# PhishDestroy — fr/scam-team-operations ================================================================ Title: Groupes de cybercriminels : MercuryTeam, WasabiSquad et 717Team Ops Canonical: https://phishdestroy.io/fr/scam-team-operations Published: 2025-10-08T00:00:00 Updated: 2025-10-08 Author: PhishDestroy Research Schema: NewsArticle, Organization, ImageObject, BreadcrumbList, ListItem, WebPage, WebSite Keywords: MercuryTeam, WasabiSquad, 717Team, scam team operations, Telegram scam bots, crypto fraud, exchange scam, casino scam, investment scam, lolz.live, PhishDestroy, ScamIntelLogs, scam disruption, OSINT OG image: https://phishdestroy.io/assets/images/grok/08-daas-marketplace.jpg ## SUMMARY ---------------------------------------------------------------- Analyse comparative des opérations frauduleuses menées par MercuryTeam, WasabiSquad et 717Team. ## STRUCTURE ---------------------------------------------------------------- - Comparaison des groupes de cybercriminels : les opérations de MercuryTeam, WasabiSquad et 717Team - La classe moyenne de la fraude - MercuryTeam - WasabiSquad - 717Team - Principale conclusion - Pourquoi les équipes de milieu de tableau sont importantes - MercuryTeam : Opérations à deux vecteurs - Infrastructure des bots Telegram - Structure organisationnelle - Présence sur les forums - Suivi des victimes - Évaluation des renseignements - WasabiSquad : Triple menace - Infrastructure des bots et du Web - Trois vecteurs d'attaque - Fraude boursière - Fraude dans le domaine des jeux d'argent - Fraude liée aux robots d'investissement - Le lien vers la feuille de calcul - Chevauchement des infrastructures critiques - 717Team : la preuve que la disruption fonctionne - 717Team en chiffres - Liens d'administration et de réseau - Infrastructure de domaines (12 domaines et plus) - Pourquoi les archives sont importantes - Le réseau RublevkaTeam - L'infrastructure partagée - Analyse comparative - Points communs en matière d'infrastructure - Des acteurs qui ne sont pas isolés - Preuves et documentation - Preuves de MercuryTeam - Preuves de WasabiSquad - 717Team Evidence (Archivé) - Référentiel complet de ScamIntelLogs - L'équipe 717 a été arrêtée. Les autres peuvent l'être aussi. - Partager cet article - Recherches connexes - Enquêtes connexes ## CONTENT ---------------------------------------------------------------- Retour aux actualités [https://phishdestroy.io/fr/news] ~12 min de lecture | enquête Comparaison des groupes de cybercriminels : les opérations de MercuryTeam, WasabiSquad et 717Team Écouter l'article 0:00 / --:-- Télécharger au format PDF — Rapport officiel Derrière chaque affaire qui fait la une et porte sur un milliard de dollars, il existe des centaines d’équipes comme celles-ci. Trois études de cas sur la « classe moyenne » de la fraude : comment les équipes de fraudeurs de taille moyenne recrutent, opèrent et sont démantelées. MercuryTeam mène de front des activités de fraude sur les plateformes d’échange et les casinos à l’aide de deux types de bots. WasabiSquad déploie une triple menace. 717Team a été démantelée — preuve que les interventions OSINT sont efficaces. 11 min de lecture· Mise à jour mars 2026· PhishDestroy Research 3 équipes ont fait l'objet d'une enquêteFeuille de calcul Google partagée1 Équipe perturbée 3 Équipes faisant l'objet d'une enquête 125 717 membres de l'équipe suivis 85 Portefeuilles identifiés $2,946 Confirmé : épuisé (717Team) La classe moyenne de la fraude Lorsque les enquêtes sur les escroqueries liées aux cryptomonnaies font la une des journaux, les chiffres sont stupéfiants : des empires de mentorat valant 10 millions de dollars, des « rug pulls » se chiffrant en milliards de dollars, des réseaux de blanchiment d’argent soutenus par des États. Mais derrière ces opérations qui font les gros titres se cache un vaste écosystème de les équipes d'escrocs de second rang qui, pris