# Maia arson crimew

maia arson crimew (anciennement connue sous le nom de Tillie Kottmann, et également connue sous les pseudonymes deletescape et antiproprietary ; née le 7 août 1999) est une développeuse et hackeuse suisse. Elle est connue pour avoir divulgué du code source et d'autres données d'entreprises dont Intel et Nissan, et pour avoir découvert une copie de 2019 de la liste d'interdiction de vol du gouvernement américain sur un serveur non sécurisé de CommutAir. crimew faisait également partie d'un groupe qui a piraté Verkada (en) en mars 2021 et a accédé à plus de 150 000 caméras. crimew a cité l’anarchisme, l’anticapitalisme et son opposition au concept de propriété intellectuelle comme motifs de son piratage.
En mars 2021, crimew est inculpée par un grand jury aux États-Unis pour à son activité présumée de piratage entre 2019 et 2021. Les accusations n'étaient pas liées au piratage de Verkada. Son domicile et celui de ses parents ont été perquisitionnés par la police suisse à la demande des autorités américaines, et ses appareils électroniques ont été saisis. Le magazine suisse Republik l'a comparée à Jeremy Hammond et Aaron Swartz.

## Fuites de données et de code source

En juillet 2020, crimew publie le code source de dizaines d'entreprises sur un dépôt GitLab. Le Gigaleak de Nintendo lui est attribué par Bleeping Computer, mais elle dit plus tard à Tom's Guide que les données de Nintendo n'étaient pas incluses dans la fuite de juillet et qu'elle n'avait jamais posté de code Nintendo sur GitLab car la société était « réputée pour ses demandes de retrait (en) rapides ». Le 6 août 2020, crimew téléverse plus de 20 gigaoctets de données propriétaires et de code source d'Intel sur Mega. Elle les a obtenues d'un autre pirate informatique qui a affirmé les avoir subtilisées d’Intel vers mai 2020, et a décrit la fuite comme une première étape qui serait suivie par d'autres fuites liées à Intel$^,$. En janvier 2021, crimew est impliquée dans une fuite de code source de Nissan, déclarant qu'elle avait acquis le code divulgué après avoir appris d'une source anonyme qu'un serveur Bitbucket avait été configuré avec le nom d'utilisateur et le mot de passe par défaut$^,$.
crimew a déclaré en mars 2021 que la plupart de ses infractions ne nécessitaient pas beaucoup de compétences techniques. En plus de divulguer elle-même des données, elle a maintenu un canal Telegram nommé « ExConfidential » où elle a partagé des détails sur les fuites réalisées par d'autres$^,$. En mars 2021, le site Distributed Denial of Secrets créée un torrent de données à partir du canal après la perquisition du domicile de crimew et la saisie de ses appareils.
En juillet 2022, crimew découvre et signale une vulnérabilité dans l'application de santé mentale Feelyou, qui exposait les adresses e-mail de près de 80 000 utilisateurs et permettait à quiconque de faire le lien entre des publications censées être anonymes et les adresses e-mail des utilisateurs qui les avaient publiées.

## Piratage de Verkada

Le 8 mars 2021, un groupe de hackers comprenant crimew se faisant appeler « APT - 69420 Arson Cats »$^,$ obtient les droits de super-utilisateur sur le réseau de Verkada (en), une société de caméras de sécurité basée sur le cloud, en utilisant des informations d'identification qu'ils ont trouvées sur Internet. Le groupe a eu accès au réseau pendant 36 heures. Il collecte environ 5 gigaoctets de données, y compris des images de caméras de sécurité en direct et des enregistrements de plus de 150 000 caméras dans des lieux comme une usine Tesla, une prison en Alabama, un hôpital Halifax Health (en) et des domiciles. Le groupe a également accédé à une liste de clients Verkada et aux informations financières privées de l'entreprise et a obtenu un accès super-utilisateur aux réseaux d'entreprise de Cloudflare et d’Okta via leurs caméras Verkada.
crimew a agi en tant que porte-parole du groupe de hackers. Son compte Twitter est suspendu pour avoir enfreint les conditions d'utilisation de Twitter après l'avoir utilisé pour partager plusieurs captures d'écran de flux de caméras de sécurité en direct. Pendant le piratage, crimew tweete « Et si nous mettions définitivement fin au capitalisme de surveillance en deux jours ? ». Elle contacte un journaliste de Bloomberg peu de temps après la fuite de données, qui à son tour a contacté Verkada, qui a supprimé l'accès des pirates au réseau$^,$$^,$. Elle a déclaré à Bloomberg que le piratage a révélé « à quel point nous sommes largement surveillés et le peu de soin apporté à au moins la sécurisation des plates-formes utilisées pour le faire, ne poursuivant que le profit ». Une connaissance du crimew a dit à Zentralplus (de) qu’elle pense que crimew a effectué le piratage pour le plaisir et sans lien avec ses opinions politiques.

