Contre la revente de billets, l’inlassable lutte anti-botnets

Pierre* était devant son ordinateur, le 20 février à 12 heures tapantes, pour la mise en vente des pass 1 jour du Hellfest — il a déjà manqué les pass 3 jours. Il veut s’y rendre en groupe, mais la production limite l’achat à deux places par personne. « Une fois les premiers achetés, je relance deux autres pages pour être dans la file d'attente. Le temps qu’elles chargent, il est 12h07 et c'est déjà trop tard : tout est sold out. » Trois minutes plus tard, « des places étaient déjà disponibles à 200 € [contre 105 € initialement, NDLR] sur des sites de revente ». Pierre est désabusé. « Je me retrouve avec deux pass au lieu de cinq, et impossible d'acheter des billets d'occasion sans débourser une somme folle. »

La mésaventure Pierre est loin d’être une exception : le groupe de K-pop Black Pink, Massive Attack, le Tournoi des Six Nations… Les événements sold out en deux temps, trois mouvements sont nombreux. Depuis plusieurs années, les organisateurs de spectacles, concerts, festivals ou événements sportifs sont confrontés à ces achats massifs de places, revendues plus chères sur d’autres sites, au détriment des particuliers dont les plaintes affluent sur les réseaux sociaux.

Exemple : si vous tapez « concert Drake » sur Google, vous aurez en résultat sponsorisé par Google l’un des sites de revente les plus connus : Viagogo. Quand vous cliquez dessus, gare au marketing agressif, vous verrez les places partir en direct : « Vendu récemment. Quelqu’un des Pays-Bas va y aller à votre place », « Plus que quelques billets »…

En France, depuis une loi de 2012, mettre en vente une place de spectacle « de manière habituelle et sans l’autorisation du producteur, de l’organisateur ou du propriétaire des droits d’exploitation (…) est puni de 15 000€ d’amende », 30 000€ en cas de récidive. Autrement dit, la revente de place reste autorisée tant qu’elle n’est pas systématisée. Viagogo a attaqué en 2018 cette loi devant le Conseil constitutionnel via une Question prioritaire de constitutionnalité, en vain.

En face, les producteurs de spectacles et d’événements s’organisent, et les actions se multiplient. La Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) s’en est mêlée en 2017, en publiant à l’intention de Viagogo une injonction à « cesser les pratiques commerciales trompeuses ». Un an après, le PRODISS, Syndicat national du spectacle musical et de variété qui rassemble plus de 350 entreprises du secteur, porte plainte au pénal contre Viagogo pour revente illicite de billets de spectacles. Malika Séguineau, directrice du PRODISS, explique que les producteurs souffrent d’un « déficit d’image » à cause de la spéculation des billets revendus.

Après la razzia sur les pass 3 jours du Hellfest l’automne dernier, les organisateurs ont porté plainte contre Viagogo — comme l’avait fait en 2016 l’UEFA pour les matchs de l’Euro, ou la FIFA avant la Coupe du monde 2018. Mais la justice peine à lutter contre des sites comme celui-ci, domicilié dans l’État du Delaware aux États-Unis.

Derrière ce business juteux de la revente de places, deux types d’acteurs : d’abord, des acheteurs et revendeurs « professionnels », dont le but est de faire de la spéculation en achetant un maximum de billets pour les revendre plus cher. L’opération n’a rien de sorcier : il suffit de se créer quelques dizaines d’adresses mail reliées à plusieurs cartes de crédit, de se faire aider par quelques personnes au moment de la mise en vente, et le tour est joué.

Le deuxième acteur est une arme redoutable : le botnet, ou « robot Internet ». « C’est un logiciel programmé pour pouvoir se comporter sur Internet comme le ferait un humain » , explique Florence Sèdes, professeur d’informatique à l’université Toulouse III. On les retrouve derrière les spams, les services clients automatiques, le minage de cryptomonnaie…. Et l’achat massif de billets. « Ils savent visiter un site, s’y logger, choisir un nombre de places et payer. »

En même temps que son dépôt de plainte, le PRODISS a lancé sa campagne #FanPasGogo. L’idée est d’enrayer la « spéculation sur des places de spectacles revendues à des prix exorbitants (au-delà de leur vraie valeur), billets contrefaits, duplicatas du même billet revendus plusieurs fois ». Les plateformes visées sont accusées de s’approvisionner « en places grâce à des “botnets” qui captent à grande échelle les billets mis en vente sur les sites officiels… laissant encore moins de chance aux fans d’obtenir une place à sa vraie valeur ».

Difficile pourtant de prouver l’utilisation de ces botnets. En 2012, un journaliste britannique a enquêté sur les pratiques de Viagogo pour la chaîne Channel 4 et montré que la plateforme achetait parfois des milliers de tickets directement auprès des organisateurs. Contacté, Viagogo dément formellement ces pratiques.

Pour autant, la lutte se déplace sur le plan technologique : limitations du nombre de billets par personne, pare-feu, vérification par sms ou Captcha… Tous ces moyens font pâle figure face aux bots qui ont toujours un coup d’avance. En 2016, une enquête du bureau du procureur général de l'état de New York affirme que « même si ces Captchas ont pu stopper des bots, d’autres programmes plus sophistiqués se sont rapidement adaptés. Souvent, ils collectent des milliers de Captchas et les utilisent pour entraîner leur logiciel à lire les nouvelles Captchas en améliorant la reconnaissance optique des caractères ».

Selon Florence Sèdes, les plateformes ne mettent pas les moyens nécessaires pour réellement endiguer le phénomène : « Il existe des solutions. Mais tout а un coût ! Ces achats de masse sont possibles dans la mesure où le site a été conçu avec un minimum de fonctionnalités, car cela demanderait plus de développement, donc un trop grand coût par rapport aux fonctionnalités basiques de l’application. » D’autant que, pour la plateforme officielle, un billet acheté pour être revendu à prix d'or reste un billet acheté…

Pourtant, les vendeurs affirment que les bots ne sont pas le principal problème. Prenant l’exemple du Hellfest, Pierre-Henri Deballon, président de la billetterie Weezevent affirme que « ce ne sont pas des robots qui achètent massivement, les frustrés de la vente s’y raccrochent car ils voient ensuite des billets sur des sites de revente. En réalité, ce sont des particuliers qui font de la spéculation de façon plus ou moins complice avec les réseaux de revente. » Selon lui, « les bots, c’était il y a cinq ans, aujourd’hui techniquement c’est quasi-impossible à une échelle significative ».

De son côté, la Fnac reconnaît « le phénomène d'achats massifiés provoqués par des botnets » ainsi que son préjudice « pour les billetteries et le secteur de l'organisation d’événements ». Sans plus de précision, l’entreprise affirme disposer de moyens « techniques ou manuels » ainsi que « d’un service entièrement dédié aux sujets de fraudes et d’attaques extérieures » pour lutter contre les botnets. Même son de cloche chez la billetterie Digitick, qui promet « des outils d’alerte pour limiter le nombre de connexions simultanées ». Pierre appréciera.

* prénom modifié

Motherboard est aussi sur Facebook, Twitter et Flipboard.