Pourquoi Telegram est-il devenu le canal principal de distribution de logs d'infostealers ?

Telegram cumule plusieurs avantages opérationnels pour les acteurs malveillants : création de canal anonyme, capacité à diffuser des fichiers volumineux, audience massive, modération laxiste sur les contenus en russe ou en farsi, et bots permettant l'automatisation. Le coût d'entrée pour un opérateur est quasi nul, contrairement aux forums dark web qui exigent réputation et invitations.

Stealed s'infiltre-t-il dans les canaux Telegram privés ?

Stealed surveille un large spectre de canaux Telegram publics et semi-publics liés à la diffusion de logs d'infostealers. La méthode reste conforme au RGPD : aucune intrusion, aucune usurpation d'identité, aucune sollicitation active. Les sources opérationnelles précises ne sont jamais communiquées pour préserver la continuité de la collecte.

Pourquoi les forums dark web traditionnels reculent-ils face à Telegram ?

Les forums historiques comme XSS ou Exploit conservent un rôle de marché pour les acheteurs avancés, mais leur audience est étroite et leur ergonomie datée. Telegram offre un push instantané vers des dizaines de milliers d'abonnés, là où un forum impose une consultation active. Les saisies répétées de forums par les FdL (Forces de l'ordre) ont également accéléré la migration.

Combien de canaux Stealed surveille-t-il ?

Stealed indexe en continu plus de 1 200 canaux Telegram actifs liés à l'écosystème infostealer, en français, anglais, russe, farsi, mandarin et portugais. Le périmètre évolue chaque semaine en fonction des fermetures, des migrations et des nouveaux acteurs.

Que faire si mon entreprise apparaît dans un log diffusé sur Telegram ?

Une fois la fuite confirmée, prioriser la rotation des identifiants exposés, l'invalidation des sessions actives, l'analyse forensique des postes infectés (HWID) et la mise sous surveillance des comptes à privilèges. Stealed fournit un détail ligne par ligne et un score de fraîcheur pour orienter la réponse à incident.

Cartographie des canaux Telegram de distribution de logs d'infostealers en 2026

L’écosystème de distribution des logs d’infostealers s’est entièrement déplacé sur Telegram entre 2022 et 2026. Là où les forums dark web russophones concentraient encore l’essentiel du trafic en 2021, plus de 90 % des nouveaux logs observés par Stealed transitent aujourd’hui par un canal Telegram à un moment de leur cycle de vie, qu’il s’agisse de teasing gratuit, de revente cloud ou de marketplace VIP. Ce rapport cartographie cet écosystème, ses acteurs et ses dynamiques, sans révéler de canal spécifique afin de préserver la chaîne de collecte défensive.

Pourquoi Telegram a remplacé les forums dark web pour les logs

Le glissement des forums vers Telegram répond à une logique économique simple : maximiser l’audience tout en minimisant la friction d’achat. Un forum comme XSS ou Exploit impose à un acheteur potentiel de créer un compte, de constituer une réputation, de naviguer dans des fils, puis de négocier en messagerie privée. Une chaîne Telegram diffuse au contraire un fichier de plusieurs gigaoctets en quelques secondes vers 50 000 abonnés simultanés, avec un bot de paiement crypto intégré.

Trois autres facteurs structurels expliquent ce basculement :

Modération asymétrique : les contenus en russe, farsi ou indonésien font l’objet d’une modération beaucoup plus tardive que les contenus en anglais. Un canal russophone peut publier des téraoctets de logs pendant des mois avant d’être signalé.
Coût d’opération nul : créer un canal Telegram ne demande qu’un numéro de téléphone, souvent obtenu via des services SMS jetables. La barrière à l’entrée est inférieure de plusieurs ordres de grandeur à celle d’un forum.
Effet réseau des bots : Telegram permet d’automatiser la vente, le filtrage par mot-clé, la livraison crypto et la rotation de canaux miroirs. Un opérateur seul peut gérer une dizaine de canaux interconnectés.

Cette mécanique a déplacé le centre de gravité économique : les forums conservent un rôle de marché pour les acheteurs sophistiqués (accès initiaux, ransomware affiliés), mais Telegram capte la distribution de masse des logs d’infostealers.

