Les vrais risques liés à l’utilisation d’un VPN en Russie fin 2026

Environ 40 pour cent des habitants de Russie utilisent désormais un VPN, et la part des offres payantes parmi eux est passée de 15 à 48 pour cent entre 2024 et 2026. Des dizaines de millions de personnes ont une application VPN sur leur téléphone, et une grande partie d'entre elles ont un prélèvement d'abonnement quelque part sur un relevé bancaire. Chacune a de bonnes raisons de se demander ce que cette application et ce prélèvement peuvent lui coûter.

Utiliser un VPN n'est pas une infraction en Russie en novembre 2026, et en payer un n'en est pas une non plus. Anton Gorelkin, vice-président de la commission informatique de la Douma, a déclaré en février 2026 qu'une amende pour usage de VPN n'est pas prévue et n'est même pas à l'étude. Une analyse juridique publiée par Izvestia le 28 octobre 2026 est parvenue à la même conclusion.

Le risque s'est éloigné de l'acte de connexion lui-même. Il se situe désormais à deux endroits. Le premier, c'est ce à quoi l'usage du VPN se trouve associé, comme une recherche en ligne ou une accusation pénale. Le second, ce sont les traces. Un paiement, une liste de clients ou un journal de connexion est conservé pendant des années, et il peut être relu plus tard au regard de règles qui n'existaient pas au moment où la trace a été créée. Trois de ces règles sont entrées en vigueur au cours des 14 derniers mois.

Utiliser un VPN en Russie est-il illégal ?

Non. Ce que la loi punit est plus étroit, et les détails comptent.

Depuis le 1er septembre 2025, l'article 13.53 du Code des infractions administratives, ajouté par la loi fédérale 281-FZ, punit la recherche délibérée et l'accès aux matériaux figurant sur la liste fédérale des matériaux extrémistes. L'amende est de 3 000 à 5 000 roubles, et l'article a été rédigé pour couvrir les recherches effectuées via un VPN. La première amende, de 3 000 roubles, a été prononcée le 10 décembre 2025 à l'encontre d'un habitant de Kamensk-Ouralski. Un adolescent de 16 ans à Myski a été condamné à une amende du même montant par une commission des mineurs début 2026, et un tribunal a infligé une amende à un habitant de Dmitrov le 12 novembre 2026. Aucun nombre total de ces amendes n'a été publié.

Le même paquet législatif a fait de la publicité pour des services VPN une infraction, avec des amendes pouvant atteindre 500 000 roubles pour les entreprises. Depuis mars 2024, la publication d'informations qui popularisent des outils de contournement est un motif de blocage du média concerné. Les fournisseurs de VPN sont soumis à leur propre règle. Un service qui refuse de se connecter à la liste de blocage de l'État est lui-même bloqué. Roskomnadzor a annoncé 469 services VPN bloqués fin février 2026, contre 258 en octobre 2025. Aucun chiffre officiel pour l'automne n'a été publié à ce jour, en novembre 2026.

Une rumeur de l'été peut être close. Le 7 juillet 2026, le ministère du numérique a nié envisager une redevance sur le trafic étranger, trafic VPN compris.

Mises côte à côte, les règles qui touchent un utilisateur de VPN ou un paiement VPN se présentent ainsi. Notre registre des règles VPN en Russie les suit au fil de leurs évolutions.

La troisième ligne est celle qui se lit le plus facilement de travers, car c'est la seule où l'outil lui-même apparaît dans le Code pénal.

Que signifie concrètement « l'utilisation d'un VPN comme circonstance aggravante » ?

Une circonstance aggravante est un fait qui ne crée pas une infraction mais permet à un tribunal de prononcer une peine plus lourde pour celle-ci. La loi fédérale n° 282-FZ du 31 juillet 2025 a ajouté un tel fait à l'article 63, partie 1, du Code pénal. Il s'agit du point « f » en translittération, la lettre russe « ф », et il est en vigueur depuis le 1er septembre 2025. La formulation vise « la commission d'une infraction au moyen de logiciels et de matériel donnant accès à des ressources d'information et à des réseaux de télécommunication dont l'accès est restreint ». Le parquet a publié sa propre explication le 12 septembre 2025.

