Fraude cryptographique en France : décryptage de la chaîne de données à l'origine des attaques

Une seule donnée indiquant que vous détenez des crypto-actifs suffit à vous exposer à un risque, y compris physique, que cette donnée soit exacte ou non. C'est le constat central de notre enquête sur la compromission et l'exploitation des données de détenteurs et de prestataires français de crypto-actifs.

Qu'est-il s'passé à Jouy-en-Josas, et pourquoi cela structure-t-il tout le rapport ?

Le 24 août 2026, trois individus entrato dans une maison à Jouy-en-Josas, dans les Yvelines, et ont séquestré son occupant pendant environ deux heures afin d'obtenir l'accès à ses comptes de crypto-monnaie. Ils étaient arrivés en espérant extorquer l'équivalent de six millions d'euros, alors que les comptes qui leur ont été montrés en contenaient environ trois mille. Les faits ont été relayés par la presse nationale et locale, et l'enquête a été confiée à la brigade de répression du banditisme de Versailles.

À ce stade, aucun lien n’a été établi avec une fuite de données identifiée, mais c’est précisément cet écart entre la fortune supposée et la fortune réelle qui rend cette affaire instructive. Elle illustre le mécanisme mis en évidence par la suite de notre enquête, à savoir que les données qui sous-tendent une opération de ce type doivent simplement exister et circuler, sans qu’il soit nécessaire qu’elles soient exactes.

Quel est le degré de maturité de la fraude liée aux cryptomonnaies en France ?

Notre enquête identifie quatre rôles spécialisés agissant en séquence, couvrant acquisition, courtage, exploitation et monétisation, avec une boucle de nouvelle victimisation qui réinjecte la sortie de la dernière étape dans la première.

Chaque maillon de cette chaîne gère sa propre économie. En général, les opérateurs qui obtiennent un accès initial revendent un compte d'échange compromis entre 50 et 500 dollars américains, selon la valeur qu'ils parviennent à y identifier, tandis que les courtiers en données fonctionnent soit par abonnement, soit à l'unité, un dossier KYC complet étant facturé de quelques centaines à plusieurs milliers de dollars. Les opérateurs d'exploitation réalisent une marge importante sur les conversions réussies, et les opérateurs de décaissement facturent généralement entre 8 et 25 pour cent du volume qu'ils blanchissent. Globalement, nous estimons que ce niveau d'organisation est comparable en termes de maturité à ransomware en tant que service.

Qu'est-ce qui fait de la France une cible stratégique plutôt qu'accidentelle ?

La densité alliée à la qualité des données. Environ Au début de l'année 2026, 11 % de la population française détenait des crypto-actifs., et le pays concentre plusieurs acteurs structurels du marché européen, couvrant les portefeuilles matériels, les plateformes d'échange et de courtage, les services fiscaux et comptables, ainsi que les applications d'épargne de détail.

Ce qui rehausse la valeur de cette concentration, c'est la nature des enregistrements que ces acteurs génèrent, lesquels incluent des identités vérifiées issues des processus KYC, des déclarations fiscales, des soldes agrégés et des historiques de transactions complets.

Où dans le secteur le ciblage est-il réellement concentré ?

Au terme de douze mois de veille sur les principaux forums clandestins et plusieurs chaînes Telegram privées spécialisées dans le ciblage des crypto-actifs, les références françaises se répartissent comme suit.

Catégorie cible	Part de mentions
Bourses centralisées	38%
Portefeuilles matériels et logiciels	21%
Services fiscaux et comptables	14%
Prestataires et courtiers agréés en France	11%
DeFi et ponts	8%
Communautés et influenceurs	5%
Conservation et gestion d'actifs	3%

Surveillance par CybelAngel des forums et des canaux Telegram. Ensemble filtré, plancher d'observation.

Les bourses centralisées et les portefeuilles concentrent l'essentiel des ciblage, ce qui correspond globalement à ce que la plupart des équipes de sécurité prévoient. La découverte qui a tendance à les surprendre est que les services fiscaux et comptables occupent la troisième place, devançant les prestataires autorisés et les courtiers.

D'où proviennent les données sur la fraude aux cryptomonnaies en France ?