Typologie des canaux Telegram de logs

L’écosystème Telegram dédié aux logs n’est pas homogène. Stealed distingue cinq grandes catégories, chacune avec son modèle économique et son public cible.

Type de canal	Audience typique	Modèle économique	Fraîcheur des logs
Free public	20 000 à 200 000 abonnés	Acquisition, teasing, monétisation publicitaire	Échantillons anciens (3 à 12 mois)
Cloud paywall	5 000 à 30 000 abonnés	Abonnement mensuel (15 à 80 USD) via bot	Logs de 2 à 8 semaines
Private invite-only	500 à 5 000 abonnés	Cooptation, droit d’entrée crypto	Logs de 1 à 3 semaines
VIP / marketplace	100 à 1 000 abonnés	Achat à l’unité, par lot ciblé	Logs frais (jours à semaines)
Brand-specific	200 à 2 000 abonnés	Vente d’accès à un secteur ou une marque	Variable, souvent ciblé

Les canaux free servent de vitrine. Ils republient des archives anciennes, parfois recyclées plusieurs fois, et redirigent vers des canaux payants. Leur valeur défensive est paradoxalement élevée : ils donnent une vue d’ensemble du marché et permettent de détecter rapidement les opérateurs émergents.

Les canaux cloud monétisent un accès en libre-service à un dépôt cloud (Mega, Yandex Disk, fichiers chiffrés). L’abonné télécharge des archives quotidiennes ou hebdomadaires. C’est le modèle dominant pour les analystes amateurs et les fraudeurs opportunistes.

Les canaux private et VIP ciblent des opérateurs professionnels : revendeurs, courtiers d’accès initiaux, équipes de fraude bancaire. Les logs y sont plus frais, parfois filtrés par géographie ou par secteur.

Les canaux brand-specific sont une innovation observée depuis 2024 : ils ne vendent que des logs contenant des identifiants pour un service précis (cloud provider, banque, plateforme RH). Cette spécialisation accélère la monétisation pour les fraudeurs et complique la détection pour les défenseurs.

Cycle de vie d’un log : de l’infection à la marketplace VIP

Comprendre le cycle de vie d’un log permet de calibrer la fenêtre de réponse d’une équipe sécurité. Stealed observe un schéma récurrent en cinq étapes :

Infection et exfiltration (J0) : un infostealer (LummaC2, StealC, Vidar) compromet un poste, exfiltre cookies, mots de passe enregistrés, jetons de session et fichiers crypto vers un serveur C2.
Agrégation côté opérateur (J0 à J3) : l’opérateur du stealer agrège les logs de toutes les machines infectées de sa campagne dans des archives compressées (souvent 200 Mo à 5 Go par lot).
Publication VIP (J1 à J7) : les lots les plus frais sont vendus en marketplace VIP ou directement à des courtiers d’accès initiaux. Les prix observés vont de 50 à 800 USD par lot selon la qualité.
Revente cloud (J7 à J30) : les lots déjà exploités sont reconditionnés en abonnements cloud, accessibles à un public plus large mais moins solvable.
Diffusion gratuite (J30+) : les archives obsolètes sont publiées en canal free pour générer de l’audience et capter de nouveaux abonnés payants.

Cette mécanique explique pourquoi les services qui ne surveillent que les fuites publiques détectent les compromissions avec un retard de plusieurs semaines. Stealed se positionne aux étapes 3 et 4, là où la fenêtre de remédiation reste ouverte. Pour un guide pratique sur la détection, consulter comment détecter une fuite d’identifiants.

Acteurs et rôles dans l’écosystème

L’écosystème Telegram des logs n’est pas un marché homogène mais un empilement de rôles spécialisés. Cartographier ces rôles aide à comprendre où se situent les leviers défensifs.

