Le véritable ennemi, ce n'est pas l'escroc. C'est le registraire qui encaisse ses chèques.

Soyons d'une honnêteté brutale sur un point que le secteur de la lutte contre la fraude n'aime pas aborder ouvertement : la plupart des escrocs ne sont pas des génies du crime. Ils ne sont pas sophistiqués. La plupart d'entre eux sont à peine compétents.

Arrêtez de vous en prendre aux petits soldats

Cela fait des années que nous suivons les auteurs de menaces. Nous les voyons passer d’une arnaque à l’autre : aujourd’hui, ils exploitent un logiciel de vol de données ; demain, ils développent un programme de vidage de comptes ; le trimestre suivant, ils se lancent dans le « carding ». Nous les voyons déplacer leurs fausses identités et leurs infrastructures — en Suisse ce mois-ci, en Turquie le mois suivant. Ils ne se cachent pas très bien. Ils laissent derrière eux des traces qu’un analyste débutant pourrait suivre. La plupart d’entre eux se sont retrouvés dans ce « métier » pour une raison bien simple : ils n’avaient pas d’autre issue et pas assez de cervelle pour se lancer dans une activité légitime.

Alors pourquoi le problème ne cesse-t-il de s'aggraver ? Parce que le nombre de malfaiteurs est énorme, et que les traquer un par un est mathématiquement vain.

Prenez par exemple notre propre plateforme de renseignement sur Telegram. Notre base de données compte à elle seule près de 130 000 acteurs malveillants — et ce n’est qu’une seule base de données.

Si l'on ajoute à cela les milliers d'autres personnes identifiées lors d'enquêtes menées par d'autres équipes de recherche, le tableau est clair : on ne peut pas venir à bout d'une population de cette ampleur uniquement par des arrestations. Ne serait-ce qu’un seul acteur ou un seul groupe est démantelé — au prix de mois de démarches juridiques, de cauchemars liés aux compétences juridictionnelles transfrontalières et d’affaires dont le montant n’intéresse que rarement les forces de l’ordre —, dix remplaçants surgissent la même semaine. L’escroc individuel n’est qu’un maillon bon marché et remplaçable.

Les chiffres ne changent que si l'on modifie les conditions économiques. Tant que la fraude restera peu coûteuse — noms de domaine bon marché, bureaux d'enregistrement qui n'posent aucune question, paiements en cryptomonnaie sans aucune vérification —, elle restera très répandue. La seule stratégie viable à grande échelle consiste à rendre la fraude coûteuse. Et cela nous ramène directement à ceux qui, aujourd’hui, la rendent peu coûteuse :

Les chiffres indiquent qu'il s'agit d'une crise. Le secteur prétend que ce n'est qu'une question de conditions météorologiques.

Ce n'est pas notre opinion. Il s'agit là de la réalité avérée d'Internet :

Relisez cette dernière phrase. Les principales études indépendantes menées dans ce domaine confirment exactement ce que nous affirmons : ce sont les pratiques laxistes du secteur qui favorisent ce phénomène. Ce n’est pas le génie des escrocs. C’est le laxisme. Et la concentration des acteurs le prouve : Interisle a constaté que, dans le cadre d’une campagne, un échantillon de 37 000 noms de domaine liés à l’arnaque aux péages impayés révélait que 65 % ont été enregistrés par l'intermédiaire d'un seul bureau d'enregistrement chinois.

L'économie de la cybercriminalité n'est pas répartie de manière aléatoire sur Internet. Elle se concentre autour de certains bureaux d'enregistrement, car les cybercriminels recherchent la discrétion.

Les registraires ne sont pas neutres. Ce sont des acteurs rémunérés.

Il existe un mythe rassurant selon lequel les bureaux d'enregistrement seraient une « infrastructure neutre » — des prestataires passifs qui n'ont aucun intérêt dans ce qui se passe sur les domaines qu'ils vendent.

C'est un mensonge. Un registraire est une entité à but lucratif qui tire directement des revenus de chaque domaine utilisé à des fins d'hameçonnage qu'il refuse de suspendre. Chaque signalement d'abus ignoré représente un revenu assuré. Chaque réponse du type « nous ne pouvons pas juger du contenu » est une décision commerciale déguisée en position juridique.