Deux caractéristiques du point définissent sa portée. Il figure dans la Partie générale du code, il peut donc s'appliquer à n'importe quelle infraction. Il exige également une infraction à laquelle se rattacher. Une personne qui utilise un VPN sans commettre d'infraction n'est pas concernée. Le point ne nomme pas les VPN. Il décrit une catégorie d'outils, et un VPN utilisé pour accéder à une ressource bloquée entre dans cette description.

La loi a 14 mois et la jurisprudence connue reste mince. En avril 2026, Verstka a recensé les deux premiers verdicts l'appliquant, tous deux dans des affaires de drogue. À Novomoskovsk, dans l'oblast de Toula, un tribunal a condamné en décembre 2025 un homme à 1 an et 8 mois de colonie après qu'il a accédé au site d'un vendeur bloqué via un VPN. À Oukhta, en Komi, un verdict de février 2026 a prononcé trois ans avec sursis. Les articles de Meduza et de Novaya Gazeta Europe soulignent qu'on ignore si l'outil était un VPN ou Tor. OVD-Info a déclaré à l'époque ne connaître aucune affaire politique utilisant ce point.

Deux développements ultérieurs méritent d'être mentionnés à côté de ce point, bien qu'aucun des deux ne soit une loi. Le 28 octobre 2026, Eva Merkacheva, membre du conseil présidentiel des droits de l'homme, a déclaré à Fontanka que les enquêteurs citent l'utilisation d'un VPN et les messages éphémères comme des « méthodes de clandestinité » lorsqu'ils demandent aux tribunaux d'ordonner une détention provisoire. Son témoignage est anecdotique et ne donne aucun nombre d'affaires. Il concerne des audiences de détention, qui relèvent d'un autre sujet que le point « f ». Le 28 juillet 2026, Alexander Bastrykin, chef du Comité d'enquête, a déclaré qu'un projet de loi avait été préparé qui ferait de l'utilisation de l'intelligence artificielle, des VPN et des proxys une nouvelle circonstance aggravante lorsque la technologie de l'information est l'outil principal de l'infraction. Aucun numéro de projet de loi n'a été publié à la Douma en novembre 2026. Il s'agit toujours d'une proposition.

Pour un utilisateur ordinaire, ce point n'a d'importance que si une accusation pénale existe. L'utilisation d'un VPN à elle seule ne mène nulle part. Dès qu'une personne fait l'objet d'une accusation de quelque nature que ce soit, un VPN sur l'appareil ou dans le dossier est un élément que l'accusation peut exploiter.

Que laisse derrière lui le paiement d'un VPN ?

Une application peut être supprimée. Un paiement, lui, ne peut pas l'être, et il constitue souvent la trace la plus durable d'un abonnement VPN.

En Russie, cette trace est domestique. Visa et Mastercard ont suspendu leurs opérations en Russie en mars 2022, si bien qu'une carte émise en Russie ne peut pas payer directement un marchand étranger. Un service étranger qui annonce des paiements par carte Mir ou via le SBP, le système de paiements instantanés de la banque centrale, possède donc un maillon russe quelque part dans la chaîne. Les informations publiques décrivent ces maillons par catégorie. On y trouve un acquéreur russe derrière une vitrine ou un bot, un agent de paiement qui encaisse des roubles et règle à l'étranger, une place de marché de revendeurs, ou un virement domestique vers un particulier. Dans tous les cas, l'argent circule sur l'infrastructure de paiement russe au moment où le client paie. La marque étrangère n'apparaît qu'ensuite.

Ce maillon est lisible à trois niveaux.

La couche intermédiaire est la nouvelle. La loi 461-FZ est entrée en vigueur le 1er septembre 2026, et à compter de cette date, le gendarme financier n'a plus besoin de s'adresser séparément à chaque banque. Le volume couvert est considérable. À lui seul, le SBP a traité 4,7 milliards d'opérations pour 26 500 milliards de roubles au premier trimestre 2026.

Les vendeurs de ce marché suggèrent souvent la discrétion par des noms de marchands neutres ou des libellés qui ressemblent à des virements vers des sociétés ou des particuliers sans lien. Au niveau du registre, c'est purement cosmétique. La banque et NSPK ramènent tout bénéficiaire à une entité enregistrée ou à une personne vérifiée, quel que soit le nom affiché. Dans les affaires pénales liées aux dons à la Fondation anti-corruption d'Alexeï Navalny, la FBK, les enquêteurs ont rapproché des relevés bancaires grâce à un identifiant marchand récurrent. Des montants mensuels identiques versés au même bénéficiaire forment à eux seuls un schéma d'abonnement.

