La Roumanie participe à l’opération qui a neutralisé l’infrastructure de KillSec après quelque 1 000 attaques présumées

Trois suspects ont été placés en détention provisoire, huit perquisitions ont eu lieu dans quatre pays, dont la Roumanie, et les autorités ont pris le contrôle du site utilisé par KillSec pour publier les données volées. L’enquête internationale porte sur environ 1 000 attaques présumées, dont environ 500 ont jusqu’à présent été identifiées comme ayant abouti, et a permis de sécuriser au moins 110 To de données.

Les autorités de dix pays, dont la Roumanie, ont participé à l’opération internationale KillSwitch contre l’infrastructure associée au groupe cybercriminel KillSec, faisant l’objet d’une enquête concernant environ 1 000 attaques présumées dans le monde entier. Le 30 septembre, les autorités ont pris le contrôle du site utilisé pour publier les données volées, ont sécurisé au moins 110 To d’informations et ont effectué huit perquisitions en Grèce, en Roumanie, en Espagne et au Royaume-Uni. Trois suspects ont été placés en détention provisoire.

En bref

L’opération KillSwitch enquête sur environ 1 000 attaques présumées attribuées à KillSec, dont quelque 500 ont jusqu’à présent été identifiées par les enquêteurs comme ayant abouti.

Trois suspects ont été placés en détention provisoire et huit perquisitions ont eu lieu en Grèce, en Roumanie, en Espagne et au Royaume-Uni.

Les autorités ont sécurisé au moins 110 To de données volées, ont pris le contrôle des domaines de KillSec et, au cours de l’enquête, de cinq serveurs centraux utilisés par le groupe.

L’administrateur présumé et opérateur principal a 16 ans, tandis qu’un suspect considéré comme le développeur a eu 18 ans en août et était mineur au moment de certains des faits faisant l’objet de l’enquête.

La Roumanie faisait également partie de l’équipe commune d’enquête constituée avec la Belgique, l’Allemagne et la Grèce, par l’intermédiaire de la DIICOT – Structure centrale et de la Direction de lutte contre la criminalité organisée de la Police roumaine.KillSec fait l’objet d’une enquête pour des attaques menées depuis environ 2024 contre des organisations dont les données internes auraient été copiées et transférées vers une infrastructure contrôlée par le groupe. Les victimes étaient ensuite menacées de publication des informations si elles ne payaient pas de rançon, selon Europol et Eurojust.

En cas de non-paiement, les données pouvaient être publiées en téléchargement sur le site exploité par le groupe. Pour prouver aux victimes qu’ils détenaient les informations, les membres de KillSec auraient, dans certains cas, transmis des échantillons des fichiers dérobés.

L’opération internationale a culminé le 30 septembre avec la prise de contrôle du site que le groupe utilisait pour ces menaces. Les visiteurs des domaines auparavant contrôlés par KillSec ont été redirigés vers un message des autorités.

Europol précise qu’au moins 110 To de données ont été sécurisés afin d’empêcher tout accès non autorisé ultérieur. Ce volume ne représente ni la quantité de données volées lors d’une seule attaque ni le nombre total définitif d’informations compromises dans l’ensemble des cas faisant l’objet de l’enquête.

Au cours de l’enquête, les autorités ont également pris le contrôle de cinq serveurs centraux associés à KillSec. Ceux-ci étaient utilisés pour administrer les activités du groupe et stocker les données provenant des victimes.

Les cinq serveurs n’ont pas tous été saisis lors de l’opération du 30 septembre. Les communiqués d’Europol et d’Eurojust précisent qu’ils ont été pris en charge au cours de l’enquête, tandis que l’opération coordonnée visait en outre des domiciles, des appareils, des actifs et une infrastructure en ligne.

Le bilan actuel de l’enquête distingue également les attaques présumées de celles confirmées jusqu’à présent par les enquêteurs. L’opération porte sur environ 1 000 attaques présumées dans le monde, mais Europol indique qu’environ 500 ont pour l’instant été identifiées comme ayant abouti.

Ce chiffre peut évoluer à mesure que les appareils et les informations saisis sont analysés. Les autorités espèrent que les données récupérées permettront d’identifier d’autres victimes, des attaques qui n’avaient pas encore été associées au groupe et d’autres personnes susceptibles d’être impliquées.

