EN EXCLUSIVITÉ-Un hacker de ShinyHunters impliqué dans le vol de données du FBI a été arrêté en Jordanie et coopère avec le Bureau, selon certaines sources

par Jana Winter, Raphael Satter et AJ Vicens

WASHINGTON, 3 octobre (Reuters) - Un membre présumé du groupe de hackers ShinyHunters, qui affirme avoir volé des données sur tous les employés du FBI, a été interpellé en Jordanie cette semaine et coopère avec le FBI, ont déclaré à Reuters trois personnes proches du dossier.

Saif al-Din Khader a été arrêté par les autorités jordaniennes, ont indiqué ces trois sources. Deux d’entre elles ont précisé qu’il avait été placé en garde à vue mardi. Reuters n’a pas pu déterminer immédiatement les circonstances de l’arrestation de Khader ni le lieu où il est détenu. Deux sources ont indiqué qu’il aidait le FBI et les forces de l’ordre internationales à localiser les autres hackers du groupe.

Le FBI a refusé de commenter toute arrestation ou activité spécifique à l’étranger, mais a déclaré que le Bureau « poursuit activement son enquête sur le récent incident cybernétique dans lequel ShinyHunters serait impliqué, après avoir déjà collaboré avec ses partenaires pour arrêter plusieurs suspects — et nous ne ménagerons aucun effort pour traduire en justice chacun des individus responsables ».

Les tentatives de Reuters pour joindre Khader et les membres de sa famille au cours de la dernière semaine et demie sont restées vaines.

La détention de Khader — dont le pseudonyme de hacker serait Rey — constitue le dernier rebondissement dans l’affaire ShinyHunters. Ce groupe prolifique spécialisé dans la cyber-extorsion, qui cible depuis longtemps de grandes entreprises à travers le monde, serait, selon les experts, principalement composé de jeunes hackers anglophones se consacrant au vol de données et à l’extorsion.

Le vol de ce qu’ils prétendent être des montagnes de données sur chaque employé du FBI a suscité des comparaisons avec l’intrusion, prétendument liée à la Chine, subie par l’Office of Personnel Management américain en 2015, qui avait compromis des informations sensibles concernant des millions d’Américains ayant fait l’objet d’une vérification de sécurité.

INFORMATIONS SENSIBLES

Une analyse de Reuters (link) portant sur un échantillon des données partagées par ShinyHunters a révélé que celles-ci contenaient de nombreuses informations permettant d’identifier personnellement les employés du FBI, des informations sensibles sur leurs fonctions, ainsi que des données psychiatriques et médicales.

La coopération de Khader avec les enquêteurs pourrait s’avérer cruciale pour aider à limiter — ou du moins à comprendre — l’étendue des dégâts. Une source a indiqué qu’il guidait les enquêteurs à travers ses appareils électroniques et sa correspondance numérique afin d’aider le FBI à localiser ses complices.

“Sa coopération est essentielle aux efforts en cours visant à arrêter ces pirates informatiques,” a déclaré la source à Reuters.

Depuis plusieurs jours, des indices laissaient penser que ShinyHunters connaissait des perturbations suite à l’annonce de son intrusion au sein du FBI. Dès mardi, Reuters n’a plus pu joindre ShinyHunters via le compte en ligne qu’il utilisait auparavant pour communiquer avec les journalistes. Puis, mercredi, le site du groupe sur le dark web, où il avait précédemment publié des menaces à l’encontre du FBI, a disparu (link).

Le directeur du FBI, Kash Patel, avait laissé entendre que d’autres arrestations suivraient après l’annonce (link) selon laquelle un autre membre présumé de ShinyHunters, Pepijn van der Stap, avait été interpellé aux Pays-Bas.

“Les équipes du FBI travaillent EN CE MOMENT MÊME sur de nouvelles pistes,” a déclaré M. Patel mercredi dans un message publié sur X. “D’autres arrestations sont à prévoir.”

Les gestionnaires d’une adresse e-mail liée aux ShinyHunters n’ont pas répondu vendredi à une demande de commentaire. Les gestionnaires de ce compte e-mail avaient précédemment déclaré à Reuters que le site du groupe avait été mis hors ligne en raison d’un sabotage de la part de concurrents et d’une “perturbation due à un incident sans rapport”.

Le groupe s’était auparavant montré provocateur, affirmant le 22 septembre avoir piraté le FBI en représailles à une (link) alerte qui accusait ShinyHunters de faire des “allégations exagérées d’accès” afin d’extorquer de l’argent à ses victimes. Il avait donné une semaine au FBI pour retirer cette alerte.

Mais dans leur dernier e-mail adressé à Reuters, les opérateurs ont adopté un ton conciliant, affirmant qu’ils “ne souhaitent pas d’escalade supplémentaire” avec le FBI. Ils ont précisé que Reuters pouvait interpréter leur message comme signifiant que “ShinyHunters fait complètement marche arrière”.

L’IDENTITÉ DE KHADER EST CONNUE DEPUIS LONGTEMPS

L’identité de Khader, ainsi que son lien présumé avec ShinyHunters, sont connus depuis longtemps des chercheurs en sécurité.

L’année dernière, le journaliste indépendant Brian Krebs avait rapporté que Khader était un membre clé de Scattered Lapsus$ Hunters, un groupe-parapluie de hackers dont faisait partie ShinyHunters. Krebs, qui a déclaré avoir parlé à Khader via Signal, a rapporté les dires de l’adolescent (link) selon lesquels il avait quitté le monde des violations de données et du chantage et coopérait avec les forces de l’ordre.

Mais ShinyHunters a poursuivi sa série d’attaques jusqu’en 2026, revendiquant notamment des intrusions chez le développeur de jeux vidéo Rockstar Games (link), créateur de “Grand Theft Auto”, ainsi qu’une intrusion en mai visant la plateforme éducative Canvas (link), qui a provoqué des perturbations généralisées dans les établissements scolaires américains (link).

Les forces de l’ordre du monde entier, y compris aux États-Unis, ont eu du mal à arrêter et à poursuivre les membres de groupes apparentés tels que Lapsus$ ou Scattered Spider, comme l’a déjà rapporté Reuters (link).

Des sources ont indiqué à Reuters que cette difficulté tient au jeune âge des pirates, ce qui peut compliquer les poursuites, au caractère chaotique et informel des groupes auxquels ils appartiennent, ou encore au fait que les victimes de leurs tentatives d’extorsion refusent souvent de coopérer avec les enquêteurs.

(Dans l'intérêt des personnes dont l'anglais n'est pas la langue maternelle, Reuters automatise la traduction de ses articles dans un certain nombre d'autres langues. Étant donné que la traduction automatique peut générer des erreurs ou ne pas inclure le contexte nécessaire, Reuters ne garantit pas l'exactitude du texte traduit automatiquement, mais fournit ces traductions uniquement pour la commodité de ses lecteurs. Reuters décline toute responsabilité en cas de dommages ou de pertes de quelque nature que ce soit causés par l'utilisation de la fonction de traduction entièrement automatisée.)