Saif al-Din Khader, connu sous le pseudonyme « Rey » et présenté comme un membre du groupe d’extorsion ShinyHunters, a été arrêté en Jordanie fin septembre 2026 et aiderait le FBI à retrouver ses anciens complices. L’information, révélée par Reuters, a été reprise le 5 octobre par The Record et Help Net Security. Pour les entreprises menacées de voir leurs données publiées, cette arrestation affaiblit le groupe sans faire disparaître le risque.
Qui est « Rey » et ce qu’on lui attribue
Selon The Record, le journaliste spécialisé Brian Krebs avait relié dès novembre 2025 le pseudonyme « Rey » et plusieurs profils de pirate à Saif al-Din Khader, qu’il décrivait alors comme un adolescent de 16 ans vivant à Amman. Toujours d’après Krebs, cité par Help Net Security, il aurait auparavant géré le site de fuite du groupe de rançongiciel Hellcat et administré le forum BreachForums. Il est décrit comme une pièce maîtresse de Scattered Lapsus$ Hunters, une nébuleuse dont faisait partie ShinyHunters. Selon The Record, il serait responsable de dizaines d’incidents sérieux visant des entreprises européennes et américaines.
Une arrestation suivie d’une coopération
Des sources du FBI interrogées par Reuters, citées par The Record, situent l’interpellation au 28 septembre 2026 en Jordanie ; Help Net Security, qui reprend aussi Reuters, évoque pour sa part un mardi, selon deux des trois sources de l’agence de presse. On ignore où il est détenu et s’il sera extradé. Selon une source de Reuters citée par Help Net Security, il guide les enquêteurs dans ses appareils électroniques et ses échanges numériques, une coopération jugée « cruciale » pour arrêter d’autres pirates. Dans un échange sur Signal rapporté par Krebs, Khader assure dialoguer avec les forces de l’ordre depuis au moins juin 2025 et dit vouloir tourner la page, même au prix de la prison.
Le FBI refuse de commenter les cas individuels. Il affirme poursuivre activement l’enquête et avoir déjà arrêté plusieurs suspects avec ses partenaires. Le 29 septembre, l’agence et la police néerlandaise ont annoncé l’interpellation de Pepijn van der Stap, un cybercriminel connu, sorti de prison plus tôt dans l’année, que Krebs présente comme une figure du groupe en lutte d’influence avec Khader. Le directeur du FBI, Kash Patel, a écrit sur X que « d’autres arrestations » étaient envisagées.
Pourquoi la menace de publication ne s’éteint pas
Arrêter des membres présumés ne revient pas à démanteler un groupe. The Record rapporte que le site de fuite de ShinyHunters a été mis hors ligne la semaine précédant ces révélations, vraisemblablement par les autorités. Mais le groupe a refait surface sur Telegram en annonçant la relance d’un ancien forum cybercriminel pour le remplacer. L’outil de chantage se reconstitue donc ailleurs.
Les données déjà dérobées, elles, ne disparaissent pas avec leurs voleurs. Le cas du FBI l’illustre : en septembre, le groupe a revendiqué le piratage de portails de candidature de l’agence, puis assuré qu’il ne publierait pas les données dérobées, en admettant que son premier message avait pu être lu comme une menace. Le journaliste de la BBC Joe Tidy, cité par Help Net Security, juge peu probable que le FBI renonce à ses poursuites sur la seule foi de cette promesse. Pour une entreprise victime, l’engagement d’un groupe criminel à ne pas diffuser ses fichiers n’offre aucune garantie.
Enfin, le groupe est connu pour le « vishing » : des escrocs se font passer par téléphone pour le support informatique afin d’obtenir des accès auprès des salariés. Une telle technique ne dépend pas d’une seule personne et peut être reprise par d’autres équipes.
Ce que les entreprises ciblées peuvent faire
La liste des victimes revendiquées ou attribuées au groupe est longue : Ticketmaster, AT&T, McGraw Hill, Carnival, 7-Eleven ou ADT selon The Record, la Commission européenne, Aura ou Rockstar Games selon Help Net Security. En mai, l’éditeur de la plateforme éducative Canvas, Instructure, a fait savoir qu’il avait trouvé un accord avec ShinyHunters pour empêcher la fuite de données ; le groupe revendiquait 3,65 To correspondant à 275 millions d’enregistrements issus de 8 809 établissements. Le FBI, lui, avait publié un avis appelant les victimes à ne pas payer, point de départ de son différend avec le groupe.
Pour une organisation qui reçoit une demande de rançon, l’arrestation de « Rey » ne modifie donc pas la conduite à tenir :
- conserver les preuves de la menace et prévenir les autorités compétentes, ainsi que l’autorité de protection des données en cas de fuite de données personnelles ;
- ne pas tenir pour acquise une promesse de suppression, payée ou non ;
- imposer une vérification par rappel pour tout appel se réclamant du support informatique, en particulier lorsqu’il demande un code ou une réinitialisation d’accès.
La coopération de Khader peut en revanche accélérer l’identification d’autres membres. C’est l’objectif affiché par le FBI, et la principale nouvelle encourageante pour les victimes.
Questions fréquentes
Qui est « Rey », le membre présumé de ShinyHunters arrêté en Jordanie ?
Il s’agit de Saif al-Din Khader, identifié en novembre 2025 par Brian Krebs comme un adolescent vivant à Amman. Il aurait géré le site de fuite de Hellcat et administré BreachForums avant son arrestation fin septembre 2026, le 28 selon des sources du FBI citées par Reuters et reprises par The Record.
ShinyHunters va-t-il cesser de publier des données volées ?
Rien ne permet de l’affirmer. Le groupe a perdu son site de fuite mais a annoncé sur Telegram une plateforme de remplacement, et d’autres membres restent en liberté.
Faut-il payer une rançon à ShinyHunters ?
Le FBI recommande aux victimes de ne pas payer. Un paiement ne garantit ni l’effacement des données ni l’absence de nouvelles exigences, et la parole d’un groupe criminel n’engage que lui.
Sources
- Detained ShinyHunters hacker reportedly helping FBI track down fellow members — Help Net Security, 2026-10-05
- Alleged ShinyHunters member reportedly detained in Jordan, assisting law enforcement — The Record, 2026-10-05