Le 13 juillet 2026, le Département du Trésor américain a inscrit sur la liste des sanctions OFAC le citoyen ukrainien Dmytro Rashevskyi et le service VPN qu'il contrôlait, First VPN Service (1VPNS). Parallèlement, des sanctions ont été imposées au citoyen biélorusse Evgueni Silaïev — vendeur des soi-disant « crypteurs », des programmes qui dissimulent les logiciels malveillants sous l'apparence de logiciels légitimes et les rendent invisibles aux antivirus.
Douze ans dans l'ombre
Selon l'OFAC, depuis 2014, First VPN vendait une infrastructure d'anonymisation à des rançongiciels, à des escrocs et à des criminels qui attaquaient des entreprises américaines, des hôpitaux et des autorités locales. Le service était annoncé sur des forums criminels russophones — Exploit.in et XSS.is — comme un outil qui « ne coopère avec aucune autorité judiciaire, ne conserve pas de données et ne relève d'aucune juridiction ». C'est précisément cette promesse qui l'a rendu populaire parmi au moins 25 groupes de rançongiciels.
Rashevskyi agissait sous plusieurs pseudonymes — « JOBBERJOBBER777 », « RASHDV7 », « Johny Walker » et d'autres. L'OFAC a également inscrit sur sa liste de sanctions ses portefeuilles de cryptomonnaies en bitcoin et en éther, ce qui permet de suivre et de bloquer les flux de fonds ultérieurs.
L'opération Saffron : ce qui s'est passé avant les sanctions
Les sanctions ne sont pas un commencement, mais une continuation. En mai 2026, les autorités judiciaires françaises et néerlandaises, avec le soutien d'Europol et d'Eurojust, ont mené l'opération Saffron : les 19-20 mai, 33 serveurs ont été fermés, les domaines (1vpns.com, 1vpns.net, 1vpns.org et les versions .onion) ont été saisis, des perquisitions ont eu lieu en Ukraine et l'administrateur du service a été interrogé.
« First VPN s'est profondément enraciné dans l'écosystème de la criminalité informatique et a figuré dans pratiquement chaque grande enquête soutenue par Europol ».
— Europol, communiqué de presse du 21 mai 2026
Les enquêteurs ont obtenu accès à la base de données des utilisateurs du service — 506 d'entre eux ont déjà été identifiés grâce aux données fournies par la société roumaine Bitdefender.
Combien d'argent a transité par le service
La société d'analyse TRM Labs, qui suivait l'activité blockchain de First VPN avant même les sanctions, a établi des paiements directs de la part des groupes de rançongiciels. En particulier, le groupe Anubis ransomware a versé au service 715 dollars en décembre 2025 et mars 2026. Le montant est modeste — mais il confirme le lien transactionnel entre l'opérateur du VPN et des groupes criminels spécifiques, ce qui est crucial pour les poursuites judiciaires.
L'OFAC note que les groupes qui ont utilisé les services de Rashevskyi et de Silaïev ont causé au secteur des affaires américain et aux infrastructures critiques des milliards de dollars de dommages. Les attaques ont touché des hôpitaux — il ne s'agit donc pas seulement de pertes financières pour les entreprises, mais aussi de risques pour les patients.
Pourquoi c'est important pour l'économie souterraine de la criminalité informatique
Ce cas démontre un changement dans la logique des sanctions : l'OFAC frappe pour la première fois massivement non pas les auteurs des attaques, mais les fournisseurs d'infrastructure — ceux qui vendent l'anonymat en tant que service. Selon Bitdefender, chaque démantèlement de ce type augmente les coûts opérationnels du service suivant :
« De nouveaux services d'anonymisation apparaîtront. Mais chaque démantèlement réduit la fenêtre opérationnelle du suivant et élève la barre pour ceux habitués aux solutions toutes faites ».
— Bitdefender, commentaire sur l'opération Saffron
- Gel des actifs — tous les actifs américains ou liés aux États-Unis de Rashevskyi sont gelés
- Interdiction des transactions — les citoyens et entreprises américains ne peuvent avoir aucune relation commerciale avec lui
- Effet domino — les clients de 1VPNS, dont les données sont désormais entre les mains des enquêteurs, ont reçu une notification : leurs identités ont été établies
Parallèlement, des poursuites pénales sont en cours : Rashevskyi a déjà été interrogé en mai, et les adresses de cryptomonnaies inscrites sur la liste des sanctions permettent de continuer à suivre les flux de fonds même après le démantèlement du service.
Si la procurature américaine parvient à obtenir l'extradition ou une condamnation par contumace, cette affaire deviendra un précédent pour poursuivre les fournisseurs de « l'infrastructure criminelle en tant que service » — une catégorie qui, jusqu'à présent, existait de facto dans une zone grise juridique.
