Opération Delilah (2022) : patience, partenariats et l'arrestation d'un caïd du BEC

La plupart des histoires de compromission de messagerie professionnelle se terminent quand l'argent quitte le compte d'une victime. L'opération Delilah raconte l'histoire plus rare : celle qui se termine dans un aéroport de Lagos, avec un chef de gang présumé menotté après des années de travail discret et coordonné sur quatre continents.

Ce qui s'est passé

En mai 2022, INTERPOL a annoncé l'arrestation d'un Nigérian de 37 ans, présumé à la tête d'un syndicat cybercriminel transnational appartenant au cluster SilverTerrier — le nom générique que Palo Alto Networks Unit 42 utilise depuis 2014 pour l'écosystème des acteurs nigérians de la compromission de messagerie professionnelle (BEC). Il a été interpellé à l'aéroport international Murtala Muhammed de Lagos par la police nigériane.

L'opération, baptisée Delilah, a démarré en 2021 à la suite de transmissions de renseignements et a été coordonnée par la Direction de la cybercriminalité d'INTERPOL et son Opération conjointe africaine contre la cybercriminalité (AFJOC), avec la participation des forces de l'ordre d'Australie, du Canada, du Nigeria et des États-Unis. Des partenaires privés — dont Palo Alto Networks Unit 42 et Group-IB — ont fourni le renseignement sur les menaces qui a permis d'identifier et de suivre le suspect, qu'INTERPOL indique avoir surveillé dans ses déplacements entre plusieurs pays avant l'arrestation.

Delilah faisait directement suite à deux actions antérieures contre le même écosystème : l'opération Falcon (2020, trois arrestations) et l'opération Falcon II (2021, onze arrestations).

Comment l'attaque a fonctionné

Les recherches au long cours d'Unit 42 sur SilverTerrier décrivent non pas un gang, mais une économie : des centaines d'acteurs distincts qui, au fil des années, ont produit des dizaines de milliers d'échantillons de logiciels malveillants du commerce — voleurs d'informations et outils d'accès à distance — pour récolter des identifiants de messagerie d'entreprise à grande échelle.

Le schéma central est constant. Des courriels de phishing, souvent déguisés en factures, devis ou documents d'expédition, livrent des logiciels voleurs d'identifiants ou renvoient vers de fausses pages de connexion. Une fois une boîte professionnelle compromise, les acteurs l'étudient : qui paie qui, quand, sous quel format, sur quel ton. Vient ensuite le pivot — les « nouvelles coordonnées bancaires » d'un fournisseur, le « virement urgent et confidentiel » d'un dirigeant — envoyé depuis une correspondance authentique ou en réponse à celle-ci, si bien que chaque signal technique paraît légitime. Les comptes de mules et les transferts en cascade font le reste.

Ce qui rendait la cible présumée de Delilah notable, selon l'annonce et les commentaires de recherche qui l'ont accompagnée, était son rôle à l'étage organisationnel de cette économie plutôt qu'au clavier d'une escroquerie isolée.

L'impact

Une arrestation ne démantèle pas un écosystème de centaines d'acteurs, et les pertes mondiales liées au BEC ont continué de croître. Mais Delilah a démontré trois choses que les défenseurs doivent retenir : la coopération transfrontalière contre la cybercriminalité africaine fonctionne quand le renseignement est partagé ; la recherche privée peut se traduire directement en arrestations ; et même des figures dirigeantes qui se croient intouchables — circulant entre juridictions, après des années de carrière — peuvent être atteintes. Pour les organisations africaines, ce fut aussi un rappel : la menace est documentée, patiente et professionnelle.

Leçons pour les organisations africaines

• Le BEC est une industrie professionnelle. Partez du principe que votre équipe financière est étudiée par des adversaires qui ont lu des milliers de vrais fils de facturation.
• Les boîtes compromises sont le point de pivot. MFA sur la messagerie, alertes sur les nouvelles règles de transfert et les connexions improbables ferment la porte tôt.
• Le processus prime sur la confiance. Changements de coordonnées bancaires et virements urgents exigent une vérification par un canal distinct — à chaque fois, quel que soit le rang hiérarchique.
• La sensibilisation doit être continue. Les leurres évoluent à chaque rapport d'Unit 42 et de Group-IB ; une formation annuelle ne peut pas suivre seule.
• Coopérez et signalez. Delilah reposait sur des signalements ; le silence est un cadeau au syndicat suivant.

Sources

• Annonce publique d'INTERPOL sur l'opération Delilah (2022)
• Série de recherches SilverTerrier de Palo Alto Networks Unit 42 (2014–2022)
• Déclarations de Group-IB sur sa contribution à l'opération (2022)

Les gangs étudient vos collaborateurs ; la juste réponse est de les préparer. Situez votre organisation avec notre évaluation gratuite de maturité du risque humain.