Opération Ramz
et ce que le bilan dit vraiment.
Le bilan publié par Interpol le 18 mai 2026 a été complété depuis. Trois points sont corrigés ici : le nombre exact de victimes, arrondi par une partie de la presse et par les partenaires privés, la qualification de l’opération, et l’identité de la plateforme d’hameçonnage neutralisée en Algérie, restée anonyme pendant trois semaines.
Ce qu’a été l’opération Ramz
Elle n’a pas consisté à faire tomber une organisation unique. Ramz désigne une série d’enquêtes nationales menées en parallèle, reliées entre elles par le partage de renseignement piloté depuis le complexe d’Interpol à Singapour.
L’opération s’est déroulée d’octobre 2025 au 28 février 2026 et a mobilisé treize pays du Moyen-Orient et d’Afrique du Nord : Algérie, Bahreïn, Égypte, Irak, Jordanie, Liban, Libye, Maroc, Oman, Palestine, Qatar, Tunisie et Émirats arabes unis. Les objectifs annoncés tenaient en trois lignes : enquêter sur les infrastructures malveillantes et les démanteler, identifier et interpeller les suspects, prévenir les pertes à venir.
Trois familles de menaces ont été visées : l’hameçonnage, les logiciels malveillants et les escroqueries en ligne. Un quatrième volet, moins visible, a pesé autant que les interpellations : près de 8 000 éléments de données et de renseignement ont circulé entre les pays participants pour déclencher ou nourrir des enquêtes. Ce sont ces dossiers qui pourraient produire des arrestations bien après la clôture officielle du 28 février.
Le vocabulaire d’Interpol mérite d’être repris tel quel. L’organisation parle d’une première opération cyber de cette ampleur coordonnée dans la région, ce qui n’est pas la même chose que la plus importante jamais menée par Interpol. La nuance a disparu dans une partie des reprises. Le point de départ des enquêtes reste, comme dans le cas de la faille critique de Chromium, la cartographie d’une infrastructure technique avant toute interpellation.
Les chiffres officiels et leurs arrondis
Le communiqué d’Interpol du 18 mai 2026 donne cinq données chiffrées, et cinq seulement. Tout le reste relève de l’interprétation ou de communications d’entreprises.
- 201 personnes arrêtées : donnée confirmée, reprise sans variation par l’ensemble des sources.
- 382 suspects supplémentaires identifiés : identifiés, pas interpellés. La distinction est constamment perdue dans les titres.
- 3 867 victimes identifiées : chiffre exact publié par Interpol, arrondi en « près de 4 000 » par la presse et par les communiqués des partenaires privés.
- 53 serveurs saisis, utilisés pour l’hameçonnage, la diffusion de logiciels malveillants et la fraude en ligne.
- Près de 8 000 éléments de renseignement diffusés entre les pays participants.
Une donnée manque, et son absence est significative : Interpol n’a publié aucun montant de préjudice financier pour Ramz. L’organisation le fait pourtant systématiquement pour ses autres opérations. En l’état, toute somme avancée pour Ramz relève de l’estimation, y compris lorsqu’elle est présentée comme un bilan. La prudence vaut aussi pour les victimes : 3 867 personnes ont été identifiées, ce qui ne signifie pas que le total réel s’arrête là. C’est le même écart que celui observé dans les dossiers d’ arnaque au faux conseiller bancaire, où le nombre de plaintes déposées reste très inférieur au nombre de personnes réellement démarchées.
Aucune information n’a été communiquée sur l’indemnisation des victimes. Les procédures relèvent des juridictions nationales des treize pays concernés, avec des règles et des délais différents dans chacun.
Cinq affaires documentées
Interpol a détaillé cinq situations précises. Elles sont plus instructives que le bilan global, parce qu’elles montrent des configurations très différentes derrière un même intitulé.
En Algérie, un site proposant de l’hameçonnage comme service a été localisé puis démantelé. Les autorités ont saisi un serveur, un ordinateur, un téléphone mobile et des disques durs contenant des logiciels et des scripts d’hameçonnage. Un suspect a été placé en garde à vue.
