L’essentiel en bref<\/p>\n
- \n
- L’Office r\u00e9gional de police judiciaire de Hambourg a mis hors service cinq serveurs de KillSec et saisi cinq domaines ; trois suspects ont \u00e9t\u00e9 provisoirement arr\u00eat\u00e9s.<\/strong> <\/li>\n
- Les enqu\u00eateurs attribuent \u00e0 KillSec environ 1 000 attaques, dont au moins 70 pr\u00e9sentent un lien avec l’Allemagne.<\/strong> <\/li>\n
- KillSec s’introduisait dans les syst\u00e8mes par des failles logicielles et des acc\u00e8s mal s\u00e9curis\u00e9s, notamment au stockage cloud.<\/strong> <\/li>\n<\/ul>\n<\/div>\n
En lien :<\/strong> Le BKA traque le chef de REvil apr\u00e8s 130 attaques contre des cibles allemandes<\/a> \u00b7 S\u00fcdwestfalen-IT : la le\u00e7on de l’IT communale<\/a><\/p>\n
Un adolescent \u00e0 la t\u00eate du groupe<\/h2>\n
Les 110 t\u00e9raoctets au minimum proviennent d’attaques ant\u00e9rieures du groupe et sont d\u00e9sormais soustraits \u00e0 tout nouvel acc\u00e8s. Europol<\/a> a d\u00e9sign\u00e9 l’adolescent de 16 ans comme principal op\u00e9rateur pr\u00e9sum\u00e9 le 1er octobre 2026.<\/p>\n
Les autorit\u00e9s ont provisoirement arr\u00eat\u00e9 trois suspects et men\u00e9 huit perquisitions en Gr\u00e8ce, en Roumanie, en Espagne et au Royaume-Uni. Les enqu\u00eateurs attribuent aux suspects les r\u00f4les d’administrateur, de d\u00e9veloppeur, de n\u00e9gociateur et d’affili\u00e9. Un d\u00e9veloppeur pr\u00e9sum\u00e9 a eu 18 ans en ao\u00fbt 2026 et \u00e9tait encore mineur lors de certains des faits qui lui sont reproch\u00e9s. Les investigations concernant d’autres membres possibles se poursuivent.<\/p>\n
L’op\u00e9ration KillSwitch \u00e9tait dirig\u00e9e par l’Office r\u00e9gional de police judiciaire de Hambourg et le parquet de Hambourg. Des autorit\u00e9s de Belgique, de Finlande, d’Allemagne, de Gr\u00e8ce, des Pays-Bas, de Roumanie, d’Espagne, de Suisse, du Royaume-Uni et des \u00c9tats-Unis y ont particip\u00e9. Europol et Eurojust ont assur\u00e9 la coordination, avec le soutien des entreprises de cybers\u00e9curit\u00e9 Bitdefender et Group-IB. Les enqu\u00eates avaient d\u00e9but\u00e9 dans plusieurs pays au d\u00e9but de 2025.<\/p>\n
Qu’est-ce que le ransomware-as-a-service ?<\/h2>\n
Qu’est-ce que le ransomware-as-a-service ?<\/strong> Le ransomware-as-a-service (RaaS), ou ran\u00e7ongiciel en tant que service, est un mod\u00e8le \u00e9conomique dans lequel un groupe loue son logiciel d’extorsion et son infrastructure \u00e0 des \u00ab affili\u00e9s \u00bb. Ceux-ci m\u00e8nent les attaques et reversent aux op\u00e9rateurs une part de la ran\u00e7on ; pour KillSec 2.0, elle \u00e9tait de 12 %.<\/p>\n
Environ 1 000 attaques, dont 70 li\u00e9es \u00e0 l’Allemagne<\/h2>\n
L’Office r\u00e9gional de police judiciaire de Hambourg a mis hors service cinq serveurs de KillSec, dont le serveur principal et plusieurs serveurs d’exfiltration. Il a saisi cinq domaines du groupe et y a appos\u00e9 une banni\u00e8re de saisie. Il a \u00e9galement mis en ligne un site consacr\u00e9 \u00e0 l’op\u00e9ration. Les enqu\u00eateurs attribuent \u00e0 KillSec environ 1 000 attaques pr\u00e9sum\u00e9es dans le monde, dont environ 500 ont jusqu’ici \u00e9t\u00e9 identifi\u00e9es comme r\u00e9ussies. Au moins 70 affaires pr\u00e9sentent un lien avec l’Allemagne ; les enqu\u00eateurs de Hambourg disposent d’\u00e9l\u00e9ments sur 18 d’entre elles. Europol et les enqu\u00eateurs hambourgeois pr\u00e9cisent que ces chiffres peuvent encore \u00e9voluer au cours de l’analyse des preuves.<\/p>\n
