Des parties de documents liés à Epstein ont été dévoilées après la levée d’un masquage noir par piratage

• Il a été révélé qu’une partie du masquage appliqué aux documents liés à l’affaire Jeffrey Epstein publiés par le ministère américain de la Justice pouvait être supprimée facilement via Photoshop ou une simple copie de texte
• Les passages masqués contenaient notamment des éléments sur l’incitation et la dissimulation d’abus sexuels sur mineurs, des versements d’argent, ainsi que des instructions de destruction de preuves
• En particulier, des documents issus du procès civil intenté dans les îles Vierges contre Darren Indyke et Richard Kahn montrent qu’Indyke a versé plus de 400 000 dollars à des femmes mannequins entre 2015 et 2019
• Les documents incluent aussi des transactions immobilières dont les paiements de taxes n’apparaissaient pas dans les états financiers, et l’on ne sait pas clairement si cela respecte les critères de l’Epstein Files Transparency Act du ministère de la Justice
• Cette fuite soulève des questions sur la gestion de la sécurité documentaire du ministère de la Justice et la pertinence de ses critères de confidentialité

---

Découverte de la levée du masquage des documents

• Il a été confirmé qu’une partie du masquage appliqué aux documents liés à Jeffrey Epstein rendus publics par le ministère américain de la Justice pouvait être annulée par une édition dans Photoshop ou une simple copie du texte
  • À la suite de cela, le texte original qui avait été dissimulé a commencé à circuler sur les réseaux sociaux dès lundi soir
• Ces documents constituent des pièces versées au dossier du procès civil engagé par le gouvernement des îles Vierges contre Indyke et Kahn, et décrivent la manière dont Epstein et ses proches ont encouragé et dissimulé des abus sexuels sur mineurs

Principales révélations

• Le paragraphe 85 du document indique qu’Indyke a versé plus de 400 000 dollars à des femmes mannequins et actrices entre septembre 2015 et juin 2019
  • Une mannequin d’origine russe aurait reçu plus de 380 000 dollars au total, à raison de 8 333 dollars par mois pendant trois ans et demi
• Un autre passage précédemment masqué mentionne que les défendeurs ont versé d’importantes sommes à des témoins et pris en charge leurs frais d’avocat afin de dissimuler des actes de prostitution et de maltraitance
• Il est aussi indiqué qu’Epstein a tenté d’empêcher l’exposition de ses crimes en menaçant les victimes ou en diffusant des articles diffamatoires, ainsi qu’en donnant des instructions de destruction de preuves

Contenu financier révélé par la levée du masquage

• Les paragraphes 184 à 192 montrent que des sociétés créées par Epstein incluaient des paiements de taxes foncières absents des états financiers
  • Par exemple, la société Cypress n’a déclaré que 18 824 dollars de trésorerie en actifs à la fin de 2018, mais a payé la même année 106 394,60 dollars de taxe foncière à Santa Fe
  • De façon similaire, en 2017, elle a payé 55 770,41 dollars et 113 679,56 dollars de taxes, alors que les états financiers ne faisaient apparaître que 29 736 dollars de trésorerie et 150 dollars de dépenses

Contexte juridique et suites

• En 2022, le parquet des îles Vierges a conclu un accord dans le cadre du procès civil lié à la prostitution visant la fondation Epstein ainsi qu’Indyke et Kahn, pour 105 millions de dollars et la moitié du produit de la vente de l’île Little Saint James
  • L’accord ne comportait aucune reconnaissance de responsabilité
• Indyke n’a pas fait l’objet de poursuites fédérales et a été recruté en 2022 par Parlatore Law Group
  • Ce cabinet représente le secrétaire à la Défense Pete Hegseth et a auparavant assuré la défense de Donald Trump dans l’affaire des documents classifiés
  • Indyke et le cabinet n’ont pas répondu aux sollicitations de la presse pour commenter

Réponse du ministère de la Justice et incertitudes

• La récente Epstein Files Transparency Act autorise le ministère de la Justice à garder confidentielles les informations personnelles des victimes ou celles liées à des enquêtes en cours
• Toutefois, il n’est pas clair que les informations immobilières révélées entrent dans ces critères, et le ministère n’a pas encore répondu aux questions à ce sujet

Portée de l’affaire

• Une simple faille technique dans le masquage d’un PDF a conduit à la divulgation d’informations sensibles liées à des crimes sexuels
• L’affaire remet en cause la fiabilité de la gestion de la sécurité des documents publics et des critères juridiques de confidentialité
• Elle pourrait relancer le débat sur l’équilibre entre la transparence dans l’affaire Epstein et la protection des victimes

[GN⁺]

Avis sur Hacker News

• Lorsqu’on partage des documents sensibles, on veut souvent n’en montrer qu’une partie et masquer le reste
  Donc je masque toujours le texte, je fais une capture d’écran, puis j’enregistre en PDF
  J’ai toujours eu cette crainte vague que si tout était fait uniquement par logiciel, ce serait récupérable un jour

  • Si on ajoute un bloc noir sur une image compressée, des informations peuvent fuiter à cause des artefacts de l’algorithme de compression
    J’ai constaté ce genre de cas avec mon propre outil jpguncrop
  • J’envoie uniquement l’image, et je n’utilise pas du tout de PDF
    Un PDF conserve aussi des métadonnées, ce qui peut exposer des informations non souhaitées
  • Vu la série d’incidents récents, ça ressemble au summum de l’incompétence. On se demande s’il est encore possible de tomber plus bas
  • Je ne fais confiance qu’aux éditeurs d’images basés sur les pixels. Je pense qu’une méthode qui recouvre complètement sans se référer aux pixels d’origine est plus sûre
    Le format PDF est trop complexe pour qu’on lui fasse confiance
  • J’avais été choqué en voyant des cas où l’on reconstituait un effet de flou. Depuis, j’ai tendance à recouvrir plusieurs fois puis à faire une capture d’écran

