Surveillance du dark web : détecter et neutraliser les menaces cachées

Chaque jour, des criminels achètent et vendent des identifiants, des fichiers clients et des outils d’attaque prêts à l’emploi dans des recoins d’internet que la plupart des entreprises ne vérifient jamais. Une seule annonce mentionnant votre entreprise peut révéler une fuite de données, ou une attaque en préparation. La moitié de ces victimes de ransomware présentaient ce signal d’alerte dans les 95 jours précédant l’attaque. La surveillance du dark web transforme ce délai en temps pour agir en premier.

Ce guide explique ce qu’est le dark web, où apparaissent les menaces visant les entreprises, comment la surveillance du dark web les détecte et que faire lorsque vous en trouvez une. Chaque section renvoie vers un article approfondi si vous souhaitez aller plus loin. Si vous préférez voir tout de suite votre propre exposition, demandez une démo Digital Risk Protection et découvrez ce que les experts d’EBRAND peuvent mettre au jour pour votre marque.

Qu’est-ce que le dark web ?

Le dark web est une partie d’internet que les moteurs de recherche n’indexent pas et à laquelle on ne peut accéder qu’avec un logiciel spécial, comme le navigateur Tor. Il cache à la fois les sites et leurs utilisateurs, ce qui en fait un aimant pour le commerce illégal.

On confond souvent trois couches d’internet, il est donc utile de bien les distinguer :

Couche	Ce que c’est	Exemple
Web de surface	Pages publiques indexées par les moteurs de recherche	Sites d’entreprise, sites d’actualité, blogs publics
Deep web	Contenu que les moteurs de recherche n’indexent pas, généralement protégé par un identifiant	Banque en ligne, boîtes mail, outils internes d’entreprise
Dark web	Sites cachés qui nécessitent un logiciel spécial et préservent l’anonymat des utilisateurs	Forums et marketplaces .onion

Le deep web est en grande partie inoffensif. Il englobe simplement tout ce qui se trouve derrière un mot de passe. Le dark web n’en représente qu’une petite partie, et ses créateurs l’ont conçu pour garantir l’anonymat.

Les criminels ne se limitent toutefois pas au dark web. Les données volées et les outils d’attaque circulent aussi dans des espaces de l’internet ouvert difficiles à surveiller, comme les sites de paste et les canaux de messagerie chiffrés. Une surveillance du dark web efficace couvre l’ensemble de ces espaces. Si vous souhaitez voir de plus près comment cela fonctionne en pratique, notre livre blanc gratuit sur la protection contre les menaces du dark web vous guide étape par étape.

Les autorités démantèlent régulièrement les lieux où les criminels échangent des données volées. En mars 2026, Europol a coordonné une opération qui a fermé LeakBase, un forum anglophone comptant plus de 142 000 utilisateurs inscrits. Le forum était spécialisé dans les bases de données divulguées et les stealer logs, des archives d’identifiants collectés par des malwares de type infostealer. LeakBase fonctionnait sur le web ouvert, et non sur Tor, ce qui montre à quel point ce commerce dépasse le seul dark web. Les démantèlements perturbent ce commerce, mais les données volées et les accès continuent de circuler par d’autres canaux. La menace ne disparaît pas quand un site disparaît.

Où les données volées des entreprises sont-elles vendues ?

Les données volées des entreprises sont vendues et partagées sur trois types de canaux : les forums et les marketplaces, les sites de paste et les applications de messagerie chiffrée. Les forums accueillent les transactions les plus importantes, les sites de paste diffusent les fuites le plus rapidement et les applications de messagerie concentrent une part croissante de ce commerce. Chaque canal fonctionne différemment, et chacun nécessite donc sa propre approche de surveillance.

Forums et marketplaces du dark web

Les forums offrent aux criminels un lieu pour se rencontrer, faire des affaires et partager leur savoir-faire. Les marketplaces fonctionnent comme des boutiques en ligne cachées qui vendent des données volées, des outils de piratage et des services. Beaucoup exigent une invitation ou un score de réputation avant que les nouveaux membres puissent voir le contenu le plus précieux. Cette barrière les rend difficiles à surveiller sans accès spécialisé.

