petite échelle, puis être supprimés dès qu’ils sont détectés. Les fermes de comptes peuvent aussi être déployées à grande échelle pour commettre des fraudes massives ou submerger des systèmes.

Par exemple, une nouvelle entreprise de commerce électronique peut se retrouver la cible de comptes fermés utilisés pour des fraudes à petite échelle, telles que des achats frauduleux ou l’exploitation d’offres promotionnelles. À plus grande échelle, une ferme de comptes peut inonder le système de faux inscrits ou de transactions frauduleuses massives, entraînant des pertes financières et compromettant le système.

Pourquoi les comptes en ligne sont-ils « farmés » ?

La motivation peut être purement financière. Les comptes farmés peuvent être utilisés pour profiter d’offres de réduction ou de bonus d’inscription. Les fraudeurs créent à répétition de nouveaux comptes avec des informations différentes pour exploiter plusieurs fois les récompenses promotionnelles, sans intention de devenir des clients à long terme. Cette méthode est également utilisée pour prolonger l’accès à des logiciels qui proposent des essais gratuits limités dans le temps pour les nouveaux utilisateurs. Cette pratique est particulièrement répandue dans le secteur de l’iGaming. Les casinos en ligne ont signalé une augmentation de 80 % des fraudes impliquant des comptes multiples entre 2022 et 2023.⁴

Les campagnes de spam à grande échelle et les attaques de phishing sont souvent menées à l’aide de multiples comptes farmés. Ces attaques peuvent entraîner un vol de données ou des escroqueries financières. Les comptes farmés permettent de créer un réseau d’expéditeurs apparemment légitimes et dignes de confiance. Les cybercriminels trompent ainsi les destinataires afin qu’ils révèlent des informations sensibles, telles que des identifiants de connexion ou des données financières, ou les incitent à cliquer sur des liens malveillants. Les victimes peuvent alors subir un vol de données, des escroqueries financières, une usurpation d’identité, ou se voir installer des malwares sur leurs appareils.

Les comptes farmés peuvent servir à manipuler les marchés en gonflant artificiellement les notes, les avis ou les volumes de transaction de produits. Cela fausse les tendances du marché et trompe les consommateurs légitimes. Par exemple, une entreprise qui lance un nouveau produit peut utiliser des comptes farmés pour publier de faux avis positifs sur plusieurs plateformes de e-commerce.

Les fraudeurs peuvent utiliser des comptes farmés pour créer de faux profils afin de diffuser de la désinformation, gonfler artificiellement le nombre d’abonnés ou promouvoir certains contenus. Ce type de manipulation sur les réseaux sociaux peut influencer l’opinion publique ou orienter les tendances. Un exemple récent est l’utilisation de bots pour propager de la désinformation pendant la pandémie de Covid-19. Une analyse de jeux de données existants a révélé que jusqu’à 66 % des bots discutaient de la COVID-19 et diffusaient de fausses informations liées à la pandémie sur des plateformes comme Facebook, Instagram, X (Twitter) et TikTok.⁵

La fraude à la publicité numérique est un autre usage fréquent des comptes farmés. Les fraudeurs peuvent générer de faux clics ou impressions sur des publicités en ligne. Cela fausse les indicateurs de performance et augmente les coûts publicitaires des entreprises. Les fraudeurs utilisent également les comptes farmés pour manipuler les programmes d’affiliation, en gagnant des commissions grâce à des liens d’affiliation trompeurs. Les comptes farmés peuvent aussi servir à gonfler artificiellement l’engagement sur les réseaux sociaux, ce qui peut induire en erreur les annonceurs et les amener à payer pour une visibilité non authentique.
Les comptes farmés sont également utilisés dans le cadre d’attaques par déni de service distribué (DDoS). Les cybercriminels déploient un grand nombre de faux comptes pour saturer un serveur cible de trafic. Ce volume massif de requêtes peut entraîner le crash du serveur ou le rendre inaccessible. Cela perturbe les services pour les utilisateurs légitimes et nuit à la réputation de l’entreprise visée.

Quelques exemples courants d’account farming

Il existe plusieurs exemples types d’utilisation de l’account farming selon les secteurs concernés.

Farming de comptes de messagerie

Le service de messagerie Gmail de Google est l’une des cibles les plus populaires des cybercriminels. On estime que 91 % des emails frauduleux sont envoyés via des comptes Gmail.⁶ Les utilisateurs légitimes disposent généralement d’un ou plusieurs comptes Gmail à usage personnel ou professionnel. Cela complique la tâche des entreprises qui souhaitent déterminer si un nouveau compte a été créé par un véritable utilisateur ou s’il s’agit d’un compte farmé.

