Iozzo Effacé De Black Hat Après Les Fichiers Epstein

Une fiche disparaît, et tout un écosystème se met à chuchoter. Sur le site de Black Hat, l’une des scènes les plus prestigieuses de la cybersécurité mondiale, le nom de Vincenzo Iozzo n’est plus affiché parmi les membres du comité de lecture. Même constat du côté de Code Blue, rendez-vous japonais suivi de près par les chercheurs en sécurité. La mise à jour n’a rien d’anodin : elle survient juste après la publication massive, fin janvier, de pièces issues de l’enquête américaine sur Jeffrey Epstein. Plus de deux mille trois cents documents mentionnent le fondateur de la startup SlashID. Le milieu tech, d’habitude prompt à célébrer les parcours fulgurants, se retrouve face à une question plus embarrassante : que fait-on d’une réputation bâtie sur le talent lorsqu’une archive judiciaire vient la recouvrir d’ombre ?

Un parcours star soudainement sous tension

Avant cette semaine de février, peu de monde hors du cercle des experts aurait associé Iozzo à autre chose qu’à une success story classique de la cybersécurité. Italien formé très jeune, il a écrit l’un des premiers guides pratiques destinés aux chercheurs qui s’attaquaient au logiciel mobile d’Apple. En 2015, il lance IperLane, ensuite rachetée par CrowdStrike. Il y reste près de quatre ans comme directeur senior. Aujourd’hui, il dirige SlashID, une jeune pousse centrée sur l’identité et la protection des accès. Son profil LinkedIn indiquait une présence au review board de Black Hat depuis 2011. Autant dire une place de confiance, celle de gens qui filtrent les talks, valident la rigueur technique, donnent le ton d’une conférence où se croisent chercheurs, entreprises et gouvernements.

Cette trajectoire explique en partie le choc. Le secteur aime les profils précoces, les fondateurs qui ont « touché le métal » avant de lever des fonds. Iozzo incarnait ce récit. Les documents publiés le 30 janvier viennent le fissurer sans, pour autant, livrer une preuve d’infraction commise pour le compte d’Epstein. C’est précisément ce flou qui rend l’affaire si difficile à classer : trop de traces pour l’ignorer, pas assez de faits établis pour la transformer en dossier pénal public.

Ce que disent vraiment les archives

Les échanges retracés s’étendent d’octobre 2014 à décembre 2018. Iozzo avait alors vingt-cinq ans environ lorsqu’il est présenté à Epstein, dans un contexte de levée de fonds autour du MIT. Selon sa version, des personnes « de confiance » ont facilité la rencontre. Les mails parlent d’opportunités d’affaires qui n’ont jamais abouti, de conversations sur les marchés et les technologies émergentes. Rien, dans le corpus rendu public, ne décrit un piratage commandité, un accès illégal ou une prestation technique au service d’un réseau criminel.

Le détail le plus troublant n’est pas un contrat signé. C’est la chronologie. Fin 2018, le Miami Herald publie une enquête décrivant des abus visant plus de soixante femmes, dont des adolescentes. Après ces révélations, des courriers montrent encore une tentative de rendez-vous au town house new-yorkais d’Epstein. Ce geste, même s’il n’est pas un crime en soi, alimente le débat sur le jugement. Pourquoi continuer à chercher un créneau alors que la presse venait de rappeler la nature des accusations ?

Nous avons été présentés en 2014 alors que j’avais vingt-cinq ans au MIT et que je levais des fonds pour ma startup, par des personnes en qui j’avais confiance et que j’admirais. À cause de cela, je n’ai pas posé les questions qui, rétrospectivement, semblent évidentes.

– Vincenzo Iozzo, déclaration transmise par sa porte-parole

Il affirme n’avoir « jamais observé ni participé à une activité illégale ». Il dit regretter l’association, reconnaître un manque de discernement, et rejeter l’étiquette de « hacker personnel » d’Epstein. Cette formule vient d’un rapport d’informateur du FBI, fortement caviardé. Le document ne nomme personne. Certains éléments signalétiques ont toutefois poussé Il Corriere della Sera à désigner Iozzo comme la personne visée. TechCrunch souligne un point essentiel : les allégations de l’informateur n’ont pas été confirmées par le Bureau, et peuvent être partiellement erronées.

Black Hat, Code Blue et la mécanique du retrait

Jeudi, Iozzo n’apparaissait plus sur les pages officielles des comités de Black Hat et de Code Blue. La semaine précédente, son nom y figurait encore. Du côté de Black Hat, le silence. Aucun porte-parole n’a répondu aux questions. Iozzo, lui, a fait savoir qu’il « ne démissionnerait pas de son plein gré » et qu’il souhaitait « une enquête complète ». Sa porte-parole, Joan Vollero, et son avocate, Emma Spiro, n’ont pas expliqué le retrait. Elles ne l’ont pas non plus contesté.

