Disparités en matière d'arrestation et de condamnation des auteurs de menaces russophones

Par Oleg Lypko, analyste du renseignement sur les cybermenaces

Le récit dominant L'impunité est un mythe récurrent dans la cybercriminalité post-soviétique, et ce, des deux côtés : d'une part, chez les observateurs occidentaux qui constatent que des mises en accusation spectaculaires n'aboutissent à aucune arrestation ; d'autre part, chez les cybercriminels eux-mêmes, qui pensent qu'il suffit de rester chez soi et d'épargner les victimes locales pour demeurer intouchables. Les données de cette recherche ne font pas disparaître ce mythe, elles le nuancent. L'impunité demeure une réalité pour certains acteurs de l'écosystème cybercriminel russe, mais elle n'est ni uniforme ni systématique : elle est politiquement accordé, maintenu sous conditionset toujours révocable. Lorsqu'elle donne lieu à une punition, celle-ci est loin d'être négligeable ; elle est simplement déterminée moins par la gravité formelle du crime que par la localisation des victimes et l'intérêt politique de la poursuivre.

Trois affaires survenues au cours des 18 derniers mois illustrent à quel point le sort d'un opérateur désigné peut être disparate. Du côté russe, on privilégie la gestion à la sanction : en décembre 2024, un tribunal de Kaliningrad a statué que… Mikhail Matveev condamné, l'affilié de Rançongiciels sanctionné par le Trésor américain et placé sous un récompense de dix millions de dollars du FBIet l'a condamné à un an et six mois de restriction de liberté : la criminalité a été reconnue, l'opérateur est resté sous juridiction russe, la peine a été à peine ressentie. Oleg Nefedov, fondateur présumé de Black Basta et publiquement nommé d'après le fuite des conversations internes du groupe, a fait l'objet d'une notice rouge d'Interpol et d'une Inscription à la liste des personnes les plus recherchées de l'UE, et pourtant semble rester libre en Russie. La partie ukrainienne pointe désormais du doigt dans une autre direction : en juillet 2025, le Service de sécurité d’Ukraine et la police française ont conjointement… arrêté l'homme derrière « Toha », administrateur de longue date de Forum XSS, un opérateur dont L'identité était probablement à portée de main depuis des années. et dont l'arrestation devait moins à une avancée majeure dans l'attribution qu'à un changement de priorités ukrainiennes après 2022. Le sort concret d'un opérateur russophone identifié dépend bien moins de la gravité formelle de son crime que de l'État qui finit par le détenir et de ce que cet État a décidé de faire des personnes comme lui.

Pour dépasser le cadre des anecdotes, cette recherche triangule trois ensembles de données indépendants : les condamnations pour cybercriminalité en Russie et en Ukraine (2014-2025), 387 mises en examen et sanctions occidentales (2000-2026), et les arrestations médiatisées sur le territoire post-soviétique durant la même période, concernant environ 700 personnes et 300 affaires recensées. Chaque ensemble est incomplet : les condamnations excluent les cybercrimes poursuivis comme de simples fraudes, les données occidentales ne reflètent que les faits rendus publics et sont majoritairement américaines, et les arrestations ne prennent en compte que les affaires médiatisées. Aucune donnée ne pouvant être combinée à une autre, la méthode employée est la triangulation plutôt que l’agrégation : les points de convergence entre les trois ensembles sont probablement réels, les divergences sont elles-mêmes le fruit de l’expérimentation. Les principales conclusions sont présentées ci-dessous ; le rapport complet détaille l’analyse, la typologie des cas et les sources utilisées.

