L'abonnement à l'Informé est à usage individuel
Un autre appareil utilise actuellement votre compte
Continuer la lectureCybersécurité : pourquoi Fabrice Epelboin et Yogosha sont en guerre
La société spécialisée dans le « bug bounty » a attaqué en diffamation son ancien associé suite aux tweets qu’il avait rédigés la mettant gravement en cause. L’Informé dévoile les arguments des deux camps.
Cette fois, les cofondateurs de Yogosha se sont donné rendez-vous au tribunal. Des accusations très graves proférées sur Twitter en 2023 ont conduit le président de la start-up, Yassir Kazar, à attaquer son ancien associé Fabrice Epelboin en diffamation publique. Une audience sera organisée ce mardi ...
Entre eux, tout avait pourtant bien commencé. En décembre 2015, Yassir Kazar et Fabrice Epelboin créent ensemble Yogosha et en font rapidement l’une des plateformes de « bug bounty » les plus connues. L’idée ? Promettre des récompenses financières aux hackers qui découvrent des bugs sur les systèmes informatiques des entreprises et des entités publiques participantes, en France, mais aussi à l’international. L’enjeu est d’élever la sécurité des réseaux, dans un cadre bien défini afin d’éviter de tomber sous le coup du droit pénal dédié au piratage informatique. Depuis, la société a enrichi son offre avec un « Vulnerability Operations Center », en clair une plateforme permettant à des clients de travailler étroitement avec des chercheurs en informatique autour de la thématique de la cybersécurité. Alors que Fabrice Epelboin quitte la société en juillet 2018, la prise de bec publique entre ces ex-partenaires survient bien plus tard, à un moment très particulier. Pour l’édition 2023 du Forum International de la cybersécurité (FIC), organisé chaque année à Lille, Yogosha communique avec Communication Sans Frontières et ManoMano, autour de leur association Hack4Values. Une initiative présentée comme gratuite et éthique, créée en 2017, visant à étendre le programme de « bug bounty » aux organisations non gouvernementales (ONG). Sur Twitter, Epelboin, qui se présente comme « Creative technologist », « serial entrepreneur » et enseignant en « infowar », dénonce « une opération de greenwashing cyber ». Il menace même de la poursuivre devant la Cour européenne des droits de l’Homme. Dans le cœur de ses reproches, il accuse Yogosha de travailler dans le même temps avec des groupes « cyber-offensifs émiratis renommés tels que Beacon Red ou CPX ». Une « descente aux enfers », selon lui, assurant que ces dernières organisations ont été impliquées dans l’assassinat du journaliste Jamal Khashoggi au consulat d’Arabie saoudite en Turquie le 2 octobre 2018 et dans celui « de nombreux activistes pro démocratie ». Les dirigeants actuels de Yogosha utiliseraient également une marque « qui ne leur appartient pas ». Des propos qui ne passent pas.
Le 5 avril 2023, la start-up adresse à Fabrice Epelboin un courrier le mettant en demeure de retirer ces imputations, qui excèdent selon elle « le libre droit de critique ». Un peu plus d’un mois plus tard, elle porte plainte en diffamation. Au même moment, la société est prise dans une campagne réputationnelle sur Twitter avec notamment un compte parodique et anonyme HackValues destiné à se moquer de la campagne lancée pour le FIC 2023 avec en sus l’usage du hashtag #OpYo (pour « Opération Yogosha » ) afin de susciter l’attention du secteur de la cyber. Défendue par le cabinet d’avocats August Debouzy, Yogosha juge en substance que l’imputation de ces infractions pénales inexactes, attentatoires à son honneur et donc diffamatoires.
