12.16 — L’internet souterrain des années 1995-2010 : forums, outils, banalisation de la cruauté#

Pour comprendre la rage qui traverse le Holy Book d’Ocarina, il faut comprendre ce qu’était vraiment internet avant Facebook (2006-2008), avant que Cloudflare ne devienne le gardien des portes (2010+), avant que la modération ne soit prise au sérieux. C’était un Far West où des compétences étatiques se développaient dans des chambres d’adolescents, où la vie privée d’un adversaire pouvait être démolie en 48 heures, et où les recours juridiques classiques étaient inopérants. Cette page décrit la mécanique, sans complaisance, sans héroïsation.

⚠️ Cette page documente des techniques historiques à des fins éducatives et de mise en contexte du manifeste. Il ne donne pas de mode opératoire et ne fait pas l’apologie d’actes illégaux. La cruauté décrite a fait des victimes réelles.

1. Archéologie#

Les couches successives#

Usenet (~1979-2002)#

Usenet est un système décentralisé de newsgroups : pas de serveur central, chaque serveur fonctionne par peering avec d’autres, propagation des messages par réplication.

• Hiérarchie de groupes : comp.lang.c, alt.hacker, rec.games.*, sci.crypt, alt.binaries.* (warez, scans, etc.).
• Pas de modération centrale : chaque serveur peut être coupé, mais les autres répliquent.
• Persistance : un message Usenet bien posté reste indéfiniment archivé.
• Killfiles : l’utilisateur modère lui-même en ignorant des auteurs.
• Flame wars : les disputes pouvaient durer des semaines, des centaines de messages, et ressurgir 10 ans plus tard quand quelqu’un retrouvait un thread.

BBS (Bulletin Board Systems, 1979-mid-1990s)#

BBS = serveur dial-up auquel on se connecte avec un modem pour lire/poster sur des boards thématiques. Local : pas d’internet, juste d’un téléphone à un PC dans la chambre d’un autre adolescent.

C’est la matrice originelle de la culture hacker américaine. Tous les acteurs documentés dans ce précis (YTCracker, kayos, Sys64738, etc.) sont passés par là ou par ses héritiers directs.

IRC (Internet Relay Chat, 1988-aujourd’hui)#

IRC = protocole de chat textuel multi-canal, multi-serveur, fortement décentralisé. Cf. 04-zoneh-irc-efnet.md

• Canaux thématiques (#hack, #warez, #cracking, #defcon, #anonymous…).
• Pseudos modifiables.
• Ops (administrateurs de canal) qui décident des kick/ban.
• DCC (Direct Client-to-Client) pour transférer des fichiers sans passer par le serveur.
• Bots omniprésents : eggdrop, channel bots qui surveillent, kickent les flooders, partagent des fichiers.

2. La trousse à outils du nuisible#

Ce qui suit est un catalogue documentaire, chaque terme correspond à une pratique réellement courante sur les forums underground de l’époque.

Doxing#

Doxing (de documents → dox) : publication de toutes les informations personnelles d’une cible. Nom légal, adresse, téléphone, employeur, parents, enfants, écoles, immatriculation auto, numéros de sécu, mots de passe leakés, photos. Régulièrement agrémenté de diffamation (accusations de pédophilie, etc.).

1. Pivot depuis un pseudo unique vers un compte sur un autre forum mal anonymisé.
2. Cross-reference des data leaks disponibles (Have I Been Pwned, LinkedIn 2012, Yahoo 2013, et al.).
3. OSINT (Open Source Intelligence), agrégation de tout ce qui est public : registre du commerce, archives municipales, profils LinkedIn/Facebook/Instagram, whois de domaines, photos avec EXIF GPS.
4. Social engineering : appels au support technique des opérateurs téléphoniques, faux services clients, utilisation de prétextes.
5. Publication : doxbin, pastebin, forums ou équivalent.

Effet sur la victime : harcèlement physique (envois de pizzas au mieux, produits illicites en masse pour provoquer une alerte chez les douanes au pire, annonces factices de décès à des proches, chantage, etc.), swatting, usurpation d’identité, harcèlement de l’employeur.

Swatting#

Swatting : appel mensonger aux forces de l’ordre en se faisant passer pour la victime, un membre de sa famille ou un conjoint, déclarant une prise d’otage ou un meurtre en cours à son adresse, déclenchant l’envoi du SWAT (équipe d’assaut armée).

Mécanique :

• Caller ID spoofé ou appel Skype avec des crédits obtenus via du carding.
• Adaptation du ton de la voix, détails crédibles (références à l’adresse exacte, descriptions d’armes et/ou de situations d’urgence).
• La police défonce la porte, parfois tire, il y a eu des morts confirmés suite à des swattings (Andrew Finch, Wichita Kansas, le soir du 28 décembre 2017, abattu à sa porte, alors âgé de 28 ans).
• Coût pour la victime : choc psychologique majeur, parfois blessures physiques, parfois la mort.
• Coût pour l’auteur : peines de prison réelles si identifié (Tyler Barriss : 20 ans pour le swatting Finch).

