Même les Script Kids ont le droit d’être oubliés

Indexeus, un nouveau moteur de recherche qui indexe les informations de compte d’utilisateur acquises à partir de plus de 100 violations de données récentes, a pris de nombreux pirates au dépourvu. En effet, les bases de données piratées explorées par ce moteur de recherche sont principalement des sites fréquentés par de jeunes vauriens qui commencent tout juste à se lancer dans le cybercrime.

Indexeus[dot]org

Indexeus se vante d’avoir une base de données consultable de « plus de 200 millions d’entrées disponibles pour nos clients ». Le site permet à quiconque d’interroger des millions d’enregistrements sur certaines des plus grandes violations de données récentes – y compris les récentes cambriolages chez Adobe et Yahoo! – répertoriant des éléments tels que les adresses e-mail, les noms d’utilisateur, les mots de passe, l’adresse Internet, les adresses physiques, les anniversaires et d’autres informations pouvant être associées à ces comptes.

Qui sont les clients cibles d’Indexeus ? Habitants de hackforums[dot]rapporterun immense forum envahi par des pirates adolescents novices (alias « script kiddies ») du monde entier qui vendent et achètent une grande variété de services conçus pour aider à attaquer, suivre ou harceler les gens en ligne.

Peu de services sont aussi pleins d’ironie et schadenfreude comme Indexeus. Vous voyez, la majorité des plus de 100 bases de données explorées par ce moteur de recherche proviennent soit de forums de hackers qui ont été piratés, soit de sites dédiés à l’offre de services dits « booter » – de puissants serveurs qui peuvent être loués pour lancer le déni de -attaques de service visant à mettre hors ligne les sites Web et les utilisateurs Web.

Les cerveaux derrière Indexeus – un groupe de jeunes hommes entre le milieu et la fin de l’adolescence ou au début de la vingtaine – ont envisagé le service comme un moyen d’effrayer les autres pirates informatiques pour qu’ils paient pour que leurs informations soient supprimées ou «sur liste noire» du moteur de recherche. Ceux qui paient des « dons » d’environ 1 $ par enregistrement (payés en Bitcoin) peuvent non seulement faire effacer leurs enregistrements, mais ce prix achète également une assurance contre l’indexation de leurs informations par le moteur de recherche au cas où elles apparaîtraient dans de futures fuites de bases de données.

L’équipe responsable d’Indexeus explique la raison d’être de son projet avec l’avertissement douteux suivant :

« Le but d’Indexeus n’est pas de fournir des informations privées sur quelqu’un, mais de le protéger en le sensibilisant. Par conséquent, nous ne sommes pas responsables de toute utilisation abusive ou malveillante de notre contenu et service. Indexeus n’est pas un dépotoir. Un dump est par définition un fichier contenant des identifiants, des mots de passe, des données personnelles ou des emails. Ce que fournit Indexeus est un moteur de recherche d’exploration de données à recherche unique.

De telles informations seraient très utiles pour ceux qui cherchent à régler des rancunes en détournant les comptes d’un pirate informatique rival. Sans surprise, un certain nombre d’utilisateurs de Hackforums ont déclaré avoir trouvé rapidement bon nombre de leurs noms d’utilisateur, mots de passe et autres données préférés sur Indexeus. Ils ont commencé à protester contre la commercialisation du service sur Hackforums, accusant Indexeus d’être un peu plus qu’un shakedown.

En effet, le moteur de recherche indexait même les comptes d’utilisateurs volés à witza.netle site exploité par l’administrateur de Hackforums Jesse LaBrocca et utilisé pour traiter les paiements pour les Hackforums qui souhaitent améliorer la position de leurs comptes sur le forum.

QUI UTILISE INDEXEUS ?

L’individu qui a embauché des programmeurs pour l’aider à construire Indexeus utilise le surnom « Dubitus » sur Hackforums et d’autres forums. Pour le prix avantageux de 25 $ et deux heures de votre temps un samedi, Dubitus vend également une formation pédagogique en ligne sur les personnes « doxing » – en travaillant à rebours à partir des différentes personnalités en ligne de quelqu’un pour déterminer son nom, son adresse et d’autres données personnelles réelles.

Dubitus prétend être un maître dans ce qu’il appelle le « détraçage Web », qui consiste essentiellement à supprimer tous les liens de vos personnages en ligne qui pourraient permettre à quelqu’un de vous doxer. Je n’ai aucune idée si sa classe de formation est bonne, mais ce n’était pas très difficile de trouver ce jeune homme dans le monde réel.

Dubitus propose des formations au « doxing » et au « détraçage Web ».

Contacté via Facebook par BreachTraceJason Relinquo, 23 ans, de Lisbonne, Portugal, a reconnu avoir organisé et géré le moteur de recherche. Il affirme également que son service a été conçu simplement comme un outil pédagogique.

« Je veux que cela se développe et soit une référence, et à un moment donné par un outil suffisamment utile pour être utilisé par les forces de l’ordre », a déclaré Relinquo. « Je n’aurais pas gagné le concours de cyberdéfense de l’OTAN si je n’avais pas une vue d’ensemble en tête. Gardez juste ça dans le vôtre.

Relinquo a déclaré que pour répondre aux critiques selon lesquelles son service était un shakedown, il a récemment modifié les conditions d’utilisation afin que les utilisateurs n’aient pas à payer pour que leurs informations soient supprimées du site. Même ainsi, on ne sait toujours pas comment les utilisateurs prouveraient qu’ils sont le propriétaire légitime d’enregistrements spécifiques indexés par le service.

Jason Relinquo

« Nous traversons certaines réformes (liste noire gratuite, plus recherches par abonnement), en raison de complications juridiques que je ne veux pas aggraver », a écrit Relinquo lors d’une session de chat. « Si [Indexeus users] souhaitez conserver les journaux et payer pour la liste noire, c’est une option. Nous précisons également que dans le cas d’un mineur, l’éloignement est immédiat.

Interrogé sur le type de complications juridiques qui entravaient son projet, Relinquo a cité le soi-disant «droit à l’oubli», les lois européennes sur la protection des données et la vie privée qui ont été renforcées par une décision de mai 2014 par la Cour européenne de justice dans un arrêt contre Google. Dans cette affaire, la plus haute juridiction de l’UE a statué que les individus ont le droit de demander la suppression des résultats de recherche sur Internet, y compris leurs noms, qui sont « inadéquats, non pertinents ou plus pertinents, ou excessifs ».

J’ai du mal à croire que les créateurs d’Indexeus seraient influencés par de telles technicités, étant donné que le service a été mis en place pour vendre des mots de passe aux membres d’un forum connu pour être fréquenté par des personnes qui les utiliseront à des fins malveillantes. En tout cas, je doute que ce soit la dernière fois que nous entendrons parler d’un service comme celui-ci. Quelque 822 millions d’enregistrements ont été exposés dans plus de 2 160 incidents de violation de données distincts l’année dernièreet il y a beaucoup de place pour la concurrence et une plus grande spécialisation sur le marché des moteurs de recherche de données piratées.