L'économie du « hire a hacker » : surtout des arnaques, quelques condamnations et des acheteurs désespérés
Cherchez quelqu'un pour pirater une boîte mail et les résultats ressemblent à une industrie qui fonctionne : pages soignées, agents de chat en direct, témoignages cinq étoiles, grilles de prix pour Gmail, Facebook, Instagram et WhatsApp. Les tests académiques et le journalisme d'investigation racontent une autre histoire. La plupart de ces vendeurs encaissent le paiement sans rien faire, une poignée livre exactement ce qui est promis, et les acheteurs - des gens qui veulent lire la boîte de réception de leur conjoint, récupérer un compte perdu ou changer une note - n'ont aucun moyen de les distinguer avant que l'argent ne change de mains.
Ce qui se passe quand on paie vraiment
L'image la plus nette vient de chercheurs qui se sont fait passer pour des clients. Une étude de 2019 de Mirian et collègues a contacté 27 services de hack-for-hire en se faisant passer pour des acheteurs, et a constaté que 5 seulement ont tenté le travail, 3 ont livré des identifiants fonctionnels et 3 étaient des arnaques pures : paiement effectué, vendeur disparu. Les prix moyens se situaient entre 100 et 500 dollars environ. Le prix annoncé d'un compte Gmail est passé d'environ 123 à 384 dollars en deux ans, et les comptes protégés par double authentification étaient cotés à peu près deux fois plus - environ 307 contre 690 dollars. Une astuce récurrente dans l'étude : le vendeur montre à l'acheteur un hachage brouillé comme "preuve" d'accès, puis exige des frais supplémentaires pour le "déchiffrer". Le hachage est faux, et l'accès aussi. Le volume est modeste. Sur environ sept mois de l'étude, les vendeurs ont visé 372 comptes uniques - environ 13 par semaine pour l'ensemble de la population testée. Ce n'est pas une opération industrielle ; c'est un tir dispersé de petites fraudes visant des personnes qui sont, par définition, faciles à faire taire par la honte. L'échelle des prix et le remboursement qui n'arrive jamais
L'échelle grand public est cohérente d'un vendeur à l'autre : des boîtes mail à quelques centaines de dollars, les réseaux sociaux un peu plus, les cibles "difficiles" avec double authentification en haut de la fourchette, et un menu de suppléments qui ne fait que grandir - frais d'opérateur, frais de déchiffrement, "frais de déblocage final". Le paiement est d'avance, généralement en crypto ou en cartes cadeaux. Chaque frais supplémentaire est assez petit pour sembler moins cher que d'abandonner l'argent déjà dépensé : c'est la structure classique de la fraude anticipée. Pas de mécanisme de remboursement, car il n'y a pas de canal de réclamation : un acheteur qui se plaint avoue qu'il a tenté de commander un crime. Ce que les acheteurs perdent dépasse les frais. Ils remettent au vendeur l'adresse mail ou le numéro du visé, leurs propres coordonnées et leur trace de paiement, créant la preuve qu'ils voulaient surveiller quelqu'un ou pénétrer ses comptes. Cette trace peut être revendue, réapparaître dans une fuite ultérieure ou servir à un chantage simple - un acheteur chantageable deux fois. Et dans bien des juridictions, commander un accès non autorisé à un compte est en soi une infraction : le "client" porte une exposition légale que le vendeur anonyme n'aura jamais. Le bout professionnel du marché
Les vrais opérateurs hack-for-hire existent, mais ils ne vendent pas des Gmail à 384 dollars depuis une page d'accueil. Une enquête sous couverture du Bureau of Investigative Journalism en 2022 a trouvé des opérateurs indiens facturant à des clients d'entreprise, via des détectives privés et des cabinets d'avocats, entre 3.000 et 20.000 dollars par boîte mail, et cite les recherches de Citizen Lab reliant la société BellTroX à plus de 10.000 comptes compromis. Le travail est surtout du phishing ; un opérateur a dit aux reporters : "La plupart du temps, la cible nous donne son propre mot de passe." Malgré cette ampleur, l'enquête n'a identifié aucune poursuite en Inde, où l'infraction est passible de trois ans de prison. La couche des forums au-dessus ressemble davantage à un vrai marché. La couverture de KrebsOnSecurity en 2015 du forum Enigma décrivait des membres vérifiés publiant des enchères pour des données ou l'accès à des banques nommément désignées, des dépôts Bitcoin non remboursables et une activité de trading obligatoire - des structures de confiance copiées des places de marché légitimes, bâties parce que ces vendeurs livrent vraiment et ont besoin de clients fidèles. L'analyse 2022 de Kaspersky des forums de courtiers en accès montre le même professionnalisme : sur 117 offres à prix affiché pour accéder à des réseaux d'entreprise, environ 43 % partaient sous 1 000 dollars, l'accès aux grandes sociétés coûtait typiquement 2 000 à 4 000 dollars, et près de trois quarts des lots étaient des points d'entrée RDP ou VPN plus RDP. Voilà à quoi ressemble un marché hack-for-hire qui fonctionne - sans site brillant, sans témoignages et sans intérêt pour les clients particuliers. Des condamnations existent - rarement au grand public
Quand de vrais opérateurs sont attrapés, les dossiers sont édifiants. En mai 2018, le ministère américain de la Justice a annoncé qu'un hacker-for-hire international qui avait conspiré avec des officiers du FSB russe et les avait aidés avait été condamné à 60 mois de prison. Les condamnations viennent du niveau professionnel - travail lié à des États, courtiers, espionnage industriel -, tandis que les pages grand public qui dominent les résultats de recherche produisent des rapports d'arnaque, pas des actes d'accusation. La dynamique des listes d'arnaques en nouveau costume
Lu comme un marché, le hack-for-hire grand public tourne sur les mêmes mécanismes qui rendent dangereuses les fausses listes de vendeurs sur les marchés darknet : signaux de confiance fabriqués, résultats garantis, paiement d'avance, aucun historique vérifiable derrière. La deuxième étape est familière aussi - les "hackers de récupération" qui proposent de retrouver des cryptos volées et revictimisent ceux qui viennent de perdre de l'argent, exactement comme les fausses sociétés de récupération suivent les exit scams. Les signaux sont structurels : paiement d'avance, accès garanti, aucune voie de réclamation. Qui évalue un vendeur - une place de marché, un agrégateur d'annonces ou un site de "hackers vérifiés" - pose en réalité une seule question : ce marché a-t-il une couche de confiance qui fonctionne, ou un déguisement ? Le même raisonnement qui sépare la vraie liste d'arnaques d'un marché d'une liste fabriquée s'applique ici, et il est détaillé dans notre guide des listes d'arnaques et de qui faire confiance.
