"Une personne qui a changé d'identité en 2006 est retraçable ou pas ?" L'internaute qui pose cette question n'explique pas ses motivations. Peu importe. Sur le moteur de recherche qu'il consulte, il peut trouver en un clic, à partir d'un nom et d'un prénom, tout un tas de données personnelles rattachées à une personne. Son numéro de téléphone, son adresse mail ou postale, voire ses coordonnées bancaires… Cet outil, que franceinfo a pu consulter, est disponible en libre accès sur internet.
Il s'agit d'un searcher (ou lookup, verbe anglais qui signifie "chercher" ou "rechercher"), une menace récemment identifiée par les forces de l'ordre. Ces lookups sont souvent alimentés illégalement par les fuites de données dont les Français sont victimes. Ils pullulent sur internet ou sur des plateformes grand public comme Discord ou Telegram. Cet écosystème permet à ceux qui le bâtissent de gagner non seulement de la notoriété sur les réseaux sociaux, mais aussi de l'argent, en fournissant des informations volées à qui les désire, et ce quelles que soient les motivations : monter des arnaques, des vols ou des violences.
"Si vous saviez le nombre de searchers qui existent en ce moment, c'est fou !", décrit à franceinfo Jules*. Avec son acolyte, qui se dissimule derrière le pseudonyme "Punisher", ils se présentent, à 16 ans seulement, comme les gérants de plusieurs serveurs Discord de lookup qui ont rassemblé des dizaines de milliers de membres. "Il y a tellement de serveurs qui n'ont pas beaucoup de membres" et passent plus facilement sous les radars, ajoute l'adolescent.
Franceinfo en a repéré plus d'une vingtaine, rien que sur Discord. Ils ne sont pas bien compliqués à trouver : des utilisateurs affichent des liens vers ces serveurs dans la biographie de leur compte. Sur Telegram, de nombreux groupes, bots automatisés et mini apps proposent les mêmes services. Des vidéos sur les réseaux sociaux comme TikTok en font la promotion. Et certains sont accessibles via des moteurs de recherche classiques comme Google.
Sous les canaux de discussion publics de ces serveurs, où cohabitent souvent discussions anodines et mèmes, ces blagues visuelles typiques d'internet, il suffit de choisir le type de recherche qu'on veut effectuer et de donner des informations de départ sur la personne (nom ou numéro de téléphone). Le système renvoie alors de nombreuses informations, parfois gratuitement (jusqu'à un certain nombre de requêtes) ou alors contre quelques centimes ou un abonnement.
Les données répertoriées par certains searchers laissent peu de doute sur leur origine, à savoir les nombreux piratages qui ont frappé la France ces dernières années : opérateurs téléphoniques, Caisse nationale d'allocations familiales, France Travail, fédérations sportives, fisc, Agence nationale des titres de séjour, ministère de l'Education nationale…
Chaque nouvelle fuite de données contribue à alimenter ces services. "Les lookups regroupent et recoupent 20, 30, 100 bases de données différentes", décrit Thomas Damonneville, fondateur de StalkPhish, une entreprise de lutte contre la fraude en ligne. En un clic, il est alors possible d'avoir beaucoup plus d'informations sur sa cible.
Pas besoin d'acheter les bases de données une par une. Certaines sont diffusées gratuitement sur des forums, et "des searchers proposent d'acheter l'accès à leurs bases recoupées", raconte Thomas Damonneville. Plusieurs personnes peuvent alors créer leur propre "magasin", tous les magasins venant s'alimenter au même "fournisseur".
Jules précise le processus : "Imaginons que j'achète une clé d'accès à un gros searcher pour 20 000 euros. Je peux vendre l'accès à des lots de 5 000 recherches par jour. Quelqu'un va acheter l'accès à ce lot, puis le découper en de nouveaux lots plus petits qu'il va lui-même revendre, et ainsi de suite." A l'ère des tutoriels en tous genres et des intelligences artificielles (IA) génératives, pas besoin d'être un génie de l'informatique pour y arriver.
Quel est le but des utilisateurs ? Si l'on en croit les échanges publics, beaucoup cherchent à doxxer quelqu'un – c'est-à-dire l'intimider ou lui nuire en divulguant publiquement des informations privées, comme son adresse ou son vrai nom.
Mais ces informations peuvent servir à monter des campagnes de "hameçonnage" (phishing) ciblées, des arnaques qui utilisent les informations personnelles de la victime pour créer le mensonge le plus crédible possible. "On peut envoyer en masse des mails avec le nom, prénom et Iban de la personne et se faire passer pour sa banque", décrit Thomas Damonneville. Arnaque au faux conseiller bancaire, usurpation d'identité, cambriolages ciblés voire cryptorapts… Tout est imaginable.
"Le phishing aide aussi les pirates à récupérer de nouveaux codes d'accès, qui vont servir à entrer dans une nouvelle structure pour réaliser une nouvelle fuite de données…, décrit l'ingénieur Loïc Vaucheret, qui travaille pour l'entreprise française de cybersécurité HarfangLab. C'est un business model qui s'autoalimente."
"Les lookups ne donnent pas naissance à de nouveaux modes de criminalité, mais ils les rendent beaucoup plus efficaces et précis", résume Eric Bothorel, député des Côtes-d'Armor (apparenté Ensemble pour la République). L'élu, en pointe sur les sujets numériques, a signalé trois services de lookup à la justice en juin.
La plupart des searchers se dédouanent de toute responsabilité, en affichant un avertissement de quelques lignes. "Le searcher doit être utilisé uniquement pour des recherches légales, respectueuses et utiles", écrit l'un d'eux.
