En 2014, la faille Heartbleed a entraîné la divulgation des données personnelles de 900 Canadiens. S’en est suivie une véritable course contre la montre pour les membres de la GRC qui travaillaient à résoudre l’affaire.
Le sergent (sgt) de la GRC Éric Demers a toujours eu un penchant pour l’informatique.
Bien avant que la cybercriminalité ne devienne sa spécialité, avant même l’existence d’unités et de programmes spécialisés, il s’intéressait à la technologie et au travail d’enquête. Lorsque l’occasion d’intégrer le Groupe de la criminalité technologique s’est présentée au début de sa carrière de jeune gendarme, il l’a saisie, a terminé un programme d’études de deux ans et est devenu analyste de la criminalistique informatique.
En avril 2014, désormais sergent, M. Demers avait vu défiler de nombreux cas, mais rien de comparable à Heartbleed.
Une faille que personne n’a vue venir
La plupart des Canadiens n’ont jamais entendu parler d’OpenSSL, mais ils en dépendent chaque jour.
OpenSSL est une bibliothèque cryptographique qui sécurise les communications Internet. Il s’agit d’un verrou invisible dans la barre d’adresse de votre navigateur lorsque vous ouvrez une session sur le site de votre institution financière, produisez votre déclaration de revenus ou envoyez un courriel. Elle soutient les sites Web, les portails gouvernementaux et l’infrastructure essentielle partout dans le monde.
En 2012, un code a été ajouté à OpenSSL dans le cadre d’une extension appelée « Heartbeat », conçue pour maintenir les connexions actives. Ce code dissimulait une faille, assez subtile pour passer inaperçue pendant près de deux ans, mais assez dangereuse pour exposer une partie importante d’Internet lorsqu’elle a finalement été mise au jour.
Lorsque les chercheurs en sécurité l’ont découverte en avril 2014, ils l’ont nommée Heartbleed. Cette vulnérabilité permettait à quiconque était en mesure d’exploiter le système de consulter la mémoire du serveur et d’en extraire discrètement des données, notamment des mots de passe, des clés de chiffrement et des renseignements personnels, sans déclencher la moindre alerte. Aucun journal, aucune trace et aucun avertissement.
Une fois la faille divulguée publiquement, les pirates informatiques du Canada se sont rapidement mis au travail.
Le compte à rebours est lancé
L’appel est venu rapidement. L’Agence du revenu du Canada (ARC) a confirmé ce que craignaient les enquêteurs : Heartbleed avait été exploité sur ses serveurs. Un cyberattaquant avait extrait environ 900 numéros d’assurance sociale (NAS) des systèmes de l’ARC. Des personnes produisant leurs déclarations de revenus et confiant leurs renseignements les plus sensibles à un portail gouvernemental avaient été exposées à leur insu.
L’ARC a fermé ses portails en ligne, avisé le commissaire à la protection de la vie privée du Canada et demandé l’aide de la GRC.
« Contrairement à de nombreux autres types d’intrusions, il n’y a souvent pas de journaux ou d’indicateurs clairs montrant exactement quelles données ont été consultées », a expliqué le sergent Demers. « Il y avait un risque immédiat de perdre des pistes d’enquête critiques si nous n’agissions pas rapidement. »
La scène de crime invisible
Il n’y a aucune preuve matérielle à recueillir, aucun voisinage à interroger et aucun ruban jaune dans une enquête sur la cybercriminalité. Cette scène de crime n’existait qu’à travers des données, avec d’infimes empreintes numériques laissées par quelqu’un qui s’efforçait grandement de n’en laisser aucune.
Le sujet a utilisé un réseau privé virtuel (RPV) pour masquer son identité et dissimuler son emplacement réel à quiconque l’observait.
Cependant, la connexion au RPV a été interrompue et le signal a faibli suffisamment longtemps pour que la véritable adresse IP du suspect soit exposée. Un seul faux pas, et l’affaire a été élucidée.
« Cet événement unique nous a offert notre première solide piste d’enquête », a déclaré le sergent Demers.
Les enquêteurs ont obtenu un mandat et ont demandé des renseignements sur l’abonné auprès d’un fournisseur de services Internet. Les résultats ont mené à une résidence précise, partagée par un professeur d’informatique au niveau universitaire et son fils, un étudiant en informatique.
La percée décisive
Une fois l’autorisation judiciaire obtenue, les membres de la GRC, y compris le Groupe de la criminalité technologique de London (Ontario), ont exécuté un mandat de perquisition et saisi tous les appareils électroniques pertinents aux fins d’enquête.