\n\nenviron 1 000<\/div>\nattaques pr\u00e9sum\u00e9es dans le monde, \u00e9tat de l’enqu\u00eate au 1er octobre 2026 (Europol)<\/p>\n<\/div>\n
\nau moins 70<\/div>\naffaires li\u00e9es \u00e0 l’Allemagne, dont 18 pour lesquelles les enqu\u00eateurs de Hambourg disposent d’\u00e9l\u00e9ments (Europol)<\/p>\n<\/div>\n
\n110 To<\/div>\nde donn\u00e9es vol\u00e9es s\u00e9curis\u00e9es sur le site de divulgation (Europol)<\/p>\n<\/div>\n<\/div>\n
Group-IB<\/a> a surveill\u00e9 le site de divulgation et les canaux Telegram publics du groupe. Au total, 274 organisations y figuraient comme victimes. Environ 35 % \u00e9taient \u00e9tablies aux \u00c9tats-Unis, 17 % en Inde et 14 % en Europe. Les services financiers et le secteur de la sant\u00e9 \u00e9taient les plus touch\u00e9s. Group-IB a d\u00e9nombr\u00e9 274 victimes publiquement cit\u00e9es sur le site, tandis que les enqu\u00eateurs estiment \u00e0 environ 500 le nombre d’attaques r\u00e9ussies.<\/p>\n
Un mod\u00e8le \u00e9conomique avec une grille tarifaire<\/h2>\n
Selon les constatations des enqu\u00eateurs, KillSec est actif depuis environ 2024. Sur son site de divulgation sur le darknet, le groupe mena\u00e7ait les organisations touch\u00e9es de publier leurs donn\u00e9es d\u00e9rob\u00e9es. Si elles ne payaient pas, KillSec pouvait y proposer leurs fichiers en t\u00e9l\u00e9chargement gratuit. Dans certains cas, le groupe a encaiss\u00e9 des ran\u00e7ons importantes.<\/p>\n
KillSec vendait aussi les donn\u00e9es vol\u00e9es \u00e0 prix fixe. Group-IB \u00e9voque environ 4 400 euros pour les jeux de donn\u00e9es d’une seule entreprise. Pour des donn\u00e9es que le groupe affirmait avoir d\u00e9rob\u00e9es \u00e0 un assureur mondial, il r\u00e9clamait environ 440 000 euros.<\/p>\n
En parall\u00e8le, KillSec a d\u00e9velopp\u00e9 un mod\u00e8le de partenariat. En octobre 2024, Group-IB a analys\u00e9 la plateforme d’affiliation KillSec 2.0 : l’acc\u00e8s co\u00fbtait environ 220 euros, auxquels s’ajoutait une part de 12 % de la ran\u00e7on. En novembre 2024, le groupe a annonc\u00e9 un programme de verrouillage pour les h\u00f4tes VMware ESXi. Il arr\u00eate les machines virtuelles, supprime les snapshots et efface les journaux. En janvier 2025, KillSec recherchait des testeurs d’intrusion et exigeait un d\u00e9p\u00f4t d’environ 880 euros ou une r\u00e9putation \u00e9tablie sur un forum, ainsi qu’une part de 20 % de la ran\u00e7on.<\/p>\n
Le point d’entr\u00e9e : les acc\u00e8s cloud expos\u00e9s<\/h2>\n
Pour les responsables de la s\u00e9curit\u00e9, le mode d’intrusion est essentiel. KillSec p\u00e9n\u00e9trait dans les syst\u00e8mes par des failles logicielles et des points d’acc\u00e8s insuffisamment s\u00e9curis\u00e9s, notamment au stockage cloud. Selon Europol, le groupe utilisait l’intelligence artificielle pour construire et exploiter son infrastructure et identifier des victimes potentielles.<\/p>\n