Operators : développeurs et opérateurs de stealers (LummaC2, StealC, RedLine forks). Ils vendent leur malware en MaaS et conservent une part des logs collectés via leurs traffers.
Traffers : affiliés qui diffusent le stealer via fake software, YouTube, GitHub, SEO poisoning. Ils sont rémunérés au nombre de machines infectées valides.
Cloud resellers : opérateurs qui agrègent les logs de plusieurs traffers et les revendent en abonnements Telegram. Activité industrialisée, équivalent d’un grossiste.
VIP brokers : courtiers spécialisés qui filtrent les logs par valeur (accès cloud, banque, infra critique) et les revendent à des affiliés ransomware ou à des groupes de fraude.
End customers : fraudeurs, mules, opérateurs ransomware, scammers crypto. Ils consomment les logs pour des opérations à court terme.
Defensive scrapers : éditeurs de threat intelligence et de DRPS (dont Stealed), équipes CERT, chercheurs académiques. Ils collectent et indexent à des fins de défense, dans un cadre légal.
Forces de l’ordre : Europol, FBI, ANSSI, BKA. Ils observent en continu et coordonnent des opérations de takedown ponctuelles, comme l’opération Lumma de mai 2025.

La connaissance de ces rôles permet d’orienter la threat intelligence : surveiller les traffers révèle les vecteurs d’infection émergents, surveiller les VIP brokers révèle les compromissions à fort impact en cours d’exploitation.

Volumétrie estimée en 2026

La quantification précise de l’écosystème Telegram des logs reste difficile, faute de census central. Les ordres de grandeur ci-dessous combinent les observations propriétaires de Stealed et les sources publiques tier-1.

Canaux actifs liés aux logs d’infostealers : entre 3 000 et 4 500 canaux à un instant donné, avec un taux de rotation de 8 à 12 % par mois (fermetures, recréations, migrations).
Logs publiés quotidiennement : entre 80 et 150 millions de lignes d’identifiants par jour sur l’ensemble des canaux observés, dont 15 à 25 % sont des doublons ou des recyclages.
Machines infectées identifiées par leur HWID : ordre de grandeur de 6 à 9 millions de nouveaux postes par mois en 2026, en hausse continue depuis 2023.
Volume de canaux russophones : environ 55 % des canaux observés, contre 18 % anglophones, 9 % farsi, 7 % portugais et le reste dispersé.

Ces chiffres complètent les rapports publics. L’ENISA Threat Landscape 2025 a analysé 4 875 incidents entre juillet 2024 et juin 2025 et confirme que les infostealers figurent parmi les principaux vecteurs initiaux d’incidents touchant les organisations européennes. Krebs on Security et Sekoia.io documentent régulièrement la dynamique de marché des stealers en MaaS.

Évolutions 2024-2026 : Lumma takedown, fragmentation, migration

Trois inflexions structurelles ont transformé l’écosystème entre 2024 et 2026.

Mai 2025 : opération Lumma. Microsoft DCU, le département de la Justice américain et plusieurs partenaires internationaux ont coordonné une saisie massive de l’infrastructure C2 de LummaC2, alors leader du marché. Plusieurs centaines de domaines C2 ont été saisis ou neutralisés. L’effet sur les canaux Telegram a été immédiat : pendant trois semaines, le volume quotidien de logs Lumma a chuté de plus de 70 %. La famille a cependant reconstitué son infrastructure en 90 jours et reste leader fin 2025.

Fragmentation post-takedown. Les opérations de FdL successives (RedLine fin 2024, Lumma mai 2025) ont produit un effet de fragmentation : plutôt qu’un ou deux acteurs dominants, l’écosystème compte désormais cinq à sept familles concurrentes (LummaC2, StealC, Vidar, Raccoon v2, AcridRain, et plusieurs forks RedLine). Cette diversité complexifie la threat intelligence : chaque famille a son propre format de log, ses propres canaux, ses propres traffers.

Migration partielle vers Discord et forums fermés. Une fraction des opérateurs les plus exposés a migré une partie de leurs activités vers Discord (serveurs invite-only) et vers des forums fermés russophones nouvellement créés. Cette migration reste minoritaire (estimée à 8 à 12 % du volume total) mais concentre les transactions à plus haute valeur. Telegram demeure la colonne vertébrale de la distribution de masse.

Implications pour les équipes sécurité

La cartographie ci-dessus a des conséquences opérationnelles directes pour les équipes RSSI, SOC et CERT.

