Les proxys résidentiels sont devenus un outil très recherché par les cybercriminels. Contrairement aux VPN, qui utilisent généralement des adresses IP appartenant à des centres de données, ils s’appuient sur les connexions Internet de particuliers, beaucoup plus difficiles à détecter et à bloquer par les sites web.

Le plus inquiétant est qu’il n’est plus forcément nécessaire qu’un ordinateur soit infecté par un malware. Une Android TV Box, une box IPTV, un téléviseur connecté, une caméra IP, un routeur, un NAS ou un autre objet connecté vulnérable peut être détourné afin de relayer le trafic Internet de tiers, parfois simplement à cause d’un firmware compromis, d’une application contenant un SDK spécifique ou d’une mauvaise configuration.

Dans ce guide, découvrez ce qu’est un proxy résidentiel, pourquoi les cybercriminels cherchent à exploiter votre connexion Internet, comment des appareils connectés peuvent être transformés en nœuds d’un réseau de proxys résidentiels et les bonnes pratiques pour protéger votre réseau domestique.

Qu’est-ce qu’un proxy résidentiel ?

Un proxy résidentiel est un serveur intermédiaire qui utilise l’adresse IP d’une connexion Internet résidentielle, c’est-à-dire celle d’un particulier, plutôt que celle d’un centre de données ou d’un fournisseur de services cloud.

A lire :

Lorsqu’une personne ou un logiciel utilise un proxy résidentiel, les sites web voient l’adresse IP du particulier et non celle du véritable utilisateur. Les requêtes semblent donc provenir d’un ordinateur ou d’un foyer « normal », ce qui les rend plus difficiles à détecter ou à bloquer.

Le fonctionnement peut être résumé ainsi :

Une IP résidentielle vaut de l’or pour les cybercriminels

En pratique, une adresse IP résidentielle a beaucoup plus de valeur qu’une adresse IP provenant d’un VPN ou d’un centre de données.

En effet, la plupart des services VPN utilisent des adresses IP appartenant à des fournisseurs de cloud ou à des organisations. Ces plages d’adresses sont bien connues des sites web et peuvent être facilement identifiées, voire bloquées.

À l’inverse, une adresse IP résidentielle appartient à un particulier et est fournie par un fournisseur d’accès à Internet (Orange, Free, SFR, Bouygues Telecom, etc.). Pour un site web, cette connexion ressemble donc à celle d’un utilisateur classique naviguant depuis son domicile.

Cette différence permet plus facilement de :

• Contourner les systèmes anti-bot
• Éviter certains CAPTCHA
• Créer de nombreux comptes sur des services en ligne
• Effectuer du web scraping à grande échelle
• Contourner les limitations de débit ou les blocages d’adresses IP
• Masquer l’origine d’activités frauduleuses
• Ad Fraud peut charger et cliquer sur des publicités en arrière-plan pour générer des revenus publicitaires

C’est pourquoi les réseaux de proxys résidentiels sont devenus très recherchés. Plus un service dispose de connexions Internet résidentielles réparties dans différents pays, plus il est capable de faire passer son trafic pour celui de véritables internautes.

Je pense même qu’un petit tableau serait excellent.

Adresse IP résidentielle	Adresse IP de VPN / Datacenter
Fournie par un FAI	Appartient à un hébergeur ou un fournisseur VPN
Ressemble à un particulier	Facilement identifiable comme un VPN
Plus difficile à bloquer	Souvent présente dans des listes de blocage
Passe plus facilement les systèmes anti-bot	Déclenche plus souvent des CAPTCHA ou des restrictions

Comment un appareil devient-il un proxy résidentiel ?

Contrairement à une idée reçue, il n’est pas toujours nécessaire qu’un ordinateur soit infecté par un malware pour devenir un proxy résidentiel. De nombreux appareils connectés peuvent être détournés de différentes manières afin de relayer le trafic Internet de tiers.

Les méthodes les plus courantes sont les suivantes.

Infection par un malware

Le scénario le plus classique consiste à infecter un ordinateur, un NAS ou un routeur avec un malware. Une fois installé, celui-ci contacte un serveur de commande et de contrôle (C2) et attend les instructions de l’attaquant.

Au lieu de lancer uniquement des attaques DDoS ou d’envoyer du spam, le malware peut également transformer l’appareil en proxy résidentiel. Les connexions de tiers transitent alors par votre accès Internet.

Firmware ou système compromis

Certains appareils sont vendus avec un firmware vulnérable, voire compromis dès leur fabrication ou leur distribution.

Si une porte dérobée (backdoor) est présente ou qu’une faille de sécurité permet une prise de contrôle à distance, l’appareil peut être intégré à un réseau de proxys résidentiels sans que son propriétaire ne s’en aperçoive.

Applications ou SDK préinstallés

Dans certains cas, le problème ne provient pas d’un malware mais d’une application installée par le fabricant ou d’un SDK intégré à une application.

Consultez le paragraphe plus bas de ce guide pour plus de détails.

Services exposés sur Internet

Certains appareils sont accessibles depuis Internet à cause d’une mauvaise configuration.

Par exemple :

• ADB (Android Debug Bridge) laissé activé sur une Android TV Box.
• Interface d’administration exposée sans protection.
• Mots de passe par défaut jamais modifiés.
• Failles de sécurité non corrigées.

Ces erreurs permettent à un attaquant de prendre le contrôle de l’appareil et d’y installer un logiciel de relais ou un malware.

Botnets spécialisés dans les objets connectés

Les cybercriminels ciblent de plus en plus les objets connectés (IoT), souvent moins bien protégés que les ordinateurs.

Les appareils les plus visés sont notamment :

• Android TV Box
• Box IPTV
• Téléviseurs connectés
• Caméras IP
• Routeurs
• NAS
• Cadres photo connectés
• Boîtiers domotiques

Une fois compromis, ces appareils peuvent être regroupés au sein d’un botnet et utilisés comme nœuds d’un vaste réseau de proxys résidentiels.

Quels sont les appareils les plus concernés

Tous les appareils connectés à Internet peuvent, en théorie, être détournés pour servir de proxy résidentiel. Toutefois, certains sont plus exposés que d’autres en raison de leur système d’exploitation, de mises à jour de sécurité insuffisantes ou de mauvaises configurations.

