Sur chaque profil de vendeurs et d’administrateurs du Canadian Headquarters s’affiche une clé PGP (Pretty Good Privacy) publique, qui permet de confirmer l’identité d’un individu et de s’assurer que la police n’est pas derrière un compte, notamment.

Ce système de signatures uniques créé en 1991 sert principalement à envoyer des messages cryptés et prend la forme d’une longue suite de chiffres, de lettres et de symboles.

Toutefois, cette clé est généralement associée à une adresse courriel. C’est en analysant les signatures cryptographiques de vendeurs de Canadian Headquarters que les chercheurs de Flare System ont été en mesure de démasquer quatre trafiquants, dont l’administrateur du site, Poseidon. Tous avaient laissé leur réelle adresse courriel dans leur clé PGP.

C’est une erreur de débutant, lance le directeur des nouvelles technologies et cofondateur de Flare Systems, Mathieu Lavoie. C’est élémentaire de ne jamais laisser de vraies informations dans une clé PGP. À moins que tu veuilles en faire une utilisation légitime.

Avec sa chemise carreautée bien rangée dans le pantalon et ses lunettes rondes, le jeune entrepreneur se fondrait dans le paysage de la Silicon Valley. Il transmet ces informations au CRTC. C’est ce qui permet de mettre en branle une vaste enquête qui mènera à l’identification et à l’arrestation de quatre individus.

Ironiquement, Ross Ulbricht, le fondateur de Silk Road, premier marché du darknet à voir le jour en 2011, s’est aussi fait prendre par le FBI après avoir publié une adresse courriel personnelle sur un forum d’Internet, alors qu’il venait tout juste de lancer le fameux site.

Alexandre Cazes, un Trifluvien derrière Alphabay, le plus gros marché du darknet à avoir vu le jour, s’est aussi fait prendre en 2017 en raison de son adresse personnelle Hotmail inscrite dans les métadonnées d’un message envoyé aux utilisateurs pour réinitialiser un mot de passe. Même si l’erreur ne restera en ligne que quelques jours, elle sera fatale pour le Québécois expatrié en Thaïlande.

Les cybercriminels font tous des erreurs, avance David Décary-Hétu. Ils laissent des traces partout. Et Internet se souvient des moments où ils étaient moins alertes.

Aux États-Unis, les administrateurs de marché illicites du darknet qui se font épingler écopent de peines beaucoup plus sévères. Par exemple, en 2016, un modérateur du site Alphabay a reçu une peine de 11 ans pour s’être engagé dans une organisation corrompue influencée par le racket.

Le fondateur de Silk Road, Ross Ulbricht, a été accusé en 2014 de blanchiment d'argent, de complot en vue de commettre un piratage informatique et de complot en vue de faire le trafic de stupéfiants. Il purge présentement deux peines à perpétuité, plus de quarante ans, sans possibilité de libération conditionnelle.

Canadian Headquarters a fait trembler les grandes institutions financières pendant des années et la police n’a absolument rien fait, déplore David Décary-Hétu. Ça a pris le CRTC pour que les choses bougent. Finalement, Poseidon n’a pas été accusé d’être l’administrateur d’un des plus grands marchés illégaux, mais d’avoir fait du hacking.

Selon le professeur de criminologie, le darknet et la fraude en ligne ne sont tout simplement pas une priorité pour les autorités canadiennes. La majorité, si ce n’est pas la totalité, des ressources sont investies dans la pornographie juvénile et à retracer les personnes disparues. Il ne reste pratiquement plus de ressources pour s’attaquer à la fraude en ligne. Les gens ne portent pas plainte et les banques remboursent les victimes. On passe ça sous le tapis.

Un policier de la grande région de Montréal, qui traite de nombreux cas de fraudes, confirme les propos du chercheur. Jusqu’à l’année dernière, il trouvait d’ailleurs régulièrement des identités achetées sur Canadian Headquarters dans les appareils électroniques saisis aux fraudeurs arrêtés. La SQ et la GRC ne font rien, dit l’agent qui a demandé l’anonymat par crainte de représailles de la part de son employeur. Je ne leur transmets même plus d’informations tellement ils sont dépassés par les événements.

Il estime qu’à Montréal, de 40 % à 50 % des dossiers en cours concernent des fraudes de toutes sortes. Étant considérés comme non violents, ils ne sont pas priorisés. Le manque de ressources a comme effet de laisser libre cours aux malfaiteurs.

Évidemment, on n’a pas le choix de traiter les cas de violence conjugale ou de violences contre la personne en premier. Un braquage avec une arme, le risque est énorme et le criminel va écoper de quatre ans de prison minimum. Les fraudeurs que j’arrête font souvent plus en une journée que ce qui se trouverait dans la caisse enregistreuse d’un dépanneur et je te garantis qu’ils ne passeront pas six mois derrière les barreaux.

