17 millions d’appareils compromis
le botnet démantelé aux Pays-Bas n’a pas tout à fait disparu.
L’opération néerlandaise reste l’un des démantèlements de botnet les plus importants annoncés en 2026. Elle a mis hors ligne une infrastructure pilotant des millions de PC, routeurs, tablettes, smartphones et objets connectés. Depuis, les recherches de Lumen ont toutefois apporté une nuance essentielle : l’écosystème de proxies résidentiels associé à ASOCKS a conservé des relais commerciaux et a pu reprendre une partie de son activité.
Ce que les autorités néerlandaises ont réellement démantelé
Le point de départ est officiel. Le 28 mai 2026, la police néerlandaise a annoncé avec le National Cyber Security Centre des Pays-Bas la mise hors ligne d’un vaste botnet. L’enquête faisait suite au signalement d’un chercheur en sécurité auprès du NCSC, qui a transmis le dossier à la police.
Les enquêteurs ont identifié 200 serveurs utilisés pour héberger l’infrastructure de contrôle. Tous se trouvaient aux Pays-Bas. L’équipe cybercrime de l’unité de La Haye a saisi plusieurs de ces serveurs auprès d’un hébergeur afin de les analyser. Le fournisseur a ensuite coupé l’infrastructure après avoir constaté qu’elle était utilisée à des fins criminelles.
Les autorités ont indiqué que le réseau comprenait au moins 17 millions d’appareils infectés à travers le monde. Leur communiqué cite notamment les ordinateurs, tablettes et smartphones ; d’autres sources néerlandaises mentionnent également des routeurs, caméras connectées et différents équipements IoT. Ces appareils étaient exploités pour faire transiter du trafic et servir d’infrastructure à des cyberattaques.
Une nuance de vocabulaire mérite d’être respectée, car elle circule souvent déformée : la police n’a pas annoncé la « saisie de plus de 200 serveurs ». Elle a identifié 200 serveurs et pris des mesures contre cette infrastructure, tandis que plusieurs serveurs ont été physiquement saisis pour expertise. C’est la formulation exacte du communiqué officiel.
L’opération s’inscrit dans une séquence dense. Huit jours plus tôt, le 22 mai 2026, les autorités néerlandaises avaient interpellé deux personnes et saisi des serveurs liés à un service d’hébergement dit pare-balles, utilisé pour échapper aux sanctions réseau. Deux actions majeures contre des infrastructures criminelles en une semaine et demie, dans un pays qui concentre une part importante de l’hébergement européen.
L’ampleur rappelle d’autres infrastructures malveillantes suivies ces derniers mois, notamment KimWolf et ses millions d’appareils compromis. Les mécanismes ne sont pas nécessairement identiques, mais le principe reste le même : transformer des appareils appartenant à des tiers en ressources contrôlables à distance.
Le lien avec ASOCKS : confirmé ou seulement rapporté ?
Beaucoup de reprises ont présenté ASOCKS comme le service directement démantelé. Cette formulation mérite d’être nuancée. Le communiqué de la police néerlandaise ne nommait pas publiquement l’opérateur. En revanche, le média NL Times a relié l’opération à ASOCKS, un service de proxies résidentiels présenté comme basé en Russie. Ars Technica a repris cette attribution tout en précisant ne pas avoir pu la confirmer indépendamment.
Cette attribution n’est cependant pas sortie de nulle part. Dès 2024, HUMAN Security avait établi des liens techniques entre ASOCKS et PROXYLIB, une opération utilisant des applications Android pour transformer discrètement les appareils en nœuds de proxy résidentiel. Les chercheurs avaient identifié 28 applications distribuées via Google Play et d’autres canaux, totalisant environ trois millions de téléchargements.
HUMAN expliquait avoir observé les appareils infectés communiquer avec l’infrastructure d’ASOCKS et concluait que l’accès à ces nœuds était probablement monétisé via ce service. Les 28 applications identifiées ont ensuite été retirées du Play Store et Google Play Protect a été mis à jour pour détecter les bibliothèques concernées.
La bonne formulation en septembre 2026 est donc la suivante : le botnet neutralisé par les autorités néerlandaises est largement attribué à l’écosystème ASOCKS par plusieurs sources spécialisées, mais le communiqué policier d’origine ne nommait pas explicitement ASOCKS. Cette nuance évite de transformer une attribution très probable en déclaration officielle.
