Serveur de la Terreur

Deux cent deux personnes sont mortes dans l'attentat d'une discothèque à Bali, en Indonésie, le 12 octobre 2002, lorsqu'un kamikaze s'est fait exploser sur la piste de danse d'un bar touristique, puis, quelques instants plus tard, un deuxième kamikaze a fait exploser une camionnette Mitsubishi remplie d'explosifs. garé à l'extérieur. Aujourd'hui, le cerveau des attaques – l'imam Samudra, un militant islamiste de 35 ans ayant des liens avec al-Qaïda – a écrit un mémoire de prison qui offre une introduction au crime plus sophistiqué de fraude par carte de crédit en ligne, qu'il promeut comme un moyen pour les musulmans radicaux de financer leurs activités.

Les autorités chargées de l'application des lois affirment que les preuves recueillies sur l'ordinateur portable de Samudra montrent qu'il a tenté de financer l'attentat de Bali en commettant des actes de fraude sur Internet. Et ses nouveaux écrits suggèrent que la fraude en ligne – qui en 2003 a coûté aux sociétés de cartes de crédit et aux banques 1,2 milliard de dollars rien qu'aux États-Unis – pourrait devenir une arme clé dans les arsenaux terroristes, si ce n'est déjà fait. Nous savons que les groupes terroristes du monde entier se sont financés par le crime, déclare Richard Clarke, l'ancien tsar américain de la lutte contre le terrorisme des présidents Bush et Clinton. Il commence à y avoir une raison de conclure que l'une des façons dont ils se financent est la cybercriminalité.

Cette histoire faisait partie de notre numéro de février 2005

• Voir le reste du numéro
• S'abonner

La fraude en ligne rejoindrait ainsi les autres grands modes d'exploitation d'Internet par les groupes terroristes. Les comploteurs du 11 septembre sont connus pour avoir utilisé Internet pour les communications internationales et la collecte d'informations. Des centaines de sites Web djihadistes sont utilisés à des fins de propagande et de collecte de fonds et sont aussi facilement accessibles que les sites Web traditionnels des principales organisations de presse. Et en 2004, le Web a été inondé de vidéos brutes de décapitations d'otages perpétrées par les partisans d'Abu Musab al-Zarqawi, le leader terroriste né en Jordanie opérant en Irak. Ce n'était pas un phénomène marginal. Des dizaines de millions de personnes ont téléchargé les fichiers vidéo, une sorte de vaste spectacle médiéval rendu possible par d'innombrables sociétés d'hébergement Web et fournisseurs de services Internet, ou FAI. Je ne sais pas où est la ligne. Mais certainement, nous l'avons passé dans l'abus d'Internet, déclare Gabriel Weimann, professeur de communication à l'Université de Haïfa, qui traque l'utilisation d'Internet par des groupes terroristes.

Relever ces innombrables défis nécessitera de nouvelles technologies et, selon certains, une autorégulation plus stricte de la part de l'industrie en ligne, ne serait-ce que pour éviter les changements ou restrictions plus onéreux qui pourraient un jour être imposés par les autorités légales ou par les exigences de sécurité des intérêts commerciaux. Selon Vinton Cerf, un des pères fondateurs d'Internet qui a co-conçu ses protocoles, le contenu extrêmement violent sur le Net est une énigme terriblement difficile à résoudre de manière constructive. Mais, ajoute-t-il, cela ne veut pas dire que nous ne devons rien faire. L'industrie a une bonne quantité de contribution potentielle, si elle veut essayer de comprendre comment diable se discipliner. La question est, quelles parties de l'industrie peuvent le faire? Les obstacles sont innombrables, note-t-il : l'information peut littéralement venir de n'importe où, et même si les principaux acteurs de l'industrie acceptent les restrictions, les internautes eux-mêmes pourraient évidemment continuer à partager du contenu. Comme toujours, la question difficile sera : Qui décide quel est le contenu acceptable et sur quelle base ?

