Les forces de l’ordre européennes ont porté un coup d’arrêt majeur aux activités du groupe cybercriminel KillSec en démantelant son infrastructure et en arrêtant ses membres présumés. À la surprise des enquêteurs, le chef présumé de cette organisation responsable de plus de 1 000 cyberattaques n’est âgé que de 16 ans. Menée sous l’égide de la police allemande et d’Europol, l’opération internationale a permis de sécuriser une quantité massive de données volées.
L’opération KillSwitch met fin aux activités de KillSec
L’enquête, baptisée opération KillSwitch, a été coordonnée par la police criminelle allemande et le parquet de Hambourg, avec le soutien de dix pays dont la Belgique, l’Espagne, le Royaume-Uni et les États-Unis. Le 30 septembre 2026, les autorités ont pris le contrôle du site de fuite du groupe ainsi que de cinq de leurs serveurs principaux. Cette prise de contrôle a permis de mettre en sécurité au moins 110 téraoctets de données confidentielles dérobées à de nombreuses organisations.
Au cours des interventions, huit perquisitions ont été exécutées dans plusieurs pays européens, notamment en Grèce, en Roumanie, en Espagne et au Royaume-Uni. Ces actions conjointes ont mené à l’arrestation de trois suspects clés. Outre l’administrateur adolescent de 16 ans, les forces de l’ordre ont interpellé le développeur présumé du rançongiciel, âgé de 18 ans, ainsi qu’un négociateur et un affilié du réseau.
Un mode opératoire rodé basé sur la double extorsion et l’IA
Actif depuis 2024 et sous la surveillance accrue des autorités depuis début 2025, le collectif KillSec s’est spécialisé dans les attaques par rançongiciel et l’extorsion de données. Le groupe ciblait principalement des vulnérabilités connues et des accès mal sécurisés, en particulier les espaces de stockage cloud mal protégés. Une fois infiltrés, les pirates copiaient l’intégralité des fichiers sensibles vers leurs propres serveurs avant d’exiger une rançon.
Le gang recourait à la technique dite de double extorsion. Dans un premier temps, les données de la victime étaient chiffrées pour bloquer son fonctionnement opérationnel. Dans un second temps, les hackers menaçaient de publier l’ensemble des documents confidentiels sur le dark web si la somme demandée n’était pas versée. Au total, sur plus de 1 000 tentatives, environ 500 attaques sont arrivées à leurs fins, touchant au moins 70 entreprises et institutions en Allemagne.
Une particularité notable de KillSec réside dans l’utilisation de technologies récentes pour accroître son efficacité :
- Utilisation de l’intelligence artificielle pour automatiser la recherche de victimes potentielles ;
- Déploiement de l’IA pour concevoir et maintenir l’infrastructure technique du groupe ;
- Blanchiment et dissimulation des fonds extorqués à travers des transactions en cryptomonnaies.
La prolifération des jeunes profils dans la cybercriminalité
Cette affaire met de nouveau en lumière la présence croissante de très jeunes profils à la tête d’organisations cybercriminelles sophistiquées. Les enquêteurs examinent désormais le matériel informatique et les serveurs saisis afin de retracer les flux financiers en cryptomonnaies et d’identifier d’éventuels complices supplémentaires.
Ce démantèlement rappelle d’autres coups de filet récents ciblant des réseaux similaires. Récemment, d’autres jeunes hackers mineurs ont été interpellés pour leur participation à des vagues d’attaques massives ou leur affiliation à des groupes redoutables comme Scattered Spider, confirmant une tendance inquiétante que les services de police internationaux cherchent désormais à juguler activement.