« Votre ordinateur a été infecté par un virus, nous savons que vous avez consulté des sites pornographiques et nous avons enregistré votre navigation, payez si vous ne voulez pas que ces informations soient dévoilées à vos contacts. » Les détails et la langue peuvent changer mais voilà, en substance, le genre d’e-mail menaçant que de nombreux internautes français reçoivent dans le courant de l’année 2019, leur intimant de régler une rançon de plusieurs centaines d’euros.
Le phénomène prend rapidement de l’ampleur. Au point que le parquet J3, spécialisé dans la cybercriminalité, s’empare de l’affaire et collecte, au travers d’un formulaire diffusé sur le site Cybermalveillance.gouv.fr, un total de 1 300 plaintes. Au mois de septembre 2019, Jordan R. est le premier à se faire interpeller à l’aéroport de Paris-Roissy. Puis trois mois plus tard, au début du mois de décembre, c’est au tour d’Augustin I. de se rendre dans un commissariat parisien pour avouer son implication.
Les deux Français ont reconnu avoir constitué un botnet, un réseau d’ordinateurs infectés par un logiciel malveillant, conçu par leurs soins et identifié sous le nom de Vareniky. C’est grâce à ces premières infections qu’ils ont pu ensuite orchestrer l’envoi massif de courriels de chantage qui, eux, ne reposaient que sur du bluff.
Faits de chantage
Au terme de l’enquête et à la suite des auditions, ils ont été mis en examen pour « accès et maintien frauduleux dans un système de traitement automatisé de données, extorsion, tentative d’extorsion et blanchiment en bande organisée ». Finalement, les juges choisiront de requalifier les chefs d’accusation d’extorsion en « faits de chantage », une qualification moins lourde.
Par ailleurs, et contrairement aux réquisitions initiales de la substitut du procureur, Audrey Gerbaud, qui demandait deux peines différentes (trois ans et demi et quatre ans de prison, dont trois de sursis), le tribunal a préféré considérer que les deux accusés étaient responsables autant l’un que l’autre. Ils ont tous deux été condamnés à trois ans d’emprisonnement, dont deux ans avec sursis. « En matière de cyber, les peines sont regardées de très près » par les cybercriminels, avait fait valoir le parquet.
De fait, lors de leur procès, qui s’est tenu devant la 13e chambre correctionnelle de Paris dans la semaine du 25 septembre, les accusés ont mis tout en œuvre pour ne pas servir d’exemple à l’ensemble de leur « profession », en étant tenus pour responsables de tous les e-mails de racket envoyés à cette période. « Je réitère mes excuses aux victimes et à la société, mais je veux juste qu’on ne me fasse pas porter un chapeau bien trop grand », a ainsi déclaré Jordan R. à la fin de l’audience. Car si son acolyte et lui ont bien avoué être les auteurs d’une partie des messages frauduleux, ils ne sont pas les seuls à avoir mis en place ce stratagème : de nombreux autres cybercriminels en ont fait autant.
Il vous reste 40% de cet article à lire. La suite est réservée aux abonnés.