Principales conclusions concernant les conséquences juridiques des acteurs de menaces russophones

• L'impunité est un mythe, tout comme l'uniformité des peines. Depuis 2014, les tribunaux de Russie et d'Ukraine ont prononcé au moins 3 225 condamnations en vertu des articles spécifiques à la cybercriminalité de leurs codes pénaux (2 490 en Russie et 735 en Ukraine), un seuil conservateur qui exclut les cas poursuivis comme fraude ordinaire, alors que les condamnations ont augmenté dans les deux pays.
• L'Occident nomme beaucoup de personnes et en attrape peu, et celles qu'il attrape se répartissent nettement selon leur nationalité. Entre 2000 et 2026, seuls 83 des 266 Russes inculpés ou sanctionnés ont été appréhendés, laissant 69 % en fuite, tandis que 34 des 49 Ukrainiens inculpés (69 %) ont été arrêtés. Les opérateurs originaires d'autres États post-soviétiques, présents en bien plus petit nombre, figurent très largement parmi les personnes arrêtées : Estoniens (15 sur 15), Biélorusses (3 sur 3) et Lituaniens (3 sur 3) dans tous les cas recensés, Kazakhs (7 sur 8) et Lettons (6 sur 7) presque aussi souvent, seuls les Moldaves (6 sur 11) et les Géorgiens (2 sur 4) présentant une répartition plus équilibrée.
• Les arrestations occidentales n'ont quasiment jamais lieu sur leur territoire. Dans l'ensemble de l'ancien espace soviétique, 79 % des arrestations ont eu lieu hors du pays du suspect : la capture dépend des déplacements, et non du crime. Sur 83 Russes arrêtés, seuls 11 l'ont été en Russie, et même ceux-ci ont été majoritairement emprisonnés pour des affaires internes distinctes (rétention de véhicules blindés, trahison, fraude sans lien avec l'affaire) plutôt que pour des faits relevant de la compétence occidentale. Les Ukrainiens suivent la même logique (seulement 7 sur 36 arrêtés sur leur territoire), tout comme les Kazakhs (0 sur 8), les Moldaves (1 sur 6) et les Lettons (2 sur 6) ; la seule exception est l'Estonie, qui arrête ses propres ressortissants sur son territoire (12 sur 15).
• Les sanctions sont devenues une arme centrale contre les cybercriminels issus de l'ancien espace soviétique, ciblant un niveau différent de celui des mises en accusation. Les sanctions financières sont passées de 14 % des actions menées par les pays occidentaux avant 2022 à 43 % après, rivalisant avec les nouvelles mises en accusation d'ici 2025. Elles semblent constituer un levier efficace contre ceux qui ne quittent jamais le sanctuaire, frappant les infrastructures et l'État (l'hébergement à l'épreuve des balles est sanctionné dans 85 % des cas, les opérations étatiques dans 60 %), tandis que les mises en accusation sont réservées aux opérateurs directs, qui ne sont presque jamais sanctionnés.
• Ce que l'Occident poursuit a changé, car la cybercriminalité elle-même a changé. Dans les années 2000, les affaires impliquant d'anciens citoyens de l'URSS étaient principalement liées à la fraude à la carte bancaire : fraudes à la carte et réseaux de mules financières qui blanchissaient les fonds volés. Dans les années 2020, il s'agit surtout de rançongiciels, des services qui les soutiennent (hébergement sécurisé, blanchiment de cryptomonnaies, etc.) et de pirates informatiques étatiques ou liés à des États. Le nombre d'affaires en Occident reflète directement cette évolution : les cas de rançongiciels sont passés de zéro à 56, tandis que les cas de mules financières ont chuté de 34 à zéro.
• La Russie et l'Ukraine ne contrôlent plus le même réseau clandestin. Leur coopération avec l'Occident diverge nettement : l'Ukraine collabore ouvertement et de plus en plus avec les agences occidentales (19 des 36 opérations conjointes ont eu lieu après 2022), tandis que la quasi-totalité de la coopération apparente de la Russie (18 cas sur 27) s'est concentrée au début de 2022 comme moyen de pression diplomatique à la veille de l'invasion, les suspects étant jugés en Ukraine sous des accusations russes. Le bilan des arrestations rendues publiques, moins détaillé mais allant dans le même sens, illustre ce contraste quant à la nature des victimes : les arrestations russes concernent davantage des victimes nationales, tandis que celles effectuées ailleurs dans l'espace post-soviétique concernent davantage des victimes internationales.
• Pour la Russie, il s'agit de continuité, et non de rupture ; la véritable rupture est ukrainienne. Moscou arrête ses cybercriminels de manière sélective et selon son propre calendrier depuis plus d'une décennie, de l'opération Carberp (2012) au coup de filet Lurk (2016) en passant par les raids REvil (janvier 2022), protégeant, tolérant ou sacrifiant les opérateurs selon ses intérêts. La situation de l'Ukraine est différente : une réorientation délibérée depuis 2022, motivée autant par l'affirmation d'une trajectoire et d'une identité propres, distinctes de l'héritage post-soviétique partagé avec la Russie, que par la nécessité, en temps de guerre, de coopérer étroitement avec ses soutiens occidentaux. Cette réorientation a fait de la cybercriminalité à destination de l'étranger un fardeau pour l'État plutôt qu'un atout à gérer.