Certains travaux sont déjà en cours dans la lutte plus large contre l'utilisation terroriste d'Internet. Les laboratoires de recherche développent de nouveaux algorithmes visant à permettre aux enquêteurs de parcourir plus facilement les e-mails et les dialogues de chat pour découvrir des complots criminels. Pendant ce temps, les efforts anti-spam de l'industrie fournissent de nouveaux outils pour authentifier les expéditeurs d'e-mails à l'aide de la cryptographie et d'autres méthodes, ce qui contribuera également à déjouer la fraude ; De toute évidence, l'exploitation terroriste d'Internet ajoute une dimension de sécurité nationale à ces efforts. La question à l'avenir est de savoir si l'utilisation terroriste du média et les réponses émergentes contribueront à inaugurer une ère dans laquelle la distribution de contenu en ligne est plus étroitement contrôlée et suivie, pour le meilleur ou pour le pire.

La montée de la terreur sur Internet
Aujourd'hui, la plupart des experts s'accordent à dire qu'Internet n'est pas seulement un outil des organisations terroristes, mais qu'il est au cœur de leurs opérations*. Certains disent que la présence en ligne d'al-Qaïda est devenue plus puissante et pertinente que sa présence physique réelle depuis les attentats du 11 septembre. Lorsque nous disons qu'Al-Qaïda est une idéologie mondiale, c'est là qu'elle existe – sur Internet, déclare Michael Doran, chercheur au Proche-Orient et expert en terrorisme à l'Université de Princeton. Cela, en soi, je trouve absolument incroyable. Il y a quelques années à peine, une organisation comme celle-ci aurait été de nature plus sectaire. Il ne pourrait pas se répandre dans le monde comme il le fait avec Internet.

L'univers des sites Web liés au terrorisme s'étend bien au-delà d'Al-Qaïda, bien sûr. Selon Weimann, le nombre de ces sites Web est passé de seulement 12 en 1997 à environ 4 300 aujourd'hui. (Cela inclut les sites exploités par des groupes comme le Hamas et le Hezbollah, et d'autres en Amérique du Sud et dans d'autres parties du monde.) En sept ans, il a explosé, et je suis sûr que le nombre augmentera la semaine prochaine et la semaine suivante, dit Weimann , qui a décrit la tendance dans son rapport How Modern Terrorism Use the Internet, publié par le United States Institute of Peace, et qui travaille actuellement sur un livre, Terrorism and the Internet, qui devrait sortir plus tard cette année.

Ces sites servent à recruter des membres, à solliciter des fonds et à promouvoir et diffuser une idéologie. Alors que la perception [commune] est que [les terroristes] ne sont pas bien éduqués ou très sophistiqués en matière de télécommunications ou d'Internet, nous savons que ce n'est pas vrai, déclare Ronald Dick, ancien directeur adjoint adjoint du FBI qui a dirigé la National Infrastructure Protection du FBI. Centre. Les individus que le FBI et d'autres organismes d'application de la loi ont arrêtés ont une formation en ingénierie et en télécommunications ; ils ont été formés dans des instituts universitaires à ce que sont ces capacités. (L'islam militant, malgré ses racines dans le wahhabisme puritain, puise dans le puits de l'éducation libérale occidentale : Khalid Sheikh Mohammed, le principal cerveau du 11 septembre, a été formé aux États-Unis en génie mécanique ; l'adjoint d'Oussama ben Laden, Ayman al-Zawahiri, a été formé en Egypte en tant que chirurgien.)

Le Web donne au djihad un visage public. Mais à un niveau moins visible, Internet fournit aux groupes extrémistes les moyens d'organiser subrepticement des attaques et de recueillir des informations. Les pirates de l'air du 11 septembre ont utilisé des outils conventionnels comme les forums de discussion et le courrier électronique pour communiquer et ont utilisé le Web pour recueillir des informations de base sur les cibles, explique Philip Zelikow, historien à l'Université de Virginie et ancien directeur exécutif de la Commission sur le 11 septembre. Les conspirateurs ont utilisé Internet, généralement avec des messages codés, comme moyen important de communication internationale, dit-il. (Certains aspects de l'utilisation d'Internet par les terroristes restent confidentiels ; par exemple, lorsqu'on lui a demandé si Internet avait joué un rôle dans le recrutement des pirates de l'air, Zelikow a répondu qu'il ne pouvait pas commenter.)

