First VPN démantelé
et la base d’abonnés saisie.

Pas un fournisseur grand public qui aurait dérivé. Un service conçu dès l’origine pour une clientèle criminelle, et vendu comme tel.

First VPN, également désigné sous le nom 1VPNS, fonctionnait depuis 2014. Il n’était pas promu sur les canaux publicitaires habituels mais sur des forums cybercriminels russophones, au premier rang desquels Exploit.in et XSS.is. L’argumentaire commercial reposait sur trois promesses : des paiements anonymes, une infrastructure dissimulée et un engagement à ne jamais coopérer avec les autorités judiciaires. Le parquet de Paris a précisé que la tarification variait selon la complexité des relais de connexion demandés.

Europol décrit un service devenu structurel dans l’écosystème criminel, au point d’apparaître dans presque toutes les grandes enquêtes que l’agence a soutenues ces dernières années. Le FBI a de son côté publié un avis de cybersécurité recensant les tactiques associées à 1VPNS et identifiant au moins vingt-cinq groupes de rançongiciels utilisateurs du service, dont Avaddon.

L’usage dépassait le seul chiffrement des rançons. Le service servait à masquer la reconnaissance préalable des réseaux visés, les intrusions elles-mêmes et l’administration des serveurs de commande. Autrement dit, il intervenait à chaque étape d’une attaque, y compris celles qui précèdent de plusieurs semaines la phase visible. C’est cette couche d’infrastructure que visait la même logique d’enquête qu’ l’opération Ramz coordonnée par Interpol dans une autre région du monde.

C’est le point central du dossier, et celui que les résumés rapides laissent systématiquement de côté. Les enquêteurs n’ont pas demandé les journaux de connexion à l’exploitant. Ils sont entrés dans l’infrastructure.

L’enquête s’ouvre en décembre 2021 au parquet de Paris, après que le service est apparu de façon répétée dans des affaires touchant des victimes françaises. Une information judiciaire est ouverte en mars 2022 pour complicité d’extorsion en bande organisée et association de malfaiteurs. Eurojust ouvre un dossier dans la foulée. En novembre 2023, la France et les Pays-Bas constituent une équipe commune d’enquête, mécanisme juridique qui permet de mutualiser les preuves et de coordonner la stratégie de poursuite en temps réel entre plusieurs pays.

Entre l’ouverture de l’enquête et la coupure, plus de quatre ans s’écoulent. Pendant cette période, les équipes nationales exécutent plusieurs décisions d’enquête européennes et demandes d’entraide judiciaire pour accéder aux données de trafic et aux systèmes internes du service. Eurojust organise seize réunions de coordination. La police néerlandaise a résumé le résultat sans détour : avant la mise hors ligne, les forces de l’ordre avaient accès au trafic des utilisateurs, qui se croyaient à l’abri.

La conséquence pratique est considérable. Au moment de la saisie, les enquêteurs ne récupèrent pas seulement des machines : ils disposent déjà d’une observation continue de l’activité. La logique est la même que celle qui préside aux compromissions de chaînes d’outils, comme la cyberattaque GitHub menée via une extension VS Code, à ceci près qu’elle est ici employée par une autorité judiciaire sous contrôle d’un juge d’instruction.

Le dossier n’en est pas resté à la saisie des serveurs. Le 13 juillet 2026, le département du Trésor américain a ajouté un étage financier à l’affaire.

L’Office of Foreign Assets Control a désigné trois cibles : l’entité First VPN Service, connue sous le nom 1VPNS, son administrateur Dmytro Rashevskyi, ressortissant ukrainien âgé de 45 ans, et Yegeniy Vladimirovich Silayev, ressortissant bélarusse présenté comme vendeur de « cryptors ». Ces outils servent à déguiser un logiciel malveillant en fichier anodin pour échapper aux solutions de sécurité, ce que le Trésor distingue explicitement des technologies de chiffrement légitimes destinées à protéger des données.

C’est la première fois qu’un service de réseau privé virtuel est formellement sanctionné par les autorités américaines pour facilitation d’attaques par rançongiciel. Les désignations ont été prises au titre du décret présidentiel 13694 tel que modifié, et s’inscrivent dans l’application du décret 14390 signé le 6 mars 2026. Le Trésor indique que les groupes recourant à ces services ont causé des milliards de dollars de pertes à des entreprises et à des opérateurs d’infrastructures critiques américains, en visant notamment des hôpitaux, des établissements scolaires et des collectivités.

La portée pratique dépasse le cas d’espèce. Une désignation bloque les biens détenus aux États-Unis et impose une obligation de déclaration, et le régime applicable repose sur une responsabilité objective : l’absence d’intention de faciliter une infraction ne suffit pas à écarter l’exposition juridique. Un fournisseur d’anonymisation devient donc, en tant que tel, une cible potentielle, au même titre que les groupes qu’il héberge.

C’est la leçon la plus transposable du dossier, et elle ne concerne pas que les services clandestins.

Une politique de non-conservation des journaux est un engagement de l’exploitant sur ce qu’il choisit de ne pas enregistrer. Elle ne dit rien de ce qu’un tiers peut obtenir en prenant le contrôle de la machine. Dans cette affaire, les autorités n’ont pas réclamé des journaux : elles ont accédé à l’infrastructure et observé le trafic en direct. Aucune promesse contractuelle ne protège contre ce scénario, parce qu’elle porte sur une pratique de gestion, pas sur une propriété technique du système.

S’ajoute une question de contrôle physique. Les serveurs appartiennent rarement à la marque affichée : ils sont loués auprès d’hébergeurs, dans des juridictions qui déterminent qui peut légalement saisir le matériel et selon quelle procédure. La marque promet, l’hébergeur détient, l’État de localisation arbitre. Trois acteurs distincts, dont un seul figure sur la page commerciale.

Ce raisonnement vaut pour n’importe quel prestataire technique. La sécurité annoncée par un éditeur décrit une intention de conception ; ce qui compte est la surface réellement exposée, comme l’ont rappelé la faille critique découverte dans Chromium ou les failles Microsoft Defender activement exploitées. Un service de sécurité reste un logiciel installé sur une machine appartenant à quelqu’un.