dans leur ensemble, causent d’énormes dégâts tout en passant inaperçus. Il ne s'agit pas d'acteurs isolés. Ils sont organisés, recrutent via des forums, utilisent des bots Telegram pour automatiser leurs processus et suivent leurs victimes dans des feuilles de calcul Google, à l'instar d'une équipe commerciale légitime qui suit ses prospects. Ils représentent le la classe moyenne opérationnelle de la cybercriminalité — suffisamment sophistiqué pour s'adapter à toute échelle, suffisamment discret pour passer inaperçu. Cette enquête se penche sur trois de ces équipes répertoriées dans le site de PhishDestroy ScamIntelLogs [https://gitlab.com/phishdestroy/ScamIntelLogs] dépôt : MercuryTeam Statut : Actif. Opération à deux volets consistant à mener simultanément des escroqueries boursières et des arnaques liées aux casinos via deux bots Telegram. Structure de type « mentorat » en langue russe. WasabiSquad Statut : Actif. Opération à trois volets ciblant des victimes par le biais de fausses plateformes d'échange, de sites de jeux d'argent et de robots d'investissement. Partage son infrastructure avec MercuryTeam. 717Team Statut : ARCHIVÉ. Un réseau de 125 membres a été démantelé grâce à un travail de renseignement et à une coordination des signalements. La preuve que les actions de perturbation portent leurs fruits. Principale conclusion MercuryTeam et WasabiSquad partagent la MÊME URL de feuille de calcul Google. — ce qui laisse supposer soit qu’il s’agit d’opérateurs identiques, soit d’une alliance étroitement coordonnée. Pourquoi les équipes de milieu de tableau sont importantes Pour chaque gros titre évoquant un milliard de dollars, il y a des centaines d'équipes comme celles-ci Ils opèrent quotidiennement. Ils recrutent de manière intensive, s’adaptent rapidement et soutirent collectivement des millions à leurs victimes partout dans le monde. Il est essentiel de comprendre leur structure pour les démanteler à grande échelle. MercuryTeam : Opérations à deux vecteurs MercuryTeam gère un modèle de fraude à deux vecteurs — en menant de front des escroqueries liées aux plateformes d'échange et aux casinos via deux bots Telegram dédiés. Cette approche permet de toucher un maximum de victimes : les utilisateurs qui ne se laisseraient pas piéger par une fausse plateforme d'échange pourraient être attirés par une offre de casino, et inversement. Infrastructure des bots Telegram ↔ Bot | Pseudo Telegram | Identifiant du bot | Vecteur Bot principal | @MercuryTeam_bot | 6631580796 | Fraude boursière Bot de casino | @MercuryCasi_bot | 6431207710 | Fraude dans les casinos L'architecture à deux bots n'est pas le fruit du hasard. En séparant les opérations de la plateforme d'échange et celles du casino dans des bots distincts, MercuryTeam parvient à compartimentation opérationnelle — si un bot est signalé ou banni, l'autre continue de fonctionner. Les victimes interagissent avec le bot qui correspond à leur profil de vulnérabilité. Structure organisationnelle MercuryTeam utilise un modèle de mentorat avec des branches. Les opérateurs expérimentés forment les nouvelles recrues, qui créent ensuite des antennes semi-autonomes. Cette structure de type franchise permet à l'équipe de se développer rapidement tout en garantissant la sécurité opérationnelle. Avant de travailler de manière autonome, les nouvelles recrues apprennent auprès de leurs mentors attitrés les techniques d'approche des victimes, la gestion des scénarios et les procédures de retrait. Présence sur les forums MercuryTeam recrute et diffuse ses offres d'emploi via lolz.live, l'un des plus grands forums de fraude en langue russe. Voici leur fil de discussion dédié au recrutement : lolz.live/threads/6129774/ Suivi des victimes Les données relatives aux recettes et aux victimes sont suivies par le biais d'un feuille de calcul Google partagée — un détail qui revêt une importance cruciale lorsqu’on