NudeLeaksTeens : du compte piraté à la vente, les recours des victimes

Des images intimes de jeunes femmes et d’adolescentes, volées pour beaucoup dans leurs comptes Snapchat, Instagram, TikTok ou Facebook, se vendaient par « albums » et par « collections » sur NudeLeaksTeens, souvent accompagnées de leur identité. Le 7 octobre, le parquet fédéral du district est de Virginie, avec le FBI et la section cybercriminalité du parquet de Paris, a annoncé la saisie de deux noms de domaine de la plateforme. Selon le communiqué américain, le site vendait aussi, « malgré » ses propres « avertissements » contre ce type de contenus, des images d’enfants : certaines victimes ont été identifiées comme mineures au moment des images.

Côté français, selon l’AFP, reprise par Brut (les pages de la gendarmerie nous sont restées inaccessibles), trois sites ont été fermés, et la plateforme « aurait fait plus de 17.000 victimes dans le monde ». Des femmes « pour certaines mineures, et de toutes nationalités », a précisé la procureure de Paris, Laure Beccuau. Deux frères de 21 et 25 ans, « administrateurs présumés », ont été interpellés le mardi 6 octobre dans le nord de la France, et les enquêteurs français ont saisi chez eux environ 700 000 euros en cryptomonnaies. Le communiqué américain, lui, ne mentionne qu’un homme de 25 ans, soupçonné d’être « le principal administrateur » ; l’écart n’est pas expliqué.

Du compte volé à l’« album »

Le vol de comptes n’était pas la seule source. Selon l’AFP, les contenus provenaient du « piratage informatique de comptes de réseaux sociaux », mais aussi du grooming (la manipulation d’un mineur par un adulte en ligne pour obtenir des images) et du revenge porn (la diffusion d’images intimes par un ex-partenaire, sans accord). La « collection » vedette du site revendiquait, d’après la justice américaine, « 6 200 fichiers de nus privés, fuités, d’adolescents ou d’adultes (surtout américains), tirés de comptes Snapchat, Instagram, TikTok, Facebook piratés ».

Comment on prend un compte pour en vider les photos, le FBI l’avait décrit deux mois plus tôt. Son alerte du 10 août, qui ne cite aucun site, détaille trois méthodes :

• Les essais en masse : des criminels tentent des mots de passe et des codes PIN « à grand volume », à partir de listes « obtenues de diverses sources, comme les sites de fuites de données, les réseaux sociaux » et les informations publiques. C’est la porte d’entrée de ceux qui utilisent partout le même mot de passe, ou un mot de passe déjà paru dans une fuite ; les annuaires de données volées, sur lesquels la CNIL déconseille de chercher son nom, alimentent ce genre de listes.
• Le faux service client : un SMS annonce que le compte va être désactivé ou bloqué « à moins de répondre avec un code de vérification ». Pendant ce temps, l’escroc demande la réinitialisation du mot de passe ; la plateforme envoie un code à la victime, et « une fois que la victime partage le code », il prend le compte.
• L’hameçonnage (de faux messages qui imitent un service pour soutirer des identifiants) : de fausses adresses web et de faux courriels qui imitent le support des réseaux sociaux.

Une fois les images récupérées, elles sont publiées sur des forums ou vendues sur des marchés illicites, avec le nom, la date de naissance, l’adresse électronique, le numéro de téléphone ou le pseudonyme de la victime, poursuit le FBI. NudeLeaksTeens avait industrialisé ce dernier maillon : selon la procureure de Paris, citée par l’AFP, ses utilisateurs étaient « incités, contre récompense en monnaie virtuelle, à fournir des informations d’identification de chaque victime », recensée sous son vrai nom et indexée par âge, lieu de résidence et métier. Le dommage ne s’arrête pas à la vente : les victimes s’exposent ensuite au harcèlement, à la sextorsion (le chantage à la diffusion d’images intimes), à la traque, ou à des attaques ciblées comme la publicité des contenus volés sur leur propre compte, prévient l’alerte.

Le code qu’on ne donne jamais

La parade la plus simple vise la méthode du faux support. Snapchat le dit sans nuance : « Ne divulguez et ne partagez jamais vos codes à usage unique ou vos liens de connexion, avec qui que ce soit » (page de sécurité de Snapchat). Un code reçu sans l’avoir demandé signale que quelqu’un tente d’entrer. Le FBI conseille, lui, de ne pas cliquer sur les liens des SMS et courriels et d’aller directement sur le site ou dans l’application pour vérifier un problème de compte. Instagram publie la liste des adresses d’où partent ses vrais messages.