Les escrocs ne choisissent pas un registraire en fonction de ses tarifs ou de la présentation de son site. Ils choisissent celui qui ne posera pas de questions, ne suspendra pas les noms de domaine, acceptera les paiements en cryptomonnaie sans vérification et fermera les yeux sur les signalements d'abus. C'est un marché. C'est un produit. Et les données du secteur lui-même révèlent qui le commercialise. Selon Les conclusions d'Interisle, les cinq principaux bureaux d'enregistrement de gTLD en termes de volume brut de phishing étaient NameSilo, GoDaddy, GMO (Onamae), PublicDomainRegistry et NameCheap; si l'on tient compte du nombre de domaines gérés, ceux qui ont fait l'objet du plus grand nombre d'abus sont NiceNIC, URL Solutions, Aceville, WebNic et OwnRegistrar — NiceNIC ayant constaté que 45 % de son portefeuille de gTLD faisait l'objet de signalements pour hameçonnage.

Qui contrôle les bureaux d'enregistrement ? Techniquement, c'est l'ICANN. Mais dans la pratique, personne.

Au-dessus des bureaux d'enregistrement se trouve l'ICANN. Il n'y a personne au-dessus de l'ICANN.

Contrat d'accréditation des bureaux d'enregistrement de l'ICANN de 2013, Section 3.18, oblige contractuellement chaque bureau d'enregistrement agréé à disposer d'un point de contact chargé des signalements d'abus et à prendre des mesures raisonnables et rapides pour enquêter sur ces signalements et y répondre de manière appropriée. Sur le papier, il s'agit d'une obligation exécutoire.

Dans la pratique ? D'après ce que nous constatons quotidiennement sur le terrain, nous estimons qu'un seul bureau d'enregistrement propice aux abus enfreint au minimum l'article 3.18. environ 1 000 fois par an — des signalements ignorés, des « enquêtes » fantômes, des domaines de hameçonnage laissés en ligne pendant des semaines tandis que les victimes continuent de subir des préjudices. Si l’on extrapole ces chiffres à l’ensemble du secteur sur une période de cinq ans, le nombre réel de défaillances de type 3.18 pourrait bien atteindre un million de signalements ignorés ou mal gérés. Personne ne connaît le chiffre exact, car personne n’est tenu de les recenser. C’est justement là où réside le problème.

Et la panoplie de mesures coercitives de l’ICANN ? En réalité, un seul bouton « nucléaire » : la révocation de l’accréditation. Pas d’amendes. Pas de sanctions progressives. Pas d’indemnisation des victimes. Et ce bouton n’est actionné presque exclusivement qu’à l’encontre de bureaux d’enregistrement déjà « morts » — des sociétés fantômes qui ont cessé de payer leurs cotisations. Pourquoi ? Parce que l’ICANN est financée par les cotisations des bureaux d’enregistrement mêmes qu’elle est censée « réglementer ». Mettre fin aux activités d’un bureau d’enregistrement important, rentable et coupable de nombreux abus reviendrait à se priver de ses propres revenus. Elle est structurellement incapable de vouloir faire respecter la réglementation.

L'ICANN a pris la tête de l'organisme de régulation de manière purement symbolique — précisément pour préserver son indépendance et tenir les gouvernements à l'écart. Résultat : une règle dont aucun bureau d'enregistrement ne se méfie. Certes, il existe des précédents — des avis de mise en conformité et des avertissements (L'affaire WebNIC (parmi eux). Voyez les conséquences. Une lettre au ton sévère contre un modèle économique générant des millions. Un dispositif de conformité dont le respect est facultatif n'est pas une réglementation. C'est de la comédie.

Étude de cas : NameSilo — « la croissance la plus rapide », mais aussi celle qui ignore le plus vite

NameSilo est une société cotée en bourse. Elle publie des rapports boursiers faisant état de millions de chiffre d'affaires et se présente comme l'un des bureaux d'enregistrement connaissant la croissance la plus rapide au monde. Elle figure également, selon une étude indépendante citée plus haut, en tête du classement en termes de volume brut d'hameçonnage. Une coïncidence ? Voici ce dont nous avons été témoins :

Combien de demandes de protection émanant d'utilisateurs américains NameSilo a-t-il directement ignorées pour éviter de perdre des revenus ? Nous répondrons d'après notre expérience : pas seulement beaucoup, mais, selon nous, la majorité. Et personne n'est tenu de rendre des comptes à ce sujet.