M. Iozzo aurait préféré une enquête indépendante de Black Hat plutôt qu’une décision précipitée, parce qu’il est convaincu d’en sortir blanchi.

– Joan Vollero, porte-parole

Code Blue a choisi une autre ligne. Ken-ichi Saito, porte-parole, a confirmé le retrait. Selon lui, la conférence préparait depuis plusieurs mois une mise à jour destinée à écarter Iozzo et deux autres membres « peu actifs ». Le calendrier du site aurait « coïncidé par hasard » avec la divulgation des pièces Epstein. L’explication est commode. Elle n’empêche pas le public de lire une autre séquence : des archives explosent, un nom devient toxique, les pages institutionnelles se font plus sages.

Dans l’industrie de la conférence, le review board n’est pas un simple générique de générique. C’est un label. Y siéger signale une expertise, une intégrité technique, parfois une proximité avec les organisateurs. Retirer un nom, c’est aussi protéger la marque. Black Hat vend de la confiance autant que des badges. Face à un sujet aussi chargé que le trafic sexuel de mineures, l’attentisme a un coût réputationnel que peu d’événements veulent payer.

La startup au milieu de la tempête

SlashID n’est pas un laboratoire universitaire isolé. C’est une entreprise qui vend de la confiance numérique : identités, accès, réduction de la surface d’attaque. Or la confiance se construit aussi hors du code. Clients, investisseurs, recruteurs lisent les mêmes gros titres. Même si aucune pièce publique n’établit qu’Iozzo ait commis un acte illégal pour Epstein, l’association suffit à déclencher des questions de due diligence. Qui a présenté qui ? Quels dîners ? Quels projets « jamais matérialisés » ? Combien de portes le carnet d’adresses d’un financier déjà condamné en 2008 a-t-il ouvertes ?

En 2008, Epstein avait plaidé coupable pour sollicitation sexuelle de mineures, dont certaines n’avaient que quatorze ans, et s’était inscrit au registre des délinquants sexuels en Floride et à New York. Ce n’était pas un secret de diplomate. En 2018, de nouvelles révélations ont décrit un système d’exploitation et de trafic. En 2019, le ministère de la Justice l’a formellement mis en accusation. Il est mort en détention. Toute personne qui gravitait encore autour de lui après 2008, et plus encore après l’automne 2018, se retrouve aujourd’hui à justifier un aveuglement, une naïveté ou une ambition mal placée.

• Un ancrage ancien dans les comités techniques des grandes conférences.
• Un rachat par CrowdStrike qui a longtemps servi de caution professionnelle.
• Une startup actuelle dont le produit repose précisément sur la notion de confiance.
• Des milliers de mentions dans un corpus judiciaire devenu public.

Ces quatre couches ne prouvent rien au pénal. Elles dessinent néanmoins un risque de marque. Dans la technologie avancée, on parle souvent de « surface d’attaque ». Ici, la surface est biographique. Chaque mail, chaque invitation, chaque silence d’organisateur devient un vecteur. Les fondateurs qui ont grandi dans l’ombre des milles premiers investisseurs de la côte Est savent que le réseau ouvre des portes. Ils découvrent, parfois trop tard, que le même réseau peut les refermer.

Informateur, caviardage et zone grise

Le rapport d’informateur évoquant un « hacker personnel » d’Epstein est le morceau le plus spectaculaire du dossier. Il est aussi le plus fragile. Un témoignage non corroboré, amputé par les caviardages, relayé par une presse qui reconstitue une identité à partir d’indices, ce n’est pas un verdict. TechCrunch le rappelle avec prudence : les assertions peuvent être partiellement fausses. Cette précaution devrait circuler aussi vite que le surnom. Elle circule rarement aussi vite.

La communauté hacker connaît cette mécanique. On y célèbre le reverse engineering, la lecture des artefacts, la reconstruction d’un scénario à partir de fragments. Appliquée à une vie humaine, la même méthode produit des récits trop lisses. « Il était le hacker d’Epstein » est une phrase courte. « Un informateur non confirmé a décrit un profil qui, selon un quotidien italien, correspond à tel fondateur, sans que le FBI n’ait validé le lien » est une phrase longue. Les réseaux préfèrent la première. Les conférences, elles, n’ont pas le luxe d’attendre que la seconde soit tranchée par un tribunal.

Il faut tenir les deux bouts. D’un côté, l’absence de preuve d’acte illégal dans les mails connus. De l’autre, la persistance des contacts après des articles détaillant des abus sur mineures. Le premier point protège juridiquement. Le second interroge éthiquement. Entre les deux s’installe la zone où vivent désormais beaucoup de noms sortis des cartons Epstein : pas forcément coupables au sens pénal, plus tout à fait fréquentables au sens institutionnel.

