30 juillet 2025
Londres, janvier 2019. Robert Westbrook, ancien analyste financier viré pour piratage, fixe son écran d'ordinateur dans son petit appartement. Une idée diabolique germe dans son esprit : "Et si je piratais directement les entreprises cotées pour voler leurs résultats financiers AVANT publication ?"
Ce qui suit révèle comment la négligence dans la sécurisation des emails peut transformer n'importe quelle entreprise en distributeur automatique de millions de dollars pour les cybercriminels.
Cette histoire vraie, documentée par la SEC américaine, illustre parfaitement pourquoi la protection des communications confidentielles n'est plus optionnelle en 2025.
La première cible de Westbrook ? Tupperware. L'entreprise traverse une crise majeure, son action a perdu 50% en un an, mais le cours remonte mystérieusement avant l'annonce des résultats trimestriels.
Westbrook découvre que Tupperware utilise Microsoft 365 avec un système de récupération de mot de passe d'une simplicité hallucinante :
"Pour réinitialiser un mot de passe, il suffit de répondre à une question de sécurité : Quel est le nom de jeune fille de votre mère ?"
En quelques heures de recherche sur les réseaux sociaux, sites de généalogie et annuaires en ligne, Westbrook trouve la réponse. 26 janvier 2019, 3h du matin : il tape la réponse et obtient l'accès complet à la boîte mail du directeur financier de Tupperware.
Dans la messagerie non protégée, Westbrook découvre un brouillon de communiqué de presse daté du jour même. Le contenu lui coupe le souffle :
Pendant que le marché pense que Tupperware va rebondir, Westbrook sait que c'est l'effondrement. Il dispose de 5 jours d'avance sur l'information la plus sensible de l'entreprise.
Fort de ce premier succès (+322 000$ sur Tupperware), Westbrook industrialise son approche. Entre février 2019 et octobre 2020, il s'attaque systématiquement à d'autres entreprises :
L'innovation diabolique de Westbrook : il ne se contente pas de voler une fois. Dans chaque boîte mail compromise, il configure discrètement des règles de transfert automatique :
Condition : Transférer vers une adresse anonyme tous les emails qui viennent de la direction financière, contiennent une pièce jointe, ou incluent le mot "résultats" ou le code ticker de l'entreprise.
Résultat : Une machine à espionnage qui fonctionne 24h/24 pendant 2 ans, alimentant automatiquement Westbrook avec :
Sur la plateforme de trading TexLive, Westbrook devient une légende, classé 2ème meilleur trader d'Amérique du Nord en 2020. Tout le monde veut connaître son secret. Lui sourit et parle de "flair exceptionnel".
La chute de Westbrook révèle l'importance du monitoring des configurations emails. Un jour, une victime vérifie ses paramètres Outlook et découvre des règles de transfert étranges vers des adresses inconnues.
L'alerte est donnée. Une enquête révèle que plusieurs entreprises ont été victimes de la même technique. La SEC commence à connecter les points :
Les enquêteurs découvrent un email de confirmation VPN dans une boîte anonyme. En analysant la blockchain Bitcoin, ils remontent jusqu'à un wallet qui a été alimenté depuis une plateforme d'échange... au nom de Robert Westbrook.
27 septembre 2024 : Arrestation à Londres. Charges : fraude en valeurs mobilières, fraude informatique, 25 ans de prison potentiels et 10 millions de dollars d'amendes.
Cette histoire expose des failles de sécurité qui existent encore aujourd'hui dans de nombreuses entreprises :
Les informations personnelles sont facilement trouvables sur les réseaux sociaux. Les questions de sécurité traditionnelles ne protègent plus rien et doivent être remplacées par une authentification multi-facteurs obligatoire.
Les règles de transfert automatique peuvent transformer n'importe quelle boîte mail en mouchard permanent. Combien d'entreprises auditent régulièrement ces paramètres ? Très peu.
États financiers, rapports confidentiels, données stratégiques : si vos informations les plus sensibles transitent par email sans protection, vous êtes la prochaine cible.
"Westbrook n'était pas un génie du hacking. Il a exploité des négligences basiques : authentification faible, pas de monitoring des accès, documents critiques non protégés."
Si Robert Westbrook a pu :
Combien d'autres cybercriminels utilisent les mêmes méthodes actuellement ?
L'affaire Westbrook n'est pas un cas isolé. Elle révèle une réalité dérangeante : vos emails non sécurisés sont des coffres-forts ouverts pour quiconque maîtrise les techniques d'ingénierie sociale de base.
Face à ces menaces, la sécurisation des partages confidentiels n'est plus optionnelle. Voici les mesures essentielles :
Les emails ne sont pas conçus pour la confidentialité. Pour partager des informations stratégiques, financières ou sensibles, utilisez des solutions de partage sécurisé qui offrent :
Westbrook opérait depuis Londres pour pirater des entreprises américaines. Des restrictions géographiques auraient pu limiter considérablement ses capacités d'exploitation.
Auditez régulièrement :
La technique de Westbrook (recherche d'informations personnelles pour contourner l'authentification) reste très efficace. Vos employés savent-ils identifier et signaler ces tentatives ?
Robert Westbrook a démontré qu'avec des techniques élémentaires et de la patience, il est possible de :
Tout cela grâce à des emails non sécurisés et des authentifications faibles.
Dans votre entreprise, combien de "questions de sécurité" donnent accès à des millions d'euros d'informations ? Combien de documents confidentiels transitent par email sans protection ?
La cybersécurité n'est pas qu'un enjeu technique. C'est une question de protection de la valeur business. Westbrook l'a compris et en a profité. Il est temps que les entreprises en fassent autant.
L'histoire de Robert Westbrook nous rappelle qu'un simple email non sécurisé peut coûter des millions. Ne laissez pas vos documents confidentiels à la merci du prochain cybercriminel.
Découvrez comment sécuriser vos partages confidentiels avec des solutions de chiffrement de bout en bout, de contrôle d'accès granulaire et de traçabilité complète.
Parce que vos informations sensibles méritent mieux qu'un simple email.
Découvrir les solutions de partage sécurisé Sharokey ou contactez nos experts en sécurité pour une démonstration personnalisée.
Source : Plainte SEC vs Robert Westbrook, septembre 2024 - Affaire publique référencée dans les archives judiciaires américaines
