Depuis plusieurs semaines, la rédaction observe sur Instagram des dizaines de comptes au mode opératoire identique : cloner le profil d’une jeune femme, modifier la biographie pour promouvoir du contenu pornographique, et rediriger les visiteurs vers une chaîne d’arnaques visant la carte de crédit. Cette enquête retrace la filière, des Philippines au prélèvement bancaire, en passant par Wix, Pocket Stars, Fansly et plusieurs faux sites de rencontre construits sur le même moule.
Le mode opératoire vu depuis l’extérieur
Le scénario est presque toujours le même. Un internaute reçoit une demande d’abonnement d’un compte Instagram qui ressemble à un proche — même prénom, même photo de profil, même style visuel. Le pseudonyme diffère parfois d’une lettre, parfois d’un point, parfois d’un underscore. La biographie, en revanche, ne laisse aucune ambiguïté : elle promet du contenu pornographique et invite à cliquer sur un lien externe.
Pour gagner en visibilité, le faux compte va systématiquement suivre une partie des abonnés du compte cloné. L’objectif est de faire croire à ces abonnés que la personne qu’ils suivent a créé un nouveau profil — alors qu’il n’en est rien. Ce mécanisme repose sur une faille humaine simple : on accepte plus volontiers une demande d’abonnement quand le nom et le visage sont familiers.
La rédaction a identifié plusieurs dizaines de profils correspondant à ce schéma au cours des derniers mois. Tous reprenaient l’image de jeunes femmes — parfois mineures, parfois majeures, jamais consultées — qui n’ont aucun lien avec le contenu adulte mis en avant.
Premier maillon : le clic vers le faux site
En cliquant sur le lien de la biographie, le visiteur arrive sur une page qui pousse l’usurpation un cran plus loin. Le prénom y est repris, des photos volées également, et une description plus complète promet l’accès à du contenu pornographique exclusif. Le visuel est soigné — il imite presque pixel pour pixel celui d’une plateforme légitime.
Dans les cas testés par la rédaction, ces faux sites étaient construits sur Wix, l’éditeur de sites gratuit. Un détail trahit l’origine : un bandeau publicitaire propre au plan gratuit de Wix s’affiche en haut de la page. Un signal qui devrait alerter — mais qui passe inaperçu pour la plupart des visiteurs.
Plus précisément, ces pages imitent le visuel de Pocket Stars, une plateforme de contenu adulte enregistrée légalement au Royaume-Uni sous l’entité Pocket Stars LTD. Pocket Stars existe réellement et propose effectivement du contenu pornographique payant — mais n’a aucun lien avec ces faux sites. Son identité visuelle est simplement détournée pour donner un vernis de légitimité à l’arnaque.
Sur le faux site, un rectangle invite à « subscribe to me for 30 days ». Un clic, et le visiteur est redirigé vers une nouvelle URL — qui n’a plus rien à voir ni avec Wix, ni avec Pocket Stars.
Deuxième maillon : la collecte des identifiants
La page de redirection demande trois informations : une adresse courriel, un nom d’utilisateur, un mot de passe. Une étape qui ressemble à une simple inscription, mais dont l’enjeu est ailleurs.
Si le mot de passe saisi par la victime est le même que celui qu’elle utilise sur sa boîte mail, sur ses réseaux sociaux ou sur sa banque en ligne, ces identifiants alimentent immédiatement la chaîne du credential stuffing — où des robots tentent automatiquement les combinaisons mail/mot de passe sur des dizaines de services. Le compte courriel de la victime peut ainsi être compromis dans les minutes qui suivent, sans qu’elle ne le sache. C’est le même type de récolte d’identifiants que l’on retrouve dans les attaques par hameçonnage bancaire que la rédaction a documentées en détail — la mécanique est identique, seul le décor visuel change.
La page suivante est encore plus directe. Elle demande les coordonnées d’une carte de crédit — soi-disant pour vérifier l’âge de l’inscrit. Un message rassurant en bas de page précise que la carte ne sera pas débitée. C’est le mensonge clé de l’arnaque.
Troisième maillon : le prélèvement
Dans les faits, un prélèvement est effectué dans les heures qui suivent. Le montant est généralement modeste — quelques dollars, parfois une dizaine — pour ne pas déclencher d’alerte immédiate. Suivent souvent d’autres prélèvements, ou la revente des informations de carte sur des marchés clandestins où elles atteignent quelques dollars pièce.
C’est l’objectif final de toute la chaîne : obtenir des numéros de carte valides, en quantité, sans laisser le temps à la victime de se rendre compte qu’elle a été flouée.
L’enquête : remonter à l’origine
À ce stade, la rédaction a souhaité aller plus loin que la simple description de l’arnaque. Plusieurs pistes étaient ouvertes : les faux comptes Instagram, les faux sites Wix, les pages de collecte d’identifiants, et les sites de prélèvement.
Premier indice : les indicatifs téléphoniques
Pour chaque faux compte Instagram identifié, la rédaction a tenté la procédure de récupération de mot de passe — sans valider, simplement pour observer le numéro de téléphone associé. Le résultat était systématiquement le même : tous les comptes testés étaient liés à un numéro débutant par l’indicatif +63.
Un détour rapide par Wikipédia confirme : +63 est l’indicatif des Philippines. Cette donnée n’a rien d’anodin. Les Philippines sont depuis plusieurs années identifiées comme un centre d’opérations de cyberescroqueries — sextorsion, romance scams, faux comptes — souvent montées en équipes professionnelles dans des espaces de travail dédiés. Le pays est cité régulièrement dans les rapports d’Interpol et du Centre antifraude du Canada parmi les principaux pays d’origine de ce type de fraude visant le public occidental.