Caller ID spoofing via SIP#

SIP (Session Initiation Protocol) est le protocole VoIP standard depuis ~2003. Avec un fournisseur SIP low-cost (à l’étranger, faible KYC), on peut envoyer un appel avec un caller ID arbitraire : n’importe quel numéro de téléphone du monde s’affiche chez le destinataire de l’appel.

Usages malveillants :

• Swatting (vu ci-dessus).
• Voice phishing (vishing) : se faire passer pour le service client de la banque.
• Faux appels d’urgence vers une cible pour la faire réagir publiquement.
• Harcèlement d’autres personnes en usurpant le numéro de la cible pour provoquer des règlements de comptes.
• Caller ID poisoning : spammer des numéros différents toutes les heures pour saturer la victime.

Légalement : fortement régulé depuis 2019 aux USA (STIR/SHAKEN), encore largement utilisable depuis l’étranger.

Malware signé sur une machine baptisée du nom de l’ennemi#

Technique opérationnelle : on compile un malware sur une machine dont le hostname, le nom d’utilisateur, le path de build, contiennent le nom d’un journaliste, d’un chercheur en sécurité, d’un membre de la communauté qu’on veut humilier ou impliquer. Quand le malware est analysé par une sandbox ou un AV, les artefacts du build (chaîne Built on: /home/journaliste_X/...) traînent dans le binaire et déclenchent les algorithmes d’attribution à la mauvaise personne.

C’est une opération false flag au sens littéral. Des groupes APT (Advanced Persistent Threat) russes l’ont popularisée à l’échelle étatique (cf. Olympic Destroyer, 2018, attribué à tort à la Corée du Nord pendant des mois). Cette technique a été apprise dans les forums underground des années 2000.

Usurpation d’identité + souscriptions à des crédits#

Avec un dox complet, on peut :

1. Ouvrir des comptes bancaires en ligne avec les KYC les plus laxistes.
2. Souscrire à des crédits à la consommation chez les organismes peu regardants.
3. Faire des achats en ligne livrés à des drops (adresses tierces).
4. Détruire le credit score de la victime en accumulant les défauts de paiement.

Conséquences pour la victime : des années de procédure pour rétablir sa solvabilité, parfois interdiction bancaire, parfois impossibilité de louer un appartement.

Hacktivisme#

Hacktivisme = activisme par le hack. Exemples :

L’hacktivisme est double :

• Public : actions revendiquées avec manifestes, vidéos avec le masque de Guy Fawkes, communiqués.
• Backstage : coordination IRC, doxing interne, traîtres infiltrés (Sabu / Hector Monsegur, balance au FBI en 2011-2012), accusations croisées.

Swatting + doxing + harcèlement combinés#

L’attaque maximale combine les trois : on dox la cible, on appelle son employeur pour révéler son passé, on harcèle ses proches, on swat son domicile. Cas documentés :

• Brianna Wu, Anita Sarkeesian, Zoë Quinn (Gamergate, 2014-2015) : combinaison documentée publiquement.
• Aaron Swartz (2010-2013) : pas swatting mais harcèlement équivalent, suicide janvier 2013.

Faux comptes, double comptes, lurk#

• Lurking : être présent sur un forum sans poster. Permet d’observer les dynamiques, repérer les vulnérabilités sociales, identifier les cibles, archiver les preuves.
• Faux comptes : compte avec une identité inventée, parfois entretenu sur des années. Sert à crédibiliser un narratif (faux témoignage, faux soutien).
• Sockpuppet / double compte : plusieurs comptes contrôlés par la même personne. Permet par exemple de se répondre à soi-même pour créer l’illusion d’un consensus.

Flame, griefers, trolls#

DB leaks#

Database leaks : exfiltration et publication d’une base de données complète d’un service.
Exemples : Ashley Madison (2015), LinkedIn (2012, republié en 2016), Yahoo (2013), Adobe (2013), Equifax (2017).

Effet : les utilisateurs de ces services voient leur email + mots de passe (parfois en clair à cause d’une mauvaise sécurisation en DB) + données privées publiés et indexés. Have I Been Pwned (Troy Hunt, 2013+) répertorie 12+ milliards d’enregistrements à ce stade.

Shodan + caméras et serveurs#

Shodan (John Matherly, 2009, shodan.io) est un moteur de recherche pour les devices connectés à internet. Caméras IP, routeurs, ICS/SCADA industriels, serveurs FTP, serveurs MQTT, et cetera :

• webcamxp → caméras IP avec interface web par défaut, souvent sans mot de passe.
• port:23 → serveurs Telnet ouverts (généralement IoT mal configurés).
• default password → indique les devices identifiés comme utilisant un mot de passe par défaut.