Ce que l’affaire dit des conférences cyber

Black Hat n’est pas un salon de gadgets. C’est un lieu où l’on discute de failles zero-day, de chaînes d’approvisionnement, de souveraineté numérique. Y siéger, c’est participer à un filtre. Quand le filtre lui-même devient l’objet d’une polémique, l’événement doit choisir entre la présomption d’innocence individuelle et la protection collective de sa crédibilité. La plupart des organisateurs penchent, par réflexe, vers la seconde. On le voit dans d’autres industries dès qu’un sponsor, un keynote ou un jury se retrouve dans une archive sulfureuse.

Code Blue ajoute une couche culturelle. Une conférence japonaise qui invoque un ménage de membres inactifs depuis des mois fournit une sortie élégante. Elle évite d’écrire « nous réagissons aux fuites ». Elle permet aussi de traiter deux autres profils en même temps, diluant la cible. La coïncidence de calendrier reste toutefois un argument fragile dès que le public compare les captures d’écran d’une semaine à l’autre.

Derrière le cas Iozzo se joue une question plus large pour les start-ups de la sécurité. Le secteur recrute des gens qui ont parfois frôlé la ligne, testé des systèmes sans autorisation dans leur jeunesse, publié des exploits avant de fonder une société. Cette culture du « grey hat devenu CEO » tolère l’ambiguïté technique. Elle tolère beaucoup moins l’ambiguïté morale lorsqu’il s’agit d’abus sexuels sur mineures. Les deux registres ne sont pas comparables. Les confondre serait une faute. Les séparer trop vite, en prétendant que seul le code compte, en serait une autre.

Jugement, naïveté et responsabilité

Iozzo insiste sur son âge au moment de la présentation, sur la caution sociale de ses introducteurs, sur un récit qui « minimisait l’ampleur » des actes d’Epstein. Ce type de défense revient souvent dans les témoignages de personnalités croisées dans les carnets du financier. Elle n’est pas forcément mensongère. Les salons new-yorkais et les dîners de campus ont longtemps recyclé une fable : l’homme serait un donateur excentrique, déjà puni, désormais utile. La fable a duré trop longtemps. Ceux qui l’ont acceptée en portent une part, même sans avoir commis le crime central.

Prendre « toute la responsabilité de n’avoir pas exercé un meilleur jugement » est une formule habile. Elle reconnaît une faute de discernement sans avouer une faute pénale. Pour une audience de chercheurs en sécurité, habitués à cartographier les responsabilités dans une chaîne d’attaque, elle sonne à la fois honnête et incomplète. Qui étaient ces introducteurs admirés ? Quels signaux ont été ignorés ? Combien de rendez-vous après 2018 ? Les réponses ne sont pas dans le communiqué.

Le public a le droit d’exiger mieux qu’un regret générique. Il a aussi le devoir de ne pas transformer un faisceau de mails et un informateur non confirmé en sentence définitive. Entre le lynchage et l’amnésie, il reste la voie étroite de l’enquête. C’est précisément celle qu’Iozzo dit appeler de ses vœux. Reste à savoir si Black Hat, ou un tiers indépendant, la mènera vraiment, ou si le retrait du nom tiendra lieu de conclusion.

Une leçon pour l’écosystème des fondateurs

Les levées de fonds de 2014 n’avaient pas les grilles de conformité d’aujourd’hui. Les family offices opaques, les intermédiaires prestigieux, les dîners « off » faisaient partie du décor. Les documents Epstein fonctionnent comme un audit rétrospectif brutal de ce décor. Ils montrent que le capital n’est jamais seulement du capital. Il transporte des récits, des accès, parfois des crimes. Une startup qui construit son récit sur la transparence des identités numériques devrait, plus que d’autres, interroger la généalogie de ses propres introductions.

Pour les comités de conférence, le dossier invite à écrire noir sur blanc des règles de révocation. Attendre qu’un site se mette à jour « par coïncidence » n’est pas une politique. Publier des critères — condamnation, mise en examen, faisceau documentaire public, inactivité réelle — éviterait le soupçon de reculade opportuniste. Pour les investisseurs, la leçon est plus sèche : un fondateur brillant n’exonère pas d’une revue de réseau. Le talent technique n’est pas un bouclier éthique.

Au moment où ces lignes sont écrites, Iozzo reste le dirigeant de SlashID. Rien n’indique, dans les pièces commentées par la presse spécialisée, qu’il ait réalisé des intrusions pour Epstein. Rien n’efface non plus la gêne née d’une relation prolongée avec un homme déjà condamné, puis à nouveau accusé de trafiquer des mineures. L’écosystème cyber, qui passe son temps à demander aux autres de patcher leurs failles, se trouve contraint de patcher les siennes : gouvernance des conférences, mémoire des introductions, exigence envers ceux qui parlent au nom de la confiance.

La page web peut se vider en une nuit. Les archives, elles, restent. C’est peut-être la seule leçon nette de cette affaire encore ouverte : dans un monde où chaque mail finit par sortir, le réseau n’est plus seulement un actif. Il devient une preuve, un fardeau, parfois les deux à la fois. Les prochains comités de lecture devront décider s’ils jugent le code, l’homme, ou le silence qui s’installe entre les deux.