Sommaire
La même paire de scripts que trois dossiers déjà publiés, un écran éteint
Ce qui distingue secure.connexion-privee.com d’un portail frauduleux ordinaire, c’est la précision avec laquelle il reproduit un gabarit technique déjà documenté par nos investigations. Deux scripts maison, CommonCrypto.js et ScriptCrypto.js, constituent la signature de ce gabarit. Nos outils ont visité une première vitrine les portant, gestionprivate-cmcmarkets.com, signalée dans notre enquête du 25 août 2024. Quelques mois auparavant, le 14 mai 2024, c’est l’enquête sur Financière Cinqus qui révélait la présence identique de cette même paire sur financiere-cinqus.com. Notre analyse technique a ensuite relevé les mêmes scripts sur secure.connexion-privee.com le 14 avril 2026, puis sur mongemprivate.com le 30 juin 2026. Quatre vitrines distinctes, le même socle de code.
La parenté est strictement technique et documentée : une page d’entrée au chemin /Login/, un champ dissimulé nommé TryLoginServiceUrl qui détourne la soumission vers une adresse interne, et des identifiants traités dans le navigateur par ces deux scripts avant leur transmission vers l’endpoint /Login/TryLogin. Ce schéma n’est pas une coïncidence de bibliothèques publiques : CommonCrypto.js et ScriptCrypto.js ne figurent dans aucun dépôt ouvert connu. Leur présence simultanée sur quatre domaines indique un atelier commun de production, sans que nos investigations permettent d’identifier des personnes.
Depuis la date de rédaction initiale de cet article, le portail de secure.connexion-privee.com ne répond plus. Aucune page ne s’affiche, aucune donnée n’est transmise. Le service a cessé de fonctionner.
Dernière mise à jour : 24/09/2026
Réduite à un formulaire, la page servie à chaque visite
D’après nos investigations, chaque chemin observé sur secure.connexion-privee.com renvoyait le même contenu : un formulaire sur fond sombre, dépourvu de tout élément d’identification commerciale. Les cinq chemins relevés, à savoir /Login/, /login, /register, /dashboard et /api, servaient tous ce formulaire unique. Il comportait un champ courriel, un champ mot de passe, et le champ dissimulé TryLoginServiceUrl décrit plus haut.
Aucun logo n’y apparaissait. Aucun nom de société, aucune mention légale, aucun numéro de téléphone, aucun régulateur cité. Le visiteur ne disposait d’aucun élément pour identifier l’entité à laquelle il confiait ses identifiants. Ce dépouillement volontaire est cohérent avec la fonction réelle du portail : collecter des couples courriel et mot de passe, sans jamais engager la responsabilité d’une structure identifiable.
Le mode opératoire que nous avons reconstitué est le suivant. Un démarcheur se présente comme conseiller en investissement, remet un lien vers cette adresse, et la victime croit suivre l’évolution de son capital sur un espace personnel. Elle verse des sommes croissantes. Lorsqu’elle sollicite un retrait, des prétextes s’accumulent, puis l’accès disparaît. Le portail ne vendait rien : il recueillait des identifiants et légitimait les ordres de paiement adressés au faux conseiller.
Le nom tenu jusqu’en novembre 2026, sans adresse publiée
Au 24 septembre 2026, le nom de domaine connexion-privee.com reste enregistré. Sa création remonte au 18 novembre 2025, et son terme courant est fixé au 18 novembre 2026. Le bureau d’enregistrement est Hostinger operations UAB. Le statut déclaré est « client transfer prohibited », ce qui bloque tout transfert vers un autre registraire pendant la période en cours. Les serveurs de noms délégués au registre sont zeus.ns.cloudflare.com et zita.ns.cloudflare.com.
Ces serveurs refusent désormais de répondre pour cette zone : le nom est conservé, mais aucune adresse n’est publiée. Il serait inexact d’écrire que le domaine a été supprimé ou retiré ; il ne l’a pas été. Il existe, il est payé, il expire en novembre 2026, et il ne résout vers rien.
Consultez la fiche WHOIS complète sur DomainTools pour vérifier les détails d’enregistrement du domaine.
Un certificat TLS a été émis le 22 mars 2026 par Google Trust Services, sous l’autorité WE1. Ce certificat générique, dit « wildcard », couvrait connexion-privee.com et l’ensemble de ses sous-domaines (*.connexion-privee.com). Sa validité courait du 22 mars au 20 juin 2026, soit une durée de vie de trois mois, conforme au standard des certificats à rotation rapide. Il n’est plus valide à ce jour.
ASP.NET, Cloudflare et une traduction intégrée pour le public francophone
Notre analyse technique a établi que le portail reposait sur une application ASP.NET 4.0.30319 pilotée par le framework ASP.NET MVC 4.0. Ces environnements Microsoft sont courants dans les kits frauduleux de génération intermédiaire : ils offrent un routage d’URL propre et des formulaires POST structurés, sans requérir de compétences de développement avancées lorsqu’un gabarit existe déjà.
