Extorsion

🔍 Contexte Publié le 4 novembre 2026 par Jon DiMaggio (Flare Research), cet article constitue la deuxième partie d’une série en deux volets sur les conséquences des arrestations de membres de ShinyHunters en septembre 2026. L’analyse repose sur des données collectées via la plateforme Flare (Telegram, forums, leak sites, serveurs). 🚔 Les arrestations 15 septembre 2026 : arrestation d’un individu de 24 ans par la police néerlandaise pour « participation » 29 septembre 2026 : détention de Rey (Saif al-Din Khader) en Jordanie, signalé comme coopérant avec le FBI 8-9 octobre 2026 : arrestation d’Edward Dubrovsky, ancien cadre de la firme de négociation ransomware CYPFER, pour complot et extorsion dans le district Est du Texas ⚔️ La bataille pour le nom Après les arrestations, trois factions ont revendiqué le nom ShinyHunters : ...

🔍 Contexte Le 26 octobre 2026, Ransom-ISAC publie une analyse collaborative de quatre fichiers internes du groupe Silent Ransom Group (alias SRG, Luna Moth), fuités le 3 octobre 2026 sur un site Tor et relayés via X (ex-Twitter) par l’utilisateur @DonaldHame0q. Les fichiers comprennent un export de chat Rocket.Chat (5 692 messages, 36 salles), une liste de cibles navales, un modèle de faux CV et un script de vishing. 🎭 Attribution et structure du groupe L’opération est attribuée avec confiance Probable à la lignée Luna Moth/SRG/Sleepless Threat, caractérisée par le callback phishing (vishing) comme vecteur d’accès initial et l’extorsion de cabinets juridiques américains sans chiffrement. Le groupe est russophone, opère sur le fuseau UTC+3 (Moscou) pour les opérateurs principaux, et compte 7 opérateurs humains + 1 bot actifs entre août 2025 et septembre 2026. ...

📅 Source : SOCRadar, publié le 13 octobre 2026. Cet article analyse une vague d’extorsion massive ciblant le secteur maritime mondial, orchestrée par le groupe n0n, apparu en septembre 2026. 🎯 Contexte de l’attaque Le 12 octobre 2026, n0n a ajouté 38 organisations en une seule publication sur son site de fuite Dark Web, doublant ainsi son nombre total de victimes publiques. Les cibles couvrent l’ensemble de la chaîne logistique maritime : terminaux à conteneurs, compagnies maritimes, fournisseurs IT portuaires et agences logistiques, répartis dans 18 pays. ...

🔍 Contexte Source : BleepingComputer, publié le 10 octobre 2026. L’article rapporte l’arrestation d’Edward Dubrovsky, 54 ans, ressortissant canadien et cadre dirigeant dans le secteur de la cybersécurité, interpellé en Pennsylvanie lors d’une conférence (NetDiligence Cyber Risk Summit). 👤 Profil du suspect Dubrovsky a occupé des postes de direction dans des entreprises spécialisées dans la négociation de paiements d’extorsion pour le compte de victimes de ransomwares et de violations de données : ...

🏢 Contexte Source : HaveIBeenPwned (haveibeenpwned.com/Breach/CyrusOne), publié le 8 octobre 2026. CyrusOne est un opérateur de centres de données qui a été ciblé par une campagne d’extorsion en août 2026. ⚠️ Nature de l’incident Le groupe ShinyHunters a mené une tentative d’extorsion de type “pay or leak” (payer ou les données seront publiées) contre CyrusOne. Face au refus ou à l’absence de paiement, le groupe a procédé à la publication des données exfiltrées. ...

🗓️ Contexte Source : BleepingComputer, publié le 9 octobre 2026. Le directeur du FBI Kash Patel a annoncé l’arrestation d’un nouveau suspect lié au groupe d’extorsion ShinyHunters, dans le cadre de l’enquête sur la violation des systèmes du FBI via la plateforme FBIjobs.gov. 🎯 Incident principal Le groupe ShinyHunters a revendiqué avoir compromis les systèmes du FBI en exploitant une vulnérabilité zero-day dans Oracle PeopleSoft, avant de se déplacer latéralement vers l’infrastructure AWS GovCloud gérée par le FBI. Les attaquants affirment avoir exfiltré entre 2 et 3 To de données, incluant : ...

🗓️ Contexte Article publié le 23 septembre 2026 par DataBreaches.net, relatant une attaque par extorsion de données ciblant Canva Pty Ltd via un fournisseur tiers, Canny, avec publication sur un nouveau site de fuite dédié. 🎯 Déroulement de l’attaque Le groupe The Seven Deadly Sins (TSDS) a compromis Canny (outil de feedback produit utilisé par Canva) le 26-28 août 2026, en exploitant l’accès de Canny à l’instance Salesforce de Canva. Les attaquants ont obtenu un accès administrateur complet à cette instance et ont exporté l’intégralité des données disponibles. ...

