MacDoc : une fraude aussi simple à fabriquer qu'à détecter

Le démantèlement qui n'a rien arrêté

Sur le papier, l'affaire était close. La justice américaine et le FBI ont annoncé que Yurii Nazarenko, connu en ligne sous le pseudonyme John Wick, avait été inculpé et avait plaidé coupable d'avoir opéré OnlyFake.

Selon le Département de la Justice, le service a produit au moins 10 000 faux documents numériques entre 2021 et 2024 et généré plusieurs centaines de milliers de dollars. Son créateur, extradé de Roumanie en septembre 2025, encourt jusqu'à 15 ans de prison et a accepté de restituer 1,2 million de dollars. Les domaines historiques d'OnlyFake sont inactifs depuis février 2026.

Un démantèlement propre, en apparence. Sauf qu'OnlyFake n'est pas mort. Le même service a rouvert, en quelques semaines, sous le nom de MacDoc, avec un site refait mais un moteur inchangé.

Comment on sait que MacDoc, c'est OnlyFake relooké

La continuité n'est pas une supposition, elle se lit dans les propres traces des opérateurs.

Les mêmes comptes, sur les mêmes forums russophones, ont rebasculé leurs annonces vers les nouveaux domaines. Surtout, ils sont retournés éditer leurs vieilles publicités OnlyFake pour y pointer MacDoc. Or, sur un forum, seul l'auteur d'origine peut modifier ses propres messages : c'est la démonstration, la plus administrative qui soit, que les comptes derrière OnlyFake et ceux derrière MacDoc sont les mêmes. Les canaux Telegram de support n'ont pas changé, et un domaine d'administration historique est resté visuellement identique à OnlyFake jusqu'à sa dernière capture, en septembre 2025.

Le produit, lui aussi, se trahit. Interface, mise en page, listes déroulantes, option hologramme et éditeur de métadonnées sont identiques à ceux d'OnlyFake. Certains liens de contact renvoient encore à des identifiants contenant le mot « onlyfake ». Les domaines MacDoc ont été enregistrés via un service d'anonymisation connu et hébergés derrière Cloudflare. Dans l'équipe Koncile, nous avons retrouvé exactement les mêmes traces logicielles que sur l'ancien service.

Ce qu'on trouve en ouvrant le capot

Contrairement à ce que son marketing laisse entendre, MacDoc n'est pas une « super IA générative ». Le moteur ne crée pas un passeport de zéro, il l'assemble à partir de règles et de bases de données. Il calcule les fenêtres de validité correctes selon le pays et l'année de révision, génère des numéros nationaux structurés selon les formats officiels (codice fiscale italien, MyKad malaisien, CUIT argentin), gère la translittération du cyrillique vers le latin pour la zone MRZ, et pioche dans des bases de noms propres à chaque pays.

Les photos ne sont même pas générées : l'appel interne renvoie une image stockée, un fichier retrouvé sous le nom « JohnWick.png », preuve d'une bibliothèque figée plutôt que d'une création à la demande. Les signatures sont dessinées par simple rendu de police. Les fichiers finaux sont stockés sur des serveurs Amazon S3 et servis via des liens expirants, et la suppression du filigrane, la version payante réellement utilisable, passe par un appel serveur séparé.

Pour un défenseur, c'est le point décisif. Un outil à base de gabarits et de règles produit des documents réguliers, donc des empreintes régulières. Ce qui est reproductible est détectable.

Le vernis « légal » du site

MacDoc soigne son alibi juridique. À chaque génération de document, une fenêtre demande à l'utilisateur de confirmer qu'il n'en fera pas un usage illégal. Cet accusé de réception n'a qu'un but : fabriquer un artefact de déni plausible et reporter la responsabilité pénale sur l'utilisateur, au moment précis de la production.

Le site s'abrite aussi derrière un pseudo cadre légal, en affirmant que sélectionner des gabarits et des contenus ne serait pas interdit. L'argument est court. Dans les faits, l'usage réel, contournement KYC et montage de faux justificatifs, tombe sous le coup de la loi, et un utilisateur français ou américain reste soumis à son propre droit, quel que soit l'hébergement du site.