La confiance sur ces plateformes repose sur la réputation. Les vendeurs accumulent des notes et des avis au fil du temps, et de nombreuses transactions passent par un service de séquestre géré par le forum. Lorsque la police ferme un forum, ses membres se regroupent souvent sur un site qui prend le relais, parfois sous les mêmes pseudonymes, si bien que la surveillance doit suivre les personnes et leurs alias, et pas seulement les sites. Notre livre blanc sur la protection contre les menaces du dark web explique comment fonctionnent ces communautés, et vous pouvez le télécharger gratuitement.

Sites de paste

Les sites de paste permettent à n’importe qui de publier du texte brut de manière anonyme, souvent sans compte. Les criminels s’en servent pour déverser des identifiants volés, divulguer du code source ou partager des échantillons d’un jeu de données plus large afin de prouver qu’il est authentique. Les publications peuvent disparaître en quelques heures, la rapidité de détection est donc cruciale.

Toutes les fuites sur les sites de paste ne sont pas le fait de criminels. Il arrive que des employés collent du code ou des fichiers de configuration pour les partager avec un collègue, sans remarquer qu’ils contiennent des mots de passe ou des clés API. Des bots aspirent en permanence les nouveaux pastes publics, si bien qu’une clé exposée de cette manière peut être trouvée et testée bien avant que quiconque ne la supprime. Pour comprendre comment les données divulguées se propagent d’un paste à l’autre, téléchargez ce même livre blanc, qui retrace tout le parcours.

Canaux de messagerie chiffrée

Une part croissante du commerce de données volées passe désormais par des applications de messagerie chiffrée. Les criminels y utilisent des canaux dédiés dans le prolongement des forums et des marketplaces pour faire de la publicité, vendre et acheter des données et des services. L’Internet Organised Crime Threat Assessment 2025 d’Europol a constaté que les ventes de données piratées se déroulent de plus en plus sur des canaux dédiés de plateformes commerciales de messagerie chiffrée.

L’Office des Nations unies contre la drogue et le crime (ONUDC) est arrivé à une conclusion similaire en 2024. Son rapport sur l’industrie de la cyberfraude en Asie du Sud-Est a analysé des milliers de marketplaces, de groupes et de canaux clandestins sur Telegram. Il a constaté que les plateformes gérées par des réseaux criminels régionaux dominent l’économie illicite de la région, en particulier sur Telegram, où criminels et prestataires de services se rencontrent et font affaire.

Quels types de menaces du dark web ciblent les entreprises ?

Les cinq principaux types de menaces du dark web visant les entreprises sont les identifiants volés, les données clients piratées, les kits de phishing, les accès réseau mis en vente et la planification d’attaques. Les connaître vous aide à décider ce que votre dispositif de surveillance du dark web doit observer et comment votre équipe doit réagir.

Identifiants volés et credential stuffing

L’utilisation abusive d’identifiants intervient à un stade ou à un autre dans 39 % des violations de données, selon le Verizon 2026 Data Breach Investigations Report. L’exploitation de vulnérabilités a désormais dépassé les identifiants volés comme principal point d’entrée, mais les identifiants jouent toujours un rôle majeur. Le problème commence souvent lorsque les identifiants d’employés ou de clients fuitent et que les criminels les vendent ou les partagent en masse.

Les attaquants utilisent ensuite des outils automatisés pour tester ces paires nom d’utilisateur et mot de passe sur de nombreux autres sites. Cette technique s’appelle le credential stuffing. Comme les gens réutilisent leurs mots de passe, une seule fuite peut débloquer des comptes bien au-delà de la violation initiale. Si vous voulez voir comment EBRAND repère les identifiants divulgués avant que les attaquants ne s’en servent, réservez une démo Digital Risk Protection et observez le processus sur vos propres domaines.

Données clients piratées

Les fichiers clients, des adresses e-mail aux données de paiement, figurent parmi les biens les plus échangés sur le dark web. Une annonce qui mentionne votre marque peut signaler une violation que vous n’avez pas encore découverte. Dans ce cas, la découverte sur le dark web devient le point de départ du confinement et de toutes les notifications exigées par la loi.

