Analyse du cas Phica.eu d'un point de vue technique et systémique

Le site Phica.eu (né sous le nom de Phica.net), actif en permanence à partir de la 2005 2025, a été l'un des portails italiens les plus controversés pendant vingt ans, devenant tristement connu pour avoir hébergé des milliers de photos de femmes publiées sans consentement. Le contenu comprenait des images de personnalités connues, comme Giorgia Meloni, Elly Schlein, Chiara Ferragni et Alessandra Moretti, mais surtout photos de femmes ordinaires, de petites amies, d'épouses et même d'enfants mineurs, dans certains cas volé sur les réseaux sociaux ou prises secrètement, dans d'autres collectés via un partage privéBeaucoup de ces photos représentent les victimes poses suggestives, Jusqu'à ce que vous arriviez à des plans complètement explicites, répandu à l'insu des protagonistes.

Malgré des dizaines et des dizaines de plaintes présenté au fil des années, le site est resté en ligne depuis deux décennies, suscitant des questions et des soupçons non seulement parmi les victimes, mais aussi parmi connaissances, collègues, passionnés d'informatique et simples curieuxComment est-il possible qu’un portail de ce type ait pu fonctionner sans être perturbé pendant si longtemps, sans que les autorités puissent intervenir efficacement ?

En suite de ce post nous fournirons notre vision technique de l'histoire : nous allons analyser Comment fonctionnent les services d'hébergement qui permettent la survie des portails illégaux, nous allons vous expliquer les erreurs commises par le fondateur italien qui a permis leur identification et nous soulignerons les lacunes, les retards et les responsabilités des parquets italiens et des organismes chargés du contrôleNous n'aborderons pas la question du point de vue éthique et moral, certain que le corpus juridique peut le faire avec plus d’autorité et de compétence.

Phica.eu, le forum XenForo avec près d'un million de membres.

Phica.eu n'était pas simplement un site Web, mais un vrai grand forum, basé sur XenForo 2, l'une des plateformes commerciales les plus puissantes et les plus populaires au monde pour la gestion des communautés en ligne. XenForo est développé en PHP et s'appuie sur un SGBD compatible MySQL - comme Serveur Percona o MariaDB — conçu pour gérer des charges de travail importantes et optimisé pour les scénarios à très fort trafic. Né comme évolution naturelle de vBulletin, XenForo hérite d'une partie de ses bases architecturales mais introduit améliorations significatives, tant en termes de performances que de fonctionnalités.

La plateforme est particulièrement célèbre pour ses fonctionnalités avancées de gestion de communauté, l'interface utilisateur moderne et la capacité d'intégration extensions, plugins et systèmes de mise en cache avancés. Mais la véritable force de XenForo est la gestion optimisée des requêtes SQL: le moteur est capable de gérer des milliers d'utilisateurs connectés simultanément et soutien base de données avec des milliards de messages, tout en maintenant des temps de réponse extrêmement courts. Une installation bien configurée, soutenue par une infrastructure adéquate, vous permet d'atteindre des niveaux de évolutivité et fiabilité difficile à égaler par d'autres logiciels concurrents.

Dans le cas précis, Phica.eu représentait un exemple extrême d'exploitation de ces potentialités: le forum hébergé quelques millions de discussions activesavec plusieurs milliards de pages lues au total accumulées au fil des ans. Selon les estimations publiques, SimilarWeb, le trafic généré était énorme, environ 6 millions de visites mensuelles, avec une moyenne de 12 pages visitées pour chaque visite unique, et un total d'environ 70 millions de pages vues par mois, une valeur qui le place parmi les portails les plus visités d'Italie, comparable en nombre aux principaux sites d'information nationaux. À cela s'ajoute un base d'utilisateurs enregistrés d'environ 800.000 XNUMX membres, ce qui en fait l'un des Les plus grandes communautés en ligne d'Europe dans son service.

Il convient de noter que SimilarWeb C'est un service qui fournit estimations du trafic basées sur une analyse déductive et non des données officielles. Cependant, son la fiabilité augmente considérablement dans le cas de sites à très fort trafic, où les approximations tendent à à la limite de la réalitéCette considération est également basée sur notre expérience directe : à plusieurs reprises, nous avons comparé les données estimées par SimilarWeb avec celles réel et certifié di Google Analytics de certains de nos clients à fort volume, trouver un une cohérence et une fiabilité remarquables des projections fournies par le service.

Un tel volume de trafic requis une infrastructure solide, avec des systèmes mise en cache multiniveau, des bases de données optimisées, des équilibreurs de charge et probablement l'utilisation de Réseau de diffusion de contenu (CDN) pour distribuer des ressources statiques à l'échelle mondiale. Malgré cela, le site est resté extrêmement réactif, signe d'une optimisation technique minutieuse. C'est précisément cette combinaison architecture haute performance, bases de données optimisées e Évolutivité horizontale ce qui a permis à Phica.eu de maintenir des volumes de trafic importants pendant des années sans montrer de faiblesses notables.

Phica.eu, pas seulement un forum mais aussi un service de streaming vidéo

En plus d'être un énorme forum basé sur XenForo, Phica.eu Elle se distingue également par l’intégration de contenu multimédia dans les discussions et les commentaires des utilisateurs. Le mode opératoire le plus fréquent intégration vidéo provenant de portails externes : les utilisateurs ont inséré des liens ou intégré des lecteurs provenant de plateformes tierces, reproduisant des dynamiques similaires à celles de YouTube, Vimeo ou de référentiels plus petits.

