La police néerlandaise arrête un présumé chef de ShinyHunters alors que les retombées de la fuite du FBI s'étendent

Le mardi 29 septembre 2026, le FBI et la police néerlandaise ont annoncé l'arrestation d'un présumé chef de ShinyHunters, le groupe d'extorsion qu'ils relient à des vols de données dans plus de 140 organisations à travers le monde. La police néerlandaise a indiqué que le suspect est un homme de 24 ans originaire d'Amsterdam, non nommé, arrêté le 15 septembre pour suspicion de « participation à une organisation criminelle ». Lors d'une audience le même jour, le tribunal de district de Rotterdam a ordonné son maintien en détention provisoire pour au moins 90 jours de plus.

À lire aussi: ShinyHunters revendique 284 millions d'enregistrements chez McKesson, la fuite sanitaire s'amplifie · La branche japonaise de Sony, fournisseur d'accès, annonce une fuite de 2,6 millions d'enregistrements.

L'annonce a clos deux semaines durant lesquelles l'affaire de piratage et une accusation distincte, plus grave, sont devenues publiques presque en même temps. L'ordinateur portable saisi de l'homme est aussi au centre d'une enquête néerlandaise visant à déterminer s'il a tenté d'organiser deux meurtres à l'étranger, une suspicion que la police dit sans lien avec l'enquête ShinyHunters. Et l'arrestation est intervenue quelques jours après que ShinyHunters a affirmé s'être introduit dans les propres systèmes de candidatures du FBI et y avoir volé des données personnelles sensibles.

Ce qu'a annoncé la police néerlandaise

Le communiqué de la police néerlandaise indique que l'homme a été arrêté le mardi 15 septembre par l'unité nationale d'enquête et d'intervention, l'équipe de lutte contre la cybercriminalité menant l'enquête ShinyHunters sous l'autorité du parquet national. Il a été détenu pour suspicion de participation à une organisation criminelle, que le communiqué identifie comme ShinyHunters.

Après la saisie de ses appareils, la police a déclaré avoir trouvé une grande quantité d'informations sur son ordinateur portable, « y compris au sujet de deux meurtres qui devraient être commis à l'étranger », selon la traduction du communiqué par TechCrunch. La police a indiqué qu'il existe des indices qu'il a donné l'ordre, et qu'il fait donc aussi l'objet d'une enquête pour incitation tentée à commettre deux meurtres, une suspicion que le communiqué présente comme distincte de l'enquête ShinyHunters. La police a précisé que d'autres arrestations n'étaient pas exclues.

Stan Duijf, l'officier chargé de la stratégie de la police en matière de cybercriminalité, a déclaré dans le communiqué que ShinyHunters a fait de nombreuses victimes aux Pays-Bas et à l'étranger et que la police se réjouissait d'arrêter un suspect dans l'enquête sur le groupe. Le communiqué note aussi que l'homme n'a pas été arrêté dans le cadre de l'enquête Odido, l'intrusion chez le télécom néerlandais qui a compromis les données de plus de 6,2 millions de personnes. Cette affaire reste ouverte, et la police néerlandaise a demandé l'aide du public pour identifier une voix entendue lors d'un appel de février 2026 utilisé pour manipuler un employé d'Odido.

Le suspect, et un démenti

La police néerlandaise n'a pas nommé l'homme. KrebsOnSecurity a rapporté que trois sources l'identifiaient comme Pepijn van der Stap, et Reuters puis Bloomberg l'ont nommé par la suite. Reuters a rapporté que Benjamin Korper, un dirigeant de l'entreprise de cybersécurité amstellodamoise Neo Security, a confirmé l'identité et décrit van der Stap comme le responsable de la sécurité offensive de l'entreprise. TechCrunch a décrit le même poste comme directeur technique, les récits publics de son titre divergent donc.

Reuters a aussi rapporté que Korper a déclaré que des enquêteurs scientifiques néerlandais s'étaient rendus à son bureau dans la nuit du 15 septembre, lorsque van der Stap a été arrêté lors d'une perquisition impliquant des grenades assourdissantes. Korper a dit à Reuters qu'il avait évalué van der Stap avant de l'embaucher et l'avait surveillé pendant son emploi.

« Je crois sincèrement que les gens méritent une seconde chance, mais dans ce cas, on ne m'en a pas remercié », a déclaré Korper, ajoutant qu'un cabinet extérieur qu'il avait engagé n'avait jusqu'ici trouvé aucune preuve que van der Stap ait agi contre Neo Security ou ses clients. « Absolument tout le monde à qui j'ai parlé est sidéré », a-t-il dit.