Trois vecteurs distincts alimentent une seule chaîne d'acquisition, et leur intérêt réside dans la facilité avec laquelle ils se combinent.

Les programmes de vol d'informations restent le principal vecteur d'atteinte à la sécurité des particuliers !

 Notre surveillance continue couvre des dizaines de millions de machines infectées dans le monde, dont une part importante détient des identifiants liés à des plateformes de crypto-actifs, et la France figure parmi les pays les plus représentés sur le périmètre ciblant les services de crypto-actifs. Les modèles de logiciels malveillants en tant que service (Malware-as-a-Service) mettent ces outils à la portée d'opérateurs ne possédant aucune compétence technique avancée, et les journaux exfiltrés contiennent généralement des identifiants enregistrés dans les navigateurs, des cookies de session permettant fréquemment de contourner l'authentification à deux facteurs, ainsi que les fichiers locaux de portefeuilles de bureau tels que MetaMask, Phantom et Exodus. Torg Grabber, dont les premiers échantillons datent de décembre 2025, cible 728 extensions de navigateur liées à des portefeuilles numériques, ainsi que 103 extensions de gestion des mots de passe et d'authentification à deux facteurs.

Les bases de données compromises des fournisseurs fournissent quelque chose que les journaux individuels ne peuvent pas offrir.

 Ils fournissent une population homogène déjà qualifiée comme détentrice de cryptomonnaies, avec des données contextuelles réutilisables directement lors de l'exploitation. compromission de Waltio, confirmé publiquement en janvier 2026 et signalé comme concernant environ 50 000 utilisateurs, a exposé des adresses e-mail ainsi que des déclarations fiscales de 2024 couvrant les gains, les pertes et les soldes agrégés.

Les violations de grande envergure font circuler la même catégorie de matériel à une échelle bien plus grande. Le compromise de la DGFiP, confirmé le 14 août 2026 pour 678 000 particuliers et professionnels, a mis en circulation l'identité, l'adresse et le revenu fiscal de référence, autant d'éléments pouvant être utilisés pour sélectionner des profils fortunés avant de les cibler.

Au cours du premier trimestre 2026, nous avons également observé un volume soutenu d'offres de bases de données de cryptomonnaies françaises sur les principaux forums criminels et canaux Telegram, présentées comme provenant de divers prestataires et suivant un format commercial cohérent dans lequel un échantillon est publié ouvertement et la base de données complète est vendue par lot. Ces annonces trouvent rapidement preneur.

Pourquoi la combinaison importe-t-elle plus que le volume ?

Parce qu'un fichier qui associe une identité vérifiée, un moyen de contact et un ordre de grandeur de patrimoine permet à un opérateur de trier les cibles avant d'effectuer un premier contact, ce qui est le produit pour lequel le marché paie réellement. Le volume brut sans cette combinaison vaut considérablement moins.

Parallèlement aux fuites massives, un marché spécifique s'est organisé autour des données KYC, c'est-à-dire les documents d'identité, les justificatifs de domicile et les selfies de vérification, et ces packs permettent le vol d'identité complet, incluant l'ouverture de comptes bancaires au nom de la victime, les demandes de substitution de carte SIM (SIM swapping) auprès des opérateurs mobiles, et la création de comptes de mules financières sur des plateformes réglementées. Une catégorie est particulièrement prisée, à savoir la liste des personnes déjà escroquées, valorisée pour son taux de conversion élevé dans les arnaques au recouvrement de fonds et fréquemment vendue avec des champs enrichis couvrant le montant perdu, la plateforme initialement utilisée et la date de la première fraude.

À quoi ressemble l'exploitation dans la pratique ?

La prise de compte reste le scénario que nous observons le plus fréquemment partout où les opérateurs détiennent des identifiants récents, et la séquence est devenue standardisée. Elle va de la compromission de l'adresse e-mail principale par le biais d'identifiants volés ou de cookies de session exfiltrés, à une procédure de réinitialisation déclenchée sur la plateforme d'échange, l'interception des codes de validation, la modification des adresses de retrait autorisées, et enfin un vidage rapide vers des stablecoins. Les cookies de session sont particulièrement prisés car ils accordent l'accès sans déclencher le second facteur, et les journaux récents échangés sur les forums incluent presque systématiquement les cookies qui étaient actifs au moment de l'exfiltration.

