Une opération internationale coordonnée autour des autorités allemandes a permis de prendre le contrôle de l’infrastructure de KillSec, un groupe d’extorsion actif depuis 2024. Trois suspects ont été arrêtés et les enquêteurs désignent un adolescent de 16 ans comme l’administrateur et principal opérateur présumé du groupe.
Cinq serveurs saisis et 110 To de données récupérées
L’opération, baptisée KillSwitch, a été menée le 30 septembre avec l’appui de plusieurs pays européens, des États-Unis, d’Europol et d’Eurojust. Europol indique que huit perquisitions ont été menées en Espagne, en Grèce, en Roumanie et au Royaume-Uni, tandis que cinq serveurs centraux utilisés par KillSec ont été placés sous contrôle des enquêteurs. Le site de fuite du groupe, utilisé pour publier ou menacer de publier les données de ses victimes, a également été saisi.
Les forces de l’ordre indiquent avoir sécurisé au moins 110 téraoctets de données volées, afin d’empêcher leur diffusion ou leur réutilisation. L’enquête porte sur environ 1 000 attaques présumées dans le monde, dont près de 500 auraient effectivement abouti à une compromission. Ce bilan reste provisoire, les autorités continuant d’examiner les équipements et données récupérés.
KillSec s’en prenait principalement à des organisations dont les systèmes présentaient des vulnérabilités connues ou des accès insuffisamment protégés, notamment dans des environnements cloud. Une fois les données exfiltrées, les victimes étaient inscrites sur le site du groupe et menacées de publication en cas de refus de payer. Europol précise que certaines rançons ont atteint des montants importants, sans communiquer de chiffres globaux.
Des suspects très jeunes au cœur du groupe
L’élément le plus inhabituel de l’enquête concerne l’âge de plusieurs suspects. Selon Europol, le principal administrateur présumé de KillSec n’aurait que 16 ans. Un autre suspect, présenté comme développeur, a eu 18 ans en août 2026 mais était encore mineur au moment d’une partie des faits qui lui sont reprochés. Les enquêteurs disent également avoir identifié des profils jouant les rôles de négociateur et d’affilié.
Le jeune administrateur présumé a été interpellé en Espagne. Les deux autres arrestations ont eu lieu au Royaume-Uni et en Roumanie. Les investigations se poursuivent pour identifier d’autres participants éventuels et suivre les revenus tirés des activités du groupe, notamment en cryptomonnaies.
Europol indique par ailleurs que KillSec utilisait déjà des outils d’intelligence artificielle pour maintenir certaines briques de son infrastructure et rechercher de nouvelles victimes. Là encore, les autorités restent prudentes sur le rôle exact joué par ces outils dans les attaques elles-mêmes.
