MÉFIEZ-VOUS DE TELEGRAM – POURQUOI ?

PATRICK JAULENT, expert cybersécurité

Cet article extrait du livre «  ILS PIRATENT LA FRANCE »  est destiné uniquement à la sensibilisation et à la recherche en cybersécurité. Il ne promeut ni ne cautionne de contenu illégal.

L’importance de Telegram en tant que source de renseignement a augmenté après que les opérations des forces de l’ordre ont perturbé de grands forums clandestins entre 2024 et 2026. De nombreux acteurs malveillants ont transféré des parties de leurs opérations sur Telegram comme couche de secours pour la communication, la distribution des fuites et le recrutement d’affiliés. Chaque canal remplit une fonction différente : de l’agrégation d’actualités sur la cybersécurité et le suivi des réclamations des victimes de ransomware, à la distribution des journaux de vol et à la coordination des campagnes DDoS (Distributed Denial of Service, en français attaque par déni de service distribué).

Principales chaînes Telegram

Le tableau suivant résume les principaux canaux et groupes actifs de Telegram utilisés par les acteurs malveillants, les hacktivistes et les communautés de cybercriminalité en 2026.

Note : les chaînes Telegram sont fréquemment supprimées ou migrées. Ce tableau reflète le statut en 2026. Les chaînes peuvent changer de nom à tout moment.

Comment les acteurs malveillants utilisent Telegram ?

Telegram est devenu une plateforme de communication privilégiée pour les cybercriminels, les opérateurs de ransomware et les collectifs hacktivistes. Il combine évolutivité, communication semi-anonyme, diffusion rapide et faible friction pour la création de chaînes. Tous rendent l’activité attrayante pour les communautés cybernétiques souterraines.

Les acteurs malveillants utilisent couramment Telegram pour :

• Annonces des victimes de ransomware : les groupes publient des plaintes d’extorsion et des noms de victimes, souvent avant que les données n’apparaissent sur des sites dédiés aux fuites.
• Recrutement affilié : les syndicats de ransomware et les opérations de cybercriminalité recrutent directement des développeurs, des courtiers en accès initial et des affiliés via les canaux Telegram.
• Violation et distribution des fuites : les bases de données volées, les dumps d’identifiants et les journaux de voleurs sont partagés à la fois par des canaux publics et des groupes privés.
• Partage de malwares et de kits de phishing : les acteurs malveillants distribuent des kits de phishing prêts à l’emploi, des voleurs d’informations et des outils d’exploitation via des bots automatisés et des publications de groupes.
• Coordination lors des campagnes géopolitiques : les groupes hacktivistes utilisent Telegram pour cibler les discussions, les mises à jour opérationnelles et coordonner les campagnes DDoS.
• Migration après des suppressions de forum : à la suite d’opérations majeures des forces de l’ordre contre des forums clandestins tels que BreachForums et LeakBase entre 2024 et 2026, de nombreux acteurs malveillants ont orienté leurs opérations vers des écosystèmes basés sur Telegram.

Contrairement aux forums underground traditionnels qui nécessitent l’accès à Tor, Telegram fonctionne sur le web de surface tout en soutenant des groupes privés et une large audience. Cette combinaison a fait de Telegram une source de plus en plus cruciale pour le renseignement sur les menaces cybernétiques, les enquêtes OSINT, la surveillance des surfaces d’attaque et les flux de travail de renseignement sur les brèches.

Pourquoi Telegram continue de se reconstruire après des perturbations

Une caractéristique déterminante de la cybercriminalité basée sur Telegram est la rapidité avec laquelle les chaînes reviennent après les suppressions. Lorsque des actions de modération ou l’application de politiques éliminent un groupe, les réseaux d’acteurs menaçants se rétablissent généralement sous de nouveaux noms en quelques heures ou jours. Dans de nombreux cas, le canal de remplacement est opérationnel avant même que la plupart des abonnés ne remarquent que l’original a disparu.

