Sommaire
Depuis la mi-octobre, xemfaucet.com ne rend plus qu’une redirection de son enregistreur
Le 19 octobre 2026, trois tentatives de connexion chiffrée à l’adresse racine de xemfaucet.com ont expiré l’une après l’autre, sans qu’aucun octet de page ne soit rendu. Interrogée sur le port non chiffré, la même adresse répond par une redirection vers la variante avec « www » : l’en-tête porte la signature « Namecheap URL Forward » et le serveur s’annonce comme « namecheap-nginx ». Aucune page, aucun billet de blog, aucun formulaire.
La variante « www » n’est plus servie par une machine propre au site. Elle est un alias technique de la page par défaut de l’enregistreur, servie depuis les adresses 104.219.250.36 et 2.59.170.19. La page rendue affiche une phrase du type « has been recently registered with namecheap.com » et une invitation à découvrir des noms de domaine aux enchères. C’est cette page neutre que voit désormais quiconque tape l’adresse.
Aucune connexion chiffrée n’aboutit. Sur l’adresse racine, la poignée de main expire ; sur la variante « www », elle est interrompue net. Il n’y a donc plus de certificat à présenter, plus de tunnel sécurisé, plus rien à lire.
Le contraste avec le 10 septembre 2026 est saisissant. La capture conservée par BrokerDefense montre ce jour-là un serveur nginx, une installation WordPress et une adresse 196.251.107.39, appartenant à un prestataire joint à l’adresse d’abus de rentdedic.com. Ce prestataire hébergeait le blog leurre ; il n’héberge plus rien pour ce domaine.
Le contraste porte sur deux étages distincts. Le blog leurre est tombé, mais la plateforme qu’il vendait répond toujours. Notre enquête du 15 septembre 2026 sur la plateforme Apex Schwarz et son domaine schwarzapexapp.org avait déjà documenté ce second étage, qui continue de fonctionner.
Dernière mise à jour : 19/10/2026
📄 Document
BrokerDefense met gratuitement à disposition la capture de la fausse page du « Monde » servie par xemfaucet.com le 10 septembre 2026. Le domaine ne la sert plus : la capture reste donc la seule trace visuelle du leurre, avec l’en-tête emprunté au quotidien, les commentaires fabriqués et le bouton qui menait vers « Apex Schwarz ».
Pour une utilisation dans le cadre d’une procédure judiciaire, commandez la version complète sans filigrane.
Le blog « Carnet des Sentiers » s’est tu avec le serveur qui le portait
Deux adresses du site servaient la fausse une du Monde, là où le reste du domaine affichait des billets sur le jardin et la cuisine : « short-walk-with-intention-studio-notes » et « wildlife-friendly-backyard-structured-vs-pocket ». Ces deux pages étaient les seules à porter la charge frauduleuse.
La page imitait la mise en page du quotidien avec soin : bandeau, rubriques, signature « Le Monde avec AFP », date au 27 août 2026, durée de lecture annoncée. Un lecteur pressé pouvait s’y tromper.
Le contenu fabriqué était dense. Une interview inventée de Michel-Édouard Leclerc par Laurent Delahousse constituait le corps du texte. Des commentaires d’internautes racontaient des retraits de plusieurs milliers d’euros. Des compteurs affichaient plus de 5 100 participants, un plafond annoncé à 5 300 et « moins de 200 places ». Une date limite au 27 août 2026 créait une pression artificielle. Des analyses étaient attribuées sans source au journaliste François Lenglet et à l’économiste Marc Touati.
L’appel à l’action menait à un fichier interne du même domaine. Une fausse conseillère prénommée « Marie » y annonçait une « Vérification 0 % » et demandait prénom, nom, courriel et téléphone, avec un indicatif français. Ce schéma n’est pas isolé : le site nazvelqorn-ai.com, que nous avons analysé dans notre dossier sur nazvelqorn-ai.com, recourait à une mécanique de collecte de coordonnées très proche.
Ce dispositif supposait un serveur, des pages et une boîte de réception. Les trois ont disparu en même temps que l’hébergement.
