hacker cartes de crédits
Illustration de Benjamin Tejero
Tech

Le jeune hacker français traqué par les services secrets américains

Le jour, « Theeeel » était un lycéen de banlieue parisienne. La nuit, il était membre d’un groupe de hackers internationaux qui dépouillait les banques de plusieurs millions de dollars – jusqu’à sa chute.
Paul Douard
Paris, FR

Lorsque Maxime* se réveille en cette matinée de mai 2007, tout est calme. À dix sept ans, l’adolescent profite de ses dernières minutes de liberté avant de rejoindre son lycée de banlieue parisienne anonyme. Il observe quelques instants sa copine qui dort encore à côté de lui, avant de se rappeler qu’il a une dernière chose à faire avant de quitter la maison de ses beaux-parents : encaisser 80 000 euros grâce à une vente de cartes bleues volées sur le dark web. En temps normal, il se serait connecté depuis chez lui grâce à une série de proxys et de VPN pour se protéger. Mais ce matin-là, l’insouciance (et probablement la flemme) lui fait changer ses plans. Il décide d’effectuer l’opération depuis l’ordinateur de sa copine encore endormie. Une fois en lien avec l’acheteur, un certain “HatHack”, il remarque que son adresse IP pointe vers la France. Maxime hésite un instant. Malgré la suspicion, il continue, se fait transférer l’argent via un système de paiement en ligne, puis ferme l’ordinateur. Il quitte la maison et se rend en cours.

Publicité

Il ne le sait pas encore, mais “HatHack” est en réalité un agent des services secrets américains qui s’apprête à lancer, conjointement avec la Sous-direction de la Lutte contre la Cybercriminalité (SDLC), une série d’arrestations contre un groupe de treize hackers internationaux dont Maxime, alias “Theeeel” ou “Zetun” selon la situation, fait partie depuis trois ans. Le clan, qui opère de la Turquie au Canada en passant par la France et l’Ukraine, écume les bases de données des sites marchands, falsifie des cartes de crédits de banques américaines et les revend grâce à des réseaux étrangers sur le dark web, engrangeant ainsi des millions d'euros – comme le rapporte son dossier judiciaire que VICE a pu consulter. Simple lycéen cherchant à s'extraire d'une vie sans doute trop quelconque à ses yeux, Maxime va ce jour-là se porter lui-même le coup fatal et provoquer sa chute.

***

À une époque plus analogique et plus chiante, Albert Camus écrivait « Tout homme est un criminel qui s’ignore ». Cette phrase pourrait parfaitement résumer le parcours de Maxime, qui avant de devenir le hacker « Theeeel » ou « Zetun », n’était qu'un jeune français comme les autres : solitaire, boutonneux et de surcroît mal dans sa peau. « Je n’ai jamais manqué de rien. Je ne faisais pas ça pour l’argent », me dit-il d’entrée lors de notre première rencontre. Né en 1989 à Paris, d’un père cadre et d’une mère conseillère d’orientation, il passe les premières années de sa vie à saigner le jeu Tibia. Déjà, « j’aimais devoir me battre contre une machine, et surtout gagner », assène le jeune homme. C’est sur les genoux de son père, cadre dans l'informatique, qu’il va découvrir qu'il y a des choses plus passionnantes que dessiner une plante lors d'un cours d'art plastique. Il commence à créer ses premiers programmes en BASIC et en VBA. « C’était de la magie pour moi, les possibilités me paraissaient immenses ». Son intérêt pour le hacking naît dès l’âge de six ans. « J’ai téléchargé Hacker Manifesto, le livre où on apprenait à hacker tout et n'importe quoi. » Sorti en 1986, Maxime le récupère en 1994 après en avoir eu connaissance dans Phrack Magazine – le premier magazine underground autour de la culture hacking.

