Un lanceur d’alerte expose le train de vie luxueux du groupe de cybercriminels Conti

Conti/Trickbot est un nom qui fait frémir la cybersécurité mondiale depuis des années. Ces cybercriminels russophones sont responsables de certaines des attaques les plus dévastatrices de la décennie : hôpitaux paralysés, entreprises rançonnées, administrations verrouillées. Leur spécialité : le ransomware, un logiciel malveillant qui chiffre les données et réclame une rançon pour les restituer. Les dégâts causés par le groupe se chiffreraient en milliards de dollars à travers le monde.

Depuis 2022, grâce à des fuites internes et à des enquêtes policières internationales, les autorités et les chercheurs connaissent l’identité de plusieurs membres clés du groupe de hackers. Mais jusqu’ici, il manquait des preuves tangibles de leur vie réelle, de leurs réseaux financiers et surtout de leur localisation.

C’est là qu’intervient « GangExposed », un mystérieux lanceur d’alerte qui, depuis le 5 mai 2025, a lancé une campagne de révélations sur Telegram. Dès l’arrivée sur la page d’accès, les intentions du lanceur d’alerte sont claires : « We are putting an end to the Conti story. »

Identités civiles, documents financiers et vie quotidienne du gang révélés

Sur ce canal Telegram, le rythme des publications est soutenu. Les informations visent directement les membres les plus hauts placés de l’organisation criminelle, pour lesquels le FBI offre jusqu’à 10 millions de dollars de récompense.

Première révélation, dès le premier jour de mise en ligne du canal : derrière le pseudo « Stern », se cache en réalité le leader de Trickbot et Conti, nommé Vitaly Nikolaevich Kovalev. Une information confirmée quelques jours plus tard par la police allemande. « GangExposed » récidive alors et révèle que « Professor », alias Vladimir Viktorovich Kvitko, un Russe de 39 ans, aurait quitté Moscou pour s’installer à Dubaï en 2020, avec d’autres cadres du groupe. Ils y auraient poursuivi leurs cyberattaques contre des cibles occidentales.

Ce qui distingue cette nouvelle campagne de leaks, c’est l’ampleur et la qualité des preuves publiées. GangExposed ne se contente pas de dévoiler des pseudonymes ou des extraits de conversations : cet informateur publie des vidéos personnelles, des photos de luxe, des documents de propriété, des preuves de train de vie à Dubaï, et même des échanges privés entre membres du gang. Ces éléments relient pour la première fois, de façon irréfutable, les identités numériques à des personnes bien réelles, à leurs biens et à leurs réseaux de blanchiment.

Les révélations incluent notamment :

• Des images de fêtes sur des jets privés, des voitures de luxe et des appartements situés dans des quartiers d’affaires de Moscou,
• Des documents bancaires et des preuves de transactions en crypto-monnaies, détaillant les circuits d’enrichissement du groupe,
• Des informations sur la relocalisation des chefs à Dubaï, confirmant que plusieurs d’entre eux y poursuivent leurs activités à l’abri des juridictions occidentales.

L’OSINT pour briser l’impunité

Contacté par nos confrères de The Register, GangExposed se présente comme un enquêteur indépendant, utilisant l’OSINT, la stylométrie et des bases de données du dark web pour reconstituer l’organigramme du groupe. Il affirme ne pas agir pour l’argent, mais pour mettre fin à l’impunité des cybercriminels, en rendant impossible leur anonymat et en facilitant leur traque par les autorités internationales. Son but : faire inscrire une cinquantaine de membres clés sur la liste rouge d’Interpol, perturber leurs circuits financiers et pousser les Émirats arabes unis à coopérer avec les enquêtes.

Ce qui intrigue dans cette affaire, c’est que ces révélations ne viennent pas d’une agence ou d’un État, mais d’un lanceur d’alerte anonyme. Certains analystes y voient la main d’un ancien membre ou d’un insider du groupe, une hypothèse renforcée par le niveau de détail et d’accès aux communications internes.

---