Les scénarios de faux support et de faux conseiller reposent entièrement sur les données contextuelles acquises au préalable, la crédibilité étant construite sur des détails personnels authentiques tels qu'un solde de compte exact, une transaction récente ou la référence d'un ticket de support. Les arnaques à la récupération bouclent ensuite la boucle, et l'ampleur est documentée : le Le FBI a enregistré plus de 10 500 plaintes aux États-Unis en 2025 pour environ 1,4 milliard de dollars de pertes déclarées, une catégorie qui comprend l'usurpation d'identité de cabinets d'avocats, de fonctionnaires et de l'IC3 lui-même. En France, le même phénomène est longuement documenté par l'AMF et le procureur de la République de Paris.

Qu'a révélé l'analyse d'un kit de hameçonnage lié aux cryptomonnaies en activité ?

Nos équipes Cyber Ops et REACT ont analysé de fausses campagnes de support ciblant les plateformes de crypto-actifs entre février et août 2026. Quatre conclusions se vérifient pour l'ensemble des pages examinées.

Découverte	Ce que nous avons observé	Pourquoi c'est important
Les modèles sont réutilisés	Un seul modèle apparaît sur des dizaines de domaines et, dans plusieurs cas, sur plusieurs marques	Pointe vers le partage de ressources entre opérateurs plutôt que sur le travail d'un seul acteur
Trois conventions de nommage coexistent	abus de ccTLD produisant une chaîne qui se lit comme le domaine légitime ; marque combinée avec un mot-clé de support ; domaines de support ou de diagnostic génériques ne comportant aucune chaîne de marque	La troisième famille est bien représentée et échappe par construction à la surveillance des mots-clés de marque
Les domaines sont éphémères et masqués par un proxy	La plupart ne sont visibles que dans une fenêtre de un à trois jours, derrière un fournisseur de proxy inverse qui masque l'hébergement réel et fournit le certificat TLS	Le cadenas du navigateur ne transmet aucun signal, se signaler auprès de l'hôte apparent ne produit aucun retrait, et le modèle survit à ses domaines
Le prétexte est un incident, pas une connexion	Les parcours visent un accès durable tel qu'une phrase de récupération ou un contrôle à distance	Les contrôles fondés sur un couple nom d'utilisateur et mot de passe ne couvrent pas l'objectif réel

Étude de cas : un kit de faux support piloté à distance

Un déploiement illustre l'étendue de l'ingénierie. Un domaine actif en août 2026, construit sur le champ lexical du recouvrement de fonds et usurpant l'identité de la marque Bitpanda, affichait une page reproduisant le centre d'aide de Coinbase, et la tromperie résidait dans le parcours plutôt que dans l'apparence.

Comment la supercherie a fonctionné

• L'adresse affichée est définitivement réécrite vers la racine du domaine.
• Un opérateur pilote à distance la séquence d'écrans présentée à la victime.
• Les entrées sont transmises frappe par frappe, ce qui rend les codes SMS, TOTP et par e-mail utilisables dans leur fenêtre de validité.

Comment la page a qualifié sa cible au cours de la session

• Ordre de grandeur du solde du compte.
• Date de la dernière activité.
• Extensions de portefeuille détectées dans le navigateur.
• Saisie d'un numéro de dossier à l'ouverture, ce qui positionne la page après un premier contact plutôt qu'au début de celui-ci.

Comment la page a échappé à l'inspection

• Chaque visiteur est évalué à l'aide d'environ quinze signaux d'automatisation, incluant les mouvements de la souris, le score étant transmis à l'opérateur.
• La page s'efface d'elle-même et redirige si les outils de développement du navigateur sont ouverts, de sorte qu'un scanner et une victime ne voient pas nécessairement la même chose.