Cette reconstruction rapide repose sur des infrastructures que les acteurs malveillants construisent à l’avance :

• Canaux de secours et miroirs : de nombreux groupes maintiennent des canaux secondaires qui restent dormants jusqu’à ce que le canal principal soit supprimé. Une fois qu’une élimination a lieu, le système de secours s’active et commence à rediriger les suiveurs.
• Bots de redirection automatisés : les bots Telegram peuvent automatiquement envoyer un message aux abonnés d’une chaîne supprimée avec le nouveau lien. Cela préserve la continuité de l’audience même lorsque le nom et le pseudo de la chaîne changent complètement.
• Réseaux d’annonces multiplateformes : les groupes publient des liens de sauvegarde sur des chaînes alliées, des forums du dark web et des plateformes de messagerie alternatives comme Discord ou Matrix. Cette approche distribuée signifie qu’aucune suppression unique ne peut couper tous les points de connexion entre un groupe et son public.
• Administration décentralisée : de nombreux groupes se répartissent le contrôle administratif entre plusieurs comptes et opérateurs. Si un administrateur est compromis ou banni, d’autres peuvent créer une nouvelle chaîne de manière indépendante.

L’effet pratique est que les suppressions au niveau du canal provoquent des perturbations temporaires mais éliminent rarement la capacité opérationnelle d’un groupe. NoName057(16) a perdu ses abonnés à de nombreuses reprises, mais l’a reconstruit encore et encore. L’Alliance Z-Pentest et l’équipe Dark Storm ont suivi des schémas similaires après leurs propres suppressions.

Quelques groupes Telegram que les équipes de cybersécurité de XYZ surveillent :

1. Équipe Dark Storm

Dark Storm Team est un groupe hacktiviste connu pour ses opérations cybernétiques pro-palestiniennes et sa collaboration passée avec Anonymous Sudan, qui a été démantelée par les forces de l’ordre en 2024. Le groupe a mené des attaques contre des cibles au Danemark, en Égypte, en France, en Israël, aux Émirats arabes unis et aux États-Unis, en coordonnant fréquemment avec d’autres groupes d’acteurs menaçants pour amplifier l’impact.

Ce qui distingue Dark Storm Team des groupes purement hacktivistes idéologiques, c’est sa composante commerciale. Le groupe promeut activement des services de piratage à louer via sa chaîne Telegram, proposant des attaques DDoS contre des sites web protégés et des dumps de bases de données provenant d’organisations telles que des banques et des aéroports. Toutes les transactions sont effectuées via des cryptomonnaies, la coordination étant assurée via les contacts Telegram.

Cette combinaison de motivation idéologique et de services commerciaux rend Dark Storm Team plus difficile à prévoir que les groupes animés par un seul mobile. Son ciblage peut varier à la fois en fonction des évolutions politiques et des clients payants, ce qui élargit la gamme des organisations susceptibles d’être touchées.

Dark Storm Team brouille la frontière entre hacktivisme idéologique et cybercriminalité en tant que service.

2. NoName057(16)

NoName057(16) est un groupe hacktiviste pro-russe qui a émergé durant les premiers mois de la guerre russo-ukrainienne. Depuis 2022, le groupe mène des campagnes DDoS soutenues visant principalement l’Ukraine, les pays alignés sur l’OTAN et les pays fournissant un soutien militaire ou économique à l’Ukraine. Les cibles ont inclus des portails gouvernementaux, des institutions financières, des systèmes de transport et des infrastructures critiques à travers l’Europe et l’Amérique du Nord.

Le modèle opérationnel du groupe est centré sur son projet DDoSia, un outil DDoS piloté par des bénévoles distribué via Telegram. Les participants téléchargent l’outil, contribuent de leur bande passante aux attaques coordonnées et reçoivent des paiements en cryptomonnaie en fonction du volume et de l’efficacité de leur contribution. Cette approche participative permet à NoName057(16) d’augmenter la capacité d’attaque sans maintenir une infrastructure dédiée de botnet.

Les politiques de modération mises à jour de Telegram ont conduit à la suppression de NoName057(16) qui comptait 30 000 abonnés. Le groupe s’est reconstruit sous un nouveau pseudonyme en quelques jours, récupérant environ 2 200 abonnés.

NoName057(16) exploite également plusieurs canaux secondaires pour différentes langues et fonctions opérationnelles, y compris des canaux dédiés de distribution DDoSia et des groupes régionaux de coordination de ciblage.

