L'évolution du paysage des CSAM : Les vendeurs exploitent de plus en plus l'IA alors qu'ils retournent sur le Web sombre

Les crypto-monnaies utilisées par les acteurs du CSAM

Au début du mois, les autorités thaïlandaises ont arrêté un ressortissant allemand pour avoir exploité une plateforme du dark web qui facilitait la vente de matériel pédopornographique. Cet incident a mis en lumière le rôle des services répressifs et du traçage des crypto-monnaies dans la mise au jour des réseaux mondiaux d'abus. 

Pendant des années, les acteurs du CSAM ont exploité les crypto-monnaies en pensant à tort que les actifs numériques garantissaient l'anonymat et la protection contre la détection. Les acteurs de la menace ont utilisé les crypto-monnaies pour payer le contenu, pour faire des dons aux plateformes et pour offrir des incitations financières aux téléchargeurs, en récompensant les individus en crypto-monnaies pour le partage de matériel. 

Au cours des deux dernières années, au moins une transaction cryptographique vers une adresse CSAM a eu lieu toutes les deux minutes. TRM a constaté qu'entre 2022 et 2024, le volume des transactions cryptographiques liées aux adresses du CSAM a augmenté de 130 %, ce qui indique une trajectoire ascendante préoccupante. 

Au cours de l'année écoulée, TRM a observé un changement significatif dans le paysage des menaces CSAM, les vendeurs passant de l'hébergement de contenu sur le web de surface à des places de marché plus sophistiquées sur le dark web. Cette migration est probablement une réponse au renforcement de l'application de la loi et à l'évolution de la dynamique des marchés illicites. L'essor des places de marché s'est accompagné d'une augmentation de l'utilisation des crypto-monnaies dans l'écosystème des CSAM. Les acteurs du CSAM exploitent également de plus en plus l'intelligence artificielle (IA) dans leurs opérations.

Ce paysage en évolution constitue un environnement difficile pour les forces de l'ordre, mais offre également des possibilités de tracer les transactions et d'identifier les opérateurs de CSAM grâce à l'blockchain intelligence

Principales tendances de l'écosystème CSAM

TRM Labs a observé les tendances suivantes depuis 2023 dans l'écosystème CSAM :

• Les vendeurs de CSAM migrent vers le dark web
• L'IA joue un rôle croissant dans les opérations de CSAM
• Les escroqueries CSAM sur le web sombre diminuent tandis que les escroqueries sur les médias sociaux augmentent
• Les consommateurs de CSAM utilisent de plus en plus des adresses intermédiaires

Les vendeurs de CSAM migrent vers le dark web

Les démantèlements par les forces de l'ordre de deux réseaux de CSAM sur le dark web, Welcome to Video en 2019 et Dark Scandals en 2020, ont montré comment l blockchain intelligence pouvait aider à démanteler de tels réseaux. À la suite de ces démantèlements, on a assisté à une recrudescence de l'hébergement lié aux CSAM sur le web de surface.

En réponse à cette migration, les services d'assistance téléphonique du CSAM et les groupes d'activistes ont intensifié leurs efforts pour retirer les contenus illégaux des services d'hébergement de fichiers gratuits sur le web de surface. Ainsi, de nombreuses plateformes ont commencé à appliquer des mesures de conformité plus strictes. Cela s'est traduit par des retraits fréquents et des interruptions d'accès pour les contrevenants qui utilisaient régulièrement ces services.

Face à l'escalade des défis sur le web de surface, les acteurs de CSAM ont, depuis 2023, de plus en plus déplacé leurs opérations vers le dark web, motivés par le désir d'établir une infrastructure plus stable, indépendante des plateformes traditionnelles et moins sensible aux efforts de démantèlement. En raison des coûts de maintenance et d'exploitation des serveurs sur le dark web, les opérateurs de CSAM ont largement opté pour un modèle de place de marché.