Qui l'utilise, et pourquoi ça vous concerne

La majorité des usages de ce type d'outil sont frauduleux : ouvrir des comptes sous une fausse identité, franchir une vérification KYC, monter un dossier avec de faux justificatifs. Les récipiendaires de ces documents, entreprises et gestionnaires, sont les victimes réelles.

Chez Koncile, nous avons vu le phénomène arriver jusque dans notre propre chatbot. Des visiteurs, ayant lu trop vite que nous faisons de l'OCR et de la détection de fraude documentaire nous demandaient de modifier l'âge sur leur carte d'identité, à la hausse comme à la baisse. Certains allaient jusqu'à réclamer la création d'un faux de toutes pièces pour s'attribuer une nationalité. Le signal est clair : la demande de faux documents est devenue banale, et elle atterrit sur le bureau des organisations qui reçoivent ces pièces.

Pourquoi ces faux passent les contrôles classiques

Un document produit par MacDoc est propre en surface : il est beau, il se lit correctement, sa MRZ est bien formée, son numéro national a la bonne structure. C'est justement pour ça qu'il franchit les contrôles basiques. La plupart des outils de détection s'appuient d'abord sur l'analyse visuelle et sur la lecture des métadonnées du fichier, comme le logiciel de création ou la date de modification.

Le problème, c'est que ces signaux ne suffisent pas, et MacDoc le sait : l'outil intègre carrément un éditeur de métadonnées pour les maquiller. D'après ce que nous observons sur les bulletins de paie, seuls 30 à 40 % des faux trahissent aussi une anomalie de métadonnées. Autrement dit, la majorité des faux propres passent entre les mailles d'un contrôle qui ne regarderait que le fichier et ses métadonnées.

L'angle de Koncile est différent. Un document généré à partir d'un gabarit reproduit la forme, mais rarement la logique interne et le contexte. C'est là qu'il se trahit. Nous combinons trois technologies.

L'analyse forensique des images. Détection des artefacts de compression, des retouches locales, des zones réécrites, et des patterns d'édition typiques des documents créés par des outils comme MacDoc.

La radiographie des métadonnées. Logiciel de création, horodatages incohérents, couches suspectes, comparaison avec les métadonnées de documents authentiques du même type. C'est le socle, mais nous ne nous y limitons pas, précisément parce que ce signal se maquille.

La détection d'anomalies contextuelles, co-construite avec des experts métier. C'est notre vraie différence. Sur un bulletin de paie, nous recalculons les sommes, nous vérifions la bonne application des taux de cotisation et la cohérence entre le brut et le net. Pour bien falsifier une fiche de paie, il faudrait tout recalculer correctement, partout, ce que les fraudeurs font rarement. Sur une facture, la même logique repère une falsification de facture en recoupant les totaux et les lignes. Entre plusieurs pièces d'un même dossier, nous vérifions que c'est bien la même personne, que les dates concordent, que rien n'est logiquement impossible.

Chaque incohérence détectée alimente un score de fraude de 0 à 1, calculé à partir de plus de 150 points de contrôle. Au-delà d'un seuil, le document est signalé et l'anomalie remonte au bon gestionnaire avec son contexte. C'est cette couche de cohérence logique et réglementaire qui repère un faux « joli mais faux » de MacDoc là où une analyse purement visuelle ou métadonnée le laisserait passer. Nos clients l'activent là où la fraude documentaire coûte le plus cher : la garantie loyers impayés et les dossiers locataires, le crédit à la consommation, l'assurance et l'onboarding KYC.

Les autres générateurs de faux documents à connaître

MacDoc n'est pas seul. L'écosystème des générateurs et template farms compte des dizaines d'acteurs, et il partage la même logique de rebranding permanent. Parmi les noms qui reviennent le plus :

• OnlyFake : le prédécesseur direct de MacDoc, référence historique du secteur avant son démantèlement.
• VerifTools : marketplace de faux documents saisie par le FBI et la police néerlandaise en août 2025, de nouveau en ligne sur un nouveau domaine en moins de 24 heures.
• Doc Juicer : générateur spécialisé notamment dans les fiches de paie.
• Fakedocshop : template farm fonctionnant sur abonnement.