Van der Stap avait déjà été condamné. Krebs a rapporté qu'il a été condamné en 2023 pour une série de vols de données et d'extorsions qui, selon les procureurs, ont rapporté entre 1,5 million et 2,7 millions d'euros, et qu'il a écopé de quatre ans de prison, dont un avec sursis. Il a été libéré en décembre 2025. Il s'est ensuite présenté comme repenti, travaillant comme ingénieur logiciel à la start-up de sécurité Hadrian et faisant du bénévolat à l'Institut néerlandais de divulgation des vulnérabilités avant de rejoindre Neo Security, selon Krebs. Bloomberg lui a consacré un portrait en 2024 comme chercheur qui extorquait aussi des entreprises.

ShinyHunters, de son côté, nie tout lien. Le groupe a déclaré à TechCrunch que van der Stap « n'a aucune association avec nous », et a dit à Reuters qu'il n'avait « aucune association », tout en qualifiant la police néerlandaise d'incompétente.

La fuite du FBI derrière l'arrestation

L'arrestation a suivi une intrusion dans le portail de candidatures du FBI. Le bureau a informé ses employés que leurs informations personnelles, notamment noms, adresses, intitulés de poste et numéros de sécurité sociale, avaient été exposées dans ce qu'il a appelé un incident de cybersécurité. ShinyHunters affirme avoir volé les données de « la quasi-totalité » des agents et candidats du bureau en s'introduisant dans apply.fbijobs.gov, le site des emplois du FBI, et avoir fait circuler des échantillons auprès de journalistes avec une demande d'extorsion.

La BBC a rapporté avoir vu des examens médicaux d'aptitude au travail contenant des résultats d'analyses de sang et d'urine et des notes de médecins, aux côtés des noms complets et adresses d'agents. Reuters a rapporté que le matériel volé comprenait aussi des dossiers d'évaluation psychiatrique et médicale, et a dit avoir partiellement authentifié plusieurs fichiers, notamment en croisant des numéros de sécurité sociale avec des données d'agences de crédit. Le groupe a affirmé détenir 2 à 3 téraoctets, et la BBC a noté qu'il avait d'abord revendiqué des données sur environ 38 000 employés actuels avant de dire que le chiffre pouvait atteindre environ 60 000 employés actuels et anciens.

Une note interne du FBI indiquait que le bureau partait du principe que les pirates avaient volé les données de tous les employés, a rapporté Reuters. Dans ses déclarations publiques, le FBI a dit enquêter « agressivement » sur l'incident et travailler « 24 heures sur 24 », et examiner si la fuite est passée par un prestataire tiers.

Les pirates ont déclaré à TechCrunch que l'intrusion n'était pas motivée par l'argent et qu'ils ne publieraient pas les données volées du FBI, précisant qu'elle visait « à faire passer un message et à contester les accusations portées contre nous, ce que nous avons fait ». Auparavant, selon la BBC, ils avaient menacé de publier l'ensemble des données si le FBI ne retirait pas un avis de mai que le groupe disait avoir trouvé offensant.

L'enjeu de contre-espionnage des données médicales

Les dossiers médicaux transforment une fuite de données en problème de contre-espionnage. L'ancien agent du FBI Eric O'Neill a dit à Reuters que la présence de données médicales rapprochait ce piratage de l'ampleur de l'intrusion de 2015 au Bureau de la gestion du personnel et que le butin attirerait les services hostiles.

« Je serais stupéfait que le renseignement russe ne frappe pas à leur porte en disant : “Nous voulons ces trucs, remettez-les” », a déclaré O'Neill.

Etay Maor, vice-président du renseignement sur les menaces chez Cato Networks, a dit à la BBC que ces données ne peuvent pas être réinitialisées comme un mot de passe. « Un mot de passe volé peut être réinitialisé, mais pas un dossier médical, donc une fois ces données dehors, elles restent compromises pour de bon », a-t-il déclaré. Ciaran Martin, l'ancien directeur du Centre national de cybersécurité du Royaume-Uni, a décrit ce piratage, s'il est confirmé, comme « ce qui se fait de plus grave en matière de fuite de données », a rapporté la BBC.