Un service de proxy résidentiel n’est pas illégal par nature. Le problème apparaît lorsque les adresses IP proposées proviennent d’appareils enrôlés à l’insu de leurs propriétaires ou lorsqu’elles sont exploitées pour faciliter des activités criminelles.
Ces infrastructures peuvent aussi servir à dissimuler d’autres formes d’abus informatiques. WY-Créations a notamment consacré un dossier au cryptojacking et au détournement de ressources informatiques.
17 millions d’appareils, 7 millions d’IP et 100 000 clients : des chiffres à ne pas confondre
Le chiffre des 17 millions provient des autorités néerlandaises. Il correspond à la taille du botnet telle qu’elle a été établie lors de l’enquête. Mais les données publiées ensuite montrent qu’il ne faut pas nécessairement l’interpréter comme 17 millions de machines actives au même instant.
Lumen Black Lotus Labs, qui suivait l’écosystème ASOCKS depuis un certain temps, explique avoir observé en moyenne 100 000 à 200 000 victimes actives. Cette mesure n’annule pas le chiffre officiel : les deux peuvent décrire des réalités différentes, par exemple un volume cumulé d’appareils enrôlés contre un nombre de nœuds simultanément actifs ou visibles depuis un point d’observation donné.
Les 7 millions d’adresses IP dans environ 150 pays et les 100 000 clients provenaient pour leur part des éléments commerciaux associés à ASOCKS et repris par plusieurs médias. Ils doivent donc être présentés comme des chiffres revendiqués par le service, pas comme des mesures vérifiées par la police néerlandaise.
Même prudence concernant les tarifs de cinq à quinze dollars : des offres commerciales de proxies pouvaient commencer à quelques dollars, mais les modalités dépendaient du volume, de la localisation et du type de proxy. Réduire l’ensemble du service à « 5 à 15 dollars par mois » donne une image trop simplifiée de son modèle économique.
Cette nécessité de distinguer un chiffre officiel, une mesure technique et une revendication commerciale vaut pour l’ensemble de la cybersécurité. Elle s’applique aussi lorsqu’on analyse une faille critique de Windows 11, où capacité théorique, exploitation réelle et nombre de victimes sont trois informations différentes.
Pourquoi les proxies résidentiels sont si utiles aux cybercriminels
Un proxy résidentiel fait transiter la connexion d’un utilisateur par une adresse IP attribuée à un foyer ou à un appareil grand public. Pour le site destinataire, la requête ressemble alors davantage à celle d’un internaute ordinaire qu’à du trafic provenant d’un centre de données, d’un VPN ou d’un serveur connu.
Le NCSC néerlandais considère cette évolution comme une menace croissante. De nombreux systèmes antifraude accordent davantage de confiance aux adresses IP résidentielles. Les attaquants peuvent ainsi contourner certains filtres géographiques, effectuer des tentatives de connexion depuis le pays de la victime ou répartir automatiquement leurs requêtes sur des milliers d’adresses différentes.
Les usages possibles comprennent le credential stuffing, le brute force, certaines fraudes publicitaires, le scraping, l’envoi de spam, le phishing ou la dissimulation d’infrastructures malveillantes. Un proxy ne réalise pas à lui seul l’attaque : il sert surtout à masquer son origine et à rendre le trafic plus difficile à distinguer d’une activité légitime.
Cette particularité explique aussi le risque pour le propriétaire de l’appareil compromis. Son adresse IP peut apparaître comme l’origine d’un trafic qu’il n’a jamais généré volontairement. Il peut subir une consommation supplémentaire de bande passante, une dégradation des performances ou le blocage de son adresse par certains services.
Les routeurs, box, téléviseurs Android, caméras IP et autres objets connectés sont particulièrement intéressants pour ces réseaux : ils restent souvent allumés en permanence et certains continuent d’être utilisés longtemps après la fin de leurs mises à jour.
Le sujet rejoint plus largement la protection de la vie privée et des communications. Notre sélection sur les messageries européennes sécurisées rappelle qu’une application chiffrée ne protège pas à elle seule un appareil compromis au niveau du système ou du réseau.
Ce qui s’est passé après le démantèlement : victoire technique, mais pas disparition définitive
En juin, la conclusion la plus naturelle était de considérer le botnet comme neutralisé. L’infrastructure identifiée aux Pays-Bas avait effectivement été coupée. Les recherches publiées depuis apportent toutefois une vision plus complète de ce type d’écosystème.
