L’histoire inédite du marché « zéro jour » américain

« Avec l’éclatement de l’Union soviétique, vous aviez beaucoup de gens avec des compétences, sans emploi », a expliqué Sabien. En Europe, les pirates informatiques, dont certains n’avaient que 15 ou 16 ans, échangeaient leurs découvertes avec des revendeurs « zero-day » qui les revendaient directement aux agences gouvernementales et à leurs courtiers. Certains des hackers les plus talentueux, m’a dit Sabien, étaient en Israël, des vétérans de l’Unité 8200 d’Israël. L’un des meilleurs était un jeune Israélien de 16 ans.

C’était une affaire secrète et incroyablement alambiquée. L’équipe de Sabien ne pouvait pas vraiment appeler les pirates, leur demander d’envoyer leur exploit par e-mail et leur renvoyer un chèque. Les bogues et les exploits devaient être soigneusement testés sur plusieurs systèmes. Parfois, les pirates pouvaient le faire par vidéo. Mais la plupart des transactions se faisaient en face à face, souvent dans des chambres d’hôtel lors de conventions de piratage.

L’équipe de Sabien s’est de plus en plus appuyée sur ces sombres intermédiaires. Pendant des années, dit-il, son employeur a envoyé un intermédiaire israélien avec des sacs de sport remplis d’un demi-million de dollars en liquide pour acheter des « zero-day bugs » à des pirates informatiques en Pologne et dans toute l’Europe de l’Est.

Chaque étape de cette structure de négociation incroyablement complexe reposait sur la confiance et l’omertà. Les gouvernements devaient faire confiance aux entrepreneurs pour livrer un jour zéro qui fonctionne. Les entrepreneurs devaient faire confiance aux intermédiaires et aux hackers pour ne pas faire échouer l’exploit au cours de leurs propres escapades, ou le revendre à nos pires ennemis. Les hackers devaient faire confiance aux entrepreneurs pour les payer, et non pas seulement pour prendre leurs démonstrations et développer leurs propres variations de leurs bugs. C’était avant bitcoin. Certains paiements étaient effectués via Western Union, mais la plupart l’étaient en espèces.

Vous ne pourriez pas imaginer un marché moins efficace si vous essayiez.

C’est pourquoi, en 2003, Sabien a pris note du fait qu’iDefense payait ouvertement les pirates pour leurs bugs et a appelé Watters.

Pour un homme d’affaires comme Watters, qui tentait de pousser le marché vers l’extérieur, ce que faisaient les entrepreneurs était idiot, voire dangereux.

« Personne ne voulait parler ouvertement de ce qu’il faisait », se souvient M. Watters. « Il y avait tout cet air de mystère. Mais plus le marché est sombre, moins il est efficace. Plus le marché est ouvert, plus il mûrit, plus les acheteurs sont aux commandes. Au lieu de cela, ils ont choisi de travailler dans la boîte de Pandore, et les prix n’ont cessé d’augmenter ».

Fin 2004, il y a eu une nouvelle demande de la part d’autres gouvernements et sociétés écrans, qui ont tous continué à faire monter le prix des exploits et à rendre la concurrence difficile pour iDefense.

Au fur et à mesure que le marché s’étendait, ce qui préoccupait Watters n’était pas l’effet que le marché aurait sur l’iDefense ; c’était le potentiel croissant d’une cyberguerre totale. « C’est comme avoir des cyber-nuces dans un marché non réglementé qui peuvent être achetées et vendues partout dans le monde sans discrétion », m’a-t-il dit.

La certitude de l’époque de la guerre froide – avec son équilibre effrayant – a fait place à une vaste étendue sauvage numérique inexplorée. Vous ne saviez pas exactement où l’ennemi allait apparaître ni quand.

Les agences de renseignement américaines ont commencé à s’appuyer de plus en plus sur le cyberespionnage pour recueillir le plus de données possible sur le plus grand nombre possible d’adversaires et d’alliés. Mais il ne s’agissait pas seulement d’espionnage. Ils recherchaient aussi des codes qui pouvaient saboter les infrastructures, faire disparaître le réseau. Le nombre d’entrepreneurs du Beltway désireux de faire circuler ces outils a commencé à doubler chaque année, a déclaré M. Sabien.

Les grands entrepreneurs – Lockheed Martin, Raytheon, Northrop Grumman, Boeing – n’ont pas pu engager de cyber-spécialistes assez rapidement. Ils ont braconné à l’intérieur des agences de renseignement et ont acquis des magasins plus petits comme celui de Sabien. Les agences ont commencé à se procurer des exploits de type « zero day » à partir de catalogues, proposés par Vupen, un courtier « zero day » de Montpellier, en France, qui allait plus tard rebaptiser sa boutique « Zerodium ». Elle s’est installée plus près de ses meilleurs clients dans le Beltway et a commencé à publier ouvertement ses listes de prix en ligne, offrant jusqu’à un million de dollars (et plus tard 2,5 millions de dollars) pour une méthode éprouvée de piratage à distance de l’iPhone. « Nous payons de GRANDES primes, pas des primes pour les bugs », disait le slogan. D’anciens opérateurs de la NSA ont créé leurs propres entreprises, comme Immunity Inc. et ont formé des gouvernements étrangers à leur métier. Certains entrepreneurs, comme CyberPoint, ont pris leurs activités à l’étranger. Les émiratis ont récompensé les anciens pirates de la NSA pour avoir piraté leurs ennemis, réels ou supposés. Bientôt, des revendeurs de type « zero-day » comme Crowdfense, qui vendaient exclusivement aux Saoudiens et aux Émiratis, ont commencé à surenchérir sur Zerodium d’un million de dollars ou plus. Finalement, ces outils se sont retournés contre les Américains.