Le hacker qui avait 6h d'avance sur Wall Street

La bourse pour un néofit, c'est de l'aléatoire. Il y a des actions d'entreprise qui montent et qui descendent. Et il y a des professionnels de la finance, des traders qui essayent d'en tirer profit en faisant des paris.

Ils scrutent les courbes 24h sur 24 et dès qu'ils pensent que le cours va monter, ils achètent tout ce qu'ils peuvent pour ensuite pouvoir revendre plus cher. Maintenant, qu'est-ce qui se passerait si quelqu'un avait la capacité de prédire l'avenir ? Il pourrait savoir ce qui va se passer avant tout le monde.

Il aurait un pouvoir immense. Et ben, c'est exactement ce qui s'est passé avec un jeune analyste anglais du nom de Robert Westbrook. D'après une plainte déposée aux États-Unis, Westbrook aurait utilisé le hacking pour prédire les cours de Wall Street et gagner des millions.

[Musique] Si on en croit ce rapport, tout aurait commencé à Londres dans les années 2010. À cette époque, Robert Westbrook travaille déjà dans la finance. Diplômé de Cambridge, il a trouvé sa place dans un fond d'investissement réservé à l'élite de l'élite, un hedge fund.

Son job, c'est de faire de la spéculation, c'est-à-dire parier à la hausse ou à la baisse sur les fluctuations du marché. Pour trouver des idées d'investissement, il peut s'appuyer sur de gigantesques bases de données qui centralisent tout ce qu'il y a à savoir sur la situation financière des entreprises. Mais Westbrook est frustré parce que il n'a pas accès à toutes les informations qu'il voudrait.

En fait, ces bases de données sont vendues sous licence par des prestataires spécialisés qui les facturent un prix délirant. Bloomberg terminal par exemple coûte 24000 dollars par an. C'est une limitation que Westbrook aimerait dépasser.

Or, il se trouve que notre ami a développé un goût pour le piratage informatique. Ça n'est pas du tout son domaine d'expertise, plutôt un passe-temps secret. Mais un jour, il décide de bidouiller quelque chose.

Il va rédiger un script pour pirater une plateforme. On n' pas de certitude sur son mode opératoire, mais ce qu'on sait, c'est que sur les applications qui interagissent avec les bases de données, il existe une faille de sécurité bien connue qui s'appelle l'injection SQL. Cette faille consiste à insérer dans une entrée utilisateur, genre un formulaire de connexion, des commandes SQL malveillantes.

C'est probablement le chemin que Westbrook a emprunté. En tout cas, en 24 heures, il a réussi à télécharger l'intégralité du contenu de la plateforme. Le problème, c'est qu'il a été négligeent.

Il a laissé des traces de son passage. Le prestataire découvre l'intrusion et parvient à remonter jusqu'à l'entreprise de notre ami. Le fond d'investissement diligente alors une enquête, identifie l'auteur de l'attaque et obtient de Westbrook des aveux complets.

On ne sait pas exactement le sort qui lui est réservé, mais ce qui est sûr, c'est que après 5 ans de loyau service, il travaille plus pour la boîte. Il perd sa situation confortable, son salaire à six chiffres et se retrouve à travailler à son compte. West Brook va tirer des leçons de cette aventure, mais probablement pas celle auxquelles vous vous attendez.

Il vient de goûter au potentiel du hacking. Cette fois, il a piraté une simple base de données, mais avec un peu de travail, il se dit qu'il pourrait probablement faire mieux, comme par exemple battre le marché. Battre le marché, ça veut dire obtenir un rendement supérieur à celui de la bourse.

C'est l'objectif de tous les professionnels de l'investissement. Si on prend en exemple le SNP 500, l'indice qui regroupe les 500 plus grosses entreprises américaines, si le SNP 500 fait 10 % par an, les gestionnaires d'actifs vont essayer par tous les moyens d'obtenir un rendement supérieur à 10 %. sinon ça veut dire qu'ils ne servent à rien.

Du coup, ce qu'ils font, c'est qu'ils cherchent des entreprises au potentiel sous-estimé. Ils achètent leur titre et ils mis sur le fait que leur cours finira par augmenter et si c'est le cas, ils pourront revendre et faire une plus-value. Ils peuvent aussi s'attendre à ce que leurs entreprises dégagent des bénéfices et que une partie de ces bénéfices leur soient distribués.

C'est ce qu'on appelle les dividendes. Si avec tout ça, ils ont fait fructifier leur argent de 15 % sur l'année alors que le rendement du SNP 500 n'était que de 10 %, ils auront battu le marché. Le truc, c'est que la plupart n'y arrive pas.

D'après une étude récente du SNP global, si on regarde ce qui s'est passé en Europe sur les 10 dernières années, on constate que 92,07 % des fonds ont fait moins bien que les indices de référence. C'est assez fascinant. Ça veut dire qu'ils ont beau faire travailler des batteries d'analystes financiers sur diplômé, au final ça ne sert à rien.

Et pour expliquer cet échec, on s'appuie généralement sur un concept qui s'appelle la théorie de l'efficience des marchés. Le marché des actions fonctionne comme n'importe quel marché. Il y a des acheteurs et des vendeurs et tout le monde essaie de faire de bonnes affaires.

Mais pour faire de bonnes affaires, il faut être capable d'estimer la juste valeur de ce qu'on achète ou de ce qu'on vend. Autrement, on risque de se faire avoir. Du coup, c'est ce que font les investisseurs.

Ils s'efforcent de jauger en permanence la juste valeur des actions. Pour faire ça, il s'appuie notamment sur une notion qui est le potentiel des dividendes futur. Ils essayent d'anticiper le montant des dividendes sur 2, 5 ou 10 ans.

