Dix mois de répression en 2026 : l'infrastructure d'abord, les administrateurs juste derrière
Dix mois après le début de 2026, le dossier public de la répression contre l'infrastructure du darknet et de la cybercriminalité n'est pas dominé par des coups d'éclat contre des marketplaces, mais par un travail d'usure contre la tuyauterie : serveurs, domaines, botnets et les services qui les louent. Cet article ne compile que les actions annoncées jusqu'à la mi-octobre par des agences ayant publié leurs propres communiqués - Europol, le ministère américain de la Justice, le BKA, la police néerlandaise et le FBI - et cherche le schéma qui s'en dégage. Chaque cas renvoie vers une source que nous avons ouverte nous-mêmes ; les rumeurs et les affirmations issues d'un seul blog n'ont pas passé le filtre.
L'infrastructure d'abord
L'action coordonnée la plus importante de la période a été le coup de juin de l'Operation Endgame contre la distribution de maliciels. Annoncé le 24 juin par la coalition internationale qui porte la campagne de longue haleine, cet assaut a visé les kits de dropper et d'infostealer SocGholish, Amadey et StealC : 326 serveurs et 142 domaines ont été pris en main en deux semaines, des cryptoactifs d'origine criminelle évalués à plus de 41 millions d'euros ont été signalés puis gelés, et 27 millions d'identifiants volés ont été récupérés. La liste des participants - Canada, Danemark, Allemagne, Pays-Bas, Royaume-Uni, États-Unis et Microsoft, sous la coordination d'Europol et d'Eurojust - montre à quel point le format public-privé est devenu une routine (operation-endgame.com). Pour donner un ordre de grandeur : à elle seule, la phase de novembre 2025 de la campagne avait fait tomber 1 025 serveurs. Quelques jours plus tôt, la police néerlandaise avait débranché First VPN, un service VPN criminel faisant de la publicité sur les forums de cybercriminalité. Dans une opération du Team High Tech Crime menée avec les autorités françaises les 19 et 20 mai, 33 serveurs ont été démantelés, le présumé administrateur a été entendu en Ukraine à la demande de la France, et les utilisateurs du service ont été avertis - en substance, qu'ils avaient été observés pendant toute cette période. Le bureau de soutien d'Europol a produit 83 produits analytiques pour l'équipe d'enquête conjointe (politie.nl). Juillet a été le tour du FBI : le 2 juillet, des centaines de domaines appartenant à NetNut, un réseau commercial de proxys résidentiels lié au botnet Popa actif sur plus de deux millions d'appareils grand public, ont été saisis, et la page d'accueil de la société a été remplacée par une bannière de saisie du FBI. NetNut est exploité par Alarum Technologies, une société israélienne cotée en bourse - rappel que « infrastructure de botnet » et « produit coté au Nasdaq » peuvent décrire la même machine. Selon KrebsOnSecurity, l'équipe de renseignement sur les menaces de Google avait recensé 316 clusters d'acteurs distincts utilisant des nœuds de sortie NetNut en une seule semaine de juin (KrebsOnSecurity).Des administrateurs, pas des vendeurs
Les actions contre les marketplaces en 2026 ont été étroites et chirurgicales. Début mai, la ZIT de Francfort et le BKA ont démonté la relance de Crimenetwork, la plateforme d'échange germanophone dont le prédécesseur était tombé en décembre 2024 ; le présumé opérateur, un Allemand de 35 ans, a été arrêté à Majorque le 6 mai sur la base d'un mandat européen. La relance avait grandi jusqu'à plus de 22 000 utilisateurs et plus de 100 vendeurs, acceptait le Bitcoin, le Litecoin et le Monero, et a laissé des preuves de chiffre d'affaires pointant au-delà de 3,6 millions d'euros, avec environ 194 000 euros saisis à titre provisoire. Notons ce qui n'a pas eu lieu : aucune arrestation massive de vendeurs. Les données de 22 000 utilisateurs sont devenues des pièces à conviction, pas un chiffre de communiqué de presse (communiqué BKA/ZIT). L'annonce d'Europol en octobre sur KillSec se lit de la même façon. L'Operation KillSwitch, menée par la police criminelle du Land et le parquet de Hambourg, a pris le contrôle le 30 septembre du site de fuite du groupe de rançongiciels et sécurisé au moins 110 téraoctets de données. Le présumé opérateur principal a seize ans ; le présumé développeur a eu dix-huit ans en août. Trois arrestations provisoires et huit perquisitions se sont réparties entre la Grèce, la Roumanie, l'Espagne et le Royaume-Uni, et les domaines du groupe redirigent désormais vers un avis de saisie. Europol indique aussi que le groupe a utilisé des outils d'IA pour construire et maintenir son infrastructure et identifier des victimes potentielles - un détail qui en dit autant sur 2026 que n'importe quel nombre d'arrestations (Europol).La longue traîne des poursuites
Les anciens dossiers continuent de mûrir jusqu'aux condamnations. Le 7 octobre, les procureurs fédéraux de Chicago ont annoncé que Raheim Hamilton, co-créateur de la marketplace Empire Market, a été condamné à quarante ans de prison fédérale et à une amende de cinq millions de dollars. Empire a fonctionné de 2018 à 2020 et a traité plus de quatre millions de transactions pour plus de 430 millions de dollars. La confiscation - environ 1 230 bitcoins plus trois propriétés en Virginie - est arrivée des années après la disparition du marché lui-même, et c'est bien là le point : les saisies sont immédiates, la justice est lente (justice.gov).La discrète quatrième voie : les désignations
Les sanctions ont couru en parallèle de la voie pénale. Le 8 octobre, le Royaume-Uni a désigné Cryptomus, une plateforme de paiement en cryptomonnaies anciennement connue sous les noms de Certa Payments et Xeltox, dans le cadre de son régime de sanctions contre la Russie, aux côtés de VexPay, TokenSpot et Tsunami Payments (KrebsOnSecurity). Geler la portée d'une plateforme de paiement se fait sans bannière, mais pour l'infrastructure de cash-out, une désignation peut faire plus mal qu'une saisie.Ce que disent les bannières, et ce qui manque
La grammaire des bannières de saisie est intacte : les domaines de KillSec redirigent vers un avis des autorités, la page d'accueil de NetNut porte la bannière du FBI, Crimenetwork et First VPN disparaissent simplement. Les absences sont aussi instructives que les actions. Dans le dossier public compilé pour 2026 à ce jour :- aucune marketplace de la plus grande classe internationale n'a été saisie - la seule fermeture a été une relance germanophone qui avait survécu environ un an et demi ;
- aucune des actions compilées ici n'est une désignation de mixer, et le seul geste de sanctions de l'ensemble vise une plateforme de paiement, pas un service de mixage ;
- la vague d'arrestations massives de vendeurs qui avait marqué les vagues précédentes n'a pas eu lieu.