Toutefois, Phica.eu Cela ne s'est pas arrêté là : le portail avait également sa propre infrastructure de serveur dédié à la distribution directe de vidéos, organisé en CDN auto-hébergéCe réseau était clairement visible pour le public et structuré sur plus de nœuds dédiés, identifiables par des domaines du type :

• cdn1.phica.eu

• cdn2.phica.eu

• cdn3.phica.eu
  …et ainsi de suite, pour un total de une dizaine de serveurs dédiés exclusivement à la gestion de contenu multimédia. Ces nœuds hébergeaient fichiers vidéo classiques — généralement dans Formats .mov et .mpeg — et offrait des fonctionnalités similaires à celles du vidéo à la demande rudimentaire, Mais ce n'était pas du vrai streaming.

La différence est substantielle :

• Streaming vidéo réel → utilise des protocoles modernes tels que HLS, MPEG-DASH o RTSP, qui divisent le contenu en segments chargés dynamiquement. Cela permet à l'utilisateur de sauter en avant ou en arrière dans la vidéo sans avoir à télécharger complètement les parties intermédiaires, réduisant ainsi les temps d'attente et la consommation de bande passante.

• Système adopté par Phica.eu → la CDN amateur ça a fonctionné comme un référentiel de fichiers statiques. Lorsqu'un utilisateur voulait, par exemple, passer directement à la fin d'une vidéo, il fallait que le fichier entier avait déjà été téléchargé jusqu'à ce point. Cela impliquait augmentation de la charge sur les serveurs, bande passante élevée et une expérience moins fluide que les plateformes de streaming modernes.

Cette infrastructure distribuée, composée de intégration de contenu externe e environ dix nœuds CDN propriétaires, autorisé à Phica.eu gérer des centaines de téraoctets de contenu vidéo et a contribué de manière significative à son impressionnant volumes de trafic, estimé à environ 100 millions de pages vues par moisLa présence d'un CDN dédié aussi important démontre à quel point le projet a été techniquement plus complexe d'un simple forum : derrière lui, il y avait une infrastructure structurée, optimisée et constamment mise à l'échelle pour soutenir des millions d'utilisateurs actifs e des milliards de demandes mensuelles.

Bénéfices estimés et réels de Phica.eu

L’un des aspects les plus discutés autour de l’affaire Phica.eu il concerne i revenus générés par le portail au fil des ans. D'après les estimations du marché relatives à la sites pour adultes avec des volumes de trafic similaires, les revenus sont calculés à l'aide du paramètre RPM (Revenu par mille), c'est-à-dire le revenu moyen obtenu toutes les 1.000 XNUMX pages vuesPour les plateformes de ce type, les estimations les plus fiables indiquent une valeur moyenne qui Il fluctue entre 1 et 2 euros pour 1.000 XNUMX vues, avec des pics qui dans certains cas peuvent même atteindre 3€ en fonction de la qualité du trafic et des sources publicitaires.

Restant dans le scénario le plus prudent, C'est, 1 euro pour 1.000 XNUMX pages vues, et en tenant compte de la environ 70 millions de pages par mois estimé par SimilarWeb, Phica.eu aurait pu générer au moins 70.000 XNUMX euros par mois, égal à environ 840.000 XNUMX euros par an. Cependant, compte tenu des analyses les plus approfondies et de certaines rumeurs apparues dans les journaux, l'hypothèse d'un RPM moyen de 2 euros cela semble plus réaliste : cela signifierait environ 140.000 XNUMX euros de revenus mensuels e plus de 1,6 million d'euros de chiffre d'affaires annuel.

Un indice important pour étayer cette deuxième hypothèse provient de l’analyse des données d’entreprise. Groupe Hydra Eood, l'une des sociétés identifiées comme « partie liée » à l'infrastructure Phica. La société, enregistrée au Sofia avec capital social de seulement 50 euros, il le ferait déclaré un chiffre d'affaires supérieur à 1,3 million d'euros (pour la précision 1.369.296,48€). Une disproportion évidente, qui suggère comment des structures apparemment petites peut devenir points clés à l'intérieur architectures numériques complexes, déplaçant de très grandes quantités de capitaux à travers des réseaux distribués.

Les mêmes analystes, Valerio Lilli e Lorenzo Romani, ont contribué à reconstruire les structures et les connexions des entreprises derrière Phica.eu, en utilisant sources ouvertes et outils Analyse de réseau, y compris la base de données Whois. Bien que de nombreux domaines soient protégés par des services de masquage de confidentialité (par exemple GoDaddy Domains by Proxy), le croisement des métadonnées et des enregistrements nous a quand même permis de retracer connexions importantes entre les sujets, les entreprises et les infrastructures. Il est important de souligner que Ce ne sont pas des preuves définitives de propriété, mais de suppositions éclairées formulé à partir de pistes techniques et documentaires disponibles en ligne, qui dessinent un écosystème financièrement beaucoup plus structuré qu’il n’y paraît de l’extérieur.

NOTE COMPLÉMENTAIRE DU 24/09/2025

Aujourd'hui, suite au visionnage indépendant de l'épisode « L'AFFAIRE PHICA » du programme Corona à l'antenne – Très faux, nous avons appris que Hydra Group EOOD et son directeur Roberto Maggio ne sont en aucun cas impliqués dans l'affaire Phica.eu.

Leur implication présumée, maintes fois soulignée par divers journaux et analystes du secteur, doit donc être considérée comme le fruit d'une tromperie manifeste. Bien que nous considérions jusqu'à présent cette affirmation comme avérée et donc comme une « vérité présumée », elle a récemment été clairement et sans équivoque démentie.

Cette note est rédigée en état de légitime défense, afin de sauvegarder la véracité des faits et de protéger les personnalités mentionnées ici, qui ne doivent en aucun cas être associées à cette affaire.

Compte tenu de l'indexation importante de l'article original, nous avons estimé nécessaire de publier cette mise à jour supplémentaire afin que les lecteurs soient également correctement informés de l'erreur, qui s'est malheureusement propagée et a été largement rapportée par une grande partie de la presse italienne.