Pour faire ces prévisions, il s'appuie sur les informations publiques de la boîte et l'état de son marché. Maintenant, ce que dit cette théorie, c'est que tout le monde a accès au même niveau d'information. Donc tout le monde est capable d'évaluer le juste prix de l'entreprise.

Donc le cours de l'action devrait refléter en permanence l'information disponible. Ce qui expliquerait pourquoi empiriquement personne ne bat le marcher. À moins que vous déteniez des informations que les autres n'ont pas.

Et là ça change tout. Avant de vous expliquer son idée géniale, j'aimerais vous en présenter une autre beaucoup plus légale qui ne va pas vous rendre millionnaire mais qui pourrait vous aider à vous protéger contre l'inflation. C'est notre partenaire Trade Republic.

C'est une Néobanque avec une appli particulièrement simple et dont le compte courant est rémunéré 2,5 % brut par an. Donc pour recevoir son salaire, c'est idéal puisqu'il va travailler dès le premier jour. Il n'y a pas de frais bancaires, mais surtout il y a leur carte Visa qui a 1 % de SafeBack.

Quand vous payez 100 € vous récupérez 1 € directement investi. Mais le plus intéressant, c'est que Trade Republic est à l'origine un broker avec des frais très transparents et faibles. 1 € par ordre ou gratuit avec le plan d'investissement programmé.

Si vous débutez en finance, j'ai justement épinglé une vidéo avec Mathias, leur directeur Europe où il m'apprend à gérer mon argent. Je vous mets le lien en description et on continue avec le plan diabolique de notre apprenti à cœur pour tricher la [Musique] bourse. L'idée de Westbrook pour gagner à la loterie de la bourse, elle est assez simple, c'est de tricher.

Il se demande s'il ne pourrait pas utiliser le hacking pour obtenir des informations que personne d'autre ne détient. Il faut savoir qu'aux États-Unis, les entreprises côté en bourse doivent publier chaque trimestre un ensemble de documents qu'on appelle des états financiers et qui donne des informations clés sur les performances de l'entreprise. Le jour J, ces communications peuvent avoir un impact considérable sur le cours de bourse.

Si l'entreprise surprend les analystes avec des résultats excellents, ça peut faire monter le cours de l'action. Et à l'inverse, si les résultats sont en deux ça des attentes, ça peut le faire baisser. Ce sont donc des informations extrêmement sensibles qui doivent être préparées dans le plus grand secret.

Si jamais quelqu'un obtenait ces documents avant tout le monde, il pourrait anticiper les réactions du marché et jouer contre lui. Par exemple, si quelqu'un apprenait que les résultats d'Apple étaient bien meilleurs que ce que s'imaginent les investisseurs, il serait le seul sur terre à savoir que la valeur de l'action est actuellement sous-évaluée et donc il pourrait acheter des milliers de titres avant que le cours ne monte. C'est pour cette raison que les dirigeants d'une entreprise se voient imposer des périodes de blackout.

Pendant les semaines qui précèdent une annonce de résultats, ils ont interdiction de réaliser des transactions et s'ils exploitent des informations qui ne sont pas encore publiques, ils commettent ce qu'on appelle un délit d'initié, un crime passible de 20 ans de prison. Mais notre ami Westbrook, il ne travaille pas dans ses entreprises. Donc personne ne fait attention à lui et du coup il imagine un plan diabolique.

Il pourrait essayer de pirater une entreprise pour voler des brouillons d'état financier. S'il apprend une bonne nouvelle avant tout le monde, il pourrait en profiter pour acheter des milliers d'actions ou mieux encore des produits dérivés. Ce sont des produits plus complexes qui permettent de démultiplier ses gains.

Westbrook pourrait par exemple acheter 100000 dollars de produits dérivés et si le cours augmente ne serait-ce que de 10 %, il doublerait sa mise de départ. Mais pour que ce miracle se produise, il faut encore que Westbrook franchisse de nombreux obstacles. D'abord, il y a le piratage.

En général, les États financiers sont préparés par une poignée de comptable et de cadres sur une courte période qui peut courir de quelques jours à quelques semaines avant l'annonce des résultats. West Brook se dit qu'il pourrait essayer de pirater la boîte mail de l'un d'entre eux, mais c'est pas si simple. Ces cibles sont des cadres haut placés dans des entreprises côté en bourse.

Donc elles sont probablement protégées par les meilleurs standards de cybersécurité avec des parfeux et des systèmes de détection d'intrusion. Or, notre ami, il est analyste financier, pas à cœur, donc c'est pas sûr qu'il parvienne à contourner tout ça. Ensuite, même s'il arrive jusque là, il faut encore qu'il tire partie des états financiers.

Or, il y a des tas de situations où ces documents ne servent à rien. Parfois, les résultats sont conformes aux attentes du marché, ce qui veut dire qu'ils ont déjà été intégrés dans les stratégies des investisseurs et donc que le cours va probablement rester stable. Parfois, les résultats financiers sont contrastés avec du positif et du négatif et dans ce cas-là, bien malin qui pourrait prédire le futur.

Et finalement, il y a le facteur chance. Il pourrait arriver que notre ami découvre des résultats positifs, par toutes ses économies sur une hausse pour que finalement le marché réagisse de manière irrationnelle. Dans ce cas, Westbrook pourrait tout perdre.

Pour autant, vu les promesses de gain mifiqu, Westbrook ne se laisse pas démonter. Il décide d'abord de se former au piratage. D'après le rapport d'enquête, il s'est acheté cinq manuels de hacking.

