L'utilisation d'un réseau privé virtuel n'aura pas suffi à faire disparaître toutes les traces. Un hacker soupçonné d'appartenir à Scattered Spider a été arrêté en Finlande avant d'être extradé vers les États-Unis, où il doit répondre des accusations formulées par les autorités.
 
Le groupe est connu pour des intrusions reposant souvent sur l'ingénierie sociale, l'usurpation d'identité et la manipulation des services d'assistance. Ses membres présumés cherchent à convaincre des employés ou des techniciens de leur accorder un accès, plutôt qu'à franchir uniquement des défenses techniques.
 
Dans cette affaire, le FBI aurait relié le suspect à ses activités grâce à un identifiant Windows. Ce type de donnée peut être associé à un appareil, à un compte ou à une session et persister indépendamment de l'adresse internet visible.
 
Un VPN masque principalement l'adresse IP en faisant transiter la connexion par un serveur intermédiaire ; il ne supprime pas automatiquement les journaux du système, les identifiants de compte, les métadonnées des fichiers ou les traces laissées sur les services utilisés.
 
Les enquêteurs peuvent rapprocher plusieurs éléments apparemment secondaires afin de reconstituer une chronologie et d'attribuer une activité. Connexions, horaires, habitudes de langage, comptes réutilisés et caractéristiques techniques forment un faisceau d'indices.
 
L'arrestation montre ainsi que la sécurité opérationnelle d'un cybercriminel peut échouer sur un détail, même lorsque des outils d'anonymisation sont employés. Elle illustre aussi la dimension internationale des enquêtes, qui nécessitent une coopération entre les autorités du pays d'arrestation et celles qui instruisent le dossier.

L'affaire apporte une leçon plus générale sur les limites des VPN. Ces services peuvent protéger une connexion sur un réseau public, réduire certaines formes de traçage et dissimuler l'adresse IP à un site. Ils ne rendent toutefois pas un utilisateur invisible.
 
Un compte personnel ouvert dans la même session, un logiciel configuré avec un identifiant stable ou une erreur de manipulation peuvent permettre de recouper l'activité. Les fournisseurs et les plateformes conservent par ailleurs des journaux variables selon leur politique et la législation applicable.
 
Pour les entreprises, le dossier souligne l'importance de ne pas concentrer la défense sur les seules adresses IP. La détection doit examiner les comportements inhabituels, les demandes de réinitialisation, les nouveaux appareils, les changements rapides d'authentification et les tentatives de contournement du support.
 
Une authentification multifacteur résistante au hameçonnage et des procédures strictes de vérification d'identité peuvent réduire le risque d'attaque par ingénierie sociale.
 
Sur le plan judiciaire, le suspect demeure présumé innocent tant qu'une juridiction ne l'a pas déclaré coupable. Les éléments avancés par le FBI devront être discutés devant la justice, notamment la manière dont l'identifiant a été obtenu et relié à la personne poursuivie.
 
Mais l'épisode confirme une réalité connue des spécialistes : sur internet, l'anonymat est une chaîne dont la solidité dépend de chaque maillon. Masquer sa connexion ne sert à rien si le système, le compte ou l'appareil continue de parler.