Dans l’histoire de l’entrepreneur américain en matière de défense qui a divulgué des outils de piratage à la Russie

Un vétéran de la cybersécurité que les procureurs ont qualifié de « trahi » les États-Unis passera au moins les sept prochaines années derrière les barreaux, après avoir plaidé coupable de vol et de vente d’outils de piratage et de surveillance à une entreprise russe.

Peter Williams, ancien cadre de l’entreprise de défense américaine L3Harris, a été condamné mardi à 87 mois de prison pour avoir divulgué les secrets commerciaux de son ancienne entreprise en échange de 1,3 million de dollars en crypto entre 2022 et 2025. Williams a vendu les exploits à Operation Zero, que le gouvernement américain qualifie de « l’un des courtiers d’exploits les plus néfastes au monde ».

La condamnation réussie de Williams fait suite à l’une des fuites les plus médiatisées d’outils de piratage sensibles fabriqués en Occident ces dernières années. Même maintenant que l’affaire est terminée, des questions restent sans réponse.

Williams, un citoyen australien de 39 ans résidant à Washington, DC, était le directeur général de Trenchant, la division de L3Harris qui développait des outils de piratage et de surveillance pour le gouvernement américain et ses plus proches partenaires mondiaux du renseignement. Les procureurs affirment que Williams a profité de son « accès complet » aux réseaux sécurisés de l’entreprise pour télécharger les outils de piratage sur un disque dur portable, puis sur son ordinateur. Williams a contacté Operation Zero sous un pseudonyme, il n’est donc pas clair si Operation Zero n’a jamais connu la véritable identité de Williams.

Trenchant est une équipe de hackers et de chasseurs de bogues qui approfondissent d’autres logiciels populaires créés par des sociétés comme Google et Apple, identifient les failles dans ces millions de lignes de code, puis utilisent des techniques pour transformer ces failles en exploits exploitables pouvant être utilisés pour pirater de manière fiable ces produits. Ces outils sont généralement appelés exploits zero-day car ils exploitent des failles logicielles inconnues de leur développeur, qui peuvent valoir des millions de dollars.

Le ministère américain de la Justice a affirmé que les outils de piratage vendus par Williams auraient pu permettre à quiconque les utilisait de « potentiellement accéder à des millions d’ordinateurs et d’appareils dans le monde ».

Au cours des derniers mois, j’ai parlé à des sources et rapporté l’histoire de Williams avant que la nouvelle de son arrestation n’éclate. Mais ce que j’avais entendu était disparate et parfois contradictoire. J’avais entendu dire que quelqu’un avait été arrêté, mais étant donné la nature secrète du travail impliqué dans le développement d’exploits, le prouver serait un défi.

Quand j’ai entendu parler de Williams pour la première fois, je n’étais même pas sûr d’avoir bien compris son nom. À ce stade, son histoire n’était qu’une rumeur, évoluant dans le secret des développeurs d’exploits Zero Day, des vendeurs et des personnes ayant des liens avec la communauté du renseignement.

J’ai entendu dire qu’il s’appelait peut-être John, ou peut-être Duggan ? Ou toutes les différentes façons dont vous pouvez épeler cela en anglais.

Certaines des premières rumeurs que j’ai entendues étaient contradictoires. Apparemment, il a volé les zéro-jours à Trenchant, et peut-être les a-t-il vendus à la Russie, ou peut-être à un autre ennemi des États-Unis et de ses alliés, comme la Corée du Nord ou la Chine ?

Il a fallu des semaines pour confirmer qu’il y avait effectivement quelqu’un qui correspondait à cette description. (Il s’est avéré que le deuxième prénom de Williams est John et Doogie est son surnom dans les cercles de hackers.)

Puis, au fil des semaines de reportage, les choses ont commencé à devenir beaucoup plus claires.

La connexion russe

Comme je l’ai révélé pour la première fois en octobre, Trenchant a licencié un employé après que Williams, qui était encore à l’époque à la tête de Trenchant, ait accusé l’employé d’avoir volé et divulgué des fichiers Zero Day de Chrome. L’histoire était encore plus intrigante car l’employé m’a dit qu’après son licenciement, Apple l’avait informé que quelqu’un avait pris pour cible son iPhone personnel.

