Quand la sécurité d’entreprise devient une arme : l’affaire eBay

En août 2019, Ina et David Steiner dirigent, depuis leur domicile du Massachusetts, EcommerceBytes, une publication spécialisée dans le commerce en ligne. Depuis près de vingt ans, ils suivent les plateformes, leurs règles et les difficultés rencontrées par les vendeurs. Certains de leurs articles et des commentaires de lecteurs irritent la direction d’eBay. Ce désaccord éditorial aurait dû rester un sujet de communication. Il devient une opération de représailles.

Pendant plusieurs semaines, d’anciens membres de la sécurité d’eBay envoient au couple des messages anonymes et des livraisons conçues pour inquiéter : insectes vivants, couronne funéraire, masque de porc ensanglanté et livre consacré au deuil d’un conjoint. Des annonces publiées au nom des victimes invitent également des inconnus à se présenter chez eux. Puis une équipe se rend sur place, surveille leurs déplacements et tente de placer un traceur GPS sur leur voiture.

Le caractère spectaculaire de l’affaire ne doit pas masquer sa leçon principale. Les auteurs ne se sont pas introduits dans eBay pour détourner ses moyens : ils travaillaient dans la structure chargée de la sûreté, du renseignement et de la résilience. Des compétences prévues pour protéger des personnes et des activités ont servi à intimider deux journalistes.

D’une critique publique à une cible interne

EcommerceBytes publiait des informations destinées aux vendeurs en ligne : évolution des frais, changements de règles, concurrence entre plateformes et déclarations des dirigeants. Les contenus qui ont provoqué la colère interne n’étaient ni une intrusion informatique ni une menace physique. Ils reprenaient notamment des chiffres publics sur la rémunération du directeur général et formulaient des critiques sur la stratégie commerciale d’eBay.

Les pièces judiciaires décrivent des échanges au ton agressif entre cadres. La publication et ses auteurs ne sont plus traités comme des interlocuteurs extérieurs ou des journalistes critiques, mais comme un problème à neutraliser. Ce changement de catégorie est décisif : dès que la critique est assimilée à une menace, l’organisation peut commencer à justifier des moyens qui n’ont plus rien à voir avec la protection de l’entreprise.

Une campagne pensée pour paraître spontanée

Le dispositif associait trois formes de pression. La première reposait sur les livraisons et les annonces humiliantes. La deuxième utilisait de faux comptes présentés comme ceux de vendeurs mécontents. Les messages devaient devenir progressivement plus menaçants, jusqu’à divulguer l’adresse du couple. La troisième passait du numérique au terrain : surveillance du domicile, déplacements depuis la Californie et projet de suivi par GPS.

Selon l’exposé des faits reconnu par eBay, l’équipe envisageait ensuite qu’un autre responsable de la sécurité propose son aide aux Steiner pour mettre fin au harcèlement que ses propres collègues avaient créé. Cette fausse intervention devait susciter de la reconnaissance envers l’entreprise et, potentiellement, influencer la couverture éditoriale. Il ne s’agissait donc pas d’une suite de plaisanteries incontrôlées, mais d’une opération avec une escalade, une légende et un résultat recherché.

Les moyens de la sécurité retournés contre les victimes

Les participants disposaient d’un savoir-faire qui rendait l’opération crédible : renseignement en sources ouvertes, comptes anonymes, téléphones et moyens de paiement temporaires, déplacements discrets et surveillance. Ils ont également utilisé leur position pour tenter de brouiller les pistes lorsque la police locale a commencé à enquêter.

Ce point distingue une faute individuelle ordinaire d’une défaillance de gouvernance. Plusieurs personnes ont participé, des réunions ont eu lieu et des dépenses ont été engagées. Des collègues pouvaient observer des fragments du dispositif. Pourtant, les barrières internes n’ont pas arrêté l’action avant que les victimes ne repèrent elles-mêmes le véhicule qui les suivait.

Le projet de traceur GPS n’a pas abouti. David Steiner a photographié la plaque d’une voiture suspecte et transmis l’information à la police de Natick. Le véhicule loué a conduit les enquêteurs vers des employés d’eBay. Lorsque l’enquête s’est rapprochée, des preuves numériques ont été supprimées, de fausses explications ont été préparées et certains documents ont été falsifiés. Ces actes ont ajouté l’entrave à l’enquête et l’altération de preuves aux faits de harcèlement.

