Reseau Immediate : 149 sites, 23 registrars, 10 G-ID, 3 continents – Enquete sur une nebuleuse d arnaques financieres

Mise à jour août 2026. Quand BrokerDefense a publié la première version de cet article, nous documentions 22 sites frauduleux gravitant autour de la marque « Immediate ». Aujourd’hui, le compteur affiche 149 domaines frauduleux confirmés, répartis sur 23 registrars distincts implantés sur trois continents, pilotés par 10 comptes opérateurs identifiés chez un seul hébergeur de registrations. Ce n’est plus une arnaque isolée : c’est une industrie. Chaque nouvelle vague de sites reprend les mêmes recettes — noms évocateurs de technologie, faux auteurs, formulaires de capture, promesses de rendements automatisés — tout en brouillant délibérément les pistes administratives. Ce document est le rapport de synthèse le plus complet jamais publié sur ce réseau. Il intègre les découvertes des batches d’analyse 1 à 28 et sera mis à jour en continu.

Méthodologie d’enquête

L’enquête repose sur une approche systématique en plusieurs couches. Chaque site signalé par un lecteur ou détecté via nos veilles automatisées fait l’objet d’une analyse d’enregistrement de domaine : date de création, registrar, données de contact, serveurs de noms. Ces données sont ensuite croisées avec les informations d’hébergement, les certificats SSL, les métadonnées de pages et les formulaires de capture.

La découverte centrale de cette enquête est l’identification des G-ID — les numéros de compte client attribués par MainReg INC., le registrar dominant du réseau. Chaque G-ID correspond à un compte facturable distinct. Retrouver le même G-ID sur plusieurs domaines constitue une preuve directe de propriété commune, indépendamment de toute protection WHOIS. C’est sur cette colonne vertébrale que repose l’ensemble de la cartographie.

Les sites sont ensuite classés par branches selon leur registrar, leur protection WHOIS et leurs serveurs de noms. Cette arborescence permet de distinguer des sous-réseaux opérationnellement distincts tout en établissant les passerelles qui les relient — un même numéro de téléphone d’abus, un même lot de création, un même hub marketing.

Les 10 G-ID — la colonne vertébrale du réseau

MainReg INC. est un registrar de domaines dont les serveurs sont localisés entre la Bulgarie, la République tchèque et plusieurs juridictions offshore. Sa particularité : il attribue à chaque client un identifiant interne — le G-ID — visible dans les données d’enregistrement. L’opérateur du réseau Immediate a ouvert dix comptes distincts chez ce seul prestataire. Cette multiplication n’est pas anodine : elle vise à diluer la traçabilité. Si un compte est signalé ou suspendu, les autres continuent d’opérer sans interruption.

Voici les dix G-ID documentés, du plus ancien au plus récent :

• G-117199 (août 2023, le plus ancien) — 4 domaines enregistrés, protection assurée par fablovkawhoisprotection.com. Premier compte identifié, il constitue le point d’ancrage chronologique de l’enquête.
• G-1378226 (le plus prolifique) — 11 domaines, dont 6 créés le même jour, le 10 avril 2024. Protection whoisprotection.domains. C’est la preuve d’enregistrement par lots la plus solide de tout le dossier. Trade ProAir (G-1378226) figure dans ce lot, avec des serveurs de noms jumeaux nelci+nick partagés avec au moins trois autres domaines.
• G-1402017 (décembre 2023) — 1 domaine (Cipro). Compte de transition entre les premières et secondes vagues.
• G-1426951 (février 2024) — 1 domaine (Nova), protection WHOIS distincte via fablovkawhoisprotection.com, contact géolocalisé en Israël. Première occurrence d’une connexion israélienne dans le réseau.
• G-1459492 — 1 domaine (Mobic). Nom emprunté à un médicament anti-inflammatoire, stratégie de détournement pharmaceutique documentée plus bas.
• G-1447304 — 3 domaines formant la série Edge : fbc-edge.com, bitcoinloopholeapp.com et astral-edge.com. Ce compte est une preuve directe que deux sites présentés comme indépendants partagent le même propriétaire opérationnel.
• G-1244670 (août 2019, le plus ancien en date de création) — 1 domaine recyclé. Le numéro de téléphone d’abus associé (+359 888 832 133, Bulgarie) est identique à celui relevé sur Coin Kong Trader, établissant un pont entre deux réseaux a priori distincts.
• G-1442438 (juillet 2024) — 1 domaine (Stock Blast Pro). Compte ouvert en plein été 2024, période de forte activité du réseau.
• G-1378227 — 1 domaine (Swap Alrex). Numéroté immédiatement après G-1378226, ce compte est son frère jumeau : même période d’ouverture, même infrastructure, numérotation séquentielle qui trahit une création simultanée.
• G-1475169 (janvier 2025, le plus récent) — 1 domaine (Conderbit App (G-1475169)). Serveurs de noms dnsgptt.com, une anomalie non documentée dans les branches précédentes. Ce compte prouve que le réseau était encore en phase d’expansion active au début de l’année 2025.