Savoir si quelqu'un interroge ce registre au sujet des abonnements VPN est une autre question. Aucune source ne le documente, et aucune poursuite liée à un paiement de VPN n'est documentée nulle part. Avec près de la moitié des utilisateurs de VPN en Russie qui paient désormais leur service, les enregistrements susceptibles d'être consultés concernent des dizaines de millions de personnes.

Une règle attendue n'est pas arrivée. Au printemps 2026, la presse spécialisée anticipait une interdiction de payer un VPN avec des cartes russes dans le cadre du projet de loi « Antifraud 2.0 », et au moins un grand acquéreur russe aurait cessé de servir les fournisseurs de VPN, selon des informations rapportées. Le projet de loi est devenu la loi 210-FZ du 26 juin 2026, et le résumé publié de la loi ne contient aucune disposition sur les paiements de VPN. En novembre 2026, aucune interdiction de ce type n'a été adoptée.

Est-il important de savoir qui encaisse votre argent ?

Une trace de paiement a deux extrémités, et la seconde peut compter davantage que la première. Le droit russe traite certains destinataires très différemment des autres, et certaines de ses règles punissent le payeur tandis que d'autres ne touchent que le destinataire.

C'est avec les agents étrangers que la confusion est la plus grande. Aucune loi ne punit le fait de payer ou d'acheter à un agent étranger. Un service VPN a été inscrit pour la première fois au registre des agents étrangers en novembre 2023. Les avocats interrogés à l'époque par Fontanka ont déclaré que « entretenir des relations financières avec un agent étranger n'est pas interdit ». L'un d'eux a ajouté que l'application des règles dans ce domaine est « totalement arbitraire ». Les règles financières qui existent lient l'agent. Depuis le 1er mars 2025, les revenus d'un agent étranger provenant de sources russes, telles que la vente de biens et les loyers, les paiements de propriété intellectuelle, les intérêts et les dividendes, sont versés sur un compte spécial en roubles qui reste gelé jusqu'à ce que la personne soit radiée du registre. Les salaires et les honoraires ne sont pas concernés. En novembre 2026, aucune règle ne sanctionne la personne qui paie.

D'autres désignations atteignent en revanche le payeur. Financer une organisation déclarée « indésirable » est un délit au sens de l'article 284.1 partie 2 du Code pénal. En février 2026, Ksenia Belova a été condamnée à un an et demi de colonie de peuplement pour avoir envoyé 150 000 roubles sur la carte bancaire d'une militante du mouvement AllatRa. Le transfert est allé sur la carte personnelle d'un particulier, et le tribunal l'a comptabilisé comme un financement de l'organisation. Elle a déclaré qu'on l'avait trompée sur la destination de l'argent. Le tribunal a considéré cela comme une « tactique de défense ».

Financer une organisation déclarée « extrémiste » est un délit au sens de l'article 282.3. Mediazona a recensé au moins 225 affaires pénales dans 64 régions pour des dons à la FBK au 21 avril 2026, ce qui constitue le dernier décompte complet. Les sommes peuvent être modestes. En octobre 2026, un habitant de Moscou nommé Ainulin a été condamné à trois ans pour avoir fait un don de 2 100 roubles. Le 12 novembre 2026, les procureurs ont requis cinq ans dans l'affaire Leonovich. Parmi les paiements poursuivis figuraient des prélèvements automatiques effectués après l'entrée en vigueur de la désignation, issus d'abonnements que les donateurs disent avoir résiliés ou n'avoir jamais souscrits en connaissance de cause.

Un troisième mécanisme touche le destinataire et bloque le paiement. Le Rosfinmonitoring tient une liste de terroristes et d'extrémistes qui comptait environ 23 000 personnes et 900 organisations en octobre 2026. Les personnes y sont inscrites dès leur mise en accusation, avant toute condamnation. Leurs comptes sont restreints et les banques gèlent leurs fonds. Un virement à une personne inscrite sur la liste n'est pas pénalement réprimé en soi, mais la banque le bloque.

