Piratage de Yahoo : le cybercrime paie-t-il vraiment bien ?

Des espions russes à la manœuvre

Le dossier d’inculpation fait apparaître Belan et Baratov comme des mercenaires au service de Dokuchaev - récemment accusé de haute trahison par Moscou - et de Sushchin. Les deux agents auraient ainsi utilisé Belan - activement recherché par le FBI depuis 2012 - pour prendre pied sur l’infrastructure de Yahoo. Les moyens initiaux de compromission ne sont pas évoqués. 

Mais selon les autorités américaines, Belan a réussi à accéder à l’outil de gestion des comptes utilisateurs du fournisseur de services en ligne, ainsi qu’à la base de données de ceux-ci, dont il aurait réalisé une copie fin 2014, exfiltrée via FTP. Les quatre prévenus sont accusés d’avoir largement recouru à la falsification de cookies pour garder l’accès à plus de 6500 comptes utilisateurs compromis - y compris au sein de l’infrastructure de Yahoo.

Ce sont surtout les adresses secondaires, utilisées par exemple pour récupérer l’accès à son compte en cas d’oubli de mot de passe, qui semblent avoir intéressé les prévenus afin d’identifier des cibles potentielles. Car pendant que Belan s’occupait du système d’information de Yahoo - jusqu’à déployer un outil conçu pour effacer les traces de ses activités dans les journaux des systèmes compromis -, Baratov avait pour mission de prendre le contrôle de comptes de messagerie externes, notamment hébergés par Google. Il aurait ainsi compromis au moins 80 comptes de courrier électronique, en piégeant ses victimes par hameçonnage ciblé - ou spear phishing. Fin octobre 2016, les espions russes auraient ainsi réussi à accéder à des comptes du directeur technique d’une entreprise française de transport. 

Des bonnes affaires supplémentaires

Mais les pirates ne semblent pas s’être contentés de leurs activités au service des deux espions russes. Belan est ainsi accusé d’avoir manipulé les résultats du moteur de recherche de Yahoo pour diriger ses utilisateurs en quête de remèdes contre les problèmes d’érection… vers une pharmacie en ligne lui reversant des commissions à chaque achat. Le pirate est également accusé d’avoir dérobé des informations financières d’utilisateurs de Yahoo et d’avoir essayé de récupérer des bons d’achat électroniques. Sans compter la collecte d’adresses e-mails de correspondants de ses victimes dans le but possible de les revendre.

Si le dossier d’inculpation n’avance aucun chiffre pour les émoluments de Belan, ceux de Baratov sont en revanche évoqués : environ 100 $ par compte de messagerie compromis. De quoi estimer sa rémunération sur la période - plus de deux ans - à au moins 8 000 $. Ce qui ne doit représenter qu’une portion très faible de ses revenus : la justice américaine a demandé la saisie de sa Mercedes Benz C54 et de son Aston Martin DBS.

Une autre asymétrie, celle des coûts

On imagine toutefois mal que l’opération ait coûté, côté attaquants, autant qu’elle a déjà coûté à Yahoo et à ses actionnaires. Verizon a ainsi bien demandé un rabais de près de 1 Md$ pour le rachat de Yahoo à la suite des révélations sur les attaques dont il a été victime, pour finalement accepter 350 M$. Début novembre, Yahoo indiquait avoir déjà dépensé 1 M$ dans l’enquête sur l’incident de sécurité.  

Mais on compterait une quarantaine de procédures collectives engagées par des consommateurs contre Yahoo en raison de sa gestion de ces incidents. A celles-ci s’ajoutent celles d’actionnaires qui accusent l’entreprise et certains de ses dirigeants d’avoir failli à leurs devoirs d’information des actionnaires sur ces incidents de sécurité et leurs conséquences potentielles. 

Toutefois, dans son rapport à la SEC, Yahoo indique « ne pas croire qu’une perte liée à ces points est probable », du moins sur « la base des informations actuelles ». Reste que l’accord conclu avec Verizon prévoit que chacune des parties sera responsable à hauteur de 50 % des éventuelles pertes induites par les incidents de sécurité dont a souffert Yahoo.