Le système d'anonymat brut, basé sur CloudFlare.

pour nature sensible et risquée des contenus abordés da Phica.eu, le fondateur savait qu'il s'exposait à plaintes, plaintes e responsabilité pénale possible. Pour cette raison, il avait essayé de se protéger en adoptant CloudFlare comme un niveau d'anonymat et de défense. CloudFlare est un service de Réseau de diffusion de contenu (CDN) e Proxy inverse qui, parmi ses différentes fonctionnalités, vous permet de masquer la véritable adresse IP du serveur d'origine: au lieu d'exposer l'adresse IP d'hébergement réelle, les visiteurs sont affichés IP CloudFlare, qui se situe entre l'utilisateur et le serveur, filtrant le trafic, gérant le cache et fournissant une protection DDoS.

Dans ce scénario, quiconque fait une requête HTTP à Phica.eu ne communique jamais directement avec le vrai serveur, mais avec le Nœuds CloudFlare, qui renvoie ensuite la connexion au serveur d'origine. Cette approche semble garantir une certaine degré d'anonymat pour ceux qui gèrent le portail, car un utilisateur qui tente de tracer l'adresse IP du vrai serveur ne verra que IP publiques CloudFlare.

Cependant, il est important de comprendre Comment fonctionne la politique « Abus » de CloudFlare. Lorsqu'un sujet — par exemple une fille qui trouve Ses photos privées publiées sur Phica.eu sans consentement — envoie à CloudFlare un Demande de retrait pour atteinte aux droits d'auteur (DMCA) ou rapport d'abus, CloudFlare n'intervient pas directement sur le contenu. pour politique de neutralité du net, le service agit comme simple intermédiaire technique: reçoit le rapport, identifie l'IP réelle du serveur d'origine e transmettre la demande au fournisseur d'hébergement qui gère ce serveur.

Par exemple, si le serveur Phica.eu avait été hébergé par un fournisseur hypothétique tel que « ACME SpA », et la véritable IP était masquée derrière les IP publiques de CloudFlare, le flux serait comme ceci :

Cela signifie que CloudFlare ne fermera jamais votre site, et ne bloquera pas non plus le contenu contesté, car ne les héberge pas et politique d'entreprise et neutralité du Net, n'effectue pas de modération active. L'évaluation des violations et la prise de mesures juridiques ou techniques incombent toujours à l'équipe. fournisseur qui gère le serveur d'origine. Dans un contexte comme celui de Phica.euCette dynamique rendait plus difficile toute action rapide contre le portail, surtout si le fournisseur derrière l’infrastructure était complaisant ou inactif dans le traitement des rapports d’abus.

Responsabilité du fournisseur d'origine derrière CloudFlare

Dans un scénario comme celui analysé, le point crucial est identifier le fournisseur d'origine, C'est, l'hébergement réel qui est derrière la protection de CloudFlare, et comprendre comment il décide d'opérer lors de la réception de rapports d’abus.

La législation italienne de référence est la Décret législatif 70 / 2003, qui intègre le Directive européenne 2000/31/CE sur le commerce électronique. En particulier, Articles 14, 15 et 16 établir que :

• Un Fournisseur d'hébergement n'est pas pénalement ou civilement responsable pour le contenu téléchargé par ses clients, jusqu'à ce qu'il soit conscient de leur nature illicite.

• La responsabilité instantané au moment de l'hébergement reçoit un rapport formel (par exemple un rapport d'abusune Notification DMCA ou un litige pour violation du droit d'auteur ou de la vie privée).

• À partir du moment où c'est conscient du contenu illégal, le fournisseur a l'obligation de le supprimer ou d'en empêcher l'accès, sous peine de ne pas pouvoir répondre civilement ou pénalement pour « complicité » dans la diffusion de matériel illicite.

Dans le cas d' Phica.euQuand CloudFlare reçu un rapport d'abus, n'a pas supprimé le contenu (pour son politique de neutralité), ma a transmis la demande au fournisseur d'origine qui hébergeait physiquement le site. À ce stade, l'hébergeur était confronté à trois scénarios possibles :

1. Ignorer délibérément le rapport

   • Certains fournisseurs, en particulier s’ils sont enregistrés dans des pays avec juridictions permissives, ils décident consciemment de ne pas intervenirCela permet au portail de rester en ligne pendant des années, malgré les demandes de suppression.

2. Accepter les justifications du client

   • Souvent, après avoir reçu une notification de CloudFlare, le fournisseur informer le propriétaire du site et nécessite des explications. Si le client fournit raisons techniques ou juridiques que l'hébergeur considère comme plausible, le fournisseur peut décider de ne pas suspendre le service.

3. Intervenir en suspendant ou en masquant le service

   • En théorie, si le client il ne répond pas ou ne fournit pas de justifications valables, le fournisseur devrait désactiver le compte, supprimer du contenu ou coopérer avec les autorités compétentes.

En pratique, le mécanisme fonctionne comme un bouche à oreille technique:

• CloudFlare reçoit le rapport →

• Transférez-le au fournisseur d'origine →

• Le fournisseur informe le client final →

• Le client doit répondre →

• Le fournisseur décide de suspendre, d'ignorer ou de maintenir le service.

Cela signifie que le client final est toujours informé des signalements d'abus: le fournisseur est formellement obligé de les transmettre. Cependant, si l'hébergement ça ne marche pas o décide de croire les justifications du client, le site reste en ligne.

Dans le cas d' Phica.eu, il apparaît alors probable et plausible que le fournisseur d'origine derrière CloudFlare avoir:

• délibérément ignoré les nombreuses demandes de retrait,
  ou

• accepté les justifications fourni par le gestionnaire, permettant au portail de rester opérationnel pendant près de vingt ans malgré la des dizaines de plaintes.

