« Opération Leak » : les autorités mondiales démantèlent le plus grand bazar de credentials du dark web

Tout semblait normal pour les hackers sur LeakBase - jusqu’à ce qu’une adresse familière disparaisse du jour au lendemain, remplacée par un avertissement sévère du FBI. Pendant des années, ce forum clandestin a servi de marché noir animé pour des identifiants volés, des numéros de cartes bancaires et des passe-partout numériques. Désormais, une coalition d’agences de sécurité a claqué la porte sur l’un des repaires de cybercriminalité les plus prolifiques au monde.

En bref

• LeakBase comptait plus de 142 000 membres et plus de 215 000 messages fin 2025.
• Le site était spécialisé dans la vente de « stealer logs » - des archives d’identifiants volés récoltés via des malwares.
• Les autorités ont saisi l’intégralité du contenu du forum, y compris les comptes, messages et logs IP, à titre de preuve.
• L’opération Leak a impliqué des perquisitions et arrestations coordonnées dans huit pays.
• LeakBase interdisait notamment les bases de données russes, probablement pour éviter d’attirer l’attention des autorités locales.

Apparu en 2021, LeakBase est rapidement devenu un marché central pour hackers, fraudeurs et courtiers en données. Le forum proposait une véritable corne d’abondance de biens illicites : bases de données piratées, informations de cartes bancaires, identifiants bancaires et accès à tout, des emails aux comptes de cryptomonnaie. Avec plus de 142 000 utilisateurs inscrits, LeakBase n’opérait pas dans l’ombre du dark web, mais ouvertement sur le clearnet, le rendant inhabituellement accessible même pour les cybercriminels débutants.

Les administrateurs du forum - connus sous les pseudonymes Chucky, BloodyMery et OrderCheck - ont cultivé un écosystème florissant. Notamment, LeakBase appliquait une interdiction stricte de vente de données russes, une mesure qui, selon les experts, visait à ne pas provoquer les autorités russes. Selon la société de renseignement sur les menaces Flare, la plateforme était « l’une des plus actives et influentes dans le milieu des fuites de données ».

La spécialité de LeakBase était les « stealer logs » - d’énormes lots de données récoltés par des malwares infostealers, contenant noms d’utilisateur, mots de passe, cookies de session et même informations bancaires. Ces données alimentaient une économie mondiale de prises de contrôle de comptes, de fraudes financières et de chantages numériques. L’acteur malveillant « Chucky » (également connu sous les noms de Chuckies et Sqlrip) était réputé pour partager d’immenses volumes de bases de données volées, visant souvent des organisations de premier plan à travers le monde.

Le démantèlement, baptisé Opération Leak, s’est déroulé les 3 et 4 mars 2026. Les forces de l’ordre des États-Unis, d’Europol et de partenaires en Australie, Belgique, Pologne, Portugal, Roumanie, Espagne et Royaume-Uni ont mené près de 100 actions répressives - perquisitions, arrestations et interrogatoires. Les autorités ont également pris des « mesures non précisées » contre 37 des utilisateurs les plus actifs de LeakBase, signalant une répression large visant à la fois opérateurs et acheteurs.

L’avis de saisie qui accueille désormais les visiteurs de l’URL de LeakBase est plus qu’un avertissement - c’est une déclaration d’intention. « Tout le contenu du forum, y compris les comptes utilisateurs, messages, informations bancaires, messages privés et logs IP, a été sécurisé et préservé à des fins de preuve », annonce-t-il. Pour les forces de l’ordre, ces traces numériques pourraient être la clé pour démanteler d’autres réseaux de cybercriminalité.

La chute de LeakBase marque une victoire majeure pour les enquêteurs mondiaux de la cybercriminalité, mais elle élève aussi les enjeux pour la prochaine génération de places de marché clandestines. À mesure que les autorités se perfectionnent, les criminels aussi. Le jeu du chat et de la souris continue - mais pour l’instant, l’un des plus grands coffres de données volées d’internet est solidement verrouillé.

WIKICROOK

• Clearnet : La clearnet est la partie ouverte et accessible d’internet, disponible à tous via des navigateurs standards, contrairement aux réseaux cachés qui nécessitent un accès spécial.
• Stealer logs : Les stealer logs sont des lots d’identifiants et de données personnelles volés, collectés par des malwares et échangés sur des forums cybercriminels à des fins illicites.
• Infostealer malware : Un infostealer est un logiciel malveillant qui collecte discrètement des informations sensibles, comme des mots de passe et des données financières, sur les ordinateurs infectés.
• Account takeover : Une prise de contrôle de compte se produit lorsqu’un cybercriminel prend le contrôle de votre compte en ligne, souvent en volant vos identifiants, pour commettre une fraude ou un vol.
• IP logs : Les logs IP enregistrent les adresses internet des utilisateurs se connectant à des réseaux, aidant à la surveillance, la sécurité et l’enquête sur des activités suspectes ou non autorisées.