## Piratage de la No Fly List et de la Selectee list

Le 19 janvier 2023, crimew a signalé qu'elle avait eu accès aux versions de 2019 de la liste d'interdiction de vol du gouvernement américain, longue de 1,56 million d'entrées, ainsi que de la Selectee list de 250 000 entrées publiées par CommuteAir sur un serveur cloud Amazon Web Services non sécurisé$^,$$^,$$^,$. Selon crimew, les noms dans la Terrorism Scanning Database sont presque exclusivement d’origine arabe et russe ; plus de 10% des entrées répertoriées contenaient « MUHAMMED » dans les champs du prénom ou du nom.

## Inculpation

En mars 2021, crimew est inculpée par un grand jury de la cour de district des États-Unis du district ouest de Washington pour des accusations liées à plusieurs piratages qu'elle aurait commis entre 2019 et 2021. L'acte d'accusation de douze pages alléguait que crimew avait piraté des dizaines d'entités, publié des informations et du code propriétaires de plus de 100 entités, y compris des agences gouvernementales, et vendu des produits dérivés liés au piratage tels que des t-shirts. Il l'a inculpée de fraude et d'abus informatiques, de fraude électronique (en) et d'usurpation d'identité. L'acte d'accusation et un raid de la police suisse au cours duquel les appareils électroniques de crimew ont été saisis à la demande des autorités américaines, sont intervenus peu de temps après qu'elle a revendiqué son implication dans le piratage de Verkada, mais ne contenait aucune accusation à ce sujet$^,$$^,$. Sept policiers ont fouillé son domicile pendant le raid et quinze ont fouillé le domicile de ses parents. Le site web git.rip, par l'intermédiaire duquel crimew et d'autres auraient partagé des données obtenues par piratage, a été saisi par le FBI.
Au 19 mars 2021, crimew est représentée en Suisse par l'avocat Marcel Bosonnet$^,$. Une campagne de financement participatif a été créée en avril 2021 pour collecter des fonds pour sa défense légale aux États-Unis.

### Réponse publique

Le hashtag « #freetillie » a été utilisé pour exprimer du soutien à crimew après le raid de son domicile$^,$. La chercheuse en piratage Gabriella Coleman a déclaré qu'elle s'attendait à ce que crimew gagne plus de soutien de la part de la communauté du hacking à la suite de l'acte d'accusation, déclarant que le gouvernement des États-Unis a été trop agressif dans la poursuite des pirates qui poursuivent des idéaux de gauche et anti-autoritaires. Selon un article de Republik, crimew est « dans la tradition de hackers tels que Jeremy Hammond et Aaron Swartz ». Hernâni Marques, membre du comité de la section suisse du Chaos Computer Club, a appelé à la « solidarité » avec crimew. Les procureurs de Seattle ont dénoncé ce soutien, Tessa M. Gorman (en) déclarant que « se cacher dans des motivations prétendument altruistes ne supprime pas les relents criminels d’intrusions, de vols et de fraudes pareils ».
Tandis que les médias en dehors de la Suisse ont loué crimew pour avoir révélé des failles de sécurité dans les systèmes de surveillance centralisés aux États-Unis, le magazine null41 rapporte que les médias suisses se sont largement concentrés sur crimew elle-même, en particulier son identité de genre et son apparence.