La Sûreté du Québec réfute ces affirmations selon lesquelles les autorités policières n’en font pas assez pour contrer la fraude en ligne. C'est certain qu'on va prioriser la santé d'une personne et la sécurité du public, affirme le lieutenant Benoît Richard. Mais j'ai des effectifs qui travaillent sur la fraude et qui font des recherches. Toutefois, on a besoin que la victime nous transmette de l'information pour ouvrir une enquête.

Quant à la Gendarmerie royale du Canada, on nous répond qu’en signalant les incidents au Centre antifraude du Canada, on contribue à la collecte de renseignements précieux en matière de fraude qui servent à établir des tendances criminelles, à aider les organismes d’application de la loi qui enquêtent sur les cas de fraudes et à sensibiliser le public. On nous rappelle aussi que le Groupe national de coordination contre la cybercriminalité a été créé en 2019 pour aider à coordonner les enquêtes sur la cybercriminalité auxquelles participent plusieurs administrations policières au Canada et à l’étranger.

David Décary-Hétu admet que le coup de filet du CRTC peut être dissuasif pour les cybercriminels canadiens du darknet. 150 000 $, ça demeure beaucoup d’argent, dit-il. C’est probablement plus efficace qu’une peine d’emprisonnement de six mois. Ceci dit, c’est une mesure efficace pour les contrevenants canadiens. Si on avait affaire à un spammeur russe, ça ne changerait absolument rien.

Son ancien collègue chez Flare Mathieu Lavoie souligne, quant à lui, que l’opération du CRTC a finalement démontré que les autorités canadiennes peuvent intervenir sur le darknet. Le FBI ne s’intéresse pas normalement aux marchés canadiens et les cybercriminels d’ici se croyaient à l'abri. Il y a eu un éveil aux capacités de surveillance canadiennes.

Mais les effets de la rafle du CRTC seront de courte durée. Sur le darknet, il suffit que les autorités ferment un site pour qu’un autre voie le jour. Canadian Headquarters est d’ailleurs né des cendres d’Alphabay, quelques mois après le coup de filet du FBI.

Après la fermeture de Canadian Headquarters, la fraude en ligne a ralenti pendant un certain temps, se souvient David Décary-Hétu. Mais les cybercriminels se sont rapidement retournés vers les plateformes de messagerie comme ICQ et Telegram qui demeurent accessibles.

D’ailleurs, le compte Telegram de Canadian HQ est toujours actif au moment d’écrire ces lignes.

Et un mois plus tard, en juillet 2021, WeTheNorth voit le jour. Un nouveau marché destiné exclusivement aux Canadiens qui reprend le célèbre slogan des Raptors de Toronto.

Depuis la chute de Canadian Headquarters, nous avons travaillé dur pour vous apporter un nouveau marché stable qui garantira la sécurité et l'accessibilité de tous, écrit un certain admin dans un message d’introduction sur le forum de la plateforme daté du 3 juillet 2021. Nous croyons que garder la communauté canadienne soudée et unie est un must.

Pour y entrer, par mesure de sécurité, on demande à l’internaute de répondre à une devinette en lien avec le pays : Quelle est la province qui produit le plus de sirop d’érable? Quel est le prénom de la reine du Canada?

Encore une fois, la plateforme est très sobre et elle est disponible en français et en anglais. On y aperçoit toujours le drapeau canadien et un logo de loup, sur fond blanc. Au moment d’écrire ces lignes, on y trouvait près de 2000 annonces de drogues et plus de 1000 offres en lien avec la fraude.

Contacté par Radio-Canada, l’administrateur indique qu’il ne souhaite pas parler aux médias. Mais libre à toi de me poser des questions en tant que client, écrit-il. La liste de questions envoyées par la suite demeurera sans réponse.

Mais un important vendeur de drogues actif sur le site a toutefois accepté de répondre à nos interrogations, via Dread, un forum spécialisé dans les marchés illicites, accessible à partir du darknet. Il considère que les plateformes canadiennes comme WeTheNorth ou Canadian Headquarters ont un avantage compétitif sur le marché canadien.

Plusieurs vendeurs européens ou américains ne veulent pas prendre le risque d’envoyer des biens par la poste au Canada, observe-t-il. Connaissant notre système, je trouve ça ridicule, mais je comprends le raisonnement. Je souhaiterais en voir ouvrir encore plus pour qu’il y ait une réelle compétition. Chaque pays devrait avoir son propre marché.

Il considère que ces sites sont appelés à prendre encore plus de place alors qu’il est de plus en plus évident que la guerre contre la drogue est un échec. Mais jusque-là, je pense que ces marchés vont continuer à prospérer grâce au marché noir.

S’il était déçu d’apprendre la fermeture de Canadian Headquarters, il n’en était pas surpris pour autant. Même si c’est dommage qu’à chaque fois il faille rebâtir la base d’utilisateurs, franchement, je ne comprends pas pourquoi les autorités ne s’attaquent pas plus rapidement à ces marchés.

Comme dans un jeu du chat et de la souris entre les cybercriminels et les autorités, il y aura toujours un trafiquant pour lancer une nouvelle plateforme. Jusqu’à ce que celui-ci commette l’erreur qui mettra la police à ses trousses… et ainsi de suite.