Enquête : ce que révèlent les liens de 398 publicités pour des arnaques

Mis à jour le 7 novembre 2026 · 7 min de lecture

En bref : quand quelqu’un clique sur une publicité, le lien contient souvent des données sur la campagne qui l’a créée. Nous avons analysé 398 liens différents de publicités frauduleuses à l’investissement dans 24 pays. Beaucoup affichent le nom que l’annonceur a donné à sa campagne : la célébrité, le pays, l’âge du public et la date. 13 % sont des copies de campagnes précédentes, et quand le nom contient une date, la publicité a souvent moins de trois jours.

Ce que nous avons regardé

Chaque fois que nous enregistrons une publicité, nous gardons son lien. Sur les 705 détections faites entre le 26 octobre et le 5 novembre 2026, 398 liens sont différents et tous portent des paramètres de suivi. Ce sont les données qui apparaissent après le signe « ? » dans une adresse web.

Les annonceurs s’en servent pour savoir quelle publicité fonctionne. Ils sont tout aussi utiles dans une publicité légitime. Ce qui est intéressant ici, c’est que beaucoup d’escrocs laissent leurs noms internes en clair. Dans 238 liens, on trouve des noms écrits par une personne ou des étiquettes automatiques lisibles. Dans 130, ce sont des codes aléatoires de 10 caractères, qui ne disent rien.

Nous n’avons utilisé aucun lien pour accéder à des comptes ou à des systèmes. Nous ne publions pas non plus d’identifiants, car ils n’apportent rien au lecteur.

La célébrité est une ligne du tableur

Dans 23 liens, le nom de la campagne inclut la personne usurpée. Ils suivent des formats comme ceux-ci, dont nous avons retiré les codes :

Pour celui qui gère la campagne, la célébrité est une variable comme une autre, au même titre que le pays. Il la change, teste et compare. Près d’une centaine de liens portent aussi le code du pays, ce qui confirme ce que nous avons vu dans la même plateforme avec une célébrité différente dans chaque pays.

Ils choisissent l’âge

Certains noms indiquent le public choisi : 25+, 30+, 35+, 45+, 32-65, 38-65, 40-64 et 55-65. Nous l’avons trouvé 37 fois, et aucun n’inclut les moins de 25 ans.

L’échantillon est petit, car la plupart des campagnes ne l’écrivent pas dans le nom. Mais il va dans le sens attendu : ils cherchent des adultes qui ont de l’épargne, pas n’importe qui.

Des publicités qui vivent quelques heures

Dans 51 liens, le nom contient une date que nous pouvons comparer au jour où nous avons vu la publicité. Dans 42 d’entre eux, l’écart est de deux jours ou moins. La médiane est d’un jour.

Il faut le lire avec prudence : cette date est fixée par l’annonceur et n’est pas forcément celle de la publication. Mais elle concorde avec le reste de ce que nous voyons. Ces publicités sont très récentes quand elles arrivent devant le public. Aucune liste d’alertes ne les contiendra donc encore.

Copier et recommencer

52 liens (13 %) portent des marques de copie : « Copy », « Clone » ou leur équivalent russe, « Копия ». Dans six liens, la marque apparaît deux fois : ce sont des copies de copies.

C’est la marque que laisse l’outil publicitaire quand on duplique une campagne. Dupliquer est normal en publicité, et cela ne prouve pas à soi seul que la publicité d’origine a été bloquée. Mais cela montre un travail à la chaîne : une campagne est clonée, un détail change, et elle repart. C’est pourquoi retirer une publicité précise sert à peu de chose si le compte reste actif.

Des étiquettes en russe dans 16 pays

43 liens (11 %) contiennent du texte en cyrillique, dans 16 pays, de l’Italie au Japon et au Ghana. Ils sont répartis entre 26 plateformes.

