KillSec : réseau de hackers démantelé, Suisse impliquée

Contexte

En bref

• Trois personnes arrêtées lors de l’opération contre KillSec
• Cinq serveurs saisis et récupération de 110 téraoctets
• Huit recherches en Espagne, en Grèce, au Royaume-Uni et en Roumanie
• Les procédures suisses sont toujours en cours

Faits clés

• Groupe → KillSec, ou KillSecurity
• Arrestations → trois personnes
• Serveurs saisis → cinq
• Données récupérées → 110 téraoctets
• Recherches → huit dans quatre pays
• Attaques contre des entreprises suisses → octobre 2023 à juin 2025
• Procédures suisses → engagées en juillet 2025 contre des personnes inconnues
• Coordination → Europol et Eurojust avec sept autres pays

Trois personnes ont été arrêtées et cinq serveurs, utilisés pour stocker les données des victimes, ont été saisis lors de l’opération internationale qui a démantelé l’infrastructure informatique de KillSec, un groupe responsable des attaques par ransomware. Les autorités concernées incluent le Bureau du procureur général de Suisse (OAG) et le Bureau fédéral de la police (fedpol).

L’opération a eu lieu hier, selon un communiqué conjoint des autorités suisses. Les huit perquisitions menées en Espagne, en Grèce, au Royaume-Uni et en Roumanie ont permis de récupérer 110 téraoctets de données volées. Le bilan publié comprend donc des arrestations, saisies et la récupération d’une grande quantité d’informations volées.

L’implication suisse découle d’une affaire pénale engagée par le Parquet fédéral contre des personnes inconnues en juillet 2025. L’enquête concerne des attaques par ransomware perpétrées par le groupe KillSec, dont le nom complet est KillSecurity, contre plusieurs entreprises suisses entre octobre 2023 et juin 2025. Le début de la procédure se fait donc après l’intervalle de temps indiqué par les autorités.

La procédure suisse

Selon la déclaration, le groupe utilise ce qu’on appelle la double extorsion. D’abord, il pénètre de manière inappropriée dans le système de la victime, copie et extrait les données d’intérêt, et chiffre les serveurs ; puis il exige une rançon en échange de la clé de déchiffrement. Si l’entreprise refuse de payer, par exemple parce qu’elle a effectué une sauvegarde avant le vol des données, les auteurs menacent de publier l’information sur le darknet.

L’OAG et la fedpol ont participé aux enquêtes internationales coordonnées par Europol et Eurojust avec sept autres pays. Les procédures en Suisse sont toujours en cours et les infractions présumées incluent le vol de données, l’accès abusif à un système informatique, la destruction des données et l’extorsion.

La reconstitution des autorités décrit le ransomware comme une séquence d’intrusion, de copie et d’extraction de données, de chiffrement de serveurs et de paiement exigé. La rançon est souvent exigée en cryptomonnaie. C’est la dynamique décrite dans le dossier suisse sur les attaques KillSec.

Details pratiques

Pourquoi l’affaire concerne des entreprises suisses

La signification nationale de l’affaire réside dans le fait que les procédures suisses concernent plusieurs entreprises suisses touchées par des attaques entre octobre 2023 et juin 2025. Pour ceux qui travaillent dans une entreprise, le risque décrit ne coïncide pas avec un seul moment : il inclut l’accès au système, le vol de données, le blocage des serveurs et la pression sur rançon.

Séparer ces passages aide à lire correctement la double extorsion. La source considère le chiffrement et la menace de publication comme deux leviers liés. La question concerne donc aussi le marché aziende che assumono, bien qu’il ne relie pas toutes les entreprises suisses au groupe enquêté.

Double extorsion en pratique

La sauvegarde joue un rôle dans le scénario rapporté : elle peut être la raison pour laquelle la victime refuse de payer, mais selon la source, cela n’élimine pas la menace de rendre les données publiques. Cela distingue la disponibilité d’une copie des données de la protection des informations déjà volées.

La saisie des cinq serveurs et la récupération de 110 téraoctets montrent également la double dimension de l’opération : d’une part, l’infrastructure utilisée pour stocker les données des victimes, et d’autre part, les informations récupérées lors des recherches. La source ne transforme pas ces chiffres en une estimation des dommages économiques ou en un montant de rançons.

Les procédures suisses restent ouvertes. Pour cette raison, la déclaration évoque des crimes hypothétiques et ne présente pas de conclusion définitive sur la responsabilité pénale. La présence d’Europol, Eurojust et de sept autres pays place également le dossier suisse dans une enquête internationale, avec des perquisitions menées dans quatre pays européens.

Outils utiles pour protéger votre net

Pour réduire les pertes de change, comparez le change CHF-EUR et les banques pour frontaliers.

Points cles

De l’actualité à une vérification opérationnelle

Pour transformer les faits en une lecture opérationnelle, une entreprise suisse peut reconstituer l’épisode en suivant la séquence décrite par les autorités. Le parcours sert à distinguer le type d’action entreprise et la phase dans laquelle la demande économique apparaît, sans ajouter de procédures ou de délais que la source n’indique pas.

Cinq étapes pour reconstruire l’attaque

1. Vérifier le premier élément de la séquence : accès inapproprié au système informatique de la victime. 2. Séparer l’entrée de la copie et de l’extraction des données d’intérêt, ce qui, dans la description du ransomware, a lieu avant le chiffrement. 3. Vérifier si les serveurs ont été chiffrés, car le verrou précède la demande de clé de déchiffrement. 4. Identifier la note de rançon et considérer que, selon la source, le paiement est souvent exigé en cryptomonnaie. 5. Évaluer la seconde pression : si la victime refuse, également parce qu’elle a une sauvegarde, la menace indiquée est la publication des données sur le darknet.

Pour situer un épisode dans le dossier suisse, la référence horaire est celle rapportée par les autorités : les attaques attribuées à KillSec contre plusieurs entreprises suisses ont lieu entre octobre 2023 et juin 2025, tandis que les procédures pénales contre des personnes inconnues ont été engagées en juillet 2025. La chronologie permet de comparer les faits, mais les procédures sont toujours en cours.

Cette séquence permet également de ne pas confondre la saisie des serveurs avec l’issue de l’enquête. L’opération internationale a conduit à des arrestations, des perquisitions et des récupérations de données ; au niveau suisse, cependant, des crimes hypothétiques tels que le vol de données, l’accès abusif, les dommages aux données et l’extorsion restent indiqués. La référence aux cryptomonnaies concerne la demande de rançon et ne doit pas être confondue avec les outils dédiés à conti bancari in Svizzera.

Pour compléter la lecture avec un outil de portail, utilisez le calcolatore stipendio.

Source: swissinfo.ch