Les États-Unis ont secrètement payé une rançon en Bitcoin, les services VPN ont été victimes d'espionnage et d'autres événements de cybersécurité

Nous avons rassemblé cette semaine les actualités les plus importantes du monde de la cybersécurité.

• Le prisonnier a retiré 290 000 $ qui lui avaient été confisqués en cryptomonnaie.
• Interpol a intercepté 293 millions de dollars et arrêté près de 6 000 personnes.
• Chercheurs : Au lieu de protéger contre le pistage, les VPN gratuits espionnaient souvent les utilisateurs eux-mêmes.
• Les autorités américaines ont secrètement payé aux pirates informatiques 9,4 BTC.

Le prisonnier a retiré 290 000 $ qui lui avaient été confisqués en cryptomonnaie

Le citoyen bulgare Rosen Iosifov, reconnu coupable, a réussi à organiser le retrait illégal de 290 000 dollars de crypto-monnaie alors qu'il purgeait une peine de prison. Le gouvernement avait précédemment confisqué ces avoirs, a indiqué le ministère américain de la Justice.

En 2021, le tribunal du district oriental du Kentucky a condamné le propriétaire de l'échange de crypto-monnaie RG Coins Iosifov à 111 mois de prison pour participation à un système de fraude aux enchères en ligne à grande échelle. Au cours de son parcours, environ 5 millions de dollars en cryptomonnaies ont été blanchis. Le tribunal l'a également condamné à verser plus de 2,6 millions de dollars d'indemnisation aux victimes.

Selon l'enquête, un nouvel incident s'est produit en janvier 2024. Pendant sa détention, Iosifov a conspiré pour déplacer des actifs numériques. Pour brouiller les pistes et empêcher les autorités de restituer les fonds, l'attaquant a fait passer les transactions via plusieurs échanges et mélangeurs de crypto-monnaie.

Si Iosifov est reconnu coupable de nouvelles accusations, notamment de recel de biens et de complot, il risque jusqu'à 25 ans de prison.

Interpol a intercepté 293 millions de dollars et arrêté près de 6 000 personnes

Interpol a résumé les résultats de l'opération spéciale mondiale First Light 2026, visant à lutter contre la fraude transnationale et l'ingénierie sociale.

Les forces de l'ordre de 97 pays ont participé à cet effort coordonné. La phase active des enquêtes et des perquisitions a duré du 15 janvier au 30 avril 2026. Les principales cibles des forces de sécurité étaient des groupes organisés spécialisés dans les escroqueries aux investissements, la correspondance commerciale compromettante, les escroqueries amoureuses et le chantage.

Pour suivre et supprimer rapidement les flux financiers illégaux, les départements ont activement utilisé le mécanisme I-GRIP (Global Rapid Intervention of Payments). Le système a permis aux enquêteurs de geler rapidement non seulement les transactions bancaires traditionnelles, mais également les transferts vers des portefeuilles cryptographiques.

Dans le cadre de l'opération :

• 5 811 suspects arrêtés ;
• des actifs d'une valeur de 293 millions de dollars ont été confisqués et interceptés ;
• L'identité de plus de 15 600 participants présumés à des stratagèmes criminels a été identifiée ;
• plus de 31 000 comptes bancaires et portefeuilles cryptographiques ont été bloqués ;
• plus de 23 700 affaires pénales ont été résolues ;
• Plus de 142 000 victimes ont été recensées dans le monde.

Le rapport du département fait état d'incidents locaux à grande échelle. L’une des plus importantes a été découverte par les forces de l’ordre thaïlandaises, qui ont arrêté deux suspects dans le cadre du blanchiment des produits d’une « escroquerie romantique ». Au cours de l’enquête, les forces de sécurité ont identifié un portefeuille cryptographique par lequel ont transité plus de 122,5 millions de dollars de fonds illégaux en seulement 10 mois. Pour brouiller les traces et brouiller les transactions, le réseau criminel a converti les monnaies fiduciaires en actifs numériques et a utilisé des échanges complexes entre chaînes.

Au Sri Lanka, les autorités ont mené des descentes massives dans les centres d’escroquerie locaux, arrêtant des centaines de leurs employés.