🗓️ Contexte Source : BleepingComputer, publié le 3 octobre 2026. Cet article rapporte l’arrestation en Jordanie d’un membre présumé du groupe cybercriminel ShinyHunters, dans le cadre d’une opération internationale coordonnée avec le FBI. 👤 Identité du suspect Alias en ligne : Rey Identité réelle : Saif al-Din Khader Détenu par les autorités jordaniennes, probablement un mardi Coopère activement avec le FBI et les agences internationales de maintien de l’ordre Fournit un accès à ses appareils électroniques et communications numériques pour identifier ses co-conspirateurs 🔗 Historique des activités de Rey Janvier 2025 : Impliqué dans la violation du système Jira interne de Telefónica (~2,3 Go de données volées), en tant que membre de l’opération HellCat ransomware Février 2025 : Fuite de ~6,5 Go de données volées à Orange Roumanie, revendiquée indépendamment Mars 2025 : Lié à une violation de Jaguar Land Rover avec fuite de données Jira, code source, informations employés Septembre 2025 : Lié à une cyberattaque sur Jaguar Land Rover ayant causé un arrêt de production de plusieurs semaines et plus de 220 millions de dollars de pertes Vu avec des privilèges administratifs dans des canaux Telegram de Scattered Lapsus$ Hunters Novembre 2025 : Brian Krebs l’identifie comme Saif Al-Din Khader via des logs d’infostealers et des échanges directs sur Signal 🏴‍☠️ Contexte ShinyHunters Septembre 2026 : ShinyHunters revendique une violation des systèmes du FBI via une zero-day Oracle PeopleSoft présumée, avec mouvement latéral vers des systèmes AWS GovCloud gérés par le FBI Volume de données revendiqué : 2 à 3 To, incluant données d’employés FBI, candidats, informations médicales et psychiatriques 15 septembre 2026 : La police néerlandaise arrête Pepijn van der Stap (alias “Umbreon”), 24 ans, à Amsterdam Suite à l’arrestation de Khader, le site de fuite de données ShinyHunters est passé hors ligne, puis un nouveau site a été mis en ligne le jeudi suivant 🎯 Secteurs et victimes ciblés FBI (gouvernement américain) Telefónica (télécommunications) Orange Roumanie (télécommunications) Jaguar Land Rover (industrie automobile) Instructure Canvas (éducation/cloud) Google, Cisco, PornHub (cloud/SaaS) Environnements Salesforce, Snowflake, PowerSchool 📌 Type d’article Article de presse spécialisée relatant une opération de police internationale en cours, visant à démanteler le groupe cybercriminel ShinyHunters, avec des éléments de contexte sur les activités passées du suspect arrêté. ...

🏢 Contexte Source : site officiel de GUTcert (gut-cert.de), publié le 25 septembre 2026. GUTcert est un organisme de certification allemand. La page dédiée à l’incident retrace chronologiquement les événements depuis l’intrusion initiale jusqu’aux tentatives d’extorsion. 📅 Chronologie de l’incident 05.09.2026 : Des tiers non identifiés obtiennent un accès non autorisé à des parties du système informatique de GUTcert. 06.09 – 09.09.2026 : Exfiltration de données : environ 640 Go de données sont dérobés. Nuit du 09 au 10.09.2026 : L’attaque est détectée lors d’une activité de routine. Les accès identifiés des attaquants sont coupés le 10.09. 11.09.2026 : Notification au Berliner Beauftragte für Datenschutz und Informationsfreiheit, au LKA (police criminelle régionale) et au BSI (Office fédéral de la sécurité des systèmes d’information). 12.09.2026 : Première tentative d’extorsion, restée sans réponse. 14.09.2026 : Information de l’ensemble des collaborateurs. 15.09.2026 : Deuxième tentative d’extorsion. Découverte d’une session e-mail non autorisée encore active, immédiatement clôturée. Aucun indice d’accès simultané aux systèmes de fichiers à ce moment. 16.09.2026 : Troisième tentative d’extorsion, depuis un compte e-mail externe. 17.09.2026 : Quatrième tentative d’extorsion depuis un compte externe. Mise en ligne d’une page dédiée à l’incident. 20.09.2026 : Cinquième et sixième tentatives d’extorsion par e-mail, ciblant clients, interlocuteurs, auditeurs et collaborateurs, avec des liens de téléchargement vers des données volées. 🎯 Impact 640 Go de données exfiltrées Session e-mail compromise maintenue active après l’intrusion initiale Diffusion de données volées via liens de téléchargement envoyés aux parties prenantes Secteur ciblé : certification / audit 📄 Nature de l’article Il s’agit d’un rapport d’incident officiel publié par la victime (GUTcert), visant à informer l’ensemble de ses parties prenantes de manière transparente et chronologique. ...

🗓️ Contexte Publié le 14 septembre 2026 par The Record / Recorded Future News, cet article rapporte la confirmation par la fintech britannique Revolut d’une violation de données résultant d’une usurpation d’identité gouvernementale via des demandes de données d’urgence frauduleuses. 🎯 Nature de l’attaque Des acteurs non identifiés ont utilisé un compte email d’un domaine gouvernemental légitime pour soumettre des demandes frauduleuses d’informations d’urgence (Emergency Data Requests - EDR) à Revolut. Le domaine gouvernemental utilisé n’a pas été officiellement identifié par Revolut, mais des images circulant sur Telegram suggèrent qu’il s’agissait d’un domaine italien. ...