Une opération conjointe de la police nationale et de la Guardia Civil a permis d’appréhender un hacker présumé. Le jeune homme de 18 ans est connu sous le pseudo de Natohub. Il serait responsable de plus de 40 cyberattaques contre des organisations stratégiques ibériques et internationales. L’enquête débute en 2022 pour finaliser son arrestation mardi 28 janvier 2025. De nombreux équipements informatiques sont saisis (en cours d’analyse), ainsi que des cryptomonnaies.
Arrêté dans sa ville de résidence, Calpe dans la province d’Alicante, le jeune homme est présumé être l’auteur de plus de 40 cyberattaques. Les faits qui lui sont reprochés sont les faits de découverte et de divulgation de secrets, d’accès illégal à des systèmes d’information, de dommages informatiques et de blanchiment d’argent. Les actions sont perpétrées contre le ministère de la Défense, la Fabrique nationale de la monnaie et du timbre (FNMT-RCM), la Generalitat Valenciana, la DGT et la Guardia Civil, entre autres. Les agents trouvent sur place une grande quantité de matériel informatique, lors de son arrestation.
« Natohub » placé en détention
Lors de la perquisition à son domicile, du matériel informatique en grande quantité est saisi. Il est en cours d’analyse par des spécialistes, explique le ministère de l’Intérieur espagnol. Il n’est pas exclu de trouver des preuves concernant d’autres actes.
« Natohub » possède plus de 50 comptes de cryptomonnaies avec différents types de cryptoactifs. Dans un souci de rester le plus invisible possible, il a changé de pseudo, à au moins trois reprises (Natohub, M100 ou DSF).
Il a volé et vendu des informations telles les bases de données de la Guardia Civil et de l’OTAN.
« Une enquête complexe et exhaustive menée par la police nationale et ses collègues des forces armées a abouti à l’arrestation de ce cybercriminel qui était dans le collimateur des agents depuis des mois », explique La Razón. Il est libéré après le règlement de sa caution et lui avoir retiré son passeport. (Crédits : Policia Nacional/Guardia Civil)
Au début de l’année 2024, la société — Medios de Prevención Externos Sur SL — en charge des examens médicaux des forces de l’ordre est attaquée. Les données volées sont vendues sur le Dark Web. Puis une nouvelle fois, les forces armées sont la cible d’une attaque cyber le 28 décembre 2024. Les données exfiltrées sont les courriels professionnels, leurs prénoms et noms, et leurs numéros d’identification (TIP), le RIO en France ; ce qui représente 160 000 identités.
Qui est « Natohub » ?
Si sa remise en liberté est effective, une enquête est en cours auprès du 54e tribunal de Madrid, mais son identité reste secrète le temps de l’instruction tout au moins. Qui est donc « Natohub » ? En mars 2020, le confinement est décrété partout en France comme en Espagne, suite à la pandémie de Covid-19. Connu sous les pseudonymes Natohub, M100 ou DSF, il commence à s’intéresser à la cybersécurité et aux systèmes d’information, il n’a que 13 ans.
Il acquiert, en autodidacte les connaissances nécessaires pour pénétrer des organisations internationales et nationales telles que l’OTAN et la Guardia Civil. Mais aussi les capacités à voler des données et informations sensibles puis à les vendre sur des forums dédiés. Bien que ses principales cyberattaques soient dirigées contre l’armée et les forces de l’ordre. Il n’y aurait aucune motivation idéologique.
Suite à la plainte auprès de la Policia Nacional, d’une association de guides touristiques, l’enquête débute en février 2024. Grâce à une trace oubliée sur un portail mal configuré, ils remontent le fil jusqu’à son arrestation. Il découvrent alors un étudiant de 18 ans ordinaire, dans un foyer familial ordinaire. (Crédits : La Razón)
Une alerte a sonné tôt ce matin 26 avril 2023 dans la municipalité espagnole. Depuis le site de la commune de Carballo qui est située dans la Communauté autonome de la Galice. La procédure qui vise à minimiser la propagation d’une tentative d’intrusion non autorisée est appliquée. Une enquête est diligentée pour en connaître l’étendue, mais également l’origine de l’attaque. Les services municipaux indiquent vouloir remettre en fonctionnement le plus rapidement les différents systèmes d’information.
