Le 30 septembre 2026, une opération internationale baptisée KillSwitch, coordonnée par Europol et Eurojust et menée par les autorités de Hambourg, a mis hors ligne le groupe de rançongiciel KillSec. Bilan annoncé le 1er octobre : trois arrestations provisoires, huit perquisitions dans quatre pays, cinq serveurs coupés, le site de fuite saisi et au moins 110 téraoctets de données volées sécurisées. Fait marquant : l’administrateur présumé du groupe a 16 ans. Retour sur l’opération et sur les failles que KillSec exploitait, qui restent ouvertes chez beaucoup d’entreprises.
L’opération en chiffres
- Dix pays participants : Allemagne, Belgique, Espagne, États-Unis, Finlande, Grèce, Pays-Bas, Roumanie, Royaume-Uni et Suisse.
- Pilotage : l’Office de police criminelle et le parquet de Hambourg, avec la coordination d’Europol et d’Eurojust. Les éditeurs de sécurité Bitdefender et Group-IB ont apporté un appui technique.
- Perquisitions : huit, en Espagne, en Grèce, en Roumanie et au Royaume-Uni.
- Saisies : cinq serveurs, dont le serveur principal, le site de fuite du groupe et au moins 110 To de données dérobées aux victimes.
- Enquête : ouverte début 2025. Elle porte au total sur environ 1 000 attaques présumées dans le monde, dont environ 500 réussies identifiées au moment de l’annonce, des chiffres susceptibles d’évoluer. Au moins 70 attaques présumées visaient des organisations allemandes.
Qui sont les suspects ?
Selon les éléments communiqués :
- l’administrateur et opérateur principal présumé est âgé de 16 ans ;
- un développeur présumé a eu 18 ans en août 2026 et était donc mineur pendant une partie des faits reprochés ;
- un négociateur et un affilié présumés ont également été identifiés.
Les enquêteurs indiquent aussi que les membres du groupe utilisaient l’intelligence artificielle pour construire et maintenir leur infrastructure de rançongiciel et pour repérer des victimes potentielles. Un profil qui rappelle qu’il ne faut pas forcément une organisation structurée et expérimentée pour causer des dégâts à grande échelle.
Comment fonctionnait KillSec
KillSec, aussi appelé KillSecurity, était actif depuis 2024 environ, sous la forme d’un rançongiciel en tant que service : des affiliés menaient les attaques avec les outils du groupe.
Le schéma était celui de la double extorsion : copier des données sensibles, puis menacer de les publier sur le site de fuite si la victime ne payait pas. Selon Bitdefender, près de 300 victimes avaient été affichées sur ce site, dont 126 en 2025 et 25 en 2026, la dernière le 18 septembre. Europol indique que certaines victimes ont versé des rançons « substantielles ».
Pour entrer, le groupe exploitait principalement :
- des vulnérabilités logicielles sur des systèmes exposés à Internet et mal tenus à jour ;
- des points d’accès mal sécurisés, notamment des espaces de stockage cloud mal protégés.
Ce que le démantèlement change… et ne change pas
Couper l’infrastructure d’un groupe, c’est mettre fin à ses publications et à ses négociations, et récupérer des données qui éclairent l’enquête : les investigations se poursuivent sur les équipements saisis et sur les flux d’argent, y compris en cryptomonnaies.
En revanche, comme le souligne Bitdefender, les failles exploitées par KillSec ne disparaissent pas avec lui. Un serveur non corrigé ou un stockage cloud ouvert sera trouvé par le groupe suivant.
Les leçons pour votre entreprise
Bitdefender retient deux priorités, auxquelles on peut ajouter les fondamentaux face au rançongiciel :
- Corriger en priorité ce qui est exposé sur Internet : VPN, pare-feu, serveurs de messagerie, applications web, interfaces d’administration.
- Auditer les accès à vos stockages cloud : partages et espaces sans propriétaire clair, hérités d’un projet terminé, d’un test temporaire ou d’un ancien prestataire. Vérifiez qu’aucun n’est accessible publiquement.
- Sauvegarder hors ligne et tester la restauration : la double extorsion ne s’arrête pas au chiffrement, mais une sauvegarde fiable évite au moins la paralysie.
- Chiffrer et minimiser les données sensibles : ce qui n’est pas stocké ne peut pas être publié.
- Surveiller les sorties de données : un transfert de plusieurs gigaoctets vers l’extérieur en pleine nuit doit déclencher une alerte.
- Préparer la crise : qui appeler, comment déposer plainte, comment notifier la CNIL et informer les personnes concernées.
Notre outil Security Scanner aide à repérer les points faibles d’un poste de travail, première étape avant de s’attaquer au reste du système.
Si vous avez été victime de KillSec
Les autorités ont sécurisé une grande quantité de données volées. Si votre organisation a été attaquée par ce groupe, conservez toutes les traces de l’incident, déposez plainte si ce n’est pas déjà fait et signalez-vous auprès des autorités compétentes : votre dossier pourra être rapproché des éléments saisis.
Sources
- Europol, « Teenager suspected of leading KillSec ransomware group: law enforcement seizes servers and leak site », 1er octobre 2026 : https://www.europol.europa.eu/media-press/newsroom/news/teenager-suspected-of-leading-killsec-ransomware-group-law-enforcement-seizes-servers-and-leak-site
- BleepingComputer, « Police dismantle KillSec ransomware gang allegedly led by 16-year-old », 1er octobre 2026 : https://www.bleepingcomputer.com/news/security/police-dismantle-killsec-ransomware-gang-allegedly-led-by-16-year-old/amp/
- Bitdefender, « Bitdefender Supported Operation KillSwitch: What the KillSec Takedown Changes for Defenders », 1er octobre 2026 : https://www.bitdefender.com/en-au/blog/businessinsights/bitdefender-supported-operation-killswitch-what-killsec-takedown-means-defenders