La leçon de cette cartographie est simple : l’opérateur ne cherche pas à consolider son infrastructure, il la fragmente volontairement. Dix comptes chez un même prestataire, c’est dix procédures de suspension nécessaires pour neutraliser le réseau — et dix fois plus de travail pour les autorités.

23 registrars sur 3 continents — l’infrastructure mondiale

Si MainReg INC. concentre plus de 60 sites (soit environ 40 % du réseau documenté), l’opérateur a systématiquement diversifié ses prestataires d’enregistrement. On dénombre aujourd’hui 23 registrars distincts, répartis entre l’Europe, l’Amérique du Nord et l’Asie.

Les grandes branches structurelles sont les suivantes :

• Branche 1A — MainReg/Prague : la branche dominante. Les données WHOIS pointent vers Securest Ltd., avec protection Whois Protection s.r.o., adresse Jaurisova 515/4, Praha 4. Le numéro d’abus +359 888 832 133 (Bulgarie) est commun à plus de 60 sites. C’est ici que se concentrent les G-ID décrits ci-dessus.
• Branche 1B — GRANSY/SUBREG.CZ + Securest : même entité Securest, registrar différent (GRANSY, République tchèque). La protection WHOIS et les contacts d’abus sont identiques à la branche 1A, ce qui confirme qu’il s’agit du même opérateur utilisant un revendeur alternatif.
• Branche 2A/B — NETIM/Malte et NETIM/Italie-Israël : registrar français (NETIM SARL), contacts géolocalisés à Malte ou en Italie/Israël selon les domaines. Cette branche inclut Eurax (inscrit sur la liste noire de l’AMF) et Immediate Flarex, dont le domaine avage.com a été blacklisté par MetaMask.
• Branche 3 — Namecheap/Islande : plus de 15 domaines, avec un lot de 4 créés le 23 août 2024. Namecheap utilise ici des serveurs de noms islandais, ajoutant une couche géographique supplémentaire à la dissimulation.
• Branche 4 — Epik/Wyoming : 7 domaines recyclés, pools téléphoniques distincts des autres branches. Epik LLC est connu pour son laxisme en matière de vérification des titulaires.
• Branches 5A à 5H — registrars divers : PDR Ltd., ENOM/INC, eNom, NameSilo LLC, Hostinger (Lituanie), NICENIC (Hong Kong), Trustname.com (Estonie), Amazon Registrar, Dynadot LLC, Porkbun LLC, Tucows (Canada), Registrar.eu (Pays-Bas), Spaceship, Alibaba Cloud (Singapour — premier registrar asiatique identifié dans le réseau), SAV.COM, Imminentdomains.net et un proxy Namecheap néerlandais.

L’entrée d’Alibaba Cloud dans le réseau, documentée lors des derniers batches d’analyse, marque un tournant géographique. Elle suggère soit une expansion vers des marchés asiatiques, soit une tentative de contourner les procédures de signalement européennes et américaines en s’appuyant sur un prestataire soumis à une juridiction différente.