Et ce n'est pas tout. NameSilo a publiquement expliqué avoir aidé un client — un client au sujet duquel ils affirmaient n'avoir reçu aucune plainte — à faire supprimer des détections sur VirusTotal. Suivez le raisonnement :

• Demande de suspension d'un domaine utilisé à des fins d'hameçonnage : « Nous ne sommes pas en mesure de déterminer ce qui relève de la malveillance. »
• Aider un client payant : se retrouve soudainement en mesure de passer outre les verdicts de détection émis par les fournisseurs de solutions de sécurité du classement Fortune 500.

On ne peut pas se retrancher derrière l'incompétence technique tout en se présentant comme une référence technique. Il faut choisir l'un ou l'autre. Ce n'est ni un hasard ni un cas isolé. C'est une constante : on aime l'argent, on ne fait rien, on ne rend de comptes à personne.

Que vaut réellement une accréditation ICANN : Trustname, aujourd'hui

Le conflit d'intérêts est structurel et simple : Un organisme de régulation ne devrait jamais tirer ses recettes directement des entités qu’il réglemente. C'est le cas de l'ICANN — et nous comprenons que ses quelque 400 employés sont sans doute occupés par des questions plus urgentes que la sécurité des utilisateurs dont ces domaines sont conçus pour vider les portefeuilles.

Voici ce que vaut concrètement cette accréditation, dans la réalité d'aujourd'hui. Réfléchissez à ceci : Nom de la fiducie (Fewmoretaps OÜ) — un registraire avec lequel nous décrit en détail. Sur le papier, il s'agit d'une entreprise estonienne ; sur le plan opérationnel, elle est gérée depuis Biélorussie par un seul propriétaire-exploitant — à la fois actionnaire à 100 %, PDG et unique salarié. Chiffre d'affaires déclaré pour 2024 : 120 €. Ce n'est que cette année qu'elle a véritablement commencé à vendre des noms de domaine. Et son accréditation auprès de l'ICANN (IANA n° 4318) est toujours en activité, même si la société est en liquidation. Sur les quelque 7 641 domaines qu'elle gère, 86 % des programmes actifs sont confirmés comme malveillants.

C'est à cette entreprise que l'ICANN a accordé son gage de confiance. Et ce n'est pas notre propre évaluation de la manière dont elle gère les abus — c'est celle de Trustname. sa propre politique en matière d'abus, telle qu'elle a été publiée:

« Conformément aux directives de l'ICANN, dans la plupart des cas, pour prendre des mesures à l'encontre d'un nom de domaine, le bureau d'enregistrement doit disposer d'une décision de justice valide ou du consentement du titulaire du nom de domaine. »

« Les signalements reçus exclusivement par le biais de systèmes automatisés d'analyse des menaces sont considérés comme des pistes d'enquête et non comme des preuves concluantes… Trustname peut également demander confirmation que l'abus présumé est toujours en cours au moment de l'examen. »

« Les signalements d'abus envoyés à partir de services de messagerie gratuits ou anonymes (par exemple, @gmail.com, @proton.me) font l'objet d'une vérification supplémentaire. »

« Nous ne nous prononçons pas sur la légalité du contenu d'un site et n'interviendrons que sur instruction des autorités chargées de l'application de la loi ou en cas de violation manifeste de nos conditions d'utilisation. »

Si on l'envisage comme un système, la conception est indéniable : une solution valable décision de justice pour aborder un sujet ; des détections avérées reléguées au rang de simples « pistes » ; l'obligation de reconfirmer l'existence de l'arnaque est toujours en vie au moment de l’examen — après avoir fait traîner les choses suffisamment longtemps ; une « vérification » supplémentaire pour toute personne effectuant un signalement depuis Gmail ou Proton ; et un refus systématique d’évaluer le contenu, les utilisateurs étant poliment invités à « contacter leur hébergeur ». Ajoutez à cela des mesures de protection de la vie privée mises en place par les registraires, qui acceptent les paiements cryptés et rejettent le courrier postal, et vous n’avez pas de véritable procédure de signalement des abus. Vous avez à l'abri grâce à la paperasse — et cela figure sur le papier à en-tête d'un bureau d'enregistrement accrédité par l'ICANN.

