Les autorités fédérales américaines poursuivant le groupe de pirates informatiques ShinyHunters ont identifié des dirigeants de deux entreprises distinctes de négociation de rançons qui entretenaient des relations anormalement étroites avec les extorqueurs. Selon des sources proches de l'enquête, un dirigeant basé aux États-Unis aurait aidé ShinyHunters à exploiter un site web conçu pour exercer une pression sur les victimes afin qu'elles paient des rançons. L'enquête s'est intensifiée après que ShinyHunters a récemment volé des données hautement sensibles du FBI, incitant à une action rapide pour arrêter et interroger des personnes ayant des liens de communication avec le groupe.

ShinyHunters a revendiqué la responsabilité de dizaines de violations majeures de données depuis 2019. À l'origine exploité par des cybercriminels en France, le contrôle de la marque est finalement passé à un jeune pirate informatique d'Amman, en Jordanie, connu sous le nom de "Rey". Le FBI rapporte que ShinyHunters a extorqué plus de 70 millions de dollars aux victimes rien que cette année. Fin septembre, le groupe a piraté le site web de recrutement du FBI, fbijobs.gov, menaçant de publier des fichiers volés contenant des dossiers médicaux, des numéros de sécurité sociale et les adresses domicile des employés. Suite à la violation, Reuters a rapporté le 3 octobre que Rey avait été détenu par les autorités jordaniennes et collaborait avec le FBI.

L'enquête a pris une ampleur significative après l'arrestation par les autorités néerlandaises du pirate informatique condamné Pepijn van der Stap le 15 septembre 2026. La police a utilisé des grenades flash-bang pour appréhender Van der Stap alors qu'il était connecté à divers comptes en ligne. Les autorités ont saisi son compte de messagerie instantanée Signal, révélant des communications avec des contacts fréquents, notamment des négociateurs de rançons au Canada et aux États-Unis. Ces messages ont fourni des preuves clés reliant des dirigeants à un complot d'assassinat sur commande qui aurait émergé immédiatement après l'arrestation de Van der Stap, bien qu'il n'y ait aucune indication que les ordres aient été exécutés.

Le 9 octobre, le FBI a arrêté Edward Dubrovsky, un dirigeant canadien de la cybersécurité âgé de 54 ans et auteur d'un livre sur la gestion de l'extorsion cybernétique. Les dossiers judiciaires accusent Dubrovsky de menacer de divulguer des données volées et de perturber le commerce interétatique par extorsion. Des sources indiquent que les messages de Van der Stap montraient que Dubrovsky conversait fréquemment avec lui et avec au moins un dirigeant d'une grande firme de conseil basée aux États-Unis. Ces dirigeants auraient connu des détails sur les nouvelles victimes de ShinyHunters avant même que les victimes elles-mêmes ne soient conscientes des violations. De plus, les enquêteurs ont découvert que Dubrovsky savait que ShinyHunters avait volé des données sensibles des serveurs du FBI mais n'avait pas informé le bureau avant que le groupe ne menace de publier les fichiers sur les réseaux sociaux.

Les enquêteurs fédéraux estiment qu'un dirigeant d'une prestigieuse firme de conseil américaine comptant plus de 1 000 associés a joué un rôle actif dans l'exploitation de "shinywire[.]com", un site web d'extorsion désormais disparu utilisé par ShinyHunters. Le site était actif du 3 mai 2026 au 16 octobre et présentait des entrées pour près de 100 organisations piratées. Chaque entrée exhortait les victimes à négocier les termes de paiement et incluait des échantillons de fichiers volés, promettant leur publication si les exigences étaient ignorées. Les organisations qui refusaient de s'engager dans un délai de sept jours avaient leurs données publiées sur un blog d'humiliation de ShinyHunters accessible uniquement via le réseau Tor.

L'enquête a également mis au jour une histoire complexe impliquant Daniel Tobok, ancien PDG de Cypfer, connu dans les cercles de rançon sous le surnom de "Ghostbyte". En 2018, un représentant du ransomware Dharma a dirigé une victime vers une entreprise informatique à l'adresse ghostbyte@tutanota.com pour obtenir des garanties sur le paiement. Bien qu'il ne soit pas clair si Tobok a utilisé cette adresse spécifique, le service de suivi des violations Constella Intelligence a trouvé son e-mail associé à des comptes en ligne utilisant le nom d'utilisateur "ghostbyte". Cypfer a déclaré dans un communiqué que son activité ne comprenait pas la facilitation des paiements de rançons et n'avait aucune connaissance préalable de l'arrestation de Dubrovsky.

L'affaire met en lumière les intérêts conflictuels au sein de l'industrie de la réponse aux incidents cybernétiques. Bien que le paiement des pirates ne soit pas illégal aux États-Unis, les experts avertissent que ShinyHunters conserve souvent les données volées malgré ses promesses de les supprimer. Le FBI a émis une alerte le 15 mai 2026, conseillant aux victimes de ne pas payer le groupe. Des membres de ShinyHunters auraient harcelé des employés d'entreprises comme Coveware et Unit 221B pour avoir conseillé à leurs clients de ne pas payer, les chats internes révélant une frustration que ces entreprises faisaient baisser leurs taux de paiement.

Les leaders de l'industrie notent que certains négociateurs facturent un pourcentage du montant total de la rançon, créant ainsi une incitation à maximiser les paiements plutôt qu'à les négocier à la baisse. Le Département de la Justice des États-Unis a récemment poursuivi plusieurs négociateurs pour conspiration avec des cybercriminels. En octobre, le PDG de MonsterCloud, Zohar Pinhasi, a été accusé de fraude téléphonique pour avoir prétendument facturé 19 millions de dollars à ses clients tout en payant secrètement 8 millions de dollars aux pirates. De plus, Angelo Martino a été condamné à 70 mois de prison en juillet pour avoir conspiré avec le groupe Blackcat/ALPHV afin d'extorquer des victimes.

Sources: Krebs on Security.