Condamné aux États-Unis et mis en examen en France, les déboires judiciaires du hackeur français Sébastien Raoult

Les péripéties judiciaires de Sébastien Raoult se poursuivent. Arrivé libre mercredi soir à Paris, le hackeur français a été interpellé puis mis en examen dès son atterrissage en France. L’ex-étudiant, qui avait été condamné le 9 janvier aux États-Unis à trois ans de prison pour avoir piraté les données confidentielles de plus de 60 entreprises et les revendre sur le darkweb, est cette fois-ci poursuivi pour atteintes à un système de traitement automatisé de données.

Dans ce dossier, Sébastien Raoult est poursuivi dans une information judiciaire ouverte en octobre 2022 par la section de lutte contre la cybercriminalité du parquet de Paris. «Je comprends mes erreurs et je veux mettre cette histoire derrière moi, déclarait le jeune Français de 22 ans lors du prononcé de sa peine en début d’année. Plus de piratage. Je ne veux pas décevoir à nouveau ma famille».

Une soixantaine d’entreprises touchées

Originaire d’Epinal, dans l’est de la France, Sébastien Raoult a admis avoir fait partie des «ShinyHunters», un groupe de pirates informatiques au sein duquel il se cachait derrière le pseudonyme «Sezyo Kaizen». À partir de 2020, ces hackeurs ont dérobé les données confidentielles d’une soixantaine d’entreprises afin de les revendre sur le «dark web» (la zone clandestine d’internet), causant des pertes estimées à plus de six millions de dollars par la justice américaine.

Le groupe comptait également deux autres jeunes français dans ses rangs: Abdel-Hakim El-Ahmadi et Gabriel Bildstein, un hackeur bien connu de la justice française. Mais la France n’extrade pas ses ressortissants et ils sont restés dans l’Hexagone. Sébastien Raoult était donc seul condamné dans cette affaire outre-Atlantique.

Son cas a défrayé la chronique diplomatique depuis son arrestation au Maroc en 2022. L’ancien étudiant en informatique de 22 ans a été arrêté le 31 mai 2022 à Tanger sur la base d’une notice rouge émise par Interpol à la demande de la justice américaine, alors qu’il s’apprêtait à prendre l’avion pour rentrer en France. Il a passé des mois en prison dans des conditions déplorables après son arrestation à l’aéroport de Rabat. Sa famille et sa défense française ont tenté de le faire extrader vers la France pour qu’il y soit jugé, allant jusqu’à saisir le Comité des droits de l’homme de l’ONU pour s’opposer à sa remise aux États-Unis. Sans succès.

Hameçonnage par e-mails

Selon la justice américaine, les «ShinyHunters» utilisaient un mode opératoire bien connu des hackeurs. Ils avaient créé des sites internet ressemblant aux pages d’authentification d’entreprises réelles. Avec des e-mails d’hameçonnage imitant ceux de l’employeur, ils attiraient les salariés de ces organisations vers ces pages et récupéraient leurs identifiants.

Cela leur permettait de pénétrer dans les systèmes informatiques de ces firmes, afin de copier leurs fichiers clients et leurs informations financières. Des données qu’ils mettaient ensuite en vente sur des forums cybercriminels, cachés sur le «dark web» comme «Raidforums et EmpireMarket, connues pour abriter des cybercriminels et des activités illégales». Selon l’accusation, Sébastien Raoult a «développé une partie substantielle du code et des sites web d’hameçonnage que lui et ses co-conspirateurs ont utilisés» pour leurs escroqueries.

Les «ShinyHunters» ont aussi fait chanter une vingtaine de victimes, en exigeant une rançon en cryptomonnaies pour ne pas mettre en vente les données dérobées. L’une d’elles a atteint 425.000 dollars, selon des documents judiciaires. Afin d’accroître leur notoriété et leurs profits, ils ont communiqué avec des médias et posté, à une occasion, un message revendicatif sur le site d’une de leur victime. 

Cinq millions de dollars à rembourser

D’après différents experts, ils ont pris pour cible le compte de Microsoft sur la plateforme de partage de code informatique Github, le site d’e-commerce indonésien Tokopedia, la marque de vêtement américaine Bonobos ou encore l’opérateur téléphonique américain AT&T. Dans l’acte d’accusation, les autorités américaines assurent que les trois Français se cachaient derrière ce groupe, et dit les avoir identifiés sur la base d’adresses IP, de comptes reliés et de discussions sur des forums.

Devant la justice américaine, l’ancien étudiant en informatique avait d’abord plaidé non coupable. Mais, en novembre 2023, il a finalement fait volte-face en nouant un accord avec l’accusation. Sébastien Raoult a reconnu être coupable d’association de malfaiteurs pour commettre une escroquerie informatique et d’usurpation d’identité aggravée. En échange, les procureurs ont abandonné sept autres chefs d’accusation à son encontre.

Désormais condamné sur le sol américain, il a profité des remises de peine et des mois de détention déjà effectués au Maroc pour regagner le territoire français à l’issue de sa peine, alors qu’il risquait jusqu’à 116 ans de prison lors de son procès. Il doit toutefois rembourser cinq millions de dollars pour les pertes causées aux firmes victimes. Avant l’arrestation de son fils ce mercredi, Paul Raoult regrettait déjà un biais dans cette affaire. «On n’aura jamais le fin mot car il n’y a pas eu de confrontation (avec les autres pirates informatiques)», soufflait le paternel en début d’année.