Chez lui, on a retrouvé un ouvrage intitulé Tribe of Hackers qui compile 70 interviews inspirants d'experts cybersécurité. Mais il y en a surtout un autre, un guide de 300 pages qui donne des centaines de méthodes pour pénétrer dans le réseau d'une entreprise. Westbrook a pu y apprendre comment créer un malware, cloner des pages d'authentification ou encore comment acheter un scanner de vulnérabilité.

Arm tout ça, il va chercher une cible et il y a une entreprise qui attire son attention, c'est [Musique] Tuperware. Tuperware, vous le savez peut-être, c'est une marque qui vend des boîtes en plastique pour la cuisine. Ils ont fondé leur succès sur la vente directe, les réunions tuberware.

Mais il faut savoir que à ce moment-là, ils ne vont pas bien du tout. Depuis la fin des années 2010, les clients délaissent les réunions Tuberware pour se rendre sur des plateformes en ligne où ils trouvent des boîtes moins chères et plus écologique. Du coup, l'entreprise va mal.

Un an plus tôt, les résultats sont passés dans le rouge et l'action a perdu 50 % de sa valeur. Depuis, les dirigeants font tout pour rassurer leurs actionnaires. Ils ont revu leur stratégie, ils développent de la vente en ligne.

Mais alors que se rapproche la date du prochain reporting financier, tout le monde se demande si leurs efforts ont payés. Le marché est fébrile et l'action remonte comme si les investisseurs espéraient un rebond. Mais personne n'est sûr de rien.

Et paradoxalement ce flou, il fait très plaisir à Westbrook. En fait, plus il y a d'incertitude sur un business, plus le cours est susceptible de réagir très fort à la publication des états financiers et donc plus il a de chance de gagner beaucoup d'argent. Du coup, Westbrook se dit que c'est la cible parfaite.

Encore faut-il qu'il trouve un moyen de pirater l'entreprise. L'apprenti à cœur s'apprête à consacrer des semaines à essayer de trouver une faille, sauf qu'en fait, il va tomber sur une opportunité de malade. Pendant longtemps, lorsqu'un salarié voulait accéder à sa boîte mail professionnelle ou à l'intranet de son entreprise, il ne pouvait pas le faire depuis n'importe où.

Il devait être au bureau pour se connecter au réseau local de l'entreprise. Donc si un pirate voulait s'introduire sur le réseau, il devait mettre en place des stratégies risquées comme par exemple pénétrer par réfraction dans les bureaux de l'entreprise pour se brancher au réseau local ou hacker le réseau wifi. Mais depuis quelques années, il y a une nouvelle donne.

Les entreprises hébergent leur système sur le cloud et ils donnent à leur salariés la possibilité d'y avoir accès depuis partout via un simple portail web. Du coup, Westbrook se demande s'il ne pourrait pas entrer par là. Il pourrait essayer de trouver l'identifiant et le mot de passe d'une cible pour accéder à sa boîte mail.

Westbrook cherche d'abord l'adresse du portail web. Comme 75 % des entreprises, Tuperware est sur Microsoft 365. Donc l'adresse doit ressembler à quelque chose comme login.

mmicrosoftonline. com. Ensuite, il cherche l'identifiant de sa cible, probablement une adresse mail professionnelle.

Pour la trouver, il se rend soit sur son profil LinkedIn, soit il essaie de la déduire du format classique des adresses de l'entreprise, quelque chose comme johdo@tuperware. com. Maintenant reste plus qu'à trouver le mot de passe, mais ça forcément c'est plus [Musique] compliqué.

Mais Westbrook ne se laisse pas démonter. Quand il clique sur mot de passe oublié, il tombe sur une option de réinitialisation en libre service. Jusque-là, rien d'exceptionnel.

C'est une solution largement utilisée pour permettre aux salariés de changer leur mot de passe. Sauf que sur l'interface de Tuperware, notre ami découvre quelque chose d'étonnant. Réinitialiser un mot de passe, ça n'a rien d'anodin.

C'est une porte d'entrée directe sur votre compte. Du coup, pour éviter les intrusions, Microsoft recommande à ses clients d'activer un processus d'authentification renforcé. Mais ce que Westbrook réalise, c'est que l'entreprise n'exige qu'un seul moyen d'authentification et pas n'importe lequel.

La réponse à une question de sécurité. Alors, notre ami n'en revient pas parce que c'est le pire choix possible. Il suffirait qu'il trouve la réponse à une question comme "Quel est le nom de jeune fille de ma mère ou "O où est-ce que j'ai passé les vacances à l'été 2018 pour changer le mot de passe et accéder à la boîte mail ?

" Ça paraît fou, mais il faut se dire que ça existe. Alors, le jeune analyste se transforme en détective privé. Pour répondre à la question de sa cible, il va chercher tous les indices possibles sur internet.

Il parcourt les réseaux sociaux, il souscrit à des annuaires en ligne, il se paye même un service de généalogie. Ça lui donne plein d'idées de réponses à tester sur le formulaire. Mais avant, il doit s'acquitter d'une tâche essentielle s'il veut pas risquer 20 ans de prison, c'est maquiller ses traces.

Or, il se trouve que c'est pas si simple parce que la stratégie de Westbrook ne brille pas par sa discrétion. Si notre ami parvient à réinitialiser le mot de passe, la cible ne pourra plus se connecter à son compte parce que son code aura été changé. Elle va peut-être pas être effrayée et simplement réinitialiser à nouveau son mot de passe, mais il y a quand même des chances pour que elle trouve ça bizarre.

Et si elle se rend dans l'historique des connexions, elle va voir une certaine adresse IP localisée à Londres et associé à un certain fournisseur d'accès à internet. Et il faudrait en gros pas longtemps pour que la police toque à sa porte. Donc Westbrook va faire deux choses.

