Millions of ‘anonymous’ crime tips exposed in massive Crime Stoppers hack

Un résident de Californie avait un message urgent à adresser à la police. Une famille liée au célèbre cartel de la drogue de Sinaloa, au Mexique, trafiquait des centaines de kilos de marijuana à la fois, et l’informateur savait comment la police pouvait appréhender ces personnes « très violentes » qui « portent toujours des armes ».

Tout aussi urgent pour le pronostiqueur : le secret.

“S’il vous plaît, cela doit rester anonyme”, a écrit l’informateur, “donc si vous êtes capturé, ne dites pas que cela provient d’une information, car ils sauraient d’où cela vient.”

Téléchargez l’application SAN dès aujourd’hui pour rester à jour avec Unbiased. Faits simples™.

Pointez l’appareil photo du téléphone ici

Cette astuce, cependant, est l’une des millions révélées par des pirates informatiques qui ont volé des données à la société de gestion des informations et des informations basée sur le cloud, P3 Global Intel. L’entreprise basée au Texas permet au public de partager des informations sur la criminalité – de manière anonyme, dit-elle – avec des milliers de clients, notamment les programmes Crime Stoppers, les forces de l’ordre locales et fédérales, les écoles publiques et l’armée américaine. (P3 indique que son nom signifie « secteur public, policier et privé ».)

La fuite contient de nombreuses données personnelles sur les personnes accusées par les informateurs : noms, adresses e-mail, dates de naissance, numéros de téléphone, adresses personnelles, numéros de plaque d’immatriculation, numéros de sécurité sociale et antécédents criminels.

Bien que P3 indique dans le matériel de vente destiné aux clients que « l’identité de chaque informateur restera anonyme à tout moment », les informations personnelles de ceux qui les ont partagées sont également présentes tout au long de la fuite.

L’exposition des données de P3 présenterait de sérieux risques entre les mains de toute personne ayant des intentions malveillantes, a déclaré Mailyn Fidler, professeur adjoint à la Franklin School of Law de l’Université du New Hampshire qui étudie le droit de la cybersécurité et de la cybercriminalité.

“Ces risques incluent des blessures graves, voire la mort, des informateurs de la police”, a déclaré Fidler à Straight Arrow News. “Compte tenu des clients de P3, cela comporte également des risques pour la sécurité nationale. Si ce que rapportent les pirates sur les pratiques de sécurité de P3 est vrai, ils se sont livrés à des pratiques de sécurité nettement inférieures à la moyenne, en particulier compte tenu de la sensibilité des informations qu’ils traitent.”

Pour l’instant, rien n’indique que les pirates envisagent de rendre les données accessibles au public. La société mère de P3, Navigate360, n’a pas répondu aux multiples e-mails et appels téléphoniques du SAN.

Sur son site Web, la société déclare : “Nous comprenons la nécessité de respecter à la fois la sécurité et la confidentialité de nos produits et solutions. L’accessibilité et la sécurité nous obligent à garantir que nous nous conformons toujours aux diverses lois et cadres.”

“Ne faites pas le sale boulot pour les cochons”

Straight Arrow News et l’archiveur de fuites à but non lucratif DDoSecrets ont obtenu plus de 8,3 millions d’enregistrements hautement sensibles de P3 auprès d’un groupe de pirates informatiques qui se fait appeler « LA MACHINE INTERNET YIFF ». Les enregistrements s’étendent de février 1987 à novembre 2025. En plus des informations, la violation des serveurs de P3 a également révélé des détails sur les comptes d’utilisateurs et des demandes d’assistance client.

Dans une note incluse dans le cache de données, le groupe de hackers a cité à plusieurs reprises l’animosité envers les forces de l’ordre comme motivation pour dénoncer les informations criminelles.

“N’oubliez pas, les amis, ne faites pas le sale boulot pour les cochons”, ont écrit les hackers. “Enquêter sur les crimes est leur travail, pas le vôtre. Ils ne se soucient pas de vous, ils veulent des condamnations et des prisonniers pour alimenter les prisons à but lucratif.”

La note décrit ensuite de nombreuses vulnérabilités qui, selon les pirates informatiques, contredisent les assurances de P3 concernant sa sécurité. La note mentionne spécifiquement une déclaration de la société mère de P3 affirmant que ses outils « n’ont jamais été violés ou compromis de quelque manière que ce soit au cours des 20 dernières années ».

“Ils affirment n’avoir jamais eu de violation”, a écrit le groupe de piratage. “Changeons cela.”

Les pirates ont également exposé une page interne destinée aux clients de P3 – marquée comme confidentielle – qui révèle comment les clients de l’entreprise peuvent suivre les pronostiqueurs à leur insu.

