Les faux portails de cartes cadeaux orientent les utilisateurs vers des enquêtes, des téléchargements indésirables et des abonnements mobiles payants, sans jamais remettre la récompense promise, selon CTM360. Dans un article sponsorisé publié par BleepingComputer le 7 novembre 2026, l'entreprise fait état de plus de 1 000 incidents liés à cette campagne récurrente, qui ont notamment entraîné l'exposition d'informations personnelles et des frais téléphoniques inattendus.
L'activité usurpe l'identité de marques comme PlayStation, Sephora, SHEIN, Walmart et Amazon. CTM360 décrit des arnaques en progression à l'échelle mondiale, diffusées par des publicités sponsorisées sur les réseaux sociaux, des publications de jeux-concours virales et de fausses approbations de célébrités et d'influenceurs, comme MrBeast et Alix Earle. Le total publié compte des incidents, et non des personnes touchées.
Pour les consommateurs, l'appât est une récompense gratuite offerte par un nom familier. Pour les organisations usurpées, la campagne exploite leur image de marque afin de donner une apparence fiable à des offres génératrices de revenus.
Une récompense hors d'atteinte
Une publicité malveillante mène l'utilisateur vers un faux portail de récompenses orné de logos et de couleurs copiés. De faux compteurs de participants, des minuteurs à compte à rebours et des témoignages de gagnants récents supposés contribuent à donner l'impression d'une promotion active.
Une fois que l'utilisateur a sélectionné la valeur de la carte cadeau, une animation de progression scriptée fait semblant de générer la carte. La page affiche alors un code partiellement masqué, par exemple XXXX-XXXX-7F3A-XXXX, qui laisse penser qu'une récompense est prête et qu'il ne reste plus qu'une étape.
Cette étape est intitulée « Security Check » ou « Vérification humaine ». CTM360 appelle cette phase « Trap 10 » : au lieu de vérifier si le visiteur est un humain, le site l'envoie vers des activités tierces qui rapportent de l'argent aux opérateurs.
Ces activités comprennent des enquêtes, des quiz et des offres promotionnelles ; l'installation d'applications ou d'extensions de navigateur indésirables ; et des abonnements mobiles payants facturés via les systèmes de facturation des opérateurs locaux, qui font figurer des frais de service sur la facture de téléphone. Achever une activité ne débloque pas la carte. Le portail signale la tâche comme incomplète et redirige l'utilisateur vers une autre offre. CTM360 indique qu'aucun des parcours testés n'a remis de récompense.
Comment les opérateurs sont rémunérés
CTM360 décrit un système de commissions d'affiliation qui repose sur un grand nombre de visiteurs complétant des offres. Contrairement à l'hameçonnage classique, qui vise à voler des identifiants de connexion, ces parcours monétisent des inscriptions, des téléchargements et des abonnements, tout en collectant des informations personnelles.
Les chercheurs ont observé des redirections passant par des URL de suivi d'affiliation contenant des paramètres tels que offer_id et aff_id. Ces identifiants relient l'inscription d'un visiteur au compte d'affilié de l'opérateur. Lorsqu'un utilisateur saisit un numéro de téléphone mobile et valide un code PIN ou un mot de passe à usage unique pour un abonnement, l'opérateur perçoit une commission.
L'infrastructure sous-jacente est modulaire : elle permet aux opérateurs de remplacer la marque usurpée, l'appât fondé sur une célébrité ou le domaine sans reconstruire l'arnaque de base. La même séquence peut ainsi être réutilisée pour différentes promotions.
La conséquence concrète se situe au niveau de la prétendue étape de vérification : saisir un numéro de téléphone et confirmer un code peut valider un abonnement payant au lieu de libérer une carte cadeau. CTM360 identifie comme risques qui en découlent les frais mobiles inattendus, l'exposition d'informations personnelles et l'augmentation du spam.
