IRIS C2 : l’entreprise d’exploits offensifs au passé criminel

Introduction

Dans le paysage de la sécurité offensive, IRIS C2 (@C2IRIS) a récemment fait surface. Cette société déclare acquérir des zero‑day et des chaînes d’exploits jusqu’à 7 millions de dollars par vulnérabilité signalée, et fournir des services de hacking (principalement téléphonique) au gouvernement américain. Mais derrière cette façade se cachent Jack Burkman et Jacob Wohl, deux noms tristement connus pour fraudes, campagnes de désinformation et violations des droits civils. L’opération, menée via Calvexa Group LLC, suscite de sérieuses inquiétudes pour l’ensemble de l’écosystème de cybersécurité.

Analyse technique

Les bases techniques d’IRIS C2 sont fragiles. Ni Burkman (60 ans) ni Wohl (28) ne possèdent de références ou d’expérience documentée en recherche de vulnérabilités : Wohl lui-même se décrit comme autodidacte. Leur passé judiciaire parle de fraude informatique (un système de robocalls visant à supprimer le vote afro‑américain, 2020–2025), de sanctions de la FCC pour 5,1 millions de dollars, d’amendes civiles de plus d’un million, d’escroqueries financières et de fausses accusations sexuelles contre des personnalités publiques.

Calvexa Group LLC, enregistré comme federal contractor mais dépourvu de contrats gouvernementaux actifs, a son siège social à une adresse liée au lobbyiste Burkman. Sur le plan opérationnel, IRIS C2 démarche agressivement sur X et LinkedIn pour recruter des chercheurs, parfois même lors de conférences internationales, en prétendant disposer de commandes publiques inexistantes. L’absence totale de cadre technique et juridique crédible laisse présager que les éventuels exploits acquis pourraient être exploités à des fins d’extorsion, d’opérations de désinformation ou de revente à des tiers non autorisés, en cohérence avec le modus operandi historique des deux fondateurs.

Impact

L’arrivée de tels profils sur le marché des zero‑day engendre des risques à plusieurs niveaux :

• Menace directe pour les utilisateurs et les entreprises : des vulnérabilités critiques (navigateurs, systèmes d’exploitation, appareils mobiles) pourraient être utilisées dans des attaques indiscriminées.
• Érosion de la confiance dans le marché légal : la présence d’intermédiaires frauduleux nuit à la réputation des programmes de bug bounty et du commerce réglementé, décourageant les chercheurs de pratiquer la divulgation responsable.
• Risque juridique pour les chercheurs : céder des exploits à des personnes au casier judiciaire aussi chargé peut constituer une complicité d’activités illicites, avec des conséquences pénales et civiles pour le fournisseur.

Atténuation

Pour se défendre contre de telles opérations, il est essentiel d’effectuer une due diligence rigoureuse sur tout acheteur potentiel :

• Vérifier l’existence réelle de contrats publics (par ex. USAspending.gov) et la réputation des fondateurs.
• Contrôler les antécédents judiciaires, les enregistrements d’entreprises et les références dans le secteur de la cybersécurité.
• Dans ce cas particulier, éviter toute collaboration ou cession de code à IRIS C2 et Calvexa Group.

Les chercheurs contactés par ces entités devraient :

• Ne pas répondre aux communications.
• Signaler immédiatement l’incident aux CERT nationaux, aux forces de l’ordre ou aux responsables de leur organisation.
• Informer également les organisateurs de conférences où ces personnes pourraient tenter des approches.

Les agences gouvernementales devraient en outre cartographier attentivement leur chaîne d’approvisionnement offensive, en excluant les sous-traitants non accrédités et aux profils criminels.

FAQ

1. IRIS C2 a-t-elle vraiment des contrats avec le gouvernement américain ?
Non. Bien que Calvexa Group LLC soit enregistré comme federal contractor, il n’existe aucune preuve de commandes publiques actives. L’adresse légale renvoie à Jack Burkman, mais l’entreprise n’a jamais démontré de liens opérationnels avec des agences américaines.

2. Quels sont les risques concrets à céder un exploit à IRIS C2 ?
Le danger est triple : (a) les exploits pourraient servir à des extorsions, à de la manipulation d’information ou à des attaques directes ; (b) la vulnérabilité pourrait être revendue sans aucun contrôle ; (c) le chercheur pourrait être tenu pour coresponsable des éventuels délits commis avec cet exploit, avec de graves conséquences juridiques.

3. Comment reconnaître une approche suspecte de la part de cette société ?
IRIS C2 contacte principalement via X (@C2IRIS), LinkedIn ou son site irisc2.com, promettant des rémunérations allant jusqu’à 7 millions de dollars et affichant un ton agressif. L’absence de compétences techniques démontrables, l’enregistrement sous Calvexa Group et le casier judiciaire bien connu des fondateurs sont des signaux d’alarme évidents. Chaque communication doit être traitée avec la plus grande prudence et signalée aux autorités.