Piratage informatique: Trois ans de prison pour un hackeur français aux Etats-Unis

Le hackeur français Sébastien Raoult, accusé par la justice américaine d’avoir fait partie d’un groupe de pirates informatiques qui a siphonné les données d’une soixantaine d’entreprises, a été condamné mardi à trois ans de prison par un juge de Seattle.

Le magistrat l’a également condamné à rembourser 5 millions de dollars (4,25 millions de francs) pour les pertes causées aux firmes victimes, selon un communiqué du parquet. «Je comprends mes erreurs et je veux mettre cette histoire derrière moi», a déclaré le jeune Français de 22 ans lors du prononcé de sa peine, d’après le communiqué. «Plus de piratage. Je ne veux pas décevoir à nouveau ma famille».

Arrêté au Maroc en mai 2022, puis extradé huit mois plus tard aux États-Unis, cet ancien étudiant en informatique avait d’abord plaidé non coupable. Mais, en novembre, il a finalement fait volte-face en nouant un accord avec l’accusation.

Sébastien Raoult a reconnu être coupable d’association de malfaiteurs pour commettre une escroquerie informatique et d’usurpation d’identité aggravée. En échange de quoi, les procureurs ont abandonné sept autres chefs d’accusation à son encontre. Le parquet, qui dénonce dans son communiqué un jeune homme «dont le mobile était la pure cupidité», réclamait six ans d’emprisonnement.

Originaire d’Épinal, dans l’est de la France, Sébastien Raoult a admis avoir fait partie des «ShinyHunters». Un groupe de pirates informatiques au sein duquel il se cachait derrière le pseudonyme «Sezyo Kaizen». À partir de 2020, ces hackeurs ont dérobé les données confidentielles d’une soixantaine d’entreprises afin de les revendre sur le dark web, causant des pertes estimées à plus de six millions de dollars par la justice américaine.

Le groupe comptait également deux autres jeunes français dans ses rangs: Abdel-Hakim El-Ahmadi et Gabriel Bildstein, un hackeur bien connu de la justice française. Mais la France n’extrade pas ses ressortissants et ils sont restés dans l’Hexagone. Sébastien Raoult était donc poursuivi seul dans cette affaire.

Son extradition par le Maroc, où il a passé des mois en prison dans des conditions déplorables après son arrestation à l’aéroport de Rabat, avait fait de son cas une affaire diplomatique. Sa famille et sa défense française ont tenté par tous les moyens de le faire extrader en France pour qu’il y soit jugé, allant même jusqu’à saisir le Comité des droits de l’homme de l’ONU pour s’opposer à sa remise aux États-Unis.

«Pour moi, c’est censé être une affaire française», avait confié en mai Sébastien Raoult à l’AFP depuis sa prison américaine, en manifestant son incompréhension face à l’inaction de Paris, qui ne s’est pas opposé à son extradition outre-Atlantique. «Le gouvernement américain cherche juste quelqu’un à condamner et c’est tombé sur moi», avait-il regretté. Seul à être jugé, il redoutait de payer en partie pour «ce que d’autres ont fait».

Selon la justice américaine, les «ShinyHunters» utilisaient un mode opératoire bien connu des pirates informatiques. Ils avaient créé des sites internet ressemblant aux pages d’authentification d’entreprises réelles. Avec des e-mails de hameçonnage imitant ceux de l’employeur, ils attiraient les salariés de ces organisations vers ces pages et récupéraient leurs identifiants.

Cela leur permettait de pénétrer dans les systèmes informatiques de ces firmes, afin de copier leurs fichiers clients et leurs informations financières. Des données qu’ils mettaient ensuite en vente sur des forums cybercriminels, cachés sur le dark web. Selon l’accusation, Sébastien Raoult a «développé une partie substantielle du code et des sites web d’hameçonnage que lui et ses co-conspirateurs ont utilisés» pour leurs escroqueries.

Les «ShinyHunters» ont aussi fait chanter une vingtaine de victimes, en exigeant une rançon en cryptomonnaies pour ne pas mettre en vente les données dérobées. L’une d’elles a atteint 425’000 dollars, selon des documents judiciaires. D’après différents experts, ils ont pris pour cible le compte de Microsoft sur la plateforme de partage de code informatique Github, le site d’e-commerce indonésien Tokopedia, la marque de vêtement américaine Bonobos ou encore l’opérateur téléphonique américain AT&T.