Au Maroc, les autorités ont saisi des ordinateurs, des smartphones et des disques durs externes contenant des données bancaires ainsi que des logiciels utilisés pour des opérations d’hameçonnage. Trois personnes font l’objet de procédures judiciaires, d’autres restent sous enquête.
Au Qatar, le renseignement obtenu a conduit à identifier des appareils compromis. Les enquêteurs ont établi que leurs propriétaires étaient eux-mêmes victimes d’attaques et ignoraient que leurs machines servaient à propager des menaces. Les systèmes ont été sécurisés et les propriétaires prévenus. Aucune arrestation n’est associée à ce volet, contrairement à ce qui a parfois été écrit. Le schéma rappelle celui des failles Microsoft Defender activement exploitées : la machine compromise devient un relais à l’insu de son utilisateur.
À Oman, les enquêteurs ont repéré un serveur installé dans une résidence privée et contenant des informations sensibles. Son propriétaire y avait un accès légitime, mais la machine présentait plusieurs vulnérabilités critiques et une infection par logiciel malveillant. Le serveur a été désactivé pour éviter des dommages supplémentaires.
SniperDz, la révélation de juin 2026
Le communiqué de mai désignait la plateforme algérienne sans la nommer. Le 11 juin 2026, Group-IB a levé l’anonymat : il s’agissait de SniperDz, et le développeur principal a été interpellé.
La plateforme fonctionnait depuis 2015 au moins. Elle fournissait des kits d’hameçonnage prêts à l’emploi, de l’hébergement d’infrastructure et un support opérationnel à des attaquants peu qualifiés. En 2024, l’unité 42 de Palo Alto Networks avait déjà recensé plus de 140 000 pages d’hameçonnage liées à SniperDz sur la seule période 2023-2024, sans que l’opérateur soit identifié. Sur neuf ans, Group-IB dénombre plus de 20 000 domaines uniques rattachés à la plateforme, imitant au moins trente organisations mondiales, parmi lesquelles PayPal, Facebook, Instagram, Yahoo, Netflix et Steam.
Quatre-vingts modèles de pages ont été identifiés, déployés en cinq langues : arabe, anglais, français, espagnol et hébreu. Le français figure donc dans le catalogue, ce qui concerne directement les utilisateurs francophones. Particularité du modèle économique : le service était gratuit pour les attaquants, la plateforme se rémunérant en collectant elle-même les identifiants dérobés par ceux qui l’utilisaient.
Le recrutement passait aussi par l’ingénierie sociale. De faux comptes imitant des personnalités publiques connues de la région relayaient des liens d’hameçonnage déguisés en offres promotionnelles ou en accès internet gratuit. La logique de distribution par outil partagé est la même que celle observée lors de la cyberattaque GitHub via une extension VS Code : un composant unique, largement diffusé, démultiplie la portée d’un seul acteur.
L’identification tient à une faute élémentaire. Pour recruter et former ses affiliés, le suspect publiait des tutoriels vidéo qui exposaient involontairement des informations d’administration et des identifiants de compte. Un canal Telegram de coordination comptant plus de 7 300 abonnés et un compte Facebook suivi par plus de 19 000 personnes ont permis de relier l’individu à l’activité de la plateforme entre 2015 et 2025. Group-IB a transmis le dossier à Interpol, qui a coordonné l’intervention avec la police nationale algérienne.
Qui a financé, qui a fourni le renseignement
Ce volet est rarement détaillé, alors qu’il explique en grande partie pourquoi l’opération a pu se tenir. Ramz a reçu l’appui du ministère de l’Intérieur du Qatar et a été partiellement financée par l’Union européenne et le Conseil de l’Europe dans le cadre du projet CyberSouth+.
Cinq partenaires privés ont travaillé avec Interpol pour suivre les activités illégales et identifier les serveurs malveillants : Group-IB, Kaspersky, la Shadowserver Foundation, Team Cymru et TrendAI. Cette liste est celle du communiqué officiel.