Le tableau ci-dessous présente les appareils les plus fréquemment ciblés.

Appareil	Niveau de risque	Pourquoi ?
Android TV Box / Box IPTV	Très élevé	Souvent vendues avec un Android modifié, des applications préinstallées, des mises à jour rares et parfois ADB activé par défaut.
Routeurs et box Internet	Très élevé	Exposés directement à Internet. Une mauvaise configuration ou une faille peut compromettre tout le trafic réseau.
Caméras IP	Très élevé	Mots de passe par défaut, firmwares rarement mis à jour et nombreuses failles connues.
NAS	Élevé	Souvent accessibles depuis Internet et contenant des données sensibles. Ils sont régulièrement ciblés par les attaquants.
Téléviseurs connectés (Smart TV)	Élevé	Certaines applications ou SDK peuvent être utilisés pour relayer du trafic Internet à l’insu de l’utilisateur.
Objets connectés (IoT)	Modéré	Les prises connectées, assistants vocaux ou équipements domotiques peuvent être compromis si leur firmware n’est pas maintenu à jour.
Cadres photo connectés	Modéré	Certains modèles utilisent un firmware peu sécurisé et ne reçoivent pratiquement jamais de mises à jour.
Ordinateurs Windows, Linux ou macOS	Modéré	Généralement compromis après l’installation d’un malware qui transforme l’appareil en nœud de proxy résidentiel.
Smartphones Android	Faible à modéré	Quelques applications malveillantes peuvent transformer le téléphone en proxy résidentiel, mais ce scénario reste moins fréquent.

Les Android TV Box et les box IPTV représentent aujourd’hui l’un des risques les plus importants. Plusieurs campagnes récentes ont montré que certains appareils étaient vendus avec des applications ou des composants permettant de relayer du trafic Internet sans que leur propriétaire en soit conscient.

Les routeurs, caméras IP et autres objets connectés sont également très ciblés, car ils restent allumés en permanence et sont souvent mal sécurisés. Un mot de passe par défaut, un firmware obsolète ou un service d’administration exposé sur Internet peut suffire à compromettre l’appareil et à l’intégrer à un réseau de proxys résidentiels.

Exemples récents de réseaux de proxys résidentiels (botnet)

BADBOX 2.0

BADBOX 2.0 est l’un des exemples les plus marquants de l’évolution des botnets vers les réseaux de proxys résidentiels. Contrairement aux botnets classiques, qui infectaient principalement des ordinateurs, BADBOX 2.0 cible des objets connectés (IoT) utilisés au quotidien.

Les appareils concernés sont notamment :

• Android TV Box
• Boîtiers de streaming
• Téléviseurs connectés
• Vidéoprojecteurs
• Cadres photo numériques
• Systèmes multimédias pour véhicules
• Autres appareils connectés fonctionnant sous Android

Le FBI indique que ces appareils peuvent être compromis de deux façons :

• Le logiciel malveillant est déjà présent avant l’achat, directement dans le firmware ou le système de l’appareil.
• L’infection intervient lors de la configuration initiale, lorsqu’une application contenant une porte dérobée (backdoor) est téléchargée depuis une boutique d’applications non officielle.

Une fois connecté à Internet, l’appareil rejoint automatiquement le botnet BADBOX 2.0 et peut être utilisé comme proxy résidentiel. Les cybercriminels peuvent alors relayer leur trafic via votre connexion Internet afin de masquer leur véritable adresse IP.

Selon le FBI, ce réseau est composé de millions d’appareils compromis et est utilisé pour différentes activités malveillantes, notamment :

• La revente d’accès à des proxys résidentiels
• La fraude publicitaire (Ad Fraud)
• Le contournement des systèmes anti-bot
• Le web scraping
• La création automatisée de comptes
• D’autres activités cybercriminelles

Le FBI recommande notamment :

• D’éviter les Android TV Box et appareils IoT provenant de marques inconnues ou non certifiées
• De ne pas installer d’applications depuis des boutiques non officielles
• De maintenir le firmware et les applications à jour
• De surveiller le trafic réseau des appareils connectés

BADBOX 2.0 illustre une évolution importante des menaces actuelles : il n’est plus nécessaire qu’un ordinateur soit infecté par un malware pour qu’un cybercriminel exploite votre connexion Internet. Un simple appareil connecté vulnérable ou compromis peut suffire à transformer votre réseau domestique en nœud d’un vaste réseau de proxys résidentiels.

Plus de détails : https://www.bleepingcomputer.com/news/security/fbi-badbox-20-android-malware-infects-millions-of-consumer-devices/

La chaîne YouTube Underscore_ en parle. Il y explique notamment que ce réseau peut aussi viser des chefs d’Entreprises qui peuvent rammener du travail à la maison.
Le but pouvant être de voler des données d’entreprises.

Kimwolf

Kimwolf est un botnet Android apparu en 2025, considéré comme l’une des principales évolutions des botnets modernes. Contrairement aux réseaux de machines zombies traditionnels, il cible principalement les Android TV Box, les boîtiers de streaming et d’autres appareils Android connectés au réseau domestique.

Les chercheurs estiment que plus de deux millions d’appareils Android ont été compromis. Kimwolf est étroitement lié au botnet Aisuru, dont il constitue la variante spécialisée pour Android.

Les appareils infectés sont utilisés pour plusieurs activités malveillantes :

• Lancer des attaques DDoS
• Relayer du trafic via des proxys résidentiels
• Masquer l’origine d’autres attaques
• Monétiser la bande passante des victimes
• Télécharger ou installer d’autres composants malveillants

L’une des particularités de Kimwolf est sa capacité à scanner le réseau local à la recherche d’autres appareils vulnérables. Les chercheurs ont notamment observé qu’il ciblait les Android TV Box et autres équipements Android dont le service Android Debug Bridge (ADB) était exposé sans authentification. Une fois un appareil compromis, celui-ci peut à son tour servir de point d’entrée vers d’autres équipements présents sur le réseau domestique.

Kimwolf illustre également une évolution importante de la cybercriminalité : les appareils compromis ne servent plus uniquement à lancer des attaques DDoS. Les opérateurs du botnet revendent également l’accès aux adresses IP des victimes sous forme de proxys résidentiels, permettant à d’autres cybercriminels de faire transiter leur trafic via des connexions Internet de particuliers. Ces services sont utilisés pour le web scraping, la fraude, le contournement des systèmes anti-bot ou encore la création automatisée de comptes.