Group-IB recommande cinq mesures. Face au programme de verrouillage ESXi qui supprime les snapshots, la protection des sauvegardes et de la virtualisation est particuli\u00e8rement importante.<\/p>\n
\nCinq mesures recommand\u00e9es par Group-IB<\/p>\n
- \n
- \u2713<\/span>Tenir \u00e0 jour un inventaire de tous les actifs expos\u00e9s \u00e0 Internet, y compris le stockage cloud et les acc\u00e8s \u00e0 distance.<\/li>\n
- \u2713<\/span>Prot\u00e9ger les acc\u00e8s \u00e0 distance par une authentification multifacteur.<\/li>\n
- \u2713<\/span>Corriger en priorit\u00e9 les failles d\u00e9j\u00e0 activement exploit\u00e9es.<\/li>\n
- \u2713<\/span>Conserver les sauvegardes hors ligne et immuables, et prot\u00e9ger tout particuli\u00e8rement les plateformes de virtualisation.<\/li>\n
- \u2713<\/span>Surveiller les sites de divulgation et les march\u00e9s clandestins.<\/li>\n<\/ul>\n<\/div>\n
Pourquoi les arrestations comptent<\/h2>\n
Dmitry Volkov, PDG de Group-IB, mesure avant tout la r\u00e9ussite \u00e0 l’identification des auteurs. Les serveurs peuvent \u00eatre remplac\u00e9s en quelques semaines, a-t-il expliqu\u00e9. Seule l’identification des personnes qui d\u00e9veloppent la plateforme et autorisent chaque attaque transforme un d\u00e9mant\u00e8lement d’une pause en une fin. L’op\u00e9ration KillSwitch a agi sur les deux plans : les enqu\u00eateurs ont mis hors service cinq serveurs, saisi les domaines et, parall\u00e8lement, identifi\u00e9 des suspects dans l’administration, le d\u00e9veloppement, la n\u00e9gociation et l’activit\u00e9 d’affiliation. L’ampleur de l’effet durable sur le groupe d\u00e9pend des enqu\u00eates en cours sur d’autres membres.<\/p>\n
Questions fr\u00e9quentes<\/h2>\n
Chaque question est verrouill\u00e9e. Un appui d\u00e9verrouille la r\u00e9ponse.<\/p>\n
\nQui se cache derri\u00e8re KillSec ?<\/strong><\/summary>\n
Les enqu\u00eateurs ont identifi\u00e9 un adolescent de 16 ans comme principal op\u00e9rateur pr\u00e9sum\u00e9. Ils attribuent \u00e0 d’autres suspects les r\u00f4les d’administrateur, de d\u00e9veloppeur, de n\u00e9gociateur et d’affili\u00e9. Trois suspects ont \u00e9t\u00e9 provisoirement arr\u00eat\u00e9s ; les investigations concernant d’autres membres possibles se poursuivent.<\/p>\n<\/details>\n
\nCombien d’entreprises en Allemagne sont touch\u00e9es ?<\/strong><\/summary>\n
Selon l’\u00e9tat de l’enqu\u00eate au 1er octobre 2026, au moins 70 des quelque 1 000 attaques pr\u00e9sum\u00e9es pr\u00e9sentent un lien avec l’Allemagne. Les enqu\u00eateurs de Hambourg disposent d’\u00e9l\u00e9ments sur 18 affaires. Ces chiffres peuvent \u00e9voluer au cours des analyses compl\u00e9mentaires.<\/p>\n<\/details>\n
\nComment KillSec s’introduisait-il dans les syst\u00e8mes des victimes ?<\/strong><\/summary>\n
Le groupe exploitait des failles logicielles et des points d’acc\u00e8s insuffisamment s\u00e9curis\u00e9s, notamment au stockage cloud. Group-IB recommande donc de tenir \u00e0 jour l’inventaire des actifs expos\u00e9s \u00e0 Internet, de prot\u00e9ger les acc\u00e8s \u00e0 distance par une authentification multifacteur, de prioriser les correctifs et de conserver des sauvegardes hors ligne et immuables.<\/p>\n<\/details>\n