Les vendeurs publient généralement un échantillon gratuit des fichiers pour prouver que les données sont authentiques, et cet échantillon est souvent le premier indice sur l’origine de la fuite. La rapidité est ici essentielle. En vertu du RGPD, une entreprise dispose généralement de 72 heures après avoir pris connaissance d’une violation de données personnelles pour la notifier à son autorité de contrôle, sauf si cette violation n’est pas susceptible d’engendrer un risque pour quiconque.

Kits de phishing et phishing as a service

Les kits de phishing sont des packs prêts à l’emploi qui copient le site web ou la page de connexion d’une marque. Même des criminels peu qualifiés peuvent les utiliser pour lancer une attaque convaincante. Certains vendeurs vont plus loin et proposent toute la campagne sous forme de service, ce que le secteur appelle le phishing as a service (PhaaS).

En avril 2024, la police a démantelé LabHost, l’une des plus grandes plateformes de PhaaS au monde. Europol y a relié au moins 40 000 domaines de phishing et quelque 10 000 utilisateurs dans le monde. Un kit construit autour de votre marque signale qu’une attaque contre vos clients ou votre personnel se prépare. Pour mieux comprendre comment l’IA générative transforme ces kits, lisez nos articles sur DARCULA 3.0 et sur les kits de phishing polyglottes.

Accès réseau à vendre (initial access brokers)

Les initial access brokers s’introduisent dans les réseaux d’entreprises et revendent cet accès à d’autres groupes, comme les gangs de ransomware. L’Internet Organised Crime Threat Assessment 2025 d’Europol a constaté que ces courtiers annoncent de plus en plus leurs accès sur des plateformes criminelles spécialisées. Les courtiers les plus avancés les échangent généralement en privé. Une offre d’accès à vos systèmes fait partie des découvertes les plus urgentes, car une attaque complète suit souvent.

Ces annonces citent rarement le nom de la victime. Les courtiers la décrivent plutôt par pays, secteur, chiffre d’affaires et type d’accès proposé, comme un compte VPN ou un bureau à distance. Faire le lien entre une annonce et votre propre entreprise demande une analyse, c’est pourquoi les équipes de surveillance comparent ces détails avec ce qu’elles savent de votre activité.

Planification d’attaques

Les criminels utilisent aussi les forums et les canaux pour planifier des attaques, des campagnes de phishing et DDoS aux menaces contre des magasins physiques, des événements ou des dirigeants. Même une brève mention de votre marque, de vos sites ou de vos dirigeants dans ces discussions mérite un examen attentif de la part de vos équipes de sécurité et de protection des dirigeants.

Les signaux d’alerte prennent plusieurs formes : des publications qui mentionnent les dates et les lieux d’événements d’entreprise, des informations personnelles sur des dirigeants partagées ouvertement ou des appels à lancer des attaques DDoS contre le site web d’une entreprise. Chacun d’eux justifie de renforcer la sécurité autour de la cible avant que le projet n’avance. Si votre équipe de direction est exposée à ce type de risque, notre page dédiée Protection des VIP et des cadres explique comment nous vous aidons.

Qu’est-ce que la surveillance du dark web ?

La surveillance du dark web consiste à rechercher en continu, sur les forums criminels, les marketplaces, les sites de paste et les canaux de messagerie, des informations concernant votre entreprise, comme des identifiants divulgués, des fichiers clients, des documents internes ou des projets visant votre marque. Lorsqu’une correspondance apparaît, l’équipe de surveillance vérifie si elle est réelle et évalue sa gravité, puis vous alerte afin que vous puissiez agir avant que les données ne soient utilisées contre vous.

La surveillance ne peut pas supprimer des données du dark web. Une fois les fichiers copiés et vendus, ils peuvent refaire surface n’importe où. Sa valeur réside dans l’alerte : plus tôt vous êtes informé de la fuite d’identifiants, de données clients ou d’une attaque en préparation, plus vite vous pouvez réinitialiser les comptes, prévenir vos clients ou demander un takedown.

Comment fonctionne la surveillance du dark web ?