Avant Shodan, l’énumération demandait des portscans massifs et coûteux. Avec Shodan, en 5 secondes on a 200 caméras non protégées dans n’importe quelle ville.

Shodan peut aussi être utilisé à des fins d’harcèlement diverses et variées, comme détecter des serveurs Minecraft mal sécurisés pour aller les détruire « entre amis griefers ».

3. BOFH — Bastard Operator From Hell (Simon Travaglia)#

BOFH est une série de nouvelles écrites par Simon Travaglia (Nouvelle-Zélande), publiée sur Usenet à partir de 1992, puis dans Datamation et The Register.

Le narrateur est un sysadmin qui :

• Méprise ses utilisateurs.
• Sabote les machines des collègues énervants.
• Falsifie les logs.
• Tue littéralement les utilisateurs trop pénibles (avec humour noir : accident d’ascenseur, piège dans la salle serveur).
• S’enrichit par fraude interne.

Le BOFH est devenu un archétype culturel :

• Connu dans toute la communauté sysadmin.
• Citations intégrées au vocabulaire (PEBKAC = Problem Exists Between Keyboard And Chair, RTFM, ID-10-T error).
• Idéalisé par les sysadmins qui s’y reconnaissent ironiquement.

L’auteur d’Ocarina hérite en partie de cette tradition : « slipologue » est en quelque sorte la version 2020s du PEBKAC.

Dans la même lignée, lire aussi : Master Foo and the Script Kiddie (2003)

4. ViolVocal — le cas francophone#

ViolVocal était une communauté francophone d’harceleurs en bande organisée, active dans les années 2000s. Forum + serveur vocal (Mumble / TeamSpeak) où les membres :

• Coordonnaient des appels groupés vers des cibles (rivaux, ex-membres, anonymes pris en photo).
• Utilisaient du SIP spoofing pour appeler avec des numéros usurpés.
• Filmaient les réactions vocales des cibles et les rejouaient en stream public.
• Pratiquaient le harcèlement au sens criminel : cibles harcelées pendant des semaines, dont des mineurs et des personnes vulnérables.

C’est l’une des incarnations francophones de la culture no-limit. VV a fini par fermer, certains membres ont été identifiés et poursuivis, mais rien n’a permis de réparer les dommages subis par les victimes.

Pourquoi mentionner ViolVocal : pour montrer que la cruauté underground n’était pas un phénomène uniquement anglophone. La même mécanique opérait en France, sur les serveurs Mumble francophones, dans les sous-forums de jeux MMO francophones, dans les chans IRC #fr.*. La francophonie n’a pas été préservée.

5. 4chan et /b/ — l’anonymat radical#

4chan, fondé en 2003 par Christopher « moot » Poole (alors à l’âge de 15 ans), copie du japonais 2chan (Hiroyuki Nishimura).

• /b/ (random) : board sans règles, sans archive (les threads disparaissent après un certain nombre de pages), anonymat total (pas de pseudo persistant), volume massif (millions de messages/jour à son pic).
• Anonymous comme entité collective émerge littéralement de /b/ vers 2006-2008.
• Memes produits en masse : Pepe, LOLcats, Rickroll, Distracted Boyfriend, sortent de /b/ et sont récupérés par le grand public.
• Cruauté documentée : raids organisés contre des cibles (parfois enfants suicidaires, anorexiques, etc.).
• Pédocriminalité documentée sur certains boards mineurs, ce qui a justifié les arrestations en série de moot et ses successeurs.

Le 14 avril 2025, 4chan a été massivement hacké :

• Accès administrateur
• Code source et autres données internes
• Identités
• …

Aujourd’hui (2025-2026), 4chan existe encore mais a perdu sa centralité au profit de Discord, Reddit, Telegram, et al.

6. La culture « no limit » — l’impunité par anonymat#

La perception subjective#

Pour les nuisibles des forums underground de l’époque :

1. Anonymat technique apparent (proxy, VPN, Tor).
2. Distance entre l’auteur (chez lui) et la victime (à l’autre bout du monde).
3. Absence de réaction physique immédiate : l’écran filtre, on ne voit pas la victime pleurer.
4. Validation de pairs sur le forum : les autres félicitent les actes les plus « audacieux », constitutions de tableaux de chasse, échanges de « kits d’harcèlement ».
5. Échec systématique des forces de l’ordre à intervenir rapidement, surtout lorsque l’harceleur et la victime ne sont pas dans le même pays.

