Un ressortissant russe de 28 ans, soupçonné d’être un cadre dirigeant du groupe de ransomware Qilin, a été arrêté au Japon puis extradé vers l’Allemagne début octobre. Cette interpellation est l’aboutissement d’une longue opération d’infiltration menée par les services de police allemands. L’homme est désormais en détention provisoire dans le cadre d’une enquête d’envergure baptisée « opération Albus ».
Une infiltration policière au cœur du réseau Qilin
Pour parvenir à identifier le suspect, les enquêteurs de la police criminelle de Rhénanie-du-Nord-Westphalie et du service central de lutte contre la cybercriminalité sont parvenus à s’immiscer directement au sein de l’organisation. Au lieu de simplement suivre les traces numériques laissées lors des cyberattaques, les forces de l’ordre ont réussi à infiltrer l’infrastructure du groupe pendant plusieurs mois sans éveiller les soupçons des pirates.
Cette présence clandestine a permis aux spécialistes d’accéder discrètement aux ordinateurs des cybercriminels, d’analyser leur réseau et de suivre les mouvements de leurs transactions en cryptomonnaies. Grâce à ce travail d’investigation, la police a pu associer une identité réelle à un pseudonyme utilisé au sein de Qilin. Localisé à Osaka lors d’un séjour à l’hôtel, le suspect a été interpellé par les autorités japonaises avant d’être extradé vers l’Allemagne, malgré l’absence de traité direct d’extradition entre les deux nations.
Le prévenu est notamment accusé d’avoir pris part à une attaque d’envergure menée en septembre 2024 contre une entreprise de logistique allemande. Lors de cet assaut, les piratages avaient conduit au chiffrement des données de la firme et à une demande de rançon fixée à environ 150 000 euros en bitcoins pour éviter leur divulgation.
Un géant du cybercrime adepte de la double extorsion
Apparu en 2022 sous l’appellation d’Agenda, le groupe Qilin s’est rapidement imposé comme un acteur majeur du modèle ransomware-as-a-service (RaaS). Les opérateurs du réseau développent les logiciels malveillants et mettent à disposition l’infrastructure technique nécessaire, tandis que des affiliés indépendants exécutent les attaques puis se partagent les revenus des extorsions.
Qilin applique systématiquement la méthode de la double extorsion : en plus de bloquer les systèmes informatiques en chiffrant les fichiers, le groupe exfiltre au préalable des données sensibles pour chanter ses cibles. Parmi les entités touchées par leurs opérations figurent de grands noms internationaux et français :
- Une filiale du constructeur automobile Nissan et le géant de la brasserie Asahi ;
- Plusieurs organisations et établissements du secteur de la santé ;
- Des entreprises françaises telles que Moon Safari et Maison Espinet.
Des dommages financiers colossaux et des attaques persistantes
Les estimations fournies par les autorités allemandes donnent la mesure de l’impact mondial de cette organisation criminelle. Depuis 2024, près de 4 000 organisations ont été ciblées à travers le monde, dont environ 150 sur le territoire allemand. L’ensemble des rançons réclamées par Qilin s’élèverait à près de trois milliards de dollars, pour au moins 140 millions de dollars effectivement versés par les victimes.
Bien que cette arrestation constitue une avancée importante pour les services de justice et de police, elle n’a pas interrompu le fonctionnement du groupe malveillant. Fonctionnant sur une structure décentralisée, Qilin poursuit ses offensives et a revendiqué plus de 450 nouvelles victimes sur son site de fuites depuis le mois de juin.