Ces places de marché de CSAM sur le dark web utilisent principalement deux structures opérationnelles :

• Propriété des administrateurs : les administrateurs conservent le contrôle exclusif du contenu, du téléchargement des fichiers et de tous les bénéfices.
• Contribution: les administrateurs fournissent l'infrastructure de la plate-forme et partagent les bénéfices avec les téléchargeurs en fonction des revenus qu'ils génèrent.

L'IA joue un rôle croissant dans le CSAM

Comme le souligne le rapport de TRM intitulé The Rise of AI-Enabled Crime, les acteurs du CSAM utilisent de plus en plus l'IA pour produire et distribuer des CSAM, ce qui complique les efforts de détection et soulève de nouveaux défis éthiques et juridiques. 

En juillet 2024, l'Internet Watch Foundation (IWF) a publié un rapport révélant que plus de 3 500 images d'abus sexuels d'enfants générées par l'IA avaient été téléchargées sur un forum du dark web analysé pour la dernière fois en octobre 2023. L'IWF a également indiqué que des acteurs menaçants utilisaient des images réelles de victimes pour entraîner des modèles d'IA à produire du contenu. 

En outre, en février 2025, une opération d'Europol soutenant les autorités de 19 pays a abouti à l'arrestation de 25 personnes qui faisaient partie d'un groupe criminel responsable de la diffusion d'images de mineurs générées par l'IA. Ces exemples soulignent la menace croissante que représentent les acteurs du CSAM qui abusent de l'IA. 

Étant donné que les modèles d'IA fermés mettent en œuvre des mesures de protection strictes contre les utilisations abusives, les acteurs de la menace se tournent vers des alternatives ouvertes qu'ils peuvent personnaliser à des fins illicites. Bien que ces modèles requièrent une plus grande maîtrise technique, ils permettent aux acteurs malveillants de créer des CSAM très réalistes qui peuvent être monétisés. En plus d'utiliser l'IA générative pour créer des vidéos, les acteurs de la menace exploitent également la technologie deepfake pour ajouter des visages de mineurs à la pornographie adulte.

Alors que les criminels du CSAM abusent de plus en plus de l'IA, la technologie peut également être utilisée comme un bouclier contre de telles activités. Les enquêtes de Blockchain intelligence sur Blockchain intelligence intègrent désormais l'IA aux outils existants, tels que ceux proposés par TRM, pour aider à identifier les transactions sur la chaîne liées aux sites web, aux forums et aux vendeurs de CSAM, ainsi que pour perturber les réseaux financiers qui soutiennent ce commerce odieux. 

Les escroqueries CSAM sur le web sombre diminuent tandis que les escroqueries sur les médias sociaux augmentent

Outre les vendeurs de CSAM, les criminels profitent également de la demande de CSAM en prétendant frauduleusement vendre ce contenu à des fins lucratives. Ces mauvais acteurs distribuent souvent des CSAM pour attirer des individus avant de demander un paiement pour un accès élargi à des "collections cachées" qui n'existent pas. Une fois leur nature frauduleuse révélée, les opérateurs de ces escroqueries changent généralement d'URL et de nom d'entité.

Les conseils de TRM en matière de renseignement ont aidé les forces de l'ordre à identifier et à démanteler plusieurs sites web frauduleux. Nos blockchain intelligence ont également permis de relier bon nombre de ces opérations à un seul groupe d'acteurs de la menace, révélant ainsi des modèles d'activité coordonnée.

Toutefois, TRM a observé un déclin des sites web frauduleux de CSAM opérant sur le dark web au cours de l'année écoulée. En revanche, ces escroqueries se sont multipliées sur les médias sociaux et les plateformes de messagerie. Les réseaux prétendant frauduleusement vendre des CSAM ont proliféré, souvent démasqués par d'autres acteurs de la menace CSAM comme étant des escroqueries. Cette évolution souligne la capacité d'adaptation des acteurs illicites, qui ne cessent de faire évoluer leurs tactiques pour exploiter la demande.

