354 interpellations, plus de 210 millions d’euros saisis et 14 pays mobilisés : l’opération TorNado marque une nouvelle étape dans la riposte internationale contre les places de marché du dark web. Annoncée par Europol le jeudi 12 novembre 2026, cette action coordonnée a ciblé pendant dix-huit mois les vendeurs et acheteurs impliqués dans des trafics de stupéfiants, d’armes à feu et d’autres activités illicites en ligne.

Pour les entreprises françaises, cette séquence ne relève pas seulement du fait divers policier. Elle rappelle aussi le poids croissant de la criminalité numérique dans les circuits financiers, les flux en cryptomonnaies et les dispositifs de conformité. À travers TorNado, les autorités mettent en avant une approche de plus en plus industrialisée du renseignement judiciaire, mêlant coopération transfrontalière, analyses blockchain et recoupements de données opérationnelles.

TorNado : une opération mondiale conduite de mai 2025 à octobre 2026

Europol a indiqué avoir coordonné l’opération TorNado entre mai 2025 et octobre 2026. Le périmètre est large : il ne s’agissait pas uniquement de fermer des infrastructures, mais de remonter jusqu’aux utilisateurs actifs des écosystèmes criminels du dark web, qu’il s’agisse de vendeurs, d’acheteurs ou d’intermédiaires utilisant forums, boutiques à vendeur unique et services de messagerie chiffrée.

L’agence européenne a tenu un rôle central dans la circulation du renseignement. Elle a assuré le partage d’informations en temps réel, des vérifications croisées via SIENA, ainsi que des appuis en analyses forensiques et blockchain. Des déploiements sur le terrain ont également eu lieu en Tchéquie et en Slovénie, tandis que les autorités nationales conduisaient leurs propres enquêtes.

Cette architecture mérite d’être relevée : les autorités ne décrivent pas une enquête unique, mais un faisceau d’investigations nationales alimentées par une couche de coordination européenne. Pour le monde économique, cela illustre un point de fond : les marchés criminels numériques ne sont plus traités comme des poches marginales d’Internet caché, mais comme des réseaux transnationaux structurés, suivis dans la durée.

SIENA est le canal d’échange d’informations utilisé par les services répressifs partenaires d’Europol. Dans l’opération TorNado, les vérifications croisées via cet outil ont servi à rapprocher des identités, pseudonymes, adresses, transactions et éléments techniques collectés dans plusieurs pays. Pour les enquêteurs, l’enjeu est d’éviter qu’un même acteur actif sous des alias différents échappe aux rapprochements entre dossiers nationaux.

États-Unis, Royaume-Uni, Allemagne, France : la géographie précise des 354 arrestations

Le total communiqué s’établit à 354 personnes interpellées dans le monde. La ventilation par pays montre un noyau anglo-saxon très exposé, mais aussi une participation européenne significative, y compris en France.

  • États-Unis : 132 arrestations
  • Royaume-Uni : 59 arrestations
  • Hongrie : 45 arrestations
  • Allemagne : 41 arrestations
  • France : 23 arrestations
  • Nouvelle-Zélande : 13 arrestations
  • Pays-Bas : 12 arrestations
  • Slovénie : 11 arrestations
  • Autriche : 6 arrestations
  • Irlande : 5 arrestations
  • Tchéquie : 4 arrestations
  • Australie : 2 arrestations
  • Finlande : 1 arrestation

La place des 23 interpellations en France doit être lue avec prudence : elle ne dit pas à elle seule le poids économique du marché national dans le trafic en ligne, mais elle confirme l’insertion du territoire français dans ces circuits. Les saisies réalisées en France, notamment 50 kg de cannabis, renforcent ce constat.

Sur le plan institutionnel, cette répartition révèle aussi une hiérarchie d’exposition des États et des priorités judiciaires. Les États-Unis arrivent très largement en tête, ce qui s’explique dans les éléments communiqués par l’importance des saisies locales, notamment sur le fentanyl. En Europe, le duo Allemagne-Royaume-Uni ressort nettement, avec des volumes de produits saisis élevés et une activité d’enquête déjà documentée dans les précédentes opérations internationales.

