Opération Endgame : 326 serveurs et 142 domaines démantelés, un coup dur porté à la chaîne d'approvisionnement des rançongiciels

Entre le 15 et le 19 juin 2026, l'opération Endgame a démantelé l'infrastructure criminelle derrière le chargeur de malwares SocGholish, le botnet Amadey et le voleur d'informations StealC — ciblant la chaîne d'approvisionnement en amont qui permet les attaques par rançongiciel et le vol de données à grande échelle.

Résultats opérationnels clés

• 326 serveurs neutralisés et 142 noms de domaine saisis dans le cadre de l'opération . Le BKA rapporte séparément « plus de 320 serveurs et plus de 140 domaines », des chiffres en ligne avec ces données .
• Près de 15 000 sites web nettoyés dans le cadre de l'action ciblant SocGholish .
• Plus de 41 millions d'euros / 47 millions de dollars en crypto-monnaies criminelles identifiés, marqués et gelés .
• 27 millions d'identifiants volés récupérés auprès de plus de 385 000 victimes .
• Plus de 140 000 ordinateurs infectés liés à Amadey et StealC rien qu'au début du mois de mai 2026 .

L'écosystème cybercriminel ciblé

• SocGholish — un chargeur de malwares très répandu qui injecte du JavaScript malveillant dans des sites web compromis, servant de courtier d'accès initial pour les opérations de rançongiciel .
• Amadey — un botnet et un chargeur qui dépose des charges utiles de second niveau, dont StealC .
• StealC — un voleur d'informations vendu comme un service pour dérober des identifiants et des données .

Partenaires publics et privés

• Forces de l'ordre : Canada, Danemark, Allemagne, Pays-Bas, Royaume-Uni, États-Unis, Europol et Eurojust .
• Partenaires privés : Microsoft, Bitdefender, IBM X-Force, Proofpoint, Infoblox, la Shadowserver Foundation, Orange Cyberdefense, Bitsight et ESET .

Importance stratégique

Cette opération marque un changement de cap net : au lieu de poursuivre individuellement des groupes de rançongiciel, les autorités s'attaquent désormais à la chaîne d'approvisionnement du cybercrime à sa source — les chargeurs, les voleurs d'informations et les courtiers d'accès initial qui permettent les compromissions de masse. En ciblant simultanément SocGholish, Amadey et StealC, les forces de l'ordre ont sectionné les mécanismes de livraison dont dépendent de nombreux affiliés de rançongiciel, brisant la « chaîne d'infection virtuelle » et empêchant de nouvelles infections avant même le déploiement du rançongiciel . Europol qualifie cette action de « coup décisif porté aux réseaux cybercriminels » qui affaiblit l'ensemble de la chaîne de valeur criminelle .

Note sur une légère divergence

Le communiqué du BKA arrondit à « plus de 320 serveurs et plus de 140 domaines » , tandis que d'autres sources rapportent exactement 326 serveurs et 142 domaines . Ces chiffres sont cohérents après arrondi et ne modifient pas l'ampleur du démantèlement.