La page détaille une fonctionnalité d’adhésion intitulée « Divulgation des informations de session » qui permet aux clients P3 de demander les adresses IP de leurs pronostiqueurs. Les pirates ont montré une capture d’écran de la page au SAN.

La page indique que la fonctionnalité est conçue pour répondre aux abus potentiels de son système par les pronostiqueurs : “P3 est capable de capturer les informations de session à partir des principales soumissions Web et mobiles. Par défaut, cela est désactivé sur tous les comptes. Lorsque le suivi est activé, les valeurs sont stockées pendant une période allant jusqu’à 90 jours – et peuvent être mises à votre disposition sur demande formelle en cas d’utilisation abusive ou d’abus grave de notre système… comme des menaces à la première personne contre la vie ou la propriété. “

On ne sait cependant pas quelles barrières de sécurité sont en place pour empêcher les clients de P3 d’abuser de cette fonctionnalité pour découvrir l’identité des pronostiqueurs anonymes. Par exemple, un policier accusé de mauvaise conduite par un informateur pourrait obtenir l’adresse IP de la personne et d’autres informations d’identification, même si les informateurs sont informés que leur « anonymat est protégé à tout moment ».

« BlueLeaks 2.0 »

Lorsqu’un client de P3 reçoit un pourboire, que ce soit par téléphone, en ligne ou via son application pour smartphone, les utilisateurs reçoivent un numéro d’identification et un mot de passe uniques qui peuvent être utilisés pour vérifier l’état de leur soumission. Étant donné que ces messages ne semblent pas avoir été stockés dans un format crypté, ce qui les protégerait en cas de violation de données, SAN a pu localiser les identifiants et les mots de passe en texte brut.

Les pirates ont également exposé les journaux de discussion entre ceux qui envoyaient et recevaient des conseils. Certains messages détaillent les récompenses accordées à ceux dont les pourboires ont abouti à des arrestations. Ces pronostiqueurs reçoivent des instructions sur la manière de récupérer leur récompense, qui peut prendre la forme d’argent liquide dans une enveloppe auprès des services de police locaux et des banques.

DDoSecrets a surnommé le cache de données « BlueLeaks 2.0 ». Le nom est dérivé de la publication par l’archiveur de fuites en 2020 de 269 gigaoctets de données des forces de l’ordre. Les documents contenus dans les fichiers BlueLeaks originaux, qui comprenaient des bulletins de renseignement et des courriels, ont été fournis à DDoSecrets après que le collectif de hackers « Anonymous » a piraté une entreprise qui travaillait avec des centres Fusion et les forces de l’ordre. Les centres de fusion, dont beaucoup ont désormais des contrats avec P3, sont des centres de collaboration détenus et exploités par l’État qui collectent, analysent et distribuent des informations entre les organismes d’application de la loi fédéraux, étatiques et locaux.

“Pendant des années, nous avons mis en garde contre les problèmes des Fusion Centers et de la privatisation de ces systèmes : la conservation sans fin (même des soumissions qui sont ignorées), le partage d’informations largement non réglementé et l’incapacité à protéger réellement l’identité des victimes et des auteurs présumés”, a déclaré Emma Best, cofondatrice de DDoSecrets, à SAN.

Compte tenu de l’étendue et de l’importance des données, DDoSecrets indique qu’il accordera à certains chercheurs et médias l’accès pour réaliser des reportages supplémentaires.

Anonymat non garanti

La fuite révèle l’étendue du travail de P3 pour des milliers d’organismes locaux d’application de la loi ainsi que pour le gouvernement fédéral.

Quatre ministères fédéraux – la Défense, la Sécurité intérieure, la Justice et l’Intérieur – ont versé à la société mère de P3 près de 1,3 million de dollars entre 2020 et 2025, selon le site Web des marchés publics USASending.gov.

Bien que les sous-agences telles que l’Immigration, les Douanes et les Services secrets ne semblent pas s’appuyer sur le logiciel de dénonciation de P3, les données montrent que les représentants des deux agences ont des comptes. Parmi les autres entités gouvernementales disposant de comptes d’utilisateurs figurent l’Internal Revenue Service et le ministère de l’Agriculture.

Les données divulguées comprennent un bulletin de sensibilisation à la situation de 2023 qui détaille une enquête menée par les services secrets sur un homme de l’Arizona décrit comme souffrant de « délires de santé mentale ». L’homme – dont le nom, la description, le numéro de plaque d’immatriculation, l’adresse de son domicile et son numéro de téléphone sont indiqués dans le bulletin – aurait envoyé des lettres à des églises d’Arizona et de Californie détaillant son désir de tuer le président Donald Trump.

Alors qu’il suivait un traitement ordonné par le tribunal, indique le bulletin, l’homme a été interrogé par les services secrets. À la suite de l’interview, l’homme aurait « intensifié sa campagne d’écriture en inondant plusieurs agences de police de tout l’État de lettres indiquant des menaces supplémentaires » contre Trump, alors démis de ses fonctions.