Ce que j’ai appris n’était que la pointe de l’iceberg. J’en avais entendu davantage de mes sources, mais nous étions encore en train de reconstituer des parties de l’histoire.

Peu de temps après, les procureurs ont porté leur première accusation formelle contre un homme nommé Peter Williams pour vol de secrets commerciaux, qui a fait surface pour la première fois devant le système judiciaire public américain. Dans ce premier document judiciaire, les procureurs ont confirmé que l’acheteur de ces secrets commerciaux était un acheteur en Russie.

Cependant, il n’y avait aucune référence explicite à L3Harris ni à Trenchant, ni au fait que les secrets commerciaux volés par Williams étaient de type zéro jour. Surtout, nous ne pouvions toujours pas confirmer avec certitude qu’il s’agissait du même Peter Williams, dont nous pensions qu’il aurait accès à des exploits très sensibles en tant que patron de Trenchant, et non à un terrible cas d’erreur d’identité.

Nous n’y étions toujours pas.

Forts d’une intuition et n’ayant rien à perdre, nous avons contacté le ministère de la Justice pour lui demander s’il confirmerait que la personne figurant dans le document était bien Peter Williams, l’ancien patron de L3Harris Trenchant. Un porte-parole a confirmé.

Finalement, l’histoire était sortie. Une semaine plus tard, Williams a plaidé coupable.

Quand j’ai entendu parler de son histoire pour la première fois, même si je faisais confiance à mes sources, je restais sceptique. Pourquoi quelqu’un comme Williams ferait-il ce que prétendaient les rumeurs ? Mais il l’a fait, et l’a fait pour de l’argent, affirment les procureurs, que Williams a ensuite utilisé pour acheter une maison, des bijoux et des montres de luxe.

Il s’agit d’une chute de grâce remarquable pour Williams, autrefois considéré comme un hacker accompli et brillant, et surtout pour quelqu’un qui a travaillé auparavant pour la plus grande agence d’espionnage étrangère d’Australie et a servi dans l’armée du pays.

Qu’est-il arrivé aux exploits volés ?

Nous ne savons toujours pas précisément quels exploits et quels outils de piratage Williams a volés et vendus. Trenchant a estimé une perte de 35 millions de dollars, selon les documents judiciaires. Mais les avocats de Williams ont déclaré que les outils volés n’étaient pas classés comme secret gouvernemental.

Nous pouvons tirer un aperçu des circonstances de l’affaire.

Étant donné que le ministère de la Justice a déclaré que les outils volés pourraient être utilisés pour pirater « des millions d’ordinateurs et d’appareils », il est probable que ces outils fassent référence au zéro jour dans les logiciels grand public populaires, tels que les appareils Android, les iPhones et iPads d’Apple et les navigateurs Web.

Certains éléments de preuve vont dans ce sens. Lors d’une audience l’année dernière, les procureurs ont lu à haute voix un article publié sur X par Operation Zero, selon le journaliste indépendant en cybersécurité Kim Zetter, présent à l’audience.

« En raison de la forte demande sur le marché, nous augmentons les paiements pour les exploits mobiles de premier plan », lit-on dans le message, qui mentionne spécifiquement Android et iOS. « Comme toujours, l’utilisateur final est un pays non membre de l’OTAN. »

Operation Zero offre des millions de dollars pour obtenir des détails sur les vulnérabilités de sécurité des appareils Android et des iPhones, des applications de messagerie comme Telegram, ainsi que d’autres types de logiciels, tels que Microsoft Windows, et des fournisseurs de matériel, tels que plusieurs marques de serveurs et de routeurs.

L’Opération Zéro prétend travailler avec le gouvernement russe. Au moment où Williams vendait ses exploits au courtier russe, l’invasion à grande échelle de l’Ukraine par Poutine était déjà en cours.

Le jour même de la condamnation de Williams, le Trésor américain a annoncé qu’il avait imposé des sanctions contre Operation Zero et son fondateur Sergey Zelenyuk, qualifiant l’entreprise de menace pour la sécurité nationale. C’était la première confirmation du gouvernement que Williams avait vendu les exploits à Operation Zero.

