// CLUBIC — CYBERSECURITY
À 16 ans, il est soupçonné d’avoir dirigé un groupe de ransomware responsable de 1 000 attaques
Le principal opérateur présumé de KillSec n’a que 16 ans. Mercredi, la police espagnole l’a interpellé dans la province d’Alicante, au cours d’une opération coordonnée à l’échelle européenne. Ce groupe de ransomware est soupçonné de près de 1 000 attaques dans le monde depuis 2024.
Les enquêteurs ont identifié quatre rôles au sein de KillSec, et l’adolescent occupait celui d’administrateur principal. Lors de cette journée d’action, les forces de l’ordre ont aussi arrêté deux hommes d’une vingtaine d’années, au Royaume-Uni et en Roumanie. Les enquêteurs tombent régulièrement sur des pirates très jeunes, en France aussi, où un hacker de 18 ans a été placé en détention provisoire début septembre dans l'affaire du piratage des impôts, tandis qu’un complice présumé de 16 ans a été entendu. Derrière KillSec, les polices européennes et le FBI ont trouvé un service de ransomware loué à d’autres pirates, avec un adolescent à sa tête.
En 2025, le bureau du FBI de San Juan, à Porto Rico, a demandé à la Guardia Civil de l’aider à retrouver des membres de KillSec installés en Espagne. Les gendarmes espagnols ont localisé le suspect dans la province d’Alicante grâce à une simple photo de profil. En Catalogne, la police régionale a ouvert de son côté une enquête après une attaque contre une organisation de la région, début 2025. Ses enquêteurs estiment les dégâts à près d’un million d’euros et soupçonnent KillSec d’en être l’auteur.
Europol et Eurojust ont ensuite coordonné le travail des polices de plusieurs pays, avec l’appui des spécialistes en cybersécurité de Bitdefender et de Group-IB. Pour Eurojust, les autorités ont « démantelé avec succès un groupe de ransomware ». Lors des perquisitions dans la province d’Alicante, les gendarmes ont saisi du matériel informatique et des portefeuilles de cryptomonnaies. Dès une première analyse, ils ont repéré des transactions qui correspondent aux rançons versées par certaines victimes.
La police et le parquet de Hambourg ont piloté l'opération KillSwitch. Leurs enquêteurs ont mis hors ligne cinq serveurs, dont le serveur principal du groupe et plusieurs machines de stockage des données volées, puis placé sous scellés 110 téraoctets de données. Une bannière de saisie est désormais affichée sur cinq noms de domaine de KillSec.
La justice de Porto Rico a demandé l'extradition du suspect arrêté au Royaume-Uni, a précisé un porte-parole d’Europol à Reuters. En Roumanie, les procureurs spécialisés dans la criminalité organisée ont interpellé un homme de 24 ans et perquisitionné quatre logements à Bucarest et dans le comté de Vaslui. Le 1er octobre, ils ont demandé à un tribunal de Bucarest son placement en détention provisoire pour 30 jours. Il est présumé innocent. Le développeur présumé du groupe, qui a eu 18 ans en août, était mineur au moment d’une partie des faits. Les enquêteurs l’ont identifié sans l’arrêter.
En juin 2024, KillSec a ouvert son ransomware à des affiliés, d’après les chercheurs de Rapid7. Des pirates extérieurs pouvaient alors louer les outils du groupe et lancer eux-mêmes des attaques. Pour entrer dans les systèmes des organisations, les membres de KillSec exploitaient des failles logicielles et des accès mal sécurisés, en particulier ceux du stockage cloud, d'après la police de Hambourg. Ils copiaient ensuite les données internes sensibles vers leurs serveurs, puis affichaient le nom de chaque victime sur leur site de fuite du dark web. Faute de paiement, les fichiers volés pouvaient être proposés en téléchargement libre.
Les procureurs roumains ajoutent que les membres du groupe achetaient des identifiants d’accès sur le dark web. Ils envoyaient aussi à leurs cibles un extrait des données volées en guise de preuve, et menaçaient de les revendre à d’autres groupes criminels si la victime ne payait pas.
Au total, les enquêteurs examinent près de 1 000 attaques présumées, dont environ 500 réussies. La police espagnole compte plus de 280 victimes, et la police de Hambourg au