Ce botnet rappelle enfin l’importance de désactiver ADB lorsqu’il n’est pas nécessaire, de maintenir les appareils Android à jour et d’éviter les Android TV Box ou boîtiers de streaming provenant de fabricants inconnus ou ne fournissant pas de mises à jour de sécurité régulières.

Les SDK de proxy résidentiel intégrés aux applications

Lorsqu’on parle de réseaux de proxys résidentiels, on imagine souvent un appareil infecté par un malware. Pourtant, ce n’est plus toujours le cas.

Certains développeurs intègrent volontairement un SDK (Software Development Kit) fourni par un service de proxy résidentiel directement dans leur application. En échange d’une rémunération, l’application peut utiliser une partie de la connexion Internet de l’utilisateur pour relayer le trafic d’autres clients du service.

Dans ce scénario :

• l’appareil n’est pas infecté par un malware ;
• l’application fonctionne normalement et remplit la fonction attendue ;
• aucun comportement anormal n’est visible pour l’utilisateur ;
• seul une partie de la connexion Internet est utilisée en arrière-plan.

Un malware prend le contrôle de votre appareil sans votre accord. Un SDK de proxy résidentiel peut, lui, utiliser votre connexion avec votre consentement… mais ce consentement est parfois peu clair ou insuffisamment explicite.
Le problème est que l’utilisateur n’est pas toujours pleinement informé de cette utilisation. Les conditions d’utilisation peuvent mentionner ce partage de connexion, mais de manière peu visible ou difficile à comprendre.

C’est ce qui rend ces solutions particulièrement controversées : contrairement à un botnet classique, il ne s’agit pas forcément d’une compromission du système, mais d’un mécanisme intégré à une application légitime, qui transforme néanmoins votre appareil en nœud d’un réseau de proxys résidentiels.

Comment cela fonctionne ?

Le principe est relativement simple : le développeur d’une application intègre un SDK (Software Development Kit) fourni par un service de proxy résidentiel. Une fois l’application installée, ce composant permet de relayer une partie du trafic Internet via la connexion de l’utilisateur.

Le fonctionnement peut être résumé ainsi :

Pour l’utilisateur, l’application peut fonctionner normalement. Le téléviseur, la box Android ou l’appareil connecté continue d’afficher le contenu attendu, mais en arrière-plan, une partie de la connexion peut être utilisée pour faire transiter du trafic Internet.

Ce modèle pose plusieurs problèmes :

Problème	Explication
Consentement flou	L’utilisateur ne comprend pas toujours que sa connexion peut être utilisée par des tiers.
Consommation de bande passante	Le trafic relayé peut ralentir la connexion ou augmenter la consommation de données.
Risque de réputation IP	Des activités douteuses peuvent sembler provenir de l’adresse IP de l’utilisateur.
Difficulté de détection	L’appareil peut continuer à fonctionner normalement, sans symptôme évident.

En 2026, des chercheurs ont par exemple signalé que des applications destinées aux Smart TV Samsung et LG pouvaient intégrer un SDK de proxy résidentiel, permettant d’utiliser la connexion Internet des téléviseurs comme nœud de relais. L’information doit être présentée avec prudence, mais elle illustre bien l’évolution du modèle : un appareil peut devenir un proxy résidentiel sans infection visible, simplement via une application installée.

Ce type de fonctionnement montre que les botnets modernes ne reposent plus seulement sur des malwares. Ils peuvent aussi s’appuyer sur des applications, des SDK, des firmwares ou des appareils connectés dont l’utilisateur ne soupçonne pas l’activité réelle en arrière-plan.

Comment savoir si son appareil est utilisé comme proxy résidentiel ?

L’un des principaux problèmes des réseaux de proxys résidentiels est leur discrétion. Dans la plupart des cas, l’appareil continue de fonctionner normalement et son propriétaire ne remarque aucun comportement inhabituel.

Il existe toutefois plusieurs signes qui peuvent alerter.

Les symptômes courants

Symptôme	Signification
Bande passante élevée	Trafic relayé
Beaucoup de connexions	Proxy
Chauffe	CPU
Scans réseau	Bot

Une activité réseau inhabituelle

Un appareil utilisé comme proxy résidentiel échange en permanence des données avec Internet.

Vous pouvez notamment observer :

• Une consommation de bande passante anormalement élevée, même lorsque l’appareil est inutilisé.
• De nombreuses connexions vers des adresses IP inconnues.
• Un trafic réseau important pendant la nuit ou lorsque personne n’utilise l’appareil.

Ces informations peuvent être consultées depuis l’interface d’administration de votre routeur ou à l’aide d’un analyseur de trafic réseau.

Des connexions provenant du réseau local

Certains botnets ne se contentent pas de communiquer avec Internet. Ils tentent également de scanner le réseau local afin de rechercher d’autres appareils vulnérables.

Cela peut se traduire par :

• Des tentatives de connexion vers d’autres appareils de votre réseau
• Des scans des ports TCP ou UDP
• Des recherches d’appareils Android avec ADB activé
• Des tentatives d’accès à des interfaces d’administration

Ce comportement est notamment observé sur certains botnets ciblant les Android TV Box et les objets connectés.

Une activité inhabituelle du processeur ou du réseau

Si un appareil relaie le trafic d’autres utilisateurs, vous pouvez constater :

• Une utilisation anormalement élevée du processeur
• Une activité réseau permanente
• Une augmentation de la consommation électrique
• Un échauffement inhabituel de l’appareil

Ces symptômes ne sont pas spécifiques aux proxys résidentiels, mais ils peuvent constituer un indice lorsqu’ils apparaissent sans raison apparente.

Des services d’administration exposés

Les appareils les plus vulnérables sont souvent ceux dont les services d’administration restent accessibles.

Vérifiez notamment :

• Qu’ADB est désactivé sur les Android TV Box
• Que les mots de passe par défaut ont été remplacés
• Que le firmware est à jour
• Que l’interface d’administration n’est pas accessible depuis Internet

Surveiller les connexions réseau

Si vous pensez qu’un appareil est utilisé comme proxy résidentiel, il peut être utile d’analyser son activité réseau.