Il Décret législatif 70 / 2003 met en évidence un point clé : un hébergeur n'est jamais pénalement responsable tant qu'il ne sait pas. Mais à partir du moment où il sait, il est obligé d'agirS’il ne le fait pas, la responsabilité – au moins devant un tribunal civil – lui incombe également.

Quel est le fournisseur d'origine derrière Phica.eu ?

Lorsque vous parlez Phica.eu et nous essayons de comprendre qui est le fournisseur d'origine Pour savoir qui héberge réellement le forum, il faut partir d'un principe fondamental : ce site n'est pas né de nulle part. Son histoire est ancienne, et pour mener une analyse OSINT sérieuse, il est essentiel de reconstituer l'historique complet de son infrastructure technique.

Le forum Phica est officiellement né enAoût 2005 avec le domaine phica.net. Au cours de ces années, il est progressivement devenu l'un des plus grands forums italiens liés au contenu pornographique et, surtout, au matériel non consensuel, au point d'être défini, en fait, comme un centre de vengeance pornographique. Depuis presque 17 ans, phica.net représente le point d'accès principal à la plateforme, accumulant des millions de messages e des centaines de milliers d'utilisateurs enregistrés.

Puis dans 2022, une étape stratégique importante se produit : phica.net commencer à faire redirection automatique à phica.euCe changement apparemment anodin a une signification technique précise. Ce changement de domaine peut être lié à plusieurs raisons, notamment :

• Tenter de éviter d'éventuelles crises ou des blocs juridiques.

• À la recherche d’une infrastructure plus sécurisée pour se protéger contre les enquêtes et les cyberattaques.

• Volonté de déplacer l’orientation opérationnelle vers une Fournisseur européen et, probablement, d’exploiter des juridictions plus favorables.

Comprendre qui est le fournisseur d'origine dietro phica.eu Ce n'est pas facile, d'autant plus qu'aujourd'hui le site s'appuie sur Cloudflare en tant que service de protection. Cloudflare agit comme Proxy inverse et masque l'adresse IP réelle du serveur, protégeant ainsi le fournisseur hébergeant physiquement le forum. Cependant, avec une stratégie OSINT bien structurée, nous pouvons reconstituer plusieurs traces historiques.

1. Pourquoi l'analyse doit commencer par phica.net

Pour revenir à la origine du fournisseur di phica.eu, nous ne pouvons pas nous limiter à analyser l'infrastructure actuelle : nous devons partir du début, lorsque la plateforme utilisée phica.netC'est essentiel car dans la période 2005 → 2022 Le forum fonctionnait sans accorder la même attention à la confidentialité qu’aujourd’hui.

L'enquête OSINT se déroule donc en trois étapes principales :

1. Analyse historique du domaine phica.net pour comprendre où il était hébergé dans les premières années.

2. Suivi des migrations ultérieures jusqu'à la transition vers phica.eu.

3. Analyse des couches de protection actuelles et identifier les faiblesses potentielles qui révèlent l’infrastructure d’origine.

2. Les premières années de phica.net (2005 → 2010)

L'analyse des enregistrements DNS historiques montre que phica.net, dans ses premières années, était hébergé à Italie moyens Forfait serveur, un fournisseur connu pour offrir des services abordables et une infrastructure simple.

Ces informations ont été obtenues à l'aide d'outils OSINT tels que :

• SécuritéTrails

• RiskIQ PassiveTotal

• DNSdumpster

Ces bases de données stockent les anciens disques A et permettre la reconstruction des variations historiques des adresses IP.

Au cours de cette première phase, phica.net Aucune sécurité avancée n'a été utilisée, les serveurs ont répondu directement et l'adresse IP était visible publiquement. Il est probable que de nombreuses informations aient été collectées pendant cette période, notamment les fournisseurs physiques, les centres de données et les configurations utilisées.

3. Le déménagement à l'étranger : la France et le Canada

Après quelques années, probablement pour accroître l'anonymat et se protéger d'éventuelles enquêtes italiennes, phica.net migrer votre infrastructure vers le France. Il est hébergé ici pour une période limitée, profitant probablement de Serveurs Dédiés o VPS à fort trafic.

Par la suite, le forum se déplace définitivement à Canada, où il trouvera sa « base stable » pendant plusieurs années. L'analyse des informations DNS révèle que le fournisseur le plus probable à ce stade est OVH, l'un des géants européens de l'hébergement, qui a d'immenses centres de données aussi bien en France aussi bien en Canada.

Le choix d' OVH Sans surprise : le groupe compte parmi les plus grands opérateurs européens et jouit d'une solide réputation pour son infrastructure évolutive et performante, ainsi que pour ses politiques de confidentialité relativement favorables à ceux qui recherchent l'anonymat. Cependant, il présente un aspect intéressant du point de vue de l'enquête : OVH dispose également d'une succursale commerciale en ItalieCette présence sur le territoire national pourrait représenter une point d'accès stratégique pour les forces de l'ordre italiennes, ce qui pourrait tirer parti du siège local pour demander officiellement des données et des informations dans le cadre d’une enquête, suivant les procédures prévues par la coopération judiciaire internationale.

OVH est souvent choisi pour les forums de ce type pour trois raisons principales :

1. Costi bassi par rapport à d'autres prestataires du même niveau.

2. Bande passante disponible élevée, indispensable pour gérer des centaines de milliers d'images et de vidéos.

3. Protection partielle des données et une plus grande difficulté pour les autorités étrangères d’intervenir rapidement, même si – grâce au siège italien – les forces de l’ordre auraient désormais plus de marge de manœuvre pour agir que par le passé.

