Les ShinyHunters s’étaient attaqués avec succès aux réseaux et aux données d’une soixantaine d’entreprises à partir du printemps 2020. Près de quatre ans plus tard, la condamnation de l’un des membres de ce collectif informel de hackeurs par la justice américaine – Sébastien Raoult a été condamné ce mardi 9 janvier à 3 ans de prison – est l’occasion de faire les (mauvais) comptes de leur piratages informatiques.
Selon les confidences de l’un des trois jeunes français visé par cette procédure, le gang aurait en effet amassé environ trois millions d’euros en l’espace de deux ans. En mars 2021, les ShinyHunters avaient par exemple demandé une rançon d’1,2 million de dollars en Bitcoin ou Monero à l’une de leurs victimes, à l’identité non précisée. L’analyse des flux bitcoin suggère, explique l’accusation américaine, que le gang de cybercriminels aurait alors reçu environ 425 000 dollars.
Un pour mille
Une soif d’argent qui avait suivi des débuts plus modestes. Comme le remarquait ZDNET, les premières ventes frauduleuses du gang, repérées en mai 2020, n’étaient pas très rémunératrices. Elles s’établissaient alors à seulement 18 000 dollars pour 73 millions de données utilisateurs dérobées.
Le mécanisme de fixation du prix des données volées est en partie éclairé par des échanges dévoilés par la justice américaine. Dans cet échange sur Discord en août 2020, trois millions de données utilisateurs donnent un prix de vente de 3000 (la monnaie n’est pas précisée), soit un prix d’un pour mille.
Ces sommes plus modestes reflétaient sans doute d’abord un moindre intérêt à la vente des données avant un éventuel amateurisme. Sébastien Raoult, le cybercriminel condamné ce mardi 9 janvier par la justice américaine, avait en effet déjà à son actif le piratage d’un échangeur de crypto-actifs, selon ses dires. Quant à Gabriel Bildstein, également visé par cette procédure, il était déjà mis en examen à cette époque dans l’affaire Gatehub, ce vol de crypto-actifs.
Six millions de dollars de dégâts
Au final, les cybercriminels des ShinyHunters auraient causé environ six millions de dollars de dégâts. Un montant sous-estimé, prévient toutefois la justice américaine, renvoyant uniquement aux bilans financiers de sept victimes. La plateforme GitHub, visée au printemps 2020 par une campagne de hameçonnage baptisée plus tard Sawfish – “mon plus grand succès”, s’était vanté Sébastien Raoult, avait en effet compté plus de 650 comptes utilisateurs piratés par les ShinyHunters.
Des piratages qui auraient rapporté à Sébastien Raoult l’équivalent de 100 000 euros, selon les déclarations aux enquêteurs d’un des ShinyHunters. Ce dernier a toutefois contesté avoir gagné de l’argent avec ses vols. La justice américaine l’a quand même condamné à dédommager les victimes à hauteur de 5 millions de dollars. Le jeune français a indiqué vouloir se reconvertir dans la cybersécurité.