En Eswatini, la police locale, appuyée par un groupe de travail, a démantelé un réseau impliqué dans les casinos en ligne illégaux et le blanchiment d'argent.

Au cours d'une des perquisitions, les forces de sécurité ont découvert un décor réaliste d'un commissariat de police brésilien – avec de faux uniformes, panneaux et équipements, qui ont été utilisés pour des systèmes sophistiqués de chantage vidéo.

Chercheurs : Au lieu de protéger contre le pistage, les VPN gratuits espionnent souvent les utilisateurs eux-mêmes

Dans le cadre des tests pilotes, les chercheurs ont analysé plus de 280 VPN gratuits de Google Play. Les résultats ont été décevants : de nombreux services ne parviennent pas à assurer les tâches de sécurité de base et le nombre total de téléchargements d'utilitaires problématiques a dépassé 2,4 milliards.

Une équipe de chercheurs de l'Université du Michigan, de l'Université du Nouveau-Mexique et de l'Institut indien de technologie de Delhi a utilisé la plateforme MVPNalyzer, conçue pour l'audit automatisé des VPN mobiles. Lors de l’analyse du trafic, ils ont identifié des défauts d’architecture critiques :

• Interception du tunnel. Cinq applications ont téléchargé des fichiers de configuration via HTTP non crypté. Cela permet à un attaquant sur le même réseau (par exemple, sur un Wi-Fi public) de remplacer un fichier et de rediriger tout le trafic utilisateur vers un serveur contrôlé par des pirates ;
• fuites de données. 29 applications (environ 360 millions d'installations) ont divulgué des requêtes DNS, révélant les sites visités, et six services ont divulgué le trafic du navigateur en dehors du tunnel crypté. Quatre programmes ont même lancé la connexion sans cryptage ;
• désanonymisation. 169 candidatures ne masquaient en aucun cas leur trafic. Les censeurs gouvernementaux ou les FAI peuvent facilement identifier et bloquer de telles connexions, même si les deux tiers de ces services ont annoncé avoir réussi à contourner ces blocages.

Selon les experts, au lieu de protéger contre le pistage, les VPN gratuits espionnent souvent les utilisateurs eux-mêmes. Plus de 80 % des applications ont contacté des serveurs publicitaires. Parmi ceux-ci, 76 utilitaires ont transmis un identifiant publicitaire unique de l'appareil (Advertising ID), ainsi que des métadonnées (modèle de téléphone, version du système d'exploitation et paramètres de l'écran) pour générer une empreinte numérique. L'une des applications a envoyé les coordonnées GPS exactes de l'appareil à des serveurs tiers.

En étudiant les configurations OpenVPN, il s'est avéré que 89 % des services n'utilisent qu'une seule méthode d'authentification au lieu de deux. Une application sur cinq s'appuyait sur des chiffrements Blowfish et Triple DES obsolètes et vulnérables, et plusieurs programmes ont forcé la désactivation du cryptage par tunnel.

Les experts ont noté que les badges « Vérifiés » et les marques de sécurité sur Google Play servent souvent uniquement de stratagème marketing et ne garantissent pas la fiabilité du logiciel.

Les autorités américaines ont secrètement payé 9,4 BTC aux pirates informatiques

Le 13 juin 2025, une agence gouvernementale américaine (vraisemblablement Union County, Ohio) a payé aux cybercriminels du groupe Kairos une rançon d'environ 9,44 BTC (~ 1 million de dollars au moment de l'incident). Cela a été rapporté par les chercheurs de Ransom-ISAC.

Après avoir analysé les journaux de négociation et les données en chaîne, les experts ont découvert que les pirates informatiques menaçaient de publier des informations confidentielles volées sur les citoyens. Une caractéristique distinctive de l'incident était le refus total des attaquants d'utiliser un ransomware classique – l'infrastructure n'était pas cryptée et l'attaque était réduite à un chantage direct en raison de la fuite de 2 To d'informations.

La demande initiale des pirates était de 3 millions de dollars. Les agresseurs ont fait pression sur la victime, menaçant de divulguer le dossier du « parquet » (ce qui permettrait aux criminels d'éviter des accusations), les numéros de sécurité sociale, les données financières et les empreintes digitales. Au cours des enchères qui ont duré un mois, le montant a été réduit à 1 million de dollars.