4. Présentation de Cloudflare

Avec la popularité croissante et la controverse grandissante autour du forum, phica.net décide d'adopter Cloudflare comme niveau de protection intermédiaire. À partir de ce point, toutes les requêtes adressées au domaine transitent par l'infrastructure de Cloudflare, qui agit comme un Proxy inverse et masque l'adresse IP réelle du serveur.

D'un point de vue OSINT, cela introduit un obstacle majeur :

• Il n'est plus possible d'obtenir l'IP d'origine via un simple Recherche DNS.

• Les outils de base tels que dig, nslookup o whois Ils renvoient uniquement les adresses IP liées à Cloudflare.

Cette étape marque le début d’une stratégie de protection active du forum, ce qui devient beaucoup plus difficile à suivre.

5. Migration vers phica.eu (à partir de 2022)

Le tournant arrive en 2022 : le domaine principal devient phica.eu. Tout le trafic en provenance de phica.net est redirigé via la redirection 301 vers la nouvelle extension européenne.

Les raisons peuvent être multiples :

• Évitez les listes noires ou des saisies du domaine .net.

• Recherchez un juridiction la plus favorable.

• Migrez vers une nouvelle infrastructure plus sécurisée et distribuée.

À partir d'ici, phica.eu Il hérite de l'intégralité de la structure préexistante, mais la renforce par une couche de protection supplémentaire. Ici aussi, le trafic est canalisé. Cloudflare, qui masque complètement l'origine IP.

6. Comment trouver le serveur d'origine derrière Cloudflare

Bien que Cloudflare protège l'adresse IP réelle, des techniques OSINT avancées permettent d'identifier l'expéditeur. Parmi les principales, on peut citer :

a) DNS passif et SecurityTrails

• Les anciens enregistrements DNS liés à sont analysés phica.net avant d'adopter Cloudflare.

• Souvent, les anciennes adresses IP restent associées au domaine même après le changement.

b) Énumération des sous-domaines

• En analysant les sous-domaines actifs et inactifs, il est possible d'identifier les points de terminaison qui ils ne passent pas par Cloudflare et révéler la véritable IP.

• Des outils comme Amasser, Sous-chercheur o crt.sh ils peuvent aider.

c) Analyse du certificat SSL

Nous avons découvert, grâce à une analyse approfondie des certificats numériques, qu'ils sont présents Certificats Let's Encrypt actif depuis plusieurs sous-domaines di phica.euPour obtenir ces informations, nous avons utilisé crt.sh, un service public qui vous permet de consulter les Journal de transparence des certificats et afficher tous les certificats SSL émis pour un domaine donné.

Cette découverte est particulièrement intéressante car, même si seulement l'un de ces sous-domaines n'était pas protégé par Cloudflare – par exemple un point de terminaison secondaire, un ancien panneau d’administration ou un service interne qui a été laissé exposé – pourrait révéler directement l'adresse IP du serveur d'origine.

Connaître la véritable adresse IP nous permettrait d'identifier le fournisseur actuel qui héberge l'infrastructure, contournant ainsi la couche de protection offerte par Cloudflare et rendant la connexion beaucoup plus facile phica.eu à son infrastructure physique.

d) Shodan et Censys

Entrer phica.net o phica.eu su Shodan vous pouvez identifier :

• • Les anciens points de terminaison sont restés actifs.

  • Services exposés.

  • Informations sur le véritable fournisseur.

7. Les failles découvertes dans l'infrastructure

Au cours de l'analyse OSINT du forum, les éléments suivants sont ressortis : vulnérabilités importantes:

• Plans de site publics non protégés: au-delà Pages 981.000 librement indexé.

• Effacer les e-mails associé aux utilisateurs : à propos Profils 791.000 enregistrés, beaucoup avec des données personnelles visibles.

• Services non mis à jour identifié par Shodan, avec des exploits potentiels connus.

• Possible Injection SQL en raison d'un logiciel obsolète.

Ces détails révèlent non seulement des problèmes de confidentialité pour les utilisateurs, mais ouvrent également des scénarios potentiels pour identifier les serveurs réels grâce à l'analyse des journaux, des appels directs et des anciennes versions des sous-domaines.

8. La situation actuelle

De nos jours, phica.eu fonctionne derrière une infrastructure robuste :

• Cloudflare Protège l'origine des attaques DDoS et masque son emplacement.

• Votre DNS principal et vos sous-domaines passent tous par le proxy Cloudflare.

• Le fournisseur d’origine est presque certainement un grand opérateur européen ou nord-américain, avec OVH qui reste le candidat le plus probable, compte tenu de l'histoire passée du domaine et de sa proximité géographique avec le siège européen de Cloudflare.

Cependant, la présence de Sous-domaines Gmail e Espace de travail Google Cela suggère que certaines communications par courrier électronique sont traitées par Google, ce qui représente un point d’entrée potentiel pour les enquêtes.

Découvrir Quel est le fournisseur d'origine derrière phica.eu ? Ce n'est pas une tâche facile. Le changement de domaine, l'adoption de Cloudflare et la structure distribuée des sous-domaines rendent l'enquête complexe. Cependant, reconstituer l'historique complet du forum depuis phica.net, des détails importants émergent :

• Au début, le site était hébergé dans Italie (Plan serveur).

• Il a ensuite déménagé à France et enfin dans Canada, probablement sur OVH.

• À partir de 2022, avec la naissance de phica.eu, toute l'infrastructure passe derrière Cloudflare.

• L'analyse OSINT du DNS, des sous-domaines, des certificats SSL et de Shodan indique que le fournisseur d'origine actuel peut toujours être OVH ou un fournisseur similaire.

En d’autres termes, même si aujourd’hui Cloudflare masquer la véritable adresse IP, les données historiques et les preuves techniques suggèrent que la « société mère » du forum est restée sensiblement inchangée : une infrastructure haute performance, très probablement basée sur Serveurs Dédiés situé en Europe, avec OVH en tant que candidat principal.

