Cet article a été mis à jour le 4 août 2025.
Chaînes Telegram illicites sont devenus une préoccupation croissante dans le domaine de la cybercriminalité.
Les acteurs de la menace veulent se connecter les uns aux autres de manière rapide, fiable et « anonyme ». Telegram a été leur réponse, et les acteurs malveillants quittent de plus en plus Tor pour la plate-forme de messagerie instantanée.
Eric Clay, directeur marketing de Flare, et Mathieu Lavoie, directeur technique et cofondateur, ont abordé le sujet des chaînes Telegram non autorisées et des diverses méthodes employées par les cybercriminels pour mener leurs activités malveillantes. Visionnez l'enregistrement complet de notre webinaire. Le nouveau dark web ? : les canaux illicites et leur impact sur la cybersécurité, et/ou continuez à lire pour les faits saillants.
Relation entre Telegram et le Dark Web
Traditionnel marchés du dark web trouvé sur Tor sert d'intermédiaire (partiellement) de confiance entre les vendeurs et les acheteurs avec des services de séquestre intégrés. D'autre part, Telegram dispose de milliers de canaux individuels, qui sont "directs au consommateur" et les fournisseurs vendent des cartes de crédit volées, des combolists, des informations d'identification divulguées et des appareils infectés directement à d'autres cybercriminels. Dans ce modèle, la réputation est tout.
Par rapport aux places de marché du dark web traditionnel, les chaînes Telegram se spécialisent souvent dans la vente de catégories spécifiques de produits illicites tels que les combolists, les configurations et les logiciels malveillants.
De plus, les canaux servent de méthode de secours pour la communication qui peut parfois être plus fiable que les forums traditionnels ou les services de discussion. Par exemple, les forces de l'ordre ont récemment arrêté le responsable de Breach Forums et fermé le site Web. Telegram a servi de canal de secours pour la communication des modérateurs du Breach Forum, car ils ont assuré aux utilisateurs qu'ils continueraient leurs opérations.
Telegram et le dark web sont étroitement liés, et la plate-forme de messagerie instantanée prend en charge les lacunes dans les activités du dark web.
Le rôle de Telegram dans la diffusion du MaaS
Telegram offre de nombreuses fonctionnalités et inclut une API entièrement fonctionnelle, permettant des bots et d'autres cas d'utilisation plus complexes qui peuvent créer des capacités d'automatisation non présentes sur les marchés Tor traditionnels. Cela permet aux acteurs de la menace de vendre de manière transparente des abonnements aux canaux, de fournir automatiquement les données achetées et même d'exploiter les canaux Telegram comme infrastructure de commande et de contrôle pour les logiciels malveillants.
Ces fonctionnalités font de Telegram le choix préféré de beaucoup (sinon de la plupart des acteurs de la menace). Des degrés élevés d'automatisation, une modération laxiste et un cryptage de bout en bout créent l'environnement parfait pour une vaste économie souterraine.
Un signe de la résilience de Telegram
Dans le monde de la cybercriminalité, les choses évoluent rapidement et les applications apparaissent et disparaissent constamment. Telegram, fondée en 2013, joue-t-elle encore un rôle prépondérant dans le milieu criminel ?
Beaucoup soupçonnaient que les utilisateurs se tourneraient vers d'autres plateformes après l'arrestation de son fondateur, Pavel Duvov, par les autorités françaises en 2024. Cette arrestation était vraisemblablement due à la grande tolérance de Telegram envers les activités illicites. Peu après, Telegram annonça des changements de politique et une collaboration plus étroite avec les forces de l'ordre, allant jusqu'à accepter de communiquer les adresses IP des cybercriminels présumés.
Ces changements ont incité de nombreux utilisateurs de Telegram à annoncer leur départ de la plateforme pour des alternatives comme Discord, Signal, Tox ou Session. Face à cet exode d'utilisateurs et à la surveillance accrue des forces de l'ordre, Telegram aurait pu sombrer dans l'oubli, ou du moins se détourner des activités criminelles. Pourtant, tout porte à croire que le statu quo demeure inchangé, Telegram restant aussi populaire que jamais auprès des cybercriminels de tous bords.
