L'homme qui
parlait aux machines.

partie i

Le récit

Un gamin et un bus

Los Angeles, 1979. Kevin Mitnick a quinze ans et il s'ennuie.

Il a découvert quelque chose d'étrange : les chauffeurs de bus jettent leurs tickets de transfert usagés dans une poubelle, près du dépôt. Ces tickets permettent de voyager gratuitement toute la journée. Il suffit de les récupérer, de trouver une poinçonneuse dans un magasin de fournitures, et de voyager partout dans Los Angeles sans payer.

Ce n'est pas l'argent qui l'intéresse. C'est la découverte. Le sentiment d'avoir vu un système de l'intérieur — ses règles, ses failles, ses angles morts — et de l'avoir plié à sa volonté.

C'est la première fois. Ce ne sera pas la dernière.

L'art du téléphone

Quelques années plus tard, Kevin découvre le phreaking — l'art de pirater les réseaux téléphoniques. Dans les années 1980, les systèmes téléphoniques sont contrôlés par des tonalités. Certaines fréquences déclenchent des commandes internes. Avec une "blue box" — un petit boîtier électronique qui génère ces tonalités — on peut passer des appels gratuits, accéder à des lignes réservées, se promener dans l'infrastructure de AT&T comme dans un couloir vide.

Mais Kevin va plus loin que la technique. Il découvre que le maillon le plus faible d'un système n'est presque jamais une machine. C'est un être humain.

Il appelle les standardistes de Pacific Bell en se faisant passer pour un technicien. Un autre technicien. Un superviseur. Un auditeur. Il change de voix, de vocabulaire, de contexte. Il demande des informations — des mots de passe, des codes d'accès, des procédures internes — et les gens les lui donnent. Pas parce qu'ils sont stupides. Parce qu'il semble légitime. Parce qu'il connaît les bons mots, les bons prétextes, le bon ton.

Ce que Kevin pratique s'appelle l'ingénierie sociale. Il ne le sait pas encore. Le terme n'existe pas vraiment. Il invente la discipline en même temps qu'il la pratique.

Dans les entrailles d'ARPANET

Au début des années 1980, Kevin commence à s'intéresser aux réseaux informatiques. ARPANET — l'ancêtre d'internet — relie des universités, des laboratoires de recherche, des installations militaires. Accéder à ces systèmes depuis un terminal public, c'est comme ouvrir une porte sur un monde que personne d'autre ne voit.

Il s'introduit dans les systèmes du Pentagone. Dans ceux de DEC — Digital Equipment Corporation, l'un des plus grands fabricants d'ordinateurs de l'époque. Il vole le code source de VMS, le système d'exploitation phare de DEC. Non pas pour le vendre. Pour le comprendre. Pour voir comment ça marche de l'intérieur.

Il est arrêté une première fois en 1981, pour avoir pénétré dans les systèmes de Pacific Bell. Il a dix-sept ans. Il s'en sort avec une mise en liberté surveillée.

Ça ne l'arrête pas.

Le FBI entre en scène

Tout au long des années 1980, Kevin Mitnick laisse des traces derrière lui — et des ennemis. Il s'introduit dans les systèmes d'universités, de laboratoires, d'entreprises technologiques. Il lit les emails des chercheurs du MIT. Il accède aux réseaux de Nokia, Motorola, Sun Microsystems. Il vole des dizaines de milliers de numéros de cartes de crédit — sans jamais en utiliser un seul pour s'enrichir.

C'est ce détail qui fascine et déconcerte ses poursuivants. Kevin Mitnick ne vole pas pour l'argent. Il vole pour savoir.

Le FBI ouvre un dossier. Puis un autre. Kevin est arrêté une deuxième fois en 1988, condamné à un an de prison. Il en ressort plus prudent, pas plus sage. Quelques mois plus tard, il est de nouveau dans les systèmes.

En 1992, le FBI lance un mandat d'arrêt. Kevin disparaît.

