À propos de ce document. Cette étude a été menée par PWN-ALL, une entreprise commerciale spécialisée dans la sécurité de l'information. Cet article repose sur l'analyse interne de l'entreprise et ne constitue pas un communiqué officiel des forces de l'ordre. Les noms de domaine, adresses IP, coordonnées bancaires, identifiants, jetons et informations personnelles ont été masqués afin de protéger les victimes, de préserver les éléments en vue d’une vérification par les autorités compétentes et d’empêcher l’accès de tiers à des données sensibles.

Appel provenant du numéro +882

L'appel entrant provenait d'un numéro commençant par +882.

Il ne s’agit pas de l’indicatif téléphonique d’un pays en particulier. Selon la classification de l’Union internationale des télécommunications, cet indicatif +882 est utilisé pour les réseaux internationaux. Le préfixe en lui-même n’est pas un signe de fraude et ne permet pas de déterminer la localisation physique de l’appelant.

Votre interlocuteur s’est présenté comme un employé d’une grande société d’investissement et a proposé un rendement compris entre 20 et 40 % par an.

La conversation a commencé à peu près ainsi :

« Bonjour, Alina ? Je m’appelle Avram, je représente un fonds d’investissement britannique… »

S'ensuivit alors un scénario typique d'escroquerie à l'investissement. Les banques verseraient délibérément de faibles taux d'intérêt à leurs clients, entraveraient les virements vers des fonds d'investissement et empêcheraient les gens de disposer librement de leur argent.

Ce type d’opérations est souvent qualifié de « pig butchering », ou « découpe du cochon ». L’opérateur ne réclame pas immédiatement une somme importante. Il établit d’abord une relation de confiance, évalue la situation financière et l’état émotionnel de la personne, obtient un premier virement modeste, puis commence seulement après à augmenter ses demandes.

Nous avons décidé de poursuivre la conversation afin de déterminer quelle infrastructure technique était liée à cet appel.

Comment l’opérateur a cherché un point faible

Pour la conversation, un profil préparé à l’avance a été utilisé :

  • une femme de 38 ans ;
  • divorcée et mère d’un enfant ;
  • sans revenu fixe ;
  • propriétaire d'un appartement.

Au cours des 50 premières minutes, l’opérateur n’a pratiquement pas abordé les instruments d’investissement concrets. Il s’est plutôt renseigné sur la famille, les revenus, les projets et les difficultés financières.

Les réponses obtenues ont immédiatement été utilisées dans la conversation. L’offre s’est progressivement transformée, passant d’une possibilité abstraite de gagner de l’argent à une solution prétendument personnalisée : assurer l’avenir de son enfant, se constituer un revenu régulier et devenir indépendante des banques.

Dans un premier temps, l’opérateur dévalorisait les instruments financiers traditionnels. Il créait ensuite le sentiment d’une opportunité rare, identifiait un sujet émotionnellement sensible et liait sa résolution au premier versement.

Pour le profil choisi, les principaux points de pression étaient un revenu instable et l’avenir de l’enfant.

Un fonds britannique qui ne figure pas dans les registres

Sous prétexte de vouloir examiner l’offre plus en détail, nous avons demandé qu’on nous envoie des documents.

Peu de temps après, nous avons reçu, depuis un numéro WhatsApp britannique, une brochure au nom de Delegmed Investment Fund Limited. Presque simultanément, l’opérateur a rappelé et a poursuivi la conversation, s’efforçant de ne pas nous laisser le temps de vérifier par nous-mêmes.

La brochure contenait les taux de rendement annoncés et une description des produits d’investissement. Les illustrations présentaient des caractéristiques visuelles propres au contenu génératif, et la vérification des images matricielles jointes l’a confirmé au niveau des métadonnées : les fichiers PNG comportaient un manifeste C2PA indiquant qu’ils avaient été générés par ChatGPT le 14 juillet 2026. C2PA est une norme ouverte relative à l’origine du contenu numérique : le manifeste est ajouté par l’outil lors de la création du fichier et enregistre comment et quand l’image a été obtenue. Les métadonnées peuvent être supprimées ou falsifiées ; elles ne prouvent donc rien en elles-mêmes, mais dans ce cas précis, elles correspondaient aux indices visuels.

