Détenu à Dordrecht un jeune homme pour avoir vendu l'accès à JokerOTP, la plate-forme d'hameçonnage qui vole des mots de passe à usage unique avec de faux appels

Les autorités néerlandaises ont récemment arrêté un jeune homme de 21 ans, Dordrecht, accusé d'avoir vendu l'accès à JokerOTP, une plateforme d'hameçonnage automatisée qui a facilité la capture de mots de passe à usage unique (OTP) pour usurper des comptes. Selon la police, cette détention est la troisième liée à une enquête qui a duré plusieurs années et qui avait déjà désarticulé l'opération JokerOTP en 2025 comme un service criminel échangé à d'autres délinquants.

JokerOTP fonctionnait comme un service physique-as@-@@-@ (PhaaS):: Le cas échéant; Les auteurs ont offert des licences et un accès à un panneau et à des robots qui pourraient automatiser les appels et les messages aux victimes pour demander des codes temporaires tout comme elles ont atteint leurs appareils. La mécanique était simple et efficace : les attaquants utilisaient des lettres de créances pour lancer des tentatives d'accès et, en même temps, le robot appelait la victime se posant comme l'entité légitime demandant le code OTP. En raison de la coïncidence temporaire entre la livraison du code et l'appel frauduleux, beaucoup de gens pensaient qu'ils travaillaient ensemble pour protéger leur compte et livrer le code sans soupçon.

Les conséquences ont été considérables. En seulement quelques années, la plateforme est liée à des dizaines de milliers d'incidents qui ont touché des utilisateurs dans plus d'une douzaine de pays et causé des pertes financières estimées à environ 10 millions de dollars. Parmi les services les plus touchés figuraient les plateformes de paiement et de commerce électronique largement utilisées, comme PayPal, Venmo, Coinbase, Amazon et Apple. La note de la police néerlandaise sur la détention la plus récente est disponible pour étayer ces allégations et suivre l'évolution de l'affaire. Voilà. et une couverture médiatique avec détails techniques et chronologie en Calculateur.

La vente d'accès a été effectuée sur des canaux de messagerie tels que Telegram, où les clés de licence ont été offertes pour utiliser le service. Les acheteurs, qui ont déjà été identifiés par la police à de nombreuses reprises aux Pays-Bas, pourraient configurer le logiciel pour capter non seulement les codes d'authentification, mais aussi les NIP, les données de carte et autres données sensibles qui leur permettraient de prendre en charge des comptes ou de transférer des fonds vers des comptes contrôlés par des criminels. Un rapport de police au Royaume-Uni documentant les arrestations connexes et la portée des attaques aide également à comprendre l'impact international de l'opération Voilà..

Pourquoi cette arnaque fonctionnait-elle ? Parce que les codes OTP sont conçus pour expirer rapidement et confirmer que la connexion est le propriétaire légitime. Mais leur force dépend de la manière dont ils sont protégés et comment ils sont livrés : les codes envoyés par SMS ou email sont plus vulnérables à ce type de tromperie sociale si un élément humain ou automatisé est ajouté - comme un faux appel - qui convainc la victime d'entrer le code. L'explication de l'enquête et le témoignage de l'équipe chargée de l'enquête sont disponibles dans la déclaration de la police néerlandaise, qui détaille comment le bot a communiqué automatiquement avec les victimes afin de leur demander le code, ce qui a amené beaucoup à collaborer en croyant aider à protéger leur compte voir communication.

Outre la détention pénale, les autorités ont souligné que ceux qui souffrent de cette fraude ne devraient pas avoir honte: les attaques combinent ingénierie sociale et synchronisation technique pour susciter confiance et peur, créant un sentiment d'urgence qui trouble le procès. La police recommande d'examiner les signaux de fraude tels que les demandes de NIP ou de mots de passe inattendus et la création artificielle d'urgence, et rappelez-vous qu'il existe des outils pour vérifier si vos données ont été exposées dans des lacunes connues. Parmi les outils publics mentionnés par les chercheurs sont: Est-ce que j'ai été cousu et le service néerlandais de contrôle des fuites VérifiezJeHack.

Que peut faire un utilisateur pour réduire les risques? La recommandation la plus solide est de choisir des mécanismes d'authentification résistants au phishing : les applications d'authentification basées sur TOTP ont une meilleure résistance que les SMS, mais idéales sont les solutions d'authentification sans mot de passe ou les jetons matériels qui implémentent des normes comme FIDO2. L'agence officielle guide se rappelle que l'authentification multi-facteurs basée sur des facteurs vérifiables par le serveur et exempt de vecteurs de code à transmettre réduit considérablement le risque qu'un tiers puisse réutiliser un code intercepté. Pour approfondir les bonnes pratiques techniques, il convient d'examiner les recommandations du NIST sur l'authentification (SP 800-63B) NIST SP 800-63B et les conseils de l'agence américaine de cybersécurité sur le MFA CISA - Multi-facteurs Authentification.

L'enquête se poursuit et, selon la police, plusieurs acheteurs du service JokerOTP aux Pays-Bas ont été identifiés et seront poursuivis en temps utile. Cette affaire rappelle que les cyberattaques non seulement créent des outils techniques, mais aussi les commercialisent et les professionnalisent, ce qui rend essentiel de combiner prévention technologique et connaissances numériques : savoir reconnaître les tactiques de manipulation, ne pas partager les codes en aucune circonstance et préférer les méthodes d'authentification antifraude.

En fin de compte, la meilleure défense n'est pas seulement une technologie spécifique, mais un mélange de contrôles techniques appropriés, le suivi des expositions de données elles-mêmes et une attitude critique aux appels et messages inattendus qui demandent des informations sensibles. La détention récente à Dordrecht montre que l'application de la loi peut suivre l'exemple des réseaux criminels qui monétisent ces vulnérabilités, mais aussi un signe pour les utilisateurs et les entreprises de mettre à jour leurs défenses et leurs habitudes.