BogusBazaar : anatomie d'un réseau de fausses boutiques

Les chiffres qui suivent proviennent de l’enquête publiée par Security Research Labs, société allemande de sécurité informatique, en 2024. Ils portent sur un seul réseau — il en existe d’autres.

L’intérêt de ces chiffres n’est pas de dramatiser, mais de corriger une intuition courante. Découvrir un faux site donne l’impression d’un incident isolé, l’œuvre d’un individu. C’est en réalité un élément d’une production en série.

C’est le point qui change tout pour une marque visée. Le réseau ne fonctionne pas comme un fraudeur isolé qui monterait un site puis passerait au suivant.

Les chercheurs décrivent une organisation en deux niveaux : une équipe centrale qui fournit et maintient l’infrastructure — serveurs, gabarits de boutique, chaînes de paiement — et des opérateurs qui exploitent les boutiques sans compétence technique particulière.

Conséquence directe : la fermeture d’un domaine n’atteint pas l’infrastructure. Elle coûte à l’opérateur le prix d’un nom de domaine, et la boutique repart ailleurs.

Une analyse publiée en mai 2026 par Allure Security, qui s’appuie sur l’enquête SRLabs, précise un second choix d’architecture : la page de paiement n’est pas fixée à la boutique. Quand un prestataire de paiement bloque une page pour fraude, l’opérateur en installe une nouvelle — la boutique, elle, ne change pas.

SRLabs décrit des « capacités d’orchestration étendues [qui] permettent de déployer rapidement de nouvelles boutiques ou de faire tourner les pages de paiement et les domaines en réponse aux retraits ». Couper un canal de paiement ralentit donc l’encaissement, sans jamais atteindre la boutique elle-même.

Un détail technique de l’enquête a des conséquences pratiques importantes : le réseau privilégie des domaines expirés disposant déjà d’une réputation favorable auprès des moteurs de recherche.

Un domaine fraîchement enregistré inspire la défiance aux filtres de sécurité et aux moteurs. Un domaine ayant un historique, racheté après expiration, hérite d’une partie de cette confiance.

Cela nuance le signal le plus souvent conseillé pour reconnaître un faux site — l’âge du domaine. Un domaine ancien n’est pas nécessairement légitime s’il a changé de mains.

Ces réseaux ont adapté leurs pratiques aux moyens de défense existants. La procédure UDRP, voie d’arbitrage historique, se fonde sur la similarité entre le nom de domaine et la marque : un domaine générique lui échappe par construction.

D’où l’emploi de noms sans rapport apparent avec la marque copiée, alors même que le contenu du site la reproduit intégralement.

Trois conséquences pratiques découlent de ce fonctionnement.

• Un takedown isolé ne suffit pas. Fermer un domaine est utile pour les clients qui l’auraient rencontré, mais n’atteint pas le réseau. Sur un parc qu’Allure Security évaluait à 22 500 domaines actifs en mai 2026, un retrait isolé en représente 0,004 % — l’infrastructure sous-jacente reste intacte. La surveillance compte autant que l’action ponctuelle.
• Chercher par nom de domaine ne suffit pas. Les boutiques aux noms génériques échappent à toute recherche par permutation.
• Agir tôt change le rapport de force. Un domaine déposé mais pas encore en ligne n’a ni client ni chiffre d’affaires à faire valoir.