Des pirates pillent l’Europe des polices

En copiant des millions de données de la police danoise, en 2012, des hackeurs

Son extradition, la semaine dernière, de la Suède vers le Danemark, est passée inaperçue. Le 27 novembre, à l’heure où Gottfrid Svartholm Warg est extrait, sous haute surveillance, de la prison de Sollentuna, à Stockholm, pour s’envoler vers Copenhague, seule sa mère, Kristina, et une bande de geeks planétaires, dont Julian Assange, sont en alerte. Et pourtant. Ce génie de l’informatique met sur les dents les services secrets suédois, la police danoise et les instances européennes réunis. En prison depuis plus d’un an, il a interdiction de s’approcher du moindre appareil électronique.

De l’affaire, peu de détails ont filtré à ce jour. Gottfrid Svartholm Warg, 29 ans, est suspecté d’être au coeur d’un pataquès inédit à l’origine, l’été dernier, d’une réunion d’urgence de la Commission européenne. En 2012, son ordinateur a servi à télécharger les fichiers de la police danoise et, via ceux-ci, à voler… une partie du  » fichier Schengen « , l’espace de sécurité européen. Entre 1,2 et 6 millions de données ultrasensibles, dont la Belgique, se sont ainsi retrouvées dans la nature. 28 pays ont été touchés. Selon nos informations, aucune police européenne n’a échappé au plus important piratage informatique jamais opéré au sein de l’Union.

C’est un scénario à peine croyable, à mi-chemin de la saga Millénium et des polars glacés de Henning Mankell. Un scénario qui prend sa source au… Cambodge, avec, dans le rôle-titre, Gottfrid Svartholm Warg, programmeur hors normes au look d’elfe, aussi pâle et frêle que la Lisbeth de Millénium. Dans le milieu, on le surnomme  » Anakata « . En 2012, Anakata se planque à Phnom Penh, où il tente de se faire oublier de la justice suédoise, qui le soupçonne de quelques  » prouesses  » informatiques. Quand sa mère, prof de linguistique, lui a offert un ordinateur à l’âge de 6 ans, elle était loin de s’imaginer que son fils deviendrait le copain de Julian Assange, la star de WikiLeaks, et le héraut de l' » Internet libre « , oeuvrant pour le partage universel des fichiers (films, musique…). En 2003, Anakata cofonde le célèbre site The Pirate Bay (40 millions d’utilisateurs à ce jour), prend pour slogan  » Fuck Hollywood « , récolte, en 2009, une plainte des majors américaines excédées. Au procès, pendant les audiences, Gottfrid sirote du Coca, revendique  » la démocratisation de la culture « , raille le procureur du roi, qui confond capacité de stockage et vitesse de téléchargement. Ce dernier n’est pas le seul à penser que le site, largement financé par des publicités porno et un hébergeur longtemps proche de l’extrême droite, masque des activités mercantiles. Bilan : un an de prison par contumace pour Svartholm Warg, qui a pris la précaution de fuir au Cambodge.

 » C’est comme si des voleurs étaient entrés par la porte arrière, restée grande ouverte…  »

Anakata vivote donc à Phnom Penh, dans un appartement appartenant à un businessman américain, au-dessus du bar Cadillac, quand les Suédois le recherchent, cette fois, pour un nouveau délit. Il est soupçonné d’être allé fureter dans les fichiers du fisc, en  » hackant  » des sous-traitants de l’administration. Un dossier délicat, confie Henrik Olin, le procureur de Stockholm :  » Cette enquête a mobilisé d’importants moyens de la police et de nos services de renseignement, Säpo. C’est la plus importante affaire du genre dans notre pays…  » Svartholm Warg est finalement expulsé vers Stockholm le 30 août 2012. La fin de l’histoire ? Plutôt le début.

En Suède, les enquêteurs se montrent de plus en plus intrigués par le contenu du MacBook Pro de Svartholm Warg. Au terme de quatre mois d’expertises, ils finissent par y retrouver un sulfureux trésor : des millions de données provenant de… la police danoise ! A Copenhague, celle-ci reprend donc les investigations qui virent au thriller. Entre le samedi 7 avril et le lundi 27 août 2012, très précisément, des intrusions informatiques discrètes ont eu lieu dans les fichiers de l’entreprise d’électronique CSC. Cette filiale d’une multinationale américaine gère les bases de données de sociétés privées et d’administrations danoises, dont la police.  » Les assaillants ont utilisé une vulnérabilité du système informatique et ont téléchargé un nombre important de fichiers « , confirme au Vif/L’Express Dorit Borgaard, chef de la police de Copenhague.  » La mise à jour logicielle destinée à combler la faille de sécurité n’avait pas été effectuée, complète une source européenne dépitée. C’est comme si des voleurs étaient entrés par la porte arrière, restée grande ouverte…  » Un Danois de 20 ans est aussi arrêté.

