FBI arrête un expert ransomware canadien lié à ShinyHunters

Ce qui s'est passé

Le 8 octobre 2026, le FBI a procédé à l'arrestation d'Edward Dubrovsky, 54 ans, en Pennsylvanie. Canadien de nationalité, Dubrovsky s'était rendu aux États-Unis pour assister à une conférence sur la cyberassurance à Philadelphie lorsqu'il a été interpellé par les agents fédéraux. Sa mise en garde à vue marque une nouvelle étape dans la vaste opération menée par le FBI pour démanteler l'écosystème du groupe de hackers ShinyHunters.

Edward Dubrovsky n'est pas un cybercriminel dans le sens traditionnel du terme. Il est cofondateur et dirigeant de CyberSteward, une société canadienne spécialisée dans la réponse aux incidents de ransomware. Son activité déclarée consiste à accompagner les entreprises victimes dans la gestion de crise : évaluation de l'incident, négociation avec les attaquants, et dans certains cas, facilitation du paiement de la rançon pour permettre à la victime de récupérer ses données chiffrées. C'est précisément ce positionnement, à la frontière entre la défense et la transaction avec les cybercriminels, qui est au cœur des suspicions du FBI.

Les charges retenues contre Dubrovsky couvrent deux infractions fédérales majeures : la conspiration visant à menacer la confidentialité d'informations à des fins d'extorsion, et l'entrave au commerce par le biais de menaces. Ces chefs d'accusation suggèrent que le gouvernement américain soupçonne Dubrovsky de ne pas s'être contenté d'agir comme négociateur neutre, mais d'avoir joué un rôle actif dans les schémas d'extorsion associés à ShinyHunters ou à des entités liées à ce groupe.

La plainte principale reste sous scellés, ce qui signifie que les détails précis des faits reprochés ne sont pas encore accessibles au public. Cette pratique est courante dans les affaires impliquant des enquêtes en cours sur des réseaux criminels complexes : rendre publics les détails de l'accusation pourrait alerter d'autres suspects encore en liberté et compromettre des investigations parallèles. Les observateurs estiment que la levée des scellés pourrait intervenir dans les prochaines semaines, au fur et à mesure que le FBI conclut les autres volets de son enquête.

ShinyHunters est l'un des groupes cybercriminels les plus actifs et les plus prolixes de ces dernières années. Initialement connu pour des compromissions massives de plateformes SaaS, notamment via des attaques contre des environnements Snowflake à partir de 2024, le groupe s'est progressivement diversifié vers l'extorsion directe et le courtage de données volées. Le groupe a récemment créé la sensation en affirmant détenir des informations détaillées sur des agents du FBI, données qui auraient été obtenues via le piratage d'un prestataire tiers gérant la plateforme FBIJobs.gov.

L'arrestation de Dubrovsky s'inscrit dans une série de coups portés au groupe ShinyHunters depuis début 2026. Le FBI a renforcé ses effectifs dédiés à la cybercriminalité organisée et travaille en étroite collaboration avec le DOJ pour poursuivre non seulement les membres actifs des groupes, mais aussi les individus qui, même sans en faire formellement partie, facilitent leurs activités ou en tirent profit. Cette approche de type « suivre l'argent et les facilitateurs » vise à asphyxier l'écosystème dans son ensemble.

Le cas Dubrovsky soulève des questions profondes sur la frontière éthique et juridique du métier de négociateur ransomware. En l'absence de cadre légal clair aux États-Unis et au Canada interdisant formellement le paiement de rançons — contrairement aux recommandations très restrictives de l'ANSSI en France — certains acteurs de la réponse aux incidents ont pu opérer dans des zones grises, voire tisser des liens trop étroits avec les groupes cybercriminels pour faciliter les négociations.

Cette affaire intervient quelques jours après un rappel de l'OFAC (Office of Foreign Assets Control) sur ses règles interdisant tout paiement de rançon aux entités ou individus sanctionnés, une liste incluant désormais de nombreux affiliés de groupes ransomware liés à la Corée du Nord, à la Russie et à l'Iran. Des courtiers et négociateurs qui faciliteraient des paiements vers ces entités s'exposent désormais à des poursuites pénales aux États-Unis, indépendamment de leur nationalité ou de la bonne foi alléguée de leur intervention.

Pourquoi c'est important

L'arrestation d'un négociateur ransomware par le FBI représente un précédent judiciaire majeur qui va probablement remodeler l'industrie naissante de la réponse aux incidents ransomware. Jusqu'à présent, les firmes spécialisées dans la négociation et le paiement de rançons opéraient dans un relatif flou juridique, tirant argument du fait qu'elles protégeaient leurs clients en minimisant les dommages. L'affaire Dubrovsky signale que le gouvernement américain considère que certaines de ces pratiques franchissent la ligne rouge de la complicité active.

Pour les RSSI et les directeurs juridiques d'entreprises européennes, cet épisode appelle à une révision urgente des contrats avec les prestataires de réponse aux incidents qui proposent des services de négociation ransomware. La question n'est plus seulement « ce prestataire est-il compétent ? » mais aussi « ce prestataire a-t-il des liens avec des groupes criminels qui pourraient m'exposer à des risques légaux ? » et « son modèle opérationnel est-il compatible avec les sanctions OFAC et les recommandations de l'ANSSI ? ».

Plus largement, cette affaire illustre la sophistication croissante du FBI dans sa compréhension de l'écosystème ransomware. En ciblant les facilitateurs — négociateurs, courtiers en données, hébergeurs bulletproof — et pas seulement les opérateurs des groupes, le bureau fédéral adopte une stratégie analogue à celle qui a permis de démanteler les cartels de la drogue en remontant les filières financières. Cette approche systémique est plus efficace sur le long terme que les arrestations d'opérateurs individuels, car elle détruit les conditions économiques de l'activité criminelle.

Enfin, la connexion alléguée entre Dubrovsky et ShinyHunters soulève la question du risque lié à l'information partagée lors des négociations ransomware. Un négociateur qui travaillerait secrètement pour les attaquants pourrait avoir accès à des informations extrêmement sensibles sur les victimes : architectures réseaux, état des sauvegardes, couvertures d'assurance cyber, stratégie de réponse. Si ces informations étaient transmises aux attaquants, cela représenterait une trahison de la relation de confiance au cœur même du processus de réponse aux incidents.

Ce qu'il faut retenir

• Le FBI a arrêté Edward Dubrovsky, dirigeant de la firme de négociation CyberSteward, pour des liens présumés avec ShinyHunters, créant un précédent judiciaire dans l'industrie de la réponse aux ransomwares.
• Les entreprises victimes de ransomware doivent désormais vérifier rigoureusement les antécédents et pratiques de leurs prestataires de négociation, au risque de se retrouver impliquées dans des schémas d'extorsion les exposant elles-mêmes à des poursuites.
• Le FBI adopte une stratégie d'attaque de l'écosystème ransomware dans son ensemble — facilitateurs inclus — ce qui va probablement intensifier la pression sur tous les acteurs de la chaîne.