A première vue, il s’agit une simple messagerie d’un site marchand francophone, comme il en existe des milliers. Clients et fournisseurs discutent tranquillement des transactions, et des problèmes de livraison :

« JFD / commande/ – Salut, Juste pour vous que la commande n’est pas encore arrivée. C’est pas que je m’inquiète, mais les deux dernières fois, elles étaient arrivées en J +2 […]. pourriez me SVP. Sinon je trouve le site vraiment sympa, agréable. Déjà, il est plus beau que la majorité des sites ! C’est vraiment top... »

Réponse : Je n’ai pas de nouvelles de mon fournisseur concernant cette variété pour le moment. J’ai un autre arrivage d’un autre fournisseur si tu ne veux pas . Cordialement, C. »

Mais très vite, on comprend que la marchandise n’est pas ordinaire :

– Je vais de la M39 si ça te tente. […] Ta commande est-elle toujours d’actualité ? Honnêtement, j’ai eu d’autres commandes avant celle-ci, que je dois . T’enverrai peut-être en deux fois, en fonction des arrivages, au moins 50 g cette semaine, et j’espère le reste plus tôt […].

– Bonjour C., En fait, je voudrais ma commande si possible car la Blueberry a un délai. Donc je souhaiterais la Blueberry par la Querkle.

– Si finalement je décide de la M39, combien de grammes tu m’envoies pour 300 € […]. Sinon, effectivement, je crois que je te demanderai un refund...

M39, Blueberry, Querkle sont des variétés de cannabis. Ces dialogues sont extraits de la messagerie d’une plate-forme hébergeant des boutiques en ligne françaises de vente de marijuana. Certains marchands semblent mal approvisionnés, mais l’ambiance reste conviviale... Ces sites clandestins et illicites se trouvent dans le Deep Web, le « Web profond », un recoin du Net réservé aux initiés, qui n’est pas référencé dans les moteurs de recherches, ni accessible avec un navigateur ordinaire. Les Français y sont présents, même si les sites du « French Deep Web » sont très modestes, comparés aux sites anglophones internationaux.

Vague de piratages sur le « French Deep Web »

Pour l’identité des participants, et le secret des correspondances, les données sont chiffrées avec le GPG, et circulent sur TOR, réseau mondial de serveurs anonymes permettant de sur Internet sans de traces. Du moins en théorie. En réalité, si un site créé sur TOR (nom de domaine « .onion ») n’est pas correctement sécurisé, un hacker astucieux peut le aussi facilement qu’un site ordinaire. Cette mésaventure est arrivée, début septembre, à des sites et forums du French Deep Web (Forum FDW, FDW-market, French Dark Place, Zangdar, French Hidden Wiki, La Main noire, Trollodrome), ainsi que les boutiques d’au moins huit marchands de cannabis, de dures, de fausses pièces d’identité, de faux billets...

Ce d’envergure est l’œuvre d’un hacker francophone. Il souhaite anonyme et se connecte sous le pseudo passe-partout de Ben300, mais il veut que son exploit soit reconnu : il a envoyé au webmagazine de français Zataz quelques échantillons de la masse de documents qu’il a subtilisée – « plusieurs gigaoctets en clair », c’est-à-dire non chiffrés.
En fait, il affirme avoir récupéré l’ensemble des données contenues dans les bases du French Deep Web, grâce à un procédé assez simple. « En plaçant un script de récupération de mots de passe, de manière à la quasi-totalité des mots de passe en clair de chaque utilisateur […] ». Puis il a réussi à une faille dans la base de données, en injectant des commandes capables de le système de protection. Selon lui, tout cela a été très facile : les administrateurs « se sentent en sécurité sous TOR, mais ce sont des amateurs qui ne maîtrisent pas la technologie ». Pour leurs sites, ils utilisent « phpMyAdmin » sous Windows, un outil doté d’une interface graphique facile à , mais qui n’est pas réputé pour son niveau de sécurité.

Dans les documents transmis à Zataz puis au Monde, on découvre d’abord les messages personnels de centaines de clients, identifiés par des pseudos et des e-mail : marchandages, bavardages, demandes de renseignement sur les produits (« par rapport à la Critical Kush par exemple, elle est vraiment beaucoup moins forte ? – Elle est un poil moins forte, oui. ») Pour se livrer à domicile, certains acheteurs n’hésitent pas à leur vrai nom, leur numéro de téléphone et leur adresse postale (« Bad news : ma femme a ouvert les paquets cet après midi, et je viens de de déplacement et j’ai oublié de la . ») Cette confiance s’avère mal placée : dans leur base, les administrateurs du FDW ont laissé toutes ces coordonnées en clair. A que ces boutiques ont des clients dans toute la . Les documents envoyés à Zataz montrent que les boutiques vendent aussi des armes et des numéros de carte de crédit valides.

Dénonciation à la justice... ou « négociation »

Pour les paiements, la Main noire, l’une des principales plates-formes francophones, a créé une plate-forme de transaction en BitCoins, la crypto-monnaie électronique qui circule largement sur le Net. Pour chaque opération de change, elle prélève une commission confortable de 15 %. Les boutiques du FDW acceptent aussi les paiements en euros sur des comptes PCS (Prepaid Cash Services) de Mastercard. Puis elles déposent les fonds dans des banques étrangères ayant pignon sur rue, via des moyens de paiement classiques (Visa, Mastercard, American Express, ainsi que des chinois et japonais...).

Dans messages, le hacker affirme qu’il travaille pour la bonne cause : « Je propose officiellement mon à la justice. Avec toutes les informations que j’ai récupérées, les autorités pourraient de manière considérable les fraudes et hors service ces criminels. Je les traquerai sans relâche. » Cela dit, en parallèle, il a adressé à ses victimes un message d’une teneur assez différente : « Je vous recontacterai très rapidement, avec des preuves pour m’authentifier, afin de . »
Aussitôt, sur différents forums spécialisés, les cinq administrateurs du FDW ont commencé à se et à se la responsabilité du fiasco. L’un d’entre eux semble qu’il est déjà en train de négocier avec la et qu’il s’apprête à « toutes les vannes», mais les autres veulent qu’il s’agit d’un imposteur. Plusieurs sites ont fermé, d’autres exhortent leurs utilisateurs à changer de mot de passe et exigent des garanties supplémentaires pour les paiements. Les clients, victimes collatérales potentielles, se déchaînent contre ces amateurs incapables de les , mais il est bien tard. 
Source : ici