La société se présentait comme un fonds d’investissement britannique ; nous avons donc vérifié son nom exact dans deux sources publiques :

  • le registre des personnes morales Companies House ;
  • le registre des services financiers (Financial Services Register) de l’Autorité de régulation et de surveillance financières du Royaume-Uni (FCA).

Au 2 août 2026, nous n’avons trouvé aucune correspondance exacte avec ce nom Delegmed Investment Fund Limited ni dans le registre Companies House — y compris les informations sur les sociétés en activité et celles en liquidation — ni dans le registre des services financiers de la FCA.

Companies House fournit des informations publiques sur les sociétés enregistrées au Royaume-Uni, notamment leur statut, leur adresse, leurs dirigeants et l’historique de leurs documents.

La FCA précise que presque toute activité de prestation de services financiers réglementés au Royaume-Uni nécessite une autorisation ou un enregistrement, et que les sociétés concernées doivent pouvoir être vérifiées via le registre des services financiers.

L’absence d’une dénomination dans ces registres ne prouve pas en soi l’existence d’un stratagème criminel. Cependant, cela contredisait directement l’affirmation de l’opérateur selon laquelle il représentait un fonds d’investissement britannique.

Nous avons examiné deux autres scénarios.

Le premier concerne ce qu’on appelle une « clone firm » : un stratagème consistant à utiliser le nom, le numéro d’enregistrement ou l’adresse d’une société réellement agréée, en ne modifiant que les coordonnées de contact. Nous avons recoupé les coordonnées figurant dans la brochure avec les inscriptions des sociétés agréées dans le Financial Services Register : aucune correspondance n’a été détectée. Le deuxième scénario concernait la FCA Warning List, une liste publique des sociétés pour lesquelles l’autorité de régulation met en garde les consommateurs contre leur activité non agréée. Au 2 août 2026, ce nom Delegmed Investment Fund Limited n’y figuraient pas.

Un espace client pré-créé

Après une question sur la destination exacte des investissements, l’opérateur a envoyé un lien vers un site web dont le nom de domaine est .com.

Le domaine a été enregistré le 27 juin 2026, moins d’un mois avant l’analyse.

L'identifiant et le mot de passe avaient été créés à l'avance. Une fois connecté, le profil affichait déjà un nom, un numéro de téléphone et une adresse e-mail.

Ces informations étaient connues des opérateurs avant même le début de la conversation de fond. Il n’a pas été possible d’identifier la source de ces données. Elles pouvaient provenir d’une fuite, d’une base de données constituée antérieurement, d’une source commerciale ou d’une autre campagne.

En apparence, le site imitait une plateforme d’investissement : il affichait le solde, l’historique des opérations, les indicateurs de rentabilité et un formulaire de recharge de compte.

La plupart des pages étaient statiques. L’espace personnel fonctionnait différemment : il collectait les caractéristiques du navigateur et de l’appareil, prenait en charge une connexion WebSocket et récupérait dynamiquement certaines valeurs depuis un autre serveur.

Lorsque l’utilisateur cliquait sur le bouton de recharge, JavaScript envoyait au serveur les informations relatives au compte ainsi que l’empreinte numérique de l’utilisateur. En réponse, on attendait une chaîne de caractères contenant les coordonnées bancaires et le solde actuel, par exemple :

GB...IBAN...|0.00$

Le serveur pouvait fournir des coordonnées bancaires différentes selon les utilisateurs. Cela permettait aux opérateurs de modifier le compte directement pendant la conversation, sans actualiser le site principal.