• C’est sidérant que cela arrive encore
  Par le passé, d’innombrables institutions ont connu des échecs de caviardage PDF
  Exemples : l’affaire Paul Manafort en 2019, le manuel de la TSA en 2009, un document du ministère britannique de la Défense en 2011, le jugement Apple v. Samsung, etc.
  Dans tous les cas, l’erreur commune était d’avoir simplement superposé des rectangles noirs sans supprimer le texte
  La PDF Association a rassemblé ce type de cas dans un rapport

  • Je me suis demandé ce qui se passe quand ce genre d’erreur survient au tribunal
    Un avocat ne peut pas utiliser cette information sur le plan éthique, mais des tiers comme les médias n’ont pas cette contrainte
  • Ces erreurs répétées donnent presque l’impression d’une obéissance malveillante (malicious compliance)
  • On dirait un cas typique où l’on respecte la lettre de la loi tout en ignorant son esprit
  • Lors de la publication de messages Slack sur l’origine du Covid, des chercheurs ont aussi pu restaurer le contenu grâce à un caviardage PDF bâclé
  • Cela peut aussi relever d’une obstruction délibérée ou d’une résistance interne à visée politique. Les personnes en charge semblent avoir été formées sous l’administration précédente, d’où le conflit

• Cela rappelle la citation de Napoléon : « N’interrompez jamais votre ennemi lorsqu’il est en train de faire une erreur »
  Il vaudrait mieux attendre que tous les fichiers soient publiés, puis révéler le problème ensuite

  • Mais ce n’est pas du « piratage » : c’est simplement une erreur de débutant consistant à ne pas supprimer correctement le texte
    Des rectangles noirs ou du surlignage n’empêchent pas de sélectionner le texte
  • Bien sûr, on ne peut pas exclure la possibilité d’une erreur intentionnelle
  • Trop de personnes ont déjà manipulé les documents, donc il est devenu impossible de remonter les responsabilités

• Je me demande s’il s’agit simplement d’incompétence, ou d’un acte conscient de résistance
  Cela fait penser au rasoir de Hanlon — « ne jamais attribuer à la malveillance ce que l’incompétence suffit à expliquer »

  • Quiconque a déjà travaillé avec des PDF connaît la différence entre un rectangle noir et un véritable outil de caviardage
    Il s’agit probablement de personnel non formé déployé dans l’urgence
  • Une autre possibilité serait une diversion volontaire, les preuves plus compromettantes ayant été cachées autrement
  • Pour certains, c’est peut-être simplement de la négligence. Les éléments importants ont déjà été retirés, et le reste a peut-être été traité à la va-vite par n’importe qui
    Ce que j’aimerais vraiment voir, ce sont les images de vidéosurveillance. Le FBI les a sûrement, alors pourquoi ne sont-elles pas publiées ?

• La méthode la plus sûre consiste à imprimer sur papier, découper physiquement, puis rescanner
  Malgré cela, on peut encore se demander si des données subsistent via la stéganographie

  • Mais ce processus peut aussi révéler l’identité via des microdots
  • Les printer tracking dots d’une imprimante peuvent aussi apparaître dans l’image scannée
    Voir ce document

• Si l’on connaît ce type de technique de récupération, il vaudrait peut-être mieux la garder secrète jusqu’à la publication d’un plus grand nombre de documents

• Lire le texte par simple copier-coller, ce n’est pas du piratage
  C’est l’incompétence d’un responsable n’ayant pas respecté les règles, pas une intrusion technique

  • Mais deviner le mot de passe du portable de quelqu’un et y entrer, c’est aussi considéré comme du piratage
    Même si ce n’est pas sophistiqué, contourner une autorisation reste du piratage
  • C’est la version numérique du masquage avec un Post-it. Une erreur qui se répète bien trop souvent
  • Le titre devrait au moins expliquer brièvement en quoi consiste ce « piratage »
  • Le « piratage » n’a pas besoin d’être très technique : un mode d’accès non autorisé suffit
  • Aujourd’hui, on l’emploie aussi au sens d’astuce inattendue, comme dans « life hack »

• Je me demande quelle est la bonne méthode pour masquer correctement

  1. Recouvrir avec un rectangle noir dans un éditeur d’images, puis enregistrer une capture d’écran
  2. Rogner (crop) purement et simplement
     J’aimerais savoir s’il existe d’autres bonnes méthodes

• « C’est ridicule d’appeler ça du piratage »
  À ce rythme, bientôt on appellera aussi Ctrl+Alt+Del un rituel secret

  • Un hack n’a pas besoin d’être élégant : si ça marche, c’est un hack
    Voici le « hack » que j’utilisais autrefois pour entrer dans le système de mon école :
    nom d’utilisateur admin / mot de passe password

• Ce qui est drôle, c’est qu’il suffit de copier puis coller dans Word pour que tout le contenu réapparaisse
  Ils se sont contentés de poser des rectangles noirs sur le PDF

  • Mais je ne comprends pas pourquoi on explique cette méthode avant que tous les documents aient été publiés
  • Je me demande pourquoi passer par Word, au juste