Mais "si le searcher est alimenté totalement ou en partie par une fuite de données issue d'une cyberattaque, il ne respecte pas le règlement européen sur la protection des données [RGPD]", résume Thibault Douville, professeur en droit du numérique à l'Université de Caen. Les opérateurs de lookups illégaux risquent jusqu'à dix ans d'emprisonnement et un million d'euros d'amende, pour plusieurs infractions listées dans le Code pénal.
Tous les maillons de la chaîne sont concernés. "Le hacker responsable de la fuite est en infraction, mais l'agrégateur qui va rassembler les différentes données aussi, de même que celui qui fournit le service de lookup et la personne qui achète ces données", souligne l'avocate Eléonore Favero Agostini, spécialisée en droit du numérique.
"Un individu qui entre son propre nom dans un 'lookup' ne commet a priori rien d'illégal. Mais dès qu'il collecte des informations sur des tiers, il réalise lui-même un traitement de données illicite et peut être poursuivi pour recel."
Certains lookups sont présentés comme des services d'Osint (autrement dit de "recherche en sources ouvertes" à partir de données publiques) parfaitement légaux. Mais attention : "Ce n'est pas parce qu'une donnée a été diffusée sur le dark web une fois qu'elle devient publique au sens du droit", avertit Aline Yvon, avocate spécialisée en droit du numérique au barreau de Paris.
Thibault Douville ajoute une subtilité importante : "Il faut que ce service soit soumis au RGPD, et donc que l'éditeur du service soit établi dans l'Union européenne, suive le comportement des utilisateurs européens ou s'adresse spécifiquement à des utilisateurs européens. Autrement, c'est le droit du pays de l'éditeur, potentiellement moins protecteur, qui s'applique." Aline Yvon et Eléonore Favero Agostini ne partagent pas cette analyse : "Le seul fait que le searcher soit accessible à des utilisateurs européens ou traite leurs données volées suffit."
Ces services n'ont pas échappé à l'attention de la justice. Auprès de franceinfo, le parquet de Paris affirme qu'à ce stade deux informations judiciaires sont ouvertes concernant des lookups, chacune ayant donné lieu à une mise en examen suivie d'un placement en détention provisoire.
L'un des mis en cause est un homme de 19 ans accusé d'être le créateur d'un canal Telegram "usurpant la charte graphique de l'unité C3N [Centre de lutte contre les criminalités numériques] de la gendarmerie nationale", décrit le parquet de Paris, confirmant des informations du site ZDnet. Aucune condamnation n'a encore été prononcée dans un dossier de lookup, mais "d'autres enquêtes" sont en cours, selon la même source.
"On est souvent sur des jeunes qui ne se rendent pas compte qu'ils prennent des risques. Ils répondent à un effet de meute, comme si c'était un challenge TikTok d'avoir la base de données la plus aboutie."
Comme les hackers à l'origine des fuites de données, les gérants de lookups sont souvent des hommes, mineurs ou jeunes majeurs, motivés par la recherche de popularité. "Il y a comme une compétition qui consiste à avoir le plus grand nombre de bases de données volées", expliquait en avril dans Le Monde Johanna Brousse, vice-procureure et cheffe de la section de lutte contre la cybercriminalité du parquet de Paris. Jules affirme être motivé par le challenge technique et reconnaît avoir utilisé des bases de données volées, mais assure avoir entamé une transition vers l'Osint légal.
Discord et Telegram, plateformes sur lesquelles ces services prolifèrent, ferment régulièrement des serveurs. Mais "les hébergeurs de contenus n'ont pas d'obligation générale de surveillance", rappelle Aline Yvon. "Quand on leur signale un contenu manifestement illicite, ils doivent le retirer rapidement, mais le principe n'est pas toujours respecté", déplore l'avocate spécialisée.
Contactée par franceinfo, Discord n'a pas répondu. Auprès du Journal du Net, Telegram rappelle que "la vente ou le partage de données personnelles sans consentement [doxing] constitue une violation explicite de nos conditions d'utilisation et est strictement interdite sur Telegram". L'entreprise assure que ses "équipes de modération suppriment de manière proactive ce type de contenus ainsi que les bots et chaînes qui les diffusent, conformément à nos obligations au titre du DSA."
Un internaute qui découvre ses données personnelles dans un lookup peut le signaler auprès de la plateforme qui l'héberge, de la Commission nationale de l'informatique et des libertés (Cnil), et porter plainte. "Le juge peut également prononcer le blocage du site par les fournisseurs d'accès à internet [FAI]", pointe Thibault Douville.
Mais les délais de traitement de la Cnil peuvent être longs. La plainte au pénal peut mettre du temps à aboutir, car "on sait rarement qui se cache derrière ces services", qui peuvent être établis dans "des juridictions peu coopératives, utiliser des paiements en cryptomonnaies, des hébergeurs qui masquent leur identité, des messageries chiffrées", liste Eléonore Favero Agostini. Le blocage au niveau du FAI ne concerne que la France, et peut être contourné par un VPN (un réseau virtuel qui permet de masquer sa localisation véritable) ou des "sites miroir".
Et les créateurs des searchers brouillent leurs traces. Certains donnent le titre officiel de gérant du serveur à des hommes de paille. Les mots comme "dox" ou "leak" sont parfois bannis dans les canaux publics, de peur d'alerter la modération. Les groupes ferment au bout de quelques semaines, avant de rouvrir sous d'autres noms. Un jeu du chat et de la souris permanent.