La surveillance du dark web repose sur une analyse continue, qui suit cinq étapes :

1. Définir ce qu’il faut surveiller

Listez les termes qui identifient votre entreprise : noms de marques et de produits, domaines, domaines de messagerie, noms des dirigeants et noms des principaux projets internes.

2. Couvrir tous les canaux

Surveillez les forums, les marketplaces, les sites de paste, les bases de données de violations et les canaux de messagerie chiffrée. Une lacune dans un canal crée une lacune dans votre visibilité.

3. Automatiser la collecte

Le contenu du dark web change et disparaît rapidement. Des scrapers automatisés accèdent au contenu non indexé et y recherchent vos termes en continu, ce que des vérifications manuelles ne peuvent pas égaler.

4. Valider et prioriser

Toutes les mentions ne signalent pas une menace. Vérifiez chaque découverte et classez-la par urgence, afin que votre équipe traite en priorité les ventes d’accès et les fuites d’identifiants récentes.

5. Relier les découvertes à des actions

Les équipes efficaces attribuent à chaque alerte un responsable et une prochaine étape, comme une réinitialisation de mot de passe, une demande de takedown ou un avertissement aux clients.

La solution Digital Risk Protection d’EBRAND associe la détection sur le dark web par machine learning à la surveillance des risques sur l’ensemble de votre surface d’attaque en ligne. Pour en savoir plus, consultez notre page dédiée à Digital Risk Protection et découvrez tout ce que couvre la plateforme.

Que faire si les données de votre entreprise se trouvent sur le dark web ?

Si les données de votre entreprise se trouvent sur le dark web, la bonne réponse dépend de ce que vous trouvez. Dans le tableau ci-dessous, nous avons associé quelques découvertes typiques aux premières actions appropriées.

Découverte	Premières actions
Identifiants d’employés	Imposer la réinitialisation des mots de passe, vérifier les connexions suspectes et rendre l’authentification multifacteur obligatoire
Données clients	Confirmer l’origine de la fuite, la contenir et évaluer les obligations de notification avec votre équipe juridique
Kit de phishing utilisant votre marque	Avertir le personnel et les clients, surveiller l’apparition de nouveaux domaines similaires et préparer des demandes de takedown
Accès réseau à vendre	Alerter immédiatement votre équipe de sécurité, puis vérifier les accès à distance et les comptes à privilèges
Planification d’attaques	Informer les équipes de sécurité et de protection des dirigeants, puis renforcer la surveillance autour de la cible

Dans tous les cas, consignez la découverte, le responsable et votre réponse. Ce registre vous aide à repérer des tendances, et il montre aux régulateurs et à vos partenaires que vous agissez face aux menaces. Notre livre blanc comprend des fiches pratiques qui facilitent cette tenue de registre, alors téléchargez-les si vous voulez un point de départ prêt à l’emploi.

Conclusion : lancez la surveillance du dark web avant que les attaquants ne frappent

Les identifiants volés, les kits de phishing et les offres d’accès réseau peuvent tous apparaître sur le dark web avant que les criminels ne les utilisent contre une entreprise. Les entreprises qui surveillent le dark web sur tous les canaux, et qui disposent d’un plan clair pour chaque type de découverte, gagnent du temps pour réagir.

Prêt à comprendre votre propre exposition ? Découvrez-en plus dans notre livre blanc gratuit sur la protection contre les menaces du dark web pour construire votre plan, ou demandez une démo Digital Risk Protection pour voir ce que les experts d’EBRAND peuvent trouver pour votre marque.

Sources

1. Verizon (2026). 2026 Data Breach Investigations Report
2. Europol (2026). Major data leak forum dismantled in global action against cybercrime forum
3. Europol (2025). Steal, deal and repeat: How cybercriminals trade and exploit your data (IOCTA 2025)
4. United Nations Office on Drugs and Crime (2024). Transnational Organized Crime and the Convergence of Cyber-Enabled Fraud, Underground Banking and Technological Innovation in Southeast Asia: A Shifting Threat Landscape
5. Europol (2024). International investigation disrupts phishing-as-a-service platform LabHost