Vous pouvez notamment :

• Consulter les journaux de votre routeur ou de votre pare-feu
• Utiliser un analyseur de trafic comme Wireshark
• Identifier les appareils qui génèrent le plus de trafic
• Vérifier les connexions établies vers des serveurs inconnus

À retenir : un appareil utilisé comme proxy résidentiel ne présente pas forcément de symptômes visibles. Dans de nombreux cas, la seule conséquence est une utilisation inhabituelle de votre connexion Internet, tandis que l’appareil continue de fonctionner normalement. C’est ce qui rend ces réseaux particulièrement difficiles à détecter sans surveiller le trafic réseau.

Comment s’en protéger ?

Il est possible de réduire considérablement le risque qu’un appareil soit utilisé comme proxy résidentiel en appliquant quelques bonnes pratiques de sécurité. La plupart des compromissions exploitent des appareils mal sécurisés, des logiciels obsolètes ou des fonctionnalités d’administration laissées actives.

Pour protéger vos appareils connectés :

• Achetez des appareils provenant de fabricants reconnus, qui publient régulièrement des mises à jour de sécurité.
• Installez les mises à jour du firmware dès qu’elles sont disponibles.
• Téléchargez uniquement des applications depuis les boutiques officielles (Google Play, Samsung Store, LG Content Store, etc.).
• Évitez les Android TV Box et les box IPTV d’origine inconnue, qui sont souvent vendues avec des logiciels modifiés ou des applications préinstallées.
• Désactivez ADB (Android Debug Bridge) lorsque vous ne l’utilisez pas.
• Remplacez les mots de passe par défaut des routeurs, caméras IP, NAS et autres objets connectés.
• N’exposez pas les interfaces d’administration directement sur Internet.
• Surveillez régulièrement le trafic réseau de vos appareils afin de détecter une activité inhabituelle.
• Isolez les objets connectés sur un réseau Wi-Fi invité ou un VLAN, lorsque votre routeur le permet.

Il est également recommandé de redémarrer régulièrement vos appareils et de supprimer les applications que vous n’utilisez plus, en particulier sur les téléviseurs connectés et les Android TV Box.

Conclusion

Les proxys résidentiels illustrent une évolution majeure de la cybercriminalité. Alors que les anciens botnets ciblaient principalement les ordinateurs Windows pour lancer des attaques DDoS ou envoyer du spam, les cybercriminels s’intéressent désormais à la connexion Internet des particuliers, dont les adresses IP sont beaucoup plus difficiles à détecter et à bloquer.

Aujourd’hui, les appareils les plus exposés sont les objets connectés (IoT), et plus particulièrement ceux fonctionnant sous Android, comme les Android TV Box, les box IPTV, les téléviseurs connectés, mais aussi les caméras IP, les routeurs ou d’autres équipements connectés. Certains sont compromis par un malware, tandis que d’autres peuvent embarquer un firmware vulnérable ou une application contenant un SDK de proxy résidentiel.

Cette évolution montre qu’il n’est plus nécessaire d’infecter un ordinateur pour exploiter la connexion Internet d’une victime. Un simple appareil connecté mal sécurisé peut suffire à intégrer un réseau mondial de proxys résidentiels et à relayer le trafic de tiers à l’insu de son propriétaire.

Pour limiter les risques, privilégiez des appareils de fabricants reconnus, maintenez leur firmware à jour, installez uniquement des applications provenant de sources officielles et surveillez régulièrement l’activité de votre réseau. Les objets connectés doivent aujourd’hui être considérés comme de véritables ordinateurs : ils nécessitent les mêmes précautions de sécurité que votre PC ou votre smartphone.

L’article Proxy résidentiel : comment les cybercriminels détournent vos appareils connectés est apparu en premier sur malekal.com.

De nombreux internautes pensent qu’un VPN, Tor ou une messagerie chiffrée suffisent à devenir anonyme sur Internet. Pourtant, les enquêtes de cybercriminalité et les affaires criminelles récentes montrent régulièrement le contraire. Malgré l’utilisation d’outils d’anonymisation, les enquêteurs parviennent souvent à identifier les auteurs grâce à de nombreux indices laissés lors de leurs activités en ligne.

Pendant longtemps, l’adresse IP constituait l’un des principaux moyens d’identification sur Internet. Aujourd’hui, les investigations numériques reposent sur bien davantage : comptes Google ou Microsoft, métadonnées, appareils utilisés, habitudes numériques, informations publiées en ligne ou encore erreurs humaines. Dans de nombreux dossiers, ces éléments sont devenus plus importants que l’adresse IP elle-même.

Alors, comment les enquêteurs remontent-ils jusqu’à une personne malgré l’utilisation d’un VPN ou de Tor ? Pourquoi les outils d’anonymisation ne garantissent-ils pas l’anonymat absolu ? Quelles traces numériques permettent d’identifier un utilisateur ou de reconstituer son activité en ligne ?

Dans cet article, nous allons voir comment fonctionnent les enquêtes numériques modernes, quelles informations sont exploitées par les enquêteurs et pourquoi les VPN ne représentent aujourd’hui qu’une petite partie de l’équation.

L’adresse IP : le point de départ historique

Pendant longtemps, l’adresse IP a constitué l’un des principaux moyens d’identification sur Internet. Chaque connexion à un site web, un service en ligne ou une application laisse apparaître une adresse IP publique attribuée par le fournisseur d’accès à Internet (FAI).

Lorsqu’une activité illégale est détectée, les enquêteurs commencent souvent par récupérer cette adresse IP dans les journaux du serveur concerné. Il peut s’agir d’un site web piraté, d’un forum, d’un service de messagerie ou encore d’une plateforme en ligne ayant enregistré les connexions de l’utilisateur.

L’adresse IP seule ne permet généralement pas d’identifier directement une personne. En revanche, elle permet de savoir quel opérateur Internet était responsable de cette connexion à un instant précis.

Par exemple, une adresse IP peut être attribuée à un abonné d’Orange, Free, SFR ou Bouygues Telecom. Grâce à une réquisition judiciaire, les enquêteurs peuvent demander au fournisseur d’accès quel client utilisait cette adresse IP à la date et à l’heure concernées.