Enfin, les terroristes apprennent qu'ils peuvent diffuser des images d'atrocités à l'aide du Web. En 2002, le Web a facilité une large diffusion de vidéos montrant la décapitation du journaliste du Wall Street Journal Daniel Pearl, malgré les demandes du FBI pour que les sites Web ne les publient pas. Puis, en 2004, Zarqawi a fait de cette tactique horrible la pierre angulaire de sa stratégie terroriste, à commencer par le meurtre de l'entrepreneur civil américain Nicholas Berg – qui, selon les forces de l'ordre, a été commis par Zarqawi lui-même. Du point de vue de Zarqawi, la campagne a été un succès retentissant. Les images d'otages vêtus d'orange sont devenues un incontournable de l'actualité dans le monde entier – et les vidéos complètes et brutes de leurs meurtres se sont rapidement propagées sur le Web. Internet permet à un petit groupe de faire connaître des actes aussi horribles et horribles en quelques secondes, pour très peu ou pas de frais, dans le monde entier, à un public immense, de la manière la plus puissante, dit Weimann.

Et il existe un grand marché pour ce type de matériau. Selon Dan Klinker, webmaster d'un site gore en ligne de premier plan, Ogrish.com, la consommation de ce type de matériel est rapide. Klinker, qui dit qu'il opère à partir de bureaux en Europe occidentale et orientale et à New York, dit que son objectif est d'ouvrir les yeux des gens et de leur faire prendre conscience de la réalité. Il est clair que beaucoup d'yeux ont capté ces images grâce à des sites comme le sien. Chaque vidéo de décapitation a été téléchargée plusieurs millions de fois depuis le site de Klinker, dit-il, et la vidéo de Berg arrive en tête de liste avec 15 millions. Lors de certains événements (décapitations, etc.), les serveurs peuvent à peine gérer les bandes passantes insensées – parfois 50 000 à 60 000 visiteurs par heure, dit Klinker.

Éviter la pente glissante
Certes, les internautes qui souhaitent bloquer le contenu répréhensible peuvent acheter une variété de produits logiciels de filtrage qui tentent de bloquer le contenu sexuel ou violent. Mais ils sont loin d'être parfaits. Et bien qu'un méli-mélo de systèmes d'évaluation des pages Web se trouvent à divers stades de mise en œuvre, aucun système d'évaluation universel n'est en vigueur - et aucun n'est obligatoire - qui rendrait les filtres choisis par les consommateurs plus efficaces.

Mais l'adoption de lois visant à permettre un filtrage plus strict - pour ne rien dire d'imposer réellement un filtrage - est problématique. Des lois visant à bloquer l'accès des mineurs à la pornographie, comme la Communications Decency Act et la Children's Online Protection Act, ont été annulées par les tribunaux pour des motifs du premier amendement, et le même sort s'est abattu sur certaines lois d'État, souvent pour une bonne raison : le filtrage les outils jettent parfois le bon avec le mauvais. Pour le meilleur ou pour le pire, les tribunaux sont plus soucieux de protéger les droits des adultes du premier amendement que de protéger les enfants des contenus préjudiciables, déclare Ian Ballon, expert en droit du cyberespace et associé chez Manatt, Phelps et Phillips à Palo Alto, Californie. L'accès à la pornographie, dit-il, est quelque chose que les tribunaux ont été plus à l'aise de réglementer dans le monde physique que sur Internet. Les mêmes défis concernent les images de violence extrême, ajoute-t-il.

La Federal Communications Commission applique la décence sur les ondes du pays dans le cadre de sa mission vieille de plusieurs décennies consistant à autoriser et à réglementer les stations de télévision et de radio. Le contenu Internet, en revanche, est essentiellement non réglementé. Et ainsi, en 2004, alors que des millions de personnes regardaient des vidéos de décapitations sur leurs ordinateurs, la FCC a infligé une amende de 550 000 $ à CBS pour avoir diffusé l'exposition de la poitrine de la chanteuse Janet Jackson lors de l'émission de mi-temps du Super Bowl à la télévision.

Bien qu'elle ne soit pas tout à fait impossible, la réglementation du [contenu Internet] est entravée par la variété des endroits dans le monde où il peut être hébergé, explique Jonathan Zittrain, codirecteur du Berkman Center for Internet and Society à la Harvard Law School – et c'est pour ne rien dire des préoccupations du premier amendement. Pour Zittrain, c'est un cadeau que les sites soient là-haut, car cela nous donne une opportunité de contre-espionnage.

