IOCTA 2026 : Europol dresse le panorama des cybermenaces – IA, chiffrement et proxies

🌐 Contexte

Publié le 28 avril 2026 par Europol (European Union Agency for Law Enforcement Cooperation), l’Internet Organised Crime Threat Assessment (IOCTA) 2026 constitue l’évaluation annuelle la plus complète des cybermenaces pesant sur l’Union européenne. Le rapport s’intitule « How encryption, proxies and AI are expanding cybercrime » et couvre les développements observés principalement en 2025.

🎯 Principaux vecteurs de menace identifiés

Ransomware

• Plus de 120 familles de ransomware actives observées par Europol en 2025
• Modèle RaaS (Ransomware-as-a-Service) dominant, avec fragmentation croissante des opérations
• Groupes notables : Qilin, Akira, LockBit (tentatives de rebond avec LockBit 5.0), DragonForce, BlackBasta, Cl0p, Play, Fog
• En septembre 2025, une coalition DragonForce + LockBit + Qilin annoncée sur le dark web
• Tactiques d’extorsion multi-couches : exfiltration de données, DDoS simultanés, cold-calling, pression psychologique
• Shift de l’extorsion : de la demande de déchiffrement vers la menace de publication des données

Fraude en ligne (OFS)

• Fraude représentant la zone de croissance la plus rapide de la criminalité organisée
• Typologies principales : fraude à l’investissement (crypto), BEC, romance scam, tech support fraud, fraude aux paiements
• Usage massif de SIM boxes / SIM farms (ex : réseau letton de 7 individus, 1 200 dispositifs, 40 000 SIM cards, 49 millions de comptes créés)
• Montée des IMSI catchers et SMS blasters pour contourner les protocoles KYC
• Drainers de cryptomonnaies maturés en système CaaS (acquisition d’Inferno Drainer par Angel Drainer en octobre 2024)
• Attaques relay sur terminaux de paiement en hausse dans l’UE
• Adoption de l’IA générative pour personnaliser l’ingénierie sociale, scripts d’appel, chatbots de pré-sélection des victimes

Infrastructure criminelle

• Dark web : fragmentation des marketplaces généralistes, émergence de plateformes spécialisées
• Démantèlement d’Archetyp Market (600 000 utilisateurs, EUR 250M de transactions, juin 2025) ; émergence de BlackOps, TorZon, Nexus Market
• DarkForums successeur de BreachForums
• Bullet-proof hosting (BPH) avec sous-location multi-juridictionnelle
• Proxies résidentiels pour masquer le trafic malveillant
• Abus DNS pour phishing, C2 de botnets, distribution de malwares
• Démantèlement de Cryptomixer (EUR 1,3 milliard en Bitcoin mixés depuis 2016, novembre 2025)
• Montée des privacy coins, chain-hopping, bridges blockchain, DEX, coinjoin pour le blanchiment

Menaces hybrides et DDoS

• Acteurs étatiques utilisant des réseaux cybercriminels comme proxies pour des opérations de déstabilisation
• NoName057(16) : réseau pro-russe ciblant gouvernements et entreprises, démantelé partiellement lors de l’Opération Eastwood (juillet 2025, 19 pays impliqués)
• DDoS lors du Sommet OTAN de La Haye (juin 2025)
• Coalition Scattered LAPSUS$ Hunters (SLSH) : Scattered Spider + ShinyHunters + LAPSUS$ (annoncée août 2025)

Exploitation sexuelle des enfants en ligne (CSAM)

• Kidflix démantelé (1,8M utilisateurs, 80 000 vidéos, 1 400 suspects identifiés, 39 enfants protégés)
• Hausse de 70% des signalements de sextorsion financière (NCMEC, H1 2025 vs H1 2024)
• CSAM généré par IA en forte progression (modèles text-to-image, text-to-video, image-to-image)
• Réseau The Com : communautés en ligne mêlant CSE, cyberattaques, extorsion, violence extrême
• Plateforme Help4U lancée par Europol en novembre 2025 pour soutenir les victimes mineures

🔧 Opérations de police majeures citées

• Opération Endgame : démantèlement de Smokeloader, Bumblebee, Lactrodectus, Qakbot, Hijackloader, DanaBot, Trickbot, Warmcookie, Rhadamantys, VenomRAT, Elysium botnet
• Phobos/8Base : arrestation de 4 ressortissants russes, avertissement de 400 entreprises
• Cryptomixer.io : saisie de EUR 25M en cryptomonnaies, 12 To de données
• Archetyp Market : arrestation de l’administrateur à Barcelone
• NoName057(16) : Opération Eastwood, 9 arrestations, +100 serveurs perturbés
• Réseau SIM box letton : 7 arrestations (octobre 2025)
• CSAM IA : 25 arrestations mondiales, 273 suspects identifiés

📋 Type d’article

Il s’agit d’un rapport stratégique annuel publié par Europol, destiné aux décideurs stratégiques, politiques et opérationnels des autorités répressives de l’UE. Son but principal est de fournir une évaluation structurée et factuelle du paysage des cybermenaces pour orienter les priorités opérationnelles et politiques en matière de lutte contre la cybercriminalité.

