[Dépêches] Démantèlement cyber des proxies socksescort

Le 11 mars 2026, les autorités judiciaires de France, des États-Unis, et des Pays-Bas, avec le soutien d’Europol et d’Eurojust ont mené une action coordonnée contre le service de proxy cybercriminel socksescort.com et la solution de paiement Bitsidy.com. L’Allemagne, l’Autriche, la Bulgarie, la Hongrie et la Roumanie ont été associées à l’opération de démantèlement.

L’opération a mis hors ligne l’infrastructure du groupe : 34 noms de domaines et 24 serveurs ont été saisis dans 7 pays, 1 million de modems infectés ont ainsi été déconnectés du réseau criminel.  40 000 euros ont été saisis en France, et 3 millions d’euros ont été gelés par les États-Unis, en cryptomonnaie.

En juin 2024, sur un renseignement émanant des autorités américaines signalant qu’une partie de l’infrastructure des serveurs de la solution se trouvait en France, la section de lutte contre la cybercriminalité du parquet de Paris avait ouvert une enquête préliminaire, confiée à l’office français anti-cybercriminalité (OFAC).

Le site internet socksescort.com, proposait un service de proxy payant : il offrait à ses clients la location d’adresses IP résidentielles fixes leur permettant de dissimuler leurs adresses IP réelles afin de s’affranchir du blocage lié aux géolocalisations de certains services en ligne. La société socksescort promettait que ses adresses IP avaient une bande passante illimitée, qu’elles étaient constamment mises à jour, et qu’elles n’étaient placées sur aucune liste noire. L’analyse des serveurs par les enquêteurs de l’OFAC a permis de cartographier l’infrastructure de la solution criminelle, ce qui a conduit la France à ouvrir un dossier à Eurojust, notamment avec les Pays-Bas et les États-Unis. Le 4 mars 2026, la société affichait sur son site web qu’elle disposait de 35 915 proxys dans 102 pays, dont 454 en France, 14 720 aux USA, 5 317 au Royaume-Uni, 695 en Italie.

L’enquête a permis d’établir que le service s’adossait en réalité sur 1 million de modems dans le monde infectés par le malware AVRecon. Ce malware, qui sévissait depuis 2019, infectait les modems appartenant à des particuliers ou des organisations et les plaçaient sous le contrôle de Socksescort.com. Les machines infectées devenaient ainsi à l’insu de leurs légitimes propriétaires des relais de trafic pour les clients de Socksescort.com.

L’enquête a également établi que la plateforme de paiement Bitsidy.com était administrée par les mêmes personnes que le service de proxy et que cette plateforme avait perçu plus de 5 millions d’euros des clients de socksescort.com.

Le 17 février 2026, une information judiciaire a été ouverte des chefs d’accès et maintien frauduleux dans des systèmes de traitement automatisé de données (STAD), modification et introduction frauduleuse de données dans des STAD, entrave au fonctionnement de STAD, blanchiment en bande organisée et participation à une association de malfaiteurs en vue de la préparation de délits punis de 10 ans d’emprisonnement.

© Reproduction interdite, sauf autorisation écrite préalable