La contribution de Group-IB est la plus documentée. L’entreprise indique avoir transmis du renseignement exploitable sur plus de 5 000 comptes compromis, dont certains liés à des infrastructures gouvernementales, ce qui a donné aux enquêteurs une mesure de l’ampleur réelle du vol d’identifiants dans la région. Ses analystes ont également cartographié les infrastructures d’hameçonnage actives et distingué deux groupes d’acteurs bien séparés : ceux qui créent et diffusent les ressources d’hameçonnage, et ceux qui revendent les données volées. Kaspersky a de son côté fourni ses données de renseignement sur les menaces.
Le dirigeant de Group-IB, Dmitry Volkov, a relevé une hausse marquée des infrastructures d’hameçonnage et d’escroquerie visant les plateformes financières, les services publics et les particuliers dans la région. Il s’agit d’un constat d’entreprise, pas d’une statistique publiée par Interpol : la distinction compte, comme pour toute donnée émanant d’un acteur qui commercialise des solutions sur le marché concerné. Le même réflexe s’impose face aux annonces d’éditeurs sur les correctifs de sécurité, y compris lorsqu’ils sont légitimes, comme dans le cas des mesures d’urgence publiées sur la faille BitLocker.
Ramz face aux autres opérations
Ramz s’inscrit dans une cadence soutenue d’opérations coordonnées par Interpol. Le rapprochement des bilans publiés permet de situer son ampleur réelle.
- Ramz, octobre 2025 au 28 février 2026, treize pays du Moyen-Orient et d’Afrique du Nord : 201 arrestations, 382 suspects identifiés, 3 867 victimes, 53 serveurs saisis.
- Red Card 2.0, 8 décembre 2025 au 30 janvier 2026, seize pays africains : 651 arrestations, 4,3 millions de dollars récupérés, 45 millions de dollars de pertes constatées, 1 247 victimes, 2 341 appareils saisis et 1 442 adresses IP, domaines et serveurs neutralisés.
- Synergia III, 18 juillet 2025 au 31 janvier 2026, soixante-douze pays et territoires : 94 arrestations, 110 suspects encore sous enquête, plus de 45 000 adresses IP malveillantes neutralisées, 212 appareils et serveurs saisis.
- Serengeti 2.0, juin à août 2025, dix-huit pays africains et le Royaume-Uni : 1 209 arrestations, 97,4 millions de dollars récupérés, 11 432 infrastructures démantelées, près de 88 000 victimes.
- First Light 2026, résultats annoncés en juillet 2026, quatre-vingt-dix-sept pays : 5 811 arrestations et 293 millions de dollars d’avoirs saisis.
Le nombre d’arrestations ne suffit pas à classer ces opérations. Synergia III mobilise cinq fois plus de pays que Ramz pour deux fois moins d’interpellations, parce qu’elle cible d’abord des infrastructures et non des personnes. Red Card 2.0 affiche trois fois plus d’arrestations sur une durée deux fois plus courte, sur un périmètre où les escroqueries à l’investissement et à la monnaie mobile sont massivement répandues. Comparer ces bilans sans regarder ce que chaque opération visait ne mène nulle part.
Ramz est la première opération de cette échelle dans sa région. Sa valeur tient moins au décompte des interpellations qu’à l’établissement d’un circuit de partage de renseignement entre treize services qui ne travaillaient pas ensemble jusque-là.
Ce que cela change pour une entreprise
Une opération policière menée à des milliers de kilomètres ne modifie pas le niveau d’exposition d’une TPE française. Deux éléments du dossier la concernent pourtant directement : la présence du français parmi les cinq langues des modèles d’hameçonnage, et le volume d’identifiants compromis relevé dans la région.
- Le vol d’identifiants reste la porte d’entrée principale. Plus de 5 000 comptes compromis ont été recensés pour la seule opération Ramz, dont des comptes rattachés à des infrastructures publiques.
- L’authentification à deux facteurs par SMS ne protège plus contre les kits récents, conçus pour intercepter le code en temps réel. Les clés physiques et les méthodes résistantes à l’hameçonnage sont à privilégier sur les comptes sensibles.
- Les pages frauduleuses imitent des marques établies. Vérifier le domaine exact avant toute saisie d’identifiants reste le geste le plus efficace, y compris quand le message paraît légitime.
