Des ados derrière un moteur de recherche de données volées

Trois jeunes de 17 ans vont être jugés parce qu’ils ont créé un site qui vendait des informations personnelles volées. Ce site, appelé Reacher puis Stryxx, permettait à n’importe qui de chercher des données sur des gens : leur adresse, leur numéro de téléphone, ou même des infos plus privées. Tout ça venait de piratages, comme quand des hackers volent des données dans des entreprises ou des administrations.

Le site disait avoir 730 millions d’informations, et plus de 3 millions de recherches y avaient déjà été faites. Avec ces données, des gens mal intentionnés peuvent faire du chantage, voler une identité ou même organiser un cambriolage. En France, c’est interdit de créer ou d’utiliser ce genre de site, même si on ne vole pas soi-même les données.

La police a fermé le site après une enquête, et d’autres sites similaires sont aussi surveillés. Si tu entends parler d’un site qui propose des infos personnelles gratuitement ou contre de l’argent, méfie-toi : c’est probablement illégal.

Trois jeunes de 17 ans risquent jusqu’à dix ans de prison pour avoir administré Reacher, un site qui permettait de trouver des données personnelles volées lors de cyberattaques. Renommé plus tard Stryxx, ce site proposait des recherches gratuites ou payantes sur des millions d’informations : adresses, numéros de téléphone, ou même des données plus sensibles. Ces données provenaient de fuites ou de piratages, comme ceux qui touchent régulièrement des entreprises ou des administrations.

Le site revendiquait 730 millions de lignes de données et plus de 3 millions de requêtes traitées. Avec ces informations, des utilisateurs malveillants peuvent commettre des délits : usurpation d’identité, harcèlement, ou même des cambriolages ciblés. En Europe, la création ou l’utilisation de ces moteurs de recherche, appelés lookups, est illégale dès lors qu’ils exploitent des données obtenues illégalement.

La plateforme a été démantelée après une enquête de l’Office anti-cybercriminalité (Ofac), lancée suite à un signalement de l’association e-Enfance. Ce n’est pas un cas isolé : une dizaine d’enquêtes similaires sont en cours, et des députés ont même signalé de nouveaux lookups à la justice. Ces sites se multiplient sur des plateformes comme Discord ou Telegram, où ils sont accessibles au grand public.

Ce cas rappelle l’importance de protéger ses données personnelles et de signaler tout site suspect. Le RGPD encadre strictement l’utilisation des données, et leur exploitation illégale est sévèrement punie.

Trois adolescents de 17 ans sont poursuivis pour avoir administré Reacher (devenu Stryxx), une plateforme de type lookup qui agrégeait et revendait des données personnelles volées lors de cyberattaques. Ce site, accessible via des abonnements gratuits ou payants, permettait d’interroger une base de données contenant 730 millions d’entrées, issues de fuites ou de piratages. Avec plus de 3,1 millions de requêtes traitées, il illustre les risques liés à la réutilisation de données obtenues illégalement, notamment pour des usages comme l’usurpation d’identité ou le harcèlement.

D’un point de vue technique, un lookup comme Reacher/Stryxx fonctionne comme un moteur de recherche classique, mais avec une particularité : ses données proviennent de sources illicites, comme des fuites de données ou des bases piratées. Les administrateurs n’ont pas nécessairement participé aux cyberattaques initiales, mais ils exploitent les données volées en les centralisant dans une base de données interrogeable via une interface simple. Cette architecture pose plusieurs problèmes :

• Stockage et traitement des données : Les données sont probablement stockées dans une base de données relationnelle ou NoSQL, optimisée pour des requêtes rapides. Leur volume (730 millions d’entrées) suggère l’utilisation de techniques de compression ou de partitionnement pour gérer les performances.
• Accès et monétisation : Le site proposait des formules d’abonnement, ce qui implique un système de gestion des utilisateurs et des paiements, probablement intégré via des API tierces (comme Stripe ou PayPal).
• Anonymat et sécurité : Pour échapper aux autorités, les administrateurs ont probablement utilisé des techniques comme le VPN ou des serveurs hébergés dans des pays peu coopératifs. Cependant, la rétro-ingénierie des logs ou des métadonnées peut permettre de remonter jusqu’à eux.

D’un point de vue juridique, la plateforme viole le RGPD, qui interdit le traitement de données personnelles obtenues illégalement. Même si les administrateurs ne sont pas les auteurs des piratages initiaux, leur rôle dans la diffusion et la monétisation des données les rend complices. Le démantèlement de Reacher/Stryxx par l’Ofac montre que les autorités traquent activement ces plateformes, souvent hébergées sur des messageries comme Discord ou Telegram pour contourner les régulations.

Ce cas soulève aussi des questions sur la responsabilité des plateformes qui hébergent ces lookups. Faut-il renforcer les contrôles sur les messageries ou les réseaux sociaux ? Comment concilier liberté d’expression et protection des données ?