Un certificat valable jusqu’au 9 décembre que plus aucun serveur ne présente
Le certificat relevé le 10 septembre 2026 avait été délivré par Let’s Encrypt, sous l’autorité intermédiaire YR1, à 07 h 28 UTC. Sa durée de vie était de quatre-vingt-dix jours, soit une échéance au 9 décembre 2026. Il ne couvrait que le nom et sa variante « www ».
Ce document administratif subsiste dans les registres publics de transparence des certificats. Mais aucune machine ne le présente aujourd’hui : la poignée de main échoue avant tout échange de clé. Le certificat a survécu au service qu’il protégeait.
Aucune archive publique ne conserve la fausse une. La dernière trace connue du nom dans les archives remonte au 14 juillet 2025 et se réduit à une redirection, sans contenu éditorial. La page frauduleuse n’a donc jamais été photographiée par un service d’archivage. Cela rend la capture réalisée par BrokerDefense le 10 septembre 2026 d’autant plus précieuse : elle constitue la seule trace documentée de ce que le site servait réellement.
Apex Schwarz répond toujours, en allemand et en cinquante kilo-octets
Le 19 octobre 2026, l’adresse de la plateforme rend un code 200 et environ 50 800 octets de page. Le titre affiché revendique « Schwarz Apex » et une mention allemande signifiant « déjà 2025 ». La version servie par défaut est germanophone ; la version française, toujours accessible à l’adresse /fr/, annonce un dépôt minimum de 250 dollars.
Le serveur annonce un service de protection de trafic. La réponse dépose un identifiant de session PHP : la vitrine est dynamique, pas une page figée. Le formulaire d’inscription attend toujours les visiteurs, avec six champs : prénom, nom, courriel, numéro de téléphone, indicatif et case d’acceptation.
Notre enquête du 15 septembre 2026 avait établi que ce nom avait été enregistré le 24 août 2026, qu’il existait en une quinzaine de langues et que ses conditions générales demandaient encore à leur rédacteur d’y insérer les mentions légales. Rien de tout cela n’a été corrigé depuis. Le formulaire est toujours là, et le montant d’entrée s’affiche désormais en dollars, là où la page de septembre annonçait des euros : 250 dollars au lieu de 250 euros.
La mécanique est lisible. Le domaine qui portait le leurre était sacrifiable : il pouvait tomber sans que la caisse soit affectée. Celui qui reçoit les coordonnées et les versements ne l’est pas. C’est le second qui continue de capter les inscriptions, indépendamment de la fermeture de xemfaucet.com.
Rien, dans les publications de surveillance des autorités françaises consultées ce jour, ne mentionne l’un ou l’autre de ces deux noms. Ce silence ne dit rien de leur sérieux : le dispositif est récent, et les signalements officiels arrivent avec du retard.
Un nom conservé jusqu’au 12 décembre, un registre modifié le 15 octobre
Les données d’enregistrement du domaine situent la création au 12 décembre 2021 chez l’enregistreur américain Namecheap, avec une échéance au 12 décembre 2026. Un statut interdit le transfert sans accord du titulaire, et l’identité de ce titulaire est masquée par un service de confidentialité.
Le dossier du registre porte une dernière modification datée du 15 octobre 2026 à 01 h 57 UTC. Cet horodatage ne dit pas, à lui seul, ce qui a été changé ; il situe en revanche la coupure dans la même semaine que la disparition du blog, quatre jours avant nos relevés.
Les serveurs de noms sont ceux de l’enregistreur, dns1 et dns2.registrar-servers.com. Le courrier du domaine est désormais confié au service de transfert de l’enregistreur, de eforward1 à eforward5.registrar-servers.com, avec une règle d’expédition spf.efwd.registrar-servers.com. Plus aucune boîte du prestataire d’origine ne relève le courrier : le service de messagerie rattaché au blog leurre n’existe plus.
L’ensemble de ces données est accessible publiquement : la fiche WHOIS complète sur DomainTools permet de vérifier les détails d’enregistrement du domaine.
La fiche communautaire ScamDoc consacrée au domaine affichait le 10 septembre 2026 un indice de confiance de 80 %, qualifié de modéré, calculé surtout sur l’âge du nom. Le 19 octobre 2026, la même fiche affiche un indice très faible de 1 %. L’écart illustre la fragilité de ces indicateurs : ils suivent les signalements, ils ne décrivent pas le contenu servi. La fiche ScamDoc de xemfaucet.com reflète désormais les alertes déposées par les utilisateurs.
