IA et « crime as a service », la mauvaise recette des cybercriminels de Dumpsec

Leurs faits d’armes avaient inquiété jusqu’aux parlementaires. Mais quelques mois après leurs premiers piratages, datés en novembre 2025, la roue semble toutefois avoir tourné pour les cybercriminels de « Dumpsec », un pseudo qui fait référence à un outil de sécurité permettant de générer des rapports.

L’office anti-cybercriminalité vient ainsi d’annoncer l’interpellation de sept suspects, arrêtés un peu partout en France. Une trajectoire éclair qui en dit long sur l’évolution de la cybercriminalité.

Les suspects, des mineurs ou des jeunes majeurs, semblent en effet ne pas avoir de compétences informatiques spécifiques. Mais ils arrivaient à faire des dégâts en ayant recours à des outils d’IA et au « cybercrime as a service », ces services criminels vendus au plus offrant, analyse auprès de ZDnet.fr la commissaire Julie Benoît, la cheffe du pôle des enquêtes cyber de l’Ofac.

Recherche de notoriété

Pour « Dumpsec », tout avait commencé à l’automne dernier. Le groupe va revendiquer des premières attaques contre des plateformes de prise de rendez-vous pour les collectivités, SynBird et RDV360. Une dernière entreprise basée à Rennes, où l’antenne locale de l’Ofac va être saisie en novembre pour les premières investigations.

Sur sa lancée, le groupe, dirigé par un certain « Christopher Lead » va multiplier les annonces fracassantes. Parmi ses victimes, selon ses dires : l’entreprise de travail temporaire Adecco, la société de colis Mondial Relay ou encore l’enseigne de grande distribution Leroy Merlin. Soit, compte l’Ofac en tout 35 organisations ciblées et plus de 1500 victimes par rebond.

Autant de piratages menés pour vendre des fuites de données…  et aussi pour se faire connaître. Outre des communications classiques sur des forums dédiés à cette activités, une personne affirmant faire partie du groupe avait accordé une interview à « France 2 ». Ce dernier se vantait par exemple de gagner jusqu’à « 5000 euros par semaine » en menant des recherches d’informations pour des tiers.

« On attaque là où on peut faire mal »

L’homme interrogé se présentait également comme une sorte de hacker éthique, soucieux de « dévoiler toutes les failles » pouvant exister, « même sur les grands groupes ». « On attaque là où on peut faire mal », poursuivait-il. « Les petites entreprises, franchement, c’est pas notre dada », contrairement aux « gros organismes », bien plus vulnérables qu’ils ne le prétendraient.

Des paroles à prendre avec des pincettes, notamment au regard du flou autour de la portée exacte des intrusions menées par « Dumpsec ». Exemple dans la santé. Pour le piratage du spécialiste du logiciel pour le secteur médical Cegedim, là où il était revendiqué une fuite au détriment de 19 millions de patients, l’entreprise victime avait signalé la compromission de 1500 espaces de médecins.

De même, le groupe avait également assuré avoir fait main basse sur une base de données de 35 millions de français issue du piratage de 130 hôpitaux. Ce nombre de victimes semble farfelu pour un expert du secteur interrogé par ZDNET.fr.

Reste que quelle que soit la part d’affabulations, les dégâts commis par ce groupe sont manifestes. Ce qui en faisait une cible prioritaire pour la police. Après un « travail de longue haleine » et des « recoupements », souligne Julie Benoît, les enquêteurs ont finalement identifié et arrêté sept suspects. Des investigations toutefois pas terminées qui se poursuivent notamment en s’intéressant aux flux d’argent.