Ce mercredi 26 avril 2023, il est 5 h, lorsque l’alarme se déclenche dans les bureaux de Carballo. Les services informatiques activent immédiatement le protocole prévu à cet effet. Le but est de minimiser les conséquences de l’intrusion non autorisée. En collaboration avec l’Agence de modernisation technologique de Galice (Amtega), l’enquête est ouverte.
Une cyberattaque a touché la commune de Carballo dans le nord de l’Espagne. (Crédits : capture d’écran/Carballo)
La mairie dans un communiqué stipule que « des travaux sont en cours pour clarifier la cyberattaque et tenter de rétablir les services affectés dès que possible et de restaurer les informations locales à partir de la sauvegarde ». L’optimisme est de mise vu qu’ils annoncent un début de rétablissement dès demain jeudi 27 avril.
🚨IMPORTANTE 🚨 O Concello de Carballo foi vítima esta madrugada dun ciberataque que obrigou a paralizar a actividade administrativa. Toda a información está no seguinte fío e nesta ligazón: https://t.co/oSMfpakb7Y
Dans la matinée, tous se réunissaient. Les services informatiques, le secrétaire de la mairie, le conseiller en charge des contrats et le maire, Evencio Ferrero, afin de planifier une stratégie pour une telle éventualité. En parallèle à l’enquête diligentée par Amtega, les faits ont déjà été portés à l’attention de la Guardia Civil. Une équipe de la police judiciaire s’est rendue sur place ce matin. Elle s’entretiendra avec le Centre national de cryptologie (CCN) et à l’Agence de protection des données (APD).
La série « La Casa de Papel » d’abord pur produit ibérique de la chaîne Antena 3, avant de migrer vie Netflix, à connu un engouement mondial tonitruant. Celle qui sur cinq saisons lie drame, suspense, thriller et braquage, a sans doute fait naître ou du moins évoquer des pensées d’un côté comme de l’autre. Le braquage de la banque d’Espagne remémore les casses les plus retentissants du siècle dernier. Notamment, en France, celui de la Société Générale de Nice voyait ses coffres se vider du 16 au 18 juillet 1976.
Depuis la naissance des organismes fiduciaires, les coffres-forts sont une obsession des banques. La série « La Casa de Papel » aurait-elle poussé la banque d’Espagne à revoir sa politique de sécurité ? Tous les fantasmes sont permis ou presque. Le premier appel à candidature date de juillet 2016. Quoiqu’il en soit, l’organisme fiduciaire a acheté quatre coffres-forts, ainsi qu’une armoire dite de sécurité. Ces systèmes de protection seront installés dans la nouvelle imprimerie de billets de banque. Le coût est de plus de 78 millions d’euros. Située sur l’avenue de Daroca, dans le quartier Vicálvaro de Madrid, l’imprimerie des billets de banque de la Banque d’Espagne (IMBISA) s’est offert quatre coffres-forts et une armoire de sécurité, mais pas seulement.
Les travaux ont été attribués à l’entreprise de construction Dragados pour 78 055 366 euros. Débutés en mars 2020, achevés en mai 2022, ils devraient être opérationnels en 2023. La nouvelle Casa de Papel occupera un terrain de 65 735 m2, et une surface au sol de 28 684 m2 répartie sur plusieurs bâtiments (Crédits : capture d’écran/IMBISA).
Le contrat prévoyait la fourniture de coffres-forts et d’armoires de sécurité pour le stockage d’armes. Ainsi que leur installation dans l’édifice destiné au détachement de la Guardia Civil. Les documents d’appel d’offres ajoutaient la pose de deux coffres-forts. Pour entreposer 20 mitraillettes, soit dix MP5 et dix G36 KV. Puis, deux autres coffres-forts pour le stockage de 60 armes légères, réparties équitablement ont également été convenus.
Selon les documents de l’appel d’offres, les coffres-forts devaient avoir une épaisseur de blindage d’au moins 8 cm. Ils devaient parallèlement disposer d’une protection anti-perçage pour les zones sensibles et de systèmes de re verrouillage en cas d’attaque. (Crédits : DR)
Le site industriel, situé dans le quartier de Vicálvaro à Madrid « présente un design unique et moderne qui s’intègre naturellement à son environnement » souligne IMBISA. L’endroit choisi et le site auraient été conçus pour « combiner les exigences de sécurité les plus strictes avec une protection maximale de l’environnement, en intégrant les principes suivants et une protection maximale de l’environnement, en intégrant les principes de l’innovation technologique et des processus de production efficaces ».
