L'enquête, préparée par le partenaire russe de l'OCCRP — le média « Vajnye istorii » (Histoires importantes) —, décrit l'architecture de la couche réseau de Telegram. Les journalistes ont échangé des messages via la messagerie et enregistré le trafic avec l'analyseur Wireshark : les adresses IP auxquelles l'application s'adressait appartenaient à la société Global Network Management (GNM), enregistrée à Antigua-et-Barbuda. Selon les auteurs, GNM loue à Telegram plus de 10 000 adresses IP.
La messagerie elle-même souligne dans sa FAQ officielle le caractère distribué de son infrastructure : les données des chats cloud sont stockées dans des centres de données situés dans différentes juridictions, et les clés de déchiffrement sont séparées et ne se trouvent pas avec les données. L'enquête, elle, se concentre sur un autre niveau : celui de qui assure l'acheminement du trafic.
Témoignages d'un dossier judiciaire
Les pièces d'une plainte civile déposée en 2018 en Floride (un litige entre GNM et un sous-traitant) désignent Vladimir Vedeneev comme propriétaire de la société. Devant le tribunal, il a expliqué que son entreprise « participe à l'installation de l'équipement client — en l'occurrence pour Telegram Messenger — et assure ensuite le support technique de cet équipement ». Selon les documents, Vedeneev était le seul à avoir accès aux serveurs de Telegram dans le centre de données de Miami, et sa société possédait un routeur dans la salle des serveurs de la messagerie.
Il y est également indiqué que Vedeneev disposait d'une procuration pour signer des documents au nom de Pavel Durov et de Telegram. L'un des contrats est signé deux fois par lui — en tant que directeur de GNM et en tant que directeur financier de Telegram. Vedeneev lui-même qualifiait ce montage d'« informel » et affirmait ne pas percevoir de salaire de Telegram.
« Si une entreprise contrôle les routeurs qui distribuent le trafic via les serveurs de Telegram, cela signifie qu'elle — ou quiconque à qui elle donnerait cet accès — peut voir les identifiants des utilisateurs de la messagerie », a déclaré le spécialiste de la sécurité Michał « rysek » Woźniak.
Sociétés liées et leurs clients
Vedeneev est le fondateur de l'opérateur de backbone pétersbourgeois GlobalNet, qui, selon l'enquête, gère 18 000 kilomètres d'infrastructure de backbone dans une vingtaine de pays. L'an dernier, il a transféré sa participation majoritaire à des proches. Jusqu'en 2020, les adresses IP de Telegram, aujourd'hui gérées par GNM, étaient contrôlées par GlobalNet.
Parmi les clients de GlobalNet, les auteurs citent le Centre principal de calcul scientifique et de recherche (GlavNIVTs) de la direction des affaires du président de la Russie et l'institut Kourtchatov. Selon le portail des marchés publics, GlobalNet assurait également les communications de l'institut Kourtchatov. Après 2022, l'entreprise a annoncé avoir été la première parmi les opérateurs russes à déployer un système de surveillance du trafic par inspection approfondie des paquets (Deep Packet Inspection) « selon les règles de Roskomnadzor ». Un officier des forces spatiales, Roman Venediktov, est indiqué comme copropriétaire minoritaire de GlobalNet (4 %).
Une autre société liée à Vedeneev — « Elektrontelecom » —, selon l'enquête, attribuait plus de cinq mille adresses IP à Telegram. Des documents comptables internes de 2024, consultés par les journalistes, montrent que l'un de ses principaux clients publics est le FSB : l'entreprise installe et entretient l'équipement du système de surveillance pour les directions du FSB de Saint-Pétersbourg et de la région de Léningrad.
Les auteurs précisent toutefois : rien n'indique que GNM elle-même ait travaillé avec des organes d'État russes ou transmis des données. Il s'agit d'une vulnérabilité potentielle des métadonnées — les informations sur l'appareil qui se connecte aux serveurs et depuis quelle adresse —, et non d'un accès au contenu des échanges.
Évaluations et réactions
Selon l'OCCRP, Durov n'a pas répondu à une demande de commentaire ; Vedeneev s'est entretenu avec les journalistes mais a refusé que ses propos soient publiés. L'ancien manager de Telegram Elies Campo et d'autres interlocuteurs familiers du fonctionnement de l'entreprise, selon les auteurs, n'avaient jamais entendu parler de Vedeneev.
Le chercheur principal de Citizen Lab, John Scott-Railton, a déclaré : « Si c'est vrai, l'enquête met en lumière un dangereux décalage entre ce que beaucoup pensent de la sécurité et de la confidentialité de Telegram et la réalité. » Selon lui, les personnes qui ignorent la situation mais comptent sur la protection des métadonnées peuvent, sans le savoir, mettre en danger elles-mêmes et leurs interlocuteurs.
Un spécialiste ukrainien de l'informatique, s'exprimant sous couvert d'anonymat, a raconté aux journalistes que les militaires russes avaient recours dans son pays à des interceptions de type « homme du milieu » après avoir pris le contrôle d'infrastructures réseau : « Vous obtenez un accès physique au canal de transmission des données et vous y installez votre propre équipement. » Selon lui, dans une telle attaque, ce sont avant tout les métadonnées qui présentent un intérêt — les adresses IP, la localisation, qui échange des paquets avec qui.
Dans une mise à jour du 12 juin 2025, l'OCCRP a précisé l'année du dépôt de la plainte à Miami : 2018.
1