Cela met directement l'ICANN en cause. Une entité gérée depuis la Biélorussie, composée d'une seule personne et dont le chiffre d'affaires s'élève à 120 €, actuellement en liquidation, détient une accréditation en cours de validité et publie ouvertement une politique conçue pour ne jamais procéder à aucune suspension. Le moyen d’action le plus puissant dont dispose l’ICANN pour réagir est une lettre ; la réponse que nous avons constatée à de telles lettres est une mise à jour des conditions d’utilisation, et non une suspension. Une autorité de régulation dont la sanction ultime se limite à une lettre — à laquelle on répond par une modification des conditions générales — n'est pas une autorité de régulation. Pendant ce temps, chaque jour, des gens perdent de l'argent sur .com et d’autres domaines qui passent par des opérateurs de ce type pendant que les démarches administratives s’éternisent. Trois décisions de justice pour faire fermer une page de hameçonnage en ligne ne constituent pas une procédure régulière ; c’est une farce, et c’est une farce que l’ICANN cautionne en accréditant les opérateurs qui l’exigent.

Trustname n'est pas un hasard ; c'est ce qui arrive lorsque l'accréditation est bon marché et échappe à tout contrôle. Plusieurs juridictions de l'UE — dont l'Estonie (qui abrite une longue liste de ces sociétés écrans), Keitaro (y compris), ainsi que le Royaume-Uni, où la création d’entreprises est extrêmement bon marché, vendent des accès à des sociétés et à des services à un prix qui exclut tout véritable contrôle. Il en résulte un climat de méfiance généralisée, même à l’égard des entreprises légitimes, car personne ne vérifie rien et personne n’est tenu de rendre des comptes. Nous nous sommes également heurtés à des variantes de ce même obstacle lié à une décision de justice avec certains opérateurs utilisant un code pays ; nous les documenterons séparément.

La solution est évidente : des amendes et la responsabilité civile

Nous ne réclamons pas de pouvoirs de censure. Nous réclamons ce dont disposent déjà tous les autres secteurs : des sanctions financières en cas de manquement aux obligations contractuelles.

Les bureaux d'enregistrement vont se plaindre en affirmant qu’« on ne peut pas leur demander de déterminer ce qui relève du phishing ». Contre-question : vous êtes capables d’encaisser l’argent et de signer les obligations liées à l’accréditation, mais incapables de les respecter ? Si un bureau d’enregistrement est véritablement incapable d’évaluer un signalement d’abus accompagné de preuves, il n’a pas à détenir une accréditation qui exige contractuellement précisément cela.

Ce qui devrait le remplacer : un registre public des abus, mis à jour en temps réel

Nous ne proposons pas la création d’une deuxième ICANN — nous n’en avons pas besoin. Deux des systèmes qui constituent les piliers d’Internet laissent déjà entrevoir la solution : Transparence des certificats TLS/SSL et WHOIS — des archives publiques, accessibles et consultables. La gestion des abus devrait fonctionner de la même manière : un registre public et transparent de chaque signalement d'abus reçu par un organisme d'enregistrement, précisant exactement les mesures qu'il a prises en réponse — horodatées, vérifiables et impossibles à nier a posteriori.

Avec ce cadre de référence en place, la majeure partie du théâtre actuel s'effondre :

