1. Choix de Telegram comme terrain d’enquête
Lorsque nous nous sommes intéressés au vol et à la revente de données personnelles, nous avons constaté que Telegram occupait une place centrale dans cette économie. La messagerie sert à la fois de vitrine pour des groupes de hackers et de lieu d’échange direct entre cybercriminels. De nombreux forums cybercriminels présents sur le Clear ou le Dark Web ont, par exemple, leurs propres groupes et chaînes Telegram.
De plus, en discutant avec de nombreux spécialistes du sujet, il apparaît que Telegram occupe une place de premier plan dans la cybercriminalité contemporaine. Pourtant, la cybercriminalité n’est pas explicitement mentionnée dans le rapport de modération publié par Telegram : https://telegram.org/moderation.
2. Dispositif d’enquête et mesures de protection
L’enquête a été conduite à partir de trois comptes Telegram, dont deux comptes sous fausses identités. Un troisième compte, sous notre véritable identité de journaliste, a été utilisé pour contacter certains cybercriminels, leur proposer des interviews ou leur poser des questions précises.
3. Organisation de l’écosystème cybercriminel sur Telegram
L’écosystème observé s’articule autour de trois structures complémentaires :
– des chaînes d’annonces, dédiées à un produit ou un service. Les cybercriminels s’en servent pour annoncer les dernières mises à jour de leurs logiciels malveillants, publier des démonstrations de leurs services ou diffuser des avis de clients satisfaits. Seul le propriétaire de la chaîne peut s’y exprimer ;
– des groupes de discussion, souvent liés aux chaînes d’annonces. Dans ces groupes, les membres peuvent s’exprimer librement : certains cybercriminels demandent des conseils, règlent leurs différends ou font la publicité de leurs services et de leurs propres groupes ;
– des bots, utilisés pour automatiser certaines activités, comme la réception de données volées via de faux sites Internet ou la mise en place de boutiques permettant d’acheter des documents d’identité.
4. Recherche et compréhension des contenus
L’enquête a nécessité le déchiffrement d’un vocabulaire spécifique, indispensable pour effectuer des recherches ciblées. Ce vocabulaire a été analysé à partir :
– d’échanges directs avec des cybercriminels, qui expliquaient certains termes techniques ;
– de requêtes adressées à des modèles de langage (LLM), afin de comprendre les usages et anglicismes employés par les cybercriminels, notamment russophones ;
– d’échanges avec des experts, qui ont contribué à la compréhension de nos observations et donné accès à des résultats issus de leurs propres recherches ;
– de travaux de traduction.
Une fois ce vocabulaire compris et maîtrisé, il devenait beaucoup plus aisé de s’infiltrer dans ces réseaux cybercriminels. Par exemple, pour pénétrer des groupes d’appels où des fraudeurs contactent des victimes en direct, il était nécessaire de maîtriser le langage propre à cet écosystème, comme « floko », « rez », « CC » ou « no VBV ».
Enfin, les éléments observés ont été systématiquement vérifiés, soit par des demandes de preuves adressées aux cybercriminels, soit par des recoupements impliquant le contact de victimes potentielles dont l’identité apparaissait sur ces chaînes Telegram. Ces vérifications ont permis d’établir si les cybercriminels disposaient effectivement des données qu’ils proposaient à la vente.
Sources
Articles d’analyse et blogs spécialisés
Presse généraliste et enquêtes judiciaires (France)
Sources institutionnelles et gouvernementales
France
International
Contenu audiovisuel
- Hudson Rock - Enregistrement d’une conférence donnée par Leonid Rozenberg, ingénieur des ventes chez Hudson Rock, concernant les “infostealers”
https://www.youtube.com/watch?v=MQb_G0dqVVY
- John Hammond - YouTubeur spécialisé en cybersécurité, a fait plusieurs vidéos très intéressantes sur la cybercriminalité et Telegram :
Outils techniques, pédagogiques et de prévention
- Leak Lookup – Recherche de données fuitées
https://leak-lookup.com/
Un outil qui permet de vérifier si des identifiants ou données personnelles ont été exposés dans des fuites, renforçant la sensibilisation à la prévention.
- Ransomware.live – Suivi des attaques ransomware en temps réel
https://www.ransomware.live/
Un tableau de bord interactif développé par Julien Mousqueton montrant les incidents de rançongiciels (ransomware) dans le monde en temps réel avec API gratuite.
- Have I Been Pwned – Vérification de compromission des comptes
https://haveibeenpwned.com/
Un service permettant à chacun de vérifier si une adresse e-mail a été compromise dans une fuite, outil clé de sensibilisation à la cybersécurité personnelle.
- Infostealers.com – Ressources sur les voleurs d’informations créée par Hudson Rock
https://www.infostealers.com/
Site développé par Hudson Rock, entreprise spécialisée dans l’étude des infostealers (logiciels de vol d’informations). On y trouve de nombreuses ressources sur le sujet des stealers détaillant les familles, vecteurs et méthodes utilisés avec des outils gratuits, parmi eux un bot Telegram qui permet de voir si nos données ont été compromises.
- VirusTotal – Plateforme d’analyse de fichiers et d’URL pour y détecter la présence d’un virus https://www.virustotal.com/gui/home/upload
- BonjourLaFuite.eu.org – Plateforme de suivi des fuites de données, utilisée notamment pour vérifier que les bases de données en vente sur Telegram étaient potentiellement de vraies bases de données issues de vraies attaques https://bonjourlafuite.eu.org/
