Opération KillSwitch : le gang KillSec démantelé en 9 pays

Les faits

Le 30 septembre 2026, les autorités de neuf pays ont coordonné le démantèlement du groupe de ransomware KillSec dans le cadre de l'opération baptisée «KillSwitch». L'opération, conduite sous l'égide des autorités allemandes avec le soutien d'Europol et d'Eurojust, a abouti à l'arrestation de trois membres présumés du groupe, dont son leader supposé : un adolescent espagnol âgé de 16 ans. Les pays participants incluent la Belgique, la Finlande, l'Allemagne, la Grèce, la Roumanie, l'Espagne, la Suisse, le Royaume-Uni et les États-Unis.

L'opération a permis la saisie de cinq serveurs constituant l'infrastructure opérationnelle de KillSec, ainsi que la récupération d'au moins 110 téraoctets de données volées aux victimes. Ces données, qui couvraient environ un millier d'organisations victimes dans le monde depuis le lancement du groupe en 2024, comprennent des fichiers d'entreprise, des données personnelles et des informations financières exfiltrées lors des doubles extorsions pratiquées par le groupe. Les enquêteurs ont également saisi des cryptomonnaies dont le montant n'a pas été rendu public.

KillSec opérait comme un Ransomware-as-a-Service (RaaS), vendant ou louant son infrastructure et son ransomware à des affiliés qui se chargeaient des intrusions et des négociations de rançon. Ce modèle, désormais standard dans l'écosystème criminel ransomware, permettait à un petit noyau de développeurs de démultiplier leur impact en recrutant des opérateurs techniques tierce-partie. La plateforme KillSec proposait un panel d'administration, un chiffrement personnalisable, et un site de fuite dark web pour les victimes refusant de payer.

L'identité du leader — un adolescent de 16 ans originaire d'Espagne — a suscité une attention particulière dans la communauté cyber internationale. Ce profil rappelle d'autres cas documentés d'acteurs ransomware très jeunes, comme le fondateur du groupe Lapsus$ arrêté au Royaume-Uni en 2022 à 17 ans, ou certains opérateurs de Scattered Spider dans leur adolescence. La capacité à orchestrer une opération criminelle internationale ayant touché un millier d'organisations depuis un appartement résidentiel illustre à quel point les outils et la documentation disponibles dans l'underground cybercriminel ont abaissé les barrières à l'entrée.

Selon les rapports d'enquête partagés avec les médias spécialisés, KillSec entretenait des liens opérationnels avec le groupe Vice Society et utilisait une souche de ransomware dérivée de Rhysida, lui-même apparu en 2023. Les victimes documentées de KillSec couvraient un large spectre sectoriel : santé, enseignement, collectivités locales, services financiers et industries manufacturières en Europe et en Amérique du Nord. Le groupe était particulièrement actif contre les hôpitaux européens, ciblant des établissements en Allemagne, en Italie et en France selon les données analysées post-saisie.

L'opération KillSwitch a bénéficié d'un renseignement de qualité accumulé sur plusieurs mois. Les autorités allemandes, qui pilotaient l'enquête, ont pu identifier l'infrastructure de commande et contrôle (C2) du groupe grâce à une analyse approfondie des métadonnées de communication et des erreurs opérationnelles commises par les membres du groupe sur des forums cybercriminels. L'adolescent espagnol aurait utilisé des pseudonymes récurrents et des adresses de portefeuilles crypto traçables, facilitant sa localisation malgré l'usage de VPN et de Tor.

Les trois individus arrêtés feront face à des chefs d'accusation incluant l'extorsion par ransomware, l'accès non autorisé à des systèmes informatiques, le blanchiment d'argent et la participation à une organisation criminelle. Le mineur sera jugé selon les dispositions espagnoles applicables aux délinquants juvéniles, qui prévoient des mesures de rééducation plutôt que de l'incarcération classique. Les deux autres suspects, ressortissants allemand et roumain, sont passibles de peines pouvant dépasser dix ans d'emprisonnement.

La neutralisation de KillSec ne signifie pas la fin de la menace pour ses anciennes victimes potentielles. Les affiliés du groupe — qui disposent de leurs propres accès aux réseaux compromis et de leurs outils — peuvent migrer vers d'autres plateformes RaaS concurrentes telles que RansomHub, LockBit 4 ou BlackBasta. La communauté ransomware a démontré à maintes reprises sa capacité de résilience après les démantèlements, avec des opérateurs rebaptisés qui reprennent leurs activités sous de nouvelles enseignes dans les semaines suivant une saisie.

Impact et exposition

Pour les organisations qui ont pu être ciblées par KillSec dans le passé, la saisie des serveurs représente une opportunité d'investigation rétroactive. Les autorités peuvent être en mesure de partager des indicateurs de compromission avec des équipes CERT nationales. En France, le CERT-FR peut être contacté pour savoir si votre organisation figure parmi les victimes documentées dans les données récupérées par l'opération KillSwitch.

La saisie de 110 To de données volées soulève également la question du traitement de ces informations par les autorités judiciaires : les organisations victimes pourraient être notifiées si leurs données figurent dans les archives saisies, déclenchant des obligations de déclaration RGPD si ce n'est pas déjà fait.

Recommandations

• Vérifier l'exposition passée : contacter le CERT-FR si votre secteur (santé, éducation, industrie) correspond au profil des victimes KillSec documentées
• Passer en revue les alertes de vos solutions EDR sur les 12 derniers mois pour des IoC associés à Rhysida/KillSec (hash de binaires ransomware disponibles via MISP)
• Renforcer la segmentation réseau et les sauvegardes hors-ligne : les affiliés KillSec migrent vers d'autres plateformes RaaS
• Réévaluer vos plans de réponse aux incidents ransomware et tester vos procédures de restauration depuis sauvegardes