<\/p>\n
S\u00e9lection de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/09\/screenconnect-client-fuehrt-dateien-ohne-host-ok-aus-cover-hero-250x140.jpg\")
<\/span>\u00c0 lire<\/span>Client ScreenConnect : fichiers lanc\u00e9s sans accord de l\u2019h\u00f4te<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/09\/it-ausfall-ueben-bevor-niemand-mehr-entscheidet-cover-hero-250x143.png\")
<\/span>\u00c0 lire<\/span>S’exercer \u00e0 la panne IT avant que plus personne ne d\u00e9cide<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/sma-hotfix-reicht-nicht-sieben-checks-cover-hero-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Correctif SMA insuffisant : sept v\u00e9rifications \u00e0 faire<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/10\/net-aws-laesst-bei-stoerungen-einen-ki-agent-38991680.jpg\")
<\/span>cloudmagazin<\/span>AWS laisse un agent d’IA chercher avec l’\u00e9quipe en cas d’incident<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/10\/net-ki-ausgaben-steigen-skaliert-hat-nur-jed-3763679-250x141.jpg\")
<\/span>Digital Chiefs<\/span>Les d\u00e9penses en IA augmentent, mais seule une entreprise sur cinq a r\u00e9ussi \u00e0 passer \u00e0 l’\u00e9chelle<\/span><\/span><\/a><\/p>\nSource de l’image : g\u00e9n\u00e9r\u00e9e par IA (octobre 2026)<\/p>\n","protected":false},"excerpt":{"rendered":"Les enqu\u00eateurs ont d\u00e9mantel\u00e9 KillSec. Son chef pr\u00e9sum\u00e9 a 16 ans ; les intrusions passaient souvent par le stockage cloud.","protected":false},"author":50,"featured_media":24465,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"KillSec","_yoast_wpseo_title":"KillSec d\u00e9mantel\u00e9 : un adolescent de 16 ans soup\u00e7onn\u00e9 de le diriger","_yoast_wpseo_metadesc":"Les enqu\u00eateurs ont d\u00e9mantel\u00e9 KillSec. Son chef pr\u00e9sum\u00e9 a 16 ans ; les intrusions passaient souvent par le stockage cloud.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"fr","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[252],"tags":[],"class_list":["post-24566","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-actualites"],"evm_reading_time_minutes":8,"wpml_language":"fr","wpml_translation_of":24463,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/24566","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=24566"}],"version-history":[{"count":1,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/24566\/revisions"}],"predecessor-version":[{"id":24567,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/24566\/revisions\/24567"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/24465"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=24566"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=24566"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=24566"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
- \u2713<\/span>Prot\u00e9ger les acc\u00e8s \u00e0 distance par une authentification multifacteur.<\/li>\n
- Les enqu\u00eateurs attribuent \u00e0 KillSec environ 1 000 attaques, dont au moins 70 pr\u00e9sentent un lien avec l’Allemagne.<\/strong> <\/li>\n