819 gendarmes mobilisés, 178 mis en cause et 125,34 téraoctets de données exploités : derrière l’opération nationale menée entre mai et juin 2026 contre d’anciens utilisateurs de Coco, un long travail d’enquête numérique s’est joué. Dans des réponses écrites transmises au Pandore par le SIRPA, l’UNCyber explique comment ses spécialistes et les unités territoriales ont préservé, recoupé et exploité les éléments numériques. Deux ans après la fermeture de la plateforme, 178 dossiers de pédocriminalité ont ainsi été traités.
Le chiffre de 819 militaires mobilisés pour les actions opérationnelles et d’enquête est celui donné au Pandore dans les réponses de l’UNCyber reçues le 8 septembre 2026. Le compte rendu publié par Gendinfo le 8 juillet mentionnait 762 gendarmes.
Tout commence avec la fermeture du site internet « Coco ».
En juin 2024, Coco.fr/.gg est démantelé dans le cadre d’une enquête judiciaire conduite sous l’autorité de la Juridiction nationale de lutte contre la criminalité organisée (JUNALCO) du parquet de Paris. L’UNCyber intervient alors aux côtés de l’Office national antifraude (ONAF), avec l’appui du Commandement du ministère de l’Intérieur dans le cyberespace (COMCYBER-MI). L’opération est internationale : France, Bulgarie, Allemagne, Lituanie, Pays-Bas et Hongrie, avec une coordination assurée par Eurojust.
Le dossier initial porte notamment sur les conditions de fonctionnement de la plateforme, son système de paiement et les soupçons d’infractions liés à son administration. Une information judiciaire est ouverte le 28 juin 2024 par les sections compétentes de la JUNALCO.
Mais, au fil de l’exploitation des données, les enquêteurs découvrent autre chose : derrière les utilisateurs de la plateforme apparaissent des faits susceptibles de relever de la pédocriminalité. C’est là que le dossier change d’échelle.
Les infractions découvertes concernant les utilisateurs sont distinctes de la saisine initiale du juge d’instruction. Elles sont dénoncées au parquet de Paris, qui confie de nouvelles investigations à l’UNCyber. Sa mission : identifier les personnes concernées, documenter les faits et transmettre les procédures aux parquets territorialement compétents.
Le véritable travail commence après la fermeture
Fermer une plateforme ne signifie pas avoir terminé une enquête. Dans ce dossier, le cœur du travail se situe dans l’exploitation de la donnée.
Les spécialistes doivent d’abord préserver les éléments numériques, garantir leur intégrité et établir leur valeur probatoire. Puis vient le travail de tri, de rapprochement et de qualification judiciaire.
Les 125,34 téraoctets représentent le volume global exploité par les différents enquêteurs au cours de cette opération décentralisée. Dans sa réponse au Pandore, l’UNCyber précise que « les 125 téraoctets de données sont le bilan global exploité par les différents enquêteurs ». Les preuves numériques sont traitées localement, avec un appui spécialisé lorsque la difficulté le nécessite. Les investigations, menées en amont et pendant les phases d’interpellation, ont permis de découvrir et d’analyser 185 853 photographies et 23 597 vidéos.
La difficulté n’est donc pas seulement de trouver une image ou une vidéo. Elle consiste à rattacher un élément numérique à un compte, une identité, une conversation, une date, un lieu ou un comportement, puis à transformer cet ensemble en éléments suffisamment documentés pour être exploités dans une procédure judiciaire.
C’est précisément l’un des domaines dans lesquels l’UNCyber apporte sa plus-value : son organisation combine investigation, renseignement, expertise technique et forensique. La Division technique peut notamment intervenir sur l’ensemble du territoire pour appuyer les enquêteurs confrontés à des volumes ou à des problématiques numériques complexes.
De la donnée au dossier judiciaire
Au fil des mois, l’exploitation permet aux enquêteurs d’identifier 178 personnes âgées de 20 à 60 ans, soupçonnées de diffusion ou de partage de contenus à caractère pédocriminel ou d’atteintes sexuelles commises sur des mineurs.
Entre mai et juin 2026, l’UNCyber de l’Unité nationale de police judiciaire planifie et coordonne l’opération. Les unités territoriales disposent d’une période de deux mois pour traiter les objectifs ciblés : il ne s’agit donc pas de 178 interpellations simultanées. Au total, 172 personnes sont placées en garde à vue et six autres mis en cause sont entendus librement.
Cette organisation illustre le rôle particulier de l’UNCyber : elle ne se substitue pas aux unités territoriales. Elle les alimente en dossiers préparés, en éléments numériques et en expertise, tout en assurant la coordination d’une opération dont les ramifications dépassent largement le ressort d’une seule brigade ou d’un seul groupement.
Le maillage CyberGend, la force du relais territorial
Cette capacité nationale repose sur un dispositif qui dépasse largement les 120 personnels de l’UNCyber.