Les SIEM et EDR ne voient pas les logs Telegram. L’infection initiale par un infostealer se fait souvent hors périmètre managé (poste personnel, BYOD, sous-traitant), et la session est exfiltrée avant qu’un EDR puisse détecter le comportement. Une fois sur Telegram, la donnée est invisible pour tout outil de détection interne. La seule réponse défensive consiste à surveiller en continu les sources externes où les logs sont publiés.

La fenêtre de remédiation se compte en jours, pas en mois. Un identifiant compromis en marketplace VIP J+1 sera exploité par un courtier J+5 et utilisé pour un déploiement ransomware J+30 dans le pire des cas. Une surveillance hebdomadaire est insuffisante ; une surveillance temps réel devient nécessaire pour les comptes à privilèges et les actifs critiques.

La diversité des familles impose un agrégat. Surveiller un seul stealer ou un seul canal est inefficace. Une plateforme défensive doit couvrir l’ensemble des familles dominantes, l’ensemble des langues principales et l’ensemble des étapes du cycle de vie d’un log. Pour le vocabulaire technique, voir le glossaire de surveillance dark web.

Le HWID est un pivot d’investigation sous-utilisé. Identifier qu’une machine apparaît dans un log permet de remonter à l’infection initiale, d’isoler le poste, et de mesurer l’étendue réelle de la compromission. Les équipes qui se contentent d’une rotation d’identifiants sans investigation HWID laissent l’infection persister.

Comment Stealed surveille l’écosystème Telegram

Stealed exploite une infrastructure de collecte dédiée à l’écosystème Telegram cybercriminel, conçue pour produire de la threat intelligence exploitable tout en restant strictement conforme au cadre légal européen.

Périmètre de surveillance. Plus de 1 200 canaux actifs liés aux logs d’infostealers sont indexés en continu, dans six langues principales. Le périmètre est ajusté chaque semaine en fonction des fermetures, des migrations et des nouveaux acteurs détectés. Aucun canal spécifique n’est jamais communiqué publiquement, afin de préserver la chaîne de collecte et d’éviter que les opérateurs n’ajustent leurs pratiques.

Méthode légale et conforme RGPD. La collecte repose exclusivement sur l’observation passive de canaux ouverts ou semi-ouverts. Aucune intrusion, aucune usurpation d’identité, aucune sollicitation active n’est pratiquée. Les données collectées sont anonymisées au niveau infrastructure et ne sont accessibles qu’aux organisations légitimement concernées (un client ne voit que les fuites concernant ses propres domaines et identifiants). Cette architecture multi-tenant respecte le principe de minimisation du RGPD.

Indexation et enrichissement. Chaque ligne de log est normalisée, déduplique au niveau hash, datée, géolocalisée, associée à une famille de stealer et à un score de fraîcheur. Les machines infectées sont identifiées par leur HWID et regroupées pour permettre une investigation forensique. Plus de 100 millions de nouvelles lignes sont ingérées chaque jour.

Souveraineté française. L’infrastructure de stockage et de calcul est hébergée intégralement en France sur Scaleway, sans dépendance aux clouds américains pour les données de leak. Cette implantation européenne facilite la conformité NIS2 et DORA pour les clients réglementés.

FAQ et pour aller plus loin

Pour approfondir la compréhension de l’écosystème infostealer et de son impact business, plusieurs ressources complètent ce rapport :

Sources externes tier-1 :

ENISA Threat Landscape 2025 : analyse de 4 875 incidents entre juillet 2024 et juin 2025, avec une section dédiée aux infostealers et au vol d’identifiants.
Microsoft Security Blog : compte-rendu officiel de l’opération de mai 2025 contre l’infrastructure LummaC2 (Microsoft DCU et partenaires internationaux).
Krebs on Security : couverture régulière des opérateurs de stealers, des opérations de FdL et des marchés russophones.
Sekoia.io blog : threat reports techniques sur les familles de stealers, les TTP et les TI émergentes.

Pour recevoir le prochain rapport trimestriel directement dans votre boîte, inscrivez-vous à la newsletter threat research Stealed. Pour discuter des implications concrètes pour votre organisation, planifiez un échange de 30 minutes avec notre équipe.