Numéro 194 | Octobre 2026, semaine 3

Deux ressortissants américains arrêtés pour avoir facilité une fraude informatique nord-coréenne

Compétence

Les États-Unis

Threat Actor

Individu

Activité incriminée

Fraude informatique

Préjudice estimé

Plus de 3 millions de dollars

Action d'exécution

Arrest

Statut de l'affaire

Enquête en cours

Deux ressortissants américains ont été arrêtés pour avoir prétendument aidé des travailleurs IT nord-coréens à obtenir des postes à distance dans des entreprises américaines en utilisant de fausses identités. Ce schéma aurait généré plus de 3 millions de dollars entre 2019 et juillet 2025.

Les suspects, Michael James Bostelle de Pennsylvanie et Juan Cecilio Pena Carrillo du Texas, auraient aidé des travailleurs à dissimuler leur véritable localisation et à faire croire qu'ils étaient basés aux États-Unis. Cette arnaque a touché plus de 70 entreprises américaines.

Selon l’acte d’accusation, les suspects hébergeaient des ordinateurs portables fournis par l’entreprise sur des sites situés aux États-Unis, permettant ainsi à des travailleurs étrangers d’y accéder à distance. Ces derniers auraient utilisé de fausses identités, des VPN et des services de proxy pour obtenir des emplois.

Dans le cadre de l’opération «Lonestar Roundup», le FBI a perquis 40 lieux au Texas soupçonnés d’abriter des fermes d’ordinateurs portables. Les autorités ont saisi 187 ordinateurs portables et des dispositifs KVM liés à ce dispositif présumé. L’acte d’accusation cite également 10 personnes basées en Chine.

Hacker condamné pour vol de 53 M$ sur la bourse de cryptomonnaies Uranium Finance

Compétence

Les États-Unis

Threat Actor

Individu

Activité incriminée

Vol de cryptomonnaies

Préjudice estimé

Plus de 53,3 millions de dollars

Action d'exécution

Arrest

Statut de l'affaire

Condamnation

Un homme de 36 ans a été reconnu coupable d'avoir dérobé plus de 53 millions de dollars à la plateforme d'échange de cryptomonnaies Uranium Finance lors de deux attaques perpétrées en avril 2021.

Jonathan Spalletta, également connu en ligne sous les pseudonymes «Jspalletta» et «Cthulhon», a exploité des failles dans le code du smart contract de la plateforme pour voler de la cryptomonnaie. La première attaque a eu lieu le 8 avril, lorsqu'il a volé environ 1,4 million de dollars. Trois semaines plus tard, il a mené une deuxième attaque, dérobant environ 53,3 millions de dollars, après quoi la plateforme a été contrainte de fermer ses portes faute de fonds.

Spalletta a ensuite fait transiter les fonds volés via des services de cryptomonnaie afin d'en dissimuler l'origine. Il a utilisé une partie de cet argent pour acheter des objets de collection de grande valeur, notamment des cartes rares de Pokémon et de Magic: The Gathering, ainsi qu'une monnaie romaine antique.

En février 2025, les forces de l’ordre ont saisi les objets de collection chez lui et ont récupéré environ 31 millions de dollars en cryptomonnaie provenant de portefeuilles associés. Spalletta encourt désormais jusqu’à 10 ans de prison pour fraude informatique et jusqu’à 20 ans pour blanchiment d’argent.

Une opération internationale vise les escroqueries en ligne en Afrique de l’Ouest

Compétence

Afrique de l'Ouest

Threat Actor

Plusieurs acteurs

Activité incriminée

Fraude en ligne ; traite des êtres humains

Préjudice estimé

Plus de 8,3 millions de dollars

Action d'exécution

Arrest

Statut de l'affaire

Enquête en cours

Le ministère américain de la Justice a annoncé les résultats d’une opération internationale visant des comptes d’escroquerie en ligne et des réseaux criminels opérant en Afrique de l’Ouest.

L’opération a mobilisé des services de police des États-Unis, du Royaume-Uni, du Nigeria, du Ghana et de plusieurs autres pays, ainsi qu’INTERPOL et des entreprises technologiques privées.

Au Ghana, les autorités ont arrêté 19 personnes et saisi 303 appareils électroniques. La police a également identifié 117 victimes présumées de traite d’êtres humains en attente de rapatriement au Nigeria, ainsi que 89 victimes d’arnaques ayant perdu environ 8,3 millions de dollars.

Au Nigeria, les autorités ont arrêté neuf personnes et saisi 53 appareils électroniques au cours de l’opération. Sur six sites au Ghana, les autorités ont également fait état de dizaines d’arrestations, de l’identification de 34 victimes de traite et de la saisie de 129 appareils électroniques.

