Contexte et activité de ShinyHunters

Le groupe de hackers ShinyHunters, actif depuis 2019, a revendiqué plus d’une dizaine de fuites majeures. Après l’arrestation successive de ses membres français, la direction du groupe a été prise par « Rey », un adolescent jordanien. Selon le FBI, le groupe a extorqué plus de 70 millions de dollars en 2026, dont une partie provient d’une intrusion sur le site de recrutement du FBI (fbijobs.gov) où ont été volés dossiers médicaux, numéros de sécurité sociale et informations de service.

Fonctionnement du site d’extorsion Shinywire

Shinywire, le site d’extorsion exploité par le groupe, a fonctionné du 3 mai au 16 octobre 2026. Il affichait près de 100 organisations compromises, chaque page proposant un formulaire de contact et des extraits de données volées. Le modèle imposait aux victimes de négocier sous sept jours, sous peine de voir leurs fichiers publiés sur un blog accessible uniquement via le réseau Tor. Cette pression temporelle visait à réduire le temps de réaction des entreprises et à maximiser les paiements.

Implication des négociateurs et enquête fédérale

Les enquêteurs américains ont découvert que des cadres de deux sociétés de négociation de rançon, dont une basée aux États‑Unis avec plus de 1 000 employés, entretenaient des contacts étroits avec ShinyHunters. Un de ces cadres aurait aidé à la mise en ligne de Shinywire, facilitant la diffusion des exigences de paiement. Les communications ont été révélées grâce à l’arrestation du hacker néerlandais Pepijn van der Stap le 15 septembre 2026. Les forces de l’ordre néerlandaises ont utilisé des grenades flash‑bang pour le neutraliser alors qu’il était connecté à son compte Signal, permettant la lecture de ses messages avec les négociateurs canadiens et américains.

Parmi les interlocuteurs identifiés, Edward Dubrovsky, cadre canadien de 54 ans, a été arrêté le 9 octobre 2026. Il était l’auteur d’un livre sur la gestion de l’extorsion et a été inculpé pour menaces de divulgation de données et extorsion interétatique. Les messages Signal montrent que Dubrovsky était informé du vol de données du FBI avant que le groupe ne menace de les publier sur Twitter/X, mais n’a pas alerté les autorités.

Analyse des risques et limites de l’enquête

Le recours à des négociateurs externes crée une couche d’obfuscation qui complique le traçage des flux financiers et des responsabilités légales. La présence d’un site dédié comme Shinywire centralise les demandes, mais expose également les opérateurs à des saisies rapides dès la découverte d’activités illicites. L’utilisation de Signal, réputée pour son chiffrement de bout en bout, n’a pas empêché la capture des métadonnées et du contenu lorsqu’un dispositif a été saisi physiquement. Cependant, l’enquête reste partielle : les noms des cadres américains et le nom exact de la société de conseil ne sont pas révélés, limitant la visibilité sur l’ensemble du réseau de soutien au groupe. De plus, l’impact réel des 70 M$ d’extorsion n’est pas détaillé, ce qui empêche d’évaluer la proportion des paiements obtenus via Shinywire versus d’autres canaux.