« Le hacker ‘Dieu’ Cosmo qui est tombé sur Terre »

Cosmo est énorme : il mesure 6 pieds et 7 pouces et pèse 220 livres la dernière fois qu’il a été pesé, dans un centre de détention à Long Beach, en Californie, le 26 juin. Et pourtant, il prend de l’ampleur, car Cosmo, également connu sous le nom de Cosmo the God, le génie de l’ingénierie sociale qui s’est faufilé à travers les systèmes de sécurité chez Amazon, Apple, AT&T, PayPal, AOL, Netflix, Network Solutions et Microsoft, a seulement 15 ans. Il fêtera ses 16 ans en mars prochain, et il se peut bien qu’il le fasse derrière les barreaux. Cosmo a été arrêté avec des dizaines d’autres lors d’une récente opération du FBI multirégionale ciblant la fraude par carte de crédit. C’est la veille de sa comparution devant le tribunal, mais il ne sait pas quel groupe de travail le poursuit en justice ni le nom de son avocat commis d’office. Il ne sait même pas de quoi il est accusé. C’est difficile de s’y retrouver ; il admet librement avoir participé à une large gamme de crimes. Avec son groupe, UGNazi (abrégé pour « nazi clandestin » et prononcé « you-gee », pas « uhg »), Cosmo a pris part à certains des piratages les plus notoires de l’année. Tout au long de l’hiver et du printemps, ils ont mené des attaques par déni de service sur toutes sortes de sites gouvernementaux et financiers, y compris Nasdaq, ca.gov et CIA.gov, qu’ils ont mis hors service pendant quelques heures en avril. Ils ont contourné la double authentification de Google, piraté le DNS de 4chan et redirigé vers leur fil Twitter, et ont publié à plusieurs reprises l’adresse et le numéro de sécurité sociale du maire Michael Bloomberg en ligne. Après s’être introduits dans une agence de facturation en utilisant des techniques d’ingénierie sociale en mai dernier, ils ont publié en ligne environ 500 000 numéros de carte de crédit. Cosmo était l’ingénieur social du groupe, un spécialiste pour se faufiler à travers les barrières de sécurité en parlant habilement. Son arsenal de stratagèmes incluait des moyens ingénieux mais infaillibles d’accéder à des comptes sur Amazon, Apple, AOL, PayPal, Best Buy, Buy.com, Live.com (pensez : Hotmail, Outlook, Xbox), et bien d’autres. Il pouvait détourner des numéros de téléphone d’AT&T, Sprint, T-Mobile et d’autres opérateurs locaux. « UGNazi était un gros problème », a déclaré Mikko Hypponen, chercheur en sécurité en chef chez F-Secure, à WIRED par e-mail. « Le piratage de Cloudflare était important. Ils auraient pu faire beaucoup plus avec cette technique. »