Un internaute publie des données volées pour protester contre la criminalisation des lanceurs d’alerte

Un internaute, baptisé « Nam3L3ss », a annoncé, mi-novembre 2024 sur un forum cybercriminel, qu’il allait publier 28 bases de données appartenant à de grandes entreprises ou organisations. Il affirme vouloir ainsi protester contre la criminalisation des lanceurs d’alerte cyber.

Parmi les entités citées figurent notamment Amazon, Delta, HSBC, UBS, McDonald’s, Lenovo ou la police de Los Angeles. Presque toutes furent victimes du piratage du logiciel de transfert de fichiers MOVEit, mené en 2023 par le gang de rançongiciel Cl0p. Nam3L3ss nie tout lien avec le groupe cybercriminel, mais ne précise pas s’il a obtenu ces données en piratant lui-même les SI vulnérables ou s’il a récupéré les fichiers volées par Cl0p.

L’internaute présente son action coup de poing comme une réponse aux poursuites lancées par la ville de Columbus (Ohio) contre un consultant IT. Durant l’été 2024, cette municipalité a été victime d’une attaque par rançongiciel menée par le gang Rhysia, et a minimisé les conséquences de l’incident.

Ce fameux consultant IT a alors, selon ses propres dires, récupéré sur le dark net les données volées à la ville, et les a transmises à des médias, pour alerter sur les mensonges de l’équipe municipale. La ville de Columbus a immédiatement mis en examen cet hacktiviste. « Cette affaire ne concerne pas la liberté d’expression ou un lanceur d’alerte, mais le téléchargement et la divulgation de dossiers volés », a justifié le parquet local.

Cette décision a provoqué la colère de Nam3L3ss. Il se présente en effet lui aussi comme un lanceur d’alertes, un citoyen qui « surveille simplement le dark web et les services cloud en ligne exposés », et pas comme un pirate informatique. Il précise qu’il ne vend ni n’achète de données, mais il estime qu’il « est temps » qu’entreprises et administrations « prennent au sérieux les données personnelles ».