Un cas illustre parfaitement la stratégie multi-registrar : Fortune Link est enregistré à la fois chez MainReg et chez Dynadot, deux comptes distincts pour un même opérateur. Cette redondance garantit la continuité opérationnelle en cas de suspension d’un des comptes.

dex.ag — le hub marketing qui alimente le réseau

Derrière la multiplicité des marques et des domaines, il existe un point de convergence marketing : dex.ag. Cette plateforme, dont le registrar est localisé à Antigua-et-Barbuda, fonctionne comme une centrale de génération de leads. Elle héberge des pages de présentation rédigées en jusqu’à 27 langues, peuplées de faux auteurs dotés de biographies crédibles et de photos de profil générées ou détournées.

Le fonctionnement est rodé : l’internaute arrive sur une page dex.ag via un résultat de recherche ou une publicité. Il y trouve un article élogieux sur un robot de trading — Immediate X, Immediate Pro, ou l’une des 149 variantes documentées. Un formulaire de capture collecte son nom, son email et son numéro de téléphone. Ces données sont transmises en temps réel à un call center, dont les agents rappellent la victime dans les minutes qui suivent pour la convaincre de déposer un minimum de 250 euros.

L’analyse de Immediate Forteo (hub dex.ag) a permis de documenter ce mécanisme en détail : la page dex.ag associée à Forteo redirige vers un formulaire dont les paramètres UTM trahissent une campagne publicitaire coordonnée, distincte du domaine principal du site frauduleux. Le hub sert donc de tampon entre la publicité et la collecte, rendant plus difficile la traçabilité pour les plateformes publicitaires.

Les faux auteurs présents sur dex.ag constituent un élément de manipulation particulièrement efficace. Ils sont présentés comme des journalistes financiers indépendants, des anciens traders ou des experts en intelligence artificielle. Leurs noms ne correspondent à aucune personne réelle vérifiable. Leurs « analyses » sont en réalité des textes promotionnels standardisés, traduits automatiquement dans les 27 langues disponibles.

Les séries thématiques — une industrialisation par familles

L’une des évolutions les plus significatives documentées depuis la version initiale de cet article est l’émergence de séries thématiques : des groupes de sites partageant un suffixe ou un préfixe commun, déployés en rafale pour saturer les résultats de recherche sur un mot-clé donné.

La série Edge regroupe six sites : astral-edge, everix-edge, arbitrixedge, crypto-edge-system, immediateedge.cloud et fbc-edge. Trois d’entre eux (fbc-edge.com, bitcoinloopholeapp.com et astral-edge.com) partagent le même G-ID (G-1447304), preuve directe de propriété commune. Le mot « edge » évoque une technologie de pointe, un avantage concurrentiel — exactement le type de promesse implicite que ces sites cherchent à véhiculer.

La série Trade compte cinq sites : tradeavapro, trademaxair, tradefolex, tradeproair et tradeduac100. Le suffixe « trade » associé à des termes pseudo-techniques (« pro », « air », « folex ») vise à imiter l’apparence de plateformes de trading légitimes. Altrops Trade (28 langues) appartient à cette famille élargie et détient le record du réseau en matière de multilinguisme.

La série App est la plus récente et la plus volumineuse : huit sites portant le suffixe « -app » ou « app » dans leur nom de domaine. Elle inclut conderbitapp, maraxcont-app, ezopaxbit-app, lewontex-app, froceraxapp-soft, sonceraxappai, crypto-engine.org et cryptosoft.app. Cette série semble cibler prioritairement les francophones, plusieurs de ces sites proposant une interface française en premier choix de langue.

La série AI regroupe quatre sites exploitant le filon de l’intelligence artificielle : Neurostocks AI, Veltrix AI, Aivora Trade et Parlions Platform. Immediate Apex AI illustre la sophistication de cette stratégie : le domaine en .org imitait délibérément l’apparence d’une institution académique ou réglementaire, ajoutant une couche de légitimité apparente à l’arnaque.