Augmentation des condamnations intérieures en Russie et en Ukraine

Le signe le plus évident que l'impunité n'explique pas tout provient des tribunaux nationaux eux-mêmes. Depuis 2014, les tribunaux russes ont prononcé 2 490 condamnations en vertu des articles stricts du Code pénal relatifs à la cybercriminalité, et les tribunaux ukrainiens 735 en vertu de leurs équivalents. Ces deux tendances sont à la hausse depuis le début de la période, et l'augmentation en Ukraine s'est maintenue malgré la guerre et les pertes territoriales. Ces chiffres constituent un minimum prudent : une part considérable de la cybercriminalité est poursuivie comme une simple escroquerie aggravée et ne peut être isolée, et une partie de cette hausse est mécanique, conséquence prévisible de la migration croissante des activités en ligne. Il convient de les interpréter comme un indicateur de tendance, réel et digne d'être pris au sérieux, mais qui ne prouve ni la fin de l'impunité ni le début d'une prise de conscience. Ces deux hausses ne sont pas synonymes : celle de l'Ukraine, soutenue par la guerre et le déclin démographique, témoigne moins d'une augmentation de la criminalité que d'une volonté délibérée de renforcer la répression, tandis que celle de la Russie s'inscrit dans une tendance de longue date.

Si on tient compte de la population, le constat est encore plus frappant. En Ukraine, le nombre de condamnations ne cesse d'augmenter malgré la forte diminution de la population due à la guerre ; la courbe progresse donc par rapport à son propre dénominateur. Une politique répressive qui se contenterait de suivre l'activité économique diminuerait avec la population ; or, cette politique fait l'inverse, ce qui la distingue comme un choix délibéré et non comme un simple effet secondaire.

Ciblage occidental et disparités de nationalité dans les arrestations

Sur 387 mises en examen et sanctions occidentales, moins de la moitié des personnes citées ont été arrêtées, et cette moyenne masque une forte disparité. Environ sept Russes sur dix demeurent en fuite, tandis que la situation des Ukrainiens est presque inverse. Les minorités nationales (Estoniens, Lettons, Lituaniens, Biélorusses) sont arrêtées dans la quasi-totalité des cas recensés. Dans l'espace post-soviétique, la nationalité est un indicateur plus fiable de l'issue des poursuites que la nature de l'infraction. L'instrument a également évolué : les sanctions financières sont passées de 14 % des actions occidentales avant 2022 à 43 % après, dépassant les nouvelles mises en examen dès 2025. Elles relèvent d'une catégorie différente de celle des mises en examen. Le rapport complet détaille les rôles sanctionnés et les poursuites, et explique pourquoi les deux outils ciblent rarement la même personne.

Les arrestations dépendent des déplacements, et non du domicile.

Le lieu des arrestations révèle la même réalité sous un autre angle : 79 % d’entre elles ont eu lieu hors du pays du suspect. Les États-Unis représentent à eux seuls environ un cinquième des arrestations, la plupart concernant des opérateurs interpellés en transit, ayant quitté une juridiction sûre pour coopérer avec Washington. Cette asymétrie est en partie constitutionnelle, puisque la Russie, l’Ukraine et la Moldavie interdisent l’extradition de leurs ressortissants, tandis que les États baltes membres de l’UE peuvent extrader les leurs par le biais des mécanismes européens. De ce fait, la géographie des arrestations ne reflète pas le lieu de résidence de ces opérateurs, mais plutôt les endroits où ils ont commis l’erreur de se rendre.