Ce que le code a été conçu pour collecter

Module	Ce qu'il capture	Ce que cela nous dit
Coinbase (la coquille visible)	Identifiants, codes de validation et accès au logiciel de contrôle à distance	La couche avec laquelle la victime pense interagir
Grand livre	Une phrase de récupération et une phrase secrète	Aucun trajet avec correspondance ne nécessite jamais ceux-ci, ce qui clarifie l'objectif
Google	La boîte aux lettres	Le premier lien de la séquence de piratage de compte décrite ci-dessus
Robinhood et Bitpanda	Des modules supplémentaires intégrés dans le même code	Le kit est conçu pour fonctionner avec plusieurs marques, pas une seule

Les marques mentionnées ici sont usurpées ; cependant, elles ne sont pas compromises.

Le même paquet dans une infrastructure distincte

Ce déploiement n'est pas isolé. Nous avons trouvé le même modèle exécuté sur un cluster distinct présentant les caractéristiques suivantes.

• 30 domaines observé entre le 26 mai et le 20 août 2026.
• Modèle de nommage de six chiffres suivis du nom de la marque.
• Cadence d'un à deux nouveaux domaines par semaine.
• Durée de vie d'un à trois jours par domaine.

Ces domaines présentent la même reproduction du centre d'aide de Coinbase plutôt qu'une simple ressemblance superficielle, car les fichiers de l'interface portent des empreintes identiques, ce qui exclut deux clonages indépendants. L'infrastructure elle-même est toutefois entièrement distincte du cas précédent. Le package d'interface est donc partagé entre différents opérateurs, ce qui correspond aux offres de phishing-as-a-service observées sur les forums clandestins, où les kits, les panneaux de contrôle et la distribution sont commercialisés séparément.

Ces observations concernent les pages et leur code plutôt que des victimes identifiées, et le nombre de déploiements que nous avons dénombrés constitue un minimum d'observation.

Comment la fin de la période de transition de MiCA modifie-t-elle la menace ?

Il fournit aux attaquants un prétexte tout trouvé. Depuis le 1er juillet 2026, seuls les prestataires agréés peuvent fournir des services sur actifs numériques en France, et plusieurs acteurs ont notifié à leurs clients qu'ils cessaient leurs activités, ce qui modifie les conditions dans lesquelles une approche par un faux support est crédible. Un message non sollicité, daté, assorti d'un délai court et invitant le destinataire à transférer ses avoirs vers un autre prestataire, arrive désormais dans le cadre d'une séquence à laquelle le destinataire s'attend déjà.

Qui est le plus exposé, et à quoi ?

La sélection des cibles découle de tout ce que la phase d'acquisition a rendu disponible, et le résultat est un gradient plutôt qu'un ensemble de catégories distinctes. Les détenteurs ordinaires alimentent les scénarios de volume de faux supports et de piratage de comptes, où la rentabilité repose sur le nombre de tentatives plutôt que sur la qualité de l'une d'entre elles, tandis que les profils dont le dossier révèle une fortune importante justifient un travail préparatoire individuel. À l'autre bout de ce gradient, un groupe restreint mais significatif concentre les scénarios à fort impact.

Les fondateurs, dirigeants et investisseurs influents du secteur font l'objet d'un ciblage préalable spécifique sur les forums et les canaux Telegram, combinant données de patrimoine, adresses, habitudes et fragments d'identité numérique, et au-delà de la fraude conventionnelle, ces profils sont exposés à l'extorsion ciblée, aux menaces contre des membres de leur famille et à la cohésion physique s'étendant jusqu'à l'enlèvement. Chainalysis recense 30 cas publiquement documentés en France jusqu'à la mi-2026, contre 19 pour l'ensemble de l'année 2025, tandis que le ministère de l'Intérieur, qui comptabilise les infractions enregistrées et pas seulement les affaires documentées publiquement, a fait état le 30 juin 2026 de plus de 70 actes de séquestration, d'enlèvement, d'extorsion ou de tentative d'extorsion liés à des crypto-actifs depuis janvier 2026, contre 45 pour l'ensemble de l'année 2025, parallèlement à environ 200 interpellations. Les modes opératoires se répètent de manière constante et incluent le ciblage de proches plutôt que de la cible principale, le faux livreur, ainsi que des équipes de trois à cinq individus âgés de 17 à 25 ans recrutés sur les réseaux sociaux pour quelques centaines d'euros.