Les FAI (fournisseurs d’accès à Internet) utilisent des outils d’analyse pour attribuer à chaque utilisateur un score de réputation. Ce score est utilisé par les fournisseurs d’emails comme Gmail pour déterminer si un message doit être signalé comme spam ou non. Il est calculé à partir de plusieurs indicateurs comme la fréquence d’utilisation du compte ou les types d’activités effectuées (envoi et réception de messages, par exemple). Un score de réputation élevé signifie qu’un email a moins de chances d’être considéré comme du spam.

À lire aussi : Pourquoi les scores de fraude traditionnels ne suffisent plus face aux menaces modernes

Avec plusieurs comptes email bénéficiant d’un bon score de réputation, les cybercriminels peuvent diffuser plus facilement du spam. Un score élevé leur permet aussi de contourner divers protocoles d’authentification comme les CAPTCHA, ou des méthodes de vérification basées sur l’empreinte numérique ou l’identité.

Farming de comptes publicitaires en ligne

Les comptes publicitaires en ligne tels que Google Ads, LinkedIn, Amazon Ads et Facebook Ads sont également des cibles privilégiées pour le farming de comptes. Les comptes Gmail sont souvent farmés dans le but précis de créer de faux comptes publicitaires en ligne.

Ces comptes sont ensuite utilisés pour générer de faux clics ou impressions, gonfler artificiellement les indicateurs de performance publicitaire et détourner les budgets marketing sans générer d’engagement réel.

Les fraudeurs utilisent ces comptes pour contourner les conditions d’utilisation, par exemple en inondant les utilisateurs réels de publicités contenant des liens d’affiliation. Certains services en ligne offrent un crédit publicitaire gratuit à l’inscription. Les fraudeurs s’en servent pour obtenir de la publicité gratuite à grande échelle en créant de multiples comptes.

Par exemple, une plateforme peut offrir un crédit de bienvenue aux nouveaux utilisateurs. En exploitant cette offre d’inscription, les escrocs peuvent générer plusieurs annonces gratuites avec des liens d’affiliation. Ces publicités sont ensuite diffusées de manière abusive à des utilisateurs légitimes pour générer du trafic vers des sites frauduleux ou percevoir des commissions. Tout cela en violation des conditions d’utilisation de la plateforme et du RGPD.

Account farming sur les réseaux sociaux

Créer de nombreux faux profils sur des plateformes comme Instagram, Twitter ou Facebook permet aux fraudeurs de gonfler artificiellement leur nombre d’abonnés, manipuler l’engagement ou diffuser du spam. L’account farming sur les réseaux sociaux est désormais une pratique courante chez les cybercriminels. Facebook indique notamment avoir supprimé 691 millions de faux comptes fin 2023.⁷

Un exemple récent concerne de nombreux faux comptes Facebook et Instagram liés à une entreprise technologique israélienne, utilisés pour diffuser des messages politiques.⁸

Account farming dans le e-commerce

Les comptes de commerce électronique farmés permettent aux cybercriminels d’exploiter à plusieurs reprises des codes de réduction, des offres promotionnelles ou des récompenses de fidélité. Dans certains cas, des groupes criminels se servent de ces comptes pour acheter des produits et les revendre ensuite à des prix majorés. La mise en place d’une détection robuste de la fraude e-commerce peut aider les entreprises à identifier et bloquer les comportements suspects de compte avant que des promotions ou transactions ne soient exploitées.

Pourquoi l’account farming est-il dangereux ?

L’account farming sape la confiance et dégrade l’expérience des utilisateurs légitimes, qui respectent les règles des plateformes et interagissent de manière authentique. Les cybercriminels manipulent les systèmes pour obtenir des avantages injustes, comme exploiter des promotions ou gonfler artificiellement les indicateurs d’engagement. Les utilisateurs humains peuvent alors se sentir frustrés, notamment s’ils passent à côté de récompenses — réductions ou offres promotionnelles — à cause de ces activités frauduleuses.

Pour les entreprises, l’account farming constitue une menace sérieuse. Les activités frauduleuses peuvent entraîner des pertes financières importantes, par exemple via l’abus de promotions ou de programmes de fidélité. Les données manipulées faussent les mesures publicitaires, poussant les entreprises à mal allouer leurs budgets sur la base d’informations erronées. L’account farming est aussi souvent une première étape vers la création de fausses identités utilisées ensuite pour obtenir frauduleusement des services financiers, souscrire à des cartes de crédit ou contracter des prêts. Grâce à ces comptes frauduleux, les cybercriminels contournent les systèmes de vérification, fournissent de fausses informations et accèdent au crédit sans être détectés.