Dans 15 liens, c’est l’étiquette automatique que crée l’outil publicitaire quand il est en russe : « Новое объявление с целью “Лиды” », c’est-à-dire « Nouvelle publicité avec l’objectif “Prospects” ». D’autres sont des notes écrites à la main, avec des mots comme « ручной таргет » (ciblage manuel) ou « каталог » (catalogue).

Nous ne sommes pas les seuls à l’avoir vu. En mars 2026, Bitdefender a publié une analyse de 310 campagnes sur Meta avec les mêmes termes, dont « Копия », « крео » ou « ручка », un jargon du secteur de l’affiliation.

Cela démontre seulement qu’une partie de ceux qui achètent ces publicités travaille avec l’outil en russe. Cela ne dit rien de la nationalité de quiconque ni de qui dirige l’arnaque. La plupart des liens ne contiennent pas de cyrillique, et nous trouvons plusieurs styles de noms très différents : cela ne ressemble pas à une seule équipe, mais à de nombreux acheteurs de publicité qui ont chacun leur façon de travailler.

Ce qu’ils veulent : votre téléphone

Quand le nom indique l’objectif de la campagne, le plus fréquent est « Leads » ou « Лиды », des prospects (31 liens), suivi de « Sales » ou « Purchase » (17). Autrement dit : la publicité ne vend rien, elle obtient un contact. Ce qui est payé, c’est votre formulaire rempli. Ensuite viennent les appels.

25 liens portent aussi des champs propres aux programmes d’affiliation, comme un identifiant d’offre ou d’affilié. Cela indique qu’une partie du trafic est achetée par des tiers payés au contact.

Deux noms, une campagne

La donnée la plus utile pour suivre le réseau, ce sont les codes répétés. Une même campagne ne devrait pas promouvoir deux plateformes différentes, et pourtant :

• Garantésure et Fonds Thesorelle partagent des codes de campagne, en France.
• PoundLedgerix et Prizantment partagent une campagne et un pixel de suivi, au Royaume-Uni.
• Immediate Growth et Senvix partagent un nom de campagne peu courant.
• Halal Trade AI et WIN Token partagent un pixel de suivi, aux Émirats et en Arabie saoudite.

C’est une preuve plus forte que le partage de célébrités : le même compte publicitaire promeut deux noms. C’est une raison de plus pour laquelle le nom compte peu.

Où elles apparaissent

196 liens indiquent à quel endroit de Facebook la publicité a été affichée :

Une sur quatre est apparue sur Marketplace, un endroit où les gens vont pour acheter et où ils sont parfois moins sur leurs gardes. Gardez à l’esprit que ces valeurs ne reflètent que les publicités que nous enregistrons, pas tout ce qui est publié.

Ce que cela signifie pour vous

1. Ne figurer sur aucune liste ne veut rien dire. Ces publicités peuvent avoir un jour d’existence. Vérifiez si la société est autorisée, pas si elle fait l’objet d’une alerte : comment vérifier un broker.
2. Vous n’avez pas été choisi par hasard. La publicité vise un pays et un âge précis, avec la célébrité testée pour ce public. Si elle vous semble proche, c’est voulu.
3. Une publicité sur Marketplace ou dans votre fil d’actualité n’a été vérifiée par personne qui garantisse l’investissement.
4. Si vous laissez votre téléphone, vous avez déjà fait ce qu’ils voulaient. Si cela vous est arrivé, suivez le guide pour les victimes.

Limites de cette enquête

• Nous ne voyons que les publicités enregistrées dans 24 pays pendant onze jours. Ce n’est pas un échantillon aléatoire.
• Les noms de campagne sont fixés par l’annonceur. Ils peuvent contenir des erreurs ou être trompeurs.
• Nous interprétons des abréviations que nous ne pouvons pas toujours confirmer. Par exemple, nous ne savons pas avec certitude ce que signifie « Cat ».
• Un même lien peut passer par plusieurs intermédiaires, et nous ne savons pas qui a acheté chaque publicité.
• Identifier la langue d’un outil n’identifie pas une personne.