L’analyse forensique ESGI réalisée par Thibaud Robin, consultant en cybersécurité et enseignant au Mastère Cybersécurité de l’ESGI, revient sur le piratage de la plateforme YggTorrent. Cette étude de cas décrypte les mécanismes techniques de cette attaque, met en évidence les failles exploitées par les cybercriminels et présente les enseignements que les futurs experts en cybersécurité peuvent en tirer.
Dans la nuit du 3 au 4 mars 2026, YggTorrent, principal tracker BitTorrent privé francophone, a été victime d’une compromission majeure. En quelques heures, son code source, ses bases de données et plusieurs informations sensibles ont été exfiltrés puis publiés par un acteur se présentant sous le pseudonyme Gr0lum.
À travers cette analyse forensique ESGI, Thibaud Robin retrace le déroulement de l’attaque, identifie les erreurs de configuration qui ont facilité l’intrusion et explique les bonnes pratiques qui permettent aujourd’hui de renforcer la sécurité des infrastructures numériques.
De T411 à Ygg : la consolidation d’un monopole francophone du P2P
Pour comprendre la portée de l’événement, il faut remonter à juin 2017. La fermeture de T411, alors référence absolue du peer-to-peer francophone (actif depuis 2006), a laissé un vide colossal.
YggTorrent, lancé dans la foulée, est devenu en moins de trois ans le 35? site le plus visité de France (janvier 2020). En 2024, la plateforme dépassait les 6 millions de membres et indexait plus de 280 000 fichiers torrents, principalement multimédia. Régulièrement censurée par les autorités françaises sur décision judiciaire, elle changeait fréquemment de nom de domaine, une mécanique de résilience qui a entretenu une fausse image d’invulnérabilité.
Cette image vient de voler en éclats. Et contrairement à ce que beaucoup imaginaient, la chute d’Ygg n’a rien d’un coup d’éclat sophistiqué : c’est l’accumulation de mauvaises pratiques d’hygiène numérique qui a provoqué la rupture.
La dérive mercantile : la fin du modèle communautaire
Le P2P, dans sa philosophie originelle, repose sur la réciprocité : on télécharge ce que l’on partage.
Cette logique du ratio (rapport entre upload et download) est ce qui distingue historiquement un tracker privé d’une plateforme commerciale. Or, en décembre 2025, Ygg a introduit un abonnement nommé « Turbo » facturé 14,99 € par mois. Ce passage à un modèle marchand a marqué un tournant idéologique majeur.
L’analyse du code source exfiltré révèle une discrimination technique codée dans l’API Express.js :
- Les utilisateurs avec un UID > 1 000 000 (les nouveaux inscrits) étaient soumis à une limite de 5 téléchargements par jour ;
- Un timer artificiel de 30 secondes était imposé avant l’affichage de chaque lien de téléchargement ;
- Les rangs « Staff » (niveaux 1, 2 et 3) étaient totalement exemptés de ces bridages ;
- Des crédits d’upload pouvaient être achetés, contournant la logique de partage.
En clair, Ygg avait construit une structure de classes en interne : une élite épargnée, une masse contrainte, et une caste payante autorisée à s’affranchir des règles.
Cette rupture avec l’éthique P2P explique en grande partie la satisfaction publique exprimée par une partie de la communauté lors de la fuite.
Autopsie technique : le port 9306, une porte laissée grande ouverte
L’analyse forensique ESGI montre que cette attaque ne résulte pas d’une technique particulièrement complexe. Elle révèle qu’une erreur de configuration a facilité l’accès des attaquants à l’infrastructure de YggTorrent.
Ygg utilisait Sphinx, un moteur de recherche full-text performant, pour indexer ses 280 000 torrents. Sphinx communiquait avec MySQL via le port 9306, qui était exposé sur Internet sans authentification.
N’importe quel acteur disposant d’un scanner de ports (type Shodan, Masscan ou Nmap) pouvait donc interroger ce service en clair.
Une fois connecté, l’attaquant a exploité une fonction de lecture de fichiers accessible depuis ce service pour extraire :
- Les fichiers de configuration de la base de données (identifiants MySQL en clair) ;
- Les fichiers décrivant la topologie de l’infrastructure (cartographie complète des serveurs) ;
- Les clés d’API des prestataires de paiement (PayPal, Stripe).
À partir de là, l’accès à l’intégralité des 6,6 millions de comptes était acquis, suivi de la destruction de la plateforme.
Côté hachage des mots de passe, l’analyse révèle un mélange hétérogène : une majorité en SHA-512, ce qui est acceptable, mais aussi un volume non négligeable de MD5 sans sel, un format considéré comme cryptographiquement obsolète depuis plus de quinze ans, vulnérable aux attaques par rainbow table et par collision.
Pour les étudiants à l’ESGI, c’est un rappel concret : la dette cryptographique se paie toujours, tôt ou tard.
L’empire financier : 8,5 millions d’euros et une infrastructure de blanchiment
Le dossier financier exfiltré chiffre le chiffre d’affaires cumulé d’Ygg entre 5 et 8,5 millions d’euros sur la durée de vie de la plateforme.