En droit, l’excuse de bonne foi peut faire barrage à une action en diffamation, si le prévenu démontre quatre conditions, détaillées par la jurisprudence : la légitimité du but poursuivi, l’absence d’animosité personnelle, la prudence et la mesure dans l’expression, et enfin la qualité de l’enquête. L’avocate de Fabrice Epelboin, Me Chrystel Gombert, considère que toutes les cases sont cochées, en particulier, s’agissant du but poursuivi, la défense des droits de l’homme « incombe à tout un chacun ». En outre, selon elle, son client a bien fait l’objet d’une prudence « caractérisée ». De plus, les tweets en cause ont bien été effacés, afin « d’apaiser un climat », commente l’avocate, jointe par l’Informé. Elle fait également état d’un travail d’enquêtes préalables. « Je pense quand même qu’il y a des journalistes qui ont fait ce travail d’investigations en amont. » Il ressortirait de ces écrits qu’ « un certain nombre d’accords (…) ont été passés entre la société Yogosha et des organismes cyber situés dans des États un peu compliqués, États dans lesquelles on sait très bien que certaines sociétés sont présentes et ne sont pas vraiment en faveur des droits de l’Homme, si je le dis de manière très modérée, en l’occurrence CPX et Beacon Red ». Elle soutient que Yassir Kazar a affiché ces liaisons dangereuses sur les réseaux sociaux, « alors qu’on sait très bien que [ces deux sociétés] avaient une implication, comme cela avait été relayé dans la presse [Intelligence Online du 19 avril 2023 NDLR] voilà plusieurs années ». De son avis, la plainte en diffamation serait en vérité destinée à « nuire à M.Epelboin, ne serait-ce que par sa réputation, en disant qu’il n’est pas si crédible que cela ». Si les écritures n’ont pas encore été intégralement adressées à la partie adverse, le spécialiste en cybersécurité devrait faire appel à des témoins « de renom » à l’audience organisée demain à Paris.
Dans le camp d’en face, les arguments sont diamétralement opposés : Yogosha considère ces propos très graves et infondés factuellement. « Déjà, l’agenda ne colle pas, commente Yassir Kazar. Khashoggi a été assassiné en octobre 2018 alors que notre premier contrat commercial au Moyen-Orient date de 2021. De plus, il y a des propos fantaisistes dans toutes ces affirmations puisque nous n’avons pas signé de partenariat avec les groupes Beacon Red et CPX. » « À notre connaissance, et plus d’un an après les premières allégations proférées sur les réseaux sociaux, aucune preuve n’a été avancée et aucune action pour crime contre l’humanité n’a été engagée, ce qui démontre bien le caractère fantaisiste et toxique de toute cette opération ». La société reproche en outre à l’ex-cofondateur de ne jamais avoir tenté de la contacter avant d’avoir diffusé ces écrits. Elle réclame 50 000 euros de dommages et intérêts, plaidant le risque réputationnel, particulièrement sensible dans le secteur de la cybersécurité. Des sommes susceptibles d’évoluer d’ici l’audience, mais déjà jugées « exorbitantes » par Me Gombert. S’ajoutent enfin 15 000 euros pour couvrir les frais de justice. « Il est primordial pour nous de laver l’honneur de la société, nous lance Yassir Kazar. Nous jouissons d’une réputation et d’une probité sur le marché de la cyber sécurité que nous tenons à défendre. Je ne laisserai rien passer, d’où notre action devant le tribunal judiciaire. »
Dans un nouveau communiqué adressé à plusieurs journalistes jeudi 19 septembre, Fabrice Epelboin dépeint un « procès bâillon » qui « pourrait bien être la plus grosse affaire touchant la « start-up nation » ». « Une intoxication médiatique » rétorque Yassir Kazar, qui peine à deviner une volonté d’apaisement. Dans ce court texte, adressé à l’Informé, les groupes CPX et Beacon Red sont désormais présentés comme les « héritiers » d’une troisième organisation aujourd’hui coulée, DarkMatter Group. « Suite au scandale lié à l’assassinat de Jamal Kashoggi dans lequel Darkmatter est impliqué, l’entreprise sera démantelée et ses employés réintégrés dans différentes entités émiraties », écrit l’intéressé. Ils « continueront la mission initialement attribuée à Darkmatter [et] parmi les héritiers et successeurs de Darkmatter on trouve CPX puis Beacon Red, deux entreprises cyber offensives émiraties avec lesquelles Yogosha a noué des partenariats », partenariats que la société dément encore et toujours fermement d’avoir conclus.