Pourquoi Telegram reste-t-il si populaire ?
Nous examinerons plus en détail les chiffres ci-dessous, mais penchons-nous d'abord sur les raisons qui expliquent la présence de cette communauté d'acteurs malveillants. pas laissé Telegram en pourcentage significatif.
Tout d'abord, même si Telegram s'est montré nettement plus coopératif avec les autorités, notamment en prenant des mesures pour supprimer les chaînes illicites, l'augmentation reste minime. La grande majorité de ces chaînes n'ont pas été supprimées. Les utilisateurs disposent toujours de moyens simples pour contourner les changements de politique de Telegram. De plus, Duvov a de nouveau adopté une position conflictuelle dans ses communications publiques, laissant penser que son engagement, et celui de son entreprise, en matière de surveillance pourrait être temporaire. En matière de cybercriminalité, Telegram reste une plateforme ouverte aux activités illégales.
La seconde raison pour laquelle les pirates informatiques n'ont pas abandonné Telegram est l'absence d'alternatives comparables. Les atouts qui ont fait le succès de Telegram dès ses débuts – son envergure, sa simplicité et sa confidentialité – sont toujours présents et restent supérieurs à ceux de la plupart des autres plateformes. De plus, Telegram rassemble sans doute le plus grand nombre d'acteurs malveillants. Pour ceux qui souhaitent entrer en contact avec un maximum d'acheteurs, de vendeurs ou de collaborateurs, rapidement et facilement, rien ne se compare à Telegram – pas même le dark web.
Cela pourrait bien sûr changer, que ce soit sous la pression des autorités ou face à la concurrence. Néanmoins, l'arrestation du fondateur milliardaire de Telegram – une mesure énergique de la part du gouvernement français – témoigne de sa résilience, alors que Telegram semble quasiment identique à ce qu'il était auparavant.
Nos recherches sur la cybercriminalité sur Telegram
Flare surveille les acteurs malveillants et collecte des renseignements sur les menaces, offrant ainsi une vision sans précédent du milieu criminel. Nous suivons de près l'activité sur Telegram depuis des années, ce qui nous permet de comparer l'activité avant et après l'arrestation de Duvov. Nos recherches confirment que peu de choses ont changé sur Telegram : la plateforme reste aussi active et dangereuse qu'auparavant, et rien n'indique un ralentissement.
Voici quelques-uns des principaux enseignements tirés de notre recherche:
- Plus de 77 millions de publications contenant des liens/identifiants Telegram ont été partagées sur des forums ou des chaînes de cybercriminalité en 2024. Discord arrivait loin derrière, en deuxième position, avec seulement 2 millions.
- Le nombre de liens/identifiants Telegram partagés depuis août 2024, date de l'arrestation de Duvov, est aussi élevé, voire plus élevé, qu'avant cette date.
- Les publications contenant des liens/identifiants vers Telegram sont bien plus nombreuses que celles portant sur toute autre plateforme.
- La plupart des acteurs malveillants présents sur d'autres canaux sont aussi sur Telegram, ce qui suggère que les utilisateurs n'ont pas quitté la plateforme mais se sont plutôt tournés vers d'autres.
Quel est l'avenir de Telegram ?
Certains signes indiquent que Telegram se réforme et s'engage à collaborer bien plus étroitement avec les forces de l'ordre qu'auparavant. D'autres signes suggèrent que Telegram n'a guère envie de changer et n'a rien fait jusqu'à présent pour provoquer un exode massif de la plateforme. Quel est donc l'avenir de Telegram ? La situation va-t-elle s'améliorer ou s'aggraver en matière de cybercriminalité ?
Pour prédire la réponse, il est utile de considérer la relation entre Telegram et le dark web. Nous avons précédemment appelé Telegram les réseaux sociaux du dark webL'avènement des réseaux sociaux a contribué à rendre l'internet originel plus accessible, plus facile à appréhender et plus utile aux personnes qui préféraient rester sur un seul site web plutôt que de naviguer dans un vaste écosystème d'informations. De même, Telegram facilite la recherche, la connexion et la collaboration entre les acteurs malveillants, comparativement à la possibilité de se rassembler sur le dark web.