Cet aspect dépasse largement le cadre du piratage culturel : il relève de l’économie souterraine organisée.
L’architecture de dissimulation comportait :
- 36 sites « façades » simulant du commerce électronique légitime, utilisés pour encaisser les paiements via PayPal et Stripe sans déclencher de bannissement.
- Un plugin propriétaire baptisé « CardsShield », qui faisait apparaître sur le relevé bancaire du client le nom d’une entreprise légitime au lieu d’« Ygg ».
- La conversion des fonds en cryptomonnaies, puis leur passage par Tornado Cash, un mixeur de cryptomonnaies sur Ethereum visant à rompre la traçabilité on-chain.
Le hacker a retrouvé sur les serveurs de pré-production de l’administrateur surnommé « Destroy » des notes de dépôt Tornado Cash, c’est-à-dire les preuves cryptographiques permettant de retirer les fonds mixés, un élément à valeur probatoire considérable dans une enquête judiciaire.
Plus inquiétant encore : le dossier mentionne des soupçons de vol de cartes bancaires. Le flux de paiement transitait par des serveurs internes sans justification technique légitime, et plusieurs témoignages d’utilisateurs font état de fraudes bancaires postérieures à leur abonnement.
Surveillance des utilisateurs : un script web3 dissimulé
Ygg ne se contentait pas de monétiser ses utilisateurs : la plateforme les profilait. Un script JavaScript baptisé sci.js, dissimulé sous le nom anodin d’ImageCarouselManager, était embarqué dans le frontend.
Sa fonction : détecter la présence d’extensions de portefeuilles cryptographiques (MetaMask, Phantom) chez le visiteur et exfiltrer l’adresse IP et le type de wallet vers un répertoire serveur nommé divers/web3_stats.
Cette collecte, totalement non consentie et probablement constitutive d’une violation caractérisée du RGPD, visait selon le dossier à préparer des campagnes de phishing ciblées et à moduler la tarification en fonction du profil estimé de l’utilisateur.
C’est exactement le type de mécanisme que nous étudions dans nos modules de gestions de risque et de gouvernance à l’ESGI.
Anonymat illusoire : la leçon opérationnelle
L’analyse des données exfiltrées révèle une OPSEC catastrophique côté staff.
La majorité des modérateurs et administrateurs ne se connectaient pas via VPN, depuis des adresses IP françaises chez Free et Orange. Seul l’administrateur Oracle/Destroy, le cerveau technique de la plateforme, présentait une discipline rigoureuse : 100 % VPN. Paradoxalement, l’enquête menée sur les données du leak permet malgré tout de localiser son activité au Maroc, sans toutefois constituer une preuve formelle de résidence.
Sur le plan organisationnel, le dossier révèle un paradoxe d’exploitation : 5 modérateurs bénévoles (notamment Bar666 et Macha64) ont accompli 73 % du travail de modération, soit 1,3 million d’actions, sans toucher un centime des bénéfices encaissés par les administrateurs.
Ce que l’affaire Ygg enseigne aux étudiants en cybersécurité
Pour conclure cette analyse forensique ESGI rappelle que la sécurité d’une infrastructure repose autant sur les bonnes pratiques que sur une surveillance continue., cette affaire amène des enseignements directs à transmettre aux étudiants de l’ESGI, dont les cursus en cybersécurité (bachelor et mastère expert en cybersécurité avec alternance) intègrent désormais cette étude de cas :
- L’exposition réseau est le premier vecteur de compromission. Un port mal configuré pèse plus lourd qu’un firewall sophistiqué. La défense en profondeur commence par la cartographie de sa surface d’attaque.
- La dette cryptographique tue. Stocker du MD5 sans sel en 2026 est inacceptable. Les politiques de hachage doivent être revues régulièrement.
- L’anonymat est un processus, pas un outil. Un VPN seul ne suffit pas : il faut une discipline opérationnelle constante, ce que les administrateurs d’Ygg n’avaient pas.
- Utiliser une plateforme illégale, c’est confier ses données à des criminels. Le risque dépasse largement la sanction Arcom : désanonymisation, vol de carte bancaire, phishing ciblé, exposition à des fuites massives.
- La décentralisation est la seule réponse structurelle. Des projets émergents comme U2P ou gratis proposent des modèles sans administrateur central, supprimant la cible juteuse que constitue un tracker centralisé.
L’affaire Ygg n’est pas un fait divers : c’est un laboratoire grandeur nature pour la formation des futurs ingénieurs en sécurité. Elle illustre, à elle seule, la quasi-totalité des chapitres d’un cursus moderne : audit de configuration, cryptographie appliquée, analyse forensique, conformité RGPD, lutte anti-blanchiment et renseignement en sources ouvertes.
C’est précisément ce continuum que nous formons à l’ESGI, où la recherche appliquée nourrit directement la pédagogie.
La meilleure protection, rappeller à chaque promotion, reste la plus simple : ne pas avoir recours à ces plateformes, et privilégier des voies légales et éthiques pour le partage et la consommation de contenus numériques.
Par Thibaud Robin, consultant en cybersécurité et enseignant à l’ESGI (École Supérieure de Génie Informatique)
