Arrestation d’un cadre en cybersécurité : les leçons à tirer pour les professionnels de l’extorsion numérique
Apollinaire Monteclair
L’arrestation d’Edward Dubrovsky, un cadre canadien de la cybersécurité, en Pennsylvanie, a secoué le secteur. Accusé de complot et d’extorsion en lien présumé avec le groupe ShinyHunters, il symbolise les risques juridiques auxquels s’exposent les experts en réponse aux incidents. Cet événement interroge sur les limites éthiques et légales de la négociation avec les cybercriminels, une activité pourtant courante dans la gestion des rançongiciels. Que révèle cette affaire sur les zones grises de l’extorsion numérique ? Et comment les professionnels français peuvent-ils se prémunir de tels écueils ?
Le cas Dubrovsky : une affaire aux implications majeures
Edward Dubrovsky, 54 ans, co-fondateur de l’entreprise canadienne CYPFER et associé à CyberSteward, a été arrêté lors d’un sommet sur les risques cyber à Philadelphie. Selon les documents judiciaires, il est inculpé pour « complot visant à menacer de compromettre la confidentialité d’informations dans l’intention d’extorquer de l’argent » (18 U.S.C. §§ 371 et 1030(a)(7)(B)) ainsi que pour « entrave au commerce par menaces » (Hobbs Act). Bien que la plainte reste scellée, plusieurs médias, dont KrebsOnSecurity et Politico, relient cette arrestation à l’enquête du FBI sur le groupe ShinyHunters.
Un profil paradoxal
Dubrovsky n’est pas un vulgaire pirate. Il conseillait des entreprises victimes de fuites de données et de ransomwares sur la manière de négocier le paiement des rançons. Son ouvrage, Cyber Extortion Strategic Response, publié récemment, détaille les stratégies de réponse à l’extorsion. Ce paradoxe - un professionnel de la cybersécurité accusé d’activités similaires à celles qu’il devait contrer - soulève des questions essentielles sur la frontière entre conseil légitime et complicité.
Le contexte ShinyHunters
ShinyHunters est un groupe d’extorsion spécialisé dans le vol de données d’applications web et de plateformes SaaS. Il propose un service d’extorsion « as-a-service » à d’autres cybercriminels. Le FBI estime que le groupe a compromis plus de 140 organisations et extorqué plus de 70 millions de dollars au cours de l’année écoulée. Depuis le piratage du portail d’emplois du FBI attribué à ShinyHunters, les autorités américaines multiplient les arrestations.
Les zones grises de la négociation d’extorsion
La pratique de la négociation de rançons est encadrée par des recommandations - comme celles de l’ANSSI en France - mais elle reste juridiquement floue. Aider une victime à payer une rançon peut être considéré comme un financement du terrorisme ou un blanchiment d’argent dans certaines juridictions. Le cas Dubrovsky illustre le risque de dérive : un négociateur peut être accusé de conseiller l’extorsion plutôt que de la combattre.
Éthique et conformité : où tracer la ligne ?
| Situation | Risque légal | Bonne pratique recommandée |
|---|---|---|
| Conseiller le paiement d’une rançon | Potentiel financement d’activités illicites | Préférer une analyse coût-bénéfice documentée, valider avec le service juridique |
| Négocier directement avec les attaquants | Complicité d’extorsion si les conseils aident à maximiser le paiement | Utiliser uniquement des canaux sécurisés et ne pas conseiller sur le montant |
| Utiliser des intermédiaires non identifiés | Blanchiment d’argent | Vérifier l’identité et la réputation de tout intermédiaire |
« Toute activité qui facilite le paiement à des cybercriminels peut tomber sous le coup de la loi si elle est interprétée comme une incitation à l’extorsion. » - Brian Krebs, KrebsOnSecurity.
Les impacts pour les professionnels français
En France, le cadre légal est posé par le Code pénal (art. 312-1 sur l’extorsion) et les recommandations de l’ANSSI. La loi de programmation militaire 2019-2025 renforce les obligations de signalement des incidents. Néanmoins, les sociétés de conseil en cybersécurité opèrent parfois dans une ambiguïté juridique, surtout lorsqu’elles interviennent à l’international.
Exemple concret : une PME française victime de ransomware
Prenons le cas fictif d’une PME industrielle de Lyon, victime de BlackCat. Son prestataire cyber, basé en France, négocie avec les attaquants pour obtenir une réduction de la rançon de 500 000 à 200 000 euros. Le paiement est effectué en cryptomonnaie via un service de mixage. Bien que l’ANSSI recommande de ne pas payer, la pression opérationnelle conduit parfois à cette solution. Si un employé du prestataire avait des liens personnels avec les attaquants - même indirects -, il pourrait être inculpé pour complicité.
Bonnes pratiques pour rester dans le cadre légal
Pour éviter de franchir la ligne rouge, les professionnels doivent appliquer des règles strictes :
- Ne jamais initier le contact avec les attaquants sans mandat clair et validation juridique.
- Documenter chaque étape : échanges, montants, justifications.
- Utiliser des outils de traçabilité (horodatage, sauvegarde des logs).
- Solliciter un avis d’expert en droit pénal avant toute intervention sensible.
- Privilégier les solutions de backup et de continuité plutôt que le paiement.
- Signaler l’incident aux autorités (ANSSI, police) dans les 72 heures.
- Former les équipes aux aspects éthiques et juridiques de la réponse aux incidents.
« Le meilleur conseil que l’on puisse donner à une victime d’extorsion, c’est de ne pas payer. Mais la réalité opérationnelle est parfois différente. C’est pourquoi il faut des garde-fous. » - Edward Dubrovsky, lors d’une conférence en 2025. (Propos rapportés, avant son arrestation.)
Conclusion : vers une professionnalisation éthique du secteur
L’arrestation d’un cadre en cybersécurité rappelle que les spécialistes de l’extorsion numérique évoluent sur une ligne de crête. La demande croissante de conseils en négociation, combinée à la pression des assureurs, ne doit pas faire oublier le cadre légal. En France, suivre les préconisations de l’ANSSI, se former aux bonnes pratiques et intégrer un comité d’éthique sont des pistes concrètes. L’affaire Dubrovsky est un signal d’alarme : la cybersécurité ne peut pas prospérer sans une déontologie solide.
Première publication : les termes techniques comme « extorsion as-a-service » ou « rançongiciel » sont expliqués dans le glossaire du site.
Ressources :
- Guide ANSSI « Gestion de crise cyber » (2024)
- ISO 27001 - Contrôle A.6.1.5 (Conformité légale)
- Article du Code pénal français sur l’extorsion (312-1)
Cet article a été rédigé à partir d’informations publiques issues de l’actualité (BleepingComputer, KrebsOnSecurity, Politico) et des documents judiciaires disponibles. Toute évolution de l’affaire pourra être traitée dans un prochain billet.