Une fois connecté, l’espace client accédait également à la route /me. Au moment de l’analyse, celle-ci renvoyait 404, mais le code client indiquait que la réponse pouvait être utilisée pour charger les paramètres d’un compte spécifique et enregistrer les valeurs dans le stockage local du navigateur.

Serveur de DNS dynamique

Le domaine principal était presque entièrement statique, mais les fonctionnalités dynamiques de l’espace client s’adressaient à un serveur distinct de DNS dynamique.

Une première analyse a révélé plusieurs services réseau accessibles. Certains d’entre eux semblaient être des services factices ou de simples leurres, mais deux ports non standard hébergeaient des applications web distinctes, dotées de leurs propres pages d’accueil et gestionnaires d’erreurs.

À ce stade, la fonction de ces applications restait incertaine.

Le tournant s’est produit le lendemain, lorsque l’opérateur a demandé si le virement avait été effectué. Nous avons laissé entendre que nous envisagions d’envoyer l’argent, après quoi notre interlocuteur nous a demandé de télécharger une attestation bancaire au format PDF.

Pour cela, il nous a envoyé l’URL directe d’une page du type :

site.com/my/statements/upload-form

Il n’y avait aucun lien vers cette page, ni dans le menu, ni dans l’espace client.

Le formulaire n’envoyait pas le document vers le site principal, mais vers l’un des services de DNS dynamique. Lors du test de traitement d’un fichier PDF volumineux, l’application a renvoyé une erreur PHP détaillée.

Le mode débogage du framework Yii était activé sur le serveur. Au lieu du message habituel, l'utilisateur a reçu une trace contenant des informations internes :

  • les versions de Nginx et de Yii ;
  • la structure des répertoires ;
  • le nom de l'utilisateur local ;
  • les routes du serveur ;
  • le modèle de chemin d'accès pour les documents téléchargés ;
  • une partie des paramètres d’environnement.

Les documents étaient enregistrés dans des répertoires classés par année, mois et jour. Le nom de l’un des chemins d’accès comportait la structure debildocument.

Le code utilisait également la notation balans en /home/pavlo/depositka-2/modul/resp.php:81

debildocument qui ressemble à une combinaison d’une insulte familière russe et d’un mot anglais document et constitue une trace linguistique plus évidente que le simple balans. Cependant, aucun de ces noms ne prouve la nationalité du développeur ni la localisation de l’équipe. Le code a pu être écrit par un membre d’une équipe multinationale, copié depuis un autre projet ou contenir intentionnellement une trace linguistique étrangère.

Comment le panneau d'administration a été découvert

La réponse de débogage a révélé des variables d’environnement, parmi lesquelles figuraient :

  • ADMIN_URL;
  • ADMN_PASS.

La première indiquait l’adresse de l’interface d’administration. La seconde contenait la valeur d’accès associée. Nous ne décrivons pas la séquence des vérifications ultérieures et ne publions pas les données d’accès, car cela pourrait créer des risques supplémentaires pour les victimes.

Les identifiants ont été révélés par le serveur lui-même dans la réponse de débogage obtenue lors de l’utilisation normale du formulaire envoyé par l’opérateur. Nous nous sommes limités à recenser la structure du panneau de contrôle et la nature des données stockées, dans la mesure nécessaire pour déterminer la nature de la campagne et préparer les notifications destinées aux propriétaires de l’infrastructure : nous n’avons apporté aucune modification, n’avons pas extrait la base de données et n’avons pas utilisé cet accès après avoir recueilli les informations nécessaires au rapport destiné à l’hébergeur et aux autorités compétentes.

Le panneau était développé en interne et se trouvait dans une application web distincte sur la même infrastructure. Il ne s’agissait pas d’une simple table ou d’une page laissée par inadvertance : il existait des sections distinctes pour les différents types d’informations.

Le tableau de bord affichait séparément :

  • les fiches des victimes potentielles ;
  • les paiements et les documents bancaires ;
  • les commentaires internes des opérateurs ;
  • les statuts de traitement des contacts ;
  • les instructions et les scénarios de conversation ;
  • données des bots Telegram et des API externes ;
  • journaux techniques ;
  • les modèles de sites d'investissement.