L’affaire aurait pu ne jamais franchir la Baltique. Mais elle prend, d’un coup, une dimension européenne : le Danemark étant membre de l’espace Schengen, sa base de données nationale intègre aussi les informations secrètes de ses partenaires, mises en commun au travers d’une plate-forme centrale. Laquelle est située à Strasbourg et gère près de 40 millions de données, en permanence actualisées par chacun des Etats. Voici pris en défaut le Système d’information Schengen (SIS),  » saint des saints  » sécuritaire de l’Europe.

Un abîme au sein de l’Europe, entre modèle régalien, au sud, et modèle libéral, au nord

Le 4 juin dernier, Copenhague finit par alerter, par courrier, ses partenaires et la Commission européenne. Devant l’ampleur du scandale, Bruxelles convoque, le 11 juillet, une réunion exceptionnelle, en présence des représentants des polices européennes.  » Il y avait nécessité de rétablir une confiance mutuelle, reconnaît Michele Cercone, porte-parole des Affaires intérieures. Chaque Etat membre s’est soumis à un questionnaire d’autoévaluation, afin d’être certain de maintenir un niveau de sécurité optimal.  » Mais combien de données ont-elles été piratées, au juste ? Et quelle en est la nature ? Sur ces points, le chef de la police de Copenhague n’a pas souhaité répondre au Vif/L’Express.

Selon les autorités danoises, aucun indice ne permet de penser que les informations piratées ont fuité hors de l’ordinateur de Svartholm Warg. Pour une organisation terroriste ou criminelle, de tels renseignements, en particulier sur les personnes recherchées ou surveillées, n’ont pas de prix…  » L’étendue de cette crise majeure n’a pas encore été reconnue, se plaint, pour sa part, une source proche du dossier. Et, pour l’heure, personne ne peut répondre à cette question, cruciale : où sont passés les fichiers ? In the cloud, dans les nuages !  »

L’affaire révèle en tout cas un abîme de pensée au sein de l’Europe, entre modèle régalien, dominant au sud, et modèle libéral, prôné par les pays nordiques.  » Confier la maintenance de telles données au privé, externaliser pour réduire les coûts, c’est la faute originelle des Danois !  » peste un fonctionnaire européen. Pour le procureur suédois Henrik Olin,  » il paraît évident que les systèmes de stockage massif des données n’offrent plus les garanties de sécurité requises. Les hackeurs auraient pu les paralyser, créant une confusion gigantesque au sein de certaines administrations, donc dans la société tout entière « .

Pendant que l’Europe a des vapeurs, Gottfrid Svartholm Warg tue son temps dans sa prison danoise en étudiant les mathématiques avancées. Il a laissé derrière lui les cartes postales de soutien qui tapissaient sa cellule de Stockholm. Sa mère se dit inquiète pour ce fils  » très spécial  » qui clame son innocence. Lors d’une audience préliminaire à Copenhague, en fin de semaine dernière, il a expliqué que son ordinateur était partagé et que des personnes mal intentionnées avaient pu en prendre le contrôle. Un expert en sécurité informatique, Jacob Appelbaum, dont le témoignage devant la justice suédoise a permis, en septembre, de réduire la condamnation de Gottfrid dans l’affaire du fisc, de deux ans de prison à un an, raconte :  » J’ai expliqué comment son ordinateur était partagé avec d’autres utilisateurs et que l’enquête n’avait pas pris en compte tous ces paramètres.  » Le hackeur de renom a démontré qu’il était possible de prendre à distance le contrôle de la machine de Gottfrid en effaçant toute trace numérique.

Hasard du calendrier, en avril dernier, l’Europe se dotait d’une nouvelle version de son fichier de police, qui intégrera à terme des données biométriques, comme les empreintes digitales. Pourra-t-elle vraiment garantir la confidentialité de cette machine tentaculaire, indispensable à toute coopération policière ?

Par Emmanuel Paquette, Eric Pelletier, Delphine Saubaber, avec Axel Gyldén; E. Pa., E. P., D. S., avec A. G.

 » Il paraît évident que les systèmes de stockage massif des données n’offrent plus les garanties de sécurité requises  »