Le marché parallèle en Russie a changé de priorités : au lieu de vendre des bases de données massives volées à des entreprises, les criminels échangent désormais un accès actif et à court terme aux comptes d'utilisateurs. La valeur des informations interceptées par des logiciels malveillants directement sur des ordinateurs et téléphones infectés a augmenté de près de 13% au cours de la dernière année. C'est ce qu'ont rapporté les experts de BI.ZONE à la mi-août 2026. La part des utilisateurs russes dans ce segment atteint 14 à 18%.
Contrairement aux archives obsolètes, les nouveaux ensembles contiennent des outils permettant de pénétrer instantanément dans l'environnement numérique d'une personne. De tels paquets révèlent :
- des jetons de sessions actives permettant de se connecter sans saisir de mot de passe ;
- des mots de passe actifs et des accès directs aux courriels ;
- des identifiants de services VPN et de stockage en cloud ;
- des accès administratifs aux réseaux d'entreprise.
Une archive publique contenant des informations obsolètes ne vaut que 10 à 15 dollars. Cependant, un abonnement à un canal privé proposant des données fraîches téléchargées quotidiennement coûte entre 250 et 300 dollars par mois aux malfaiteurs. Le marché est prêt à payer pour l'actualité, et non pour le volume.
Les statistiques officielles créent l'illusion d'un contrôle total de la situation. En 2024, Roskomnadzor a enregistré 135 cas de diffusion de bases contenant plus de 710 millions d'enregistrements concernant des Russes. Après l'introduction de sanctions sévères, le nombre de nouveaux ensembles massifs a effectivement diminué. Selon les données des chercheurs de Smart Business Alert, publiées par Kommersant le 13 juillet 2026, seules 54 bases à jour, contenant environ 24,3 millions de lignes, ont été découvertes au premier semestre 2026.
L'État punit efficacement les entreprises pour les fuites provenant de stockages centralisés. Depuis mai 2025, une récidive est passible d'une amende au chiffre d'affaires. Sur un an et demi, à compter du 1er janvier 2025, l'autorité a mené 52 enquêtes administratives et infligé des amendes pour un montant de 2,6 millions de roubles, sans toutefois identifier de récidives. C'est ce qu'a déclaré le chef adjoint de Roskomnadzor, Milosh Wagner, le 14 août 2026. Cependant, cette mesure est impuissante face au nouveau modèle de menace. Les logiciels malveillants volent les informations après qu'elles ont quitté le périmètre sécurisé de l'entreprise et se sont retrouvées sur l'appareil personnel de l'individu. Formellement, la base de données de l'organisation n'est pas compromise, et le mécanisme réglementaire ne se déclenche tout simplement pas.
Vulnérabilité des infrastructures d'entreprise
L'interception des données sur l'appareil final permet de contourner les protections multi-niveaux. Un jeton de session active volé donne souvent la possibilité de se connecter sans ré-authentification et d'ignorer la vérification à deux facteurs. Au premier semestre 2026, 6 attaques web sur 10, étudiées par les experts, visaient précisément à obtenir des clés pour pénétrer dans l'infrastructure interne des entreprises. Un seul ordinateur d'employé infecté peut transformer un réseau sécurisé en une ressource ouverte, ce qui explique la forte demande de données fraîches.
Un écart similaire entre les intentions du régulateur et la réalité est observé dans le domaine des communications téléphoniques. Depuis le 1er septembre 2025, les appels d'organisations doivent être accompagnés du nom de l'expéditeur et d'une catégorie. Cependant, dès le 27 janvier 2026, les opérateurs du « Big Four » ont cessé d'afficher la mention « banque » pour les appels de Sberbank, VTB et Alfa-Bank en raison de l'absence de contrats pour le service d'étiquetage. C'est ce qu'a rapporté RBC. Plus tard, ces établissements de crédit, avec Sovcombank, ont proposé de modifier les règles des appels de masse, estimant une partie des exigences trop complexe à mettre en œuvre.
Cette situation n'indique pas de lien entre le marketing légal et la cybercriminalité. Elle démontre que même les plus grands acteurs du marché, soucieux de la confiance des clients, sont confrontés à l'inconfort des nouvelles règles infrastructurelles. L'utilisateur est contraint de trier lui-même le flux de propositions commerciales, d'alertes et de tentatives frauduleuses, arrivant par les mêmes canaux.
Les régulateurs russes ont rendu la diffusion massive de bases de données économiquement peu rentable pour les entreprises. Les groupes criminels se sont adaptés, se tournant vers l'extraction ciblée de clés d'accès actives. Une telle attaque existe dans l'espace intermédiaire entre le périmètre de l'entreprise et l'appareil personnel, où les mécanismes de responsabilité administrative ne s'appliquent pas. À mesure que les opérations deviennent distancielles, la valeur du jeton à courte durée de vie, donnant accès à plusieurs services simultanément, ne fera que croître, laissant cette zone de vulnérabilité hors de portée des normes de protection existantes.
L'avis de l'IA
Du point de vue de l'analyse des données par machine, le récent virage du marché parallèle en Russie répète un scénario déjà traversé par la cybercriminalité mondiale il y a plusieurs années. Un modèle similaire était proposé par la place de marché du darknet Genesis Market : jetons de session, « empreintes » de navigateur et contournement de la vérification à deux facteurs — cette plateforme a été démantelée en avril 2023 par Europol et les forces de l'ordre de 17 pays, arrêtant plus d'une centaine d'acheteurs. L'expérience internationale montre : ce type d'opérations déplace le point de vente, mais n'élimine pas la source — l'infection des appareils par des logiciels espions se poursuit indépendamment du sort d'une plateforme spécifique, et de nouveaux canaux remplacent rapidement ceux qui ferment.
La situation met également en lumière un risque structurel, resté hors cadre de l'article : la demande de données « fraîches » incite les opérateurs de botnets à maintenir une machine infectée en fonctionnement le plus longtemps possible, la transformant en source de revenus constants plutôt qu'en un actif ponctuel à vendre. Les régulateurs parviendront-ils à développer un outil d'action sur cette couche intermédiaire entre l'appareil personnel et le périmètre de l'entreprise, ou restera-t-elle hors de tout contrôle ?
end-content
