Au cœur de « Diesel Vortex » : comment un syndicat russo-arménien de cybercriminalité a détourné le fret occidental

Par un mercredi printanier tranquille, un chercheur en cybersécurité est tombé sur une trace numérique - un répertoire .git exposé sur un site suspect. Ce qu’il découvrit ensuite allait dévoiler une vaste opération de cybercriminalité qui, pendant des mois, avait siphonné en silence des secrets au cœur même du commerce occidental : l’industrie du fret et de la logistique.

Les hackers, connus sous le nom de « Diesel Vortex », étaient loin d’être des amateurs. Pendant cinq mois, ils ont infiltré des plateformes essentielles au transport de marchandises - bourses de fret, systèmes de gestion de flotte, portails de cartes carburant - en se faisant passer pour des transporteurs et courtiers légitimes. Leur butin : des identifiants donnant accès aux plannings d’expédition, à la valeur des cargaisons, et la capacité de détourner ou de voler des chargements entiers.

Des chercheurs de Have I Been Squatted, un groupe de protection de domaines, ont reconstitué le mode opératoire du syndicat après avoir découvert le code source exposé. Les fichiers révélaient non seulement des schémas techniques, mais aussi des conversations internes - certaines en arménien - où les opérateurs discutaient de cibles à forte valeur et coordonnaient des escroqueries de « double courtage ». Dans ces stratagèmes, un criminel réserve un chargement sous une identité volée, puis le réattribue, brouillant les pistes et rendant toute récupération quasi impossible.

L’ampleur et le professionnalisme de l’opération ont stupéfié les enquêteurs. L’organisation comprenait une hiérarchie structurée, un centre d’appels, un support par mail, et des rôles dédiés à la communication avec les chauffeurs et les contacts du secteur. Leur plateforme de phishing à la demande, baptisée « MC Profit Always », était prête à permettre à d’autres criminels de louer les outils nécessaires pour exploiter le secteur logistique.

L’analyse technique a relié l’infrastructure à des domaines enregistrés en Russie et à des documents d’entreprises russes dans l’entreposage et le transport. Parallèlement, des conversations faisaient référence à Erevan, en Arménie, et incluaient des échanges en arménien sur des cibles lucratives. Le caractère multinational du groupe reflète la dimension de plus en plus globale de la cybercriminalité.

Avec le soutien de géants de la cybersécurité comme Google, Cloudflare et GitLab, l’infrastructure de l’opération a finalement été démantelée. Mais le mal était fait : identifiants volés, cargaisons détournées, et une démonstration glaçante de la vulnérabilité de la colonne vertébrale numérique du commerce mondial.

Alors que les législateurs tentent de réagir - tout récemment avec la proposition de loi Combatting Organized Retail Crime Act - les experts en sécurité avertissent que la transformation numérique du secteur du fret est une arme à double tranchant. Si l’efficacité s’envole, l’exposition aux cybercriminels sophistiqués et internationaux aussi. « Diesel Vortex » ne sera presque certainement pas le dernier du genre.

Dans le monde à enjeux élevés de la logistique, la confiance est une monnaie - et, comme le prouve cette affaire, un seul mot de passe compromis peut coûter des millions. L’industrie du fret fait avancer le monde, mais elle doit désormais apprendre à se défendre dans les couloirs obscurs du cyberespace.

WIKICROOK

• Phishing : Le phishing est une cybercriminalité où les attaquants envoient de faux messages pour inciter les utilisateurs à révéler des données sensibles ou à cliquer sur des liens malveillants.
• .git directory : Le répertoire .git est un dossier caché utilisé par Git pour suivre les modifications et stocker l’historique complet et la configuration d’un projet.
• Double : La double extorsion est une cyberattaque où les criminels chiffrent et volent des données, menaçant de les divulguer à moins que la victime ne paie une rançon.
• Phishing : Le phishing est une cybercriminalité où les attaquants envoient de faux messages pour inciter les utilisateurs à révéler des données sensibles ou à cliquer sur des liens malveillants.
• Vol d’identifiants : Le vol d’identifiants se produit lorsque des hackers dérobent des noms d’utilisateur et des mots de passe, souvent via le phishing ou des fuites de données, afin d’accéder illégalement à des comptes en ligne.