MacronLeaks : minute par minute

Le candidat élu à la présidentielle 2017 Emmanuel Macron victime d’un piratage informatique ? ZATAZ a suivi, minute par minute, les MacronLeaks, une diffusion malveillante à la veille du second tour.

MacronLeaks or not leaks ? Mettons tout de suite les points sur les i. ZATAZ ne fait pas de politique, ne s’intéresse que la sécurité informatique visant les utilisateurs lambdas, soit 99% de la population derrière un clavier. Vouloir vous expliquer les MacronLeaks n’a qu’un seul but, vous proposer de réfléchir par vous même sur les manipulations possibles avec l’informatique, et que se sécuriser n’est pas un gadget de geek.

Jeudi 4 mai : un mystérieux Internaute diffuse sur les forums anonymes 4chan, quelques documents qu’il annonce appartenir au candidat à la présidentielle Emmanuel Macron. La mèche des Macron Leaks vient d’être allumée, même si de nombreux Internautes et journaux ont découvert la supercherie. Le Wall Street Journal confirme le faux, tout comme d’autres supports comme Numerama. Bref, de grossiers faux documents. Mais la rumeur est lancée. Elle est reprise par de nombreux amateurs de réseaux sociaux… et des bots mis en place pour l’occasion du second tour de la présidentielle française.

Vendredi 5 mai, 11h23 : Un internaute diffuse sur Archive.org des adresses Torrents renvoyant sur des documents notifiés comme appartenant à Emmanuel Macron et à son équipe de campagne.

5 mai, 11h23. Le "défakeur" des "données" #MacronLeaks #Presidentielle2017 a laissé des traces chez gmx.de 🙂 #cybersécurité #tictactictac pic.twitter.com/Uf6d2AQDHY

— Damien Bancal (@Damien_Bancal) May 8, 2017

20h : de nouveaux documents sont diffusés sur 4chan. Quelques minutes plus tard (20h49), Jack Posobiec [Un militant pro-Trump, théoricien de complots divers et variés], diffuse sur son compte Twitter le hashtag #MacronLeaks et le lien vers le « thread » 4Chan correspondant. 810 retweets rediffuseront son « message ». Plusieurs dizaines de fervents partisans de Donald Trump et de différents groupuscules d’extrêmes droites rediffusent le tweet. De nombreux bots apparaissent et partagent.

21h12, plusieurs comptes Twitter proche du FN, dont onEscapee, rediffusent le message de Jack Posobiec. Étonnamment, des documents tirés des 9 Go sont déjà publiés, sans la moindre vérification. Il est impossible de savoir, 1h après la diffusion web, si ces fichiers sont vrais ou faux.

21h31, Wikileaks annonce sur son compte Twitter que des documents sont diffusés sur 4chan. Le réseau de Julian Assange n’a pas vérifié l’information, et indique que cette diffusion pourrait être un « 4chan practical joke« .

Étonnant, Wikileaks ne dirige pas vers la possible « farce de 4Chan« , mais directement vers le document diffusé sur PasteBin permettant de télécharger les données qui appartiendraient à des membres du cabinet politique En-Marche! Une dizaine d’adresse web renvoyant eux même sur archive.org et sur des liens torrents.

22h00, Jack Posobiec diffuse quelques captures écrans dont une fenêtre affichant des chiffres qui tenteraient de faire croire à de la fraude fiscale. Le diffuseur américain indique « Preuves possibles de transfert d’argent international de Macron. » Quelques vérifications rapides de ma part, dont la définition des termes utilisés dans l’image comme I.A.R.D. dans le document montre qu’il s’agit en fait d’un contrat d’assurance. Wikipedia indique que I.A.R.D. est une abréviation utilisée dans le monde de l’assurance pour incendie, accidents et risques divers.

22h31, Wikileaks confirme la diffusion de 9Go de « documents ». Il n’avait donc pas les documents avant leur 1er tweet. A 22h31, il ne pouvait toujours pas confirmer la véracité des documents. Le fait de préciser que « #macronleaks contient plusieurs dizaines de milliers de mails, photos, pièces jointes jusqu’à 24 avril 2017 » conforte des milliers d’internautes. Personne n’a rien lu, mais si Wikileaks le dit, c’est que l’information est vraie ! 4,860 retweets !