Le trafic était acheminé derrière Cloudflare, ce réseau de distribution de contenu qui masquait l’hébergeur réel. Nos outils ont relevé deux adresses IP exposées par Cloudflare : 104.21.87.115 et 172.67.143.6. Ces adresses appartiennent à l’infrastructure Cloudflare et ne renseignent pas sur le serveur physique hébergeant l’application. Ce masquage est délibéré : il complique l’identification de l’hébergeur et retarde toute démarche de signalement auprès de celui-ci.
Un cookie nommé SiteLanguage, posé avec une durée d’un an sur l’ensemble du domaine et portant la valeur FR, indique que le portail ciblait explicitement un public francophone. Les bibliothèques relevées complètent le tableau : outre ScriptCrypto.js et CommonCrypto.js, nos investigations ont identifié jquery.cookie.js, bootstrap.bundle.min.js, owl.carousel.js, ainsi que jQuery 2.2.4, jquery-validate 1.17.0 et jquery-confirm 3.3.2, ces trois dernières chargées depuis des CDN publics. L’assemblage est fonctionnel et reproductible à moindre coût lorsqu’un gabarit préexiste.
Sur le plan réglementaire, aucune entrée à ce nom ne figure dans les listes de l’AMF, vérifiées le 24 septembre 2026. Aucune société britannique correspondante n’a été identifiée, et la liste chypriote ne mentionne pas ce portail. Le site ne citait lui-même aucun régulateur, rendant toute vérification impossible pour une victime non avertie.
Sécuriser ses accès après avoir saisi ses identifiants
Si vous avez saisi vos identifiants sur secure.connexion-privee.com, la priorité immédiate est de changer le mot de passe utilisé, ainsi que celui de tout service où ce même mot de passe était réemployé. Vérifiez ensuite si des connexions inhabituelles sont apparues sur vos comptes bancaires, de messagerie ou de courtage. Le champ dissimulé TryLoginServiceUrl suggère que les identifiants collectés étaient transmis à un endpoint contrôlé par les opérateurs du portail : la compromission est à traiter comme certaine, non comme hypothétique.
Si vous avez également versé des fonds à la demande du faux conseiller qui vous avait remis le lien vers ce portail, conservez l’ensemble des preuves disponibles : captures d’écran des échanges, ordres de paiement, relevés de compte, courriels et historiques de conversation. Ces éléments constituent le dossier que tout professionnel du droit examinera en premier. La page que nous consacrons aux recours ouverts aux victimes expose la chronologie d’une plainte et les pièces qu’un tribunal attend dans ce genre de dossier.
L’entretien ci-dessous donne un éclairage concret sur ce que peut produire une procédure judiciaire menée dans les règles. Maître Goce Novakov, avocat dont le cabinet relève du barreau de Paris, y évoque le déroulement d’un dossier impliquant un courtier frauduleux, et l’indemnisation totale obtenue au terme de la procédure devant le tribunal.
Trois éclaircissements réclamés sur ce dossier
Changez immédiatement ce mot de passe et celui de tout service où vous l’utilisiez également. Le champ dissimulé TryLoginServiceUrl indique que vos identifiants ont été transmis à un serveur contrôlé par les opérateurs du portail. Traitez la compromission comme acquise et vérifiez vos comptes bancaires et de messagerie pour détecter toute connexion ou opération inhabituelle.
Rassemblez toutes les traces disponibles : ordres de paiement, relevés de compte, captures d’écran des échanges avec le faux conseiller, courriels et historiques de conversation. Déposez plainte auprès des autorités compétentes et soumettez votre dossier à BrokerDefense pour une évaluation préalable. Un avocat spécialisé pourra ensuite examiner les voies de recouvrement adaptées à votre situation.
Ces listes recensent les entités signalées après instruction. Leur absence ne signifie pas qu’un portail est régulier : secure.connexion-privee.com ne citait lui-même aucun régulateur, ne portait aucune mention légale et ne déclarait aucune société identifiable. L’absence d’inscription dans ces listes reflète simplement le délai entre le fonctionnement d’un portail et son signalement formel.
Les personnes ayant saisi leurs identifiants sur secure.connexion-privee.com et versé des fonds à un faux conseiller ayant remis ce lien se trouvent dans une situation documentée : un gabarit de connexion connu, un masquage Cloudflare et l’absence de toute inscription réglementaire forment un ensemble qui mérite une évaluation rigoureuse. BrokerDefense examine les dossiers de ce type afin d’orienter chaque situation vers la démarche la plus adaptée.
Article réécrit le 24/09/2026
1 Comment
[…] sert un formulaire de connexion construit sur le même gabarit que celui décrit dans notre dossier connexion-privee.com, publié le 14 avril 2026 : même chemin d’entrée /Login/, même champ dissimulé […]