- Un nom de domaine proche du sien peut être déposé par un tiers. Surveiller les variantes proches de sa propre marque évite de découvrir l’usurpation par un client mécontent.
- Signaler une tentative auprès des dispositifs nationaux alimente précisément le type de renseignement qui a rendu Ramz possible.
Un point mérite d’être posé sans détour : la gratuité du service pour les attaquants change l’échelle du risque. Un opérateur unique a alimenté pendant dix ans des milliers de campagnes menées par des personnes sans compétence technique. La barrière à l’entrée de l’hameçonnage n’est plus technique, elle est simplement volontaire.
Aucune de ces mesures ne relève de l’investissement lourd. Elles relèvent de la configuration et de l’habitude, et produisent plus d’effet qu’un outil supplémentaire ajouté à un poste de travail.
Ce qu’on nous demande le plus souvent.
Quels pays ont participé à l’opération Ramz ?
Treize pays du Moyen-Orient et d’Afrique du Nord : Algérie, Bahreïn, Égypte, Irak, Jordanie, Liban, Libye, Maroc, Oman, Palestine, Qatar, Tunisie et Émirats arabes unis. L’opération s’est déroulée d’octobre 2025 au 28 février 2026, avec l’appui du ministère de l’Intérieur du Qatar.
Combien de victimes ont été identifiées ?
3 867 exactement, selon le communiqué d’Interpol du 18 mai 2026. Le chiffre est fréquemment arrondi à « près de 4 000 ». Il s’agit des victimes identifiées pendant l’opération, pas d’une estimation du nombre total de personnes touchées.
Qu’est-ce que SniperDz ?
La plateforme d’hameçonnage comme service neutralisée en Algérie, nommée publiquement par Group-IB le 11 juin 2026. Active depuis 2015 au moins, elle fournissait gratuitement des kits prêts à l’emploi et se rémunérait en collectant les identifiants dérobés par ses utilisateurs.
Les victimes seront-elles indemnisées ?
Interpol n’a rien communiqué sur ce point et n’a publié aucun montant de préjudice financier pour Ramz. Les suites relèvent des procédures judiciaires nationales des treize pays concernés, dont les règles et les délais diffèrent.
D’autres arrestations sont-elles attendues ?
C’est possible, sans être garanti. Près de 8 000 éléments de renseignement ont été diffusés entre les pays participants et 382 suspects identifiés n’ont pas été interpellés. Ces dossiers peuvent produire des suites, mais aucune date ni aucun volume n’ont été annoncés.
Une entreprise française est-elle concernée ?
Indirectement. Le français figure parmi les cinq langues des modèles d’hameçonnage identifiés sur SniperDz, aux côtés de l’arabe, de l’anglais, de l’espagnol et de l’hébreu. Les pages imitaient des services grand public largement utilisés en France.
- Interpol, communiqué « 201 arrests in first-of-its-kind cybercrime operation in MENA region », 18 mai 2026, et note aux rédactions listant les pays participants et les financements.
- Group-IB, communiqué sur sa contribution à l’opération Ramz, 18 mai 2026, puis publication détaillant l’enquête SniperDz et l’arrestation de son développeur principal, 11 juin 2026.
- Kaspersky, communiqué de presse sur sa participation à l’opération Ramz, mai 2026.
- Unit 42, Palo Alto Networks, analyse de la plateforme SniperDz et de ses tactiques, 2024.
- Interpol, communiqués relatifs aux opérations Red Card 2.0 (février 2026), Synergia III (mars 2026) et Serengeti 2.0 (août 2025), pour les données de comparaison.
WY-Créations conçoit des sites internet et construit des stratégies de visibilité pour les artisans, les TPE, les PME et les professions libérales depuis 2018. Cet article rapporte des éléments publiés par Interpol et ses partenaires, distingue les données officielles des communications d’entreprises, et ne constitue pas un audit de sécurité. Pour aller plus loin : les avis clients ou nous écrire.
Vos identifiants d’administration sont-ils protégés ?
Un accès WordPress volé se revend comme n’importe quel autre identifiant. La double authentification et un hébergement tenu à jour règlent l’essentiel.