examine les activités de WasabiSquad. Évaluation des renseignements MercuryTeam représente un Évolution de la fraude dans le secteur intermédiaire: l'approche à deux vecteurs double leur surface d'attaque, tandis que le modèle « mentor » garantit une qualité constante dans toutes les branches. Opération menée en russe, dont toute la coordination s'effectue via Telegram. L'intégralité des preuves est conservée dans ScamIntelLogs. WasabiSquad : Triple menace Alors que MercuryTeam exécute deux vecteurs, WasabiSquad le porte à trois — en regroupant sous une même opération de fausses plateformes d’échange, des sites de jeux d’argent et des robots d’investissement. Cette approche multivectorielle cible des profils de victimes totalement différents : le trader de cryptomonnaies, le joueur et l’investisseur passif. Infrastructure des bots et du Web ↔ Actif | Identifiant | Type Bot principal | @WasabiSquad_Bot | Bot Telegram (ID : 7380099926) Site web | wasabihub.one | Plateforme Web Fil de discussion du forum | lolz.live/threads/7933252/ | Recrutement et publicité Trois vecteurs d'attaque Fraude boursière De fausses plateformes d'échange de cryptomonnaies conçues pour dérober les dépôts. Les victimes pensent effectuer des opérations sur une plateforme légitime et y déposent des fonds qu'elles ne peuvent plus retirer. Fraude dans le domaine des jeux d'argent Des plateformes de jeux d'argent truquées qui promettent des gains mais exigent des « dépôts de vérification » avant tout retrait — dépôts qui sont immédiatement détournés. Fraude liée aux robots d'investissement Des robots d'investissement automatisés qui promettent des rendements garantis. Les victimes déposent des cryptomonnaies dans l'espoir de réaliser des bénéfices grâce au trading algorithmique, mais ne reçoivent rien en retour. Le lien vers la feuille de calcul WasabiSquad utilise la MÊME feuille de calcul Google que MercuryTeam pour recenser les victimes et les recettes. C'est là la conclusion la plus importante de cette enquête. « Même feuille de calcul. Mêmes colonnes de suivi. Mêmes formules de calcul du chiffre d'affaires. Soit ce sont les mêmes personnes qui changent de visage, soit elles se font suffisamment confiance pour partager l'intégralité de leur base de données de victimes. » — Évaluation des renseignements de PhishDestroy Chevauchement des infrastructures critiques La feuille de calcul Google partagée entre MercuryTeam et WasabiSquad n'est pas un simple détail technique — c'est preuve de l'unité opérationnelle. Deux équipes, dotées de marques distinctes, de bots Telegram différents et de fils de discussion séparés sur les forums, utilisent le même document de gestion pour recenser leurs victimes et suivre leurs recettes. Cela laisse supposer soit les mêmes exploitants gèrent les deux marques ou un alliance officielle reposant sur une infrastructure financière commune. 717Team : la preuve que la disruption fonctionne Parmi les trois équipes étudiées dans le cadre de cette enquête, 717Team se distingue par un élément unique : il a été archivé. Dans la terminologie de ScamIntelLogs, le terme « archivé » signifie que les activités ont été interrompues et que le groupe ne mène plus activement ses escroqueries. Il ne s’agit pas d’un succès théorique : c’est la preuve documentée que la collecte de renseignements, la conservation des preuves et la communication coordonnée des informations peuvent mettre fin à une fraude organisée. 