Deux ans et demi de cavale

Pendant deux ans et demi, Kevin Mitnick devient le fantôme du réseau américain. Il vit sous de fausses identités — une douzaine au moins. Il se déplace d'une ville à l'autre, Denver, Seattle, Las Vegas, Raleigh. Il paie en cash. Il change de téléphone toutes les semaines. Il n'a pas de domicile fixe, pas de compte bancaire, pas d'existence officielle.

Et depuis cet anonymat total, il continue de pirater.

Il pénètre dans les systèmes de Motorola, Nokia, Fujitsu, NEC. Il intercepte des emails du FBI qui enquête sur lui. Il lit les communications entre ses poursuivants. Il sait ce qu'ils savent. Il sait ce qu'ils ne savent pas. C'est un jeu de cache-cache où un seul des joueurs connaît les règles.

L'erreur de Noël

En décembre 1994, Kevin fait une erreur.

Il pénètre dans l'ordinateur de Tsutomu Shimomura — un expert en sécurité informatique qui travaille pour le Centre national de supercalculateurs de San Diego. Il lui vole des outils de sécurité qu'il a développés. Des outils précieux, des années de travail.

Shimomura prend ça personnellement.

Il commence à tracer Mitnick. Pas pour le FBI — pour lui-même. Il analyse les intrusions, reconstruit les méthodes, remonte les pistes. Il travaille avec des journalistes du New York Times, avec des agents du FBI, avec des opérateurs téléphoniques. Il développe des techniques de triangulation pour localiser les appels de téléphones mobiles piratés.

En février 1995, après des semaines de traque, Shimomura et le FBI localisent Mitnick dans un appartement de Raleigh, en Caroline du Nord. Ils frappent à sa porte à trois heures du matin.

Kevin Mitnick, 31 ans, se rend sans résistance.

La légende

La suite appartient autant à la politique qu'à la justice. Le procureur fédéral décrit Mitnick comme "le criminel informatique le plus recherché de l'histoire des États-Unis" — une formule qui fait la une des journaux. Les dommages causés sont estimés à 300 millions de dollars, un chiffre que personne ne prendra jamais la peine de vérifier sérieusement.

Kevin Mitnick passera cinq ans en prison, dont huit mois en isolement total — les autorités craignant qu'il ne pirate les systèmes du DoD depuis une cabine téléphonique de la prison. À sa sortie, il lui sera interdit d'utiliser un ordinateur pendant trois ans.

À sa sortie définitive, il deviendra consultant en sécurité. Ses anciens ennemis — les entreprises dont il avait piraté les systèmes — paieront pour qu'il leur explique comment il l'avait fait.

partie ii

Le décryptage

L'ingénierie sociale avant le nom

Kevin Mitnick est entré dans l'histoire comme un hacker. C'est réducteur. Son talent principal n'était pas technique — c'était humain.

L'ingénierie sociale — le fait de manipuler des personnes pour obtenir des informations ou des accès — existait avant lui. Les escrocs, les espions, les vendeurs pratiquent l'art de la persuasion depuis toujours. Mais Mitnick a été le premier à l'appliquer systématiquement à la sécurité informatique, à en faire une méthode, à démontrer qu'elle était souvent plus efficace que n'importe quelle technique de hacking.

Son approche reposait sur quelques principes simples, qu'il théorisera plus tard dans son livre L'Art de la supercherie :

L'autorité. Se faire passer pour quelqu'un qui a le droit de demander. Un technicien, un supérieur, un auditeur. Les gens obéissent à l'autorité — même au téléphone, même sans vérification.

L'urgence. Créer une situation où la personne n'a pas le temps de réfléchir. "Le système est en panne, j'ai besoin du mot de passe maintenant." La pression temporelle court-circuite la prudence.

La réciprocité. Rendre un petit service avant de demander quelque chose. Aider à résoudre un problème technique mineur pour créer une dette morale.