### Possibilité d’extradition ou de jugement en Suisse

Après l'inculpation, un porte-parole du ministère américain de la Justice a déclaré à Blick que la procédure avait été suspendue, expliquant que les États-Unis ne poursuivraient pas l'affaire à moins que crimew ne soit présente aux États-Unis et défendue par un avocat. crimew a exprimé sa confiance qu'elle ne sera pas extradée vers les États-Unis. L’avocat suisse Roman Kost a déclaré que la loi suisse sur l'extradition n'autorise pas l'extradition de citoyens sans leur consentement, mais que les pirates informatiques suisses « peuvent être jugés en Suisse s'il existe suffisamment de soupçons et de preuves, et peuvent être punis s'ils sont reconnus coupables ». Le Département fédéral de justice et police de la Suisse a confirmé à Zentralplus (de) qu'il n'extrade pas les ressortissants suisses contre leur volonté. Le journal suisse Le Temps a rapporté que crimew ne serait pas extradée et serait plutôt jugée en Suisse.
20 Minuten a rapporté que si crimew était jugée en Suisse, elle encourrait un maximum de quatre ans et demi de prison. Hernâni Marques a déclaré que « la plupart de ce qu’elle a fait ne serait pas punissable en Suisse », soulignant qu'une grande partie des données criminelles divulguées étaient accessibles au public sur Internet et affirmant que le piratage de Verkada était « légitime et utile pour la société » en raison du problème de confidentialité qu'il a exposé. En mars 2021, Blick rapporte qu'un mandat d'arrêt potentiel pour crimew émis par les États-Unis serait probablement exécuté par tous les pays qui partagent une frontière avec la Suisse. En septembre 2021, crimew déclare à null41 qu'elle était certaine qu'elle ne pourrait plus jamais voyager dans certains pays, et que même si elle pouvait voyager à l'avenir, cela serait risqué en raison de la possibilité d'extradition d'autres pays. Elle a noté que contrairement à Julian Assange, elle ne comptait pas sur la bonne volonté d'un pays car la constitution suisse interdit son extradition. En octobre 2021, Zeit Magazin a rapporté que bien qu’Interpol ne rende pas publiques la plupart de ses enquêtes, il était probable qu'un mandat d'arrêt international ait été émis contre crimew, ce qui la rendrait potentiellement incapable de quitter la Suisse.

## Vie privée

crimew est née le 7 août 1999 et vit dans le district de Bruch de Lucerne en Suisse alémanique. Adolescente, elle travaille dans l’informatique. Elle a été la fondatrice du lanceur Android « Lawnchair », qui est maintenu par une autre équipe de développement depuis février 2021$^,$. crimew est non binaire et utilise les pronoms it/its et she/her en anglais. Elle a également été connue sous les noms « deletescape » et « tillie crimew ». En 2022, elle change son nom légal en maia arson.
crimew est membre des Jeunes socialistes suisses, et a été candidate au conseil municipal de Lucerne en 2020 ; un post Facebook de la section lucernoise des Jeunes socialistes utilisait le slogan « Kapitalismus zerstört jegliche Kreativität oder Innovation! » (« Le capitalisme détruit toute créativité ou innovation ! ») pour promouvoir sa campagne. Elle a cité la curiosité, l’anticapitalisme, l’anarchisme et l'opposition au concept de propriété intellectuelle comme motifs de ses activités$^,$, déclarant que « ne se soucier de littéralement rien d’autre que le profit n’aboutit assurément pas à la sécurité ». Elle a en outre déclaré qu'elle pensait que le code source et la documentation devraient être publics, et qu'elle se considérait comme une hacktiviste. Être queer et être victime de discrimination a contribué au développement des opinions politiques de crimew. Sur sa biographie Twitter, crimew se décrit comme une « indicted hacktivist/security researcher, artist, mentally ill enby polyam trans lesbian anarchist kitten » (« hacktiviste/chercheuse en sécurité inculpée, artiste, et chaton malade mentale, non-binaire, polyamoureuse, trans, lesbienne et anarchiste »).