Ce qu’il reste à produire quand le site a fermé et que les fonds sont partis
Le domaine ne répond plus, mais les traces subsistent. La capture de la fausse une, les messages reçus, l’identifiant de l’appelant, les justificatifs de virement, les relevés bancaires : chacun de ces éléments peut servir dans une procédure.
Le premier versement demandé était de 250 euros, souvent suivi d’une demande de renforcement du compte. Les personnes qui ont payé doivent conserver l’ordre de virement et le nom du bénéficiaire, pas seulement la capture d’écran. C’est le nom du bénéficiaire qui permet d’identifier le compte récepteur et d’orienter les enquêteurs.
Un dépôt de plainte reste possible. La qualification vise l’escroquerie, et les établissements qui ont laissé transiter les fonds peuvent voir leur responsabilité examinée. Notre page déposer une plainte pénale pour escroquerie financière détaille les étapes concrètes de cette démarche.
Dans l’entretien vidéo qui suit, Maître Julie Younes, inscrite au barreau de Paris, décrit le cheminement d’un dossier de fonds détournés, depuis la mise en demeure jusqu’à l’audience.
Cela signifie que le titulaire du domaine a coupé l’hébergement qui faisait tourner le blog leurre et la fausse page du journal. Le domaine existe encore, il est payé jusqu’au 12 décembre 2026, mais il ne pointe plus vers aucun serveur éditorial. L’enregistreur affiche sa propre page par défaut, faute d’instruction contraire. Le contenu frauduleux a disparu, mais le domaine reste sous le contrôle de son titulaire anonyme.
Une personne qui a rempli le formulaire de « Marie » sur xemfaucet.com a transmis son prénom, son nom, son adresse de courriel et son numéro de téléphone à des opérateurs qui peuvent toujours les utiliser. La plateforme Apex Schwarz répond toujours, ce qui signifie que des rappels téléphoniques ou des messages sont encore possibles. Il convient de ne pas rappeler les numéros inconnus reçus depuis cette période et de ne réaliser aucun versement supplémentaire, quelle que soit la promesse formulée.
Les pièces utiles sont : l’ordre de virement ou la confirmation de paiement avec le nom exact du bénéficiaire et le numéro de compte destinataire, les relevés bancaires montrant le débit, les captures d’écran de la page leurre si elles ont été prises, les messages reçus par courriel ou par téléphone, et le journal des appels entrants. Le nom du bénéficiaire du virement est la pièce la plus importante pour orienter une plainte pour escroquerie.
Conclusion : un leurre jetable, une caisse qui ne ferme pas
Le blog « Carnet des Sentiers » a disparu avec le serveur qui le portait. xemfaucet.com ne sert plus qu’une redirection neutre depuis la mi-octobre. La plateforme Apex Schwarz, elle, répond toujours, avec son formulaire, son dépôt minimum de 250 dollars et ses cinquante kilo-octets de vitrine dynamique.
Ce schéma décrit un modèle rodé. Les leurres sont jetables : un blog de loisirs, une fausse une de journal, une conseillère prénommée « Marie ». Ils peuvent être coupés en quelques minutes, sans laisser de trace accessible au public. La caisse, elle, ne l’est pas : le domaine qui reçoit les coordonnées et les versements reste servi, protégé par un service de trafic, alimenté par un formulaire que personne n’a désactivé.
Des personnes attirées par une fausse actualité mettant en scène Michel-Édouard Leclerc ont laissé leurs coordonnées sur xemfaucet.com, puis ont versé 250 euros et parfois davantage sur la plateforme Apex Schwarz. Si vous êtes dans cette situation, faire évaluer votre dossier par un professionnel avant toute nouvelle démarche reste la priorité : chaque action supplémentaire vers la plateforme peut compliquer la récupération des fonds déjà versés.
Article réécrit le 19/10/2026
1 Comment
[…] du 10 septembre 2026, consacré à l’entonnoir bâti sur xemfaucet.com, décrivait le premier étage du dispositif : un blog de loisirs français servant, sur deux […]