Rançongiciel Qilin : un membre présumé arrêté au Japon et remis à l'Allemagne

Le 7 octobre, lors d'une conférence de presse à Düsseldorf, les ministres de l'Intérieur et de la Justice du Land de Rhénanie-du-Nord-Westphalie (NRW), Herbert Reul et Benjamin Limbach, ont annoncé l'arrestation d'un ressortissant russe de 28 ans. Il est présenté comme l'un des membres dirigeants du groupe de rançongiciel Qilin. Le suspect a été interpellé au Japon en mai, pendant un séjour de vacances, puis remis à l'Allemagne. Le 8 octobre, l'Agence nationale de la police japonaise a confirmé l'arrestation et l'extradition. Il n'a pas été jugé et reste présumé innocent.

Une enquête partie d'une attaque contre une entreprise allemande

Selon ZDFheute, l'enquête a été menée par l'office de police criminelle du Land (LKA NRW) et par le service du parquet spécialisé dans la cybercriminalité (ZAC NRW). Elle a commencé après une attaque contre une entreprise de NRW en septembre 2024, au cours de laquelle des données ont été volées puis chiffrées. D'après The Insider, qui cite Der Spiegel, il s'agissait d'une entreprise de logistique, à laquelle on a réclamé 165 000 dollars en bitcoins.

Les enquêteurs disent avoir infiltré le réseau du groupe. Herbert Reul a parlé d'un « coup historique » et a affirmé que c'était la première fois qu'un tel réseau était infiltré avec succès. Toujours selon The Insider, ils auraient eu accès à l'ordinateur du suspect et appris ainsi son projet de voyage au Japon. Le Japon et l'Allemagne n'ont pas de traité bilatéral d'extradition, mais la remise a été possible après un examen judiciaire.

Le rôle exact du suspect reste à établir. Selon les médias japonais cités par ZDFheute, il aurait conçu les systèmes d'attaque et reçu une partie des rançons. Selon Der Spiegel, cité par The Insider, il aurait surtout été développeur pour le groupe.

Qilin, un des rançongiciels les plus actifs

Qilin est apparu en 2022 sous le nom d'Agenda. Il fonctionne comme un « rançongiciel en tant que service » (RaaS) : ses opérateurs louent leur logiciel à des affiliés, qui mènent les attaques en échange d'une commission. Le groupe pratique la double extorsion : il vole les données avant de les chiffrer, puis menace de les publier.

D'après les chiffres présentés par les autorités allemandes et rapportés par ZDFheute, près de 4 000 entreprises auraient été victimes du groupe dans le monde depuis 2024, dont environ 150 en Allemagne et une trentaine en NRW. Les rançons demandées atteindraient près de 3 milliards de dollars, dont plus de 140 millions auraient été effectivement versés.

Que faire ?

Une arrestation, même celle d'un membre important, n'arrête pas un service de rançongiciel qui repose sur de nombreux affiliés. Selon The Insider, trois autres responsables ont été identifiés et se trouveraient en Russie. Les bons réflexes restent les mêmes :

• Corriger en priorité les équipements exposés, en particulier les VPN. En juillet, Arctic Wolf a décrit des intrusions qui se sont terminées par le déploiement de Qilin, et dont le point d'entrée était la faille CVE-2026-0257 de PAN-OS GlobalProtect (Palo Alto Networks).
• Protéger les sauvegardes : selon le même rapport, les attaquants ont visé l'infrastructure de sauvegarde Veeam avant de chiffrer. Gardez au moins une copie hors ligne.
• Surveiller les signes d'exfiltration, comme l'usage inhabituel de Rclone ou des envois massifs vers MEGA.
• En cas d'attaque, porter plainte et se faire accompagner, par exemple via Cybermalveillance.gouv.fr.