• Aucune décision judiciaire étrangère ne permet de mettre fin à une menace immédiate. Une page de hameçonnage qui vide les portefeuilles constitue un préjudice immédiat ; son blocage ne devrait pas nécessiter une décision d'un tribunal situé sur une île dans une zone offshore. Les preuves figurent dans le rapport, et les archives publiques indiquent si le registraire a pris des mesures.
• Le triage peut être automatisé. Les registraires affirment être submergés par les « attaques » et les signalements de spam — ce qui correspond exactement au type de filtrage qu'un Couche d'IA fonctionne bien : filtrer le bruit, mettre en évidence les cas avérés et consigner chaque décision. Un système simple et transparent placé en amont du processus de traitement des abus serait déjà plus efficace que la procédure humaine actuelle, qui n’en est pas vraiment une. On n’a pas besoin d’un numéro 2 à l’ICANN pour cela.
• L'excuse n'est plus valable. Un registraire est rémunéré pour chaque nom de domaine qu’il vend ; la gestion des abus constitue l’autre volet de cette transaction, et non un service rendu à titre gracieux. Le refrain de NameSilo selon lequel « nous ne sommes pas qualifiés » relève d’une décision commerciale, et non d’une limite technique — et une entreprise qui est véritablement incapable de distinguer un kit de hameçonnage d’un trafic légitime devrait se consacrer à ses autres activités, plutôt que de servir par défaut de complice à des opérations d’escroquerie et de hameçonnage.
• Fini les « nous n'avons jamais reçu de rapport ». WebNic et NiceNic nous ont répondu par des messages automatiques exigeant une capture d'écran qui était pourtant déjà jointe au signalement ; NameSilo a déclaré publiquement qu'il n'y avait « jamais eu la moindre plainte ». Aucune de ces affirmations ne résiste à la confrontation avec un registre public horodaté.

Et le grand livre en tire la seule conséquence qui compte exécutoire. Lorsqu'une victime subit une perte financière liée à un domaine quelques jours plus tard Un rapport étayé figurait déjà dans le dossier — et les archives publiques montrent que le greffier l'a laissé de côté — ce qui ne constitue plus une zone d'ombre regrettable. Il s'agit d'un manquement avéré, daté et consigné, et le greffier devrait en assumer la responsabilité financière pour cet incident précis.

Voilà tout le mécanisme. Dès lors qu’ignorer un signalement coûte plus cher que d’y donner suite, le refrain « nous ne sommes pas compétents » cesse, les services chargés de lutter contre les abus trouvent soudainement les moyens financiers et les effectifs nécessaires, et les escrocs qui cherchent à acheter le silence découvrent qu’il n’y en a plus à acheter — et abandonnent discrètement les domaines sur lesquels ils comptaient.

La transparence est la solution. On ne peut pas ignorer discrètement un rapport dont tout le monde sait que vous l'avez reçu.

En résumé

$16 billion in reported losses in a single year. Phishing up 180% since 2021. 130,000 malicious actors in one monitoring dataset alone. And the entire pipeline still starts the same way: a cheap domain, sold by a registrar that will never answer for its silence.

L'escroc n'est qu'un symptôme : un maillon remplaçable, généralement peu futé, dans une économie du désespoir. Le registraire qui empoche ses cryptomonnaies avec le sourire, ignore une vingtaine de signalements d'abus, puis ment publiquement à ce sujet : voilà la maladie. Et la « réglementation » purement symbolique de l'ICANN, c'est le système immunitaire qui a décidé de ne pas intervenir.

La fraude continuera à prendre des proportions gigantesques tant qu’elle restera peu coûteuse. Et elle restera peu coûteuse tant que les bureaux d’enregistrement garderont le silence — et ne paieront rien pour ce silence.

Sources et références

1. Centre de signalement des délits sur Internet (IC3) du FBI — Rapport 2024 sur la cybercriminalité (859 532 plaintes ; 16,6 milliards de dollars de pertes déclarées ; le phishing et l'usurpation d'identité occupent la première place en termes de nombre de plaintes).
2. Interisle Consulting Group — Panorama du phishing en 2025 (environ 2 millions d'attaques de hameçonnage ; +180 % depuis 2021 ; concentration au niveau des bureaux d'enregistrement et des TLD ; échantillon de 37 000 domaines liés à des escroqueries par facturation).
3. ICANN — Accord d'accréditation des bureaux d'enregistrement de 2013, § 3.18 (point de contact en cas de maltraitance ; obligation de prendre des mesures raisonnables et rapides pour enquêter sur les cas de maltraitance et y remédier).
4. Conformité contractuelle de l'ICANN — Avis de violation adressé à Web Commerce Communications (WebNic), le 29 juillet 2025.

Les chiffres sont tirés des sources primaires mentionnées ci-dessus ; l'interprétation et les commentaires sont ceux des auteurs.