Dans son communiqué, le Trésor a déclaré que le courtier « avait vendu ces outils volés à au moins un utilisateur non autorisé ». À ce stade, nous ne savons pas qui est cet utilisateur. L’utilisateur pourrait être un service de renseignement étranger ou un gang de ransomwares, étant donné que le Trésor a également sanctionné Oleg Vyacheslavovich Kucherov, un membre présumé du gang Trickbot, qui aurait également travaillé avec Operation Zero.

Dans un court document, les procureurs ont déclaré que L3Harris était en mesure de déterminer qu’« un fournisseur non autorisé vendait un composant » de l’un des secrets commerciaux volés « en comparant les données du fournisseur spécifiques à l’entreprise trouvées sur un composant volé qui correspondait ».

Les procureurs ont également déclaré que Williams « avait reconnu le code qu’il avait écrit et vendu » à Operation Zero « utilisé par un courtier sud-coréen », suggérant en outre que L3Harris et les procureurs savaient quels outils avaient été volés et vendus à Operation Zero.

Une autre question sans réponse est la suivante : est-ce que quelqu’un, que ce soit le gouvernement américain ou L3Harris, a alerté Apple, Google ou toute autre entreprise technologique dont les produits étaient affectés par les failles du jour zéro, maintenant que les exploits avaient été divulgués ?

Toute entreprise ou développeur voudrait savoir que quelqu’un aurait pu utiliser (ou pourrait encore utiliser) un zero-day contre ses utilisateurs et clients afin de pouvoir corriger les failles le plus rapidement possible. Et à ce stade, les zero-days ne servent à rien pour L3Harris et ses clients.

Lorsque j’ai interrogé Apple et Google, aucune des deux sociétés n’a répondu à mes questions. L3Harris n’a pas répondu non plus.

Qui a piraté le bouc émissaire et pourquoi ?

Ensuite, il y a le mystère du bouc émissaire, qui a été licencié après que Williams l’ait accusé d’avoir volé et divulgué du code.

Lors de la détermination de la peine, les procureurs du ministère de la Justice ont confirmé que l’employé avait été licencié, affirmant que Williams « restait les bras croisés pendant qu’un autre employé de l’entreprise était essentiellement blâmé pour (sa) propre conduite ». En réponse, l’avocat de Williams a réfuté les procureurs, affirmant que l’ancien employé « avait été licencié pour mauvaise conduite », citant des allégations de double emploi et de mauvaise gestion de la propriété intellectuelle de l’entreprise.

Selon un court document soumis par les avocats de Williams, dans le cadre de l’enquête interne de L3Harris, l’entreprise a mis l’employé en congé, a saisi ses appareils, les a transférés aux États-Unis et les « a proposés au FBI ».

Lorsqu’on l’a contacté pour commenter, un porte-parole anonyme du FBI a déclaré que le bureau n’avait rien à ajouter en dehors du communiqué de presse du ministère de la Justice.

Après avoir été licencié, cet employé, que nous avons identifié sous le pseudonyme de Jay Gibson, a reçu une notification d’Apple indiquant que son iPhone personnel avait été ciblé « par une attaque de logiciel espion mercenaire ».

Apple envoie ces notifications aux utilisateurs qui, selon lui, ont été la cible d’attaques utilisant des outils comme ceux de NSO Group ou d’Intellexa.

Qui a essayé de pirater Gibson ? Il a reçu la notification le 5 mars 2025, plus de six mois après le début de l’enquête du FBI. Le FBI « a régulièrement interagi avec (Williams) de la fin 2024 jusqu’à l’été 2025 », selon un court document.

Compte tenu de la nature des outils divulgués, il est plausible que le FBI, ou peut-être même une agence de renseignement américaine, ait ciblé Gibson dans le cadre de l’enquête sur les fuites de Williams. Mais nous ne le savons tout simplement pas, et il y a une chance que ni le public, ni Gibson, ne le sachent jamais.

Mise à jour pour clarifier le 22e paragraphe attribuant le manque de classification des outils aux avocats de Williams.