Déjà, il décide de souscrire à un VPN, un outil qui va lui permettre d'utiliser une autre adresse IP que la sienne. Ce VPN, il le choisit pas au hasard. Il essaie de sélectionner une société installée dans un pays favorable à la confidentialité.

En gros, ils vont pas bosser avec les Américains et ils promettent de supprimer les journaux d'activité. C'est ce qu'on appelle les VPN no. Et pour être sûr que personne ne pourra jamais faire de lien entre ce VPN et son identité, il prend comme identifiant une adresse email anonyme et il paye son abonnement en Bitcoin.

Comme ça, il ne laisse aucune trace en théorie. Maintenant qu'il a assuré ses arrières, il peut enfin tester des réponses aux questions de sécurité. Et le 26 janvier 2019, il trouve une combinaison.

Il parvient à créer un nouveau mot de passe et il entre dans la boîte mail du directeur financier de Tupperware. Westbrook n'en revient pas. Il a maintenant accès aux dizaines de milliers de messages du directeur financier.

Il voit toutes ses conversations avec les comptables, les contrôleurs de gestion, les directions métiers. Il y a là toute sa vie et tous ses secrets professionnels. Mais dans tout ça, il y a qu'une chose qui intéresse notre ami, ce sont les états financier.

Il remonte quelques lignes jusqu'à ce qu'un message attire son attention. C'est un mail reçu le jour même. Un mail qui contient en pièce jointe un brouillon de communiqué de presse.

Westbrook a du mal à contenir son excitation parce que à l'intérieur, il y a les résultats du 4e trimestre 2018. Il ouvre le document et il part en quête d'une information clé de l'annonce des résultats. Les prévisions de bénéfices par action.

Comme le nom le suggère, il s'agit du rapport entre les bénéfices de l'entreprise et le volume d'action en circulation. En gros, c'est une mesure qui permet de comparer la performance de Tuperware avec celle des autres entreprises et suivre son évolution dans le temps. Elle donne aussi une idée de la capacité de l'entreprise à verser des dividendes, en gros à distribuer la tune.

Plus il y a de bénéfices par action, plus l'entreprise peut verser des dividendes. Du coup, lors de la publication des résultats, tout le monde va scruter cet indicateur et ça pourrait fortement impacter le cours de bourse. Or, en regardant cette information, Westbrook apprend quelque chose d'extrêmement intéressant, mais pas dans le sens où on pourrait le penser.

Il faut savoir que depuis quelques mois, les dirigeants de Tuperware semblaient avoir redressé la barre. L'entreprise a renoué avec les bénéfices et si on regarde la moyenne des prévisions des experts, ce qu'on appelle les attentes du consensus, ils sont plutôt optimistes pour la suite. Ils estiment que le bénéfice par action va progresser en 2019 et que les dividendes vont rester stables.

Du coup, à l'approche du jour J, le cours de l'action est remonté de 17 %. Mais ce que Westbrook découvre, c'est que le marché a tort. En réalité, tous les voyants sont au rouge.

Au trimestre 4 de 2018, le chiffre d'affaires a chuté de 14 % par rapport à celui de l'année précédente. Tuperware prévoit pour 2019 un bénéfice par action plus faible qu'attendu et pour la première fois depuis 4 ans, ils vont diminuer les dividendes de 60 %. Pour les investisseurs, ça va être la douche froide.

Mais pour Westbrook, c'est génial. En fait, notre ami s'en fout que les informations elles soient positives ou négatives. Tout ce qui l'intéresse, c'est qu'elle surprenne le marché.

Le jour J, les investisseurs vont découvrir qu'ils étaient dans l'erreur et du coup, le cours de l'action va chuter comme jamais. Maintenant, si on n'est pas un pro de la finance, on peut se demander comment Westbrook peut profiter d'une baisse. Parce que si Tuperware devait monter, il pourrait acheter des actions et les revendre plus cher.

Mais là, il va pas faire ça, sauf s'il veut perdre de l'argent. En fait, Westbrook est bien placé pour savoir qu'il existe des produits de la bourse qui permettent de parier à la baisse. C'est ce qu'on appelle des produits dérivés.

Les produits dérivés ne sont pas des titres de propriété. Contrairement aux actions, ce sont des contrats dont la valeur dépend de l'évolution d'un actif sous-jacent. Alors, pour bien comprendre ce que ça veut dire, on va prendre un exemple qui nous concerne directement, les options d'achat.

Une option d'achat en anglais call est un contrat qui donne à son détenteur le droit d'acheter une action spécifique à un prix déterminé pendant une certaine période de temps. Par exemple, je peux acheter une option à 2 dollars qui me donne le droit d'acheter une action Apple à 110 dollars pendant un mois. Le coût de l'option s'appelle la prime et le prix d'achat déterminé à l'avance s'appelle le prix d'exercice.

L'intérêt d'une option d'achat, c'est qu'elle me permet de parier sur une hausse du cours en limitant les risques. Disons par exemple que le cours d'Apple est à 100 dollars et que j'ai envie de parier sur le fait que l'action va monter à 130 le mois prochain. Je peux d'abord acheter une action mais si au lieu d'augmenter à 130 le cours baisse à 90, je vais perdre 10 dollars.

Donc pas mal d'argent à la place. Ce que je peux faire, c'est acheter une option d'achat à 2 dollars. Si le cours baisse, je pourrais choisir juste de ne pas exercer mon option et j'aurais perdu 2 dollars.