Aucune de ces règles ne concerne les VPN, et aucune affaire ne relie un achat de VPN à l'une d'entre elles. Elles expliquent néanmoins pourquoi un vendeur sous surveillance de l'État est une contrepartie risquée pour l'acheteur. La trace de paiement de l'acheteur figure dans le dossier financier d'une personne sur laquelle l'État enquête, et ce dossier est consulté par des gens qui cherchent d'autres choses. Des désignations peuvent être prononcées après coup, et les affaires de donateurs montrent que des paiements se poursuivant après une désignation ont été poursuivis. Un paiement à une personne inscrite sur la liste est bloqué par la banque, ce qui laisse l'acheteur sans le service. Le registre d'un intermédiaire gris peut aussi changer de mains. Lorsque la banque centrale a retiré sa licence à QIWI Bank en 2024, ses archives ont été transmises aux forces de l'ordre.

Les vendeurs individuels sur les messageries sont un cas à part. Aucune loi ne vise spécifiquement l'achat d'un VPN auprès d'un tel vendeur. Le risque décrit est la fraude et le chantage, y compris des menaces invoquant un « article du code pénal ». Les sources à l'appui sont minces et se limitent à des pages de questions-réponses d'avocats.

Des bases de données fuitées ou copiées peuvent-elles relier un VPN à vous ?

Les registres bancaires sont un type de dossier. Les listes de clients, les registres d'inscrits et les tables de clients en sont un autre, et ils parviennent à l'État par deux voies. L'une est une fuite. L'autre, depuis le 1er avril 2026, est une copie légale.

Sur les fuites, la situation juridique est claire. À la date de novembre 2026, aucune loi n'autorise la police russe à utiliser des bases de données fuitées pour identifier des personnes ou comme preuve. Aucun texte de loi, décret, décision de la Cour suprême ou projet de loi de la Douma publié ne l'autorise.

La pratique est plus ancienne que toute loi récente. Le 17 août 2021, la police s'est rendue au domicile de Moscovites dont les adresses figuraient dans des bases fuitées d'inscrits au Vote Intelligent et de partisans de Navalny, selon OVD-Info. En février 2025, dans l'affaire d'un retraité poursuivi pour 3 500 roubles donnés à la FBK, la liste fuitée du Vote Intelligent aurait servi à le retrouver, les documents de paiement constituant la preuve principale. Ce reportage repose sur le récit d'un seul média. En septembre 2025, Mediazona écrivait dans sa couverture de l'affaire Dmitry Regush que les forces de sécurité utilisent ces fuites comme preuves complémentaires. C'est l'interprétation de Mediazona concernant des affaires similaires, pas une constatation judiciaire. Tout cela relève du compte rendu de pratiques. Aucun de ces éléments ne constitue une autorisation légale.

La loi sur les fuites a évolué dans le sens inverse. Depuis le 11 décembre 2024, l'article 272.1 du Code pénal érige en infraction le fait d'utiliser, de transmettre, de collecter ou de stocker des données personnelles obtenues illégalement. La peine peut atteindre quatre ans, et jusqu'à dix ans en cas de circonstances aggravantes. Cet article a été appliqué à des revendeurs de bases de données. En juillet 2025, un tribunal de Moscou a placé sept personnes en détention ou en assignation à résidence dans une affaire de trafic de bases de données, parmi elles des présumés employés du centre de données du ministère de l'Intérieur. On ne sait pas si les notes de cet article disent quoi que ce soit sur leur utilisation par les enquêteurs eux-mêmes.

Le nouveau pouvoir concerne les bases de données légitimes, et il est plus large que tout ce qui a été dit sur les fuites. Depuis le 1er avril 2026, les organes du FSB peuvent obtenir des copies des bases de données de toute organisation en Russie, ou de parties de celles-ci, sans frais et sans décision de justice. La demande doit émaner du directeur du FSB, de ses adjoints ou du responsable d'un bureau régional du FSB, et la base de données doit contenir des informations dont le service a besoin pour ses missions. L'amendement a été adopté par la Douma le 16 décembre 2025 et est entré en vigueur le 1er avril 2026. Les copies doivent être détruites une fois l'objectif de leur obtention atteint. Selon le média Agentstvo, aucun mécanisme n'existe pour vérifier que cette suppression a lieu. Avant cela, l'accès aux bases de données d'une organisation exigeait généralement une décision de justice, hors régimes sectoriels tels que le SORM. Aucun reportage ne documente l'utilisation de ce pouvoir pour identifier des utilisateurs de VPN.