Dès réception, les criminels ont divisé le transfert et ont fait passer les fonds via une chaîne de portefeuilles, les dirigeant vers des adresses de dépôt associées aux échanges cryptographiques Bybit, OKX et au service russe BELQI.

En guise de confirmation de « l'accord », Kairos n'a fourni qu'une liste de fichiers marqués pour suppression, ce qui, selon les experts, n'apporte aucune réelle garantie.

Les experts ont noté un changement global dans les tactiques cybercriminelles : les syndicats de hackers se tournent de plus en plus vers le vol pur et le chantage, car cela les libère de la nécessité de maintenir des logiciels de cryptage complexes. Le groupe Kairos lui-même a désormais réduit son activité publique, mais les portefeuilles cryptographiques qui lui sont associés ont continué à déplacer des fonds jusqu'en mai 2026.

Les pirates ont transformé les appareils des utilisateurs en nœuds proxy pour masquer les activités et les attaques ultérieures.

Les pirates ont infecté les ordinateurs et les smartphones des utilisateurs, les transformant secrètement en nœuds proxy résidentiels, qu'ils ont ensuite loués à d'autres cybercriminels. Les experts d'Infoblox ont rendu compte des actions du groupe Lurking Lizard.

Pour distribuer des logiciels malveillants, les pirates ont utilisé des installateurs de programmes populaires contenant des chevaux de Troie. Dans l'une des campagnes, ils ont distribué un archiveur 7-Zip infecté via un domaine portant un nom similaire au vrai. En outre, le groupe a déguisé des virus en installateurs de WhatsApp, en téléchargeurs de vidéos de TikTok et YouTube, ainsi qu'en services VPN malveillants. L'application mobile wirevpn – Fast Unlimited Proxy liée aux pirates informatiques a déjà dépassé le million de téléchargements.

Selon Infoblox, l'infrastructure Lurking Lizard, opérationnelle depuis au moins août 2022, compte plus de 230 faux domaines. Les attaquants interceptent activement les adresses réseau expirées afin d'utiliser leur historique dans les moteurs de recherche pour promouvoir des logiciels malveillants.

Après avoir formé un botnet proxy à grande échelle, le groupe est passé à la monétisation. Lurking Lizard a usurpé l'identité de fournisseurs de proxy bien connus : IPIDEA, SmartProxy, IP Royal et 911Proxy. De plus, elle contrôlait un réseau de faux sites avec des « avis indépendants » qui redirigeaient les clients vers des magasins clandestins.

Les analystes ont noté que les réseaux proxy illégaux constituent une menace de plus en plus sérieuse. Les adresses IP d'autres personnes sont utilisées pour masquer les traces d'attaques de pirates informatiques. C'est pourquoi le trafic légitime des utilisateurs ordinaires peut être bloqué par les fournisseurs ou signalé comme suspect.

Également sur ForkLog :

• Socket a trouvé une version volante de clé du SDK Injective dans npm.
• Les chercheurs ont décrit le risque de botnets basés sur des agents d’IA hallucinatoires.
• Le mode d'analyse des messages Chat Control a été rétabli dans l'UE.
• Les experts ont appelé à revérifier les anciens contrats intelligents grâce à l’IA.
• Coinspect a mis en garde contre une menace pesant sur des milliers de portefeuilles cryptographiques.
• Un utilisateur d’Ethereum a perdu près d’un million de dollars à cause du phishing.
• Les chercheurs ont appris à ralentir les modèles d’IA grâce à des pièges logiques.
• AI a calculé le texte anonyme de Vitalik Buterin.
• La trésorerie de BonkDAO a perdu 20 millions de dollars à cause d'une proposition malveillante.
• CertiK a estimé les pertes du secteur de la cryptographie dues aux piratages à 1,32 milliard de dollars sur six mois.
• Le protocole Summer.fi DeFi a été piraté pour 6 millions de dollars.

Que lire ce week-end ?

Dans les nouvelles cartes Cryptorium, nous vous expliquons comment les systèmes fédéraux sont apparus et pourquoi ils sont désormais utilisés non seulement par les passionnés et les partisans de l'anonymat, mais aussi par des entreprises entières, des militaires et des ministères gouvernementaux.