Cache-cache avec les testeurs : Un YouTuber et un expert en criminalistique numérique découvrent un nouveau scandale lié au miel

Fin 2024, Le YouTuber MegaLag a publié une vidéo exposant un système qui va bien au-delà de simples astuces de commission. Depuis, Honey a vu sa base d'utilisateurs décliner de façon vertigineuse. De 17 à 20 millions d'utilisateurs d'extensions Chrome, il n'en reste plus que 12 millions, selon les chiffres actuels de Chrome Web Store les chiffres actuels. Dans une nouvelle vidéole YouTuber fait de sérieuses allégations à l'encontre de l'entreprise. Pour garantir ses conclusions techniques, MegaLag a fait appel à Ben Edelman, chercheur en sécurité de renom, qui a vérifié ses découvertes de première main.

Ensemble, ils ont mis au jour un système dont les proportions rappellent le scandale du Dieselgate. Le système SSD (Selective Standdown) serait une logique cachée dans le code source qu'Honey utilise comme une cape numérique. Le principe serait aussi simple que perfide : l'extension du navigateur reconnaîtrait des caractéristiques spécifiques pour déterminer si elle est utilisée par un testeur ou un utilisateur régulier. Selon les analyses, quatre critères centraux seraient vérifiés pour identifier les testeurs potentiels : l'âge du compte, le solde de points, une liste noire côté serveur, et la présence de cookies de réseaux d'affiliation professionnels comme CJ ou Awin. Si Honey soupçonne qu'un initié de l'industrie l'observe, l'extension est censée se comporter en toute conformité et s'abstenir d'écraser les liens de suivi de tierces parties. Toutefois, dès que le logiciel identifie un acheteur normal, par exemple une personne possédant de nombreux points de fidélité mais aucun cookie professionnel, il passe en mode attaque et injecte ses propres codes pour s'emparer de commissions qui appartiendraient en réalité aux influenceurs.

M. Edelman compare ce comportement au scandale du Dieselgate de Volkswagen, car le logiciel aurait été spécifiquement programmé pour reconnaître et manipuler les situations de test. Les preuves sont lourdes, car elles ne sont pas basées sur des suppositions, mais ont été extraites directement des fichiers de configuration de l'extension et du code JavaScript. Cette logique de manipulation aurait été affinée au fil des ans ; par exemple, le seuil de points requis pour déclencher la manipulation est passé d'environ 501 points en 2022 à plus de 65 000 points actuellement, ce qui rend la découverte par des testeurs occasionnels presque impossible. Pour les enquêteurs, la dissimulation ciblée aux testeurs prouve avant tout que Honey savait parfaitement que son propre comportement violait les règles actuelles du réseau et qu'elle s'est donné beaucoup de mal pour ne pas se faire prendre. Les preuves de l'existence du protocole Selective Standdown remonteraient à 2017. Cela remonte à l'époque où PayPal ne possédait pas encore une partie de l'entreprise.

Un autre point critiqué dans la vidéo est la tromperie délibérée des utilisateurs par le biais d'une base de données de coupons artificiellement gonflée. MegaLag souligne que Honey déguise souvent des codes expirés ou même non fonctionnels en codes exclusifs, juste pour garder l'utilisateur dans l'extension. Pendant que le processus de vérification automatisé se déroule, Honey placerait son propre cookie d'affiliation en arrière-plan et écraserait souvent les liens des influenceurs ou des créateurs de contenu, même si aucune réduction fonctionnelle n'a été trouvée. Cette procédure est censée garantir que la commission finisse chez PayPal, tandis que l'intermédiaire initial repart les mains vides. Dans une autre vidéo, MegaLag a également montré qu'Honey s'emparait des coupons saisis par les utilisateurs et les distribuait à d'autres utilisateurs. Si les exploitants de magasins tentent d'intervenir, ils sont contraints de conclure un partenariat avec Honey. Le comportement d'Honey est globalement discutable. Du point de vue de l'utilisateur, les atteintes à la vie privée sont avant tout désagréables. La conséquence la plus désagréable pour les détaillants est probablement la destruction systématique de leurs stratégies de marketing. La publication non autorisée de codes de réduction privés entraînerait des pertes de revenus massives. Pour reprendre le contrôle de leur propre système de réduction, les détaillants sont alors attirés par un partenariat avec Honey. Les entreprises et les créateurs de contenu qui dépendent des revenus du marketing d'affiliation sont systématiquement privés de leurs gains, car Honey ne sécuriserait la commission pour des ventes déjà considérées comme sûres qu'au moment du paiement.