A consulter :

Comment les enquêteurs remontent jusqu’à un abonné

Le principe est relativement simple :

• Un site web conserve l’adresse IP utilisée lors d’une connexion
• Les enquêteurs récupèrent cette adresse IP ainsi que l’heure exacte de l’événement
• Une réquisition est adressée au fournisseur d’accès à Internet
• Le FAI consulte ses journaux de connexion
• Le titulaire de la ligne Internet est identifié

Cette méthode a permis de résoudre de nombreuses affaires de cybercriminalité, de fraude en ligne, de piratage informatique ou encore de diffusion de contenus illicites.

Pourquoi l’adresse IP n’est plus toujours suffisante

Si l’adresse IP reste un élément important d’une enquête, elle n’est plus forcément la preuve centrale qu’elle était il y a vingt ans.

Plusieurs technologies peuvent masquer ou compliquer l’identification :

• Les VPN qui remplacent l’adresse IP publique de l’utilisateur par celle du fournisseur VPN
• Le réseau Tor qui fait transiter les communications par plusieurs relais répartis dans le monde
• Les proxys et services d’anonymisation
• Les réseaux Wi-Fi publics ou partagés

Dans ces situations, l’adresse IP visible par le site web n’est plus forcément celle de l’utilisateur final.

Cependant, cela ne signifie pas que la personne devient introuvable. Les enquêteurs disposent aujourd’hui de nombreuses autres sources d’information comme les comptes en ligne, les appareils utilisés, les métadonnées ou encore les traces laissées sur les services Internet.

C’est pourquoi l’adresse IP constitue désormais souvent le point de départ d’une enquête numérique, plutôt que son aboutissement. Elle permet d’orienter les investigations, mais elle est généralement complétée par de nombreux autres éléments techniques et judiciaires.

Les comptes utilisateurs sont souvent plus révélateurs que l’adresse IP

Lorsque l’on parle d’identification sur Internet, beaucoup de personnes pensent immédiatement à l’adresse IP. Pourtant, dans de nombreuses enquêtes modernes, les comptes utilisateurs fournissent souvent davantage d’informations que l’IP elle-même.

En effet, même lorsqu’une personne utilise un VPN, Tor ou un autre moyen de masquer son adresse IP, elle continue généralement à utiliser des services en ligne associés à son identité numérique.

Par exemple :

• Un compte Google ou Gmail
• Un compte Microsoft
• Un identifiant Apple
• Un compte Facebook ou Instagram
• Un compte Discord
• Un compte TikTok ou X
• Un compte Steam ou PlayStation Network

Ces comptes contiennent souvent une grande quantité d’informations permettant d’établir des liens avec un utilisateur réel.

Pourquoi les comptes sont si précieux pour les enquêteurs

Contrairement à une adresse IP qui peut changer ou être masquée, un compte utilisateur accompagne souvent la personne pendant plusieurs années.

Les plateformes enregistrent généralement diverses informations techniques liées au compte :

• Dates et heures de connexion
• Appareils utilisés
• Historique des connexions
• Adresses e-mail associées
• Numéros de téléphone
• Moyens de paiement
• Informations de récupération du compte

Même lorsqu’un utilisateur se connecte via un VPN, ces éléments restent généralement visibles pour la plateforme.

Par exemple, un utilisateur peut masquer son adresse IP derrière un VPN tout en continuant à utiliser son compte Google personnel associé à son numéro de téléphone et à sa carte bancaire. Dans ce cas, le VPN masque l’origine de la connexion mais ne supprime pas les autres informations permettant d’identifier le titulaire du compte.

Les plateformes disposent souvent de plus d’informations qu’on ne l’imagine

Les grands acteurs du numérique possèdent une vision particulièrement détaillée de l’activité de leurs utilisateurs.

Un même compte peut être associé à :

• Plusieurs appareils
• Plusieurs adresses IP utilisées au fil du temps
• Des adresses e-mail secondaires
• Des numéros de téléphone
• Des achats effectués en ligne
• Des sauvegardes dans le cloud
• Des données de localisation

Ces informations permettent souvent d’établir des recoupements très précis.

Par exemple, même si une connexion suspecte provient d’un VPN, la plateforme peut constater que le compte est habituellement utilisé depuis le même smartphone, le même ordinateur ou le même navigateur.

L’exemple des signalements au NCMEC

Dans certaines affaires impliquant des contenus pédocriminels, les enquêteurs ne partent pas forcément d’une adresse IP.

Les plateformes peuvent détecter des contenus illicites directement sur leurs services grâce à différents mécanismes de signalement ou de détection automatisée.

Lorsqu’un compte est identifié comme diffusant ou stockant des contenus illégaux, les informations associées au compte peuvent être signalées dans le cadre légal applicable puis transmises aux autorités compétentes.

Dans ce scénario, l’identification ne repose plus uniquement sur l’adresse IP mais sur l’ensemble des données associées au compte utilisateur.

Par exemple, lemonde.fr en parlé dans l’affaire Affaire Lyhanna : Affaire Lyhanna : Jérôme Barella avait été signalé à la police française par un organisme antipédocriminalité américain

Un VPN ne masque pas votre identité numérique

C’est une confusion fréquente.

Un VPN protège principalement la confidentialité de la connexion en masquant l’adresse IP publique utilisée pour accéder à Internet.

En revanche, il ne masque pas :

• Le compte Google auquel vous êtes connecté
• Votre identifiant Microsoft
• Votre compte Facebook ou Instagram
• Votre numéro de téléphone
• Les informations de paiement associées à un service

Autrement dit, un VPN peut masquer votre localisation réseau, mais il ne fait pas disparaître votre identité numérique lorsque vous continuez à utiliser vos comptes habituels.

C’est l’une des raisons pour lesquelles les enquêteurs s’intéressent aujourd’hui autant aux comptes utilisateurs qu’aux adresses IP. Dans de nombreuses affaires, ces comptes constituent même la source d’information la plus riche pour identifier une personne ou reconstituer son activité en ligne.

Les métadonnées : l’or des enquêteurs

Lorsqu’on évoque les enquêtes numériques, l’attention se porte souvent sur les adresses IP, les comptes utilisateurs ou les messages échangés. Pourtant, les enquêteurs disposent d’une autre source d’information extrêmement précieuse : les métadonnées.