L’enquête est dirigée par le Landeskriminalamt de Hambourg et le parquet de Hambourg. Europol mentionne la participation des autorités de Belgique, de Finlande, d’Allemagne, de Grèce, des Pays-Bas, de Roumanie, d’Espagne, de Suisse, du Royaume-Uni et des États-Unis.

Eurojust a coordonné les autorités judiciaires de neuf pays et a organisé un centre de coordination pour la mise en œuvre simultanée des mesures. La différence entre les deux listes s’explique par les rôles opérationnels et judiciaires décrits par les deux agences et n’indique pas en soi une contradiction entre les communiqués.

La Roumanie a joué un rôle direct dans la coopération judiciaire. Eurojust indique qu’une équipe commune d’enquête a été constituée entre la Belgique, l’Allemagne, la Grèce et la Roumanie.

Pour la partie roumaine, le communiqué d’Eurojust identifie la Direction d’enquête sur la criminalité organisée et le terrorisme, Structure centrale, ainsi que la Direction de lutte contre la criminalité organisée de la Police roumaine.

La Roumanie figure également parmi les quatre États dans lesquels des perquisitions ont été effectuées dans le cadre de l’action coordonnée, aux côtés de la Grèce, de l’Espagne et du Royaume-Uni. Les sources consultées ne précisent toutefois pas combien des huit perquisitions ont eu lieu en Roumanie, ni si l’une des trois détentions provisoires a été effectuée sur le territoire roumain.

Les documents n’indiquent pas non plus la nationalité des suspects. Ces informations ne doivent pas être déduites des pays dans lesquels les perquisitions ont eu lieu ou des autorités impliquées.

Un élément inhabituel de l’enquête est l’âge de certaines personnes soupçonnées d’avoir joué des rôles importants au sein du groupe. Selon les autorités, l’administrateur présumé et principal opérateur de KillSec a 16 ans.

Un autre suspect, décrit comme développeur, a eu 18 ans en août 2026 et était mineur pendant la période au cours de laquelle certains des faits faisant l’objet de l’enquête auraient été commis. Les enquêteurs ont également identifié des personnes soupçonnées d’avoir joué les rôles de négociateur et d’affilié.

L’identité des mineurs n’est pas publiée dans les documents consultés, et la description des rôles correspond aux accusations et aux évaluations des enquêteurs. Les personnes visées sont des suspects et bénéficient de la présomption d’innocence.

Europol décrit la méthode de KillSec comme reposant principalement sur l’exploitation de vulnérabilités et de points d’accès insuffisamment protégés, notamment dans des systèmes de stockage en nuage. Une fois l’accès obtenu, les données internes auraient été copiées vers l’infrastructure contrôlée par le groupe.

Le communiqué d’Europol affirme également que les enquêteurs ont identifié l’utilisation de l’intelligence artificielle pour construire et maintenir l’infrastructure de rançongiciel et pour identifier des victimes potentielles. La source ne fournit pas suffisamment de détails techniques pour déterminer quels systèmes d’intelligence artificielle ont été utilisés ou quelle proportion des opérations de KillSec en dépendait.

Par conséquent, l’utilisation de l’IA constitue un élément de l’enquête, mais ne justifie pas d’affirmer que les attaques auraient été réalisées automatiquement ou que l’intelligence artificielle aurait été le principal outil du groupe.

Outre l’infrastructure, les enquêteurs suivent également les revenus présumés issus des rançons. Europol a fourni une assistance spécialisée pour le traçage des cryptomonnaies et l’analyse des preuves numériques, et l’enquête sur les flux financiers se poursuit.

L’agence a également collaboré avec les entreprises de cybersécurité Bitdefender et Group-IB, qui ont apporté leur soutien à l’enquête. La Joint Cybercrime Action Taskforce hébergée par Europol a contribué à la coordination et à l’échange d’informations entre les autorités.

L’opération du 30 septembre ne clôt pas l’enquête. Les appareils, les données et les informations financières saisis sont encore en cours d’analyse, et les autorités indiquent que les éléments de preuve pourraient conduire à l’identification de nouvelles victimes, attaques et suspects.