L’Unité nationale cyber est aujourd’hui chargée de coordonner plus de 10 000 cybergendarmes répartis sur l’ensemble du territoire, ainsi que 26 antennes UNC en métropole et outre-mer. Elle constitue l’échelon spécialisé capable de prendre en charge les enquêtes de haut du spectre, tandis que le réseau CyberGend assure son relais territorial.
Cette organisation repose sur une logique de subsidiarité : l’enquête est traitée au niveau territorial lorsqu’elle peut l’être et remonte vers les spécialistes lorsque la complexité technique ou judiciaire le nécessite.
Dans l’affaire Coco, cette architecture prend tout son sens : une opération nationale peut être préparée et coordonnée depuis l’échelon spécialisé, puis mise en œuvre sur la période fixée par des unités implantées au plus près des domiciles des mis en cause.
Préserver la preuve avant de l’exploiter
Dans une enquête numérique, la preuve peut être fragile. Un téléphone peut être effacé, un compte modifié, une donnée déplacée ou un support rendu inutilisable. La préservation intervient donc avant l’exploitation. Les spécialistes doivent conserver les données dans des conditions permettant d’en garantir l’intégrité et la traçabilité, tout en documentant les opérations réalisées. La Gendarmerie a construit depuis plusieurs années une chaîne spécialisée allant des enquêteurs numériques de terrain jusqu’aux spécialistes nationaux. Dans ses réponses, l’UNCyber distingue les cybergendarmes de proximité et les cyberenquêteurs spécialisés, titulaires du Diplôme technique cyber, anciennement désignés NTECH. Ils constituent des relais essentiels pour les saisies, les analyses et la préservation des éléments numériques.
Au niveau national, la Division technique de l’UNCyber apporte ensuite ses capacités d’appui forensique et d’analyse lorsque les opérations dépassent les capacités ordinaires des unités.
Derrière les fichiers, des victimes
L’autre enjeu de ce type de dossier est humain. En effet, les enquêteurs ne travaillent pas seulement sur des fichiers : ils cherchent à identifier des faits et, lorsque les éléments le permettent, les victimes auxquelles ils peuvent être associés.
Cette dimension explique aussi pourquoi l’exploitation de la donnée doit être menée avec méthode. Chaque élément peut contribuer à comprendre un contexte, identifier un utilisateur, établir une chronologie ou rapprocher plusieurs faits.
Le travail de l’UNCyber consiste ainsi à faire le lien entre une trace numérique et une réalité judiciaire, sans perdre de vue les personnes derrière les données.
Un premier bilan judiciaire
Le bilan rendu public par la Gendarmerie le 8 juillet 2026 fait notamment état de sept peines d’emprisonnement ferme, de deux peines avec sursis, de 19 placements en détention provisoire, de 19 placements sous contrôle judiciaire et de 22 convocations devant la justice.
À cette date, la Gendarmerie indiquait que les investigations se poursuivaient. Ce bilan ne constitue donc pas une issue judiciaire définitive pour l’ensemble des 178 dossiers. Les personnes poursuivies demeurent présumées innocentes tant que leur culpabilité n’a pas été définitivement établie.
L’affaire Coco montre ainsi une évolution profonde du travail judiciaire dans le cyberespace : la fermeture d’une plateforme n’est parfois que le début de l’enquête. Le véritable enjeu se situe ensuite dans les données qu’elle laisse derrière elle, dans la capacité à les préserver, à les comprendre et à les transformer en preuves.
Dans cette opération, 178 dossiers de pédocriminalité ont été traités, tandis que le volume global des données exploitées par les différents enquêteurs a atteint 125,34 téraoctets. Derrière ces chiffres demeure un même objectif : établir les responsabilités et identifier les victimes.
De la fermeture de Coco à l’opération nationale
Juin 2024 : fermeture et démantèlement de Coco dans le cadre d’une enquête internationale dirigée sous l’autorité de la JUNALCO du parquet de Paris.
28 juin 2024 : ouverture d’une information judiciaire portant notamment sur l’administration de la plateforme et le blanchiment.
2024-2026 : exploitation progressive des données et identification de faits distincts susceptibles de relever de la pédocriminalité.
Avant l’opération nationale : les faits distincts de la saisine initiale sont dénoncés au parquet de Paris, qui confie de nouvelles investigations à l’UNCyber.
Mai-juin 2026 : opération judiciaire nationale coordonnée par l’UNCyber. Les unités territoriales disposent de deux mois pour traiter 178 dossiers ; 172 gardes à vue et six auditions libres sont réalisées.
Juillet 2026 : la Gendarmerie rend public le bilan de l’opération, qui fait notamment état de 185 853 photographies et de 23 597 vidéos découvertes et analysées.
Article : Marie-Laure Gros. Questions adressées à l’UNCyber : Jérémy Armante. Réponses écrites transmises par le SIRPA Gendarmerie le 8 septembre 2026.
Photographies d’illustration : GN / UNCyber, transmises par le SIRPA. L’intégralité de l’entretien écrit est réservée à l’édition papier du Pandore.