NoName057(16) annonce publiquement les cibles avant et pendant les campagnes. La surveillance de leurs canaux permet aux équipes de sécurité d’avertir des opérations DDoS, en particulier pour les organisations des pays affiliés à l’OTAN, des services gouvernementaux, des institutions financières et des infrastructures critiques.

3. Nuage d’observateur

Observer Cloud est une chaîne d’agrégation basée sur Telegram qui collecte et republie des journaux d’identifiants et des listes combinées provenant d’autres chaînes Telegram et de communautés clandestines. La chaîne ne génère pas ses propres données. Elle fonctionne plutôt comme un point centralisé de redistribution, recueillant les identifiants fuités provenant de sources dispersées et les consolidant pour un accès facile.

Ce modèle d’agrégation est ce qui rend Observer Cloud opérationnellement significatif. Les identifiants volés qui pourraient autrement se trouver dans des chaînes à faible visibilité sont amplifiés auprès d’une audience beaucoup plus large une fois republiés ici.

Au-delà de sa fonction principale de partage de logs, Observer Cloud propose des outils personnalisés, maintient une liste d’arnaques pour signaler les vendeurs peu fiables et gère des groupes de discussion pour des discussions et transactions liées aux logs. La communauté a continué de s’étendre, développant son infrastructure pour renforcer sa position dans l’écosystème clandestin du trading de crédences.

Pourquoi cela est important pour les défenseurs : Observer Cloud est un point d’agrégation très visible pour les identifiants volés. Le contrôle aide les équipes de sécurité à détecter tôt l’exposition des identifiants organisationnels avant qu’ils ne se propagent aux canaux de cybercriminalité en aval et aux campagnes d’attaque actives.

4. Nuage Oméga

Omega Cloud est une plateforme basée sur Telegram qui distribue des journaux de voleur obtenus à partir d’infections à des malwares infostealers. La chaîne fonctionne selon un modèle de service à plusieurs niveaux. Un niveau gratuit offre un accès limité aux journaux, tandis que les abonnements payants débloquent des flux à plus grand volume et une livraison en temps réel.

La plateforme propose le trafic en direct, fournissant des journaux en temps réel, et le Cloud privé, qui fournit jusqu’à 5 000 journaux par jour, soit 120 000 journaux par mois. De plus, Omega Cloud maintient une base de données dépassant les 2 milliards d’enregistrements, accessible via un modèle par abonnement.

L’orientation régionale est notable. Les journaux d’Omega Cloud sont fortement orientés vers l’Europe, les États-Unis, le Canada et le Brésil, avec des références provenant de plateformes comme YouTube et Google Ads. Ce ciblage géographique signifie que le canal est particulièrement pertinent pour les organisations disposant d’employés, de clients ou d’infrastructures dans ces régions.

5. Moniteur de fuites de données

Data Leak Monitor est l’un des plus grands canaux Telegram dédiés au suivi des fuites de données, des annonces de violations et des réclamations de victimes de ransomware. Avec plus de 26 500 abonnés, la chaîne republie du contenu provenant de groupes de ransomware, de forums clandestins et d’autres communautés de cybercriminalité, agissant comme une couche secondaire de distribution pour le renseignement lié aux filtres.

La valeur de la chaîne vient de sa vitesse et de sa portée d’abonnés. Lorsqu’un groupe de ransomware publie une nouvelle réclamation de victime ou qu’un échantillon de violation apparaît sur un forum clandestin, Data Leak Monitoring la récupère souvent et la republie à un public Telegram beaucoup plus large en quelques heures. Pour les organisations qui ne surveillent pas directement les sites de fuites de ransomware ou les forums clandestins, ce canal peut servir de premier signal qu’un événement a émergé.

La limite réside dans la profondeur de couverture. Le canal ne suit pas tous les principaux quais souterrains.

Quelles sont les équipes de sécurité à surveiller sur Telegram

Se contenter de suivre les canaux de cybermenace ne suffit pas pour générer des renseignements exploitables. La véritable valeur réside dans l’identification d’indicateurs spécifiques pertinents au risque organisationnel et leur corrélation avec des flux de travail plus larges de renseignement sur les menaces.