Une base de données copiée a son importance même lorsque les noms sont retirés ou lorsqu'elle ne contient que des fragments, et les recherches sur la réidentification concordent sur la raison. En 2008, Narayanan et Shmatikov ont pris le jeu de données « anonymisé » du Netflix Prize de notes de films et ont réidentifié des utilisateurs en le croisant avec les notes publiques d'IMDb. En 2015, une étude publiée dans Science a examiné trois mois de transactions par carte de 1,1 million de personnes et a constaté que quatre transactions avec seulement des informations grossières sur le lieu et la date réidentifiaient 90 pour cent des individus. Connaître les montants rendait l'identification encore plus facile. Cette conclusion vaut pour tout grand jeu de données de transactions. Retirer les noms ne rend pas une carte anonyme.

Le schéma est le même dans tous les cas. Un jeu de données plus une source d'identité réidentifient des personnes. La liste de clients d'un revendeur russe, le registre d'un agent de paiement, la table de clients d'un fournisseur d'hébergement cloud et une liste d'inscrits fuitée sont tous des jeux de données. Les registres bancaires, qui relient chaque payeur à un passeport, sont la source d'identité.

Pourquoi les VPN qui passent par la liste blanche russe comportent-ils leur propre risque ?

Le pouvoir accordé sur les bases de données s'applique aux organisations situées en Russie. Depuis 2025, certains montages VPN en viennent à dépendre précisément de telles organisations, et la raison tient aux coupures mobiles.

Les coupures massives régionales d'internet mobile ont commencé en mai 2025, officiellement comme mesure contre les drones. Le 8 juillet 2025, des utilisateurs de 77 régions ont signalé des coupures en une seule journée, et au moins 2 099 coupures ont été dénombrées ce mois-là. Le projet de surveillance Na Svyazi a constaté qu'en 2026, les 83 régions de Russie reconnues à l'international avaient toutes connu au moins une coupure. Le trafic de données mobiles a chuté de 22 pour cent sur un an au premier semestre 2026, et dans les régions les plus touchées, dont celle d'Ivanovo, il était en baisse de plus de 40 pour cent.

Ce qui reste accessible pendant une coupure, c'est la liste blanche, un registre de services nationaux approuvés que le ministère du numérique a publié pour la première fois en septembre 2025 avec quelques dizaines d'entrées. Elle a dépassé 500 entrées en avril 2026. Son noyau annoncé se compose des portails gouvernementaux, des services VK et Yandex, du système de paiement Mir, des grandes banques et des places de marché. Le mode liste blanche inverse la censure : au lieu d'une liste de ce qui est interdit, c'est une liste de ce qui est autorisé, de sorte que tout ce qui est nouveau, étranger ou non approuvé est bloqué par défaut. L'aspect physique de ce dispositif fait l'objet de notre article sur les frappes contre les centres de données de Sber et VK et la liste blanche.

Certains montages VPN sont restés accessibles dans ce mode en acheminant le trafic via une infrastructure elle-même inscrite sur la liste blanche, par exemple des serveurs loués dans des clouds russes. La preuve la plus nette que la pratique était répandue est que l'État y a répondu à trois reprises en 2026.

Aucune quatrième salve officielle n'a été confirmée depuis le 31 août. Des vagues de blocages ont été signalées en septembre et en novembre 2026, et leur attribution reste incertaine. Notre compte rendu de la vague de blocages de septembre 2026 détaille ce que l'on sait.

Chacune de ces salves a interrompu du jour au lendemain des connexions qui fonctionnaient, si bien que la disponibilité est un premier problème avec de tels chemins. Le problème le plus important est juridique. Passer par une plateforme russe inscrite sur la liste blanche place une entité juridique russe sur le chemin du trafic, et le droit russe est explicite sur ce qu'une telle entité doit faire.

La colonne de droite ne signifie pas qu'un chemin quelconque soit sûr. L'opérateur russe de l'utilisateur lui-même conserve les métadonnées de connexion pendant un an selon les mêmes règles. La comparaison montre seulement où se situe une entreprise que l'on peut contraindre.