Le site Internet officiel En Marche! diffuse un communiqué de presse relatant être victime d’une action de piratage massive et coordonnée donnant lieu à la diffusion sur les réseaux sociaux d’informations internes de nature diverse. « Les fichiers qui circulent ont été obtenus il y a plusieurs semaines grâce au hacking de boîtes mail personnelles et professionnelles de plusieurs responsables du mouvement. » confirme le groupe politique. Il semble que plusieurs comptes Gmail ont été infiltrés, et au moins un compte en-marche.fr, toujours selon les dossiers diffusés.

22h30, Des partisans Français de l’extrême droite retweets en masse non pas Jack Posobiec, mais le second tweet de Wikileaks, celui de 22h31. Le message de ces partisans est malin. Ils font croire que Wikileaks est l’auteur de la diffusion : « Alerte : Wikileaks publie des mails compromettants au sujet de Macron et En Marche. » ou encore « ALERTE : Wikileaks publie à l’instant des milliers d’emails compromettant sur l’équipe Macron et le gouvernement Français« .

Pendant ce temps, des bots tels que @patricia691503 et @Georges_Resist retweets des dizaines de fois les mêmes messages.

De 23h40 à 23h54, plusieurs membres du bureau politiques du Front National, et collaborateurs du mouvement Marine2017 lancent plusieurs Tweets reprenant le hashtag #MacronLeaks. Floriant Philippot, par exemple, indique « Les MacronLeaks apprendront-ils des choses que le journalisme d’investigation a délibérément tues ?« .

Samedi, 00h00. Plus aucun groupe politique, ni les personnes incriminées dans les documents, ne peuvent communiquer comme le stipule la loi. Il est bon de rappeler aussi que la diffusion de « fakes news électorales » est un délit en France depuis 1964 (Code électorale Article L97) : « Ceux qui, à l’aide de fausses nouvelles, bruits calomnieux ou autres manœuvres frauduleuses, auront surpris ou détourné des suffrages, déterminé un ou plusieurs électeurs à s’abstenir de voter, seront punis d’un emprisonnement d’un an et d’une amende de 15 000 euros ».

01h26, la Commission Nationale de Contrôle de la Campagne Électorale en vue de l’Élection Présidentielle (CNCCEP) est obligée de diffuser un communiqué de presse pour « tenter » de faire stopper les retweets vers des documents ayant pour mission de perturber le second tour des élections présidentielles. La CNCCEP va aussi saisir l’Agence nationale de la sécurité des systèmes d’information (ANSSI).

Recommandation aux médias suite à l'attaque informatique dont a été victime l'équipe de campagne de @EmmanuelMacron pic.twitter.com/LaLA1hgXYk

— CNCCEP (@cnccep) May 5, 2017

Que retenir de ce week-end de second tour de la présidentielle de 2017 ?

Des hommes politiques continuent d’utiliser des adresses mails personnels pour leur travail. Qu’ils n’utilisent pas la double authentification, et préfèrent utiliser gMail en lieu et place d’une adresse mail spécialement crée pour une campagne politique. Que ces mêmes personnes stockent des informations sur le web, sans même les chiffrer.

Les réseaux sociaux peuvent rapidement devenir l’enfer lors de la mise en ligne d’une information malveillante. Une simple rumeur est diffusée, modifiée. Par exemple, cette vidéo tweeter par le conspirationniste InfoWar montrant une soit disant bagarre après l’annonce de l’élection d’Emmanuel Macron, dimanche soir, alors qu’il s’agit d’une vidéo amateur datant d’avril 2016.

Un Macronleak qui démontre aussi la fragilité de Wikileaks. Le portail est capable, aujourd’hui, de relayer des liens, sans en vérifier le contenu avant diffusion.

L’utilisation de bots, de robots, est devenue monnaie courante pour retweeter des messages afin de les faire passer en tête des informations à la mode sur les réseaux sociaux.

Des « pirates » informatiques sont capables d’infiltrer des comptes gMail, très certainement par phishing, mais sont incapables de produire des faux efficaces. Que ces pirates, annoncés comme « Russes » semblent être surtout très proches de complotistes et de l’extrême droite américaine ! Une chose est certaine, si les renseignements Russes sont cachés derrière ces piratages et diffusions, il va falloir mettre à la porte une paire d’incompétents tant les faux et la méthode manquent de professionnalisme.

L’auteur de Pepe the Frog, la grenouille crée par le dessinateur Matt Furie, a été récupérée par les nationalistes. Matt Furie vient de mettre fin à sa création. Son batracien était destiné aux enfants. Cette mascotte s’est transformée en emblème pour les racistes US et Français. Il a annoncé que Pepe the Frog était mort ce 6 mai.