En revanche, si le cours monte à 130, je pourrais exercer mon option et par exemple acheter l'action à 110 dollars pour la revendre immédiatement 130 et faire une belle plus-value. Maintenant, si on revient à notre ami Westbrook, l'option d'achat ne va pas lui servir à grand-chose. Bah lui ce qu'il veut c'est parier sur une baisse du cours, pas sur une hausse.

En fait ce dont il a besoin, c'est des options de vente autrement appelé pout. Et le mécanisme est très proche. Westbrook peut par exemple acheter le droit de vendre une action Tuberware à 36 dollars.

Pendant un mois, s'il a envie, on lui garantit d'acheter ses actions Tuperware à 36 dollars. Ce qui veut dire que si l'action Tupperware chute de 37 à 33, il aura plus qu'à acheter des actions au cours actuel à 33 dollars pour ensuite exercer son option. il pourra vendre 36 dollars une action qu'il vient d'acheter 33 dollars.

Il fera une plusvalue de 3 dollars moins la prime. Et là, c'est exactement le mécanisme qu'il lui faut. Du coup, les de jours qui précèdent la publication des résultats, il achète un maximum d'options.

Alors que le cours de Tuperware tourne autour des 38 dollars, il achète des pouts avec des prix d'exercice de 30, 35 et 40 dollars, donc majoritairement hors de la monnaie. et il les achète avec des dates d'expiration assez proches pour qu'elles soient encore moins chères. En tout, il accumule 670 options pour un coût total de 129429 dollars.

Et maintenant, il y a plus qu'à prier pour que tout se passe comme [Musique] prévu. Le 30 janvier à 7h, Tuperware publie son reporting financier. Westbrook scrute alors le cours de l'action et il n'en croit pas ses yeux.

En quelques heures, le prix de l'action Tuperware chute de 38 dollars à 27,67. Il a baissé de 27 %. C'est dur d'imaginer ce que notre apprenti à cœur a dû ressentir à ce moment-là.

Mais il a réussi son paris. Il a réussi à prédire le cours de bourse. Il regarde alors ses options et ce qu'il voit dépasse toutes ses espérances.

Ces options ont triplé de valeur. Il s'empressent de tout liquider. et il va faire un profit de 322781 dollars, soit 250 % de profit.

Avec ça, c'est pas une logi qui va pouvoir s'acheter, c'est une Lamborghini. Pour l'anecdote, Tuperware va continuer de se casser la figure. Un an plus tard, l'action vaudra à peine 2 dollars et en 2024, l'entreprise va se déclarer en faillite.

En attendant, Westbrook a réalisé l'opération du siècle et après une aventure aussi risquée, il pourrait choisir de retourner à sa vie d'avant. Il pourrait se contenter de profiter de sa fortune. Mais avec ce qu'il vient de vivre, il ne pense qu'à une chose, c'est recommencer.

En fait, il va remettre tous ses gains sur la table pour parier plus fort et plus [Musique] risqué. Westbrook part en quête d'entreprises qui partageraient la même vulnérabilité que Tuperware. Et quand on y pense, ça n'est pas si évident.

Il faut des sociétés qui soient côté en bourse, qui soient sur Microsoft 365 qui optaient pour la réinitialisation de mot de passe en libre service, qui activé un seul moyen d'authentification et qui choisit le plus nul de tous. à savoir la question de sécurité. Mais Westbrook va réussir à en trouver et pas qu'une seule.

Le 15 février 2019, il devine la question de sécurité du directeur comptable d'une entreprise du BTP Tutor Pini. Une semaine plus tard, il parvient à s'introduire dans la boîte mail du directeur financier d'une société de logiciel qui s'appelle Guidewire. Mais pour ces entreprises, Westbrook ne se contente pas d'appliquer la même recette que pour Tupperware.

Il ajoute un nouvel ingrédient qui pourrait lui faire gagner encore plus d'argent qu'avant. En fait, sa méthode d'intrusion avait un défaut. Elle ne lui donnait qu'un accès limité dans le temps.

Dès que la victime voulait se connecter à son compte, elle constatait que son ancien mot de passe ne marchait plus. Elle le réinitialisait à son tour et Westbrook perdait son accès. Or, notre ami avait des bonnes raisons de vouloir conserver ses entré parce que les entreprises comme Tuberware, Tutor Pini ou Guideer ne publient pas seulement le résultat financier une fois par an, c'est tous les trimestres.

S'il arrivait à garder un accès continu, il pourrait multiplier ses gains tous les 3 mois. Donc ça valait le coup de tenter quelque chose. Techniquement, Westbrook aurait pu réinitialiser le mot de passe de ses cibles une deuxième fois, mais si fait ça, ça commence à être un peu cramé.

En fait, il a trouvé une solution beaucoup plus discrète, les transferts automatiques de mail. Dans les paramètres d'Autlook, on peut créer des règles pour que certains mails soient transférés à une autre adresse. Westbrook d'ailleurs n'était pas à son coup d'essai puisqu'il avait déjà essayé de le faire chez Tuperware mais ça n'avait pas marché.

En fait, pas mal de sociétés interdisent par défaut le transfert automatique. C'est une mesure de précaution pour éviter les fuites d'infos de ce genre. Mais le pirate sait que ça n'est pas systématique.

Il arrive que certains cadres dirigeants obtiennent un régime d'exception pour pouvoir consulter leur mail pendant les vacances par exemple. Du coup, Westbrook décide de retenter sa chance. [Musique] Dans les boîtes mail piratées de Tutor Pereny et Guidewire, il se rend dans les paramètres et il crée des règles de transfert automatique vers des adresses anonymes et il va préciser un certain nombre de règles.