Publicité

Les années qui suivirent serviront d'entrainement. À l'inverse des autres gamins qui jouent au foot dans le jardin et pleurnichent pour regarder la télévision, Maxime célèbre son septième anniversaire en se lançant dans le “phreaking”, du piratage de carte de cabines téléphoniques. « Avec ça, tu pouvais trafiquer la puce pour appeler à l’infini. » Il enchaîne avec les licences de logiciels professionnels, en utilisant des NOP ou des JMP [hack permettant une communication directe avec le noyau d’un ordinateur N.D.L.R] et du MP [un système qui permet de faire sauter les requêtes d’un logiciel, comme par exemple le fait de devoir acheter une clé d’activation Photoshop N.D.L.R.] Il continuera quelques années à « s’amuser », comme il le dit, avant qu'une série de rencontres l'entraîne vers le grand banditisme.

Un soir, de retour de son collège qu'il oublie aussitôt la porte de chez lui franchi, Maxime s'emmerde. Il hack donc feu-Caramail. « Il suffisait d’entrer dans le code source du site, et lors de l’authentification changer le code “Admin = 1” pour devenir administrateur. » Au gré de discussions aléatoires et de “Salut asv”, il tombe sur un certain “Dadoo” qui lui fait cadeau des coordonnées bancaires d’une carte bleue volée. « Immédiatement, il m'explique comment ça fonctionne et j’utilise l’argent pour en acheter de nouvelles sur internet ». De là débute une nouvelle activité plutôt rare pour un gamin qui devrait réviser le Brevet et lancer son Skyblog. Il arpente les forums du dark web – tels que Mazafak, Carder ou encore MyBazaaar – où il peut acheter d’autres cartes bleues volées. Fin 2001, Maxime devient alors “Theeeel” et “Zetun”.

Publicité

« J'accumule tout et n’importe quoi à cette époque. Je ne savais pas ce que je faisais »

À force de nuits entières passées à nager dans les profondeurs de ces forums, il fera la connaissance de « Lord Kaiser Sose » (en hommage au personnage de Keyser Söz dans le film Usual Suspects), « Maksisk », « Junkee Funkee » ou encore « Drondon », tous des hackers plus âgés et vivant pour certains hors du territoire français. Dès 2003, ils se lancent dans l’achat et la revente de cartes bleues volées à grande échelle, ainsi que le hack de bases de données de sites marchands pour y récupérer les données bancaires de clients. « On hackait tout sans se poser de question, on s'échangeait des dumps [des coordonnées bancaires N.D.L.R]. » Leurs cibles ? Les banques American Express et VISA/Mastercard. À l’époque, les cartes de crédit américaines étaient équipées d’une bande magnétique qui « permettait de savoir quelle type de carte de crédit c’était : gold, platinium etc. Du coup, on pouvait toucher des riches texans plutôt qu’un pauvre mec qui n’avait pas une tune. »

Il s’offre alors tout ce dont un gamin de cet âge a besoin pour être heureux : des consoles, des écrans plats et des fringues de luxe qu’il cache soigneusement dans son grenier. « J'accumule tout et n’importe quoi à cette époque. Je ne savais pas ce que je faisais. » Pour recevoir les colis achetés grâce à des cartes volées, ce sont des employés complices de DHL et Fedex qui fileront un coup de main, dont l'un est le frère d'un membre du groupe. “Theeeel” a 14 ans et le réseau est en place.

Publicité

Pensant être plus malin que tout le monde (d'une certaine manière, ce fut le cas), « Theeeel » veut plus. Avec l’aide de son clan qui ira jusqu’à 13 membres, il décide alors de faire lui-même les cartes bleues ainsi que de faux billets. Plus simple et surtout plus rentable. Il s’équipe donc d’un encodeur MSR206 « acheté 500 balles sur internet » ainsi qu’un embosseur, sorte de grosse machine pour inscrire sur les chiffres sur la carte et falsifier les hologrammes. Les dumps sont fournis par – entre autre – « Lord Kaiser Sose » et certains réseaux roumains, russes et ukrainiens identifiés. Pour l’impression ? « J’allais dans une imprimerie pour grand public au bout de ma rue. Aussi simple que ça. » Le matériel est caché la journée dans son grenier et l’utilise en l’absence de ses parents. Maxime peut imprimer, utiliser et vendre autant de fausses cartes de crédit qu’il veut pour ainsi mieux gagner sa vie que le PDG de Total.

