Les Pays-Bas arrêtent deux hommes et saisissent plus de 800 serveurs dans le cadre d’une enquête sur des sanctions

Les autorités néerlandaises ont arrêté deux hommes et démantelé plus de 800 serveurs dans le cadre d’une enquête sur une infrastructure qui aurait servi à soutenir des cyberattaques, des opérations d’influence et des campagnes de désinformation liées à la Russie.

Les arrestations ont eu lieu le 18 mai à l’initiative du Service néerlandais de renseignement et d’enquête financière (FIOD), qui a déclaré que les suspects — un homme de 57 ans originaire d’Amsterdam et un homme de 39 ans originaire de La Haye — sont accusés d’avoir enfreint les règles relatives aux sanctions en mettant des ressources à la disposition d’entités sanctionnées. Les enquêteurs ont également perquisitionné plusieurs locaux professionnels et centres de données dans le pays.

Les sociétés d’hébergement liées à Stark Industries dans le viseur

Selon la presse néerlandaise, l’enquête porte sur un réseau de sociétés d’hébergement liées à Stark Industries Solutions, un fournisseur qui a gagné en importance peu avant l’invasion à grande échelle de l’Ukraine par la Russie en 2022. Stark a ensuite été identifiée dans le cadre de recherches antérieures comme une source majeure d’attaques DDoS et de services proxy utilisés dans des campagnes associées à des acteurs malveillants pro-russes.

L’un des principaux fournisseurs d’infrastructure de Stark avait auparavant été lié aux frères moldaves Ivan et Yuri Neculiti ainsi qu’à leur société PQHosting. L’Union européenne a sanctionné PQHosting et les deux frères en 2025. Après l’annonce de ces sanctions, l’infrastructure restante aurait été transférée à une société néerlandaise appelée WorkTitans BV, liée aux deux hommes actuellement arrêtés.

Les autorités ont également saisi des ordinateurs portables, des téléphones et des serveurs lors des perquisitions. Dans un avis envoyé à ses clients, un service d’hébergement concerné a indiqué que les données stockées sur les systèmes saisis avaient été perdues.

Des questions subsistent sur l’utilisation du réseau

Des médias néerlandais ont indiqué que des données internes suggéraient que WorkTitans et MIRhosting figuraient parmi les réseaux les plus utilisés lors d’activités pro-russes visant des entités gouvernementales danoises dans le contexte des élections municipales du pays, fin 2025. MIRhosting a nié avoir sciemment soutenu la cybercriminalité ou le contournement des sanctions et a déclaré avoir suspendu ses services à WorkTitans pendant l’examen de la situation.

Andrey Nesterenko, qui dirige MIRhosting aux Pays-Bas, a déclaré que l’entreprise ne soutient aucune activité illégale et a fait valoir que la fermeture d’infrastructures nuisait également aux clients légitimes. Le second suspect, Youssef Zinad, n’a pas répondu publiquement à ces accusations.

Cette affaire souligne l’attention constante que les enquêteurs européens portent aux fournisseurs d’hébergement et autres entreprises de services techniques susceptibles d’être utilisés pour dissimuler ou faciliter des opérations cybernétiques hostiles.