Des noms associés à des affectations, des antécédents médicaux et des coordonnées peuvent servir au chantage, à l'usurpation d'identité d'agents des forces de l'ordre et à des hameçonnages ciblés sur des agents précis. Reuters a rapporté qu'une partie des données concerne des agents travaillant sur la Russie, la Chine et les cartels de la drogue, et 404 Media a rapporté que des détails sur une unité de piratage peu connue du FBI avaient été exposés. La combinaison d'affectations et de dossiers médicaux est ce qui distingue cet incident d'une fuite d'entreprise classique.

Comment le groupe opérerait

ShinyHunters est actif depuis 2019 et est accusé d'intrusions chez Pornhub, Ticketmaster et AT&T, ainsi que du piratage d'Odido aux Pays-Bas. Leatherman a déclaré que le groupe cible souvent des prestataires tiers sur des plateformes cloud, volant des données et extorquant les victimes avec des menaces de publication.

Krebs a rapporté que le groupe a obtenu l'accès en exploitant CVE-2026-35273, une faille dans le logiciel de ressources humaines PeopleSoft d'Oracle, qu'il aurait utilisée comme zero-day depuis juin. Un rapport de Mandiant et du Google Threat Intelligence Group du 25 septembre a confirmé une exploitation massive de la faille dans des secteurs comme l'enseignement supérieur, la technologie, la santé et le gouvernement. BleepingComputer a ensuite rapporté que le groupe a utilisé une astuce d'encodage d'URL pour contourner les règles de pare-feu applicatif que Mandiant avait recommandées.

Les estimations du butin du groupe varient selon la source et le périmètre. Leatherman a déclaré que ShinyHunters avait perçu « au moins 70 millions de dollars en paiements d'extorsion » depuis l'an dernier, tandis que Krebs a rapporté l'estimation d'un chercheur de Mandiant selon laquelle le groupe serait en passe de récolter près de 100 millions de dollars en 2026. Les chiffres couvrent des périodes et des définitions de paiement différentes, et doivent être lus comme des estimations distinctes plutôt qu'un total unique.

Krebs a aussi rapporté que des sources décrivent un changement à la tête du groupe, un opérateur adolescent utilisant le nom Rey ayant repris la marque ShinyHunters au sein d'un groupe fusionné, et qu'une défiguration sur le thème d'Umbreon laissée sur le site des emplois du FBI pourrait avoir été une tentative d'impliquer le suspect néerlandais. Ces récits viennent de sources s'étant confiées à Krebs et n'ont pas été confirmés par les autorités.

Réserves et points à surveiller

La réserve centrale est juridique. L'homme est un suspect, pas une personne condamnée dans cette affaire. En droit néerlandais, il est présumé innocent, et l'accusation de meurtre est une enquête distincte que la police a liée à des éléments trouvés sur son ordinateur portable, mais pas à l'affaire de piratage. La police ne l'a pas nommé, et l'identification vient des révélations de Krebs, Reuters et Bloomberg, pas d'une communication officielle. L'intitulé de son poste chez Neo Security est aussi rapporté différemment selon les médias.

L'ampleur de la fuite du FBI repose largement sur les affirmations des pirates et sur des documents que des journalistes ont examinés et partiellement authentifiés. Le FBI n'a pas publié de bilan complet des personnes touchées ni du nombre de dossiers dérobés, et un groupe qui a intérêt à gonfler son accès est à la source de plusieurs des chiffres les plus élevés.

Trois points à surveiller. D'abord, si les procureurs néerlandais engagent des poursuites et si la police procède à d'autres arrestations ; le communiqué indique que de nouvelles arrestations ne sont pas exclues. Ensuite, ce qu'il advient des données du FBI. La position publique du groupe est passée d'une menace de publication à une promesse de les retenir, et cela pourrait changer. Enfin, si la faille PeopleSoft continue de produire des intrusions. Une vulnérabilité corrigée, un exploit connu et un contournement de pare-feu publié forment les ingrédients d'une longue campagne, et les organisations qui utilisent PeopleSoft disposent d'une fenêtre étroite pour confirmer qu'elles ont appliqué le correctif.

Pour le FBI, l'arrestation retire un opérateur présumé. Le bureau ne sait toujours pas quelle quantité de données personnelles sensibles échappe désormais à son contrôle, ni qui pourrait être prêt à les acheter.

Couverture : le bâtiment J. Edgar Hoover, siège du FBI à Washington, D.C. Photographie d'ajay_suresh via Wikimedia Commons, CC BY 2.0.