Les équipes de sécurité donnent la priorité à la surveillance pour :

• Identifiants fuités et listes combinées liées à des domaines organisationnels ou des comptes d’employés.
• Victime de ransomware mentionnant votre secteur, ou votre partenaire de chaîne d’approvisionnement.
• Distribution de kits de phishing et discussions sur le développement des infrastructures de phishing.
• Tentatives d’usurpation d’identité de cadres et mentions de marques dans des discussions clandestines.
• Activité initiale des courtiers d’accès, y compris les offres pour VPN, RDP (RDP Remote Desktop Protocol, en français protocole de bureau à distance. Il permet de prendre le contrôle à distance d’un ordinateur Windows et de l’utiliser presque comme si l’on était assis devant : écran, applications, fichiers, etc. et points d’appui réseau d’entreprise.
• Exposition de logs de vol contenant des données d’identité compromises de l’écosystème de votre organisation.
• Campagnes de distribution de malwares ciblant les technologies de votre pile d’infrastructure.
• Indicateurs d’escalade géopolitique qui peuvent déclencher des campagnes hacktivistes contre votre secteur.

Parce que Telegram produit un volume élevé d’affirmations non vérifiées et de contenus republiés, l’enrichissement contextuel et la corrélation avec des sources plus larges de renseignement sur les menaces telles que les forums du dark web, les sites de fuite de ransomwares et les bases de données IOC sont essentiels pour filtrer le signal du bruit.

Pourquoi Telegram est devenu un centre pour les écosystèmes de cybercriminalité ?

Telegram a pris de l’importance pour les cybercriminels car il remplit un rôle différent de celui des forums clandestins traditionnels. Les forums servent toujours de places de marché basées sur la réputation et de plateformes de discussion de longue durée. Telegram gère l’évolution rapide des opérations :

• Communication rapide entre les membres du groupe et les affiliés
• Amplification instantanée des fuites à de larges audiences en quelques minutes après une réclamation de violation
• Construction d’audience via des canaux publics qui attirent rapidement des milliers d’abonnés
• Coordination opérationnelle des campagnes DDoS, discussions sur le ciblage et logistique d’attaque
• Migration rapide des chaînes après des suppressions de modération, avec des chaînes de remplacement activées en quelques heures
• Changements de modération et schémas migratoires

En septembre 2024, Telegram a introduit la modération de contenu basée sur l’IA, rendant plus difficile pour les acteurs malveillants de partager et d’accéder à des contenus illégaux. De nombreux groupes hacktivistes et cybercriminels ont commencé à explorer des plateformes alternatives telles que Signal, Discord et les réseaux de messagerie décentralisés.

Pour une analyse plus large de la façon dont les politiques de Telegram transforment l’écosystème de la cybercriminalité, voir : L’Exode a commencé : Alternatives pour Telegram.

Malgré ces changements de modération, Telegram reste l’un des points de distribution les plus actifs pour l’activité cybercriminelle. L’ampleur, l’accessibilité et la rapidité à laquelle les canaux peuvent se reconstruire après les suppressions continuent de la rendre attrayante pour les acteurs malveillants.

Les perturbations du forum ont accéléré la migration

À la suite d’importantes opérations de cybercriminalité des forces de l’ordre contre des forums clandestins entre 2024 et 2026, y compris des suppressions répétées de BreachForums, LeakBase et d’autres communautés de cybercriminalité, de nombreux acteurs malveillants ont déplacé une partie de leurs opérations vers des écosystèmes basés sur Telegram. Telegram est devenu une couche de secours de communication et de distribution pour les acteurs dont l’infrastructure principale a été perturbée.

BreachForums : forum cybercriminel connu où ont notamment été publiées, proposées ou discutées des bases de données volées ou divulguées, ainsi que d’autres informations issues de compromissions.

LeakBase : nom utilisé pour des communautés/forums consacrés aux fuites de données et bases compromises.

Questions fréquemment posées

Telegram fait-il partie du dark web ?

Non. Telegram fonctionne sur le web de surface et sur les réseaux mobiles standards. Cependant, de nombreux cybercriminels et réseaux d’acteurs menaçants utilisent Telegram pour la communication, la distribution de fuites et la coordination opérationnelle, c’est pourquoi les équipes de cybersécurité le considèrent comme une source de renseignement importante aux côtés de la surveillance traditionnelle du dark web.

