Crimenetwork démantelé, encore : la marketplace germanophone tombe deux fois en 18 mois

L’histoire se répète, à dix-sept mois d’intervalle. Le 8 mai 2026 ^[1], le Bundeskriminalamt (BKA) ^[2] et la Generalstaatsanwaltschaft Frankfurt am Main - ZIT ^[3] ont annoncé la fermeture de la version relancée de Crimenetwork ^[4], marketplace germanophone du dark web. L’administrateur présumé, un Allemand de 35 ans ^[5], a été interpellé à son domicile de Majorque par une unité spéciale de la Policía Nacional ^[6], sur la base d’un mandat d’arrêt européen.

LES ENJEUX

Coopération transfrontalière opérationnelle

Le démantèlement a mobilisé BKA, ZIT, Policía Nacional, autorités moldaves et Eurojust. L'arrestation à Majorque sur mandat européen démontre une mécanique judiciaire qui fonctionne.

Marque plus forte que l'infrastructure

Quinze jours d'interruption ont suffi pour relancer Crimenetwork sous le même nom. La marque, capital de confiance accumulé depuis 2012, agrège réputation, escrow et référencement dark web: elle survit aux saisies d'infrastructure.

Faiblesse des actifs saisis face au chiffre d'affaires

194 000 € confisqués pour 3,6 millions d'euros de revenus estimés, soit 5,4 %. Monero et segmentation précoce des wallets expliquent l'écart avec les 10 M€ saisis sur la v1.

Cadre légal allemand mobilisé

Le suspect est poursuivi sous l'article 127 du code pénal allemand (exploitation de plateforme criminelle) et les sections 29a et 30a de la loi sur les stupéfiants. Le précédent administrateur a écopé de 7 ans et 10 mois.

L'IA, accélérateur de la menace globale

Hausse de 97 % des prompts risqués en 2025, outils comme DarkGPT, SpamGPT et EvilAI commercialisés sur les forums. La reconnaissance des cibles et le phishing gagnent en vitesse et en crédibilité.

Pour le dire simplement: la première version de la plateforme avait été saisie en décembre 2024 ^[7]. Quelques jours plus tard ^[8], une nouvelle infrastructure technique réapparaissait sous le même nom ^[9], administrée par un nouvel opérateur ^[10]. Dix-sept mois plus tard, elle revendiquait plus de 22 000 utilisateurs ^[11] et plus de 100 vendeurs ^[12], pour un chiffre d’affaires estimé à 3,6 millions d’euros ^[13].

Une marketplace née en 2012, devenue pilier de l’underground germanophone

Crimenetwork facilitait depuis 2012 ^[14] la vente de drogues, de documents falsifiés, d’outils de piratage et de données volées ^[14]. Avant son premier démantèlement, la plateforme comptait plus de 100 000 utilisateurs enregistrés ^[15]. Les enquêteurs estiment qu’entre 2018 et 2024, plus de 100 millions de dollars en cryptomonnaies y ont transité ^[16]. Les transactions s’effectuaient en Bitcoin, Litecoin et Monero ^[17], cette dernière étant particulièrement prisée pour son anonymat renforcé ^[18].

La police espagnole a perquisitionné le domicile majorquin du suspect en début de semaine ^[19]. Deux mandats d’arrêt européens le visaient: l’un pour fraude commerciale organisée, l’autre pour exploitation d’une plateforme criminelle au sens de l’article 127 du code pénal allemand ^[20], assorti d’infractions liées au trafic de stupéfiants en quantité importante au titre des sections 29a et 30a de la loi sur les stupéfiants ^[21]. Les enquêteurs ont saisi environ 194 000 euros d’actifs présumés criminels ^[22] et obtenu les registres complets des utilisateurs et l’historique des transactions ^[23].

Le précédent: 7 ans et 10 mois pour l’administrateur originel

En mars 2026 ^[24], le Landgericht Gießen ^[25] avait condamné l’administrateur de la version précédente à sept ans et dix mois de prison ^[26], avec confiscation de plus de dix millions d’euros de produits criminels ^[27]. « Im März 2026 ist der mutmaßliche Betreiber der Vorgängerversion von ‚Crimenetwork’ [.] zu einer Freiheitsstrafe von sieben Jahren und zehn Monaten verurteilt worden », a déclaré Dr. Benjamin Krause, Leitender Oberstaatsanwalt et porte-parole de la ZIT ^[28]. Le jugement n’est pas définitif et reste susceptible d’appel.

