ShinyHunters
From Wikipedia, the free encyclopedia
ShinyHunters est un groupe notoire de pirates informatiques et d'extorqueurs black hat qui aurait été formé en 2019 et qui serait impliqué dans un nombre considérable de violations de données. Le groupe extorque souvent les entreprises qu'il a piratées. Si celles-ci ne paient pas la rançon, les informations volées sont vendues ou souvent divulguées sur le dark web[1],[2]. Il utilise des tactiques très agressives pour amener ses victimes à se plier à ses exigences.
| Fondation |
~2019 |
|---|
| Type |
Groupe de hackers |
|---|
| Site web |
|---|
Un collectif de groupes de cybercriminalité, comprenant Scattered Spider, Lapsus$ et ShinyHunters, est créé en 2025[3],[4].
Origine
Le nom du groupe fait directement référence au jeu Pokémon, les joueurs devant effectuer des quêtes à la recherche de Pokémons extrêmement rares appelés Pokémons chromatiques ou brillants (traduction de l'anglais shiny)[5]. Pour ce groupe de pirates, le Pokémon rare est une donnée personnelle avec beaucoup de valeur[6].
Activités
Le groupe est soupçonné d'être impliqué dans le vol de près de 400 millions de données personnelles pour plus de 60 sites Internet. La plupart des bases de données étaient ensuite revendues sur des forums voire diffusées gratuitement[7]. Cependant, il apparaît également que le groupe a menacé des propriétaires de sites Internet pour les faire chanter contre la non diffusion des bases de données[8],[9].
Parmi les principaux sites Internet piratés et bases de données volées, on peut citer l'éditeur de logiciels Microsoft, le site de développement GitHub, l’application de rencontres Zoosk, le service d’impression Chatbooks, l’entreprise de livraison de repas Home Chef, la marque de vêtements Bonobos, l'opérateur téléphonique AT&T, le géant sud-coréen de la mode SocialShare ou encore le site de vente entre particuliers Vinted[10].
En , un groupe de pirates revendique le piratage de 560 millions d'utilisateurs de la plateforme Ticketmaster. Le message est suffisamment pris au sérieux pour que le FBI propose son aide au gouvernement australien. Le groupe de pirates a mis en vente les données piratées sur un forum du dark web pour 500 000 dollars (soit 460 000 euros)[11].
Fin , ShinyHunters revendique le piratage des données de 30 millions de clients de la banque espagnole Santander. Ces données sont mises en vente par le groupe de pirates pour le montant de 2 millions de dollars[12].
En , plusieurs hackers affiliés aux ShinyHunters sont écroués comme Mohamed Sidi Naouchad incarcéré lui depuis 2023 pour escroquerie et piratage au seins d’une centaines d’hôtel, un préjudice estimer à 8 millions d’euros [13].
En , le groupe de hackers revendique l'attaque de Salesforce via un chatbot IA édité par un tiers[14],[15].
En , une autre attaque est revendiquée contre Google[16].
En 2026, le groupe de pirates revendique deux attaques contre la Commission européenne, en janvier (données de téléphonie mobile) et en mars[17].
En juin 2026, le groupe de pirates profite d'une vulnérabilité zero-day sur le logiciel gestionnaire de ressources humaines Oracle PeopleSoft pour voler des données dans plus d'une centaine d'organisations[18].
En septembre 2026, ShinyHunters pirate le site internet d'un de leurs concurrents, Clop, en utilisant une faille de sécurité de leur CMS et se rend maître des clés privées de leur site Tor[19],[20]. Ils revendiquent le piratage du système informatique du FBI à travers l'exploitation d'une faille zero day du logiciel PeopleSoft, invoquant le vol d'une quantité de données comprise entre 2 To et 3 To[21].
Enquête et arrestations
La section cybercriminelle du FBI, la Seattle Cyber Task Force est chargée de l'enquête qui durera près de deux ans et permettra d'identifier plusieurs criminels dont trois français[8],[22].
Sébastien Raoult
Sébastien Raoult, un français de 21 ans est accusé de cybercriminalité par le FBI. Il est arrêté le [23] au Maroc, à l'aéroport de Rabat avant d'avoir pu décoller pour la Belgique, puis est incarcéré dans une prison marocaine. Son avocat demande à la justice marocaine son extradition en France mais il finit par être extradé vers les États-Unis en [24],[6]. Il encourt jusqu'à 116 ans de prison pour un total de neuf chefs d'accusation et plaide non coupable. Il est incarcéré dans une prison de Seattle aux États-Unis[23],[10],[22]. Sébastien Raoult, alors âgé de 21 ans, a été arrêté le à l'aéroport de Tanger, sur la base d'une notice rouge d'Interpol émise par les États-Unis d'Amérique un an plus tôt[25]. Placé en détention le lendemain, il est extradé aux USA huit mois plus tard, vers le printemps . Il réfute alors les accusations[26].
En , il change d'avis et décide de plaider coupable ; il est condamné à trois ans de prison ferme, et à rembourser 5 millions de dollars. En raison de sa détention du Maroc jusqu'au jugement, et des remises de peine, il est rapatrié en France en [25]. À peine atterri sur le sol français à l'aéroport de Roissy, il est mis en examen par la justice française pour « atteintes à un système de traitement automatisé de données ». Il aurait mis en vente un logiciel « permettant de scanner les vulnérabilités de serveurs de mails d’Amazon Web Service », selon Le Figaro[27].
Quatre autres pirates
Les quatre autres hacker français, Abdel H., Gabriel K. B., Mattys S., et Nassim B. sont identifiés et interrogés par les polices française et américaine, puis relâchés sans poursuites. Ce dernier avait déjà été jugé en 2019 pour le piratage de la chaîne Vevo sur YouTube, mais avait été déclaré pénalement irresponsable. Il est mis en examen dans une autre affaire, soupçonné d'avoir piraté la plateforme de cryptomonnaie Gatehub en 2019 et volé, avec d'autres hackers, près de 9 millions d'euros[28].
Les différents protagonistes affirment ne pas faire partie des ShinyHunters, précisant que les piratages se font sous pseudos et qu'il est aisé pour une personne mal intentionnée d'usurper l'identité d'une autre personne[9].
À ce jour, parmi toutes les personnes soupçonnées de faire partie du groupe de hackers, seul Sébastien Raoult est poursuivi devant la justice pour les faits concernés[29]. Il est arrêté le à son atterrissage en France[30].
