Coup de filet international : le groupe cybercriminel KillSec est démantelé, son cerveau n’aurait que 16 ans

Gros coup de filet pour une opération internationale : suspects identifiés, données saisies, perquisitions menées, arrestations réalisées… Les autorités ont démantelé KillSec, un groupe de rançongiciels sévissant depuis deux ans. Voici ce que l’on sait au lendemain de cette opération à succès.

Depuis 2024, un groupe de rançongiciels baptisé KillSec sévissait sur le web. Il était accusé d’exploiter les failles réseau et logicielles afin de siphonner des données sensibles à des fins d’extorsion et de chantage. D’après Europol, ce modus operandi a permis à KillSec d’obtenir des paiements de rançon « substantiels ».

Pour lutter contre le groupe, une opération internationale des forces de l’ordre a été montée en 2025. Baptisée « Operation KillSwitch », elle regroupait des autorités nationales (Allemagne, Belgique, Espagne, États-Unis, Finlande, Grèce, Pays-Bas, Roumanie, Royaume-Uni et Suisse), ainsi qu’Europol et Eurojust, mais aussi Group-IB et Bitdefender. Le 30 septembre, une action coordonnée a été lancée et elle s’est soldée par un véritable coup de filet.

Lire aussi – 373 000 sites supprimés en 10 jours : Europol visait un escroc du dark web, il fait aussi tomber ses « victimes »

Les autorités dissèquent le groupe KillSec et découvrent que son leader aurait 16 ans

Cette opération contre KillSec, dirigée par les autorités allemandes, est un succès d’après le rapport qu’en a fait Bleeping Computer. L’enquête a permis d’identifier des individus soupçonnés d’être un négociateur et un affilié, un membre présumé qui aurait la casquette de développeur, encore mineur au moment des faits qui lui sont reprochés. Ils ont surtout confondu l’administrateur et opérateur principal présumé du groupe : il n’a que 16 ans.  

Après avoir enquêté sur l’infrastructure de ce collectif criminel, les autorités sont aussi parvenues à identifier et fermer cinq serveurs : le principal, surtout, et d’autres servant prétendument d’espace de stockage pour les données dérobées. Le site de fuite de données de KillSec hébergé sur le dark web a également été saisi et affiche désormais une bannière en ce sens, qui redirige vers le site web de l’opération.

Elles ont également réussi à saisir au moins 110 téraoctets de données, coupant ainsi tout accès non autorisé en continu. 8 perquisitions ont également été menées en Europe (Espagne, Grèce, Royaume-Uni et Roumanie) et 3 suspects ont provisoirement été arrêtés.

L’enquête ne s’arrête toutefois pas là pour les autorités, qui doivent désormais exploiter les fruits de leurs saisies (ordinateurs, serveurs, données…), notamment pour identifier davantage de complices, victimes ou attaques ; mais également tenter de tracer les potentiels produits du crime du groupe, comme les cryptomonnaies.

Les premières analyses ont toutefois permis de découvrir que les cybercriminels utilisaient l’IA à bien des fins : identifier de potentielles victimes, concevoir et maintenir leur infrastructure de rançongiciels… Et l’enquête a, pour le moment, montré que près de 500 des attaques de KillSec étaient une réussite.