Ces séries ne sont pas de simples coïncidences nominales. Elles reflètent une stratégie de référencement délibérée : en multipliant les variantes d’un même mot-clé, l’opérateur augmente ses chances d’apparaître dans les résultats de recherche pour des requêtes comme « meilleur robot trading IA » ou « plateforme crypto automatisée ».

Cinq stratégies de déploiement décryptées

Sur les dix stratégies identifiées dans notre base de données, cinq méritent une attention particulière pour leur sophistication ou leur impact sur les victimes.

1. L’enregistrement par lots. La preuve la plus solide de coordination est le lot du 10 avril 2024 : six domaines créés le même jour sous le compte G-1378226. Cette pratique réduit le coût opérationnel (négociation de tarifs en volume, configuration d’infrastructure mutualisée) tout en permettant un déploiement simultané sur plusieurs marchés linguistiques. Les lots de création sont désormais un marqueur d’identification fiable : quand deux domaines partagent une date de création identique et un G-ID commun, leur appartenance au même réseau est établie.

2. La discordance domaine/marque. Neuf sites présentent une dissociation délibérée entre leur nom de domaine et la marque affichée sur le site. L’exemple le plus frappant : bitcoins-union.com affiche la marque « Immediate Xgen AI ». Cette technique complique les recherches des victimes (qui cherchent le nom de la marque, pas le domaine) et ralentit les procédures de signalement auprès des registrars.

3. Le détournement pharmaceutique. Plusieurs sites utilisent des noms de médicaments comme domaines : Atarax (anxiolytique), Bumex (diurétique), Duac (traitement dermatologique), Cipro (antibiotique), Mobic (anti-inflammatoire). La stratégie est double : ces domaines bénéficient parfois d’un historique SEO favorable (anciens sites médicaux légitimes rachetés), et leur nom ne déclenche pas immédiatement les alertes associées aux termes financiers dans les systèmes de modération publicitaire.

4. Le multilinguisme industriel. Altrops Trade (28 langues) détient le record du réseau, devant Bumex (32 langues selon les données de batch 27). Cette capacité de traduction automatique à grande échelle permet de cibler simultanément des victimes en Europe de l’Est, en Amérique latine, en Asie du Sud-Est et en Afrique francophone. Le coût marginal d’ajout d’une langue est quasi nul avec les outils de traduction automatique actuels.

5. Le recyclage de domaines anciens. Le compte G-1244670, ouvert en août 2019, illustre une pratique documentée dans plusieurs branches : l’acquisition de domaines ayant un historique d’existence (certains remontant à 2011-2021) pour bénéficier d’une autorité de domaine favorable dans les algorithmes de référencement. Un domaine de dix ans avec des backlinks existants se positionne plus facilement qu’un domaine créé la veille.

Blacklists et alertes officielles

Le réseau Immediate a désormais attiré l’attention de plusieurs organismes de surveillance, même si la couverture reste très partielle au regard des 149 sites documentés.

MetaMask a blacklisté trois domaines du réseau. Cette liste noire, intégrée dans le portefeuille crypto le plus utilisé au monde, affiche un avertissement de phishing lorsqu’un utilisateur tente d’accéder à un site signalé. Les trois domaines concernés incluent avage.com (branche NETIM/Malte). La faiblesse de cette protection : elle ne couvre que les interactions via MetaMask et ne protège pas les victimes qui accèdent aux sites via un navigateur standard.

L’Autorité des marchés financiers (AMF) a inscrit un site du réseau sur sa liste noire : Magnumator (.fr AMF). Il s’agit du premier domaine en .fr du réseau à faire l’objet d’une alerte officielle française. Eurax figure également sur la liste noire AMF, via la branche NETIM. Ces inscriptions ont une valeur symbolique et juridique importante, mais leur portée pratique reste limitée : elles interviennent généralement plusieurs mois après le début de l’activité frauduleuse, quand de nombreuses victimes ont déjà été lésées.

La disproportion entre 149 sites documentés et 2 inscriptions AMF illustre le défi structurel auquel font face les régulateurs : les sites prolifèrent plus vite que les procédures d’inscription sur liste noire. C’est précisément pour combler cet écart que BrokerDefense maintient sa propre base de données, accessible en temps réel.