Ce que disent vraiment les 23 arrestations en France

Le chiffre communiqué pour la France ne précise ni le profil exact des personnes interpellées, ni leur position dans la chaîne criminelle. Il atteste en revanche d’une présence de vendeurs ou d’acheteurs actifs sur les écosystèmes visés par l’opération. En matière judiciaire et réglementaire, cette donnée rappelle que les flux criminels numériques touchent aussi les marchés domestiques, y compris lorsque les plateformes sont hébergées, administrées ou utilisées depuis l’étranger.

Stupéfiants, armes, cash et crypto : le volet patrimonial de l'offensive

Le bilan matériel de TorNado est particulièrement élevé. Les autorités font état de 5,7 tonnes de drogues illicites, de 209 armes à feu et de plus de 210 millions d’euros saisis en espèces et en cryptomonnaies, soit environ 234 millions de dollars selon les autorités américaines et européennes (Europol).

Le détail géographique permet de distinguer deux réalités. En Europe, près d’une tonne de stupéfiants a été interceptée. Parmi les saisies explicitement mentionnées figurent :

  • 150 kg d’amphétamines en Allemagne
  • 150 kg de kétamine au Royaume-Uni
  • 40 kg de MDMA aux Pays-Bas
  • 50 kg de cannabis en France
  • de la cocaïne, sans volume détaillé dans les éléments fournis

Aux États-Unis, le bilan est plus massif encore avec plus de 4,8 tonnes de drogues confisquées. Le point le plus sensible concerne le fentanyl : plus de 354 kg de fentanyl ou de comprimés contenant du fentanyl ont été saisis. S’y ajoutent 152 armes à feu, 38 presses à comprimés et plus de 150 millions d’euros en espèces et cryptomonnaies.

Pour les acteurs économiques, ce pan patrimonial est loin d’être secondaire. Il montre que l’objectif des autorités ne se limite pas à l’arrestation des individus.

La logique est aussi celle de la désorganisation financière : retirer les stocks, couper les moyens logistiques, identifier les portefeuilles numériques et tarir les réserves de liquidités. Cette approche rejoint des tendances lourdes de la conformité contemporaine, où la traçabilité des actifs numériques devient un enjeu aussi stratégique que le renseignement humain.

Les autorités citées dans l’opération TorNado mettent en avant des analyses blockchain en appui des investigations. Dans ce type de dossier, les cryptomonnaies peuvent servir à régler des achats, à déplacer des avoirs ou à tenter de masquer des flux entre plusieurs portefeuilles. Leur intérêt pour les enquêteurs tient au fait que les transactions, bien qu’associées à des identifiants pseudonymes, laissent des traces exploitables lorsqu’elles sont croisées avec d’autres indices techniques ou judiciaires.

Archetyp, Bohemia, Nemesis, Kingdom, Tor2Door : une séquence inscrite dans plusieurs démantèlements

TorNado ne part pas de zéro. L’opération s’inscrit explicitement dans la continuité de campagnes antérieures menées avec le FBI et d’autres partenaires, parmi lesquelles RapTor en 2025, SpecTor en 2023, Dark Huntor en 2021 et DisrupTor en 2020.

Le déclenchement de cette nouvelle séquence intervient après le démantèlement de cinq grandes places de marché du dark web :

  • Archetyp
  • Bohemia
  • Nemesis
  • Kingdom
  • Tor2Door

Ce point est essentiel pour comprendre la méthode. La fermeture d’une place de marché n’épuise pas l’enquête.

Elle produit au contraire de nouveaux gisements de données : historiques d’échanges, pseudonymes, modes de paiement, carnets de commandes, coordonnées techniques, voire interactions entre vendeurs et acheteurs. TorNado exploite précisément cette phase d’après-démantèlement, celle où les autorités cherchent à convertir les traces numériques en procédures pénales.

Europol a d’ailleurs insisté sur la résilience de ces marchés, qui continuent à se reconfigurer malgré les fermetures successives. Le FBI a, de son côté, présenté l’opération comme la plus importante action inter-agences à ce jour contre les vendeurs et acheteurs du dark web, en soulignant tout particulièrement la menace du fentanyl et des opioïdes de synthèse.