Le point commun de tous ces services : ils vendent de la forme, pas de la cohérence. Et une saisie de domaine ou une arrestation retire une URL ou une personne, jamais le réseau ni la capacité. C'est précisément ce qui les rend détectables par une analyse qui va au-delà des pixels et des métadonnées.

Vos questions sur MacDoc et la fraude documentaire

MacDoc est-il légal ?

Générer un faux document d'identité ou un faux justificatif pour tromper une organisation est illégal dans la quasi-totalité des juridictions. Les opérateurs avancent souvent qu'ils ne créent pas de faux, seulement du contenu, et font « consentir » l'utilisateur à chaque génération. Cela ne change rien à l'usage réel, qui tombe sous le coup de la loi. Le fondateur d'OnlyFake, prédécesseur de MacDoc, a d'ailleurs plaidé coupable devant la justice américaine et encourt jusqu'à 15 ans de prison.

Pourquoi les faux de MacDoc passent-ils les contrôles classiques ?

Parce qu'ils sont propres en surface : rendu visuel réaliste, MRZ valide, numéros bien formés, et métadonnées maquillées par l'outil lui-même. Les contrôles basés uniquement sur l'analyse visuelle ou les métadonnées ne voient rien d'anormal. Ce sont les incohérences logiques et contextuelles, invisibles à ces méthodes, qui les trahissent.

MacDoc utilise-t-il vraiment de l'intelligence artificielle ?

Pas au sens génératif. L'analyse de l'outil montre un moteur à base de règles et de bases de données : gabarits, numéros nationaux structurés, translittération MRZ, photos issues d'une bibliothèque figée. C'est de l'IA d'infrastructure, pas une IA qui invente un passeport. Ce qui, pour un défenseur, est plutôt une bonne nouvelle : un système réglé produit des empreintes régulières et détectables.

Comment Koncile détecte-t-il un document généré par ce type d'outil ?

En combinant analyse forensique des images, radiographie des métadonnées et surtout contrôles de cohérence métier : recalcul des montants, vérification des taux réglementaires, recoupements entre les pièces d'un dossier. Chaque anomalie alimente un score de fraude de 0 à 1 issu de plus de 150 signaux.

Quels documents sont les plus falsifiés ?

Les bulletins de paie, les avis d'imposition, les relevés d'information d'assurance, les relevés bancaires et les pièces d'identité. Ils sont ciblés parce qu'ils servent de justificatifs dans des décisions à enjeu : location, crédit, assurance, onboarding.

La détection de fraude Koncile est-elle disponible en API ?

Oui. La détection fonctionne sur la plateforme comme en API, dans le cadre d'un contrat Enterprise, et embarque l'extraction OCR dans le même flux.

MacDoc, c'est la même chose qu'OnlyFake ?

Oui, dans les faits. MacDoc est la nouvelle marque d'OnlyFake, relancée après le démantèlement du service. Ce sont les mêmes opérateurs, sur les mêmes forums, avec les mêmes canaux Telegram et le même moteur de génération. Seuls le nom de domaine et l'habillage du site ont changé. Le site se présente d'ailleurs lui-même comme la meilleure alternative à OnlyFake.

Qu'est-il arrivé à OnlyFake ?

OnlyFake a été visé par la justice américaine et le FBI. Son créateur, Yurii Nazarenko, a été extradé de Roumanie en septembre 2025, a plaidé coupable et encourt jusqu'à 15 ans de prison. Les domaines historiques d'OnlyFake sont inactifs depuis février 2026. Mais le service n'a pas disparu : il a rouvert sous le nom de MacDoc.

Sources

• Département de la Justice américain (DOJ), communiqué sur l'inculpation et le plaidoyer de culpabilité du créateur d'OnlyFake
• 404 Media, enquête initiale ayant révélé OnlyFake
• Presse spécialisée cybersécurité (The Register, BleepingComputer, The Hacker News) sur la saisie de VerifTools
• Renseignement sur la menace (threat intelligence) consacré aux template farms OnlyFake et MacDoc
• Site officiel MacDoc
• Retours terrain issus de nos échanges clients et de notre propre plateforme