Pour les organisations exposées, la sécurité des cadres est donc devenue un sujet mitigé, combinant une dimension cyber qui couvre la réduction de l'exposition publique, la gestion des identités numériques et la surveillance des violations touchant le cercle immédiat, et de surcroît, une dimension de gouvernance.

Quels enseignements les plateformes et les fournisseurs français devraient-ils tirer de ce rapport ?

Voici cinq priorités que nous recommandons pour les plateformes d'échange de valeurs, les éditeurs de portefeuilles, les agrégateurs, les services fiscaux et comptables ainsi que les fournisseurs connectés.

1. Surveillez en continu les identifiants exposés et réinitialisez-les dès leur détection. Cela concerne à la fois le personnel et les clients apparaissant dans les journaux des infostealers, et la fenêtre utile se mesure en heures plutôt qu'en jours.
2. Surveiller l'exposition de la base de données clients à travers les forums, les canaux Telegram et les marchés criminels.
3. Exiger une ré-authentification avant tout retrait vers une nouvelle adresse, et invalidez les sessions ouvertes dès qu'un identifiant ou un facteur change.
4. Établir un protocole d'extorsion pour les cadres exposés, couvrant la conduite à tenir en cas de cybermenace directe ou de menace physique directe, les contacts à joindre et un protocole d'alerte familial.
5. Imposer une signature multiple, un délai d'attente et un principe des quatre yeux sur les transferts importants, de sorte qu'un dirigeant sous contrainte ne puisse pas effectuer de transfert seul.

Au-delà de ces cinq mesures, un deuxième niveau de mesures renforce les mêmes objectifs : un délai de réflexion incontournable suite à toute modification d'adresse de retrait, d'e-mail, de téléphone ou de MFA, sans aucune exception gérée par le support ; la généralisation de FIDO2 pour tous les accès sensibles, y compris les systèmes internes, avec la suppression des SMS des facteurs de récupération ; une procédure de vérification publiée pour les contacts entrants, adossée à un code anti-phishing sur les e-mails des clients de sorte que le code couvre l'e-mail tandis que la procédure publiée couvre le téléphone ; une formation à l'ingénierie sociale spécifique au secteur donnant la priorité au personnel ayant accès aux systèmes critiques, aux bases de données clients ou aux fonctions de support ; la surveillance de l'usurpation de marque sur les sites clones, les comptes frauduleux et les applications mobiles frauduleuses ; et l'extension de la surveillance des violations de données au cercle immédiat des dirigeants.

Que doivent retenir les détenteurs individuels ?

Trois mesures sont prioritaires, un niveau d'exigence plus élevé s'appliquant aux profils exposés publiquement. Segmentez vos avoirs de sorte qu'une réserve importante soit stockée hors ligne sur un appareil matériel dédié, tandis que seule l'activité courante demeure dans un portefeuille chaud. Vous devez également adopter une authentification forte qui ne dépend pas des SMS, en utilisant soit une clé matérielle FIDO2, soit une application TOTP, qui protègent toutes deux contre le piratage de carte SIM par échange de SIM (SIM swap). Enfin, assurez-vous de vérifier toute instruction de transfert liée à un changement de prestataire par rapport à la liste blanche de l'AMF ou au registre de l'ESMA avant d'initier le virement depuis l'application officielle plutôt que depuis le lien que vous avez reçu, car un prestataire n'a pas besoin de vous envoyer une adresse de destination par e-mail.

Un deuxième niveau réduit votre présence dans les fichiers décrits ci-dessus. Utilisez donc des identifiants dédiés qui sont distincts pour chaque plateforme et non connectés à votre véritable identité, n'exposez rien publiquement en termes de portefeuilles, de gains, de montants investis ou de captures d'écran de portefeuilles, et séparez votre véritable identité de tout pseudonyme. Vous devez expressément vérifier chaque sollicitation via le site officiel de la plateforme. plutôt qu'un lien reçu par e-mail ou par message, en gardant à l'esprit que l'urgence est un marqueur quasi systématique de fraude. Et ne donner aucune suite à une offre de recouvrement de fonds après une première fraude, en la signalant plutôt à l'AMF et à Pharos.

Veuillez noter que ce rapport est disponible en français.