La plus grosse banque d'identités volées du Web était hébergée sur un serveur québécois jusqu'à l'an dernier, a révélé la GRC ce matin, en annonçant le dépôt d'accusations contre un Ontarien qui aurait fait le commerce de noms d'usagers et de mots de passes volées.

La controversée base de données LeakedSource.com, qui avait rassemblé plus de 3 milliards de noms d'usagers, d'adresses électroniques et de mots de passe issus du piratage de sites comme MySpace et LinkedIn, avait fait parler d'elle partout dans le monde ces dernières années. Elle permettait à quiconque d'entrer ses informations personnelles dans son moteur de recherche pour vérifier si elles avaient été piratées.

En entrevue avec le site spécialisé Wired, un administrateur avait expliqué que le site se voulait un « service public ». Il disait ne pas être mêlé lui-même au moindre piratage, mais avoir réuni ensemble les informations que les pirates avaient déjà dérobées et faisaient circuler dans leurs réseaux.

« Nous avons démarré ceci parce que les gens demandaient où ils pouvaient voir s'ils étaient affectés par la brèche XYZ, mais ils n'avaient pas de réponse parce que les compagnies n'avertissent pas les usagers lors des piratages », expliquait l'administrateur, sous couvert de l'anonymat.

Pour une faible somme

En réalité, selon la GRC, le site permettait à quiconque d'acheter des données piratées, « pour une faible somme ». Même les mots de passe initialement cryptés étaient décryptés pour devenir lisibles.

« L'enquête a révélé que malheureusement, tous les mots de passe et les noms d'utilisateurs étaient disponibles à quiconque voulait y accéder. Notre argument est tout d'abord que le fait de posséder ces informations est une infraction criminelle selon le Code criminel canadien. Et de plus, le fait que les mots de passe étaient lisibles, donc en texte clair, rendait évidemment l'information encore plus dangereuse pour que quelqu'un puisse l'utiliser à des fins criminelles », a expliqué le sergent d'État-major Maurizio Rosa, qui dirige l'Équipe d'enquête sur la cybercriminalité de la GRC.

L'enquête de la GRC, baptisée Projet Adoration, avait été déclenchée lorsque la police des Pays-Bas avait avisé les enquêteurs canadiens que LeakedSource.com semblait lié à un serveur informatique dans la grande région de Montréal.

En janvier 2017, le site est disparu mystérieusement. Un message sur un forum de discussion précisait que c'était à cause d'une intervention policière, mais personne ne savait dans quelle région du monde les autorités étaient intervenues.

Arrestation au nord de Toronto

La GRC a expliqué ce matin que c'est elle qui était derrière la manoeuvre. Elle a poursuivi son enquête pendant quelques mois pour finalement arrêter peu avant Noël Jordan Evan Bloom, un homme de 27 ans résidant de Thornhill, au nord de Toronto.

M. Bloom doit comparaître en cour aujourd'hui pour être accusé de trafic de renseignements identificateurs, d'utilisation non autorisée d'ordinateur, de méfait à l'égard de données et de possession de biens criminellement obtenus.

La GRC estime qu'il a amassé 247 000 $ en vendant des informations personnelles, mais l'argent n'a pas été récupéré jusqu'ici.

Le FBI a aussi collaboré à l'enquête.

Jordan Evan Bloom