Quand je demande à Maxime, « pourquoi tout ça ? » Pourquoi un ado dont la mère est conseillère d'orientation ne peut-il pas se contenter de vomir après un pack de Despe et de maladroitement draguer ? « À l’école, j’étais connu de personne. J’étais le petit blanc à côté de la cité. Je n’avais besoin de rien financièrement, mais simplement de reconnaissance. Une fois que j’étais passé du statut de petit babtou à celui de hacker, ils étaient tous à mes pieds. » Le tout sans que ses parents s’en aperçoivent. « Quand ils tombaient sur des trucs que j’achetais, ils pensaient que je dealais. J’habitais en banlieue, donc bon c’était crédible pour eux » me dit-il. Dans sa course à la reconnaissance, “Theeeel” continue de dépenser pour impressionner les gens. À 16 ans, Il se dégote un Nokia 8800 en or et des costumes Yves Saint-Laurent – sans forcément les porter d'ailleurs. Selon ses dires, il ira même jusqu’à jeter en l’air 4000 euros en billets de 50 au milieu de sa classe. Si ces parents ne semblaient rien savoir, « mes amis savaient tous, je ne m’en cachais même pas. »

Publicité

Mais un jour, la mère de Maxime tombe sur un album de photo remplie de centaines de cartes bleues. Elle comprend immédiatement. « J’ai attrapé l’album photo et je l’ai jeté dans le feu en promettant d’arrêter. » Sa mère n’ira pas plus loin et lui fera confiance. À tort. Sans surprise, il reprendra son activité rapidement, enchaînant les transactions et les hacks de bases de données avec son groupe. « J’avais caché tout mon matériel chez un pote, j’ai pu donc très vite reprendre. » raconte-t-il un peu dépité. Maxime, alias « Theeeel » s’imagine intouchable et continu sans se poser de questions.

« Jusqu’à début 2007, il n’imagine pas un seul instant que les services secrets américains sont derrière lui »

En seulement trois ans, il réalise près d’un million d’euros en transactions à lui seul et cumule jusqu’à 50 000 euros de bénéfices par mois – tout ça assis le cul sur sa chaise d'ordinateur. Il les place sur E-gold, sorte de première monnaie virtuelle basée sur l’indice or – finalement fermée car devenue une aire d'autoroute pour toutes les mafias. Il va même jusqu’à cacher 30 000 euros en cash dans son jardin, ne sachant plus quoi en faire. Il dispose également de plusieurs passeports volés, servant surtout à s’acheter des trucs chers sans attirer l’attention. Il lance également une société offshore immatriculée à Hong-Kong, “Straps Line”, qui fabriquait des accessoires d’entreprises tels que des portes-clés – selon les documents que VICE a pu consulter. Maxime, alias “Theeeel” est toujours mineur et doit passer son bac de Français à la fin de l'année. Jusqu’à début 2007, il n’imagine pas un seul instant qu'il est au cœur d'une vaste opération lancée par les services secrets américains.

Publicité

***

Le 12 juin 2006, la SDLC (à l’époque “Office centrale de lutte contre la criminalité liée aux technologies de l’information et de la communication” N.D.L.R) reçoit premier courrier du bureau des services secrets américains basé à Paris. Ces derniers expliquent enquêter depuis plusieurs mois sur les agissement du hacker “Lord Kaiser Sose” et ses ventes de dumps American Express. Ils baptisent leur opération “Hard Drive” et font de ce dernier "le cerveau" de la bande. À cet instant, “Theeeel” n’apparaît pas comme un membre du réseau aux yeux des services secrets américain. Mais dans un second courrier daté du 21 septembre 2006, “Theeeel” y est cité pour la première fois comme étant un vendeur sur le site du darkweb “Darkmarket” (sic) et contact de “Lord Kaiser Sose”. Le procureur de la République de Marseille lance alors une enquête en France, dirigée par la SDLC, car l’un des principaux protagonistes réside à Marseille. Maxime sera filé pendant plusieurs mois sans le savoir (ainsi que ses complices partout ailleurs), notamment lors de ses après-midis shopping sur les Champs Élysées ou avenue Montaigne. Le dossier judiciaire révèle d’ailleurs que sans l’enquête des américains, la SDLC n’aurait probablement jamais eu connaissance des activités du groupe.