Deuxième indice : les pages de service
Les faux sites Wix n’ont rien donné — ils sont conçus pour disparaître rapidement et ne laissent quasiment aucune trace exploitable.
La piste la plus prometteuse était celle des sites de redirection. La rédaction a remonté à la racine de l’un d’eux — frlysglmt.com — et est tombée sur une page qui ressemblait à un service à la clientèle dédié aux questions de facturation et de transaction. Un visuel sobre, un encart vert proposant : « Visit Friendly Singles Meetup! »
En cliquant, on arrivait sur ce qui ressemblait à un site de rencontre demandant date de naissance, courriel, région et code postal. Pas de contenu adulte, pas de lien explicite avec Pocket Stars — juste un site de rencontre d’apparence anodine.
Troisième indice : la fausse Fansly
La rédaction a refait la même opération à partir d’un autre faux compte Instagram, dont le lien menait cette fois à une copie du visuel de Fansly — une autre plateforme de contenu adulte légitime, dont l’identité est elle aussi détournée.
La racine du site était pcnghw.com. Une URL différente, mais une page de service à la clientèle visuellement identique à la précédente — la même dame souriante, la même structure de page, le même encart vert. Cette fois, l’invitation pointait vers « Visit Ties Your Love Together! » — encore un site de rencontre.
Deux racines différentes, deux faux sites différents (Pocket Stars cloné, Fansly cloné), mais la même page de service à la clientèle et le même type de redirection finale. La conclusion s’imposait : on a affaire à une infrastructure mutualisée. Les fraudeurs disposent d’un back-office commun, avec des composants graphiques réutilisés et plusieurs dizaines de domaines servant uniquement de couches superficielles.
Pourquoi cette arnaque fonctionne encore
Trois facteurs convergent pour faire vivre cette filière depuis plusieurs années.
La crédibilité visuelle. Les fraudeurs ne lésinent pas sur la qualité graphique des faux sites. Le visuel imite à la perfection celui des plateformes légitimes (Pocket Stars, Fansly). L’oeil non averti — et même un internaute prudent — peut s’y laisser prendre quelques secondes, ce qui suffit pour cliquer.
L’effet de proximité. Cloner un compte Instagram d’un proche transforme un message d’inconnu en message d’ami. C’est l’arme principale du dispositif : elle court-circuite le réflexe de méfiance que la plupart des internautes ont face aux liens suspects.
La friction du recours. Une fois la fraude consommée, la victime doit faire opposition à sa banque, signaler le compte Instagram, signaler les faux sites, parfois changer plusieurs mots de passe. Beaucoup renoncent. Et tant que la friction du recours est plus haute que la perte financière (quelques dollars), l’arnaque reste rentable.
Ce que les plateformes pourraient faire
Wix peut détecter les sites qui imitent visuellement des plateformes adultes connues — et le fait, mais avec un délai. Instagram peut détecter les comptes nouvellement créés qui suivent massivement les abonnés d’un autre profil — et le fait aussi, mais imparfaitement. Meta peut détecter les comptes publicitaires qui financent en masse des publicités frauduleuses — c’est précisément la mécanique observée dans notre enquête sur les fausses publicités Facebook — mais ces détections arrivent généralement après plusieurs semaines d’exploitation. Les opérateurs téléphoniques philippins peuvent suivre les attributions de numéros utilisés en masse pour des opérations frauduleuses — mais leurs procédures de coopération internationale sont lentes.
Aucun de ces acteurs n’a, individuellement, intérêt à briser la chaîne. Le coût de la modération préventive est porté par l’hébergeur ou la plateforme ; le bénéfice de la prévention rejaillit sur l’écosystème entier. C’est un classique problème d’externalité — qui se règle généralement par la régulation ou la pression publique, pas par la bonne volonté des plateformes.
Comment se protéger
Pour le grand public, la défense reste simple :
- Vérifier les comptes Instagram qui vous suivent. Si le nom d’utilisateur est presque identique à celui d’un proche mais avec une variation (point, underscore, double lettre), c’est un signal fort.
- Ne jamais cliquer sur un lien dans une biographie Instagram qui promet du contenu adulte. C’est la porte d’entrée systématique de cette arnaque.
- Ne jamais entrer ses coordonnées de carte de crédit pour « vérifier son âge ». Aucune plateforme légitime ne procède ainsi.
- Activer la double authentification sur Instagram, Facebook, votre boîte mail et votre banque en ligne. Même si un mot de passe fuite, le compte reste protégé.
- Signaler immédiatement un compte qui se fait passer pour un proche, via la fonction « Cette personne se fait passer pour quelqu’un » d’Instagram.
Et pour les proches d’une victime : le réflexe à avoir est de prévenir la banque dans la même journée. Le temps joue contre la victime.
Cette enquête a été conduite à partir d’observations directes sur Instagram entre novembre 2021 et janvier 2022. Les noms de domaines mentionnés (frlysglmt.com, pcnghw.com) étaient actifs au moment de l’investigation et peuvent avoir été remplacés depuis. Les plateformes Pocket Stars et Fansly sont mentionnées uniquement parce que leur identité visuelle a été détournée par les fraudeurs — elles ne sont aucunement impliquées dans cette filière.