Comment ce site à l’épreuve des renseignements était-il censé fonctionner pour ne pas être découvert ?

Analyse de l'infrastructure de phica.eu et son évolution depuis l'ancien phica.net, il est évident que plusieurs erreurs structurelles ont été commises qui ont laissé filières techniques, administratives et commerciales. Malgré l’utilisation actuelle de Cloudflare en tant que système de protection, c'est une solution assez basique, avec toutes les limitations que cela implique. Cloudflare est efficace masquer l'adresse IP d'origine et protéger le site des attaques DDoS, mais il ne suffit pas de construire une infrastructure à l'épreuve du renseignement et véritablement résistant aux enquêtes coordonnées entre plusieurs juridictions.

Pour comprendre comment phica.eu aurait pu être rendu presque impossible à retracer, nous devons commencer par le erreurs initiales commis au moment de phica.netEn effet, au début, le forum était hébergé sur des fournisseurs italiens tels que Forfait serveur, laissant effacer les traces commerciales: paiements traçables, factures au nom du client et données personnelles associées aux comptes. À l'époque, entre autres, les crypto-monnaies n'existaient pas, les paiements ont donc été effectués presque exclusivement via virements bancaires, cartes de crédit ou systèmes traditionnels, tous facilement accessibles aux forces de l'ordre. Ce choix initial a produit une chaîne de preuves historiques qui aujourd'hui ne peut plus être effacée.

Une véritable infrastructure blindé aurait nécessité une approche très différente, non seulement technique, mais aussi juridiqueLa sécurité de fonctionnement d’un système de ce type repose en effet sur deux piliers :

1. Protection de l'infrastructure multicouche.

2. Exploitation des juridictions favorables et leurs conflits juridiques avec d’autres pays.

D’un point de vue technique, la solution la plus efficace n’aurait pas été de s’appuyer sur uniquement sur Cloudflare comme seul point d'entrée. Il aurait fallu insérer au moins deux niveaux de protection supplémentaires, construire un chemin de transfert du trafic entre différents pays et différents prestataires, en exploitant les difficultés juridiques découlant des juridictions internationales.

Un exemple d’architecture plus robuste :

• Premier niveau : Point de terminaison public protégé par Cloudflare, qui agit uniquement comme une couche d'obscurcissement initiale.

• Deuxième niveau : Un proxy inverse offshore situé dans la Russie, où l'accès aux données par les autorités européennes ou italiennes serait extrêmement complexe. De plus, la Russie est actuellement en conflit avec plusieurs pays européens et de l'OTAN, ce qui ralentirait considérablement toute tentative de coopération internationale.

• Troisième niveau : Une couche intermédiaire supplémentaire via un fournisseur en Malaisie, un pays connu pour accueillir services d'hébergement offshore et la difficulté d’obtenir des informations par les voies officielles.

• Quatrième et dernier niveau : Le datacenter actuel tel que nous l'avons estimé dans ce cas comme une option possible d'OVH

Cette double intermédiation technique pourrait être mise en œuvre à la fois avec proxy inverse HTTP soit par un moyen plus simple redirection de port des ports HTTP/HTTPS:dans les deux cas, l'effet serait de masquer complètement le serveur d'origine.

Pour rendre l’analyse encore plus complexe, l’infrastructure russe aurait pu être hébergée par des entités opaques telles que RBN – Réseau d'affaires russe, historiquement connu pour sa gestion d'entreprise Cybercriminalité, darknet et protection des sites à haut risqueDans ce scénario, toute demande officielle des autorités italiennes ou européennes aurait été ignorée ou rejetée, obligeant les forces de l'ordre à tenter une coopération internationale avec les réalités hostile ou délibérément peu coopératif.

À ce stade, le trafic provenant des proxys russes aurait été transmis vers la Malaisie, qui à son tour aurait pu l'envoyer au Serveur final européen, par exemple hébergé chez OVH.

Dans ce scénario, si une autorité italienne avait tenté de retracer le origine du fournisseur, l'enquête aurait été en conflit avec une chaîne d'étapes techniques et juridiques complexes:

• Premier pas: la demande commencerait à partir de Cloudflare, qui est le seul point de terminaison visible publiquement.

• Deuxième passe : Cloudflare indiquerait un nœud suivant comme proxy inverse situé en MalaisieDans ce cas, la coopération internationale serait déjà compliquée, puisque la Malaisie n’adhère pas aux mêmes protocoles d’entraide judiciaire que l’Union européenne.

• Passe Terzo : Le nœud malaisien, à son tour, pourrait transférer le trafic vers un deuxième proxy situé en RussieLe processus deviendrait alors encore plus difficile, car la Russie n’est pas obligée de coopérer et, surtout dans le contexte politique actuel, a tendance à ignorer les demandes des forces de police internationales.

• Quatrième étape : Ce n'est qu'en surmontant ces niveaux, théoriquement, que nous pourrions arriver à serveur d'origine final, dont nous avons précédemment émis l'hypothèse qu'il pourrait être hébergé par un fournisseur européen tel que OVH. Cependant, cela reste improbable à vérifier, car l'infrastructure à plusieurs niveaux rend extrêmement difficile d'établir avec certitude quel est le véritable fournisseur.

Dans ce modèle, par conséquent, nous partons de Cloudflare, mais les prochaines étapes introduisent couches d'opacité technique et juridictionnelle qui permettent l'identification de l'origine très complexe rendant pratiquement impossible la localisation du serveur final, donnant au forum un niveau d'anonymat presque total.

