Résumé

Les articles précédents de BTW sur la surface de contact d'abus du groupe Svea ont documenté la scission entre validité enregistrée et responsabilité opérationnelle, posé la question de la durabilité d'une réparation et situé la sanction régulatrice. Celui-ci ajoute la pièce manquante : la mécanique de réparation que la politique du RIPE NCC définit elle-même, et le test concret de conformité qu'elle permet de construire.

Le mécanisme de réparation, tel que la politique le définit

Le document ripe-667 impose au membre d'informer le RIPE NCC d'un transfert de ressources lié à une fusion ou à une dissolution, et répartit la responsabilité : le RIPE NCC met à jour les objets qu'il maintient, le membre ceux qu'il maintient (https://www.ripe.net/publications/docs/ripe-667/). Lorsque la partie transférante n'existe plus, la guidance sur les documents requis exige un document officiel d'une autorité nationale confirmant sa fermeture, accompagné d'un ancien accord de transfert signé ou d'une confirmation par un signataire autorisé (https://www.ripe.net/manage-ips-and-asns/resource-transfers-and-mergers/required-documents-for-registry-updates/). Les règles métier de la base précisent que le changement d'org-name sur un objet organisation maintenu par le RIPE NCC ne peut passer que par une demande du LIR, et qu'un attribut abuse-mailbox ne peut être retiré d'un objet role tant qu'il est référencé comme abuse-c (https://docs.db.ripe.net/Database-Support/Database-Business-Rules). Le document ripe-705 rend l'attribut abuse-c obligatoire pour les aut-num, exige une boîte d'abus accessible sans restriction et annonce une validation au moins annuelle (https://www.ripe.net/publications/docs/ripe-705/) — le changement d'adresse passe par l'édition de l'objet role, non par un renommage (https://www.ripe.net/manage-ips-and-asns/resource-management/abuse-c-information/, https://docs.db.ripe.net/Types-of-Queries/Abuse-Contacts/). Le groupe de travail sur la base a conclu en mai 2024 que l'org-name doit rester le nom juridique du titulaire, toute modification exigeant une preuve officielle (https://www.ripe.net/ripe/mail/archives/db-wg/2024-May/008068.html). Ces textes sont des affirmations institutionnelles du RIPE NCC qui définissent le référentiel, non des constats sur ce cas.

Ce que le registre montre aujourd'hui

Les miroirs tiers montrent l'organisation ORG-SBA155-RIPE (org-name Svea Bank AB, reg-nr 556158-7634, abuse-c SEAR1-RIPE), l'objet personne JE4899-RIPE portant toujours le nom et l'adresse de la société dissoute, et l'adresse personnelle sur le domaine svea.com affichée comme contact d'abus de l'AS211899 (http://whois.ipip.net/AS211899). Les mêmes miroirs se contredisent sur la date de dernière modification de l'objet organisation (2022-12-01 contre 2026-05-13), et aucune confirmation du côté RIPE d'un changement postérieur au 17 décembre 2025 n'a été localisée (https://sitezilla.org/asn/211899). Le bloc 193.105.138.0/24, rattaché à Svea Billing Services AB, affiche un contact d'abus résolvant vers une adresse sur un domaine de Verizon sans explication publique (http://whois.ipip.net/AS211899/193.105.138.0/24). La décision de Finansinspektionen, limitée à la conformité anti-blanchiment, n'impose aucune obligation d'registre (https://fi.se/contentassets/d388bf1d1d1c47a1ac5dff513567510c/sanktionsbeslut-svea-bank-ab.pdf) — mais elle a jugé la coopération de remédiation de la banque « pas plus active qu'on ne pouvait s'y attendre », un précédent de responsabilisation applicable ici par analogie uniquement (https://www.fi.se/en/published/sanctions/financial-firms/2025/svea-bank-receives-a-remark-and-administrative-fine/).

Le test de conformité en quatre points

Une exécution réelle de la réparation se vérifierait : (1) la correction ou le retrait de JE4899-RIPE par la voie côté membre ; (2) un contact d'abus affiché conforme à l'exigence d'abuse-c obligatoire et de boîte validée, plutôt qu'une adresse personnelle ; (3) l'existence de documents de fermeture pour tout transfert impliquant la partie dissoute ; (4) une explication ou correction du contact du bloc 193.105.138.0/24. Aucun de ces quatre points n'est démontré par une source indépendante aujourd'hui (https://docs.db.ripe.net/Database-Support/Clean-up-of-Unreferenced-Data). Les objets non référencés sont éligibles au nettoyage après 90 jours sans référence — mais un role actif référencé reste protégé (https://docs.db.ripe.net/Database-Support/Clean-up-of-Unreferenced-Data).

Le suivi de la requête « Svea » dans la base montre la surface complète (https://apps.db.ripe.net/search/query?searchtext=Svea). La guidance du RIPE NCC décrit le parcours du signaleur, non son fonctionnement (https://www.ripe.net/participate/member-support/lir-basics/abuse-reports). La validité enregistrée n'est pas une preuve d'opération ; c'est exactement le standard que Finansinspektionen a refusé d'appliquer aux déclarations de la banque elle-même.