Ce hackeur canadien divulgue les infos personnelles des racistes d’internet

Les sections de commentaires sur internet sont souvent jonchées de commentaires haineux. Des messages racistes, misogynes et dégradants d'utilisateurs qui se cachent derrière des pseudonymes. Qui pensent qu'ils ont des supporteurs, que le monde s'en fiche ou qu'il n'y a aucune conséquence réelle. Un hackeur canadien — appelons-le Danny — s'amuse à les démasquer et à les punir. « Tout ce que je veux, c'est qu'on arrête de s'attaquer aux autres », m'avait écrit Danny avant que je le rencontre en personne. « Avec les croyances, les privilèges ou même seulement des messages en ligne. Je veux que les hommes blancs acceptent le fardeau de notre terrible, affreux passé. » Celui qui divulgue les renseignements personnels des autres veut rester anonyme. Selon l'accord conclu avant l'entrevue, je suis autorisé à dire qu'il est « originaire des Prairies » et qu'il « occupe un poste important dans une grande entreprise de TI ». Dans ses temps libres, il punit ceux qu'il juge intolérants. On appelle « doxxing » cette pratique qui consiste à trouver en ligne les renseignements privés d'une personne ou d'un groupe et à les rendre publics pour qu'ils subissent du tort dans la vie réelle. Danny, qui est dans la trentaine, se vante de faire du doxxing « depuis toujours ». Il m'a raconté ça pendant qu'il préparait son ordinateur pour une démonstration, tout en fumant du weed. Son portable était posé sur un siège de toilette — pour « des raisons de stabilité » —, sur une table roulante. Tout près, une figurine de guerrier et Frida Kahlo, encadrée, surveillaient son travail. Danny démasque les auteurs de commentaires offensants — sur Facebook, Twitter, Reddit, les sites de nouvelles — à peu près une fois par mois. Il augmente la cadence à l'approche des élections ou après des événements majeurs, comme la crise des réfugiés qui a fait de nombreuses victimes. « Quel est leur recours? » a-t-il demandé en parlant des personnes intimidées sur internet.

En ce qui concerne les trolls, il a ajouté : « Ces individus sont rois sur le web. Ils sont anonymes et font ce qu'ils veulent. J'aime leur enlever ça. »Devin Pacholik

Son obsession actuelle, c'est de démasquer les auteurs de commentaires racistes en lien avec le meurtre d'un jeune autochtone, Colten Boushie. Gerald Stanley, 54 ans, est accusé du meurtre au second degré de Boushie, 22 ans, à Glenside, en Saskatchewan. Selon un cousin de la victime, leur groupe rentrait à la réserve Red Pheasant First Nation, mais a dû s'arrêter à cause d'une crevaison. C'est à ce moment que Stanley les aurait attaqués. La nouvelle a provoqué un tel flot de commentaires racistes en ligne que le premier ministre, Brad Wall, a déclaré que ces conversations étaient « inacceptables, intolérantes et contraires aux valeurs et au caractère de la Saskatchewan ». Pour Danny, les mots ne suffisaient pas. Il a envoyé des captures d'écran des commentaires avec des renseignements sur les auteurs à leurs amis, leur famille, leur employeur et même leurs relations d'affaires. Danny espère aussi faire révoquer le permis de port d'arme des auteurs des commentaires ciblés, qu'il planifie transmettre à la GRC.

Dans ce cas précis, il attribue beaucoup des commentaires racistes à des gens de régions rurales, peu présentes en ligne. Ce qui n'empêche pas le doxxing : ce n'est qu'un peu plus long. « Plutôt que de pirater leur ordinateur, j'appelle une compagnie (comme un fournisseur de service) pour obtenir de l'information. C'est beaucoup plus facile. »

Normalement, il ne garde pas de « trophées » de ses exploits, mais il a accepté de nous montrer ses techniques. Le jour avant de nous rencontrer à son appartement, il avait repéré un commentaire obscène d'un utilisateur anonyme de Reddit à propos de la comédienne Amy Schumer. En utilisant l'Onion Router de Tor pour passer inaperçu, Danny a passé quatre heures à fouiller les commentaires de l'utilisateur dans différentes sources associées à son profil. « On peut voir qu'il est anti-musulman et qu'il soutient Trump, et j'ai un problème avec ça », a-t-il dit pendant qu'il parcourait les documents en sirotant une boisson énergétique. Puis Danny a mis la main sur une photo de l'utilisateur.

Il a ensuite créé un hyperlien vers la photo à l'aide d'un programme qui retrace l'adresse IP de quiconque clique. Il a envoyé l'hyperlien à l'utilisateur, en l'appâtant avec des renseignements personnels trouvés dans ses commentaires. Le message de Danny disait en résumé : « Bonjour [nom complet] de [ville]. Qu'est-ce que [nom de sa femme] pense de tes commentaires à propos des femmes? Je sais de quoi tu as l'air », et, en dessous, se trouvait l'hyperlien de la photo.

