Chercheurs de la société de cybersécurité Point de contrôle ont découvert une nouvelle fraude financière en ligne appelée OPCOPROégalement renommé « L’arnaque du Truman Show ». La référence au célèbre film dans lequel le protagoniste du film, Truman (joué par un très bon Jim Carrey), il vivait, à son insu, une réalité entièrement construite par les réalisateurs de la série. Quelque chose de similaire se produit avec OPCOPRO, le système frauduleux qui ne tente pas d’infecter les appareils avec des logiciels malveillants traditionnels, mais construit tout un écosystème numérique fictif pour piéger l’utilisateur. Le mécanisme repose en fait sur la création de fausses communautés d’investisseurs peuplées quasi exclusivement de chatbots. Ces agents artificiels, en simulant des interactions humaines cohérentes sur des plateformes de messagerie (comme WhatsApp), incitent la victime à faire confiance à de présumés experts financiers et à télécharger des applications frauduleuses présentes même sur les stores officiels de Google et d’Apple. L’objectif n’est pas seulement de siphonner l’argent grâce à de faux investissements qui promettent des rendements irréalistes, mais aussi voler des données sensibles via des procédures de vérification d’identité. Une fois les documents et les données biométriques obtenus, les criminels peuvent commettre des vols d’identité, des clonages de numéros de téléphone et des accès non autorisés aux systèmes de l’entreprise.
Comment fonctionne OPCOPRO, « l’arnaque du Truman Show »
En abordant la dynamique technique et psychologique de cette opération, on constate que la sollicitation suit un scénario très précis qui contourne les sonnettes d’alarme traditionnelles. Tous Cela commence généralement par un simple SMScomme cela s’est produit en octobre 2025, lorsque de nombreux utilisateurs ont reçu des communications provenant apparemment de Goldman Sachs. Ces messages, qui promettaient des rendements boursiers exorbitants de l’ordre de 70 %ont été aussitôt démenties par le géant bancaire, qui a confirmé l’usage illicite de sa marque. Qui clique sur liens contenus dans ces messages est transporté dans ce que l’on peut définir comme un décor virtuel du « Truman Show » : un groupe WhatsApp privé où la fiction prend vie. C’est là que la victime est accueillie par deux personnalités se faisant passer pour des experts commerciaux faisant autorité. Même si leurs profils peuvent paraître professionnels et rassurants à première vue, les analyses techniques réalisées par les chercheurs de Check Point ont révélé quelque chose de complètement différent : les photos de profil utilisées sont des images de synthèse, générées par des algorithmes d’intelligence artificielle et ne correspondent pas à des personnes réelles.
Le groupe de messagerie, qui peut compter environ 90 membresest peuplé presque entièrement de robots automatisés. En observant les interactions, un schéma contre nature apparaît : alors qu’un groupe d’êtres humains présenterait des variations linguistiques et stylistiques dans les messages échangés, ces récits communiquent tous de la même manière, se limitant à célébrer sans cesse les profits et à glorifier les supposées intuitions des experts, en publiant des captures d’écran de gains fictifs. Un détail technique pertinent concerne la nature des comptes téléphoniques sur lesquels ces robots sont basés. Numéros VoIP (Voix sur IP), c’est-à-dire des numéros générés via Internet qui sont inaccessibles si vous essayez de passer un appel vocal traditionnel. Cette « chambre d’écho » permet de briser les défenses psychologiques de la victime pendant plusieurs semaines, la préparant ainsi à l’étape suivante, la plus insidieuse techniquement.
La phase critique de l’arnaque exploite la réputation des canaux de distribution officiels pour légitimer l’attaque. Après avoir noué une relation de confiance avec des victimes potentielles, les fraudeurs invitent l’utilisateur à téléchargez l’application OPCOPRO. Le fait que l’application soit disponible directement sur le Google Play Store ou sur l’App Store d’Apple amène beaucoup à baisser la garde, convaincus que les contrôles de sécurité de ces plateformes sont infaillibles. Pour renforcer encore davantage la crédibilité de l’opération, un faux accord de coopération est souvent présenté avec Oppenheimer Holdings (une banque d’investissement indépendante et une société de services financiers dont le siège est à New York). Une fois installée, l’application se révèle être une « boîte vide » : elle est techniquement simple Vue Webqui est une fenêtre de navigateur intégrée à l’application qui affiche une page Web externe. Grâce à cette astuce, les escrocs sont capables d’afficher des chiffres et des graphiques complètement manipulés sans qu’il y ait de réelle interaction avec les marchés financiers.
Le danger va bien au-delà de la perte immédiate du capital. Pour activer le compte d’investissement supposé, l’utilisateur doit suivre le processus appelé KYCacronyme de Connaissez votre client. Dans le secteur financier, cette procédure est obligatoire pour vérifier l’identité du client et prévenir le blanchiment d’argent, mais dans ce contexte, elle devient une arme à double tranchant. Il est demandé à la victime de télécharger une photo d’une pièce d’identité et un selfie à prendre en temps réel pour prouver qu’elle est une personne physique. Avec ces données en main, et avec la promesse de rendements compris entre 370 % et 700 % (promis en quelques mois seulement) pour encourager les dépôts, les criminels prennent le contrôle total de l’identité des victimes sans méfiance.
Les conséquences de ce transfert de données sont désastreuses pour la sécurité des personnes. Les chercheurs de Check Point soulignent comment, en possédant le document et le selfie de la victime, les escrocs peuvent mener à bien ce qu’on appelle échange de carte SIMune technique qui permet de transférer le numéro de téléphone de la victime vers une nouvelle SIM, interceptant ainsi les codes de sécurité pour une authentification à deux facteurs. Plus alarmante encore est la possibilité que ces données soient utilisées pour inciter les services informatiques des entreprises à accorder l’accès aux profils professionnels des victimes.
Comment vous défendre contre la fraude financière OPCOPRO
Compte tenu des écueils que présente la fraude OPCOPRO, voici quelques conseils à suivre stratégie de défense.
- Vérifiez les sources : consultez les listes de la Consob et recherchez en ligne les noms d’entreprises et de professionnels qui vous contactent. Si vous ne trouvez pas de confirmation de ce qui vous est proposé, il s’agit probablement d’une arnaque.
- Attention aux retours stratosphériques : Si un rendement semble hors marché, n’ignorez pas ce signal d’alarme important et indubitable.
- Ne suivez pas les instructions qui vous sont données : si l’on vous demande d’ouvrir des liens, de télécharger des pièces jointes ou même de fournir des pièces d’identité, ne le faites pas si vous avez identifié des problèmes critiques à partir des points précédents.