Selon des informations, des enquêteurs fédéraux américains soupçonneraient que des dirigeants liés à des sociétés de négociation de rançongiciels entretenaient des liens inhabituellement étroits avec ShinyHunters, et qu'un dirigeant d'un grand cabinet de conseil américain aurait contribué à faire fonctionner le site d'extorsion du groupe.
Ces informations proviennent d'une enquête de KrebsOnSecurity fondée en grande partie sur des sources anonymes, des dossiers judiciaires et des articles déjà publiés. Le dirigeant du cabinet de conseil non nommé n'a pas été inculpé, selon le rapport.
Un second protagoniste, Edward Dubrovsky, cadre canadien de la cybersécurité, fait l'objet de poursuites pour menace de divulgation de données volées et entrave au commerce interétatique par extorsion. KrebsOnSecurity a signalé son arrestation le 9 octobre. Le lien présumé entre l'affaire Dubrovsky et ShinyHunters provient des sources de la publication, et non des accusations rendues publiques.
Shinywire agissait comme une plateforme de pression au paiement
Le lien opérationnel contesté tourne autour de shinywire[.]com, un site d'extorsion qui, selon Krebs, est devenu actif vers le 3 mai 2026. Le domaine était hors service au plus tard le 16 octobre.
Le site comptait des fiches pour près de 100 organisations que ShinyHunters affirmait avoir compromises. Chaque page cherchait à amener l'organisation à engager des discussions sur le paiement, en affichant des échantillons de fichiers prétendument volés et en menaçant de les publier si la demande restait sans réponse.
Les organisations qui ne réagissaient pas dans un délai de sept jours auraient été transférées vers un autre site de ShinyHunters, destiné à exposer les victimes et accessible via Tor. Les quelque 100 entrées correspondent à des organisations nommées par les attaquants, et non à un décompte confirmé d'intrusions réussies ou de personnes touchées.
Parmi les entreprises citées figurait Intuitive Surgical. Selon le rapport, cette société américaine de technologies médicales aurait été compromise en mars 2026, après qu'un message d'hameçonnage ciblé a permis de compromettre les identifiants d'un salarié. Ce cas décrit un point d'entrée et ne doit pas être considéré comme la méthode utilisée contre toutes les organisations figurant sur le site.
Deux sources anonymes ont indiqué à Krebs que les enquêteurs du FBI estiment qu'au moins un dirigeant d'un cabinet de conseil américain comptant plus de 1 000 collaborateurs a activement contribué à gérer Shinywire. Ni le cabinet ni le dirigeant soupçonné n'ont été identifiés.
Des messages Signal auraient élargi l'enquête
Les autorités néerlandaises ont arrêté Pepijn van der Stap, pirate informatique condamné et participant présumé de ShinyHunters, dans la soirée du 15 septembre 2026. Selon des informations, la police aurait utilisé des grenades assourdissantes alors qu'il était connecté à des comptes en ligne.
Une source anonyme a indiqué que Van der Stap utilisait alors Signal, ce qui a permis aux enquêteurs de lire des conversations récentes avec des contacts réguliers. Ces contacts incluraient, toujours selon les informations disponibles, des négociateurs de rançongiciels au Canada et aux États-Unis.
D'après la description des messages donnée par cette source, Van der Stap communiquait régulièrement avec Dubrovsky et avec au moins un dirigeant d'un grand cabinet de conseil américain. Ces dirigeants auraient parfois été informés de nouvelles cibles de ShinyHunters avant que les organisations elles-mêmes ne s'en aperçoivent.
La même source affirme que Dubrovsky savait que ShinyHunters avait obtenu des informations sensibles du FBI, mais qu'il n'a pas alerté le bureau avant que le groupe ne menace de les publier sur Twitter/X.
Fin septembre, ShinyHunters aurait compromis fbijobs.gov, le site de recrutement du FBI. Le groupe affirme détenir des dossiers médicaux et psychologiques, des numéros de sécurité sociale, des adresses personnelles ainsi que des informations sur les unités et les spécialisations des employés. Les contenus revendiqués ne permettent pas à eux seuls d'établir l'ampleur réelle d'un éventuel vol.
Dubrovsky fait face à des accusations liées à l'extorsion
Dubrovsky, 54 ans, est poursuivi pour menace de divulgation d'informations volées ou piratées et pour entrave au commerce interétatique par extorsion, selon les dossiers judiciaires décrits par Krebs. Le parquet aurait demandé son maintien en détention provisoire dans l'attente du procès. Les dossiers sont scellés, et aucune condamnation n'a été signalée.
Dubrovsky a précédemment occupé les fonctions d'associé gérant et de directeur des opérations (COO) de Cypfer, société basée à Toronto. Le 14 octobre, Cypfer a indiqué avoir appris son arrestation par les médias et ne pas en avoir été informée à l'avance. La société a également précisé que les forces de l'ordre ne l'avaient pas contactée et que, à sa connaissance, elle ne faisait pas l'objet d'une enquête.
Cypfer affirme que son activité ne consiste pas à effectuer ni à faciliter des paiements de rançon. Elle indique également que Cypfer et CyberSteward Inc., une société liée à un litige commercial distinct impliquant Dubrovsky, n'ont en commun aucun dirigeant, administrateur ni employé.
Il s'agit de déclarations de sociétés. Elles ne lèvent pas les allégations fondées sur des sources anonymes concernant Dubrovsky ou le dirigeant américain non identifié.
Le risque immédiat ne relève pas d'une faille logicielle
Ces allégations décrivent un problème potentiel d'initié et de chaîne d'approvisionnement au sein des services de réponse aux rançongiciels, plutôt qu'une faille technique qu'un correctif permettrait de résoudre. À titre de contexte, le ministère américain de la Justice a indiqué, dans une affaire distincte liée à BlackCat, que le négociateur de rançongiciels Angelo Martino avait fourni aux attaquants des informations confidentielles sur les positions et stratégies de négociation de ses clients, leur permettant de maximiser les paiements de rançon. Le rapport sur ShinyHunters n'établit pas que les mêmes informations ont été divulguées dans cette campagne.
Comme mesure générale de maîtrise des risques, les organisations qui font appel à ce type de prestataires devraient limiter l'accès aux stratégies de négociation et tenir des registres indiquant qui a consulté ou partagé les dossiers sensibles.
Coveware et Unit 221B conseilleraient aux victimes de ne pas payer ShinyHunters, car les informations volées pourraient encore être conservées, vendues ou utilisées dans une nouvelle tentative d'extorsion. Une promesse de paiement ou de suppression ne doit donc pas être considérée comme une preuve que les données exposées ont été détruites.