🧠 TTPs et IOCs détectés

Acteurs de menace

• Qilin (cybercriminal) —
• Akira (cybercriminal) — orkl.eu · Malpedia · MITRE ATT&CK
• LockBit (cybercriminal) — MITRE ATT&CK
• DragonForce (cybercriminal) — orkl.eu · Malpedia
• BlackBasta (cybercriminal) —
• Cl0p (cybercriminal) —
• Play (cybercriminal) — orkl.eu · MITRE ATT&CK
• Fog (cybercriminal) —
• Phobos (cybercriminal) —
• 8Base (cybercriminal) —
• NoName057(16) (hacktivist) — orkl.eu · Malpedia
• Scattered Spider (cybercriminal) — orkl.eu · Malpedia · MITRE ATT&CK
• ShinyHunters (cybercriminal) — orkl.eu · Malpedia
• LAPSUS$ (cybercriminal) — orkl.eu · Malpedia · MITRE ATT&CK
• Conti (cybercriminal) —
• Angel Drainer (cybercriminal) —
• Inferno Drainer (cybercriminal) —

TTP

• T1566 — Phishing (Initial Access)
• T1566.001 — Phishing: Spearphishing Attachment (Initial Access)
• T1190 — Exploit Public-Facing Application (Initial Access)
• T1078 — Valid Accounts (Initial Access)
• T1486 — Data Encrypted for Impact (Impact)
• T1657 — Financial Theft (Impact)
• T1498 — Network Denial of Service (Impact)
• T1041 — Exfiltration Over C2 Channel (Exfiltration)
• T1567 — Exfiltration Over Web Service (Exfiltration)
• T1071 — Application Layer Protocol (Command and Control)
• T1090 — Proxy (Command and Control)
• T1090.002 — Proxy: External Proxy (Command and Control)
• T1583.001 — Acquire Infrastructure: Domains (Resource Development)
• T1583.003 — Acquire Infrastructure: Virtual Private Server (Resource Development)
• T1588.001 — Obtain Capabilities: Malware (Resource Development)
• T1588.005 — Obtain Capabilities: Exploits (Resource Development)
• T1496 — Resource Hijacking (Impact)
• T1560 — Archive Collected Data (Collection)
• T1114 — Email Collection (Collection)
• T1539 — Steal Web Session Cookie (Credential Access)
• T1556 — Modify Authentication Process (Credential Access)
• T1598 — Phishing for Information (Reconnaissance)
• T1534 — Internal Spearphishing (Lateral Movement)
• T1204 — User Execution (Execution)
• T1059 — Command and Scripting Interpreter (Execution)

IOC

• Domaines : cryptomixer.io — VT · URLhaus · ThreatFox

Malware / Outils

• Qilin (ransomware)
• Akira (ransomware)
• LockBit (ransomware)
• LockBit 5.0 (ransomware)
• DragonForce (ransomware)
• BlackBasta (ransomware)
• Cl0p (ransomware)
• Play (ransomware)
• Fog (ransomware)
• Phobos (ransomware)
• 8Base (ransomware)
• Smokeloader (botnet)
• Bumblebee (loader)
• Lactrodectus (loader)
• Qakbot (botnet)
• Hijackloader (loader)
• DanaBot (botnet)
• Trickbot (botnet)
• Warmcookie (backdoor)
• Rhadamantys (stealer)
• VenomRAT (rat)
• Elysium (botnet)
• Angel Drainer (other)
• Inferno Drainer (other)

🟢 Indice de vérification factuelle : 79/100 (haute)

• ✅ europol.europa.eu — source reconnue (liste interne) (20pts)
• ✅ 96188 chars — texte complet (fulltext extrait) (15pts)
• ✅ 1 IOC(s) (6pts)
• ✅ 1/1 IOC(s) confirmé(s) (ThreatFox, URLhaus, VirusTotal) (8pts)
• ✅ 25 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ✅ acteur(s) identifié(s) : Qilin, Akira, LockBit (5pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• cryptomixer.io (domain) → VT (3/91 détections)

🔗 Source originale : https://www.europol.europa.eu/publication-events/main-reports/iocta-2026-evolving-threat-landscape