Pourquoi ça crée des profils dangereux#

Cette combinaison produit des individus dotés de :

• Compétences techniques réelles (allant jusqu’à être d’un niveau étatique).
• 0 empathie envers les victimes (jamais vues, « ‘connait pas »).
• Mépris structurel pour les institutions (vues comme lentes, stupides, corrompues).
• Identité construite autour de la « prouesse » anti-système.

7. L’inopérabilité des recours classiques#

« Porter plainte contre son voisin » ne marche plus#

L’arsenal juridique européen et américain a été construit pour des sociétés où :

• Le voisin est identifiable (adresse postale, identité civile).
• Le préjudice est circonscrit géographiquement.
• Les preuves sont physiques (témoignages, photos, lettres).
• L’État a juridiction sur l’auteur.

Aucune de ces hypothèses ne tient pour un harcèlement underground en ligne :

• L’auteur est anonyme par construction.
• Le préjudice est globalisé : la victime peut être en France, l’auteur en Russie, le serveur aux Bahamas.
• Les preuves sont numériques, donc fabricables, supprimables, contestables.
• L’État de la victime n’a aucune juridiction sur l’auteur étranger.

Une victime de doxing/harassment qui porte plainte se retrouve souvent avec :

1. Plainte classée sans suite par manque d’identification.
2. Plainte transférée à une autre juridiction qui la classe aussi.
3. Plainte rejetée pour incompétence territoriale.
4. Coût moral et financier d’avoir tenté la procédure.

La vendetta privée devient la norme#

Quand le système judiciaire est inopérant, le conflit se résout par :

• Contre-doxing : la victime, ou un allié, dox l’auteur en retour.
• Contre-attaque technique : DDoS, deface, exfiltration.
• Public shaming : exposition publique sur Twitter, Reddit, médias (call-out).
• Hacker tribunals/syndicates informels : un groupe respecté dans la scène juge et excommunie l’auteur.

Ces résolutions sont violentes, non-réversibles, et les plus violentes possible.
Elles existent parce que rien d’autre ne marche.

8. Les forums marchands#

À partir de ~2005-2008, les forums underground passent d’une logique de partage à une logique de commerce :

Cerveaux et exécutants#

Les forums marchands séparent :

1. Le cerveau : celui qui développe la technique.
2. L’exécutant : celui qui paie pour utiliser la technique sur sa cible.

Cette séparation a fait exploser le nombre de victimes : avant, il fallait être capable techniquement pour faire du mal. Depuis, n’importe qui avec quelques dollars pouvait lancer une attaque ciblée.

On retrouve le même pattern avec The Anarchist Cookbook (William Powell, 1971), qui publiait des instructions pour fabriquer des bombes artisanales, sauf que l’Anarchist Cookbook produisait quelques cas isolés, alors que les forums marchands underground produisaient des milliers de victimes par mois.

Parallèle Anarchist Cookbook#

Le point commun est la démocratisation d’une capacité de nuisance qui demandait avant des années d’apprentissage.

9. Pourquoi cet univers a engendré des compétences dignes de services de renseignement#

Pour survivre en tant que membre actif d’un forum underground, il fallait développer :

Ces compétences sont identiques à celles d’un opérateur de renseignement étatique.
Les agences (NSA, FSB, MSS, DGSI, GCHQ) embauchent dans cette scène depuis 2005 minimum, et les meilleurs profils viennent de là.

10. Pourquoi des « ennemis » ?#

L’auteur du Holy Book emploie le mot ennemi.
Ce n’est pas une métaphore.

Dans ce monde, on a des ennemis au sens opérationnel :

• Personnes qui ont doxé l’auteur ou ses proches.
• Personnes qui ont dénoncé publiquement, qui ont menti sur ses actes, qui ont tenté de l’humilier.
• Communautés qui ont organisé des raids coordonnés contre la scène à laquelle il appartient.
• Forces de l’ordre qui servent à rien.

Quand on a vécu ces opérations, on n’utilise plus le mot adversaire ou opposant. On dit ennemi, parce que c’est ce que c’est : quelqu’un qui veut provoquer une destruction (sociale, professionnelle, parfois physique) et qui agit pour l’obtenir.

Cf. 17-survivor-psyche-programming.md

Est-ce que c’est mieux aujourd’hui ?
Pour se faire son propre avis, lire aussi : 764 (réseau cybercriminel)

11. Connexions avec le reste du précis#

• 02-lulzsec-lulzboat-antisec.md — LulzSec / AntiSec, hacktivisme organisé.
• 03-ytcracker-nerdcore-digital-gangster.md — DG, le forum-référence.
• 04-zoneh-irc-efnet.md — IRC, EFnet, Zone-H.
• 05-indonesian-hackers.md — YogyaCarderLink, carding & defacement.
• 17-survivor-psyche-programming.md — conséquences psychologiques et techniques.