malmokpo.org arnaque : un certificat neuf, aucun contenu

Le 19 octobre 2026, deux jours après notre dernier relevé, l’hôte www.malmokpo.org a reçu un certificat délivré par DigiCert et valable jusqu’au 16 janvier 2027. Le nom, lui, ne sert plus rien : la campagne de faux crédits et de fausses aides à la rénovation documentée au printemps a cessé, et l’adresse n’affiche plus qu’une page de place de marché. Ce certificat est la seule chose qui ait bougé depuis quatre semaines, et c’est précisément ce qui rend le dossier lisible : l’exploitation s’est arrêtée, l’infrastructure du nom, non.

Le 19 octobre, un certificat neuf pour le seul hôte www

Nous avons interrogé la poignée de main TLS du nom le 5 novembre 2026, en demandant le certificat présenté par chaque hôte plutôt qu’en nous fiant à un historique tiers. Sur l’apex, le certificat en service est daté du 8 septembre 2026. Il est émis par l’autorité intermédiaire « Encryption Everywhere DV TLS CA » de DigiCert, porte le nom commun malmokpo.org et court jusqu’au 6 décembre 2026. Il ne couvre qu’une seule étiquette, l’apex exactement, sans aucun nom alternatif. Sur www.malmokpo.org, le certificat est plus récent : émis le 19 octobre 2026, même autorité, même niveau de validation, valable jusqu’au 16 janvier 2027, et là encore limité à un seul nom, www. Deux certificats séparés, deux émissions distinctes, pour deux étiquettes qui répondent pourtant depuis la même adresse. C’est la signature d’une plateforme de stationnement qui provisionne un certificat au nom de chaque hôte qu’elle accepte de servir, et non celle d’un site d’entreprise qui regrouperait tout sous un joker. La date compte plus que le contenu. Le 19 octobre se situe après la fin de la campagne, après notre propre enquête, et après la mise en ligne de la page d’attente. Autrement dit, quelqu’un règle encore, pour ce nom, un cycle de renouvellement par hôte. Une infrastructure entretenue n’est pas une infrastructure abandonnée : elle est disponible. Rien n’indique qu’un contenu frauduleux soit présent aujourd’hui, mais rien n’empêcherait un repreneur de le faire demain, avec le même nom et la même crédibilité apparente. Les journaux publics de certification que nous avons interrogés ce jour n’indexent encore ni l’émission du 8 septembre, ni celle du 19 octobre : leur dernier relevé pour ce nom s’arrête au 26 juillet 2026. C’est pourquoi nous mesurons le certificat à la source, sur le serveur lui-même, plutôt que de recopier un historique en retard.

Dernière mise à jour : 05/11/2026

Deux hôtes servis, deux autres laissés sans certificat depuis le 23 octobre

Le contraste apparaît dès qu’on étend la mesure aux étiquettes que la campagne utilisait pour son référencement. sitemap.malmokpo.org et sitemaps.malmokpo.org résolvent toujours : la zone répond, l’adresse 91.195.240.13 est renvoyée. Mais la poignée de main chiffrée n’aboutit plus. Nous avons tenté l’opération trois fois ce jour, avec et sans vérification stricte de la chaîne : aucun certificat n’est présenté, la connexion ne s’établit pas. Le serveur n’a plus rien à montrer sous ces deux noms. L’historique explique pourquoi. Les certificats de www, sitemap et sitemaps avaient été émis ensemble le 26 juillet 2026, par lots, avec une échéance au 23 octobre 2026. À l’échéance, seul www a bénéficié d’un renouvellement, le 19 octobre, sous une forme nominative. Les deux hôtes de plan de site, eux, sont restés sans successeur. La couverture s’est donc resserrée sur exactement les deux noms que la page d’attente utilise pour s’afficher, et a abandonné ceux qui servaient à faire indexer la campagne. Cette dissymétrie est un indicateur plus fin que le simple constat de stationnement. Un nom parqué proprement conserve généralement la même couverture qu’avant, parce que le prestataire la reconduit en bloc. Ici, la reconduction a été sélective : ce qui reste utile au stationnement est entretenu, ce qui appartenait à l’appareil de la campagne est laissé expirer. C’est le comportement d’un nom repris en gestion courante après un usage frauduleux, pas celui d’une vitrine qu’on déménage. Il faut le dire avec précision : l’absence de certificat à un instant donné ne prouve pas la suppression d’un hôte. La zone répond toujours et un certificat peut être redemandé en quelques minutes. Ce que la mesure établit, c’est qu’au 5 novembre 2026 ces deux noms ne servent plus rien, alors que deux autres sont activement maintenus. Le même schéma d’entretien sans service s’observe sur d’autres dossiers que nous suivons, notamment celui de crypto-amf, où le nom reste enregistré et résolu sans qu’aucune offre y soit servie.