La police de l’Arizona, qui affirme avoir maintenu le contact avec les parents de l’homme « pour tenter d’atténuer ses activités », a terminé le bulletin en appelant tous les autres services recevant des lettres de menaces à en transmettre des copies à leurs détectives ainsi qu’aux services secrets. On ne sait toujours pas si les poursuites contre cet homme ont donné lieu à des accusations criminelles.

L’armée semble être le plus grand utilisateur fédéral des services des PPP.

Dans une information datant de 2020, une femme s’enrôlant dans l’armée a utilisé P3 pour signaler à la Division des enquêtes criminelles de l’armée qu’elle avait été agressée sexuellement par un recruteur. La femme, qui a requis l’anonymat car elle craignait d’être qualifiée par l’armée de « quelqu’un qui se plaint », a nommé l’homme avant de l’accuser de lui avoir touché la poitrine et de lui avoir proposé un poste important en échange de relations sexuelles orales.

“Je lui ai crié dessus et lui ai dit NON merci et ne me touche pas et il m’a frappé sur le cul et m’a dit qu’il pouvait me prendre de force et que je ne pouvais rien faire”, a-t-elle écrit. “À ce moment-là, j’ai sorti du spray au poivre que j’avais dans mon sac à main et il a reculé et a dit qu’il plaisantait et que si je voulais réussir dans l’armée, je devais être cool comme l’un des gars.”

La femme a ensuite révélé l’embarras et l’inquiétude qu’elle ressentait en signalant l’incident. Elle a finalement décidé de se manifester parce qu’elle craignait que le recruteur n’agresse davantage de personnes.

Pourtant, même si elle pensait qu’une information anonyme suffirait à déclencher une enquête, on a dit à la femme qu’elle devrait fournir des détails sur elle-même pour avancer.

“Je comprends votre désir de rester anonyme ; cependant, sans informations d’identification supplémentaires, il nous sera presque impossible d’enquêter sur ces allégations”, a répondu un responsable militaire. “Si vous souhaitez fournir des informations supplémentaires, veuillez indiquer comment vous souhaitez vous coordonner avec mon bureau.”

SAN a contacté plusieurs personnes figurant dans les données qui ont soumis des conseils et ont parlé avec un homme qui a déposé un rapport en 2023 auprès de la police de Californie. L’homme, un analyste et instructeur Open Source Intelligence (OSINT) qui utilise le pseudo OSINT Tactical sur les réseaux sociaux, a confirmé à SAN qu’il avait soumis une astuce concernant un homme qui avait visionné en ligne du matériel d’abus sexuel sur des enfants.

Dans l’astuce, OSINT Tactical affirme avoir découvert l’activité de l’homme dans un journal d’infostealer, une collection de données sensibles extraites d’appareils compromis par des logiciels malveillants. OSINT Tactical, qui dispense une formation OSINT aux militaires, aux forces de l’ordre et au secteur privé, a répertorié les sites Web que l’homme aurait visités ainsi que ce qu’il pensait être son nom, ses adresses e-mail, son numéro de téléphone, son adresse personnelle et son adresse IP.

“J’ai envoyé pas mal de conseils ces dernières années, probablement plus de 100”, a déclaré l’informateur à SAN.

Le logiciel a également été adopté par plus de 30 000 écoles et organisations à but non lucratif aux États-Unis, comme Sandy Hook Promise, une organisation spécialisée dans les programmes de prévention de la violence armée. De nombreux messages liés à l’école consultés par SAN concernaient des sujets très sensibles, tels que l’automutilation, le suicide et les menaces de violence, et la fuite a révélé les données personnelles collectées par P3.

Dans un message envoyé en 2022 à Safe2SayPA.org, un site Web alimenté par P3 qui permet aux étudiants et aux éducateurs de Pennsylvanie de soumettre des conseils anonymes, un parent a rapporté que son élève de septième année avait exprimé ses craintes à propos d’un camarade de classe qui « s’était concentré » sur les armes à feu, les grenades et l’automutilation.

Une note interne du rapport indique que la police locale a effectué un contrôle de bien-être de l’étudiant quelque temps plus tard, ce qui a abouti à un voyage à l’hôpital pour une évaluation mentale. L’élève, ajoute la note, avait été victime d’« intimidations continues », notamment des railleries le qualifiant de « tireur de l’école ».

La note continue en indiquant que les parents adoptifs de l’élève gardaient des armes à feu dans la maison, mais qu’elles étaient « enfermées par le père ». L’élève a finalement été retiré de son collège mais n’a pas été publiquement identifié.

Dans les données P3 divulguées, son nom complet apparaît tout au long du rapport.