Pourquoi les cybercriminels utilisent-ils Telegram ?

Les acteurs malveillants utilisent Telegram car il permet une communication rapide, de larges audiences, la création de chaînes anonymes, des bots automatisés et une migration rapide des chaînes après des retraits de modération. Ces fonctionnalités réduisent la barrière à la coordination de la cybercriminalité par rapport aux forums traditionnels basés sur Tor.

Comment les équipes de sécurité surveillent-elles les chaînes Telegram ?

Les équipes de sécurité utilisent des communautés de renseignement sur les menaces cybernétiques, des outils OSINT, des solutions de surveillance du dark web et une analyse automatisée de télémétrie pour surveiller l’activité des menaces basées sur Telegram. La surveillance manuelle directe des canaux souterrains crée des risques juridiques et opérationnels, c’est pourquoi les organisations s’appuient généralement sur des outils spécialisés qui agrégent et contextualisent ces données.

Pourquoi les groupes de ransomware sont-ils actifs sur Telegram ?

Telegram permet aux opérateurs de ransomware de publier rapidement les réclamations des victimes, les annonces de fuites, les messages d’extorsion et les publications de recrutement d’affiliés auprès de larges audiences. De nombreux groupes de ransomware utilisent Telegram comme canal d’annonce de première étape avant de publier des ensembles de données complets sur des sites dédiés aux fuites.

Quels risques les organisations rencontrent-elles face aux fuites basées sur Telegram ?

Les organisations peuvent faire face à l’usurpation d’identité. Les données fuitées sur Telegram sont souvent amplifiées et redistribuées dans plusieurs écosystèmes de cybercriminalité, augmentant ainsi la fenêtre d’exposition.

Quels types de groupes Telegram sur le Dark Web existent ?

Les communautés de cybercriminalité basées sur Telegram varient selon leur domaine. Les canaux de fuite de données publient des bases de données volées et des échantillons de fuites. Les groupes de courtiers d’accès vendent des points d’appui VPN, RDP et réseaux d’entreprise. Les opérateurs de ransomware recrutent des affiliés et annoncent les victimes. Les groupes hacktivistes coordonnent les campagnes DDoS et les opérations géopolitiques. Les communautés frauduleuses échangent des données financières volées, des kits de phishing et des services d’échange de cartes SIM.

Chaque catégorie présente des niveaux de risque différents, rendant la classification essentielle pour une surveillance efficace des menaces.

Comment les organisations peuvent-elles détecter s’elles sont mentionnés dans des chaînes télé clandestines ?

Les organisations peuvent utiliser des plateformes de cyberintelligence sur les menaces et des solutions de surveillance du dark web qui scannent les communautés basées sur Telegram à la recherche de noms de domaines d’entreprise, de noms de cadres, de références d’employés et de mots-clés liés à la marque. Le suivi automatisé des mots-clés combiné à la revue par les analystes offre l’approche la plus efficace pour la détection précoce.

Bien que les chaînes disparaissent et se reconstruisent fréquemment, Telegram reste l’une des surfaces de renseignement les plus rapides pour l’activité de ransomware, les discussions sur les fuites, les opérations hacktivistes et la coordination des cybermenaces clandestines. Pour les équipes de cybersécurité, le défi ne consiste plus simplement à accéder au renseignement basé sur Telegram. Le véritable défi est de filtrer l’activité de menace à haut signal à partir de volumes écrasants de bruit non vérifié. Les organisations qui combinent la surveillance Telegram avec des programmes CTI plus larges, des flux de renseignement de violation et des flux de travail de surveillance des surfaces d’attaque sont mieux placées pour détecter les menaces émergentes avant qu’elles ne dégénèrent en incidents majeurs.

Alors que les acteurs de la menace continuent de fusionner leurs opérations clandestines avec les plateformes de messagerie traditionnelles, la surveillance de Telegram est devenue un élément nécessaire de tout programme mature de renseignement sur les menaces cybernétiques.

Un dernier message pour conclure.

Sur le compte officiel de Telegram sur X partageant, le 29 juillet 2026, une photo de Durov faisant un doigt d’honneur (https://x.com/telegram/status/2082364471339786357)

Je me demandais juste à qui est adressé ce doigt.

J’ai une petite idée et vous ?

ANNEXE