Ce que la “reine de la mafia du covoiturage” peut nous apprendre sur l’onboarding sécurisé

• La “reine du covoiturage” a escroqué de nombreuses applications
• Utilisation de permis de conduire copiés illégalement pour créer de nouveaux comptes
• Les chauffeurs “louaient” ses fausses identités, ce qui lui a permis de gagner une fortune.
• Elle aurait pu être arrêtée grâce à ce simple contrôle

Priscila Barbosa est arrivée à l’aéroport JFK de New York avec un visa de touriste en provenance du Brésil, le 24 avril 2018, à l’âge de 32 ans, avec seulement 117 dollars à son nom – et a immédiatement dépensé une grande partie de cette somme pour un billet de bus à destination de Boston.

Trois ans plus tard, elle a gagné des centaines de milliers de dollars en tant qu’architecte d’une escroquerie à l’identité élaborée qui l’a finalement fait surnommer “la reine de la mafia du covoiturage”.

M. Barbosa a connu cette ascension fulgurante après avoir découvert comment créer de faux comptes de chauffeur qui permettaient à ses compatriotes immigrés sans carte verte – et donc sans droit légal de travailler – d’accéder immédiatement à ce que l’on appelle l’économie de l’engagement.

Son escroquerie lui a permis d’obtenir pour ces personnes des comptes de travail en tant que chauffeurs pour des applications de taxi telles que Lyft et Uber, afin qu’elles puissent contourner les restrictions de travail imposées par l’immigration et gagner un salaire.

Création de faux comptes et “location” de ces comptes à des conducteurs illégaux

Une fois qu’elle avait réussi à déjouer les contrôles de sécurité de l’entreprise qui l’employait, elle “louait” le compte qu’elle avait créé à un migrant – généralement un autre Brésilien, comme elle, titulaire d’un visa de touriste. Ils lui versaient une commission hebdomadaire sur leur salaire pour l’accès qu’elle leur donnait à cette plateforme et le travail rémunéré qui en découlait.

Lorsque la pandémie a mis fin à l’offre de taxis presque du jour au lendemain, il y a eu à l’inverse un boom de la demande de plats à emporter – et Barbosa, pleine de ressources, a pu faire pivoter son modèle d’entreprise pour créer le même scénario pour les applications proposant des plats livrés à domicile et ayant besoin d’un flux régulier de chauffeurs.

Aujourd’hui, les entreprises qu’elle a trompées sont Instacart, DoorDash, Uber Eats et Grubhub.

Cette escroquerie lui a également permis d’empocher des centaines de primes d’inscription.

Les permis volés étaient la porte d’entrée d’une vaste escroquerie

Comment Barbosa a-t-elle réussi à tromper toutes ces plateformes et à créer son empire ? Si vous souhaitez obtenir plus de détails que ce que je vous propose ici, Wired a publié l’ autre jour un très bon article sur l’ensemble de l’histoire qui vous en dira beaucoup plus.

Mais pour ce qui me concerne, un résumé de sa série de délits liés aux fausses cartes d’identité suffira, car je m’intéresse davantage aux leçons que nous pouvons tirer de son histoire qu’à sa carrière haute en couleur.

Barbosa disposait de ressources minimales, du moins au début, mais elle était très douée pour la technologie, en particulier pour trouver des moyens de contourner la sécurité des systèmes. Elle avait également un sens inné du réseautage, capable de nouer rapidement des relations et d’en entretenir des centaines à la fois. Ces deux compétences lui ont permis de parcourir un long chemin en très peu de temps.

Où a-t-elle trouvé autant d’identités de conducteur ?

Son métier a commencé lorsqu’elle a essayé de trouver un moyen de devenir elle-même conductrice. Elle a utilisé le permis de conduire de quelqu’un d’autre – et ça a marché. Elle a donc commencé à aider les autres à faire de même.

Dans un premier temps, elle a demandé à des amis de lui fournir des pièces d’identité détournées. La première qu’elle a obtenue provenait d’une escroquerie au démarchage à domicile : des consommateurs légitimes recevant des colis se voyaient demander de présenter une pièce d’identité pour que leur colis leur soit remis. Le chauffeur distrayait le client et prenait rapidement un gros plan de son permis de conduire, et cette image parvenait à Barbosa qui pouvait la cloner.

Lorsque cette source n’a pas été en mesure de fournir des licences en quantités suffisantes, elle s’est tournée vers le dark web – où ce type de matériel très privé est échangé librement – et a commencé à acheter des images de licences détournées en plus grand nombre.

Une fois qu’elle avait téléchargé un permis, le reste était facile. Parce qu’il n’y a eu que très peu de tentatives, voire aucune, pour recouper les détails du permis volé avec le reste des informations ajoutées par le titulaire du compte.

Elle a exploité une faiblesse systémique – ils vérifiaient la mauvaise chose

Souvent, les applications se rendaient rapidement compte qu’elles étaient usurpées et fermaient les nouveaux comptes assez rapidement – mais Barbosa en ouvrait simplement de nouveaux en réponse.

Comment des marques d’une telle envergure et d’un tel chiffre d’affaires ont-elles pu se faire escroquer par un chômeur qui n’avait pour tout bagage qu’un iPhone et 50 dollars ?

Le principal problème provenait de cette dépendance initiale à l’égard du téléchargement d’un permis de conduire en tant qu’épine dorsale de leurs processus de vérification. Je suppose qu’il semblait naturel, voire logique, que les entreprises souhaitant recruter des chauffeurs optent pour cette méthode lors de la création de leur entreprise. Elles ne voulaient pas que des chauffeurs non qualifiés travaillent sous leur nom de marque et cela a dû leur sembler la meilleure façon de s’assurer que ce n’était pas le cas. Mais, de manière contre-intuitive, ce n’était pas le cas à l’époque et ce n’est pas le cas aujourd’hui.

Comme cette histoire le démontre amplement, il est facile de se procurer de fausses cartes d’identité et il en existe de grandes quantités. Le téléchargement d’un document n’est donc pas un bon point de départ pour la vérification.

Voici ce qu’ils auraient dû faire : vérifier leur téléphone, pas leur permis.

En fait, le meilleur point de départ est le numéro de téléphone du demandeur. La grande majorité des personnes de bonne foi possèdent le même numéro depuis plusieurs années. En vérifiant à la fois le statut actuel et l’historique d’un numéro, nous pouvons voir d’un seul coup s’il présente des signes avant-coureurs de fraude : son comportement est-il cohérent, se trouve-t-il physiquement à l’endroit où vous vous attendez à le trouver, est-il nouvellement enregistré, et ainsi de suite.

Une fois que vous avez établi la crédibilité du numéro du nouvel utilisateur, le téléchargement de documents en tant que deuxième niveau de contrôle facultatif est acceptable, mais il ne doit jamais constituer le point de départ.

Pour preuve, c’est le fait qu’une grande partie de son travail d’escroquerie ait été effectué à partir d’un seul téléphone portable ou lié à celui-ci qui a permis à Barbosa d’être identifiée et appréhendée par le FBI au terme d’une enquête longue et coûteuse qui a débouché sur 17 affaires pénales.

Elle a protesté lors du procès en déclarant qu’elle avait cru que sa simulation était un crime sans victime.

En effet, les milliers de personnes dont l’identité a été usurpée ont sans doute subi de nombreuses indignités, des désagréments et probablement des pertes financières. Elle a été emprisonnée pendant trois ans.

Mais si le numéro de téléphone fourni par le FBI avait été vérifié lors de sa première demande il y a six ans, rien de tout cela ne serait arrivé.