« Die Neuauflage von Crimenetwork ist gescheitert », a commenté Carsten Meywirth, Direktor beim Bundeskriminalamt et chef de la division Cybercrime ^[29]. « Cybercrime lohnt sich nicht. » ^[30]

Pourquoi 194 000 € sur 3,6 millions ne suffit pas à dissuader

L’écart entre les deux saisies est instructif. Pour Crimenetwork v1, le Landgericht Gießen a ordonné la confiscation de plus de dix millions d’euros de produits criminels ^[27]. Pour Crimenetwork v2, le BKA ne revendique que 194 000 euros ^[22], soit 5,4 % d’un chiffre d’affaires estimé à 3,6 millions d’euros ^[31]. Deux explications structurelles convergent. D’abord, Monero ^[18], plébiscitée pour son anonymat renforcé, complique considérablement la traçabilité par rapport au Bitcoin que les enquêteurs peuvent suivre via les analystes spécialisés. Ensuite, l’écart de durée d’activité joue: la version originelle a accumulé des avoirs depuis 2012, ce qui a multiplié les occasions pour les enquêteurs de cartographier des flux et des wallets. La v2 n’a vécu que dix-sept mois, et son administrateur, instruit par la chute de son prédécesseur, a vraisemblablement segmenté ses dépôts plus tôt.

Concrètement, l’opérateur conserve un montant largement supérieur à celui saisi. À ce taux, le risque pénal - sept à huit ans de prison - peut paraître élevé, mais le ratio économique reste favorable pour qui sait diviser et anonymiser sa trésorerie. C’est la limite mathématique de la dissuasion par confiscation lorsqu’elle s’applique à des actifs en cryptomonnaies fongibles et offshore.

La marque survit à l’infrastructure: la valeur de réseau du dark web

L’autre singularité de cette affaire tient à la rapidité de la résurrection. Le BKA a souligné que le suspect « aurait construit et administré une infrastructure technique entièrement nouvelle quelques jours seulement après la saisie de la version précédente, en lui donnant le même nom » ^[9]. Quelques jours d’interruption opérationnelle ont suffi pour relancer la machine ^[8]. La marque Crimenetwork, accumulée depuis 2012 ^[14], comptait davantage que l’infrastructure.

Ce phénomène n’est pas inédit. On se souvient d’AlphaBay, démantelé par le FBI et Europol en 2017, qui a vu son co-administrateur présumé relancer le marché en 2021 sous le même nom. D’autres marketplaces fermées dans le sillage d’AlphaBay ont absorbé une partie des utilisateurs orphelins avant d’être à leur tour saisies, selon plusieurs sources. La marque, dans l’underground, fonctionne comme un capital de confiance: elle agrège des signaux de réputation, un référencement sur les forums du dark web, et un système d’escrow connu des habitués. Reconstituer 22 000 utilisateurs en dix-sept mois ^[11], soit environ un cinquième de la base originelle ^[15], et réinstaller une centaine de vendeurs actifs ^[32] dans le même laps de temps suppose qu’aucune partie de cette infrastructure sociale n’a eu besoin d’être réinventée.

« Cybercrime lohnt sich nicht »: la dissuasion face aux chiffres

La contradiction est frontale. D’un côté, le discours officiel du BKA: « la cybercriminalité ne paie pas » ^[30], avec un précédent à 7 ans et 10 mois de prison ^[26] et plus de dix millions d’euros confisqués ^[27]. De l’autre, les métriques de reconstitution: quelques jours pour relancer une marketplace ^[8], dix-sept mois pour reconstituer un cinquième de la base utilisateurs, 3,6 millions d’euros de chiffre d’affaires généré dans l’intervalle ^[13], et seulement 5,4 % de ce montant récupéré in fine ^[31].

Posée crûment, la question est la suivante: la dissuasion fonctionne-t-elle quand le retour sur investissement criminel reste positif même après saisie? Pour le BKA, l’effet symbolique compte autant que l’effet financier: chaque administrateur arrêté est un signal envoyé aux suivants. Pour l’écosystème, le signal observé est inverse: la marque survit, la demande persiste, et le successeur prend dix-sept mois avant de tomber. Le calcul rationnel d’un candidat administrateur intègre désormais cette fenêtre.

Qui a commandité le reboot? Trois hypothèses, un scénario probable

Le BKA ne précise pas si le suspect de 35 ans a agi seul, a racheté la marque à un tiers, ou s’il s’agissait d’une cellule dormante préparée avant le démantèlement de décembre 2024. Trois scénarios méritent d’être pesés.

Scénario 1 - l’opérateur isolé. Un cybercriminel opportuniste relance la marque dans le sillage de la saisie. Cette hypothèse cadre avec le profil d’un homme seul résidant à Majorque, mais s’accommode mal du délai: reconstituer en quelques jours une infrastructure technique « entièrement nouvelle » ^[9] suppose un travail préparatoire antérieur à la saisie de v1.

Scénario 2 - la cellule dormante. Le successeur appartenait à l’équipe élargie de la v1 et avait préparé l’infrastructure de relance avant l’arrestation de décembre 2024. Cette hypothèse explique mieux la rapidité de la résurrection et la continuité de l’offre - mêmes catégories de produits ^[33], mêmes cryptomonnaies ^[34], même promesse d’anonymat. Le BKA ne la confirme pas, mais ne la réfute pas non plus.

Scénario 3 - le rachat de marque. Un tiers aurait acquis le nom et les codes graphiques auprès d’un membre de l’équipe originelle. Hypothèse cohérente avec l’économie des marketplaces, mais qui ne dispose d’aucun élément public de soutien dans le dossier actuel.