Autrement dit, le sujet n’est plus seulement technologique. Il est devenu sanitaire, sécuritaire et financier. Pour les décideurs d’entreprise, cette évolution compte, car elle pèse indirectement sur l’environnement réglementaire des plateformes, des services de paiement, des prestataires crypto et plus largement des dispositifs de lutte contre le blanchiment.

Une logique de chaîne pénale plus que de coup de filet isolé

Les opérations de type TorNado prolongent les démantèlements de plateformes par une exploitation des données récupérées. Cette séquence est décisive : elle permet de transformer une fermeture technique en dossiers judiciaires concrets, avec des saisies patrimoniales, des arrestations nationales et des rapprochements entre procédures ouvertes dans plusieurs pays.

Pour les entreprises, un rappel direct sur conformité, risques numériques et circuits de paiement

À première vue, TorNado concerne d’abord les services répressifs. En pratique, l’opération envoie plusieurs signaux aux acteurs économiques.

Le premier touche aux flux financiers numériques. La présence conjointe d’espèces et de cryptomonnaies dans les saisies montre que les circuits illicites naviguent entre instruments traditionnels et actifs numériques. Pour les entreprises exposées aux paiements digitaux, aux places de marché ou aux services de conservation d’actifs, la question des contrôles devient plus structurante.

Le deuxième signal porte sur la coopération transfrontalière. Une enquête déclenchée à partir d’un pseudonyme ou d’un portefeuille observé sur une plateforme démantelée peut désormais irriguer plusieurs juridictions sur une longue période. Pour les directions juridiques, conformité et cybersécurité, cela signifie qu’un dossier né à l’étranger peut produire des demandes d’information, des gels, des vérifications ou des procédures connexes dans d’autres États.

Le troisième signal est celui de la durée d’exploitation des traces numériques. La période annoncée, de mai 2025 à octobre 2026, confirme qu’il ne s’agit pas d’actions ponctuelles montées en quelques semaines.

Les enquêtes suivent des temporalités longues, compatibles avec de vastes croisements de données. Pour les entreprises, cette réalité renforce la nécessité de politiques de conservation de preuves numériques et de dispositifs de réponse aux réquisitions judiciaires adaptés.

Enfin, l’opération rappelle que la criminalité en ligne ne se limite pas aux atteintes aux systèmes d’information. Elle irrigue des marchés physiques, des stocks, des livraisons, des armes, des substances et des moyens de production illicites. Cette hybridation entre numérique et économie réelle explique pourquoi le sujet concerne autant la cybersécurité que la conformité, la logistique et la surveillance des paiements.

Sans créer de nouvelles obligations par elle-même, une opération comme TorNado renforce la pression opérationnelle sur les entreprises déjà soumises à des contrôles de vigilance, de traçabilité ou de lutte contre les flux atypiques. Elle souligne aussi l’importance de la coordination entre équipes cybersécurité, juridique, conformité et finance lorsque des transactions suspectes, des portefeuilles numériques ou des demandes des autorités doivent être documentés rapidement.

Les suites attendues après le 12 novembre 2026

Les autorités ont indiqué que des enquêtes complémentaires se poursuivent dans plusieurs pays afin d’identifier d’autres individus opérant derrière des comptes anonymes. Ce point est déterminant : le bilan du 12 novembre 2026 ne clôt pas la séquence. Il constitue plutôt un état d’avancement rendu public après une longue phase de coordination.

Pour la France comme pour les autres États impliqués, la portée réelle de TorNado se mesurera désormais à la capacité à transformer les données récupérées en poursuites, en saisies définitives et en identifications supplémentaires. La matière communiquée ne donne pas davantage de détail sur les procédures ouvertes ou à venir. Elle montre toutefois une certitude : le dark web reste un terrain de confrontation durable entre innovation criminelle et montée en puissance des coopérations policières internationales.

À ce stade, le message des autorités est clair : les identités masquées ne mettent plus les acteurs du dark web à l’abri d’investigations longues, coordonnées et financièrement offensives.