Les consommateurs de CSAM utilisent de plus en plus des adresses intermédiaires

En raison de la surveillance permanente des paiements en crypto-monnaies dirigés vers des entités CSAM connues, les consommateurs ont de plus en plus recours à des techniques d'obscurcissement pour masquer leurs transactions illicites. En particulier, les individus utilisent stratégiquement des adresses intermédiaires pour créer une couche de séparation, empêchant ainsi l'attribution directe des fonds à des activités liées au CSAM. 

Études de cas : Perturber les opérateurs de CSAM dans le monde entier

Comme indiqué, en mars 2025, les autorités thaïlandaises ont arrêté un ressortissant allemand qui exploitait une plateforme du dark web facilitant la vente de CSAM en échange de crypto-monnaie. L'arrestation a eu lieu à la suite d'un signalement à la police royale thaïlandaise par le service d'enquête de la sécurité intérieure des États-Unis (Homeland Security Investigations - HSI).

Il ne s'agit là que d'un exemple parmi d'autres d'organismes d'application de la loi tirant parti de l'blockchain intelligence pour identifier et arrêter des personnes impliquées dans des réseaux de CSAM, ainsi que pour faire disparaître des sites web de CSAM. Au cours de l'année écoulée, des organismes d'application de la loi au Brésil, aux États-Unis, en Espagne, en Australie, en Tchéquie, au Royaume-Uni, à la Réunion et au Canada ont réussi à perturber de telles opérations avec l'aide de l'blockchain intelligence.

Dans un cas, la police fédérale brésilienne (BFP) a identifié et arrêté un homme de 20 ans pour avoir produit et distribué du matériel pédopornographique. Selon la BFP, l'homme avait annoncé l'accès à des photographies et à des vidéos sur une application de messagerie. L'homme a également produit de nouvelles vidéos d'abus sexuels sur des enfants à la demande avec un jeune membre de sa famille.

Croyant à tort que les actifs numériques lui assureraient l'anonymat, le suspect a au contraire laissé une trace que les enquêteurs ont utilisée pour remonter les transactions jusqu'à un réseau plus large d'activités illicites. Une autre affaire au Brésil a conduit à l'arrestation d'un producteur de CSAM lié à un réseau commercial. Cette arrestation a permis d'éviter que la victime, âgée de deux ans, ne subisse d'autres préjudices.

Enfin, en Tchéquie, les autorités ont suivi les flux financiers pour perturber un réseau de multiples sites web de CSAM sur le dark web. Ces affaires mettent en évidence le rôle croissant de l'blockchain intelligence dans la découverte de réseaux criminels cachés et le soutien aux forces de l'ordre dans leur mission de traduire les délinquants en justice.

Le rôle de l'Blockchain intelligencedans le démantèlement des réseaux de CSAM.

Alors que les acteurs de la menace affinent sans cesse leurs méthodes pour obscurcir leurs activités illicites et échapper à la détection, l'analyse en temps réel de la blockchain est devenue un outil essentiel pour perturber leurs opérations. La capacité d'organisations telles que TRM Labs de tracer les transactions en crypto-monnaies envoie un message clair à ces acteurs de la menace : leur activité n'est pas invisible et ils seront découverts. 

L'Blockchain intelligence et les enquêtes alimentées par l'IA mettent à jour la perception erronée des acteurs malveillants selon laquelle les crypto-monnaies offrent l'anonymat. Les forces de l'ordre, en collaboration avec les entreprises de blockchain intelligence , peuvent désormais suivre les paiements illicites, exposer les réseaux et démanteler les places de marché de CSAM avec précision.

Le paysage réglementaire des crypto-monnaies évolue également, les législateurs se concentrant de plus en plus sur le renforcement des normes de conformité pour les échanges et l'introduction de mesures visant à empêcher les actifs numériques de faciliter les activités illicites, y compris les paiements liés aux CSAM. En intégrant l'blockchain intelligence, la surveillance pilotée par l'IA et l'application de la réglementation, les enquêteurs peuvent perturber durablement les réseaux de CSAM et traduire les auteurs en justice. TRM Labs reste à l'avant-garde de cet effort, fournissant des renseignements critiques aux forces de l'ordre et renforçant le pouvoir de l'blockchain intelligence pour le bien social.