Sept condamnations et une entreprise placée sous surveillance

Sept anciens employés ou prestataires de l’équipe de sécurité ont finalement été inculpés puis condamnés. Jim Baugh, ancien directeur principal de la sûreté et de la sécurité, a été condamné à 57 mois de prison. David Harville, ancien directeur de la résilience mondiale, a été condamné à 24 mois. D’autres participants ont reçu des peines de prison, de détention à domicile, de liberté surveillée et des amendes. La dernière condamnation a été prononcée en juillet 2024.

La responsabilité ne s’est pas arrêtée aux individus. En janvier 2024, eBay a accepté un accord de poursuites différées avec le ministère américain de la Justice. L’entreprise a admis les faits exposés dans l’accord, accepté l’amende maximale de 3 millions de dollars et s’est engagée à accueillir pendant trois ans un contrôleur indépendant chargé d’évaluer son programme de conformité. Les poursuites ne seront abandonnées que si eBay respecte l’accord et ne commet pas de nouvelle infraction pendant cette période.

Cette réponse est plus structurante qu’une simple amende. Un contrôleur indépendant peut examiner les responsabilités, les procédures d’escalade, la conservation des preuves, les formations et la capacité réelle des salariés à signaler une instruction abusive.

En 2026, la fin du volet civil

Ina et David Steiner avaient aussi engagé une action civile contre eBay et plusieurs anciens dirigeants. Après un premier accord qui n’avait pas été finalisé, les parties ont annoncé en juillet 2026 un règlement amiable rendu public.

Le couple doit recevoir 48,7 millions de dollars à titre d’indemnisation : 46,15 millions versés par eBay, 2 millions par l’ancien directeur général Devin Wenig, 500 000 dollars par l’ancienne dirigeante Wendy Jones et 50 000 dollars par l’ancien responsable de la communication Steve Wymer. S’y ajoutent 7 millions de dollars d’engagements caritatifs, soit 55,7 millions de dollars au total. Les trois anciens dirigeants concernés par ce règlement civil n’avaient pas été inculpés dans la procédure pénale.

L’absence de clause de confidentialité compte autant que la somme. Elle permet aux victimes de parler de l’affaire, aux chercheurs et responsables de conformité d’en étudier les mécanismes, et au public de distinguer les condamnations pénales des allégations réglées au civil.

Ce qu’une direction de la sécurité doit en retenir

L’affaire eBay offre un cas d’école pour les entreprises, administrations et associations qui disposent d’une fonction de sécurité ou d’investigation.

• Séparer clairement la protection des personnes de la gestion de la réputation. Une critique publique ne devient pas un incident de sécurité parce qu’elle déplaît à la direction.
• Exiger un mandat écrit et une validation à deux niveaux pour toute enquête visant une personne extérieure. L’objectif, la base juridique, les moyens autorisés et la durée doivent être consignés.
• Auditer les dépenses atypiques, les voyages urgents, les téléphones temporaires et les prestataires. Pris séparément, ces signaux paraissent anodins ; rapprochés, ils peuvent révéler une opération sans objet légitime.
• Offrir un canal d’alerte qui contourne la hiérarchie concernée. Un salarié ne peut pas signaler sereinement un ordre abusif si le seul destinataire est la personne qui l’a donné.
• Déclencher une conservation automatique des preuves dès qu’une plainte, une demande de police ou un signalement interne apparaît. La suppression de messages doit devenir techniquement difficile et immédiatement visible.
• Confier l’examen d’un incident impliquant des cadres ou l’équipe de sécurité à une partie indépendante, avec accès aux journaux, aux dépenses et aux communications professionnelles.

L’IA réduit encore le coût du harcèlement

La campagne de 2019 exigeait plusieurs personnes, des comptes factices, des déplacements et une coordination manuelle. Aujourd’hui, des outils génératifs peuvent produire rapidement des variantes de messages, des voix synthétiques, de faux visuels et une apparence de mobilisation collective. Ils n’effacent pas les traces financières, les journaux d’accès ou les déplacements physiques, mais ils abaissent le coût de l’intimidation et compliquent l’évaluation initiale d’une menace.

La réponse ne consiste pas seulement à acheter de meilleurs outils de détection. Elle commence par une gouvernance qui empêche une organisation d’autoriser elle-même l’abus : limites de mission, séparation des pouvoirs, journalisation, contrôle des dépenses et protection des lanceurs d’alerte.

À retenir

L’affaire eBay n’est pas celle d’une technologie devenue autonome. Des personnes ont choisi une cible, utilisé des moyens professionnels, contourné les contrôles puis tenté de dissimuler leurs actes. La technologie a augmenté leur portée ; la culture interne et l’absence de contre-pouvoirs leur ont ouvert la voie.