En quelques jours, le groupe d’extorsion ShinyHunters a revendiqué la prise de contrôle du site de fuites de son rival Clop, puis une intrusion au FBI assortie du vol de données sur la quasi-totalité des agents du bureau. D’après les vérifications de Reuters, une partie des informations exhibées semble authentique, mais leur provenance reste à établir.
Une riposte revendiquée contre le FBI
Selon Reuters, ShinyHunters a annoncé mardi 22 septembre avoir pénétré le Federal Bureau of Investigation et dérobé des informations sur un très grand nombre d’employés, actuels comme anciens. Le groupe affirme détenir des données sur « presque TOUS les agents du FBI », mais aussi sur les personnes ayant candidaté pour y travailler. Côté FBI, la communication reste minimale : l’agence a indiqué à Reuters avoir connaissance d’allégations d’activité non autorisée visant FBIjobs.gov et mener l’enquête.
Le mobile, ShinyHunters l’affiche ouvertement. Sur son site du dark web comme lors d’un échange en ligne avec l’agence de presse, le groupe présente l’opération comme une réponse à une communication du FBI de mai 2026. Celle-ci détaillait ses méthodes et recommandait aux victimes de ne pas payer.
Des preuves partielles, une origine incertaine
À l’appui de ses dires, ShinyHunters a transmis une capture d’écran présentée comme celle du site de recrutement du FBI défiguré, ainsi qu’un échantillon portant, selon lui, sur quelque 5 000 agents. Reuters précise ne pas avoir pu vérifier l’authenticité de la capture. Le site de recrutement a toutefois bien connu des perturbations : un message publié mardi signalait l’indisponibilité du site et du portail des candidats au poste d’agent spécial.
Toujours selon Reuters, l’échantillon semble contenir des éléments particulièrement sensibles : noms, adresses personnelles, numéros de sécurité sociale, affectations et, dans certains cas, noms des membres de la famille. En croisant ces données avec des fichiers d’agences d’évaluation du crédit et des fuites antérieures conservées par la société District 4 Labs, l’agence a relevé au moins dix concordances, dont une concernant le directeur du FBI, Kash Patel. Une source proche du dossier lui a indiqué que certaines descriptions de postes correspondent également. Reste une zone d’ombre de taille : Reuters n’a pas pu déterminer d’où proviennent ces données, ni si elles ont réellement été extraites des systèmes internes du FBI. Les personnes figurant dans l’échantillon n’ont pas pu être jointes.
Interrogée par Reuters, Cynthia Kaiser, ancienne responsable du FBI aujourd’hui vice-présidente senior chez Halcyon, juge ce type de fuite « incroyablement nocif » : il permet aux criminels d’exposer et de mettre sous pression ceux qui enquêtent sur eux. Elle rappelle qu’une fuite remontant à 2016 sert encore ponctuellement à harceler des agents. Car une fois volées, ces informations sont exploitées « pour toujours ».
Règlement de comptes public avec Clop
L’offensive contre le FBI survient juste après un autre coup d’éclat. Actif depuis 2019 et motivé par l’appât du gain, ShinyHunters s’est fait une spécialité du vol massif de données suivi de chantage, sans recourir systématiquement au rançongiciel, rappelle Pieter Arntz dans un billet publié le 21 septembre sur le blog de Malwarebytes. Parmi ses cibles récentes figure Instructure, éditeur de la plateforme Canvas, à qui le groupe affirme avoir dérobé 3,65 To de données appartenant à environ 9 000 établissements d’enseignement supérieur. Reuters évoque une intrusion survenue en mai qui a largement perturbé les écoles américaines, mais aussi le vol présumé de millions de documents commerciaux chez Rockstar Games. Début septembre, Anthropic a par ailleurs signalé avoir surpris des pirates liés à ShinyHunters en train d’essayer d’utiliser ses outils, note l’agence.
Cette fois, la cible est un concurrent. Dimanche, ShinyHunters a déclaré à Reuters être entré en guerre contre Clop. D’après BleepingComputer, cité par Malwarebytes, l’attaque a débuté vendredi soir : le groupe dit avoir exploité une faille du CMS Grav pour déposer un petit fichier texte sur le site de fuites de son rival, avant d’affirmer quelques heures plus tard l’avoir « complètement défiguré ». ShinyHunters assure en outre détenir les clés Onion de Clop, ce qui lui permettrait d’héberger la même adresse même en cas d’expulsion. Malwarebytes rappelle que Clop exploite lui-même à grande échelle les vulnérabilités des logiciels d’entreprise et des plateformes de transfert de fichiers. Sa récente campagne contre PTC Windchill a d’ailleurs débouché sur plus de 40 victimes présumées, parmi lesquelles Shell, Philips ou Fiserv.
Sur le site détourné, une « Note à Cl0p » égrène les exigences. ShinyHunters réclame l’argent tiré de la campagne EBS, intérêts compris, faute de quoi il menace de divulguer les entreprises ayant payé, les montants versés et les adresses Bitcoin. Il exige aussi des excuses publiques et évoque une somme à huit chiffres, « négociable ». À l’origine de la querelle, selon la version de ShinyHunters rapportée par Malwarebytes : la perturbation d’une campagne de vol de données menée par Clop, suivie de menaces de dévoilement d’identité et de violence. Le groupe accuse Clop de lui avoir « volé » la campagne Oracle EBS l’an dernier, et affirme qu’un membre du gang rival lui a écrit en russe qu’il allait bientôt le tuer. ShinyHunters se targue désormais d’un score de « 3 victoires pour 0 défaite ». Reuters le décrit comme l’un des groupes de pirates les plus notoires et les plus avides d’attention au monde.