Une zone figée depuis 2018, un joker qui répond à toutes les étiquettes

L’enregistrement d’autorité de la zone porte un numéro de série qui commence par 2018, pour un nom créé le 2 mai 2026. Ce décalage n’est pas une anomalie en soi : la zone appartient à un opérateur qui héberge des dizaines de milliers de noms et n’a aucune raison de réinitialiser un compteur par client. Il indique en revanche que malmokpo.org est un locataire récent dans une infrastructure ancienne, et non un domaine bâti pour l’opération de mai 2026. Les deux serveurs de noms sont a.ns36.de et b.ns36.de, inchangés depuis notre enquête de mai. L’adresse IPv4 reste 91.195.240.13. Aucune adresse IPv6 n’est publiée. La zone fonctionne en mode joker : nous avons testé dix étiquettes, dont une inventée pour l’occasion, et toutes renvoient la même adresse. Un sous-domaine qui n’a jamais été déclaré répond donc comme les autres, ce qui signifie qu’aucun de ces noms ne correspond à un service réel et identifiable. La zone publie dix-sept enregistrements textuels de quarante caractères hexadécimaux. Ils présentent tous la particularité de finir par la même séquence 1ed6 : ce ne sont pas des jetons de vérification indépendants, mais des valeurs produites par un même générateur, ce qui confirme l’origine mécanique de leur publication. Aucun ne correspond à une preuve de propriété déposée auprès d’un service tiers. Le courrier du nom est délégué à mail-gateway.domcollect.com, qui n’appartient ni au domaine ni à la place de marché. Plus gênant, la zone ne publie aucune règle d’expédition : nous n’avons trouvé aucune déclaration de serveurs autorisés, et l’interrogation du nom d’hôte réservé au courrier authentifié renvoie les mêmes jetons hexadécimaux que le reste de la zone, par effet de joker. Autrement dit, rien ne permet à un destinataire de vérifier qu’un message portant cette adresse d’expéditeur est légitime. Toute personne qui recevrait aujourd’hui un courriel se réclamant de malmokpo.org doit le considérer comme non authentifiable, quelle que soit la qualité de sa présentation.

Ce que la page d’attente annonce, et ce qu’elle ne dit pas

Notre relevé du 5 novembre 2026 restitue la même page qu’en octobre, servie par un serveur qui se désigne lui-même comme un serveur de stationnement. Le titre annonce que le site web est à vendre. Le logo de la place de marché figure en tête, un lien mène vers sa fiche de recherche pour ce nom, et la mention en anglais invite les intéressés à se manifester pour une disponibilité prochaine. Les en-têtes de réponse confirment la chaîne : adresse du réseau déclaré au nom de la société allemande de négoce de noms, marqueur technique propre à son gabarit publicitaire, et cache interne à son infrastructure. Un détail méthodologique mérite d’être rapporté. Selon la forme de la requête, le serveur répond 200, 405 ou 436. Une inspection trop rapide, qui ne lit que le code de la première réponse, classerait ce nom comme muet alors qu’il affiche une page complète à un navigateur. Nous avons donc conservé la page elle-même, et non le seul code HTTP, comme pièce du relevé. Ce que la page ne dit pas est tout aussi utile. Aucun prix n’est affiché, aucune vente n’est annoncée comme conclue, et le registre ne montre aucun changement depuis le 12 août 2026 : le nom est toujours actif, ouvert le 2 mai 2026, réglé jusqu’au 2 mai 2027 auprès du bureau d’enregistrement allemand IONOS SE, avec un titulaire intégralement masqué. Une invitation à se manifester n’est pas une transaction, et un nom mis en relation avec des acheteurs potentiels reste, en droit comme en fait, le même nom. Le dossier d’enregistrement complète ce tableau. Le titulaire reste masqué derrière un service de confidentialité, et aucune mise en cause civile ne peut reposer sur les seules données publiques. Ces données sont vérifiables : consultez la fiche WHOIS complète sur DomainTools pour vérifier les détails d’enregistrement du domaine. Une levée de cette confidentialité peut en revanche être demandée au bureau d’enregistrement sur réquisition des autorités judiciaires, et c’est aujourd’hui la voie la plus directe vers l’identité des exploitants du printemps. C’est ici que la distinction entre cessation et disparition prend tout son sens. La campagne a cessé : plus de simulation de prêt, plus de faux certificat d’économies d’énergie, plus de page d’atterrissage orientée vers le public français. Le nom, lui, n’a pas disparu : il répond, il est certifié, il est proposé. Un dossier de victime fondé sur « le site n’existe plus » serait donc mal construit, alors qu’un dossier fondé sur les faits du printemps 2026 reste solide.