Les métadonnées sont des informations qui décrivent une activité numérique sans forcément révéler directement son contenu. Elles répondent souvent à des questions comme :

• Qui s’est connecté ?
• Quand ?
• Depuis quel appareil ?
• Depuis quel pays ?
• Avec quel navigateur ?
• Pendant combien de temps ?

Même lorsqu’un contenu est chiffré ou qu’un utilisateur tente de masquer son identité, ces informations techniques peuvent permettre de reconstituer une partie importante de son activité.

Que sont exactement les métadonnées ?

Les métadonnées peuvent être comparées aux informations figurant sur une enveloppe postale.

Le contenu de la lettre correspond aux données échangées, tandis que l’enveloppe contient déjà de nombreuses informations :

• Expéditeur
• Destinataire
• Date d’envoi
• Lieu d’expédition

Sur Internet, le principe est similaire.

Une connexion peut laisser apparaître des informations telles que :

• Date et heure de connexion
• Adresse IP utilisée
• Type d’appareil
• Système d’exploitation
• Version du navigateur
• Langue du système
• Fuseau horaire
• Durée de la session
• Localisation approximative

Ces informations sont souvent enregistrées automatiquement par les services en ligne.

Comment les métadonnées permettent d’identifier une personne

Individuellement, une métadonnée est rarement suffisante pour identifier un utilisateur.

En revanche, lorsqu’elles sont recoupées, elles peuvent devenir très révélatrices.

Prenons un exemple :

Un compte utilise systématiquement :

• Un PC sous Windows 11
• Firefox en français
• Le fuseau horaire Europe/Paris
• Une résolution d’écran particulière
• Une connexion active principalement entre 20h et 23h

Quelques semaines plus tard, un autre compte présente exactement les mêmes caractéristiques.

Même sans connaître l’identité réelle de l’utilisateur, ces similitudes peuvent attirer l’attention des enquêteurs et suggérer qu’il s’agit de la même personne.

Les photos et documents contiennent aussi des métadonnées

Les métadonnées ne concernent pas uniquement les connexions Internet.

Une photo prise avec un smartphone peut contenir :

• Le modèle de l’appareil
• La date de prise de vue
• Les coordonnées GPS
• Les paramètres de l’appareil photo

De même, certains documents bureautiques peuvent conserver :

• Le nom de l’auteur
• Le logiciel utilisé
• La date de création
• Les dates de modification

Ces informations ont déjà permis dans plusieurs affaires de relier des fichiers à leurs auteurs ou à leurs équipements.

A lire :

Le fingerprinting : une empreinte numérique presque unique

Les enquêteurs et les plateformes peuvent également exploiter ce que l’on appelle l’empreinte numérique du navigateur (browser fingerprinting).

Même sans cookie, un navigateur peut révéler :

• La version du navigateur
• Le système d’exploitation
• La résolution d’écran
• Les polices installées
• La langue utilisée
• Certaines caractéristiques matérielles

Pris séparément, ces éléments semblent anodins. Ensemble, ils peuvent former une signature relativement unique.

C’est l’une des raisons pour lesquelles masquer uniquement son adresse IP ne suffit pas toujours à devenir anonyme sur Internet.

A consulter :

Pourquoi les métadonnées sont si importantes

Les métadonnées permettent souvent de répondre à des questions essentielles :

• Qui était connecté à ce moment-là ?
• Plusieurs comptes appartiennent-ils à la même personne ?
• Cet appareil a-t-il déjà été utilisé auparavant ?
• Cette activité est-elle cohérente avec les déclarations du suspect ?

Dans certaines enquêtes, elles permettent même de reconstituer une chronologie complète des événements alors que le contenu des communications n’est pas disponible.

Ce qu’il faut retenir

Contrairement à une idée répandue, les enquêteurs ne s’appuient pas uniquement sur le contenu des messages ou sur l’adresse IP. Les métadonnées constituent souvent une source d’information extrêmement riche.

Dates de connexion, appareils utilisés, géolocalisation approximative, caractéristiques du navigateur ou encore informations techniques des fichiers permettent de reconstituer des activités, d’établir des liens entre plusieurs comptes et parfois d’identifier un utilisateur malgré l’utilisation d’outils d’anonymisation comme un VPN ou un proxy.

Les erreurs humaines restent la principale source d’identification

Lorsqu’une affaire de cybercriminalité est médiatisée, beaucoup imaginent que les enquêteurs ont utilisé des techniques sophistiquées pour identifier le suspect : piratage de serveurs, déchiffrement de communications ou exploitation de failles complexes.

La réalité est souvent beaucoup plus simple.

Dans de nombreuses enquêtes, les cybercriminels sont identifiés à cause d’erreurs humaines. Même les personnes qui utilisent des VPN, Tor, des messageries chiffrées ou des systèmes d’exploitation spécialisés finissent parfois par commettre une erreur qui permet aux enquêteurs de remonter jusqu’à elles.

C’est d’ailleurs l’une des principales raisons pour lesquelles l’anonymat absolu sur Internet est extrêmement difficile à maintenir sur une longue période.

Erreur	Exemple concret	Ce que cela révèle	Exploitation par les enquêteurs
Réutiliser un pseudonyme	Utiliser le même pseudo sur un forum, Discord et un réseau social	Relie plusieurs identités numériques	Recherche OSINT, recoupement de profils
Réutiliser une adresse e-mail	Même adresse utilisée pour un compte anonyme et un compte personnel	Permet d’associer les activités	Réquisition judiciaire, fuites de données
Associer un numéro de téléphone	Validation de compte avec son numéro personnel	Relie plusieurs comptes à une même personne	Vérification des comptes associés
Utiliser un moyen de paiement traçable	Carte bancaire, PayPal, virement	Identité réelle du titulaire	Analyse financière et historique des paiements
Se connecter une fois sans VPN	Oubli ponctuel ou mauvaise configuration	Révèle l’adresse IP réelle	Corrélation entre IP réelle et activité anonyme
Publier des informations personnelles	Photo, ville, profession, école	Réduit le nombre de suspects possibles	Recoupement avec les réseaux sociaux
Réutiliser le même appareil	Même PC ou smartphone sur plusieurs comptes	Lien technique entre différentes activités	Analyse des appareils et empreintes numériques
Utiliser les mêmes habitudes d’écriture	Expressions, fautes, tournures de phrase	Signature comportementale	Analyse linguistique (stylométrie)

Ce qu’il faut retenir

Les VPN, Tor ou les messageries chiffrées peuvent compliquer l’identification technique d’un utilisateur. Cependant, dans de nombreuses affaires, ce ne sont pas les outils qui trahissent les cybercriminels mais leurs propres erreurs.