Ils sont réalisés en « matériaux de haute performance avec renfort d’acier et de fibres » qui sont « hautement résistants aux attaques mécaniques et thermiques ». Leurs portes ont une épaisseur de 15 cm. Ils sont équipés d’une protection anti-perçage dans les zones sensibles des mécanismes, des loquets, des boulons et des serrures. (Crédits : DR)
Les services de la banque d’Espagne ont donc voulu un système de serrure plus perfectionné. « Leurs serrures seraient de deux types, une serrure à clé et une serrure à combinaison électronique. Les serrures électroniques des coffres-forts sont également préparées pour être actionnées par télécommande. » Les documents d’appel d’offres fournissent de nombreuses données. Est-ce que le cerveau présumé du casse de la Société Générale en 1976, à Nice en France, Albert Spaggiari avait eu autant d’informations ? L’affaire dite Spaggiari avait vu s’envoler 46 millions de francs, l’équivalent d’environ 29 millions d’euros actuels.
En deux jours la GuardiaCivil annonce avoir arrêté trois personnes soupçonnées de cultiver sur 67 hectares de marijuana. Puis elle désarticule la logistique du trafic de drogue sur la CostaDorada avec 51 individus détenus et plus de dix tonnes de haschisch et dix « narco bateaux » ont été saisis. Le matériel confisqué a une valeur d’environ 30 millions d’euros. Les opérations Maius et Drift ont permis le démantèlement de deux organisations criminelles dédiées a la contrebande sur la Costa Dorada.
Le 13 avril 2022, la Guardia Civil, dans le cadre d’une opération conjointe avec la police régionale de Navarre, a détricoté la plus grande plantation en Europe de haschisch. L’opération a conduit à l’arrestation de trois personnes en Navarre quand une enquête est diligentée pour deux individus au Paysbasque. Les chiffres sont à dimension industrielle, car 415 000 plants ont été détruits, dont la valeur marchande aurait pu être vendue pour 30 millions d’euros pour être transformée en CBD (cannabidiol) et autres dérivés. Puis, l’ensemble une fois transformé pouvait atteindre les 100 millions d’euros sur le marché.
Un hectare équivaut à 10 000 m2, les proportions du terrain du CampNou sont de 105 m sur 68, une piscine olympique mesure 50 par 25 m. Soit pour le premier 7140 m2, et 1250 pour le bassin olympique. La comparaison est donc de près de 94 (93,84) terrains de football barcelonais et 536 bassin olympique. (Crédits : Guardia Civil)
L’enquête débutait au milieu de l’année 2021, lorsqu’un agent émettait un doute sur la légalité d’une grande culture de chanvre. L’investissement économique que l’exploitant avait réalisé, ainsi que la destination de la Suisse ou l’Italie, pays connus pour leur transformation vers la fabrication de produits dérivés du CBD (interdit en Espagne) ont éveillé des soupçons. À ce moment-là, les deux entités policières commençaient les investigations dans les villes d’Artajona et d’Olite. Communes où elles ont trouvé onze plantations de chanvre avec quelque 415 000 plants pour une superficie de 67 hectares.
Su precio en el mercado podría haber alcanzado los 100 millones de euros.
Lors de la fouille de l’entrepôt, 23 000 autres plants, en train de sécher, ont été saisis. Le poids total mesuré est de 50 740 kilos, selon la Guardia Civil.
Maius et Drift
Le 14 avril 2022, la Guardia Civil, communiquait cette fois sur l’opération Maius qui a pris fin le 30 mars 2022. Le démantèlement d’organisations criminelles consacrées au trafic de drogue à Tarragone, qui fournissaient services, et logistique pour l’introduction de haschisch sur la Costa Dorada. La société de service œuvrait dans le delta de l’Ebre. Leur prestation faciliter la mise à l’eau de narco bateaux, et besoins aux institutions pour amener le produit sur la côte de Tarragone (carburant, de la nourriture, du stockage, logement aux équipages). Ils allaient également jusqu’à proposer un service de sécurité pour ne pas être repérés par les forces de police durant les travaux préparatoires ou lors des expéditions elles-mêmes.