Les mails doivent être émis par certains employés de la direction financière et comptable. Ils doivent inclure une pièce jointe et contenir le mot script dans l'objet ou le corps du mail. Et enfin, ils doivent inclure le code ticker de l'entreprise.

C'est les trois quatre lettres qui permettent de l'identifier sur les marchés boursiers. Et cette fois, ça fonctionne. Sur ses adresses anonymes, Westbrook constate qu'il commence à recevoir un flux continu de messages confidentiels.

Il vient de se créer une machine à espionnage financier ultra ciblé. Et cette machine, elle va tourner pendant 2 ans. Ces victimes ne vont se rendre compte de rien.

Trimestre après trimestre, il va pouvoir lire en avant-première des scripts de conférences téléphoniques, des brouillons de formulaires tenue, des communiqués de presse et il va pouvoir les utiliser pour multiplier ses gains. Le 6 mars 2019, il vend des cols sur Guide et il empoche 236000 dollars. Le 8 mai, il vend des sur Tutor Pini et en poche 40000 dollars.

Le 4 juin, il gagne 146000 dollars. Le 8 août, 25000 dollars. Ça ne s'arrête plus.

Mais au bout de quelques mois, il se passe quelque chose d'étonnant. Westbrook commence à essuyer des pertes. En septembre 2019, il perd 149000 dollars sur Gatewayer et quelques semaines plus tard, il perd 144000 dollars sur Tutor Penini.

Alors, qu'est-ce qui se passe ? En fait, on est pas sûr, mais il est possible que Westbrook perde volontairement de l'argent. Notre ami n'est pas un débutant, il sait que il y a une puissante agence de régulation américaine qui s'appelle la Securities and Exchange Commission et qui surveille de près tout ce qui se passe sur les marchés financiers américains.

Armé de 4800 employés et de puissants outils d'analyse de données, ils identifient chaque année une trentaine de délits d'initiés et des centaines d'autres crimes financiers. Donc il pourrait très bien découvrir les fraudes de Westbrook. Bien sûr au global, il veille à garder un solde positif.

Il continue à chercher des opportunités et le 23 octobre, il pirate une nouvelle entreprise qui s'appelle Murphy USA. Sur le papier Murphy USA, ça n'a pas beaucoup d'intérêt. C'est une chaîne de 1700 stations services de proximité, plutôt en croissance mais avec un cours peu volatile.

Donc pour le spéculateur qui est Westbrook, ça paraît pas fou. Mais notre ami est loin de se douter qu'en fait ça va être le couronnement de sa [Musique] carrière. En lisant un brouillon d'état financier, Westbrook découvre une nouvelle incroyable.

Murphy, USA. s'apprête à annoncer des résultats stratosphériques. Grâce à une discipline de fer, ils ont réussi à réduire les coûts de leur chaîne d'approvisionnement et à augmenter leur marge sur le carburant.

Conséquence, ils sont sur le point d'annoncer un bénéfice par action énorme. Tout le monde s'attend à 1,46 dollars, mais eux vont annoncer 2,18 dollars bien supérieur aux attentes. Pour le marché, ça va être une divine surprise et Westbrook en est certain.

le cours va monter comme jamais. Du coup, les de jours précédents la publication des résultats, il essaie de rafler toutes les option d'achat qui sont mises en vente. Il dépense 250000 dollars pour en obtenir 85 %.

Il y en a plus qui restent. Par contre, du coup, il a dû brasser large. Il se retrouve avec des options hors de la monnaie avec des prix d'exercice très supérieur au cours actuel.

Certes, ça lui a coûté pas cher, mais l'inconvénient, c'est qu'il a pris plus de risque que jamais. Pour que toutes ces options prennent de la valeur, il va falloir que le cours augmente de plus de 5 %. Le lendemain, Westbrook attend l'ouverture des marchés et il est surpris.

L'action Murphy ne monte pas, elle explose, ça dépasse tout ce qu'il pouvait imaginer. L'action prend 25 % en une journée et du coup, la valeur de ces options est multipliée par 6. Ce jour-là, Westbrook va dégager un bénéfice de 1398000 dollars, soit 538 % de rendement.

B. Après cet épisode, il va se sentir poussé des ailes. En février 2020, il hacke une nouvelle entreprise qui s'appelle Lumentum Holdings, une pépite technologique qui vend des lasers optiques.

En parallèle, comme il reçoit toujours les mails des autres, il continue de spéculer. 300000 parci, 500000 par là, plus il gagne, plus il a de nouveaux fonds à investir et donc plus il peut miser gros. En tout, il aura spéculé sur 14 annonces de résultats, accumulé une fortune de 3,7 millions de dollars.

Et grâce à ça, et c'est ça le plus fascinant, il va se construire une réputation de sniper de la finance. Depuis 2018, Westbrook était conseiller financier indépendant, ce qui veut dire qu'il devait se trouver des clients par lui-même. Pour gagner en crédibilité, il s'était donc inscrit sur une plateforme en ligne un peu spéciale qui s'appelle Team et qui est en fait une plateforme de partage d'idées de trading.

Sur ce site, Westbrook pouvait vendre ses idées d'investissement à des banques d'affaires et à des courtiers. Il était mis en concurrence avec 4000 autres contributeurs et il était constamment évalué sur la qualité de ses prédictions. Et il se trouve que étonnamment à partir de 2019, sa côte a monté en flèche.

Ses idées de trading étaient tellement performantes qu'il avait été proclamé 2e meilleur générateur d'idées en Amérique du Nord en 2020 et numéro 4 en 2021. Il avait visiblement acquis des dons de préciance exceptionnels et euh c'est peut-être grâce à ça qu'en 2024, il est finalement réembauché dans un hedge fund au poste prestigieux de directeur des investissements. Rien que ça.