Telegram demeure le roi des réseaux sociaux cybercriminels, avec une portée inégalée, ce qui rend difficile pour les pirates informatiques de quitter Telegram et de perdre tous leurs contacts. Contrôler ce qui se passe sur Telegram, même avec une modération poussée, exige des efforts considérables pour repérer une petite quantité de contenu ou d'activité illégale. Si l'on ajoute à cela la tendance naturelle de Telegram à la confidentialité et à la permissivité, une conclusion simple s'impose : les forces qui maintiennent Telegram inchangé sont… beaucoup plus fortes que les forces qui le poussent à changer.
En résumé : Telegram a beau évoluer, il restera dans un avenir prévisible le centre du monde de la cybercriminalité.
Meilleures pratiques de surveillance des télégrammes
1. Une solution de renseignement sur les menaces peut fournir une couverture complète de Telegram.
Les analystes de sécurité peuvent obtenir des informations précieuses sur les menaces externes en surveillant Telegram. Ils peuvent ainsi découvrir de nouveaux risques, le contexte géopolitique qui influe sur leur profil de cyber-risque, ainsi que les entreprises ou les secteurs d'activité ciblés.
2. L'automatisation permet de surveiller les canaux pertinents.
Compte tenu du nombre considérable de chaînes Telegram, une surveillance manuelle exhaustive est impossible. Les acteurs malveillants opèrent sur des milliers de chaînes et créent fréquemment de nouvelles chaînes, en modifient le nom et fusionnent d'autres, ce qui rend les méthodes de surveillance automatisées bien plus efficaces.
Les équipes de sécurité peuvent automatiser la surveillance de Telegram en trouvant une solution qui couvre à la fois les plateformes Telegram illicites et les places de marché Tor traditionnelles.
3. Éliminer le bruit permet de se concentrer sur ce qui compte le plus.
Les équipes de sécurité peuvent obtenir du contexte et prioriser efficacement grâce à des renseignements exploitables qui améliorent des indicateurs de sécurité clés comme le temps moyen de détection (MTTD).
L’évolution de la surveillance de Telegram
Le fait que les acteurs malveillants n'aient pas déserté Telegram ne signifie pas qu'ils n'ont pas modifié leur comportement depuis le renforcement des mesures de répression sur la plateforme. Au contraire, ils sont parfaitement conscients que les chaînes illicites font l'objet d'une surveillance accrue et que leur identité pourrait être révélée aux forces de l'ordre. Ils gèrent ce risque en redoublant de discrétion et de subterfuge sur Telegram, tout en s'assurant de disposer de solutions de repli ailleurs.
Pour les entreprises qui pratiquent déjà la surveillance de Telegram ou envisagent de le faire prochainement, cette situation a plusieurs implications. Elle souligne la nécessité d'automatiser le suivi des volumes massifs (et croissants) de conversations illicites, ainsi que d'utiliser l'apprentissage automatique pour identifier des schémas, des tendances et des liens qui resteraient autrement invisibles. Elle démontre également l'importance des analystes humains qui maîtrisent parfaitement Telegram et les cybercriminels qu'ils traquent. Enfin, elle illustre pourquoi la surveillance de Telegram doit être complétée par une chasse aux menaces sur d'autres plateformes internet afin de garantir une détection systématique.
Surveillance des télégrammes avec Flare
Flare propose la solution de veille sur les menaces la plus performante pour les entreprises. Notre technologie analyse en permanence le web, y compris le web classique et le dark web, afin de détecter les événements inconnus, de hiérarchiser automatiquement les risques et de fournir des informations exploitables immédiatement pour renforcer la sécurité. Flare surveille et archive des milliers de chaînes Telegram, permettant ainsi à votre équipe de sécurité d'optimiser la sécurité de votre entreprise grâce à l'automatisation de ces processus.
Notre solution s'intègre à votre programme de sécurité en 30 minutes pour fournir à votre équipe des informations exploitables et une remédiation automatisée en cas d'exposition à haut risque. Découvrez les menaces externes auxquelles votre organisation est exposée sur Telegram en vous inscrivant à notre service. essai gratuit.