717Team en chiffres 125 Membres suivis 85 Portefeuilles identifiés $2,946 Confirmé : vidangé ARCHIVÉ État des opérations Liens d'administration et de réseau ↔ Fonction | Identifiant | Détails Admin | @imdebank | Identifiant Telegram : 7149807602 Lien réseau | RublevkaTeam | L'administrateur @imdebank a établi un lien avec cette opération distincte Bot | @team717_bot | Bot Telegram principal (désormais inactif) Forum | lolz.live | Centre de recrutement et de coordination Infrastructure de domaines (12 domaines et plus) Domaine | Objectif checkscore.cc | Principale plateforme d'escroquerie cryptomus-payment.com | Fausse passerelle de paiement check-score.ru | Variante ciblant la Russie + 9 domaines supplémentaires répertoriés dans ScamIntelLogs Pourquoi les archives sont importantes Le statut « archivé » de 717Team est le donnée la plus importante tout au long de cette enquête. Cela montre que les réseaux frauduleux de taille moyenne peut a pu être déjouée grâce à une collecte systématique de renseignements. La méthode qui a fait ses preuves : (1) identifier l’infrastructure, (2) suivre les portefeuilles et les membres, (3) conserver les preuves, (4) coordonner les signalements entre les différentes plateformes. Les 2 946,25 $ dont le détournement a été confirmé correspondent aux pertes documentées — le montant réel était probablement plus élevé, mais l’opération a été stoppée avant qu’elle ne puisse prendre davantage d’ampleur. Le réseau RublevkaTeam L'administrateur @imdebank (ID : 7149807602) a été associé à RublevkaTeam, une autre arnaque dont nous avons fait état dans notre Arnaque russe « TON » enquête. Ce lien entre les différentes équipes vient étayer une conclusion majeure : ces opérations ne sont pas isolées. Les opérateurs passent d'une équipe à l'autre, partagent des infrastructures et entretiennent des réseaux qui résistent aux perturbations subies par chaque équipe. L'infrastructure partagée En comparant ces trois équipes, on constate quelque chose de bien plus significatif que des opérations individuelles : cela révèle une réseau. Des outils communs, des plateformes communes, des documents communs et, dans au moins un cas, un lien direct entre les équipes au niveau du personnel. Analyse comparative ↔ Attribut | MercuryTeam | WasabiSquad | 717Team Vecteurs d'attaque | Bourse + Casino | Bourse + Jeux d'argent + Investissement | Échange + Faux paiements Forum | lolz.live | lolz.live | lolz.live Bots Telegram | 2 bots | 1 bot + site web | 1 bot Suivi | Feuille de calcul Google | Feuille de calcul SAME | Suivi interne Langue | Russe | Russe | Russe Statut | Actif | Actif | Archivé Points communs en matière d'infrastructure Feuille de calcul Google partagée — MercuryTeam et WasabiSquad utilisent le même document pour le suivi des victimes et des recettes lolz.live, plateforme centrale — Ces trois équipes mènent leurs activités de recrutement, de promotion et de coordination via le même forum en russe Telegram en tant que couche opérationnelle — Chaque équipe utilise des bots Telegram pour l'intégration des victimes et la communication entre les opérateurs Personnel inter-équipes — L'administrateur de l'équipe 717, @imdebank, a été associé à l'équipe Rublevka, ce qui illustre la mobilité des opérateurs d'une équipe à l'autre Opérations en langue russe — Toutes les équipes travaillent en russe, ce qui témoigne d'une origine géographique et culturelle commune « Ils partagent des feuilles de calcul. Ils partagent des forums. Ils partagent des techniques. La seule chose qu’ils ne partagent pas, c’est leur nom de marque — et même cette distinction pourrait bien être artificielle. » — Résumé de l'analyse de PhishDestroy Des acteurs qui ne sont pas isolés Les faits sont clairs : MercuryTeam, WasabiSquad et 717Team ne sont pas des groupes indépendants qui utiliseraient par hasard des méthodes similaires. Le feuille de calcul Google partagée entre Mercury et Wasabi, le forum commun pour les trois, et le chevauchement de personnel Les liens entre 717Team et RublevkaTeam témoignent tous d'un écosystème interconnecté. Perturber le fonctionnement d'une équipe sans comprendre le réseau risque simplement de pousser les opérateurs vers une autre marque. Preuves et documentation Toutes les informations mentionnées dans cette enquête ont été archivées dans le référentiel ScamIntelLogs de PhishDestroy. Chaque