La fiche d’un client pouvait contenir son nom, ses coordonnées, sa situation familiale, une évaluation de ses capacités financières, les montants déjà versés, ses objections et des recommandations pour l’entretien suivant.

Des commentaires internes montraient que différents utilisateurs intervenaient dans le panneau d’administration : des opérateurs qui enregistraient non seulement les paiements, mais aussi les particularités psychologiques de la personne : qui elle souhaite aider, ce dont elle a peur, pourquoi elle hésite et quel argument s’était avéré efficace auparavant.

Nous avons jugé qu’il était contraire à l’éthique de publier des captures d’écran du panneau d’administration : ces images auraient révélé des données personnelles, la situation financière et des documents appartenant aux personnes figurant dans la base de données.

Telegram et les modèles de campagne

La configuration du panneau révélait des informations relatives à l’API Telegram Bot et à d’autres intégrations externes utilisées pour les notifications internes.

Au sein de l’infrastructure, nous avons découvert un service distinct de DNS dynamique, utilisé pour le téléchargement centralisé de modèles — notamment des composants à partir desquels étaient assemblées de nouvelles versions de sites d’investissement.

La combinaison du panneau d’administration, des fiches centralisées, des intégrations externes et des modèles indique qu’il ne s’agissait pas d’un seul opérateur disposant d’un seul site. L’infrastructure était conçue pour permettre le relancement de campagnes et le remplacement de l’habillage graphique sans modification de la partie serveur.

« Provoquer une erreur » et se connecter à l’ordinateur

Les documents internes mentionnaient RustDesk, TeamViewer et d’autres logiciels légaux d’assistance à distance.

Les instructions proposaient de les utiliser une fois la confiance établie. L’opérateur devait provoquer une erreur dans l’espace personnel, la présenter comme un problème du côté de l’utilisateur et proposer une connexion pour « configurer » ou « débloquer l’opération ».

La logique du client WebSocket correspondait à ce scénario :

  • ERROR|ERROR il affichait une erreur factice ;
  • ERROR2|https://... redirigeait l’utilisateur vers une adresse prédéfinie.

L’une des options de redirection conduisait à l’installation d’un outil lié à hVNC. Dans les notes internes, ce scénario était destiné à des cibles particulièrement fortunées, dont les actifs étaient estimés à 100 000 dollars ou plus.

Un RAT Android et des « scripts » — des instructions expliquant à l’opérateur sous quel prétexte convaincre la personne d’installer l’application et d’accorder les autorisations nécessaires — étaient conservés séparément.

Comment reconnaître un tel stratagème

La campagne étudiée présentait plusieurs signes caractéristiques :

  • un appel inattendu proposant des opportunités d’investissement ;
  • la promesse d’un rendement de 20 à 40 % par an ;
  • des pressions et des critiques à l’encontre des banques ;
  • une tentative de transférer rapidement la conversation vers une messagerie instantanée ;
  • un nom de domaine récemment enregistré ;
  • un compte pré-créé contenant des données personnelles ;
  • transfert de fonds à des particuliers ou à des sociétés sans lien avec l'entreprise ;
  • demande de téléchargement d'un justificatif bancaire ;
  • demande d'installation de RustDesk, TeamViewer ou tout autre outil d'accès à distance ;
  • une « erreur technique » soudaine survenant précisément pendant la conversation ;
  • des taxes, commissions et frais supplémentaires pour le retrait de fonds.

Un seul indice ne prouve pas toujours qu’il s’agit d’une arnaque. La combinaison de plusieurs d’entre eux constitue une raison suffisante pour mettre fin à la conversation et procéder à une vérification indépendante via les registres officiels et les coordonnées de l’autorité de régulation financière.

