Hacker Diffuse Données Gouvernementales sur Instagram

Imaginez un instant : un jeune de 24 ans, depuis sa chambre dans le Tennessee, parvient à pénétrer les systèmes informatiques les plus sensibles des États-Unis. Pas pour de l’argent directement, pas pour revendre des secrets d’État sur le dark web… mais pour les afficher fièrement sur son compte Instagram public. Cette histoire vraie, survenue fin 2025 et révélée en janvier 2026, soulève des questions vertigineuses sur la cybersécurité des institutions publiques à l’ère des réseaux sociaux.

Le protagoniste s’appelle Nicholas Moore. Son pseudo sur Instagram ? @ihackthegovernment. Le nom du compte était déjà tout un programme. Ce qui semblait être une provocation juvénile s’est transformé en preuves accablantes devant un tribunal fédéral. Le jeune homme a plaidé coupable de plusieurs intrusions informatiques graves. Mais au-delà du verdict, ce sont les détails qui effraient vraiment.

Quand Instagram devient une vitrine de données volées

La plupart des cybercriminels cherchent la discrétion. Lui a choisi l’exact opposé. Après avoir obtenu un accès non autorisé à plusieurs systèmes gouvernementaux américains, Nicholas Moore n’a pas hésité à publier des captures d’écran et des informations personnelles directement sur son profil Instagram. Un comportement qui défie toute logique de prudence habituellement observée dans ce milieu.

Les cibles : des institutions ultra-sensibles

Parmi les victimes figurent trois entités majeures :

• Le système électronique de dépôt de documents de la Cour suprême des États-Unis
• Le réseau interne d’AmeriCorps, l’agence fédérale gérant les programmes de volontariat rémunéré
• Les systèmes du Département des Anciens Combattants (VA), notamment l’espace patient MyHealtheVet

Ces trois organisations gèrent des données extrêmement sensibles : informations judiciaires, dossiers médicaux, numéros de sécurité sociale, adresses, historiques de service militaire… Autant d’éléments qui, une fois exposés, peuvent détruire des vies.

La méthode : des identifiants volés et une exploitation cynique

Selon les documents judiciaires récemment déclassifiés, Moore n’a pas exploité de faille zero-day sophistiquée ni lancé d’attaque par force brute massive. Sa technique était plus classique, mais terriblement efficace : il récupérait des identifiants et mots de passe légitimes (probablement via phishing, credential stuffing ou achat sur des forums clandestins), puis se connectait comme n’importe quel utilisateur autorisé.

Une fois à l’intérieur, il extrayait ce qu’il pouvait, faisait des captures d’écran, puis publiait le tout sur Instagram avec un mélange de vantardise et de provocation. Trois victimes nommément visées ont été particulièrement exposées :

GS (victime liée à la Cour suprême) : nom complet et historique complet des dépôts électroniques publiés.

SM (victime AmeriCorps) : nom, date de naissance, adresse complète, numéro de téléphone, email, statut de citoyenneté, statut de vétéran, historique de service et quatre derniers chiffres du SSN.

HW (patient VA) : informations de santé identifiables, y compris les médicaments prescrits, partagées via capture d’écran de son compte MyHealtheVet.

« Moore a non seulement accédé aux systèmes, mais il a délibérément choisi de rendre publiques des informations hautement personnelles dans le but apparent de se glorifier. »

– Extrait du mémoire judiciaire américain

Pourquoi une telle prise de risque ?

Les experts en cybersécurité s’interrogent encore sur la psychologie de ce type d’acteur. Plusieurs hypothèses coexistent :

• Recherche de notoriété et d’ego au sein de communautés en ligne
• Provocation directe envers les autorités
• Absence totale de perception du risque judiciaire
• Possible appartenance à une mouvance idéologique anti-gouvernementale

Ce qui est certain, c’est que publier sur un compte public nommé @ihackthegovernment n’était pas la meilleure stratégie pour rester anonyme très longtemps. Les enquêteurs fédéraux n’ont eu aucun mal à relier le compte Instagram aux intrusions grâce aux métadonnées et aux recoupements d’adresses IP.

Les failles systémiques révélées par l’affaire

Au-delà du profil individuel de Moore, cette affaire met cruellement en lumière plusieurs problèmes structurels persistants en 2026 :

• La réutilisation massive de mots de passe identiques sur plusieurs services
• Le manque cruel de double authentification forte (2FA hardware ou passkeys) sur de nombreux systèmes gouvernementaux
• L’insuffisance des programmes de détection d’accès anormaux (impossible logins depuis le Tennessee sur un compte basé en Californie par exemple)
• La difficulté persistante à segmenter les accès internes selon le principe du moindre privilège

Alors que les agences fédérales américaines investissent des milliards dans la cybersécurité depuis des années, des intrusions de ce type continuent de se produire avec des techniques qui datent parfois de plus de dix ans.

Conséquences judiciaires et signal fort

Nicholas Moore encourt jusqu’à un an de prison fédérale et 100 000 dollars d’amende pour chaque chef d’accusation retenu. Même si la peine maximale reste relativement modeste au regard de la gravité des faits, les procureurs ont clairement voulu envoyer un message : pirater des systèmes gouvernementaux et exposer publiquement des données personnelles ne restera pas impuni, même si l’auteur se contente de « frimer » sur les réseaux sociaux.

Cette condamnation, même légère, servira probablement d’exemple dissuasif pour d’autres jeunes qui seraient tentés de suivre le même chemin. Elle rappelle aussi que les infractions liées à l’informatique ne sont plus considérées comme des « bêtises de jeunesse » par la justice américaine.

Et demain ? Vers une meilleure protection… ou plus de chaos ?

Cette affaire n’est malheureusement pas isolée. Chaque année, de nouveaux cas montrent que la frontière entre provocation juvénile et cybercriminalité grave devient de plus en plus poreuse. Les plateformes sociales continuent d’être utilisées comme trophées numériques par certains acteurs malveillants.

Du côté des défenseurs, plusieurs chantiers restent prioritaires : généralisation massive de l’authentification sans mot de passe, surveillance comportementale des accès, formation continue des utilisateurs internes, et surtout, une vraie culture du risque au sein même des administrations.

Car tant que des comptes administrateurs ou des accès privilégiés pourront être compromis avec des techniques basiques, et que les données extraites finiront sur Instagram plutôt que sur des forums criminels discrets, le danger restera omniprésent.

L’histoire de Nicholas Moore et de son compte @ihackthegovernment restera sans doute comme l’un des exemples les plus caricaturaux – et les plus inquiétants – de ce que peut produire le mélange explosif entre ego numérique, facilité d’accès aux identifiants volés et absence totale de peur des conséquences judiciaires.

En attendant le prononcé de la sentence, une question demeure : combien d’autres comptes similaires existent encore, prêts à passer à l’acte ?