3 ans après les faits, tout semble donc finir pour le mieux pour Westbrook. Il n'a jamais été inquiété par personne et pour cause, il semble avoir commis le crime parfait. Il a utilisé des VPN, des adresses emails anonymes, des portefeuilles de cryptoonnaie.

Mais ce dont il ne se doute pas encore, c'est que malgré tout ce qu'il a pu faire pour effacer ses traces, il a fait une [Musique] erreur. On ne sait pas précisément quel a été l'élément déclencheur de l'enquête, mais d'après le dossier de plainte, il semblerait que le point de départ a été les transferts automatiques de mail. Si vous vous souvenez bien, Westbrook avait utilisé des adresses mail anonymes comme boîte de réception des transferts automatiques de mail.

Et c'est probable qu'à un moment ou un autre, ces cibles se soient rendues dans les paramètres pour constater ses règles de transfert. Comme dans leur job, ils manipulaient des informations financières sensibles, ils se sont probablement dotés du mobile. Du coup, elles auraient alerté les forces de l'ordre et probablement dans ce qu'aprécie la SEC.

Bon après, les alertes ont pas été simultanées. On sait par exemple que il y a à peu près 2 tr mois entre la découverte chez Tutor Pini et celle chez Guidewer. Donc on pourrait se dire qu'à priori rien ne permet aux enquêteurs de relier ses affaires entre elles.

Mais quand ils investiguent dans les différentes entreprises et qu'ils regardent les systèmes d'information, bah ils vont commencer à faire des connexions. D'abord bah il y a le mode opératoire. à chaque fois, c'est un compte Microsoft piraté avec le même système de réinitialisation de mot de passe euh provenant d'adresses IP qui proviennent de VPN dans des pays exotiques.

Et finalement, il y a le transfert automatique. À chaque fois, le pirate a essayé de mettre en place un transfert de mail vers une adresse anonyme. Et quand il compare ses adresses anonymes et les adresses IP des VPN, ils vont faire des recoupements.

Chez Tuperware et chez Murphy, le mystérieux attaquant s'était connecté avec la même adresse IP provenant du même VPN. et il avait utilisé la même adresse anonyme, même chose chez Tutor Peni et Lumentum. Alors à partir de là, pour trouver des indices sur l'attaquant, les enquêteurs sont probablement allés voir du côté des VPN.

Mais comme on l'a dit tout à l'heure, notre ami avait pris les meilleures dispositions possibles. Il avait choisi des VPN commercialisées par des sociétés étrangères dans des pays qui ne collaborent pas avec les États-Unis. Il leur reste une deuxième piste, les boîtes mails anonymes.

Les enquêteurs obtiennent des mandats pour accéder à leur contenu et ils sont capables de faire de nouveaux regroupements. Dans la première messagerie, il trouvent un message émis le 22 octobre 2019 par la première société VPN. Un message qui confirme la souscription d'un abonnement annuel.

Dans la deuxième, il découvre dans le journal des logs que le 22 octobre, le jour de la souscription au premier VPN, quelqu'un l'a utilisé pour se connecter à cette adresse. Enfin, dans la troisème, il découvre une adresse mail de récupération, le loren ranos796@ahow. com.

Or, il se trouve que cette adresse de récupération est aussi utilisée pour la première adresse mail anonyme, celle qui a été utilisée pour Tuperware et Murphy. Pour eux, ce que ça veut dire, c'est que les cinq entreprises ont été ciblées par la même personne. Et ça, les enquêteurs ça les rend inquiets.

Quelqu'un a probablement triché en bourse à de nombreuses reprises et eux, ils n'ont rien vu. Il se trouve que à la SEC, il garde un historique des milliards de transactions effectuées chaque jour sur les marchés américains. Donc ils s'empressent de remonter dans le passé pour voir s'il pourraient pas identifier des achats ou ventes liées à leur affaire.

Mais c'est un peu comme chercher une aiguille dans une botte de foin. Alors pour les aider, ils peuvent aussi s'appuyer sur un outil d'analyse qui s'appelle Midas, le market information Data Analytics System. Avec ça, ils peuvent détecter dans cette masse des indices de comportement frauduleux.

Il y a par exemple le timing des transactions dont on a parlé tout à l'heure. S'il y a des successions ininterrompues de choix judicieux toujours réalisés au bon moment, c'est bizarre. Sauf que sur ce point précis, Westbrook a été malin.

Il a fait en sorte de gagner et perdre de l'argent. En revanche, il y a d'autres signaux qui pourraient aider la SEC, comme par exemple le volume des transactions. Si la veille d'une publication de résultat, il y a un acteur qui initie une part extrêmement élevée des échanges sur un titre, par exemple 15 % et qu'il prend une position très risquée, ça n'est pas un comportement habituel, donc ça vaut le coup de creuser.

Et de fait, il trouve des mouvements hyper suspects. Le 21 et 22 octobre 2019, juste avant la publication des résultats de Murphy, il y a quelqu'un qui a acheté 85 % des option d'achat sur le marché. Le 23 octobre, il était le plus gros détenteur d'options, même devant les banques et les hedge fund.

Le 4 et 5 mai 2020, juste avant la publication des résultats de Tutor Pini, quelqu'un a acheté 70 % des options d'achat disponible. Le 6 mai, il possédait six fois plus d'options que n'importe quel autre porteur. Et ce schéma, on le retrouve pour chacune des cinq entreprises.

Les enquêteurs ne savent pas encore qui est l'auteur de ces transactions. En fait, quand un particulier veut acheter les actions ou des produits dérivés, il ne le fait pas directement. Il passe par des intermédiaires qu'on appelle des courtiers.