Quatre semaines de stationnement, un dossier qui reste ouvert

Pour les personnes qui ont saisi des coordonnées bancaires dans l’une des simulations servies par malmokpo.org, la première démarche reste une opposition préventive auprès de la banque, sans attendre l’apparition d’un débit. Le délai entre la collecte des données et leur exploitation est souvent long, et une opposition posée aujourd’hui n’a rien de tardif. Viennent ensuite les pièces. Les publicités qui ont conduit vers le nom, les courriels de démarchage avec leurs en-têtes complets, les captures horodatées des pages de simulation de crédit et de vérification d’éligibilité énergétique, et tout bon de commande signé forment le socle du dossier. Elles doivent être conservées telles quelles, sans recadrage ni transfert qui effacerait les métadonnées. Le dépôt de plainte pour escroquerie est ouvert dès maintenant, indépendamment de l’état actuel du nom, et notre guide sur le dépôt de plainte pénale en détaille les étapes. Deux décisions récentes éclairent la suite. Rendues au Mans et à Toulouse, elles ont reconnu l’indemnisation de personnes trompées par des montages comparables, jusqu’à retenir la responsabilité d’un établissement bancaire qui n’avait pas assez surveillé les mouvements observés sur les comptes concernés. Maître Goce Novakov, avocat inscrit au barreau de Paris, revient dans l’entretien ci-dessous sur ces deux jugements et sur ce qu’ils ouvrent pour les victimes de faux crédits et de fausses aides énergétiques.

Le même type de montage a déjà été documenté sous d’autres enseignes, comme Noelse-france, où l’articulation entre pages d’atterrissage et simulations de prêt était presque identique. La répétition de cette architecture, d’un nom à l’autre, est en soi un argument : elle montre un savoir-faire industriel, pas une initiative isolée. Pour un lecteur qui veut contrôler lui-même une enseigne avant de répondre à une offre, le régulateur publie ses listes de mises en garde par catégories et les met à jour régulièrement : les listes noires et mises en garde de l’AMF sont consultables librement. Une inscription y est un signal sans ambiguïté ; l’absence d’un nom ne vaut en revanche jamais attestation de régularité, puisque beaucoup de montages ne sont jamais signalés formellement.

Les questions qui reviennent sur un nom sans vitrine

malmokpo.org n’héberge plus la campagne qui a piégé ses visiteurs au printemps 2026 : les simulations de prêt personnel, les vérifications d’éligibilité à des aides à la rénovation et les formulaires de collecte ont disparu, remplacés par une page de place de marché. Certaines personnes ont saisi leurs coordonnées bancaires, d’autres ont signé un bon de commande. L’arrêt de l’exploitation ne répare rien de ce qui a été commis, et ne dispense pas de constituer un dossier tant que les pièces sont encore disponibles. Ce que nous mesurons aujourd’hui décrit un nom entretenu mais vide, avec deux hôtes certifiés, deux hôtes abandonnés, une zone joker héritée d’un parc ancien et une messagerie déléguée sans authentification possible. C’est un état instable par nature : un nom proposé à l’achat peut changer de main et de contenu sans préavis, et la seule manière de ne pas être surpris est de vérifier avant d’interagir. Avant tout versement ou toute signature liés à une offre de crédit ou de rénovation énergétique rencontrée en ligne, une évaluation préalable par BrokerDefense permet de vérifier si le nom de domaine, l’établissement présenté et les documents fournis correspondent à des entités réellement autorisées. Appliqué en amont, ce réflexe évite d’avoir à reconstituer un dossier après coup.

---

Article réécrit le 05/11/2026