Est-ce le retour du péril jeune? Dans une conférence organisée par le Washington Post, Lisa Monaco, la procureure générale adjointe des États-Unis, a signalé son inquiétude à propos des groupes de jeunes hackeurs malveillants. Des Advanced Persistent Teenagers, ironise la newsletter spécialisée Seriously Risky Business, un clin d’œil à l’acronyme APT (Advanced Persistent Threat).
Adultes et adolescents
Une crainte à mettre en rapport avec l’attaque de la firme hôtelière et de jeu Caesars Entertainment. L’entreprise a payé une rançon de plusieurs dizaines de millions de dollars pour empêcher la divulgation des données volées. Or selon Bloomberg, le groupe de pirates à l’œuvre serait un mélange de jeunes adultes et d’adolescents. Donnant à ce gang un air de ressemblance avec Lapsus$. Ce groupe qui avait défrayé la chronique était dirigé par deux adolescents anglais, avait établi la justice britannique.
Ce phénomène des hackeurs juvéniles n’est « pas si nouveau”, tempère Lisa Monaco. Mais, ajoute-t-elle en substance, il y a comme une radicalisation en ligne de ces hackeurs boutonneux. Les barrières à l’entrée étant assez faible – il suffit finalement d’avoir une connexion internet -, un adolescent peut facilement être embarqué dans des aventures interlopes. Et qu’il ait des compétences en informatique ou pas, il peut au final faire de gros dégâts.
Nombreux exemples
Les exemples de jeunes cybercriminels sont d’ailleurs nombreux. Sébastien Raoult, ce jeune français extradé depuis le Maroc vers les Etats-Unis, vient ainsi de plaider coupable de s’être attaqué aux données d’une soixantaine d’entreprises. Le jeune homme de 22 ans fait partie, avait expliqué la justice américaine, du groupe des ShinyHunters, un cercle qui compterait également deux autres jeunes français déjà connus des services de police.
Autre exemple: aux Etats-Unis, six jeunes adultes âgés de 22 à 28 ans avaient été condamnés en novembre 2021 dans un retentissement dossier de sim-swapping. Cette technique d’ingénierie sociale consiste à prendre le contrôle d’un numéro de téléphone portable. Rassemblés dans un groupe baptisé “The Community”, les mis en cause avaient réussi à faire main basse sur l’équivalent de plusieurs millions de dollars en s’attaquant aux portefeuilles en crypto-monnaies de leurs victimes.
« Il se perfectionne »
Les services judiciaires semblent parfois désemparés face à ce genre de profils. Exemple avec ce jeune francilien, récemment condamné à trois ans de prison, dont deux avec sursis par la justice parisienne. Après avoir commencé par perturber des parties de jeu en ligne, il a agrandi son périmètre malveillant aux swatting – des appels destinés à provoquer d’importantes interventions policières – et à des piratages.
« Ce qu’on voit avec la répétition des faits, c’est qu’il se perfectionne, expliquait la magistrate du parquet à l’audience. Cela laisse également à penser que sa prise de conscience a l’air assez légère, avec un risque de récidive qui me paraît élevée. » Résultat: pour les pirates en herbe, la prise de conscience arrive souvent bien trop tard.