Pour finir, une enquête judiciaire a été ouverte en France par le parquet de Paris pour accès frauduleux à un système de traitement automatisé de données et atteinte au secret des correspondances. C’est la brigade d’enquêtes sur les fraudes aux technologies de l’information [BEFTI] qui est chargée de l’enquête. A noter que dans les documents diffusés, des fichiers baptisés « confidentiel » ou encore de grands noms de l’industrie Française, comme Dassault. Autant dire que les services de renseignement Français sont sur l’affaire. Les personnes ayant rediffusés les liens, captures écrans et données ont du soucis à se faire.

Les services de renseignements saisis après les #macronleaks ? Avec des mots clés comme Dassault dans certains docs, normal ! #cybersécurité pic.twitter.com/9eOlo8LgUX

— Damien Bancal (@Damien_Bancal) May 8, 2017

Les Bots, nouvelle arme électorale ?

On nous explique depuis des mois que d’importants groupes de pirates informatiques, au savoir technique digne des dieux de l’Olympe [APT, Bear, …], avaient été capable de faire tomber Clinton et avaient permis la victoire de Trump. Que ces mêmes pirates ont attaqué la France. Seul bémol, la méthode utilisée dans l’hexagone n’aura pas été aussi efficace qu’aux USA. Ce qui a été efficace, cependant, les bots.

Les bots, des robots du web ayant pour mission d’agir selon des ordres donnés. Pour les réseaux sociaux, les bots peuvent collecter des informations, répondre à des questions, ou agir sur un compte dédié pour faire croire à une existence humaine. Effet escompté ? Faire croire à une forte population active sur une information, un compte ou un sujet précis.

Lors des élections américaines, il a été découvert que les partisans de Trump exploitaient 7 fois plus de bots que pour les amateurs de Clinton. Comme le précisaient des chercheurs de l’Université d’Oxford, au cours du troisième débat présidentiel américain, plus d’un tiers des tweets pro-Trump étaient générés par des bots. 25% du trafic Twitter, autour du débat final US, était provoqué par des bots ! Donald Trump se vantait de posséder 12,9 millions d’abonnés. Mais combien de bot ? Impossible à savoir.

La propagande computationnelle

La propagande computationnelle désigne la diffusion en quantité de fausses informations à caractère politique sur les réseaux sociaux. Ce mélange d’automatisation et de propagande peut avoir un impact significatif sur l’opinion publique lors d’importants débats, élections et crises politiques. Dans leur rapport du 4 mai 2017, les chercheurs de l’Oxford University indique qu’ilont collecté des données Twitter sur les bots et les junks news à partir d’une liste de hashtags relatifs à l’élection présidentielle française pendant trois jours de l’entre-deux-tours. Les contenus concernant Macron dominaient le trafic sur Twitter, même si l’écart entre Macron et Le Pen s’est rapidement resserré après le premier tour.

La part du trafic provenant de comptes fortement automatisés a doublé après le premier tour. Le ratio entre les liens pointant vers des sources d’actualités professionnelles et les liens pointant vers d’autres sources d’information politique est passé de 2 pour 1 avant le premier tour à 1 pour 1 après le premier tour. Comparé aux études similaires menées en Allemagne et aux États-Unis, les utilisateurs français auraient partagé des informations politiques de meilleure qualité pendant l’entre-deux-tours de l’élection française que les utilisateurs américains discutant de l’élection présidentielle américaine, mais de moindre qualité qu’avant le premier tour et que les utilisateurs allemands discutant de l’élection présidentielle allemande.

Pour rappel, en février 2017, l’équipe du candidat LR Fillon avait fait appel au hashtag #Stopchassealhomme. Mission le faire apparaitre dans les sujets « tendances Twitter » via le site Emilitants-alternance.fr. Lors du « Macron gate« , 40% des messages utilisant le hashtag #macrongate provenaient de bots. Un des comptes a tweeté jusqu’à 1 668 fois, en 24 heures, des messages contre Macron.

5% of #MacronGate users account for 40% of tweets. The most prolific tweeted 1668X/24 hrs―faster than one RT per min, all day with no sleep.

— Nicole Perlroth (@nicoleperlroth) May 6, 2017

Pour savoir si un compte Twitter est potentiellement un bot, ZATAZ vous invite à utiliser le projet Truthy de l’université de l’Indiana.