En un mot, phica.eu s'est concentré sur un modèle de protection monolithique basé uniquement sur Cloudflare, qui offre un blindage minimal mais ne résout pas les problèmes structurel et juridique liée à la traçabilité. Une infrastructure véritablement innovante à l'épreuve du renseignement aurait nécessité une conception plus avancée, conçue pour exploiter zones grises juridiques et de créer un chemin proxy inverse offshore à plusieurs niveaux ce qui rendait impossible ou extrêmement complexe l’obtention de données utiles par le biais de demandes officielles.

Considérations et réflexions sur le travail des forces de l’ordre et des procureurs.

Jusqu'à présent, nous avons analysé l'histoire principalement d'un point de vue technique et systémique, en se concentrant sur l'infrastructure de phica.net avant et phica.eu Ensuite, il y a les protections adoptées, les vulnérabilités présentes et comment, théoriquement, il aurait été possible de tracer ou de bloquer le site. Cependant, les dernières nouvelles et les nombreuses enquêtes journalistiques soulèvent une question encore plus pertinente : Comment est-il possible qu’un portail de cette taille, actif depuis près de vingt ans, soit resté en ligne sans être perturbé ?, bien qu'au fil des années ils aient été vous déposez des dizaines et des dizaines de plaintes par les victimes, les familles et les associations ?

Cette absence de réaction décisive de la part des autorités compétentes – procureurs, police postale, justice – soulève des questions légitimes quant à la manière dont les signalements ont été traités. Lorsqu'il est question d'un portail avec plus de 800.000 abonnés, près d'un million de pages indexé et une présence massive de matériel potentiellement illicite, on pourrait s'attendre à une approche d'investigation combiné, qui unit techniques OSINT avancées, coopération internationale et outils confinement immédiat.

Les alternatives techniques qui étaient possibles mais jamais mises en œuvre

Outre l'emplacement du serveur et l'identification de l'opérateur, il existe plusieurs stratégies techniques consolidées qui aurait pu faire phica.eu e phica.net inatteignables pour la majorité des utilisateurs italiens, sans attendre la fermeture définitive du portail.

1. Détournement et saisie de DNS

L’une des solutions les plus simples et les plus utilisées contre les portails illégaux depuis des années aurait été la mise en œuvre d’un saisie DNS moyens Détournement DNSCette technique est utilisée depuis décenni et est généralement adoptée par les autorités judiciaires lorsqu'un site viole la loi.

Le mécanisme est simple :

• L'autorité judiciaire émet une ordonnance de saisie.

• Les fournisseurs DNS des FAI italiens sont invités à modifier les résolutions de domaine.

• Au lieu de résoudre l'adresse IP réelle du portail, le DNS répond avec un redirection vers une page de notification qui signale la crise.

Cette mesure n'aurait pas supprimé le site à l'échelle mondiale, mais cela aurait accès bloqué par la plupart des utilisateurs italiens, ce qui rend la navigation considérablement plus compliquée pour ceux qui n'ont pas de compétences avancées et un VPN.

2. Blocage du trafic via des systèmes anti-piratage (technique de blocage IP dynamique)

Une autre solution possible, encore plus efficace, aurait été l’adoption du système déjà utilisé en Italie pour lutter contre la piratage sportif, celui utilisé contre les portails qui diffusent illégalement des événements de football Sky e DAZN.

Ce système, défini « Blocage IP dynamique », connu officieusement sous le nom de « filtre anti-Pezzotto », est exploité à la demande duAGCOM (Autorité pour les garanties de communication) et cela fonctionne comme ceci :

1. Identification des IP incriminées en temps réel.

2. L'AGCOM envoie un communication immédiate a tous les FAI italiens.

3. Les FAI mettent en œuvre règles de routage au niveau du backbone, bloquant le trafic vers les IP signalées.

4. La propagation se produit dans quelques minutes, et le site devient inaccessible au niveau national, indépendamment des changements de domaine ou de DNS.

Cette solution aurait été particulièrement efficace dans le cas de phica.eu, car cela aurait pu bloquer accès à l'ensemble de l'infrastructure, rendant toute tentative de changement de domaine ou de migration de serveurs vaine.

Vingt ans d'immobilité

Qu'est-ce qui vous laisse le plus perplexe, et à certains égards déconcerté, est-ce que aucune de ces options a été appliqué depuis près de 20 ans. Selon de nombreux rapports les journaux qui ont enquêté sur l'affaire, au fil des années, ont été des dizaines et des dizaines de plaintes ont été déposées: à partir de victimes individuelles qui avaient vu leurs images diffusées sans leur consentement, par familials des personnes impliquées et même de associations qui traitent de la protection de la vie privée et de la sécurité en ligne. De plus, plusieurs procurer Les Italiens étaient déjà informé depuis un certain temps de l'existence de ce forum et de ses danger social extrême.

Encore phica.net avant et phica.eu puis ils ont continué à fonctionner sans être dérangé, sans aucune limitation technique significative, croissance exponentielle jusqu'à atteindre des chiffres impressionnants :

• Plus de 800.000 XNUMX utilisateurs enregistrés.

• Des millions de messages publiés en plus de deux décennies.

• Près d'un million de pages contenant images, vidéos et données sensibles des gens inconscients.

Cet silence opérationnel par les autorités compétentes ouvre des perspectives inquiétantes. D'un côté, les procureurs étaient déjà au courant du phénomène. De l'autre, les différentes unités de police spécialisées, y compris les départements de la Postal de police et ceux dédiés à la cybercriminalité, ils n'ont mis en œuvre aucune mesure concrète Pour contenir le problème. Par exemple, rien ne prouve que les éléments suivants ont été préparés :

• Blocage de domaine via Détournement DNS.

• Interventions ciblées sur le trafic réseau via Blocage IP dynamique.