Chaque appareil a été examiné, bien qu’une partie précise des données de l’ordinateur portable du suspect adolescent ait été cryptée, ajoutant une couche de complexité. Les membres ont identifié des parties non chiffrées du système et trouvé le mot de passe, déverrouillant les données cryptées pour poursuivre leur progression.
Ce qu’ils ont trouvé laissait peu de place au doute.
Sur un appareil en particulier, ils ont trouvé des renseignements personnels confidentiels, notamment des numéros d’assurance sociale, des noms et des adresses qui correspondaient aux données volées à l’ARC.
« Il n’y avait aucune explication légitime à la présence de cette information sur un ordinateur personnel », a déclaré le sergent Demers. « Cet appareil était directement associé à Stephen Solls-Reyes, ce qui confirmait son statut de suspect principal. »
Stephen Solls-Reyes, 19 ans, était étudiant en deuxième année d’informatique à l’Université Western Ontario. Il a été arrêté le 15 avril 2024, à peine quatre jours après le signalement de la faille à la GRC, et accusé d’un chef d’utilisation non autorisée d’un ordinateur et d’un chef de méfait à l’égard des données.
Pour le sergent Demers, le moment de la découverte de ces données sur l’appareil est celui qui l’a marqué.
« Grâce à cette découverte, l’affaire est passée d’une enquête complexe en un dossier solide reposant sur des preuves », a-t-il ajouté.
De vraies personnes, de vraies conséquences
Le sergent Demers réfute l’idée que ce problème est inoffensif sous le seul prétexte qu’il s’est produit dans le monde numérique.
« La cybercriminalité peut sembler abstraite, d’autant plus qu’une grande partie du travail se fait derrière des écrans. Mais l’impact humain est très réel, et souvent durable. »
Les NAS de 900 Canadiens ont été dérobés. L’impact s’étend bien au-delà de l’incident initial, car le vol d’identité, un dossier de crédit entaché et un sentiment persistant de violation peuvent suivre une personne pendant des années.
Internet ne suit pas les frontières traditionnelles, pas plus que les cybercriminels ni les enquêtes sur la cybercriminalité. Dans ce cas, le cyberattaquant avait également ciblé Jersey Mail, un petit fournisseur de services de courriel au Royaume-Uni. À la suite de cette faille, l’entreprise a déclaré faillite et les employés ont perdu leur emploi.
« Quand vous regardez au-delà des aspects techniques et discutez avec les personnes touchées, l’ampleur du préjudice devient très claire », a souligné le sergent Demers. « C’est sur cela que nous nous concentrons tout au long de l’enquête : les vraies personnes et communautés affectées par ces actions. »
Derrière chaque fichier journal et copie-image se trouve une personne dont la vie a été perturbée. Garder cette réalité humaine au premier plan, même lorsque les preuves ne sont constituées que de un et de zéro, fait partie des qualités d’un bon membre de la GRC, comme le sergent Demers et ses collègues qui ont résolu cette affaire.
La menace évolue sans cesse
Les menaces auxquelles le Canada fait face aujourd’hui sont plus sophistiquées que tout ce qu’ont connu les enquêteurs en 2014. En rétrospective, Heartbleed représentait une ère technologique plus simple.
Le contexte actuel est très différent, et la pression exercée sur les membres de la GRC s’est intensifiée en conséquence.
Les responsables du crime organisé utilisent maintenant l’intelligence artificielle (IA) pour automatiser les attaques à une échelle et à une vitesse qu’aucune personne ne pourrait résoudre seule. Tandis que l’affaire Heartbleed mettait en cause une seule vulnérabilité, la technologie actuelle permet d’atteindre simultanément des milliers de cibles. À mesure que les menaces évoluent, les organisations et les personnes doivent continuer à renforcer leurs pratiques de sécurité et à se tenir informées afin de mieux se protéger. Lorsque ces protections sont contournées, les enquêteurs doivent agir rapidement pour identifier les responsables, protéger les victimes et préserver les éléments de preuve essentiels avant qu’ils disparaissent.
C’est la partie des services policiers que la plupart des Canadiens ne voient jamais. Alors que l’attention médiatique se tourne vers un autre sujet, les membres de la GRC travaillent jour et nuit, coordonnent leurs efforts avec les fournisseurs de services Internet, harmonisent des renseignements avec les organismes partenaires et mènent une course contre la montre pour préserver des preuves qui pourraient disparaître à tout moment. Leur travail est déterminé et méticuleux au nom des personnes qui ne savent pas encore que quelqu’un se bat pour elles. Ils développent une expertise, s’appuient sur les éléments de preuve et persévèrent dans des enquêtes exigeantes sur le plan technique parce que de vraies personnes comptent sur eux.