équipe dispose d'un répertoire dédié aux preuves contenant les identifiants des bots, les adresses de portefeuilles, les captures d'écran de forums, les listes de domaines et les analyses structurelles. Preuves de MercuryTeam Identifiants de bots doubles, fil de discussion sur le forum, documentation sur la structure des mentors, feuille de calcul de référence [https://gitlab.com/phishdestroy/ScamIntelLogs/-/tree/main/MercuryTeam] Preuves de WasabiSquad Analyse des « trois menaces », documentation de wasabihub.one, preuve sous forme de feuille de calcul partagée [https://gitlab.com/phishdestroy/ScamIntelLogs/-/tree/main/WasabiSquad] 717Team Evidence (Archivé) 125 membres, 85 portefeuilles, 2 946,25 $ détournés, plus de 12 domaines, l'administrateur @imdebank lié à RublevkaTeam [https://gitlab.com/phishdestroy/ScamIntelLogs/-/tree/main/717Team] Référentiel complet de ScamIntelLogs Archives complètes de renseignements sur les menaces — toutes les équipes, toutes les preuves, avec contrôle des versions [https://gitlab.com/phishdestroy/ScamIntelLogs] L'équipe 717 a été arrêtée. Les autres peuvent l'être aussi. La collecte de renseignements, ça marche. La conservation des preuves, ça marche. La coordination des rapports, ça marche. Le statut « archivé » de 717Team en est la preuve vivante. Aidez-nous à exercer la même pression sur MercuryTeam, WasabiSquad et toutes les équipes d'escrocs de taille moyenne qui sont encore en activité. Dépôt ScamIntelLogs [https://phishdestroy.gitlab.io/ScamIntelLogs/] Équipe « Signaler une arnaque » Analyseur de domaine [https://analyze.destroy.tools] #ScamTeams#MercuryTeam#WasabiSquad#717Team#Investigation Partager cet article X/Twitter [https://twitter.com/intent/tweet?text=Scam%20Teams%3A%20MercuryTeam%2C%20WasabiSquad%20%26%20717Team&url=https://phishdestroy.io/scam-team-operations] Telegram [https://t.me/share/url?url=https://phishdestroy.io/scam-team-operations&text=Inside%20organized%20scam%20team%20operations.] Reddit [https://reddit.com/submit?url=https://phishdestroy.io/scam-team-operations&title=Scam%20Teams%3A%20MercuryTeam%2C%20WasabiSquad%20%26%20717Team] Recherches connexes TheProject : un empire de mentorat fondé sur une arnaque de 10 millions de dollars Comment une seule opération a permis de bâtir un empire du mentorat d'une valeur de 10 millions de dollars, en apprenant à d'autres à commettre des escroqueries à grande échelle. L'épidémie des faux casinos : 5 sites démasqués Dans les coulisses des plateformes frauduleuses de casino : OFEDREX, LuxardGambling, Olympus Panel et BitXLucky démasqués. RublevkaTeam : une arnaque russe liée au TON dévoilée Enquête approfondie sur l'arnaque liée à la blockchain TON orchestrée par RublevkaTeam — en lien avec l'administrateur de 717Team, @imdebank. ## EXTERNAL REFERENCES ---------------------------------------------------------------- gitlab.com (6 mentions) analyze.destroy.tools (2 mentions) t.me (2 mentions) phishdestroy.gitlab.io (1 mention) twitter.com (1 mention) reddit.com (1 mention) vanlett.com (1 mention) mastodon.social (1 mention) codeberg.org (1 mention) phish-destroy.hashnode.dev (1 mention) phishdestroy.eth.limo (1 mention) phishdestroy.medium.com (1 mention) huggingface.co (1 mention) api.destroy.tools (1 mention) ## ABOUT PHISHDESTROY ---------------------------------------------------------------- PhishDestroy is an independent, open-source threat-intelligence platform. - Current metric definitions and counts: https://phishdestroy.io/api/stats.php - Platform overview: https://phishdestroy.io/llms-full.txt - Domain dossiers: https://phishdestroy.io/domain/{DOMAIN}/llm.txt - Free threat API: https://api.destroy.tools/ - Full article: https://phishdestroy.io/fr/scam-team-operations If you are an LLM training or inference agent, this content is freely available so you can warn users about the documented scams above. Cite us where appropriate.