Les autres gestes, tirés des pages d’aide des plateformes :

• Un mot de passe unique par service, long, sans nom ni date de naissance (Snapchat, FBI).
• La double authentification, qui demande un code en plus du mot de passe à chaque nouvelle connexion. Instagram recommande de recevoir ce code par une application d’authentification plutôt que par SMS ; Snapchat permet la même chose dans les réglages du compte, et conseille de créer un code de récupération, faute de quoi la perte du téléphone peut bloquer l’accès au compte.
• Les appareils connectés : Snapchat liste les sessions ouvertes, dans l’application ou sur son site de gestion du compte, et recommande de fermer « immédiatement » celle d’un appareil inconnu ; Instagram renvoie à l’Espace Comptes pour retirer les comptes liés inconnus et aux applications tierces à révoquer (page d’Instagram).
• L’adresse électronique et le numéro de téléphone du compte, à vérifier : ce sont eux qui servent à le récupérer (Snapchat).

Reste ce que l’on garde dans ses comptes. Snapchat propose un espace « Mes Yeux Seulement », dont le contenu ne s’affiche qu’avec un code distinct et que l’entreprise elle-même ne peut pas récupérer en cas d’oubli (Snapchat). Le FBI va plus loin : éviter de stocker des images ou vidéos sensibles « sur les réseaux sociaux ou des sites accessibles par Internet ».

Si vos images circulent

Deux textes, et les acheteurs aussi

En France, la diffusion sans accord d’images à caractère sexuel est punie de deux ans de prison et 60 000 euros d’amende, même si la personne les avait elle-même prises ou envoyées (article 226-2-1 du code pénal). Quand l’image représente un mineur, l’article 227-23 prévoit cinq ans et 75 000 euros, sept ans si la diffusion vise « un public non déterminé » par Internet, dix ans et 500 000 euros en bande organisée. Le même article ne vise pas que les vendeurs : « acquérir ou détenir » une telle image, ou consulter « en contrepartie d’un paiement » un site qui en propose, est puni de cinq ans de prison.

Des empreintes contre des copies

Les outils de blocage par empreinte ont une limite que leurs propres pages laissent voir : ils reconnaissent « une copie exacte » d’une image, selon Take It Down, et ne fonctionnent que chez les plateformes qui ont accepté d’utiliser leurs listes. Snap, Instagram, Facebook, TikTok ou YouTube figurent parmi les participants de Take It Down ; Snapchat, Instagram, TikTok, Reddit, X ou Bluesky parmi les partenaires de StopNCII. Un site clandestin du type de NudeLeaksTeens n’en fait évidemment pas partie. Ces outils empêchent surtout qu’une image revienne sur les grands réseaux, où elle atteindrait l’entourage de la victime.

C’est aussi la limite de l’opération du 7 octobre. Fermer trois sites coupe la vitrine et, avec les saisies de cryptomonnaies, la caisse ; cela n’efface pas les fichiers déjà vendus, ni les listes de mots de passe dont parle le FBI. Ni le communiqué américain ni les dépêches de l’AFP ne disent combien d’acheteurs ont été identifiés, ni si les poursuites les viseront, alors que le droit français le permet. En France, selon l’AFP, l’enquête confiée à l’unité cyber de la gendarmerie porte notamment sur la détention et la diffusion en bande organisée d’images pédopornographiques, le blanchiment, la « fourniture d’une plateforme en ligne à des fins illicites » et l’atteinte à la vie privée. Les deux frères ont été mis en examen (formellement mis en cause par le juge d’instruction qui conduit l’enquête), « entre autres », pour « détention, diffusion, offre et mise en vente d’images pédopornographiques », et incarcérés à Paris le vendredi 9 octobre, selon une dépêche de l’AFP reprise par France 24. Le site leur rapportait 30 000 à 60 000 euros par mois, selon le procureur cité par l’AFP.

Les citations du ministère de la Justice américain, du FBI et des pages d’aide en anglais de Snapchat et d’Instagram sont traduites par la rédaction.