Techniques de manipulation des victimes

La dimension technique de l’arnaque — les G-ID, les registrars, les serveurs de noms — ne doit pas faire oublier l’essentiel : ces sites existent pour extorquer de l’argent à des personnes réelles. Comprendre les mécanismes de manipulation est indispensable pour les identifier et s’en prémunir.

L’urgence artificielle. Les pages de capture affichent systématiquement des compteurs de temps (« offre valable encore 14 minutes »), des indicateurs de places limitées (« 3 places disponibles dans votre région ») ou des notifications de gains en temps réel (« Jean-Pierre vient de gagner 847 € »). Ces éléments sont générés dynamiquement et n’ont aucune réalité. Leur fonction est d’empêcher la victime de prendre le temps de vérifier les informations.

L’usurpation de célébrités et d’institutions. De nombreux sites du réseau utilisent des photos et des citations attribuées à des personnalités publiques (entrepreneurs, présentateurs télévisés, politiques) pour accréditer leurs promesses. Ces citations sont fabriquées. L’usurpation s’étend parfois aux institutions : Immediate Apex AI utilisait un domaine en .org pour imiter l’apparence d’une organisation officielle.

Le lexique de la légitimité technologique. Les termes « Quantum », « GPT », « AI », « Neuro », « Neural » et leurs dérivés sont omniprésents dans les noms de marques et les descriptions de produits. Ils exploitent la fascination du grand public pour l’intelligence artificielle et la finance algorithmique, sans que ces technologies soient réellement implémentées. La série AI (Neurostocks AI, Veltrix AI, Aivora Trade) en est l’illustration la plus récente.

Le call center de rétention. Une fois le dépôt initial effectué (généralement 250 euros), la victime est prise en charge par un « gestionnaire de compte » qui la pousse à augmenter ses investissements. Quand elle souhaite retirer ses fonds, des prétextes successifs retardent le remboursement : frais de vérification, impôts à payer en avance, problèmes techniques. Ces fonds ne sont jamais restitués.

Si vous avez été victime de l’un des sites documentés dans cet article, BrokerDefense peut vous aider à constituer un dossier complet (annexes) pour une plainte pénale ou une procédure de recouvrement.

Me Anne Bernard-Dussaulx, avocate au barreau de Paris, est intervenue pour BrokerDefense sur sa victoire en Cour de cassation (pourvoi 22-23.136).

Conclusion — un réseau en expansion, une vigilance qui s’impose

De 22 à 149 sites en moins de trois ans : la trajectoire du réseau Immediate est celle d’une organisation criminelle qui a trouvé un modèle économique rentable et qui l’industrialise. Les 10 G-ID, les 23 registrars, les séries thématiques, le hub dex.ag — chaque élément documenté dans cet article révèle une sophistication croissante et une capacité d’adaptation aux contre-mesures.

La disproportion entre l’ampleur du réseau et le nombre d’alertes officielles (2 inscriptions AMF pour 149 sites) n’est pas une défaillance isolée : elle reflète la difficulté structurelle des régulateurs à suivre le rythme d’une infrastructure conçue pour se régénérer. Chaque domaine suspendu peut être remplacé en quelques heures par un nouveau compte chez un registrar différent.

Face à cette réalité, la documentation publique et la mise à jour continue de bases de données comme celle de BrokerDefense constituent l’un des outils les plus efficaces de protection des victimes potentielles. Signaler un site, partager cet article, alerter un proche qui s’apprête à « investir » sur une plateforme inconnue : ces gestes simples ont une valeur concrète.

Cet article est évolutif et sera mis à jour à mesure que de nouveaux sites sont identifiés et analysés par nos équipes.

Liste complète : 165 domaines frauduleux du réseau Immediate

Voici la liste exhaustive des domaines frauduleux documentés, mise à jour le 3 août 2026 :

Cette liste est évolutive. Dernière mise à jour : 3 août 2026.