Pour les particuliers, l’account farming peut entraîner un vol d’identité. Les escrocs peuvent utiliser ces comptes pour dérober des données personnelles, qui serviront ensuite à commettre des fraudes.

L’impact social plus large de l’account farming est considérable. Il favorise la propagation de la désinformation, fragilise la confiance en ligne et nuit à l’économie numérique.

Comment protéger votre entreprise contre l’account farming

À mesure que la technologie évolue, les cybercriminels développent de nouvelles techniques d’account farming. Les avancées en apprentissage automatique et en intelligence artificielle (IA) rendent plus difficile l’identification des activités frauduleuses menées par des bots. Ces technologies permettent aux bots d’apprendre et de s’adapter. Ils peuvent désormais imiter de manière plus convaincante le comportement humain afin de contourner les méthodes de détection.

Pour protéger leurs intérêts et leurs clients, les entreprises doivent mettre en place des mesures robustes de prévention de la fraude. Il est essentiel de comprendre que l’objectif de ces protections n’est pas d’identifier les cybercriminels, mais de détecter plus précisément les faux comptes.

Parmi les mesures couramment utilisées contre l’account farming, on trouve :

la vérification du numéro de téléphone : les utilisateurs doivent valider leur compte avec un numéro de téléphone prouvé comme étant valide. Les réseaux sociaux, sites de e-commerce et services financiers utilisent souvent ce procédé. L’utilisateur fournit un numéro lors de l’inscription, qui est vérifié via un code à usage unique envoyé par SMS ou appel vocal ;
l’empreinte digitale du navigateur : des configurations uniques comme les plugins installés ou la résolution d’écran sont analysées pour identifier et signaler les comportements suspects. Lorsque plusieurs comptes ou actions présentent des configurations similaires qui s’écartent des comportements habituels, cela peut être signalé comme suspect ;
l’analyse de l’empreinte numérique : l’examen du comportement utilisateur et des données historiques sur plusieurs plateformes permet de repérer des incohérences ou des signes d’activité suspecte, comme des tentatives d’inscription répétées. Cette analyse est utilisée par les places de marché en ligne, les réseaux sociaux ou encore les institutions financières ;
les contrôles de vélocité : le suivi de la vitesse et de la fréquence des actions comme la création de compte ou les tentatives de connexion peut aider à détecter une activité anormale. Par exemple, la création rapide de plusieurs comptes ou des connexions successives en très peu de temps peuvent déclencher une alerte de sécurité.

Protection éprouvée contre l’account farming

L’account farming représente un risque majeur pour les entreprises comme pour les particuliers. Cette pratique permet aux cybercriminels de commettre des fraudes, de voler des informations personnelles, de nuire à la réputation des entreprises et de manipuler les marchés ou l’opinion publique.

DataDome vous offre une solution éprouvée pour vous protéger contre la fraude aux comptes et d’autres formes de fraude en ligne. Grâce à Account Protect, DataDome collecte les signaux émis par les utilisateurs et les entreprises pour construire des empreintes comportementales précises. Notre solution peut analyser plus de 5 000 milliards de signaux chaque jour afin d’identifier et de bloquer les faux comptes avant qu’ils ne causent de dommages.

FAQ sur l'account farming

Qu’est-ce que l'account farming ?

L’account farming consiste à créer plusieurs comptes sur une même plateforme en ligne. Cette pratique vise à exploiter des offres spéciales, contourner des restrictions ou mener des activités frauduleuses. Les cybercriminels utilisent l’automatisation pour générer de nombreux faux comptes.

Pourquoi l'account farming est-il nuisible ?

L’account farming fausse les statistiques, abuse des promotions, érode la confiance et facilite les escroqueries. Il peut entraîner des pertes financières, nuire à la réputation d’une entreprise et dégrader l’expérience des utilisateurs légitimes.

L'account farming est-il illégal ?

L’account farming enfreint souvent les règles d’utilisation des plateformes sans être nécessairement illégal. Il devient illégal lorsqu’il implique des fraudes, des vols d’identité ou un accès non autorisé à des systèmes. Les conséquences légales varient selon la juridiction et les actions spécifiques menées via les comptes farmés.

Quelles mesures puis-je prendre pour détecter l'account farming ?

Vous pouvez prévenir l’account farming en mettant en œuvre des processus stricts de gestion des comptes et de vérification, ainsi qu’en surveillant les activités suspectes. Vous pouvez aussi utiliser des systèmes avancés de détection de la fraude, tels qu’un navigateur anti-détection comme Multilogin. DataDome peut vous aider à protéger vos e-mails contre les cybercriminels.