Réutilisation d’un pseudonyme, paiement traçable, numéro de téléphone, adresse e-mail ou simple oubli de se connecter derrière un VPN : ces erreurs permettent souvent aux enquêteurs d’établir des liens entre une activité en ligne et une personne réelle.

C’est l’une des raisons pour lesquelles les enquêtes modernes reposent autant sur le recoupement d’informations que sur les aspects purement techniques.

Des affaires célèbres où les enquêteurs ont identifié les suspects malgré les outils d’anonymisation

L’utilisation d’un VPN, de Tor ou d’autres outils de protection de la vie privée ne garantit pas l’anonymat absolu. Plusieurs affaires célèbres montrent que les enquêteurs parviennent régulièrement à identifier des suspects grâce à des erreurs humaines, des erreurs de configuration ou des informations obtenues auprès des services en ligne utilisés quotidiennement.

Ces exemples illustrent également une réalité souvent méconnue : dans de nombreuses enquêtes modernes, les éléments décisifs ne proviennent pas forcément de l’adresse IP ou des journaux VPN.

Silk Road : une erreur de configuration a exposé le serveur

L’affaire Silk Road est probablement l’exemple le plus célèbre.

Créé en 2011, Silk Road était un marché noir accessible uniquement via le réseau Tor. Son administrateur, Ross Ulbricht, pensait protéger l’infrastructure du site grâce à l’anonymisation offerte par Tor.

Selon plusieurs analyses techniques et les documents judiciaires de l’affaire, une erreur de configuration aurait exposé l’adresse IP réelle du serveur à ses débuts. Cette fuite a permis aux enquêteurs de localiser l’infrastructure hébergée en Islande et de poursuivre leurs investigations.

Cette affaire montre qu’une simple erreur technique peut parfois suffire à compromettre un système pourtant conçu pour rester anonyme.

Silk Road : des messages publiés sous son vrai nom ont aidé les enquêteurs

Silk Road : des messages publiés sous des identités réutilisées ont aidé les enquêteurs

L’une des erreurs les plus connues de Ross Ulbricht concerne les traces qu’il a laissées lors du lancement de Silk Road.

Selon la plainte pénale du FBI, des enquêteurs ont retrouvé des messages publiés sous le pseudonyme altoid sur des forums afin de promouvoir Silk Road ou de recruter de l’aide technique. L’un de ces messages renvoyait vers l’adresse [email protected], ce qui a permis d’établir un lien entre ce pseudonyme et Ross Ulbricht.

Les enquêteurs ont également relevé qu’un compte Stack Overflow avait d’abord été créé sous le nom Ross Ulbricht, avant d’être rapidement renommé frosty, un nom également retrouvé dans l’environnement technique lié à Silk Road.

Ces éléments n’ont pas constitué une preuve unique, mais ils ont fait partie d’un faisceau d’indices ayant contribué à relier Ross Ulbricht au pseudonyme Dread Pirate Roberts, administrateur de Silk Road.

Cette affaire illustre parfaitement l’un des principes fondamentaux des enquêtes numériques : une simple erreur humaine peut parfois compromettre des mesures d’anonymisation pourtant sophistiquées.

EncroChat : des millions de messages analysés par les enquêteurs

En 2020, les autorités françaises et néerlandaises, avec l’appui d’Europol et d’Eurojust, ont annoncé le démantèlement d’EncroChat, un réseau de téléphones chiffrés largement utilisé par des groupes criminels.

Selon Europol, l’opération a permis d’intercepter, partager et analyser des millions de messages. Une partie importante de ces messages a même été lue en temps réel par les forces de l’ordre, ce qui a permis de perturber des activités criminelles et d’agir dans des affaires de violences, corruption, tentatives de meurtre ou transports de stupéfiants.

Cet exemple montre qu’un outil présenté comme sécurisé ou chiffré ne protège pas forcément si l’infrastructure elle-même est compromise. Dans ce cas, l’enquête ne repose plus sur les logs VPN, mais sur l’exploitation directe des communications et des informations échangées.

Sky ECC : l’exploitation massive de communications chiffrées

Après EncroChat, les autorités européennes se sont intéressées à Sky ECC, une autre messagerie chiffrée utilisée par des réseaux criminels. En mars 2021, Europol et Eurojust ont annoncé une opération menée avec les autorités belges, françaises et néerlandaises visant à bloquer cette plateforme.

Selon Eurojust, l’enquête a débuté en Belgique après la découverte de téléphones Sky ECC lors de perquisitions. L’application comptait environ 170 000 utilisateurs dans le monde et environ trois millions de messages y étaient échangés chaque jour.

Cet exemple illustre surtout comment l’accès à une plateforme de communication peut fournir aux enquêteurs une source importante d’informations sur les activités et les réseaux criminels.

Le NCMEC : lorsque l’enquête commence par un compte utilisateur

Certaines enquêtes ne débutent même plus avec une adresse IP.

Dans les affaires liées aux contenus pédocriminels, les plateformes peuvent détecter automatiquement certains contenus illicites ou recevoir des signalements. Ces informations sont ensuite transmises au National Center for Missing & Exploited Children (NCMEC), qui centralise les alertes avant de les communiquer aux autorités compétentes.

Dans ce scénario, le point de départ de l’enquête peut être :

• Un compte utilisateur
• Une adresse e-mail
• Un fichier stocké dans le cloud
• Une activité suspecte détectée sur une plateforme

L’adresse IP ou les journaux VPN deviennent alors secondaires par rapport aux informations déjà détenues par le service concerné.

L’affaire Jérôme Barella, révélée en 2026 par Le Monde, illustre cette évolution des enquêtes numériques.

Une simple déconnexion du VPN peut révéler l’adresse IP réelle

Même lorsqu’un utilisateur utilise un VPN, une erreur de configuration peut compromettre son anonymat.