Le prétexte. Construire une histoire cohérente, avec des détails vraisemblables. Connaître le nom du superviseur, le numéro de ticket d'incident, le jargon interne. Plus le contexte est précis, moins la cible vérifie.

Pourquoi les gens lui donnaient ce qu'il demandait

La réponse n'est pas "parce qu'ils étaient naïfs". La réponse est "parce qu'ils étaient humains".

Les mécanismes cognitifs que Mitnick exploitait sont universels et documentés. Le biais d'autorité, la pression sociale, le désir d'être utile, la tendance à compléter une histoire incohérente avec des hypothèses favorables — ce sont des caractéristiques de tous les cerveaux humains, pas des défauts de caractère.

C'est précisément pourquoi l'ingénierie sociale reste aujourd'hui la première cause des incidents de cybersécurité. Pas parce que les gens sont stupides. Parce que les attaquants exploitent des mécanismes profonds que l'entraînement peut atténuer, mais jamais éliminer complètement.

La technique au service du social

Ce qui distinguait Mitnick des simples escrocs, c'est qu'il combinait l'ingénierie sociale avec une connaissance technique profonde des systèmes qu'il ciblait.

Avant d'appeler un opérateur téléphonique, il avait déjà cartographié l'infrastructure, connaissait les noms des superviseurs, le jargon des procédures internes, les numéros de tickets d'incident. Cette préparation technique rendait son ingénierie sociale irrésistible — il ne demandait jamais quelque chose qui semblait anormal, parce qu'il savait exactement ce qui était normal.

C'est le modèle de toutes les attaques sophistiquées d'aujourd'hui. La phase de reconnaissance — OSINT, LinkedIn, sites web d'entreprises, offres d'emploi — précède toujours la phase d'exploitation. Plus un attaquant en sait sur sa cible, plus son prétexte sera crédible.

La cavale numérique — et ses limites

La fuite de Mitnick entre 1992 et 1995 est fascinante parce qu'elle illustre à la fois la puissance et les limites de l'anonymat numérique.

Il avait tout fait correctement : fausses identités, paiements cash, téléphones prépayés, déplacements fréquents. Pendant deux ans et demi, le FBI n'a pas réussi à le localiser.

Ce qui l'a trahi, c'est une combinaison de deux facteurs. D'abord, une cible motivée — Shimomura, dont il avait blessé l'ego autant que volé le travail. Ensuite, une erreur de comportement : il a continué à pirater depuis la cavale, laissant des traces dans des systèmes qu'il aurait dû éviter.

La peine et la peur

Le traitement judiciaire de Mitnick reste controversé. Huit mois d'isolement total pour un homme dont le "crime" était de lire des fichiers et de voler des logiciels — sans violence, sans gain financier personnel — ont choqué de nombreux juristes et défenseurs des libertés numériques.

L'estimation de 300 millions de dollars de dommages n'a jamais été sérieusement étayée. Les entreprises victimes avaient intérêt à gonfler les chiffres pour justifier leurs propres lacunes de sécurité.

Ce qui est certain, c'est que l'affaire Mitnick a servi à construire un récit — le hacker comme ennemi public, comme monstre numérique — qui a orienté la législation américaine sur la cybercriminalité pendant des années. Un récit qui ne distinguait pas entre le curieux qui explore et le criminel qui détruit.

Ce qu'il est devenu

Kevin Mitnick est mort en juillet 2023, d'un cancer du pancréas.

Dans les vingt dernières années de sa vie, il est devenu l'un des consultants en sécurité les plus demandés au monde. Les entreprises qu'il avait piratées dans les années 1980 et 1990 payaient pour qu'il teste leurs défenses. Les gouvernements l'engageaient pour former leurs équipes.

Il avait compris avant tout le monde que la sécurité n'est pas un problème technique. C'est un problème humain. Et que le seul moyen de s'en défendre, c'est de comprendre comment les humains sont manipulés.