L’opération Drift s’est achevée mardi 12 avril avec l’arrestation de 30 personnes à Alicante, Tarragone, Barcelone, Murcie et aux Baléares et de deux en France. L’organisation a acquis ses bateaux en Galice et au Portugal. Après les avoir transportés en Catalogne, ils les ont élaborés dans leur propre atelier situé à Cambrils. (Crédits : Guardia Civil)
L’intervention a permis la saisie de 5 bateaux d’une valeur de 900 000 euros et plus de 5 700 kg de haschisch, d’une valeur de plus de 19 millions d’euros, ont été confisqués. L’identité des auteurs d’autres confiscations de marijuana de près de quatre tonnes, qui avaient été effectuées précédemment à Vinaroz et en France, a été clarifiée, explique la Guardia Civil.
Le 10 juillet 2021, une enquête, débutée il y a plus d’un an après de multiples plaintes, a débouché sur l’arrestation de seize personnes à travers toute l’Espagne. Les prévenus sont détenus pour des délits présumés de fraude et d’appartenance à une cellule criminelle. La « Guardia Civil » a démantelé un réseau d’escroqueries sur Internet qui usurpaient l’identité de la direction générale de la circulation (DGT) et de la Poste, entre autres. Des techniques de phishing et de spoofing sur de nombreuses victimes sont mises en place.
Une opération de Police aboutie à l’arrestation de 16 personnes à travers la péninsule ibérique. De l’usurpation d’identité aux courriels, pour détourner de fortes sommes d’argent à l’insu des victimes. « Aguas Vivas » de la Guardia Civil (Gendarmerie en France) triomphe d’une entente de malfaiteurs dédiée à la réalisation de malversations sur Internet.
La Guardia Civil démantèle un réseau d’escrocs
Cette opération a permis l’arrestation de 16 personnes dans diverses villes de la péninsule Ibérique. Elles s’effectuent à Ribeira, Madrid, Parla et Móstoles, Seseña, Villafranca de los Barros et Aranda de Duero pour les délits présumés d’escroquerie et d’appartenance à une organisation criminelle. Ils recouraient au spoofing (technique d’usurpation d’adresse de courriel), selon les forces de l’ordre espagnoles.
L’agence nationale de la sécurité des systèmes d’information (ANSSI) la définit par l’« action malveillante qui consiste à utiliser délibérément l’adresse d’un autre système en lieu et place de la sienne ».
Les gendarmes de l’Internet ajoutent que cette action doit être rapprochée de l’usurpation d’identité, considérée comme un délit par le droit pénal français. L’idée est de faire passer son système d’information pour un autre. L’adresse usurpée peut être une adresse MAC (Media Access Control), une adresse IP (Internet Protocol), une adresse de messagerie, etc.
Le nombre d’e-mails envoyés par jour avoisine les 293 milliards en 2019, les prévisions pour l’année 2022 ciblent 347 milliards. Cela représente 1,4 milliard en France, sachant que chaque français possède, en moyenne, plus de deux comptes. (Crédits : PublicDomainPictures/Pixabay)
Un groupe criminel structuré et hiérarchisé. Les escrocs présumés auraient installé un « logiciel » malveillant sur l’ordinateur de leurs multiples victimes en utilisant cette technique de spoofing. C’est-à-dire l’envoi frauduleux d’e-mails à travers lesquels les attaquants supplantaient l’identité d’organismes, tels que l’Agence des impôts, le Trésor public, la DGT ou encore la Poste.
Des demandes de règlement de dettes fiscales, d’amendes routières ou de récupération de colis… pour lesquels ils devaient ouvrir un lien contenu dans le courriel reçu, pour en connaître les détails. En cliquant, une redirection s’opère à une adresse, ou à une page Web. Sur celle-ci, le programme malveillant s’installe en arrière-plan après son téléchargement. Ils auraient ainsi réussi à détourner, vers leurs comptes, d’importantes sommes d’argent, rapporte le communiqué de la Guardia Civil.
Les services de la Benemérita lors de la perquisition d’un domicile visé par l’enquête. (Crédits : DR)
L’association est parfaitement structurée et hiérarchisée en quatre échelons. D’une part, certains individus se consacrent à recevoir les montants des transferts frauduleux (niveau 1), qui sont transmis à d’autres membres de l’organisation (niveau 2). D’autre part, certaines personnes ont déplacé l’argent vers de nouveaux comptes situés à l’étranger (niveau 3) et, enfin, d’autres ont masqué le fonctionnement en ligne des comptes (niveau 4).