Lumen Black Lotus Labs indique qu’après l’intervention néerlandaise, le botnet directement suivi est bien tombé et n’avait pas été reconstruit sous la même forme. Mais les relations de revente et d’approvisionnement en proxies n’avaient pas toutes été interrompues. Les chercheurs ont observé des connexions entre l’infrastructure backend d’ASOCKS et d’autres fournisseurs de proxies, permettant au service de se réapprovisionner.
Selon Lumen, ASOCKS a ainsi pu maintenir ou retrouver rapidement une activité commerciale en s’appuyant sur des nœuds fournis par des partenaires. C’est une différence importante : démanteler un botnet n’équivaut pas toujours à démanteler toute la chaîne économique qui le monétise.
Les infrastructures cybercriminelles modernes fonctionnent souvent comme des marchés. Un opérateur peut acheter des nœuds à plusieurs fournisseurs, les agréger, les revendre à des clients puis changer d’infrastructure après une intervention policière. Les autorités peuvent donc obtenir un succès réel sans supprimer durablement la demande ni toutes les sources d’approvisionnement.
Deux éléments confirment cette lecture. Aucune arrestation n’a été annoncée à ce jour, et aucun suspect n’a été nommé : les personnes derrière l’infrastructure n’ont pas été inquiétées. Plusieurs observateurs ont par ailleurs constaté que le site commercial du service restait accessible après l’intervention. Saisir des serveurs et interpeller ceux qui les exploitent sont deux opérations distinctes, et seule la première a eu lieu.
La raison pour laquelle ce marché se reconstitue tient d’ailleurs moins à la criminalité qu’à une demande parfaitement légale. Les sociétés de vérification publicitaire, les outils de veille tarifaire et les entreprises qui collectent massivement des pages web pour entraîner leurs modèles ont toutes besoin d’adresses résidentielles authentiques. Cette demande solvable maintient le modèle rentable, et une offre coupée voit sa clientèle migrer vers la suivante en quelques jours.
Il serait également imprudent d’affirmer que les 17 millions d’appareils ont été « nettoyés ». Couper les serveurs de commande ne désinstalle pas automatiquement le composant malveillant présent sur chaque appareil. Un équipement peut rester vulnérable ou conserver un logiciel indésirable jusqu’à sa mise à jour, sa réinitialisation ou la suppression de l’application concernée.
Cette résilience des infrastructures criminelles explique pourquoi la coopération internationale reste centrale. Le sujet fait écho aux opérations contre d’autres réseaux et aux enjeux de surveillance traités dans notre article sur les logiciels espions et les interceptions en Italie.
Comment réduire le risque qu’un appareil devienne un nœud de botnet
Les recommandations du NCSC sont classiques, mais elles prennent un sens particulier face aux réseaux de proxies résidentiels. La première consiste à maintenir les appareils à jour. Un routeur, une caméra ou une box qui ne reçoit plus de correctifs peut rester exposé pendant des années à une vulnérabilité connue.
Les mots de passe par défaut doivent être remplacés dès l’installation. Le Wi-Fi doit utiliser WPA2 ou WPA3 avec une clé robuste. Les accès d’administration depuis Internet doivent être désactivés lorsqu’ils ne sont pas nécessaires. Pour les appareils très anciens qui ne reçoivent plus de mise à jour, le remplacement devient souvent plus sûr qu’une utilisation indéfinie.
Sur Android, la prudence doit aussi porter sur les applications. HUMAN a montré qu’un logiciel apparemment banal, notamment un VPN, pouvait intégrer une bibliothèque transformant le téléphone en proxy. Installer les applications depuis une boutique officielle, vérifier leur éditeur, limiter leur nombre et supprimer celles qui ne servent plus réduit l’exposition.
Une consommation anormale de données, une chauffe inexpliquée ou une baisse de performances peuvent justifier une vérification, mais aucun de ces signes ne prouve à lui seul l’appartenance à un botnet. Sur un PC ou un smartphone, une analyse avec les outils de sécurité intégrés et à jour constitue une première étape. Sur un routeur ou un objet connecté, une réinitialisation d’usine suivie d’une mise à jour du firmware peut être nécessaire lorsque l’infection est plausible.
Enfin, changer tous ses mots de passe n’est pas automatiquement la première réponse à un proxy botnet. Si l’appareil n’a servi qu’à relayer du trafic, les identifiants ne sont pas nécessairement compromis. En revanche, si un malware capable de voler des données est détecté, il faut changer les mots de passe depuis un appareil sain et activer l’authentification multifacteur.