L’arbitrage entre ces scénarios reste suspendu aux investigations en cours. La rapidité documentée du redémarrage et la continuité fonctionnelle de l’offre rendent toutefois le scénario 2 le plus compatible avec les éléments publiés à ce stade. Aucune des sources consultées ne précise si les autorités allemandes envisagent des poursuites individuelles contre les 22 000 utilisateurs dont les données ont été saisies ^[23] - un angle pourtant central dans des affaires comparables, où plusieurs vagues d’interpellations d’acheteurs ont suivi le démantèlement de l’infrastructure.

Le contexte ransomware: le démantèlement vu de loin

Entre la saisie de décembre 2024 et celle de mai 2026, l’écosystème cybercriminel a continué de croître. Selon le rapport annuel 2026 du COMCYBER-MI ^[35], les revendications de cyberattaques visant la France sont passées de 1 062 en 2024 ^[36] à 1 347 en 2025 ^[37], soit une hausse de 27 % ^[38]. Sur le périmètre rançongiciel, le COMCYBER-MI fait état d’une progression de 36 % des revendications ciblant la France ^[39], avec 177 revendications recensées ^[40]. Le rapport Check Point publie de son côté des indicateurs différents - la part du rançongiciel dans les incidents en France ressort à 16 % en 2025 ^[41], et la France représenterait 13 % des attaques recensées ^[42] - , traduisant des périmètres méthodologiques distincts (revendications publiées vs incidents observés par un éditeur de cybersécurité).

Selon Le MagIT, 2 085 tentatives de cyberextorsion ont été comptabilisées dans le monde au premier trimestre 2026 ^[43]. L’Allemagne reste le pays européen le plus touché ^[44], devant le Royaume-Uni, l’Italie et la France ^[45]. Le groupe Qilin, dominant le paysage ^[46], a mené 51 attaques recensées en France ^[47].

Le Google Threat Intelligence Group ^[48] a observé en 2025 une hausse d’environ 50 % du nombre de publications sur les sites de revendications ^[49] par rapport à 2024 - là où d’autres baromètres, comme celui de FortiGuard Labs cité par lebigdata.fr, évoquent une hausse spectaculaire de 389 % des attaques par rançongiciel sur le même périmètre ^[50], les écarts s’expliquant par la différence entre publications sur DLS et incidents recensés via télémétrie. Le vol de données est devenu, selon le GTIG, la composante centrale de 77 % des incidents analysés ^[51], contre 57 % en 2024 ^[52]. Le COMCYBER-MI, sur le périmètre France, mesure une concentration différente: 55,6 % des revendications rançongiciel sont attribuées aux deux groupes Qilin et Brain Cypher ^[53], ce qui ne décrit pas la même métrique mais éclaire la même tendance à la spécialisation. Traduit en langage courant: les attaquants chiffrent moins, exfiltrent plus, et publient les données quand la victime refuse de payer ^[54].

L’angle mort: l’IA, accélérateur silencieux

Le rapport 2026 de Check Point ^[55] indique que les prompts jugés risqués ont progressé de 97 % en 2025 ^[56], et que 40 % des Model Context Protocols analysés présentaient des vulnérabilités ^[57]. Des outils comme DarkGPT ^[58], SpamGPT ^[59], Nytheon AI ^[60] et EvilAI ^[61] sont désormais commercialisés sur les espaces cybercriminels. Selon Check Point, « l’IA agit comme un multiplicateur de force, permettant d’automatiser des techniques déjà connues et de les déployer à grande échelle » ^[62]. Les phases de reconnaissance des cyberattaques deviennent plus rapides ^[63] et les campagnes de phishing gagnent en crédibilité ^[64].

Coopération internationale: ce qui a fonctionné

L’opération a mobilisé le BKA, la ZIT de Francfort, la Generalstaatsanwaltschaft Karlsruhe - Cybercrime-Zentrum Baden-Württemberg ^[65], les Polizeipräsidien d’Offenburg ^[66] et de Reutlingen ^[67], la Policía Nacional espagnole ^[68], l’Inspectoratul Național de Investigații Centrul pentru Combaterea Crimelor Cibernetice moldave ^[69], avec le soutien d’Eurojust ^[70]. Les utilisateurs ont été redirigés vers une page d’information à l’adresse www.bustedagaincrime.network ^[71].

Notre lecture: la coopération transfrontalière fonctionne pour saisir une infrastructure et arrêter un opérateur. Elle ne traite ni la demande, ni le capital de marque. Tant que des dizaines de milliers d’acheteurs cherchent des données volées, des stupéfiants ou des documents falsifiés, un nouvel administrateur émergera. C’est mesurable: entre les deux Crimenetwork, il s’est écoulé quelques jours d’interruption opérationnelle ^[8]. En face, sept ans et dix mois de prison pour le premier opérateur ^[26], et bientôt une nouvelle procédure pour le second.