Publicité

Quelques jours après avoir fêté le réveillon de 2007, Maxime est en terminale et sent que l’étau commence à se resserrer. Déjà, un “cadeau” comme il le dit, se produit : « Mon CPE est venu me voir au lycée. Il m’a simplement dit “Max, j’ai eu certaines personnes au téléphone, je suis inquiet pour toi. Je n’ai même pas le droit de t’en parler,, mais tu devrais arrêter immédiatement.” J’ai su à cet instant que quelque chose de mauvais arrivait. » À la même période, “Theeeel” reçoit des messages de l’un de ses complices opérant en Turquie. Selon lui, ce complice se savait suivi par un agent de la CIA et « cherchait à s’en débarrasser par tous les moyens, jusqu'à y arriver à sa manière. » Maxime comprend que les choses deviennent incontrôlables. « Je reçois des photos qui me donneront la nausée jusqu’à la fin de mes jours. C’est un milieu compliqué… » Il n’en dira pas plus et ne nous pourrons confirmer ses dires à ce sujet. Le réseau commence à flipper et chacun d'eux regarde derrière lui dans la rue.

Malgré ces avertissements, Maxime continuera et finira par opérer une transaction depuis chez sa copine de l’époque sans aucune protection, ce qui servira de flagrant délit pour la SDLC. « Peut-être un acte manqué, je voulais que ça s'arrête…» m'explique-t-il.

Publicité

« Tout de suite, on a voulu me faire parler en m'intimidant. J’étais jeune après tout »

Le 13 juin 2007, Maxime se réveille en sursaut. Il fait à peine jour et des aboiements de chiens et des coups sur la porte de sa maison sont donnés. Avant même d’entendre les « Police ouvrez ! », Maxime comprend. La porte est enfoncée, il se précipite alors sur une clé USB qui détient certaines d’informations qu'il juge bon de faire disparaître. Il l'a saisit, court vers la fenêtre qu’il entre-ouvre pour la jeter le plus loin possible. Au moment où il s’apprête à agir, il aperçoit une trentaines de policiers déjà présents dans son jardin. Il le sait, c’est terminé. Lors de la perquisition, les flics trouveront d’abord du cash et quelques cartes de crédit falsifiées. Rien d’incroyable en somme et bien loin des premières investigations. C’est finalement en remarquant un étage au sein même du grenier que les policiers vont exulter. Là-haut se trouve tout le matériel de Maxime : les cartes bleus vierges, l'encodeur, ainsi que des ordinateurs utilisés uniquement pour ses transactions.

“Theeeel” est embarqué dans les locaux de la SDLC où il passera trois jours en garde à vue. « Tout de suite, on a voulu me faire parler en m'intimidant. J’étais jeune après tout. » À cet instant, il ne sait pas ce qu’ils ont sur lui, ni que les services secrets américains se trouvent derrière son arrestation. En fait, il ne sait pas à quel point il est dans la merde. Son premier avocat Maître Laurent-Franck Lienard – également l’avocat d’Alexandre Benalla – lui explique calmement qu'il risque 14 ans de prison et un million d’euros d’amende pour les chefs d’accusation de « escroquerie par fausse qualité avec la circonstance aggravante de bande organisée, accès et maintien frauduleux dans un système de traitement automatisé de données et captation frauduleuse de données bancaires ». Selon un communiqué de presse des services secrets du U.S. Department of Homeland Security publié le 25 juin 2007, le préjudice totale de l’opération serait estimé à 14 millions de dollars. Ces services mirent également la main sur près de 28 000 fausses cartes de crédits à travers l’Europe, dans le cadre de l’opération “Hard Drive”.

Publicité

Le Tribunal de grande instance de Marseille l’envoie patienter en détention provisoire en vue de son procès à la Maison d’arrêt des Hauts de Seine à Nanterre, bâtiment B. À 17 ans, Maxime se retrouve en cellule. Kevin, son codétenu tout juste plus âgé, lui « apprendra tout ce qu’il y a à savoir en prison, comme toujours avoir une fourchette dans sa chaussette pendant les douches. » Lors de sa première promenade, un groupe d’hommes plus vieux – dont Maxime préfère taire les noms – s’approchent de lui. L’un d’eux dit « C’est toi le petit génie qui vient d’arriver ? ». Les prévenus de “marque” étant souvent annoncés par les surveillants. Maxime acquiesce, sans trop savoir dans quoi il s’embarque. Le groupe lui propose un marché : une protection pendant son séjour en prison en échange d’une “aide” lorsqu’ils sortiront d’ici. Maxime accepte, en se disant qu’il n’a pas vraiment le choix. Rien ne lui arrivera en prison.

