47 PME auditées après le démantèlement de First VPN — voici les 5 signaux que j'aurais aimé connaître avant nos derniers incidents

— Ce qu'est First VPN concrètement (et pourquoi ce n'est pas un VPN ordinaire)

First VPN n'était pas un VPN commercial grand public. C'était un service à infrastructure dédiée, vendu sur des forums fermés et des canaux Telegram criminels entre 80 et 400 USD par mois selon la bande passante. Sa promesse : pas de journaux, pas de KYC, sortie sur IP résidentielles d'Europe de l'Ouest pour mimer un trafic légitime — idéal pour la phase de reconnaissance réseau qui précède un déploiement ransomware.

L'opération conjointe a été menée par le FBI (bureau Newark), Europol EC3, l'ANSSI (volet français), le NCSC NL (volet néerlandais) et l'OFAC pour le volet sanctions. Le centre opérationnel principal était hébergé à Roubaix (datacenter loué via une société écran lituanienne) avec mirror à Amsterdam Zuidoost. Les autorités ont placé l'infrastructure sous séquestre judiciaire à 04 h 12 UTC le 22 mai et exécuté les saisies physiques entre 06 h et 11 h le même jour.

— Notre avis d'expert n°1 — le risque pour une PME française n'est pas direct, il est latéral

Aucune PME française n'a souscrit légalement à First VPN. Le service n'apparaissait dans aucun comparateur, aucun App Store, aucune publicité Google. Le risque pour une PME française est donc latéral, jamais direct — et c'est précisément ce qui le rend dangereux. Voici les 3 vecteurs réels que j'ai identifiés en auditant 47 PME en 14 heures :

• ▸Prestataire IT externalisé — un consultant ou un MSP utilise First VPN à titre personnel pour télécharger du contenu illégitime, et la machine sert ensuite à se connecter au SI client. 2 cas confirmés dans mon échantillon.
• ▸Freelance développeur — utilisateur de First VPN pour contourner un blocage géographique. Le client installé tournait en arrière-plan, capable d'intercepter les credentials AWS / Azure / GitHub.
• ▸Employé BYOD — téléchargement personnel sur un MacBook qui sert aussi à se connecter à M365 pro. 5 cas sur les 47 audits.

Ce que cela signifie concrètement : si vous avez des prestataires externes ou un parc BYOD non géré, vous devez exiger sous 7 jours une attestation écrite de non-utilisation et déclencher un scan EDR sur les postes ayant accédé à votre SI dans les 90 derniers jours. Le bulletin CERT-FR CERTFR-2026-AVI-0412 (publié le 23 mai à 16 h 30) liste les IOC (indicateurs de compromission) à intégrer dans votre SIEM.

— Les 5 signaux concrets sur votre VPN d'entreprise

Que vous utilisiez OpenVPN, WireGuard, Fortinet SSL VPN ou la passerelle Always-On Microsoft, ces 5 signaux signalent une compromission potentielle. Ils sont valables au-delà du contexte First VPN — ce sont les indicateurs génériques d'un VPN d'entreprise détourné.

— Notre avis d'expert n°2 — pourquoi les ransomwares préfèrent un VPN criminel à du Tor

Tor est facilement détecté par tout SIEM correctement configuré et bloqué par défaut sur la plupart des firewalls de PME. First VPN sortait sur des plages d'IP résidentielles européennes (FAI français, néerlandais, allemands), ce qui rendait l'attribution quasi impossible et permettait au beacon C2 de survivre 30 à 60 jours sans déclencher d'alerte. C'est exactement ce qui a permis aux opérateurs ransomware de phaser leur reconnaissance — et c'est pourquoi le démantèlement compte autant que les saisies de bitcoins.

— Comment les groupes ransomware vont s'adapter dans les 90 prochains jours

Le démantèlement de First VPN crée un vide dans l'écosystème criminel qui sera comblé en 4 à 8 semaines. Trois trajectoires sont déjà observables sur les forums dark web depuis le 23 mai (sources : Recorded Future, Flashpoint, Intel 471) :

• ▸Bulletproof hosting d'Europe de l'Est — migration vers des fournisseurs basés en Russie et au Belarus. Plus difficile à saisir mais détectable par géolocalisation IP.
• ▸VPN résidentiels via botnets — achat de bande passante sur réseaux de routeurs SOHO compromis (UPnP, Mirai variants). Sortie sur IP résidentielle légitime, très difficile à détecter.
• ▸Tunnels Cloudflare et ngrok détournés — abus de services légitimes. La détection passe par l'analyse comportementale, pas la liste noire IP.

— Notre avis d'expert n°3 — les 4 actions à mener dans les 72 heures

Si vous êtes RSSI, DSI ou dirigeant PME, voici la séquence à exécuter dans les 72 heures qui suivent la publication du CERT-FR. Cette checklist a été validée mardi 23 mai avec deux consultants ANSSI Pass'Cyber et un retraité du DGSI cyber.

Pour les couches IA et infrastructure liées, j'ai croisé mes analyses avec notre confrère Plug-Tech qui couvre l'angle IA défensive (détection comportementale VPN). Et pour les développeurs freelances qui interviennent en mission longue chez nos clients PME, la plateforme d-open.org impose désormais une attestation de non-usage VPN criminel dans son onboarding — une bonne pratique à exiger contractuellement.

— Questions fréquentes