Macédoine du Nord : arrestation du présumé administrateur du marché OLVX, une opération conjointe avec le FBI démantèle une place de marché de données volées
Un homme de 20 ans a été arrêté en Macédoine du Nord, soupçonné d'avoir exploité OLVX, une place de marché cybercriminelle où s'échangeaient des données personnelles volées et des identifiants de connexion. L'arrestation a été menée conjointement par l'unité cybercriminalité du pays et le FBI, selon The Record. La place de marché a été active pendant environ deux ans, d'environ 2023 à 2025, et les ventes illicites réalisées via la plateforme auraient dépassé 500 000 dollars.
Une perquisition conjointe dans un village
L'opération a réuni les enquêteurs cybercriminalité de Macédoine du Nord et le FBI. Selon The Record, qui a relaté l'affaire le 14 octobre, les policiers ont perquisitionné au domicile du suspect dans un village et l'ont interpellé. Les appareils saisis lors de la perquisition ont ensuite été examinés, et le matériel récupéré fait désormais partie des preuves du dossier. Le programme cybercriminalité du Conseil de l'Europe, qui accompagne le pays en matière de cybercriminalité et de coopération internationale, a souligné le démantèlement du marché illégal dans un communiqué sur son site. Des médias spécialisés, dont The Cyber Express, ont ensuite relayé l'information. Ce type de perquisition intervient généralement après des mois de coopération discrète entre les services concernés, les preuves étant compilées par-delà les frontières avant de tenter une arrestation. Ce que vendait OLVX
OLVX n'était ni un marché de drogue ni un bazar d'armes. Son commerce, c'étaient des données. Des vendeurs y proposaient aux acheteurs des informations personnelles volées et des identifiants de connexion, et The Record indique que plus de 1 500 comptes de vendeurs ont été actifs au fil de la vie du site. CyberScoop, citant les chiffres rapportés dans le dossier, écrit que les ventes illicites du marché auraient dépassé 500 000 dollars. Le marché a fonctionné d'environ 2023 à 2025, avant de passer hors ligne. La couverture publique ne détaille pas l'inventaire exact du site, mais les plateformes de ce type proposent typiquement des dumps d'identifiants, des accès à des comptes et des enregistrements personnels issus d'infections par des infostealers ou de bases de données compromises. - Actif d'environ 2023 à 2025
- Plus de 1 500 comptes de vendeurs sur la durée de vie du site
- Marchandise principale : données personnelles volées et identifiants de connexion
- Ventes illicites supérieures à 500 000 dollars selon les rapports
Les marchés de ce type se trouvent au début d'une chaîne d'approvisionnement. Les identifiants et les données personnelles qui s'y vendent proviennent généralement de logiciels malveillants de type infostealer ou de fuites de services compromis, puis sont revendus à des acheteurs qui les utilisent pour la prise de contrôle de comptes, la fraude aux paiements ou la revente à un autre acheteur. Nous avons examiné un pan de ce commerce dans notre article sur la vente d'accès sur le dark web, qui décrit comment l'accès à des comptes et systèmes compromis est conditionné et tarifé. Supprimer une place comme OLVX interrompt cette chaîne au stade de la distribution, sans pour autant atteindre les opérateurs en amont qui produisent la marchandise à la base. Le groupe Telegram ONEMILI
Le suspect est en outre lié à ONEMILI, un groupe Telegram qu'il aurait animé et qui servait à coordonner des fraudes au remboursement. Dans sa forme habituelle, la fraude au remboursement exploite les politiques de retour des marchands : les achats sont effectués avec des moyens de paiement volés ou contrôlés, puis l'attaquant manipule le processus de remboursement afin que l'argent revienne pendant que la marchandise ou le gain du schéma reste entre les mains de l'escroc. Les pertes qui en résultent sont absorbées par les marchands et les prestataires de paiement. Les groupes Telegram consacrés à ces techniques opèrent avec une relative ouverture et sont devenus des lieux courants d'échange de méthodes, d'outils et de données volées. Selon The Record, le groupe était animé par le même suspect aujourd'hui arrêté. Des accusations distinctes dans la même affaire
La perquisition a également mis au jour un volet plus grave. Selon The Record, des preuves de matériel pédopornographique, liées à l'utilisation de Telegram par le suspect, ont été trouvées sur les appareils saisis. Cette constatation est distincte des accusations liées à la place de marché et pourrait entraîner des chefs supplémentaires. Le détail complet de l'acte d'accusation n'a pas été rendu public, et la suite de la procédure devant les tribunaux nord-macédoniens reste à voir. Ce que l'affaire dit des takedowns
Les opérations contre des marchés de données de taille moyenne sont devenues un produit routinier de la coopération entre les agences américaines et les forces de police d'Europe du Sud-Est. Le schéma est familier à partir de cas antérieurs : les enquêteurs locaux exécutent la perquisition et les saisies, tandis que les partenaires américains contribuent à l'attribution et à la constitution du dossier. La reconnaissance publique par les structures du Conseil de l'Europe montre à quel point l'application de la loi dans la région dépend des cadres transfrontaliers de lutte contre la cybercriminalité pour ce type d'action coordonnée. C'est la même division du travail que dans de nombreux takedowns annoncés ces dernières années. Pour les anciens utilisateurs de la place de marché, l'effet pratique est habituel : un lieu disparaît et l'activité se déplace ailleurs. Pour qui suit l'économie clandestine des données, l'affaire rappelle une nouvelle fois que l'exploitation d'une plateforme d'identifiants volés et de données personnelles comporte un risque réel d'arrestation, y compris dans des juridictions que des opérateurs ont parfois jugées hors de portée.