Les entreprises de la colonne de gauche ont un historique. Une étude de Novaya Gazeta Europe a dénombré plus de 30 000 affaires liées à des publications et des mèmes sur l'ensemble des plateformes, VK étant à l'origine d'environ 80 pour cent des affaires administratives et d'environ 46 pour cent des affaires pénales. Les transmissions documentées ont inclus l'historique complet de connexions d'un prévenu par adresse IP. Yandex a déclaré 77 979 demandes de données gouvernementales en 2024 et en a satisfait 74 pour cent. En avril 2026, le cloud de Yandex a inscrit le blocage de clients dicté par l'État dans son contrat standard. Depuis le 1er avril 2026, le pouvoir du FSB de copier des bases de données sans décision de justice s'applique à chacune de ces organisations.

Qu'est-ce qui pourrait changer ensuite ?

Quatre mesures sont en attente en novembre 2026, et aucune d'entre elles n'est votée.

La proposition Bastrykin de juillet 2026 ajouterait une seconde circonstance aggravante, plus large, couvrant l'IA, les VPN et les proxys. Aucun numéro de projet de loi n'a été publié à la Douma. Si un texte apparaît, sa formulation montrera si la clause « f » existante est élargie ou dupliquée.

Le paquet « Antifraud 3.0 » est un projet du ministère du numérique dont la période de consultation publique a couru jusqu'au 15 octobre 2026. Comme rapporté par CNews, il interdirait aux propriétaires de services VPN l'hébergement en Russie, possiblement à partir du 1er mars 2028. Cela frapperait les fournisseurs ainsi que les relais russes dont dépend le routage par liste blanche.

Les premières règles formelles d'admission à la liste blanche ont été rédigées en octobre 2026. CNews rapportait le 5 octobre que la date d'entrée en vigueur est inconnue. D'ici là, l'admission et le retrait restent informels.

La quatrième concerne les paiements. Aucune interdiction de payer un VPN avec une carte russe n'a été adoptée, et la demande du FSB visant un accès à distance aux systèmes bancaires, telle que rapportée, se situe à l'horizon 2027 sans texte public.

Que cela signifie-t-il pour un utilisateur de VPN en Russie ?

Le socle est resté inchangé malgré deux années de nouvelle législation. Utiliser un VPN en Russie n'est pas une infraction, en payer un n'est pas une infraction, et aucune poursuite liée au paiement d'un VPN n'est documentée.

Les règles autour de ce socle ont changé trois fois depuis septembre 2025. Depuis le 1er septembre 2025, un VPN peut alourdir toute peine pénale, et un témoignage d'octobre 2026 indique que les enquêteurs le mentionnent lorsqu'ils demandent un placement en détention. Depuis le 1er avril 2026, le FSB peut copier la base de données de n'importe quelle organisation russe sans décision de justice. Depuis le 1er septembre 2026, le flux des paiements est lu de manière centralisée et sans notification au client. Chacune de ces règles porte sur des enregistrements ou sur le contexte. Aucune ne concerne l'usage d'un VPN en soi.

C'est pourquoi la contrepartie compte autant que l'outil. Chaque entité russe de la chaîne, qu'elle encaisse le paiement, héberge le relais ou revende l'abonnement, est un lieu où un enregistrement concernant l'utilisateur est conservé en vertu du droit russe. Un vendeur faisant l'objet d'une enquête ou d'une désignation ajoute son propre dossier au tableau. Les affaires de donateurs montrent que la pratique russe relit d'anciens enregistrements au regard de nouvelles désignations, de sorte que rien ne garantit qu'un enregistrement fait légalement en 2026 sera relu selon les règles de 2026.

Pour une personne en Russie, l'exposition fin 2026 est donc rarement la connexion elle-même. Elle réside dans l'enregistrement accumulé de qui a été payé, par l'intermédiaire de quelle société russe, et de ce à quoi cet enregistrement est associé si une affaire de quelque nature que ce soit est un jour ouverte.

Nous mettrons cette page à jour dès que l'une des mesures en attente évoluera, si un cas documenté de répression fondée sur les paiements visant des acheteurs de VPN apparaît, ou si les tribunaux commencent à appliquer le point « f » en dehors des affaires de drogue. La page pays Russie regroupe nos autres articles sur le sujet.