• Blackout sélectif des infrastructures du site par le biais des voies judiciaires internationales.

cette inertie opérationnelle a permis au forum de renforcer son infrastructure au fil du temps, passant de phica.net a phica.eu, adoptant Cloudflare comme niveau de protection et rendant plus difficile la traçabilité des serveurs d'origine. Pendant près de deux décennies, les autorités ils n’ont pas pu – ou n’ont pas voulu – agir efficacement.

L'image devient encore plus déroutant quand tu apprends ça seulement après une forte mobilisation politique et médiatique la situation a été débloquée. Les positions publiques de quelques personnalités institutionnelles, y compris le Premier ministre Giorgia Meloni, a créé la pression nécessaire pour pousser les procureurs et les forces de police à intervenir.

Il a été seulement grâce à cette poussée politique, et non à une intervention autonome de la police, qui en seulement 48 heures les autorités ont pris les mesures nécessaires pour se déconnecter et se déconnecter un portail qui il vivait tranquillement depuis plus de vingt ans.

Cette dynamique met en évidence deux aspects critiques :

1. La manque de coordination entre les parquets et les services de police spécialisés.

2. L’absence d’un stratégie proactive dans le traitement de phénomènes numériques complexes, qui sont plutôt abordés seulement après une explosion médiatique et non sur les mérites de la de nombreuses plaintes antérieures.

Conclusions

L'histoire entière met en évidence un déficience systémique profonde dans la gestion des plaintes, dans la coopération entre les procureurs et rapidité d'intervention des autorités compétentesIl ne s’agit pas seulement d’un problème technique, mais d’une combinaison de mauvaises stratégies d'enquête, manque de coordination entre les institutions et l'absence de planification opérationnelle pour lutter contre les crimes numériques complexes qui nécessitent des réponses rapides et intégrées.

L'histoire d' phica.net e phica.eu Elle nous offre cependant une double matière à réflexion : d’une part, elle met en lumière erreurs et échecs institutionnels; d'autre part, il fournit un aperçu utile pour comprendre deux aspects fondamentaux:

1. Comment construire des systèmes véritablement anonymes et robustes, d’un point de vue technique et infrastructurel.

2. Quelles techniques OSINT et des outils d'analyse sont aujourd'hui disponibles pour étudier en profondeur l'infrastructure d'un site Web.

D'un point de vue strictement technique, des outils tels que le Détournement DNS ou l 'Blocage IP dynamique aurait permis une intervention beaucoup plus tôt: deux méthodologies établies qui auraient pu grandement limiter l'accès au portail, protégeant des centaines de milliers de victimes e contenir l'impact socialLe premier, le Détournement DNS, est utilisé depuis des années pour bloquer les domaines illégaux en modifiant la résolution DNS des FAI. Le second,Blocage IP dynamique — déjà largement utilisé pour lutter contre la piratage sportif et géré en collaboration avec leAGCOM — aurait pu intervenir au niveau de la dorsale nationale, empêchant en temps réel routage du trafic vers les adresses IP associées à phica.eu, indépendamment de tout changement de domaine.

Ces outils étaient déjà disponibles, et pas seulement : ces dernières années, ils ont été largement testés dans d’autres contextes complexes. la technologie existait, ainsi que le compétences techniques nécessaire de mettre en œuvre une intervention rapide et coordonnée. Pourtant, pour des raisons étroitement liées inertie bureaucratique, manque de vision stratégique et probablement manque de volonté politique et judiciaire, rien n'a été fait jusqu'à ce que l'affaire explose dans les médias.

Parallèlement, l’analyse OSINT réalisée sur le sujet offre également une valeur pédagogique et techniqueDes outils tels que :

• Shodan e censys pour identifier les services exposés, les certificats SSL et les vulnérabilités potentielles.

• SécuritéTrails e RiskIQ PassiveTotal pour reconstruire le Historique DNS et les anciennes IP associées au domaine.

• crt.sh pour analyser le certificats délivrés aux sous-domaines et localiser les points de terminaison cachés.

• Énumération des sous-domaines et l'analyse de la plan du site pour découvrir des informations accessibles au public.

Tous ces outils, s'ils sont utilisés correctement, démontrent qu'il est possible, même d'un point de vue externe, de recueillir des informations techniques significatives et de structurer une enquête détaillée. Le fait que un seul chercheur OSINT indépendant a réussi à identifier des failles et des traces laissées en ligne depuis des années, ce qui prouve que les compétences étaient disponibles, mais ils n’ont pas été exploités par ceux qui avaient les moyens et l’autorité de le faire.

À la lumière de ce qui s’est passé, il devient clair que le problème ce n'était pas un manque de technologie ou d'outils d'enquête: tout cela était déjà disponible, et dans certains cas même consolidé par des années d'utilisation. Ce qui manquait probablement, c'était une réelle volonté politique et judiciaire d'agir rapidement et coordination opérationnelle efficace entre les parquets, les autorités de garantie et les unités de police spécialisées.

La leçon à tirer est double :

• Sur le front défensifLes gestionnaires de plateformes doivent comprendre qu’un anonymat complet nécessite des choix d’infrastructure beaucoup plus complexes qu’une simple protection avec Cloudflare, car chaque erreur historique (paiements traçables, journaux non protégés, DNS non obscurci) laisse des traces qui peuvent refaire surface même des années plus tard.

• Sur le front des enquêtes, la police a à sa disposition aujourd'hui des outils OSINT très puissants qui, s’il est utilisé de manière systématique, peut cartographier en détail une infrastructure complexe et guider des enquêtes judiciaires plus rapides et plus efficaces.

En résumé, ce cas démontre à quel point l’écart entre ce qui était techniquement possible e ce qui a été réellement fait est énorme et représente un problème qui va bien au-delà phica.eu, touchant l’ensemble de l’approche institutionnelle de gestion des crimes numériques complexes.