Le Bureau fédéral d’enquête américain (FBI) a appelé les membres du groupe d’extorsion informatique ShinyHunters à se rendre, après que la police néerlandaise a annoncé l’arrestation d’un homme de 24 ans originaire d’Amsterdam, soupçonné d’avoir joué un rôle au sein du groupe et d’être impliqué dans une organisation criminelle.
Le suspect a été arrêté le 15 septembre, et le tribunal de district de Rotterdam a décidé mardi de prolonger sa détention provisoire d’au moins 90 jours supplémentaires. La police néerlandaise a déclaré avoir trouvé une grande quantité d’informations sur son ordinateur portable, notamment des détails concernant deux meurtres planifiés à l’étranger, avec des indices indiquant, selon elle, que le suspect en avait donné l’ordre. La police n’a pas exclu d’autres arrestations.
Un réseau d’extorsion de grande ampleur
Le directeur adjoint de la division de la cybercriminalité du FBI, Brett Leatherman, a déclaré que ShinyHunters était liée à des attaques visant les États-Unis, les Pays-Bas et d’autres pays. Le bureau estime que le groupe et ses collaborateurs ont piraté plus de 140 organisations depuis l’année dernière et obtenu au moins 70 millions de dollars de paiements liés à des extorsions.
Le groupe cible principalement les comptes d’authentification unique des entreprises, les fournisseurs tiers et les plateformes de logiciels en tant que service dans le cloud, notamment Salesforce et Snowflake. Après avoir volé des données sensibles, il menace les victimes de les publier afin d’obtenir de l’argent.
Un message direct aux membres restants
Leatherman a déclaré que les enquêteurs continuaient de recueillir des informations sur les participants au groupe et que l’infrastructure saisie les aidait à identifier ceux qui y restaient. Il a ajouté, dans un message adressé aux membres présumés, que la poursuite de leurs activités permettrait d’en apprendre davantage sur eux, et les a exhortés à contacter les autorités avant que leurs options ne se réduisent.
Cette escalade publique intervient peu après que ShinyHunters a revendiqué la responsabilité d’une attaque de grande ampleur contre les systèmes du FBI. Le groupe a déclaré que l’attaque avait exploité une vulnérabilité zero-day non divulguée dans Oracle PeopleSoft et qu’il avait volé entre deux et trois téraoctets de données. Il a également fourni aux médias un échantillon d’environ 5 000 dossiers d’employés du FBI, tandis que des rapports indiquaient que les données comprenaient les noms et les informations personnelles de membres de la Remote Operations Unit, une équipe secrète liée à des opérations de piratage.
BleepingComputer a refusé l’offre d’obtenir les données, tandis que 404 Media a indiqué que certains dossiers concernaient des personnes travaillant sur des enquêtes liées à la Chine et à la Russie. Le groupe a déclaré que son attaque contre le FBI n’avait pas pour objectif l’argent ou l’extorsion, mais visait à contester un avertissement antérieur du bureau, qui accusait des entités liées au groupe d’exagérer l’ampleur de leur accès aux informations sensibles, de harceler les victimes et leurs proches et de mener des attaques de swatting.
Qu’est-ce qui compte concrètement ?
Cette évolution montre que le ciblage des comptes d’identité d’entreprise, des fournisseurs et des plateformes cloud ne se limite pas au vol de données, mais peut permettre aux attaquants d’établir une influence au sein de plusieurs environnements, puis de l’utiliser à des fins d’extorsion. L’arrestation ne signifie pas non plus la fin des activités du groupe : les déclarations du FBI indiquent que l’enquête se concentre sur la découverte du réseau, de l’infrastructure et des membres restants. En revanche, la police néerlandaise a précisé que l’arrestation actuelle ne faisait pas partie de l’enquête sur le piratage de l’opérateur télécom néerlandais Odido, ce qui fixe d’importantes limites à ce qui peut être attribué à l’affaire à ce stade.