Le Trésor américain sanctionne First VPN Service pour ses liens avec des ransomwares

Le Trésor américain n’a pas sanctionné une application VPN que vous connaissez. Le 13 juillet 2026, son Office of Foreign Assets Control (OFAC) a visé First VPN Service, alias 1VPNS, ainsi que son administrateur et un vendeur de malwares distinct, pour avoir facilité des attaques ransomware ayant coûté des milliards de dollars à des entreprises américaines. Il s’agit d’un hébergeur “bulletproof” qui se vendait sur des forums cybercriminels, pas d’un outil de confidentialité grand public. Si vous utilisez NordVPN, ProtonVPN ou tout autre fournisseur audité, rien ici ne concerne votre abonnement.

L’histoire mérite quand même d’être comprise, parce qu’elle trace une frontière nette entre ce que promet un vrai VPN sans logs et ce que signifie réellement un argument de vente du type “nous ne coopérons pas avec les autorités” destiné à des criminels.

Ce que l’OFAC a fait le 13 juillet

L’OFAC a désigné deux individus et une entité. L’entité, c’est First VPN Service (1VPNS), qui se fait de la publicité sur plusieurs forums cybercriminels depuis 2014. Son administrateur, Dmytro Rashevskyi, a été sanctionné en même temps. Selon le Trésor, Rashevskyi achetait son infrastructure serveur sous de fausses identités, dont “Maksim Sorin” et “Roman Chabanenko”, précisément pour que des hébergeurs qui auraient pu refuser de travailler avec lui sous sa vraie identité n’en aient jamais l’occasion.

Une troisième personne, Yevgeniy Vladimirovich Silayev, a été désignée séparément. Il vend des “cryptors”, des outils qui déguisent les ransomwares et autres malwares pour qu’ils passent sous le radar des antivirus et des systèmes de détection. Il ne fait pas partie de First VPN Service, mais il a été nommé dans la même action parce qu’il servait le même écosystème criminel.

Une sanction n’est pas une arrestation. L’action de l’OFAC gèle les avoirs liés aux États-Unis des individus et de l’entité sanctionnés, et interdit à toute personne ou entreprise américaine de faire affaire avec eux. Personne ne se retrouve menotté. Ça coupe l’oxygène financier : les processeurs de paiement, les hébergeurs et toute entreprise régulée aux États-Unis doivent désormais traiter ces noms comme toxiques, sous peine de s’exposer eux-mêmes à des sanctions.

First VPN Service avait déjà été démantelé deux mois plus tôt

Voici le détail le plus important pour bien lire cette histoire : First VPN Service avait déjà été neutralisé. Une opération conjointe des autorités européennes et nord-américaines avait démantelé le service en mai 2026. Cette première action était une intervention policière classique, avec saisie de serveurs et interruption directe de l’activité.

Les sanctions de l’OFAC du 13 juillet sont un suivi, pas un nouveau coup de filet. Elles visent l’argent et les personnes derrière le service, une fois l’infrastructure déjà démantelée. Ce schéma en deux temps devient courant dans la lutte contre la cybercriminalité : les autorités saisissent les serveurs et les bases de données, puis le Trésor s’attaque aux avoirs et aux individus pour qu’ils ne puissent pas simplement reconstruire ailleurs avec un compte bancaire propre. Deux agences, deux outils différents, une même enquête de fond.

Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.

Ce qu’était réellement First VPN Service

First VPN Service n’était pas un produit conçu pour un particulier qui veut protéger sa navigation dans un café. C’était une infrastructure construite pour des criminels, et le service se vendait comme tel sur les mêmes forums où les groupes de ransomware coordonnent leurs attaques et échangent des accès.

Son argument de vente était explicite : aucun log des identités ou des activités des utilisateurs, et un refus de coopérer avec les enquêtes des autorités sur des activités illégales. C’est ce qu’on appelle un “VPN bulletproof”, un terme utilisé par les chercheurs en sécurité pour désigner des services construits spécifiquement pour protéger des opérations criminelles des enquêteurs, à l’opposé des outils grand public conçus pour protéger la vie privée ordinaire.

La distinction ne porte pas sur les mots du discours marketing. De nombreux VPN légitimes disent aussi “nous ne loggons pas votre activité”. La différence, c’est pour qui le service est construit, à qui il est vendu, et ce qui se passe quand les autorités se présentent avec une réquisition judiciaire valide.

