Un adolescent accusé d'appartenir au groupe de piratage Scattered Spider extradé vers les États-Unis

Le ministère américain de la Justice a annoncé le 1er juillet qu'un adolescent accusé d'appartenir au groupe de piratage Scattered Spider a été extradé de Finlande pour faire face à des accusations de complot, d'intrusion informatique et de fraude. Peter Stokes, 19 ans, citoyen binational américain et estonien, a comparu devant un tribunal fédéral de Chicago le 30 juin, où un juge a ordonné son placement en détention.

La police finlandaise a arrêté Stokes en avril sur la base d'une notice rouge d'Interpol, une demande d'arrestation internationale, avant son extradition fin juin. Son cas est le dernier d'une série d'arrestations ciblant un groupe lié à des intrusions chez des casinos, des détaillants et des compagnies aériennes.

Les documents judiciaires identifient Stokes sous le pseudonyme en ligne « Bouquet » et décrivent au moins quatre intrusions, la première alors qu'il avait 16 ans. Dans un cas, en mai 2025, les procureurs affirment que lui et d'autres se sont introduits chez un détaillant de bijoux de luxe, ont copié ses données et ont exigé environ 8 millions de dollars en cryptomonnaie. Le détaillant a refusé de payer, a expulsé les intrus et a dépensé au moins 2 millions de dollars pour nettoyer les dégâts. Selon ces documents, les agents finlandais ont saisi deux disques durs de 2 téraoctets lorsqu'ils ont intercepté Stokes à l'aéroport d'Helsinki alors qu'il tentait d'embarquer pour un vol à destination du Japon.

Qui est Scattered Spider

Scattered Spider n'est pas un gang traditionnel. C'est un groupe informel, majoritairement anglophone, composé de jeunes, dont beaucoup d'adolescents, répartis aux États-Unis, au Royaume-Uni et en Europe. Les sociétés de sécurité le suivent également sous les noms Octo Tempest, UNC3944 et 0ktapus. Sa technique principale est simple et difficile à contrer : au lieu de casser un logiciel, elle trompe les gens.

Les membres téléphonent au service d'assistance informatique d'une entreprise, se font passer pour un employé bloqué, et persuadent le personnel de réinitialiser un mot de passe ou d'approuver une connexion. Une fois à l'intérieur, ils volent des fichiers et menacent de les divulguer s'ils ne sont pas payés. Le groupe est surtout connu pour les attaques de 2023 contre MGM Resorts et Caesars Entertainment, qui ont paralysé les systèmes des casinos et des hôtels de MGM. Tout au long de 2025, il a été lié à des attaques contre des détaillants britanniques, notamment Marks & Spencer, Harrods et Co-op, puis contre des assureurs américains et, plus tard, des compagnies aériennes, un schéma que les chercheurs en sécurité décrivent comme une progression secteur par secteur.

Le procureur général adjoint A. Tysen Duva a déclaré que le groupe a été impliqué dans « plus de 100 intrusions réseau, entraînant des paiements de rançon dépassant 100 millions de dollars ».

Partie d'une répression plus large

Stokes s'inscrit dans un changement plus large dans l'histoire de Scattered Spider : la police met des noms, des pays et des dates d'audience sur un groupe qui a longtemps opéré sous des pseudonymes dans des salons de discussion. Les cas récents incluent :

• Tyler Buchanan, 24 ans, originaire d'Écosse, autrefois décrit comme un meneur, a plaidé coupable devant un tribunal américain en avril 2026 pour fraude et vol d'identité. Il a reconnu avoir volé au moins 8 millions de dollars en cryptomonnaie via des campagnes d'hameçonnage qui ont touché des entreprises comme Twilio et LastPass, et encourt une peine maximale de 22 ans de prison.
• Noah Urban, un membre de Floride, a été condamné en août 2025 à 10 ans de prison et à rembourser environ 13 millions de dollars.
• Thalha Jubair et Owen Flowers, deux jeunes hommes au Royaume-Uni, ont plaidé coupable en juin 2026 pour une attaque en 2024 contre Transport for London, l'agence de transport de la capitale. Flowers a également reconnu avoir conspiré pour pirater deux systèmes de santé américains, SSM Health et Sutter Health.

Comment les entreprises peuvent se défendre

La méthode a survécu aux arrestations. Mandiant a signalé une accalmie dans les attaques liées au groupe après les arrestations de 2025, puis a averti que d'autres groupes imitent déjà ses méthodes. Le point faible est le service d'assistance, pas le pare-feu, donc les correctifs qui tiennent sont des vérifications d'identité plus strictes avant une réinitialisation et des clés de connexion que l'hameçonnage ne peut pas voler.

Un avis conjoint américain et international ajoute qu'une fois à l'intérieur, les intrus se cachent souvent dans les outils de chat d'une entreprise et se joignent aux appels qu'elle organise pour répondre à la violation, observant qui les traque.

Pour les enquêteurs, les disques saisis à Helsinki pourraient compter autant que les accusations : les appareils saisis chez un membre mènent souvent à d'autres. Stokes est présumé innocent et son affaire doit encore être jugée, mais l'année écoulée a montré une chose : être jeune, dispersé à travers les frontières et doué pour tromper un service d'assistance ne suffit plus à empêcher ce groupe de se retrouver devant les tribunaux.