En tant que moyen de dissuasion, les poursuites pénales ont également eu un succès limité. Même lorsque les personnes soupçonnées de fournir une assistance via Internet à des cellules terroristes se trouvent aux États-Unis, il peut être difficile d'obtenir des condamnations. Au début de l'année dernière, en vertu des dispositions du Patriot Act, le ministère américain de la Justice a accusé Sami Omar al-Hussayen, étudiant à l'Université de l'Idaho, d'avoir utilisé Internet pour aider des terroristes. Le gouvernement a allégué qu'al-Hussayen maintenait des sites Web faisant la promotion d'activités liées aux djihadistes, notamment en finançant des terroristes. Mais sa défense a fait valoir qu'il utilisait simplement ses compétences pour promouvoir l'islam et qu'il n'était pas responsable du contenu radical des sites. Le juge a rappelé au jury que, dans tous les cas, la Constitution protège la plupart des discours. Le jury a innocenté al-Hussayen des accusations de terrorisme, mais s'est retrouvé dans une impasse sur les accusations liées aux visas ; al-Hussayen a accepté de rentrer chez lui dans son Arabie saoudite natale plutôt que de faire face à un nouveau procès sur le nombre de visas.

Technologie et FAI
Mais la stratégie du gouvernement et du secteur privé pour lutter contre l'utilisation terroriste d'Internet a plusieurs facettes. Certes, des agences comme le FBI et la National Security Agency – et divers groupes de surveillance, tels que le Site Institute, une organisation à but non lucratif basée dans un endroit de la côte est qu'il a demandé de ne pas rendre public – surveillent de près les sites djihadistes et autres sites terroristes pour les garder au courant de leurs déclarations publiques et de leurs communications internes, dans la mesure du possible.

C'est un travail énorme, une aiguille dans une botte de foin, mais il peut générer un flux constant d'informations et d'avertissements. Par exemple, le Site Institute a récemment découvert, sur un forum appelé Jihadi Message Board, une traduction en arabe d'une page Web de l'US Air Force mentionnant un aviateur américain d'origine libanaise. Selon Rita Katz, directrice exécutive du Site Institute, la page djihadiste a ajouté, en arabe, cet hypocrite se rendra en Irak en septembre de cette année [2004] – Je prie Allah que sa ruse mène à son massacre. J'espère qu'il sera massacré à la manière des Zarqaouis, puis [aller de là] jusqu'au point le plus bas de l'Enfer. L'Institut du Site a alerté l'armée. Aujourd'hui, sur l'un des murs de son bureau est accrochée une plaque remerciant le Bureau des enquêtes spéciales de l'Air Force.

Les nouvelles technologies peuvent également donner aux agences de renseignement les outils nécessaires pour passer au crible les communications en ligne et découvrir les complots terroristes. Par exemple, la recherche suggère que les personnes ayant des intentions malveillantes ont tendance à présenter des modèles distincts dans leur utilisation des e-mails ou des forums en ligne comme les forums de discussion. Alors que la plupart des gens établissent une grande variété de contacts au fil du temps, ceux qui complotent un crime ont tendance à ne rester en contact qu'avec un cercle très restreint de personnes, explique William Wallace, chercheur en opérations au Rensselaer Polytechnic Institute.

Ce phénomène est assez prévisible. Très peu de groupes de personnes communiquent à plusieurs reprises uniquement entre eux, dit Wallace. C'est très rare; ils ne font pas confiance aux personnes extérieures au groupe pour communiquer. Lorsque 80 % des communications se font au sein d'un groupe ordinaire, c'est là que nous pensons trouver les groupes qui planifient des activités malveillantes. Bien sûr, tous ces groupes ne se révéleront pas malveillants ; l'étrange réunion de lycée va surgir. Mais le groupe de Wallace développe un algorithme qui réduira le champ des soi-disant réseaux sociaux à ceux qui justifient l'examen minutieux des responsables du renseignement. L'algorithme devrait être achevé et livré aux agences de renseignement cet été.