Un vrai VPN sans logs et un VPN criminel “sans logs” ne promettent pas la même chose

C’est là que l’histoire prête à confusion si on ne lit que le titre, donc autant être précis.

Chez un fournisseur VPN grand public légitime et audité, la promesse “sans logs” signifie que l’entreprise a construit ses systèmes pour ne conserver aucune donnée permettant d’identifier ce que vous avez fait en ligne, et que des auditeurs indépendants ont vérifié cette architecture. Si un tribunal de sa juridiction lui envoie une réquisition valide, l’entreprise peut répondre honnêtement : nous n’avons rien à transmettre, parce que nous n’avons jamais rien collecté. C’est exactement le rôle d’un warrant canary et d’un rapport de transparence publié.

Un VPN bulletproof vendu sur des forums du darkweb fait une promesse similaire en apparence, pour une raison opposée. Sa proposition de valeur n’est pas “nous protégeons votre vie privée par conception”. C’est “nous ne coopérerons jamais avec la police, point final”, destinée à un public qui a précisément besoin de ça. Pas d’audit indépendant, pas d’immatriculation d’entreprise publique, pas de rapport de transparence, parce que rien de tout ça ne sert le modèle économique. Tout l’intérêt est d’opérer en dehors de tout cadre qui pourrait forcer une coopération.

Les mêmes trois mots, “nous ne gardons pas de logs”, pointés vers des clientèles totalement différentes, avec des niveaux de responsabilité totalement différents.

Comment distinguer un vrai VPN sans logs d’un VPN criminel

Vous ne croiserez jamais personnellement un service comme First VPN Service, puisqu’il ne s’est jamais adressé au grand public et n’a opéré que sur des forums construits pour des cybercriminels. Mais les mêmes signaux d’alerte s’appliquent dès qu’un discours marketing VPN sonne un peu trop comme un moyen d’échapper à toute responsabilité plutôt que de protéger la vie privée.

ProtonVPN est une bonne référence ici parce qu’il coche chaque case du bon côté du tableau : audit indépendant, entreprise immatriculée publiquement, juridiction transparente. NordVPN suit le même modèle. Aucun des deux n’existe pour protéger des clients criminels des enquêteurs, et aucun des deux ne survivrait au type de contrôle qui vient de tomber sur First VPN Service.

Si vous voulez vérifier un fournisseur par vous-même avant de lui faire confiance, notre guide sur comment vérifier la promesse sans logs d’un VPN détaille ce qu’un vrai audit doit couvrir, et notre article sur le fonctionnement des warrant canaries explique la mécanique juridique derrière cette promesse “rien à transmettre”.

Ce que ça signifie pour l’industrie légitime du VPN

“VPN” est un terme technique, pas une garantie d’intention. Il décrit une façon de router du trafic, et cette description couvre aussi bien un outil de confidentialité utilisé par des millions de personnes pour regarder des programmes géobloqués qu’un hébergement bulletproof vendu à des groupes de ransomware. First VPN Service utilisait l’étiquette parce qu’elle était techniquement exacte, pas parce que le service avait quoi que ce soit en commun avec les produits grand public qu’on désigne habituellement par “VPN”.

Ce qui change vraiment, c’est la posture des régulateurs. Avant, le Trésor laissait ce genre d’infrastructure à la police, qui finissait par la démanteler et passait à autre chose. Maintenant, le Trésor est prêt à geler l’argent aussi. Les sanctions coupent la capacité à se reconstruire via des banques ou des hébergeurs liés aux États-Unis, un outil plus lent qu’un coup de filet mais plus large. Mon pronostic : on va voir plus souvent ce schéma en deux temps, la police démantèle les serveurs, puis le Trésor s’attaque aux comptes bancaires des opérateurs quelques semaines ou mois plus tard.

Pour l’industrie légitime, ça ne change pas grand-chose au quotidien. Mais ça affine une distinction qui mérite d’être gardée en tête : un VPN audité, avec une vraie adresse d’entreprise et une vraie juridiction, est un produit fondamentalement différent d’un service qui se vend avec un clin d’œil à des gens qui ont besoin de se cacher des enquêteurs. Si vous choisissez un VPN, c’est cette différence qui compte, pas le discours marketing.

Pour aller plus loin sur ce type d’opérations, lisez notre article sur l’opération Saffron, le démantèlement policier de First VPN en mai 2026, et découvrez qui possède vraiment votre VPN avant de croire une promesse “sans logs” sur parole.

Sources : US Department of the Treasury et The Hacker News