En revanche, ces courtiers, eux, ils connaissent l'identité de leurs clients. Ils appliquent une politique d'authentification stricte qu'on appelle le know Your Customer. Du coup, les enquêteurs vont toquer à leur porte et ils obtiennent un même nom, celui d'un anglais qui habite à Londres et qui s'appelle Robert Westbrook.

Là, les enquêteurs, ils devaient pas en croire leurs yeux parce que le mec est une star. Pendant 2 ans, il a fait que des placements parfaits sur cinq entreprises et comme par hasard, c'était sur les cinq boîtes qui avaient été piratées. La superstar de la finance était forcément le coupable.

Pour autant, à ce stade, Westbrook pourrait ne pas aller en prison parce que en fait la SEC n'a aucune preuve de son crime. Ils ont pas de preuve que c'est lui qui a piraté les boîtes mail et donc il a commis un délit d'initié. Tant qu'ils auront pas trouvé ce chénom manquant, Westbrook pourra continuer de prétendre qu'il a eu un flair incroyable.

Et il faut savoir que malheureusement, c'est souvent ce qui se passe dans ce genre d'enquête. Il y a des suspicions très fortes, mais faute de preuve, il y a pas de condamnation. Mais les enquêteurs ont une dernière idée.

Dans la première messagerie, ils avaient trouvé un mail de confirmation d'abonnement à un VPN. À partir de cette information, il se demande s'il pourrait pas essayer de retrouver un paiement. S'il trouve une transaction de Westbrook qui coïncide exactement avec le jour et l'heure du mail de confirmation, ils auront la preuve qui leur manque.

Or, il se trouve que cette société VPN offrait à ses clients la possibilité d'être réglé en cryptomonnaie. Ça a été souvent présenté comme une couche supplémentaire de confidentialité. Au lieu de régler depuis un compte bancaire à votre nom, vous pouvez faire une transaction en Bitcoin depuis un wallet qui ne pointe pas directement vers vous.

Mais ce que les sociétés de VPN omettent parfois de dire, c'est que c'est une arme à double tranchant parce que tous les portefeuilles ont une adresse publique et toutes les transactions sont enregistrées dans un grand livre public qui s'appelle la blockchain. Du coup, ce que peuvent faire les enquêteurs, c'est regarder le portefeuille public de la société VPN et scruter ces transactions. Dans notre cas, il remonte jusqu'au 22 octobre, à l'heure précise où la boîte mail anonyme a reçu la confirmation de souscription et il découvre que 20 minutes avant l'envoi du mail, un mystérieux wallet a viré 0,004 Bitcoin, soit 37 dollars qui est le prix d'un abonnement annuel.

Maintenant, quand on voit l'adresse d'un wallet, rien ne permet en apparence d'en déduire l'identité de son propriétaire. Ça n'est qu'une longue chaîne alpha numérique qui fait un peu anonyme mais son historique de transaction lui, il peut contenir des indice. Et notre hypothèse c'est que les enquêteurs ont scruté les transactions passées et qu'ils ont vu que le portefeuille avait été alimenté par une plateforme d'échange.

C'est souvent ce qui se passe dans ce genre d'affaires. Les pirates pensent que le Bitcoin les protège mais la plateforme d'échange qui elle applique aussi le know your customer collabore avec les forces de l'ordre. Il remontent les historiques qui sont publiques, vont voir l'exchange et obtiennent le nom, Robert Westbrook.

Le 27 septembre 2024, Westbrook est arrêté à Londres. Les États-Unis demandent son extradition et ils le poursuivent pour fraude en valeur mobilière, fraude en virement bancaire et fraude informatique. Des crimes qui pourraient lui valoir un total de 25 ans de prisons.

La SEC exige en outre qu'il restitue tout l'argent qu'il a gagné illégalement, plus 400000 dollars d'intérêt plus amende qui peut aller jusqu'à trois fois le montant des gains illicites, soit plus de 10 millions de [Musique] dollars. West Brook a réussi quelque chose d'exceptionnel. En combinant hacking et trading, il a trouvé un cocktail unique pour gagner des millions.

Mais d'une certaine manière, son histoire est aussi parfaitement banale. Ce qu'il avait fait, c'est un délit d'initié comme des milliers d'autres. Il avait utilisé des infos confidentielles pour tricher en bourse et lui, il a été arrêté.

Mais pour un fraudeur démasqué, combien passe chaque année entre les mailles du filet ? Il y a des délits d'initiés qui ont lieu lors des annonces de résultats, mais faut savoir que il y a beaucoup d'autres événements qui impactent le cours de bourse, genre les OPA ou les fusion acquisition. Autant d'occasions ou des infos confidentielles peuvent être divulguées à certains investisseurs avant tout le monde.

Pendant longtemps, personne n'a été trop capable de quantifier ce phénomène. Mais en 2014, trois professeurs éminents de New York University et de McGill ont publié une étude révolutionnaire. Ils ont regardé les annonces de fusion acquisition réalisé les 17 dernières années.

Ils en ont trouvé 1859. Et pour chacune d'elles, ils ont analysé les opérations sur option. Leur conclusion est effarente.

25 % des transactions sur les titres de société côté seraient lié à un daily d'initié. Le pire, c'est que face à ça, la SEC ne serait intervenue qu'à la marge. Ils auraient enquêté sur 4,7 % des opérations.

En fait, Wbook n'est qu'un fraudeur parmi des milliers d'autres et la plupart ne seront jamais découverts. Et il semblerait que plus on monte dans les sphères de pouvoir, plus l'impunité est totale.