Géographie des victimes : deux modèles d’application de la loi distincts

Vue du contexte post-soviétique plutôt que des mandats occidentaux, la situation s'inverse, et la répartition géographique des victimes offre le contraste le plus marqué de l'ensemble des données. En Russie, environ 70 % des arrestations médiatisées concernent des victimes nationales : un individu a bien plus de chances d'être interpellé dans son pays pour avoir porté atteinte à des Russes que pour des actes commis à l'étranger. En Ukraine et dans le reste de l'espace post-soviétique, la proportion est presque exactement inverse, avec environ 80 % des arrestations concernant des victimes internationales. Les deux répartitions sont quasiment symétriques. Bien que cela ne constitue pas une preuve formelle, compte tenu des limites d'une source ouverte, il s'agit de l'élément de preuve le plus convaincant que ce qui apparaît comme un seul réseau clandestin russophone est en réalité contrôlé par la police comme deux populations distinctes. Le rapport analyse les véritables motivations des arrestations en Russie, en les classant en un petit nombre de fonctions répressives illustrées par des cas précis, ce qui concrétise la différence entre répression et gestion.

Condamnation : Médianes russes, plafonds américains

Parmi les affaires aboutissant à un jugement, les idées reçues s'inversent. En moyenne, la Russie est la juridiction la plus sévère, avec environ 6.8 ans de prison contre environ 4 ans aux États-Unis. Pourtant, la peine américaine la plus lourde, 27 ans pour le fraudeur Roman Seleznev après son extradition, atteint un plafond qu'aucune affaire de cybercriminalité russe ordinaire n'approche. La Russie module ses peines, tandis que les États-Unis restent plus proches d'une approche binaire : prison ou rien. Les peines les plus lourdes sont réservées non pas à la cybercriminalité financière, mais aux infractions que l'État interprète comme des atteintes à sa personne ou à l'ordre public. Le rapport détaille la répartition des peines et explique pourquoi certains opérateurs recherchés à l'étranger sont jugés dans leur pays sur la base de chefs d'accusation minimes et dénués de tout fondement.

Logiques étatiques divergentes en Russie et en Ukraine

Ce qui unit ces schémas, ce n'est pas un système partagé, mais une scission au sein même de celui-ci. Pour la Russie, rien de tout cela n'est un tournant récent : de Carberp à Lurk, puis à… Arrestations de REvil en janvier 2022Moscou arrête ses cybercriminels de manière sélective et selon son propre calendrier depuis plus d'une décennie, les traitant comme des atouts à protéger, tolérer ou sacrifier au gré de ses intérêts. La norme qui a longtemps structuré cet écosystème, l'interdiction de cibler la CEI, est inscrite dans la législation. vérifications de la disposition du clavier et bannissements du forum, était suffisamment réelle pour être obéie, comme le Conti fuit Le phénomène a toujours appartenu à l'État plutôt qu'aux criminels qui l'observaient. L'Ukraine a hérité de ce même système et s'en est progressivement éloignée. Depuis 2014, et plus particulièrement depuis 2022, Kiev considère les poursuites contre les opérateurs recherchés internationalement comme faisant partie d'une réorientation plus large, motivée autant par la volonté de l'Ukraine d'affirmer une trajectoire et une identité propres, distinctes de l'héritage post-soviétique partagé avec la Russie, que par la nécessité, en temps de guerre, d'une étroite coopération avec ses principaux soutiens. Ce qui était autrefois tolérable en matière de cybercriminalité à l'étranger est devenu un fardeau pour l'État qui l'accueille. Les deux États n'agissent plus de la même manière : la Russie continue de classer ses cybercriminels en fonction de la localisation de leurs victimes et de leur utilité pour l'État, tandis que l'Ukraine les poursuit de plus en plus selon les critères occidentaux. Les conséquences de ce fossé grandissant pour un monde clandestin autrefois partagé font l'objet du rapport complet.