Et bien sûr, la lutte plus large contre le spam et la fraude en ligne se poursuit à un rythme soutenu. L'un des plus grands défis auxquels sont confrontées les forces anti-fraude est la facilité avec laquelle les escrocs peuvent falsifier leurs e-mails afin qu'ils semblent provenir de sources connues et fiables, telles que des collègues ou des banques. Dans une arnaque connue sous le nom de phishing, cette tactique peut amener les destinataires à révéler leurs numéros de compte bancaire et leurs mots de passe. Prévenir de telles escroqueries, selon Clarke, est pertinent pour la lutte contre le terrorisme car cela empêcherait beaucoup de cybercriminalité, ce qui peut être la façon dont [les terroristes] se financent. Il peut également être difficile d'assumer des identités pour les communications à usage unique.

Les nouvelles méthodes d'authentification des e-mails peuvent offrir une ligne de défense. L'automne dernier, AOL a approuvé un système conçu par Microsoft appelé Sender ID qui comble certaines failles de sécurité et fait correspondre l'adresse IP (Internet Protocol) du serveur envoyant un e-mail entrant à une liste de serveurs autorisés à envoyer du courrier à partir de la prétendue source du message. . Yahoo, le plus grand fournisseur de messagerie au monde avec quelque 40 millions de comptes, déploie actuellement son propre système, appelé Domain Keys, qui marque chaque message électronique sortant avec une signature cryptée qui peut être utilisée par le destinataire pour vérifier que le le message provenait du prétendu domaine. Google utilise la technologie avec ses comptes Gmail, et d'autres grands FAI, dont Earthlink, emboîtent le pas.

Enfin, les plus grands FAI interviennent avec leurs propres efforts réactifs. Leurs conditions de service sont généralement suffisamment larges pour leur laisser la latitude de supprimer les sites répréhensibles lorsqu'on leur demande de le faire. Lorsque vous parlez d'une communauté en ligne, le pouvoir vient de l'individu, explique Mary Osako, directrice des communications de Yahoo. Nous encourageons nos utilisateurs à nous envoyer [toute préoccupation concernant un contenu douteux] - et nous prenons des mesures pour chaque signalement.

Trop peu ou trop
Mais la plupart des experts juridiques, politiques et de sécurité conviennent que ces efforts, pris ensemble, ne constituent toujours pas une vraie solution. Les nouvelles initiatives anti-spam ne représentent que la dernière phase d'une bataille en cours. La première étape est que l'industrie doit se rendre compte qu'il existe un problème plus important qu'elle ne veut l'admettre, déclare Peter Neumann, informaticien chez SRI International, un institut de recherche à but non lucratif situé à Menlo Park, en Californie. Il y a un énorme changement de culture qui est nécessaire ici pour créer des systèmes dignes de confiance. Pour le moment, nous n'avons rien que j'appellerais un système digne de confiance. Même les efforts visant à utiliser la cryptographie pour confirmer l'authenticité des expéditeurs de courrier électronique, dit-il, ne sont qu'un simple palliatif. Il y a encore beaucoup de problèmes avec la sécurité en ligne, dit Neumann. Regardez-le comme un très gros iceberg. Cela réduit d'un quart de pour cent, peut-être de 2 pour cent, mais c'est un peu exagéré.

Mais s'il est vrai que les réponses existantes sont insuffisantes pour résoudre le problème, il peut également être vrai que nous risquons une réaction excessive. Si des liens concrets entre la fraude en ligne et les attaques terroristes commencent à émerger, les gouvernements pourraient décider qu'Internet a besoin de plus de surveillance et créer de nouvelles structures réglementaires. Les FAI pourraient résoudre la plupart des problèmes de spam et de phishing s'ils y étaient contraints par la FCC, note Clarke. Même si les écrits du kamikaze de Bali ne créent pas une telle réaction, autre chose pourrait le faire. Si aucune découverte d'un lien étroit entre la fraude en ligne et le terrorisme n'est faite, un autre déclencheur pourrait être un acte réel de cyberterrorisme - l'utilisation tant redoutée d'Internet pour lancer des attaques numériques contre des cibles telles que les réseaux électriques urbains et les systèmes de contrôle du trafic aérien ou de communication. . Il pourrait s'agir d'une démonstration en ligne d'homicides si épouvantables qu'elle engendre une nouvelle tendance à la décence en ligne, approuvée par une Cour suprême nouvellement conservatrice. Le terrorisme mis à part, le déclencheur pourrait être une décision purement commerciale, visant à rendre Internet plus transparent et plus sûr.

