Telegram veut .gram : que se passe-t-il quand l’infrastructure criminelle quitte les onions pour un DNS contrôlé par la plateforme
Le 18 août 2026, Pavel Durov a annoncé que Telegram avait officiellement demandé à l’ICANN son propre domaine de premier niveau : .gram. Selon la proposition, chaque nom d’utilisateur Telegram devient une adresse web résolvable - @paypal pointerait vers paypal.gram - avec une page d’accueil générée par IA rendue automatiquement sur chacune. Durov l’a présenté comme la démocratisation de la publication web. Les chercheurs en sécurité l’ont immédiatement présenté autrement : comme la plus grande expansion isolée de la surface d’usurpation de marque depuis des années, bâtie sur une infrastructure que Telegram contrôle lui-même.
Ce que .gram change réellement
La mécanique est simple. Le dernier cycle gTLD de l’ICANN permet à de grandes organisations d’exploiter leurs propres registries, et Telegram demande à devenir l’opérateur de registry de .gram. Comme Telegram possède déjà chaque nom d’utilisateur de sa plateforme, il peut frapper des domaines à la vitesse de la plateforme et les révoquer de même. Comme l’explique la couverture de SOCRadar, la couche de sites générés par IA fait qu’un escroc qui enregistre @legit-wallet-support n’obtient pas seulement un handle de messagerie mais un site plausible usurpant cette marque, sans arrangement d’hébergement, sans registrar, sans piste d’identité distincte. Les équipes de protection de marque combattent depuis vingt ans les typosquats sur des centaines de TLD. Une registry dont le namespace est alloué depuis un pool de noms d’utilisateurs existants ramasse ce combat en un seul point d’étranglement - fonctionnalité ou bug, selon la confiance accordée à l’opérateur.La suspension de t.me était la répétition générale
La demande n’est pas tombée dans le vide. En juillet 2026, la registry .me a placé t.me lui-même en serverHold après que des sanctions OFAC ont listé un canal opérant comme infrastructure de service VPN. Pendant environ 19 heures, aucun lien court t.me sur Internet ne se résolvait plus - pages de support, médias, relais de bots, tout ce qui repose sur la couche d’adressage de la plateforme. TechCrunch a documenté la restauration après la suspension d’un jour du domaine, notant qu’une seule action administrative d’une seule registry avait rendu muets des liens utilisés par près d’un milliard de personnes. Cet épisode mérite qu’on s’y attarde. La cible déclarée était un canal. Le rayon d’explosion était tout le namespace des liens courts, car la délégation DNS fonctionne en branches entières. Quand la même organisation exploite à la fois la couche messagerie et la couche de nommage, une désignation de sanctions visant un compte peut couper l’adressage de tous.Les chiffres derrière l’inquiétude
Les sceptiques de l’argument d’usurpation font remarquer que les nouvelles gTLD restent une minorité du marché des domaines. C’est vrai - elles détiennent environ 12% des domaines enregistrés - mais l’abus ne suit pas la part de marché. L’étude Interisle de la chaîne d’approvisionnement cybercriminelle a trouvé que les TLD récentes représentent près de la moitié des domaines cybercriminels signalés, une concentration disproportionnée que les auteurs attribuent à l’enregistrement de masse bon marché et à une surveillance des registrys laxiste plutôt qu’à quoi que ce soit d’inhérent aux chaînes de caractères. Une registry exploitée comme fonctionnalité d’une appli de chat ajoute une variable inédite à l’équation. L’allocation est liée aux politiques d’identité de la plateforme plutôt qu’aux contrats de l’industrie des domaines, la révocation est instantanée et opaque, et il n’existe aucun précédent historique sur la façon dont une entreprise de messagerie arbitre entre utilisateurs légitimes et usurpateurs à l’échelle d’une registry.Pourquoi cela compte spécifiquement pour les utilisateurs de Tor
Voici la partie pertinente pour quiconque suit les onion services. Depuis des années, l’underground migre dans une seule direction : loin des sites onion autonomes vers les plateformes. Les marketplaces gardent des onions vestigiels mais font leur vrai métier dans des canaux, des bots et des groupes à invitation atteignables via des passerelles clearnet. L’adresse onion survit surtout comme ancre de confiance - un moyen de vérifier quel lien de plateforme est réel. .gram accélère cette dérive. Si le @handle d’une marketplace se résout en un site vivant, fronté HTTPS, au contenu généré par IA, l’incitation opérationnelle à maintenir l’infrastructure onion chute encore. La présence criminelle se consolide sur une infrastructure de nommage à la fois plus commode et plus fragile : soumise aux blocages de registry, aux désignations de sanctions et à l’exécution unilatérale de plateforme, d’une manière dont les onion services sont structurellement incapables. L’ironie est vive. Les adresses onion étaient méprisées précisément parce que rien au-dessus d’elles ne pouvait intervenir - pas de registry, pas de hold, pas de takedown. Les plateformes vers lesquelles les utilisateurs ont fui par commodité ont reconstruit chacun de ces points d’intervention, et maintenant elles les étendent dans le DNS proprement dit.Ce que les trackers devraient surveiller
Pour les trackers d’état onion comme le nôtre, les conséquences pratiques arrivent par étapes. D’abord, attendez-vous à plus de churn de « liens officiels » alors que des services annoncent des adresses façon gram ; nos conseils sur les domaines onion lookalike s’appliquent avec plus de force encore quand un lookalike arrive avec un site fonctionnel attaché. Ensuite, attendez-vous à des signaux d’état plus bruités - quand la disponibilité d’un service dépend d’un chemin de résolution t.me ou .gram, une panne peut être un hold de registry plutôt qu’une défaillance de hidden service, et la signaler comme downtime induit tout le monde en erreur.- Suivre l’adresse onion comme signal canonique de vivacité ; traiter les pannes de passerelle et de liens courts comme des événements séparés.
- Journaliser explicitement la distinction pour que les utilisateurs distinguent censure et effondrement.
- Attendez-vous à ce que des campagnes d’usurpation exploitent les périodes de transition, quand les communautés se disputent sur l’adresse courante.
- Surveillez l’évaluation par l’ICANN de la demande .gram - les objections des propriétaires de marques façonneront si elle avance du tout.