La cible a cliqué et Danny a obtenu son adresse IP. Dans ce cas-ci, il a décidé de ne pas aller plus loin, car l'utilisateur a supprimé son compte Reddit et son historique de quatre ans, ce qu'il considère comme un succès.

Quand il va jusqu'à envoyer les commentaires à la famille ou aux employeurs, il se rend souvent compte que ces individus sont entourés de gens qui partagent leurs opinions. « Les employeurs sont soit indifférents ou d'accord avec les commentaires. » Pense-t-il que le doxxing est une solution au problème des commentaires haineux? « Quand j'en arrive là, la cible efface d'habitude sa présence en ligne, ce qui me suffit. » Cependant, quand Danny n'est pas satisfait, il a les moyens d'aller beaucoup plus loin. « Quand j'ai l'adresse IP, je connais aussi son fournisseur de téléphonie, son navigateur, son type d'ordinateur et l'endroit exact où il habite », a-t-il affirmé en pointant un fichier Notepad sur son écran. Il assemble les renseignements obtenus et remplit les trous. Par exemple, s'il n'a pas l'adresse exacte d'une cible, il peut la trouver grâce au géotag de l'adresse IP et aux antécédents professionnels. Mais il sait qu'il y a un risque à se servir d'une adresse IP. « Je ne veux pas faire quelque chose de vraiment illégal, sauf si c'est pour une bonne raison. Je trouve leur adresse IP juste pour leur faire peur. Parce qu'à la seconde où tu t'en sers, tu entres dans une zone illégale. » Par exemple, il pourrait effectuer une attaque par déni de service pour désactiver leur réseau internet. Une attaque illégale. Il pourrait aussi obtenir des données bancaires ou d'autres renseignements personnels en appelant le fournisseur de téléphone d'une cible et en se faisant passer pour un superviseur de la compagnie. Ensuite, il pourrait accéder à sa boîte de courriels si la cible utilise le même mot de passe pour d'autres services moins bien sécurisés. Avec assez de temps, il peut trouver pratiquement n'importe quoi. Quand je lui ai demandé s'il était déjà allé plus loin que de donner la frousse à ses cibles, il m'a répondu seulement par un sourire et a continué à me montrer des renseignements de l'utilisateur de Reddit. Numéro de téléphone, grandeur, poids, équipe de sport préférée, une liste de ses précédents emplois, entre autres. L'une des autres tactiques de Danny, c'est d'appeler la cible à partir d'un numéro masqué en utilisant un programme qui change sa voix. Au téléphone, il n'a qu'à donner des renseignements personnels à sa cible pour la pousser à disparaître d'internet. Même si, à son avis, traquer les auteurs de commentaires offensants est moralement justifié, ses méthodes l'exposent à des problèmes juridiques. Gil Zvulony, un avocat de Toronto spécialiste des questions liées à internet, affirme que le doxxing pourrait causer de sérieux ennuis à Danny. « Ses actions pourraient être divisées en un bon nombre d'actes illégaux, potentiellement criminels. » D'après l'avocat, si on révèle l'identité d'un utilisateur anonyme au moyen, par exemple, d'une recherche Google, ce n'est pas un acte criminel. Cependant, hameçonner et se faire passer pour une autre personne, c'est plus grave. « Quand on entre dans un système informatique ou qu'on se fait passer pour quelqu'un d'autre auprès de la compagnie d'électricité, par exemple, on peut avoir des problèmes. » Le doxxing peut être considéré comme de la diffamation, de l'extorsion et de la divulgation de renseignements personnels, selon Zvulony. « Avec ça, vous vous retrouvez avec de sérieux ennuis. » J'ai contacté la GRC pour obtenir leurs commentaires au sujet du doxxing, mais je n'ai pas obtenu de réponse. Quand j'ai demandé à Danny si le doxxing était potentiellement dangereux, il m'a répondu : « Il y a beaucoup de vanité là-dedans. Je pense que ce serait malhonnête de ne pas l'admettre. Mais ils publient ces messages dans leur petite communauté insulaire en ligne. J'amène les conversations dans la vraie vie. Peut-être qu'un patron hésitera avant de donner une promotion à un raciste. Beaucoup de gens qui veulent la justice sociale se perdent dans des discussions inutiles, mais il faut que ces individus se rendent compte qu'il y a des conséquences. » Danny a dit souhaiter que plus de gens fassent comme lui. Et si c'était lui la cible? Est-ce qu'on peut croire que les autres n'iront pas trop loin? Il a répondu qu'il n'a rien à cacher. Quand je lui ai demandé si je pouvais prendre sa photo pour l'article, il a quitté la pièce et est revenu avec un foulard pour se cacher le visage. Suivez Devin Pacholik sur Twitter.