Zittrain est d'accord avec Neumann mais prédit également une réaction excessive imminente. Terrorisme ou pas terrorisme, il voit une convergence des tendances sécuritaires, juridiques et commerciales qui forcera Internet à changer, et pas nécessairement pour le mieux. Collectivement parlant, il va y avoir des changements technologiques dans le fonctionnement d'Internet - entraînés soit par la loi, soit par l'action collective. Si vous regardez ce qu'ils font contre le spam, il a cette forme, dit Zittrain. Et bien que le changement technologique puisse améliorer la sécurité en ligne, dit-il, il rendra Internet moins flexible. S'il n'est plus possible pour deux gars dans un garage d'écrire et de distribuer le code d'une application tueuse sans l'effacer d'abord avec des intérêts bien ancrés, nous risquons de perdre les processus mêmes qui nous ont donné le navigateur Web, la messagerie instantanée, Linux et le courrier électronique. .

Une poussée concertée vers des contrôles plus stricts n'est pas encore évidente. Mais si un contenu extrêmement violent ou une utilisation terroriste d'Internet pouvait un jour stimuler une telle poussée, une chance d'action préventive pourrait résider avec les FAI et les sociétés d'hébergement Web. Leurs efforts ne doivent pas se limiter à la lutte contre le spam et la fraude. En ce qui concerne le contenu qu'ils publient, les sociétés d'hébergement Web pourraient se comporter davantage comme leurs cousins ​​​​aînés, les télédiffuseurs et les éditeurs de journaux et de magazines, et exercer un peu de jugement éditorial, simplement en appliquant les conditions de service existantes.

Le contenu Web est-il déjà soumis à un tel jugement éditorial ? Généralement non, mais parfois, l'œil plein d'espoir peut discerner ce qui semble être ses conséquences. Considérez la mystérieuse incohérence entre les résultats renvoyés lorsque vous entrez le mot décapitation dans les principaux moteurs de recherche. Sur Google et MSN, les meilleurs retours sont un mélange de liens vers des comptes d'actualités responsables, des informations historiques et des sites macabres qui offrent des vidéos brutes avec des teasers comme World of Death, des vidéos de décapitation en Irak, des photos de mort, des suicides et des scènes de crime. De toute évidence, de tels résultats sont le produit d'algorithmes conçus pour trouver les sites les plus populaires, les plus pertinents et les plus liés.

Mais entrez le même terme de recherche sur Yahoo, et les meilleurs résultats sont les profils des victimes américaines et britanniques de la décapitation en Irak. Les 10 premiers résultats incluent des liens vers les biographies d'Eugene Armstrong, Jack Hensley, Kenneth Bigley, Nicholas Berg, Paul Johnson et Daniel Pearl, ainsi que vers des sites Web commémoratifs. Vous devez charger la deuxième page de résultats de recherche pour trouver un lien vers Ogrish.com. Est-ce que cet ordre étrangement plein de tact est le résultat aberrant d'un algorithme aussi impitoyable que ceux qui génèrent des liens gore ailleurs ? Ou Yahoo, peut-être en hommage aux souvenirs des victimes et aux sentiments de leurs familles, fait-il une exception aux mots décapitation et décapitation, les traitant différemment des mots thématiquement comparables comme tuer et poignarder ?

Osako de Yahoo n'a pas répondu aux questions sur cette bizarrerie de retour de recherche; certes, une explication technologique ne peut être exclue. Mais force est de constater que de telles questions sont très sensibles pour une industrie qui a, à ce jour, bénéficié de peu d'intervention ou de réglementation. Dans sa réponse aux plaintes, dit Richard Clarke, l'industrie est très disposée à coopérer et à être de bons citoyens afin d'éviter la réglementation. Qu'il aille plus loin et adopte une posture éditoriale plus stricte, ajoute-t-il, est une décision que le FAI [et la société d'hébergement Web] doit prendre par bon goût et par souci de soutenir les États-Unis dans la guerre mondiale contre le terrorisme. Si de telles décisions évoluent vers l'hypothèse d'un rôle plus journalistique à l'échelle de l'industrie, elles pourraient, en fin de compte, être la voie la plus sûre vers un média plus responsable – un média moins facile à exploiter et moins vulnérable à une répression.

David Talbot est le correspondant en chef de Technology Review.

cacher