Plus de trois millions d’euros bloqués
Une fois installé sur le terminal, il reste en sommeil, jusqu’au moment où l’utilisateur accède à n’importe quel site Web de sa banque et exécute une transaction financière. À cet instant, le code malveillant interceptait et modifiait les données émises, de sorte que les bénéficiaires des opérations fiduciaires soient les 30 comptes bancaires appartenant au réseau criminel.
Ensuite, on répartit l’argent sur divers comptes. Mais aussi extrait du circuit par des retraits d’espèces dans des distributeurs automatiques de billets (DAB), des transferts BIZUM, des cartes REVOLUT, etc., afin de noyer les recherches d’une éventuelle enquête de police.
Les forces de l’ordre, en collaboration avec le département informatique du Conseil provincial de Cáceres, ont détecté une activité suspecte dans des comptes de messageries. C’est au sein de 68 de ces derniers, appartenant à des organismes officiels, que les enquêteurs découvraient l’infection par les chevaux de Troie « Mekotio » et « Grandoreiro ». Les véritables échanges de courriels représentent moins de 20 % de la totalité des e-mails reçus. Les spams et hameçonnages sont à 65 %, les publicités à 15 % et les virus, malware ou ransomware tout juste 1 %. (Crédits : Ryan McGuire/Pixabay)
Ils étaient en attente d’effectuer les opérations délictueuses. Les agents ont réussi à bloquer des tentatives de transfert pour un montant de 3 500 000 euros, après avoir analysé plus de 1 800 courriels. En outre, la police a élucidé 20 délits de fraude pour un total de 276 470 euros, dont elle a pu récupérer 87 000 euros.
Quelles sont les conduites à adopter ?
« En dépit de mécanismes additionnels et correctement utilisés, les courriels ne garantissent en rien l’authenticité d’un émetteur et encore moins l’intégrité d’un courriel », martèle un œil averti. C’est en cela que l’ANSSI exhorte tout un chacun à adopter cinq réflexes. Avec en préambule un conseil avisé : « N’importe qui peut vous envoyer un courriel en se faisant passer pour un autre ! Cela n’est pas beaucoup plus compliqué que de mettre un faux nom d’expéditeur au verso d’une enveloppe. N’ayez pas une confiance aveugle dans le nom de l’expéditeur ». Le premier demeure dans le fait d’être attentif à tout indice qui initierait le doute quant à l’origine réelle du courriel.
« Vous devez admettre que dans le domaine de la messagerie électronique, il n’existe pas d’expéditeur a priori de confiance », appuie l’agence nationale. Puis se méfier des pièces jointes, en ayant votre antivirus activé et à jour, mais pas seulement. Dans le cas d’un comportement anormal, exigez qu’un professionnel contrôle votre poste. Les requêtes de confirmation d’informations confidentielles (mots de passe, code PIN, coordonnées bancaires…) ne s’effectuent pas via un courriel. En cas d’incertitude, on n’a qu’à requérir auprès du correspondant la reconnaissance de sa demande, bien sûr par le biais d’un nouveau, et non en répondant à celui reçu (phishing).
La confiance doit être remise en doute à chaque ouverture du poste, et souligner toute anomalie auprès du responsable compétent. (Crédits : TheDigitalWay/Pixabay)
Une technique plus simple qu’il n’y paraît avec votre souris. Il suffit de passer cette dernière au-dessus du lien et observer l’adresse de renvoi. « De manière générale, il est préférable de saisir manuellement l’adresse dans le navigateur. » Enfin, configurez correctement votre logiciel de messagerie. « Il faut conserver vos logiciels à jour, si possible en activant la procédure de mise à jour automatique. Puis paramétrer votre logiciel de messagerie pour désactiver la prévisualisation mécanique des courriels. Dans les paramètres de sécurité en options, interdisez l’exécution systématique des ActiveX, des plug-ins et les téléchargements, soit en les désactivant, soit en imposant de vous en demander l’autorisation. Enfin, dans un environnement sensible, lisez tous les messages au format texte brut », conclut l’agence nationale de la sécurité des systèmes d’information.
