Un tribunal belge force les registrars à livrer données bancaires et crypto
Un tribunal de Bruxelles a ordonné à des bureaux d'enregistrement de domaines de livrer presque tout sur les personnes derrière certains sites: vrais noms, chaque adresse, numéros de comptes bancaires, portefeuilles crypto et une année entière de journaux de connexion. Interdiction de prévenir les propriétaires. C'est un rappel brutal de l'endroit où l'anonymat en ligne se brise vraiment, et ce n'est pas votre adresse IP. C'est le bureau d'enregistrement et la trace de paiement derrière le site.
Ce qu'a ordonné le tribunal
L'organisme anti-piratage belge BAPO a rendu cette semaine cinq décisions fondées sur une ordonnance du tribunal de commerce de Bruxelles, visant des exploitants de sites de streaming sportif. Trois bureaux d'enregistrement sont nommés, Hosting Concepts, Hostinger et Key Systems, plus un autre bureau et un registre qui ont été caviardés. Ce qu'ils doivent produire dépasse de loin une adresse IP:
- Identité. Le nom du client et chaque adresse postale, e-mail et numéro de téléphone jamais rattaché au compte.
- Argent. Les IBAN complets et les noms exacts des titulaires des comptes bancaires, plus les données de carte.
- Crypto. Les adresses de portefeuille utilisées, le type de crypto-actif et les identifiants de transaction (hash), traçables sur la blockchain publique.
- Journaux de connexion. L'adresse IP, le type d'appareil, le système d'exploitation et le navigateur ayant servi à créer le compte, plus toutes les données de connexion conservées sur les douze derniers mois.
Autrement dit, la chaîne d'entreprises qui a enregistré le domaine et traité les paiements est transformée en dossier d'identité complet.
La partie discrète: personne n'est prévenu
Les bureaux d'enregistrement sont soumis à une interdiction de divulgation. Ils ne peuvent dire ni au client ni à la presse que la procédure ou l'ordonnance existe. Normalement, les règles de l'UE exigeraient de notifier l'utilisateur dont les données sont livrées, mais BAPO s'appuie sur une exception applicable en cas d'enquête pénale. Les données partent donc vers les ayants droit sans que la personne concernée ne l'apprenne. C'est cette combinaison, divulgation totale et silence imposé, qui en fait un précédent à surveiller.
Pourquoi un VPN ne couvre pas cela
Il est tentant de croire qu'un VPN vous rend anonyme en ligne, et pour votre trafic un VPN sans journaux aide vraiment. Un fournisseur soucieux de la vie privée peut même refuser des demandes auxquelles il ne peut répondre, comme quand Proton a rejeté des dizaines d'ordres de désanonymisation car il ne conserve aucun journal. Mais rien de cela ne touche la couche tombée ici. Si vous avez enregistré un domaine à votre nom ou payé avec une carte traçable ou un portefeuille on-chain, cette identité vit chez le bureau d'enregistrement et le prestataire de paiement, entièrement hors du tunnel. Un tribunal peut contraindre ces sociétés directement, et c'est la même application belge agressive que lorsque la Belgique a ordonné à Cloudflare et Google de bloquer l'IPTV pirate au niveau DNS.