Parmi les schémas démantelés figuraient des escroqueries dans lesquelles des criminels se faisaient passer pour des agents des forces de l'ordre, menaçaient des victimes de fausses arrestations et proposaient des investissements frauduleux en cryptomonnaies.

Marché de hameçonnage en langue chinoise ; des outils de piratage neutralisés lors d’une série d’opérations

Compétence

Les États-Unis

Threat Actor

Plusieurs entités

Activité incriminée

Hameçonnage, fraude en ligne

Préjudice estimé

Des dizaines de millions de dollars

Action d'exécution

Démantèlement de l'infrastructure

Statut de l'affaire

Enquête en cours

Microsoft et Health-ISAC ont saisi et redirigé des domaines liés à trois services (YAM Store, CoGUI et Iron Man) utilisés par des cybercriminels pour obtenir des comptes, des kits de phishing et des outils de fraude en ligne.

Selon Microsoft, ces services ont servi à envoyer plus d’un milliard de messages malveillants depuis janvier 2026. Les campagnes ciblaient des particuliers et plus de 75 000 organisations dans plus de 150 pays. Les opérateurs auraient perçu des dizaines de millions de dollars.

Microsoft a désactivé plus de 20 000 comptes liés à YAM Store et bloque plus de 100 000 domaines utilisés à des fins d'usurpation d'identité et de fraude.

YAM Store (alias Storm-3119) vendait l’accès à des comptes et des environnements en ligne compromis ou obtenus de manière frauduleuse, notamment des comptes liés à Microsoft et Google. Les acheteurs pouvaient sélectionner des comptes en fonction de critères tels que l’âge, le type d’abonnement et le type d’organisation.

Le marché proposait également des kits de hameçonnage suivis en tant que Storm-2990, notamment CoGUI, Haozi et Iron Man. CoGUI a été utilisé contre des victimes au Japon et aux États-Unis ; Iron Man a commencé à gagner du terrain en mi-2026, après que YAM Store a commencé à le promouvoir en juin.

Dans une action distincte, les autorités américaines ont saisi deux outils (Microscan et FishHub) qui auraient été utilisés par les acteurs de menace Flax Typhoon, liés à la Chine. Microscan servait à détecter les failles des réseaux informatiques ; FishHub aidait les attaquants à accéder via le hameçonnage, à installer des logiciels malveillants et à voler des fichiers.

Ces outils auraient été utilisés contre des organisations aux États-Unis, à Taïwan, au Japon, en Pologne et dans d’autres pays, notamment des compagnies d’électricité, des aéroports, des universités et des organisations non gouvernementales.

La police arrête les opérateurs présumés des plateformes de cybercriminalité OLVX et Stryx

Compétence

Macédoine du Nord, France

Threat Actor

Individu

Activité incriminée

Fonctionnement des plateformes de cybercriminalité

Préjudice estimé

Non divulgué

Action d'exécution

Arrest

Statut de l'affaire

Enquête en cours

La police de Macédoine du Nord a arrêté l’administrateur présumé d’OLVX, un marché en ligne utilisé par des cybercriminels pour acheter et vendre des données personnelles volées, des identifiants de connexion et des outils destinés à des activités illicites.

Le suspect n'a pas été identifié publiquement. La police a indiqué que le suspect gérait des sites web et des domaines liés à OLVX entre 2023 et 2025. Durant cette période, la plateforme proposait plus de 1 500 ensembles d'identifiants de connexion volés, susceptibles de permettre aux criminels d'accéder aux comptes utilisateurs et aux réseaux informatiques.

Les autorités ont également établi un lien entre le suspect et un groupe Telegram en ligne nommé ONEMILI, qui aurait proposé des logiciels et des services pour la cybercriminalité, notamment des schémas de remboursement frauduleux. Les autorités ont également découvert des preuves indiquant that le suspect avait obtenu et possédé du matériel pédopornographique (CSAM) via Telegram.

Entre-temps, l'unité française anti-cybercriminalité a fermé deux sites web soupçonnés de vendre des données volées et arrêté trois adolescents de 17 ans présumés responsables de ces sites. La plateforme, initialement connue sous le nom de Reacher puis rebaptisée Stryx, aurait mis en vente des informations personnelles volées, notamment des noms, des adresses et des numéros de compte bancaire. Elle affirmait détenir 730 millions de lignes de données et avoir reçu 3,1 millions de requêtes. En cas de condamnation, les trois adolescents risquent jusqu'à 10 ans de prison.