Il y a un mois, Victor Gevers, expert en cybersécurité, avait annoncé à plusieurs médias néerlandais qu’il avait réussi à accéder au compte Twitter de Donald Trump, qui était alors en pleine campagne présidentielle. Le ministère public des Pays-Bas a décidé de se pencher sur l’affaire.
A la mi-octobre, Victor Gevers avait révélé avoir eu accès au compte Twitter de Donald Trump, en utilisant le mot de passe ‘MAGA2020!’, MAGA étant l’acronyme de Make America Great Again, le slogan de campagne du président américain.
L’expert en cybersécurité aurait ainsi eu accès aux messages privés de Trump et aurait pu, s’il l’avait voulu, tweeter en son nom. Mais ce n’était pas son but. Une fois qu’il découvert le mot de passe du président, il a averti les services de sécurité du président. Il leur a conseillé d’adopter un système à double-vérification, qui permet de sécuriser la connexion en s’authentifiant sur un deuxième appareil.
Victor Gevers n’a pas reçu de réponse à ses mails. Cependant, un système à double-vérification a bel et bien été activé sur le compte Twitter de Trump par la suite.
La Maison Blanche et Twitter ont tous deux nié que Gevers avait piraté le compte de Trump. Le hacker a tout de même été interrogé par les services de renseignements américains basés aux Pays-Bas, sans que cela n’aille plus loin.
L’histoire aurait pu en rester là, mais le Ministère public néerlandais veut à présent en savoir plus.
Ouverture d’une enquête
De Volkskrant rapporte que Victor Gevers a été interrogé cette semaine par la police néerlandaise. L’information a été confirmée par le ministère public. ‘Nous sommes en train d’enquêter pour savoir si quelque chose de criminel s’est produit’, a déclaré au journal un porte-parole du ministère public.
Le ministère public précise qu’il s’agit d’une ‘enquête néerlandaise indépendante’ et qu’elle n’est pas basée sur une demande d’assistance juridique des Etats-Unis
C’est la police chargée de la criminalité technologique qui a interrogé Gevers. Pour l’instant, il a été entendu en tant que ‘témoin’. Il n’est pas considéré comme un suspect. Il pourrait le devenir si le ministère public venait à le poursuivre.
La BBC indique police doit d’abord prouver que le piratage a effectivement eu lieu. Si les procureurs considèrent que les actions de Gevers sont illégales et qu’elles ne relèvent pas du domaine de la recherche sur la cybersécurité, il pourrait être condamné à une peine de quatre ans de prison.
Une ‘divulgation responsable’
Victor Gevers se considère comme un ‘pirate éthique’. Il passe son temps à chercher des failles en matière de sécurité informatique, afin de permettre aux internautes vulnérables de résoudre leurs problèmes.
L’expert en cybersécurité indique que sa démarche envers Trump s’inscrivait dans le cadre d’une ‘divulgation responsable’. Cela signifie que le chercheur en cybersécurité prévient les parties prenantes des failles de leur système, leur laissant le temps de le sécuriser avant de rendre l’affaire publique.
Le ministère public néerlandais tient à s’assurer que l’action de Gevers fait bel et bien du registre de la ‘divulgation responsable’. Pour cela, il tient à s’assurer que le ‘hacker éthique’ n’a pas dévoilé trop de preuves aux médias. Et s’il a bien pris le temps d’avertir le clan Trump avant de s’adresser à la presse.
‘La police voulait savoir comment s’était déroulé tout ce processus, comment s’était déroulé la préparation et quels efforts j’avais faits pour entrer en contact avec la victime’, a confié Gevers au Volkskrant.
Gevers se défend…
Gevers indique qu’il n’a envoyé que quelques captures d’écran (prises depuis le compte Twitter de Trump) à ‘un group restreint’ de journalistes néerlandais. Certains médias américains, sceptiques, lui auraient demandé davantage de preuves. Mais il a refusé, souhaitant rester dans le (très strict) cadre de la divulgation responsable. Ce qui a renforcé les doutes de ses détracteurs.
Le pirate affirme avoir bien plus d’éléments permettant de prouver la véracité de ses dires. La police les lui a demandées, mais il a préféré refuser. Il ne les dévoilera que si le ministère public entame des poursuites contre lui.
… et se dit confiant
Gevers estime que cette affaire ne concerne pas uniquement sa personne, mais bien ‘tous les enquêteurs – bénévoles – qui participent à la divulgation responsable’. ‘Nous pouvons tous agir avec les meilleures intentions et essayer de respecter autant que possible la vie privée des personnes concernées, tout en rendant l’internet un peu plus sûr’, a-t-il déclaré au Volkskrant.
A priori, l’expert néerlandais estime qu’il ne sera pas poursuivi. Il rappelle qu’il n’a même pas ‘piraté’ le compte: il a seulement tenté d’entrer cinq mots de passe. Le cinquième essai fut le bon. ‘Je n’ai contourné aucun système de sécurité, car il n’y avait pas de sécurité adéquate en place. J’ai juste deviné le mot de passe et j’ai ensuite essayé d’avertir son équipe des risques et de la manière de les résoudre ».
Gevers ajoute qu’il n’y a ‘pas de raison’ pour que la police nationale néerlandaise, et en particulier de l’unité chargée de la criminalité technologique, ‘doute’ de sa déclaration. ‘Ils me connaissent, ils connaissent mon travail depuis plus de 22 ans avec le Dutch Institute for Vulnerability Discolsure (DIVD)’.