Que faire après un virement ou une connexion à distance

Il faut immédiatement contacter la banque, signaler l’opération frauduleuse et demander le blocage ou l’annulation du virement, si cela est encore possible.

Conservez les échanges de messages, les numéros de téléphone, les documents, les adresses de sites web et les coordonnées bancaires. N’effectuez aucun virement supplémentaire sous prétexte de payer des taxes, des frais, une assurance ou pour débloquer un compte.

Si l’opérateur s’est connecté à votre appareil, vous devez désinstaller le logiciel d’accès à distance et mettre fin aux sessions actives. Si vous soupçonnez l’installation d’un autre logiciel, déconnectez l’appareil du réseau et confiez-le à des spécialistes pour qu’ils l’examinent. Changez vos mots de passe à partir d’un autre appareil dont vous êtes certain qu’il est sécurisé.

La fraude secondaire constitue un risque particulier. Après avoir perdu de l’argent, la victime peut recevoir des appels de personnes se faisant passer pour des avocats, des représentants de l’autorité de régulation ou des spécialistes du recouvrement d’actifs. En échange de la promesse de restituer les fonds, ils exigeront un paiement anticipé. Il s’agit souvent de la poursuite du même stratagème ou de l’utilisation de données issues d’une base de données déjà compromise.

Notification aux fournisseurs d’accès

Nous avons envoyé des notifications d’abus aux propriétaires de l’infrastructure impliquée

  • au fournisseur d’hébergement du site statique ;
  • à l’opérateur du service DDNS qui gérait la partie dynamique du système ;
  • au fournisseur d’infrastructure sur le réseau duquel se trouvait le serveur hébergeant le panneau d’administration.

Chaque notification comprenait des indicateurs, une description de l'activité et une mention de la présence de données à caractère personnel de tiers. Le 4 août, les informations relatives à cette campagne ont également été transmises à la FCA via le formulaire de signalement d'activités non autorisées, ainsi qu'aux forces de l'ordre. À la date de publication : aucune réponse n’a été reçue ; le domaine est actif ; le serveur Dynamic DNS continue de répondre ; l’espace personnel a été désactivé par l’opérateur.

Nous n’avons pas contacté les personnes dont les coordonnées figuraient dans la base de données. Nous n’avons aucun fondement juridique pour traiter ces données et prendre contact, et un appel ou un courrier provenant d’une entreprise inconnue à la suite d’une campagne frauduleuse reproduirait le scénario de fraude secondaire évoqué plus haut. Les adresses des serveurs, les domaines et autres identifiants ne sont pas divulgués au moment de la publication : une partie de l’infrastructure pourrait rester active, et une publication prématurée empêcherait toute vérification.

En guise de conclusion

Cette histoire a commencé par un simple appel téléphonique et la promesse d’un rendement élevé.

Derrière la voix du « conseiller en investissement » se cachait un système regroupant un site web frauduleux, des fiches centralisées, des documents de paiement, des scénarios internes, des bots Telegram, des modèles et des outils d’accès à distance.

Mais la principale découverte ne résidait pas dans le nombre de serveurs ou de lignes de code.

Le faux espace client ne se contentait pas d’afficher un solde fictif. Il pouvait réagir aux commandes de l’opérateur, générer une erreur au moment opportun et transformer une simple conversation téléphonique en un scénario technique orchestré.

Ils ne vendaient pas des investissements. Ils vendaient de l’espoir, en transformant la peur pour sa famille, le désir de sortir de l’endettement ou d’aider ses enfants et petits-enfants en un mécanisme de pression.

Soyez donc vigilants et vérifiez toujours les informations que vous recevez — surtout lorsqu’il s’agit d’argent. Ne vous fiez pas à des rendements élevés, à un site web attrayant ou à un « conseiller en investissement » convaincant simplement parce que tout semble professionnel. Vérifiez l’ancienneté du nom de domaine, l’entité juridique, la licence de l’organisme financier et les informations le concernant dans les registres officiels.