Rydox : un administrateur plaide coupable aux États-Unis

Ardit Kutleshi, l'un des hommes accusés d'avoir dirigé Rydox, une place de marché cybercriminelle, a plaidé coupable aux États-Unis d'usurpation d'identité aggravée et de blanchiment d'argent.

Ce Kosovar de 28 ans a été extradé de son pays l'an dernier. Selon les procureurs américains, lui et son frère aîné géraient Rydox, une plateforme illégale où des cybercriminels achetaient des données personnelles volées, des accès non autorisés à des appareils et d'autres outils servant à commettre des fraudes.

Le prononcé de la peine est prévu en février. Le chef d'usurpation d'identité aggravée entraîne une peine plancher de deux ans de prison. Celui de blanchiment d'argent est passible de 20 ans au maximum.

Une boutique d'identités volées et de kits de fraude

D'après l'accusation, Kutleshi a participé à l'exploitation de Rydox pendant près de dix ans. Sur cette période, le site a traité plus de 7 600 transactions, pour un total de 232 000 dollars.

La plateforme comptait environ 18 000 utilisateurs. Ceux-ci pouvaient y acheter des numéros de sécurité sociale, l'identifiant américain lié à l'emploi, aux impôts et au crédit, ainsi que des manuels expliquant comment créer des pages d'arnaque, entre autres produits. Ce mélange de données volées et de guides pratiques fournissait aux acheteurs à la fois la matière première de la fraude et le mode d'emploi pour s'en servir.

Rydox n'était pas ouvert au premier venu. Les utilisateurs devaient déposer de l'argent sur le site avant d'être autorisés à acheter quoi que ce soit parmi les articles proposés. Cette exigence servait probablement à écarter les simples curieux et garantissait que les acheteurs avaient déjà engagé des fonds avant d'accéder à la marchandise.

Le procureur fédéral Troy Rivetti a déclaré que les deux frères avaient gagné « des centaines de milliers de dollars grâce à cette place de marché où des cybercriminels pouvaient acheter des informations et des outils pour commettre et développer leurs activités criminelles en ligne ».

Rivetti a également évoqué le préjudice subi par les victimes au-delà de l'argent perdu.

« Ce type de cybercriminalité entraîne non seulement des pertes financières, mais aussi un préjudice psychologique durable pour les victimes, qui perdent à la fois de l'argent et leur confiance dans les institutions et dans l'infrastructure du commerce en ligne », a-t-il affirmé.

Brett Leatherman, directeur adjoint de la division cyber du FBI, a indiqué que la plateforme donnait à n'importe qui accès à de vastes collections d'identités volées et d'identifiants de connexion appartenant à des milliers de personnes.

Un démantèlement sur quatre pays

L'action contre Rydox remonte à décembre 2024. Ce mois-là, le FBI et d'autres services de police ont saisi le nom de domaine qui hébergeait la plateforme. Au même moment, la police kosovare arrêtait Kutleshi.

L'opération ne s'est pas limitée aux États-Unis et au Kosovo. Les forces de l'ordre albanaises ont arrêté une autre personne impliquée dans la gestion de Rydox, et la police malaisienne a saisi plusieurs serveurs utilisés pour faire tourner le site.

Cette approche coordonnée a visé la plateforme sur plusieurs fronts à la fois : le domaine par lequel les utilisateurs accédaient au site, les personnes qui le géraient et les serveurs qui le maintenaient en ligne.

Le frère condamné et expulsé

Le frère aîné de Kutleshi avait plaidé coupable avant lui. Selon Rivetti, il a été condamné à une peine couverte par sa détention provisoire, puis expulsé vers le Kosovo en décembre.

Reste à savoir si Ardit Kutleshi suivra le même chemin. Recorded Future News a demandé s'il serait lui aussi expulsé. Un porte-parole du ministère de la Justice a renvoyé le média vers le Department of Homeland Security, l'agence américaine chargée de faire appliquer la législation sur l'immigration. Le DHS n'a pas répondu aux demandes de commentaires.

Le ministère de la Justice n'a pas non plus précisé si Kutleshi était toujours sous sa garde.

Notre analyse

L'affaire Rydox montre à quel point les chiffres derrière une place de marché criminelle active depuis des années peuvent paraître modestes sur le papier. 232 000 dollars pour plus de 7 600 transactions, cela représente de petites sommes par vente. Le vrai coût est supporté par les personnes dont les numéros de sécurité sociale et les identifiants ont été revendus, et par celles qui ont ensuite été ciblées par les pages d'arnaque que les acheteurs avaient appris à concevoir. Les propos de Rivetti sur la perte de confiance renvoient précisément à ces dégâts en aval.

L'affaire s'inscrit aussi dans une tendance constante : les procureurs américains poursuivent des suspects de cybercriminalité à l'étranger par le biais d'extraditions et d'opérations conjointes, une tendance également visible dans des dossiers comme les poursuites contre des dirigeants d'Oxygen Forensics. Saisir le domaine, arrêter les administrateurs et récupérer les serveurs en même temps traduit une volonté d'empêcher la plateforme de simplement réapparaître ailleurs.

Pour les défenseurs, la leçon est connue. Les données personnelles dérobées lors de fuites de données et d'arnaques téléphoniques finissent souvent en vente sur des sites comme celui-ci, où elles alimentent de nouvelles fraudes.

Il faudra suivre la peine prononcée contre Kutleshi en février, et voir si, comme son frère, il sera finalement renvoyé au Kosovo. L'issue pourrait indiquer comment les tribunaux américains tiennent compte du temps déjà passé en détention dans ce type de dossiers d'extradition.