La protection efficace consiste surtout à réduire la surface d’attaque : moins d’appareils obsolètes, moins d’applications inutiles, des mises à jour régulières et des accès distants fermés lorsqu’ils ne servent pas.
Pour limiter la dépendance à des services centralisés et mieux comprendre les alternatives numériques européennes, voir également notre dossier sur les moteurs de recherche européens ainsi que notre analyse de Shift et des enjeux RGPD liés aux données collectées dans les logements.
Ce qu’il faut retenir sur le botnet de 17 millions d’appareils.
Les autorités ont-elles vraiment identifié 17 millions d’appareils infectés ?
Oui. La police néerlandaise et le NCSC parlent d’au moins 17 millions d’appareils dans le botnet. Lumen, qui observait le réseau depuis l’extérieur, mesurait plutôt 100 000 à 200 000 victimes actives en moyenne. Les deux chiffres ne mesurent pas nécessairement la même chose.
La police a-t-elle saisi 200 serveurs ?
Les autorités ont identifié 200 serveurs situés aux Pays-Bas et pris des mesures contre cette infrastructure. Le communiqué précise que plusieurs serveurs ont été saisis pour analyse ; l’hébergeur a ensuite mis l’ensemble du botnet hors ligne.
Le botnet appartenait-il officiellement à ASOCKS ?
Le communiqué policier initial ne nommait pas ASOCKS. Plusieurs médias et chercheurs ont toutefois relié l’opération à ce service, et HUMAN Security avait déjà documenté des liens techniques entre ASOCKS et le réseau PROXYLIB.
ASOCKS a-t-il disparu après le 28 mai 2026 ?
Non. L’infrastructure néerlandaise ciblée a bien été neutralisée, mais Lumen a constaté que les relations avec d’autres fournisseurs de proxies n’avaient pas toutes été coupées. Le service a pu retrouver rapidement une activité en s’appuyant sur d’autres sources de nœuds.
Les 7 millions d’adresses IP et 100 000 clients sont-ils des chiffres officiels ?
Non. Ces données correspondent aux chiffres commerciaux attribués à ASOCKS et repris par la presse. Elles ne proviennent pas de l’enquête de la police néerlandaise et doivent être présentées comme des revendications du service.
Un proxy résidentiel est-il forcément malveillant ?
Non. Les proxies résidentiels ont aussi des usages légitimes, par exemple pour tester des services selon les régions. Le problème apparaît lorsque les appareils sont enrôlés sans consentement ou lorsque le réseau sert à dissimuler des activités criminelles.
Comment savoir si mon appareil fait partie d’un botnet ?
Il n’existe pas de signe unique. Une consommation inhabituelle de bande passante, une chauffe ou des ralentissements peuvent alerter, mais ne constituent pas une preuve. Les mises à jour, l’analyse de sécurité et la vérification des applications installées sont plus fiables.
Le démantèlement a-t-il nettoyé automatiquement tous les appareils ?
Non. Couper l’infrastructure de contrôle empêche ou perturbe son utilisation, mais ne supprime pas nécessairement le logiciel installé sur chaque appareil. Une mise à jour, la désinstallation de l’application concernée ou une réinitialisation peuvent rester nécessaires.
- Police néerlandaise — Politie en NCSC halen groot botnetwerk offline, 28 mai 2026.
- NCSC Pays-Bas — Joint operation by police and NCSC takes down major botnet, 2 juin 2026.
- NCSC Pays-Bas — Residential proxies et impact sur la sécurité numérique, consulté le 9 septembre 2026.
- HUMAN Security — PROXYLIB et liens techniques avec ASOCKS, 26 mars 2024.
- Ars Technica — Botnet of more than 17 million devices dismantled, 29 mai 2026.
- NL Times — attribution de l’opération à ASOCKS, 28 mai 2026.
- Lumen Black Lotus Labs — état des réseaux de proxies résidentiels après les démantèlements, consulté le 9 septembre 2026.
WY-Créations suit les évolutions du Web, de la cybersécurité et des infrastructures numériques. Cette mise à jour distingue les données officiellement communiquées par les autorités, les observations techniques des chercheurs et les chiffres commerciaux revendiqués par les services de proxies. Retrouvez également les avis clients WY-Créations.
La sécurité d’un site commence par une infrastructure correctement maintenue.
Création, refonte, hébergement, maintenance et visibilité : WY-Créations construit des sites professionnels pensés pour rester performants et maîtrisés dans le temps.