« Son procès a lieu en 2008 et Maxime risque encore 14 années de prison et un million d’euros d’amende, au milieu de certains complices français comme “Lord Kaiser Sose” et son frère »

Au bout de deux mois, son avocat parvient à le faire libérer pour qu’il puisse passer le Baccalauréat dès le mois de septembre. Placé sous contrôle judiciaire dans l’attente de son procès, son avocat lui conseille de déménager. En effet, pendant la garde à vue, Maxime a révélé certaines informations pouvant lui porter, par extension, du tort. En gros, il a parlé. « À 17 ans, on ne peut pas trop jouer aux caïds dans cette situation » me dit-il. Il passera son bac qu’il obtiendra, mention bien. Dans les mois qui suivirent, il recevra des lettres de Kevin, son ancien codétenu. « C’était un petit mec de cité de 19 piges. Pour 200 grammes de shit, il a pris plus que moi » regrette-t-il en me montrant les lettres écrites au crayon à papier.

Son procès a lieu en 2008 et Maxime risque encore 14 années de prison et un million d’euros d’amende, au milieu de certains complices français comme “Lord Kaiser Sose” et son frère. Les autres sont jugés en Russie, Roumanie, Turquie et Canada. Il fera appel de la décision. En 2010, son avocat maître Deschamps arrive à le faire juger en tant que mineur, ce qu’il était au moment des faits. La Cour d’appel d’Aix en Provence le condamne ainsi à seulement douze mois de prison avec sursis et de 45 000 euros d’amende. American Express demandera 1 million d”euro de préjudice, refusé par le parquet.

***

Libre et bachelier, Maxime décide de recommencer sa vie à zéro. Il arrête le hacking “black hat” et ne reprendra jamais contacte avec les douze autres hackers. « Je ne sais pas ce qu’ils sont devenus » me dira-t-il. Il n’aura également aucune nouvelle de ses codétenus qui l’ont protégé. Il commence par faire une école de commerce « ça mène à tout aujourd’hui » mais se rend vite compte que ce n’est pas un monde pour lui. Finalement, il passera les concours de L’institut Mines-Télécom pour devenir ingénieur en cybersécurité. Ironie du sort, une fois son diplôme en poche, il travaillera pour le Ministère des Armées en cyber-défense. Il est aujourd’hui Senior Pen-Testeur pour un cabinet de cybersécurité privé.

Dix ans plus tard, Maxime est bien loin de ces activités qui auraient pu lui coûter bien plus que quelques mois de prisons et une amende. « J’ai eu beaucoup de chance que ça se termine comme ça. » Aujourd’hui, il cherche à démystifier le dark web et ce qu’on peut y trouver. Objet de fascination relayé en boucle par des médias, il n’est aujourd’hui pour lui qu’un lieu quelconque où des choses atroces s’y déroulent parfois. Son histoire n’aura jamais été publiée dans la presse. Seuls des documents officiels de la SDLC et des service secrets américains mentionnent Maxime. En 2011, un livre, DarkMarket: How Hackers Became the New Mafia écrit par le journaliste Misha Glenny fait état sur une page de cette histoire. Son auteur restait stupéfait qu’aucun média n’ai eu vent de cette histoire.

Avant de partir, je lui demande ce qu’il retient de toute cette affaire, et surtout s’il regrette ses actes. Il se lève et me dit, « La vie est courte, donc je ne suis pas sûr de regretter cela. Surtout, ces évènement m’ont mis sur la bonne voie, j’ai simplement dû en passer par là. Mais je peux pas me pardonner les sentiments de peur et de tristesse que j’ai infligé à ma famille. Ça, je le regretterais toujours. »

*Le nom a été modifié pour préserver son anonymat.

Paul est sur Twitter.