Si le logiciel VPN se déconnecte suite à une panne réseau, un plantage ou une mauvaise configuration, le trafic Internet peut reprendre temporairement via la connexion classique du fournisseur d’accès à Internet.

Sans fonction Kill Switch, l’adresse IP réelle peut alors être exposée.

De nombreux fournisseurs VPN intègrent aujourd’hui cette protection précisément pour éviter ce scénario. Des tests indépendants montrent toutefois que la robustesse du Kill Switch varie selon les logiciels et les situations rencontrées.

Ce que montrent ces affaires

Ces différents exemples mettent en évidence une tendance forte des enquêtes numériques modernes.

Dans les années 2000, l’adresse IP constituait souvent l’élément central permettant d’identifier un internaute.

Aujourd’hui, les investigations reposent davantage sur :

• Les comptes utilisateurs
• Les métadonnées
• Les appareils utilisés
• Les moyens de paiement
• Les informations publiées sur Internet
• Les erreurs humaines

Les VPN et les outils d’anonymisation restent utiles pour protéger sa vie privée et masquer son adresse IP. En revanche, ils ne permettent pas à eux seuls de garantir l’anonymat lorsqu’un utilisateur laisse d’autres traces numériques exploitables.

Cas réels : quand les cybercriminels sont identifiés malgré les VPN et l’anonymisation

Lorsqu’une enquête implique un suspect utilisant un VPN, une idée reçue revient souvent :

Si le VPN ne conserve aucun journal de connexion (no-log), il devient impossible d’identifier l’utilisateur.

En pratique, la situation est plus complexe.

Les journaux VPN peuvent constituer une source d’information utile, mais ils ne représentent qu’un élément parmi de nombreux autres. Dans de nombreuses enquêtes modernes, les autorités parviennent à identifier un suspect sans jamais obtenir d’informations provenant du fournisseur VPN.

Les plateformes disposent souvent de davantage d’informations

Les grandes plateformes Internet enregistrent généralement bien plus d’informations qu’un fournisseur VPN.

Par exemple, un compte Google, Microsoft, Apple, Facebook ou Discord peut être associé à :

• Une adresse e-mail
• Un numéro de téléphone
• Plusieurs appareils
• Un historique de connexions
• Des sauvegardes dans le cloud
• Des moyens de paiement
• Des données de récupération de compte

Même lorsqu’un utilisateur se connecte derrière un VPN, ces informations restent généralement visibles pour la plateforme.

Pour les enquêteurs, il est parfois plus simple d’obtenir des informations auprès d’un service en ligne que de chercher à remonter jusqu’à l’utilisateur via l’infrastructure VPN.

Les signalements peuvent provenir directement des plateformes

Dans certains domaines, notamment la lutte contre les contenus pédocriminels, les plateformes jouent un rôle central.

Lorsqu’un contenu illicite est détecté :

• Une plateforme identifie l’activité suspecte
• Un signalement est généré
• Les informations disponibles sont transmises aux autorités compétentes ou à des organismes spécialisés
• Une enquête est ouverte

Dans ce scénario, l’enquête peut démarrer à partir du compte utilisateur lui-même plutôt qu’à partir d’une adresse IP.

L’utilisation d’un VPN ne fait alors pas disparaître les informations déjà associées au compte concerné.

Les métadonnées permettent souvent d’établir des recoupements

Même lorsqu’un VPN masque l’adresse IP réelle, de nombreuses autres informations techniques restent disponibles :

• Horaires de connexion
• Appareils utilisés
• Navigateurs
• Numéros de téléphone
• Adresses e-mail
• Moyens de paiement
• Comptes associés

Ces éléments permettent parfois d’établir des liens entre plusieurs activités ou plusieurs comptes.

Les enquêteurs cherchent alors à reconstituer un ensemble cohérent plutôt qu’à s’appuyer sur une seule preuve technique.

Les erreurs humaines rendent parfois les logs VPN inutiles

Comme nous l’avons vu précédemment, les erreurs humaines restent l’une des principales causes d’identification.

Par exemple :

• Utilisation du même pseudonyme sur plusieurs sites
• Réutilisation d’une adresse e-mail
• Paiement avec une carte bancaire personnelle
• Publication d’informations personnelles sur les réseaux sociaux
• Connexion accidentelle sans VPN

Dans ce type de situation, les enquêteurs peuvent identifier une personne sans jamais avoir besoin d’obtenir des journaux de connexion VPN.

Tous les VPN ne conservent pas les mêmes informations

Le terme « no-log » est souvent utilisé dans les campagnes marketing, mais il ne signifie pas forcément la même chose selon les fournisseurs.

Les politiques de conservation varient fortement selon les fournisseurs et les juridictions dans lesquelles ils opèrent.

Certains services conservent :

• Des informations de facturation
• Les dates de création du compte
• Les adresses e-mail associées
• Certaines données techniques temporaires

D’autres affirment ne conserver aucun élément permettant de relier une activité à un utilisateur précis.

La quantité d’informations disponible varie donc fortement d’un fournisseur à l’autre.

Une enquête moderne repose sur l’accumulation d’indices

Contrairement à ce que montrent souvent les films ou les séries, l’identification d’un cybercriminel ne repose généralement pas sur une preuve unique.

Les enquêteurs combinent souvent :

• Les adresses IP disponibles
• Les comptes utilisateurs
• Les métadonnées
• Les moyens de paiement
• Les appareils utilisés
• Les informations publiées en ligne
• Les déclarations des personnes concernées

Chaque élément pris isolément peut sembler insuffisant. Ensemble, ils permettent souvent de reconstituer l’identité d’une personne ou le déroulement d’une activité en ligne.

Conclusion

Contrairement à une idée reçue, l’identification d’une personne sur Internet ne repose plus uniquement sur son adresse IP. Les comptes en ligne, les métadonnées, les appareils utilisés et les erreurs humaines jouent aujourd’hui un rôle central dans les enquêtes numériques. Les VPN et Tor restent utiles pour protéger sa vie privée, mais ils ne garantissent pas l’anonymat absolu lorsqu’ils sont utilisés aux côtés de services en ligne qui collectent de nombreuses informations sur leurs utilisateurs.

L’article VPN, Tor et anonymat en ligne : comment les enquêteurs retrouvent les cybercriminels est apparu en premier sur malekal.com.