Comment aller sur le dark web (et ce qu'on y
trouve vraiment)

Dans l'imaginaire collectif, le dark web est une salle des marchés du crime : fond noir, cascade de caractères verts, un curseur qui clignote, et à trois clics de là de quoi commander n'importe quoi. La réalité est à la fois plus banale et plus intéressante. Le dark web n'est pas un lieu, c'est une manière de router du trafic pour que ni le serveur ni les intermédiaires ne sachent qui parle à qui. Alors, comment aller sur le dark web concrètement, et surtout : qu'y trouve-t-on une fois qu'on y est ? La mécanique d'abord (Tor, le routage en oignon, les adresses .onion), puis ce qui s'y échange, vos identifiants compris.

Cet article est éducatif et défensif. L'objectif est de comprendre comment fonctionne cette couche du web et pourquoi elle concerne directement la sécurité d'une entreprise, pas de vous indiquer où acheter quoi que ce soit.

Surface web, deep web, dark web : trois choses différentes

La première confusion à lever, c'est le vocabulaire. On empile trois notions qu'on prend souvent l'une pour l'autre, alors qu'elles répondent à des définitions très concrètes.

Le surface web, c'est ce que Google indexe : quelques pour cent de l'ensemble. Le deep web, c'est tout le reste du web classique qui n'est simplement pas indexable : votre boîte mail derrière un mot de passe, l'intranet de votre entreprise, une facture accessible par une URL privée, le back-office d'un site. Rien de sulfureux là-dedans, c'est même l'essentiel du web au quotidien. Le dark web, lui, est une sous-partie volontairement cachée : des sites qui ne répondent pas sur l'internet normal et n'existent qu'à travers un réseau d'anonymisation. Confondre deep web et dark web est l'erreur la plus répandue : votre espace client bancaire est du deep web, pas du dark web.

Tor et le routage en oignon : la mécanique

Le dark web dont on parle repose presque entièrement sur Tor (The Onion Router), un réseau maintenu par une organisation à but non lucratif. Son idée fondatrice tient dans une image : l'oignon. Quand vous vous connectez, votre trafic ne va pas droit au serveur. Il traverse au moins trois relais choisis au hasard parmi des milliers, et il est chiffré en couches successives. Chaque relais ne peut peler qu'une couche, celle qui lui dit vers qui relayer ensuite, sans jamais voir ni l'origine ni la destination finale en même temps.

Le point subtil, c'est que l'anonymat est bilatéral. Sur le web normal, vous cachez éventuellement votre IP derrière un VPN, mais le serveur, lui, a une adresse publique connue. Un service .onion ne révèle pas la sienne : le client et le serveur se rejoignent via un point de rendez-vous à l'intérieur du réseau, sans que ni l'un ni l'autre n'ait à exposer où il se trouve physiquement. C'est ce qui rend ces sites difficiles à faire tomber, et c'est aussi pourquoi ils servent autant les journalistes que les escrocs.

Les adresses .onion, et comment on accède au dark web

Un site du dark web n'a pas d'adresse en .com. Il porte un nom en .onion, une longue chaîne de cinquante-six caractères qui n'est pas choisie mais dérivée de la clé cryptographique du service. L'adresse est l'empreinte de sa clé publique, ce qui garantit que vous parlez bien au bon serveur et pas à un imposteur. En pratique, ça ressemble à ça, illisible et non mémorisable :

# une adresse .onion v3 (56 caractères, dérivée d'une clé Ed25519)
p53lf57qovyuvwsc6xnrppyply3vtqm7l6pcobkmyqsiofyeznfu5uqd.onion

# le même service n'a AUCUNE adresse sur l'internet classique :
# impossible de l'atteindre sans passer par Tor

Concrètement, on accède au dark web avec le Tor Browser, un Firefox durci distribué gratuitement par le Tor Project. On le télécharge depuis le site officiel (et uniquement lui : les copies trouvées ailleurs sont un grand classique de la distribution de malware), on l'installe comme n'importe quel navigateur, il se connecte au réseau, et il sait ouvrir les adresses .onion qu'un navigateur normal refuse. Rien de plus technique : la barrière n'est pas la difficulté d'accès, c'est de savoir où aller et de garder la tête froide une fois sur place.

Existe-t-il un moteur de recherche pour le dark web ?

Oui, mais pas au sens où vous l'entendez pour le web classique. Comme les adresses .onion sont opaques et changent souvent (un marché fermé rouvre sous une autre clé), on ne navigue pas de tête. Plusieurs outils jouent le rôle de moteur de recherche du dark web ou d'annuaire : des index qui recensent des services en oignon actifs. Les plus connus historiquement sont Ahmia (qui filtre volontairement les contenus illégaux), Torch, ou encore des annuaires collaboratifs façon wiki. Aucun n'a la couverture ni la fraîcheur d'un moteur classique : beaucoup de liens sont morts, dupliqués, ou pointent vers des clones de phishing qui copient un site légitime pour détourner un paiement.

Autrement dit, chercher sur le dark web tient plus de l'exploration d'archives périmées que de la requête Google instantanée. C'est d'ailleurs un signal important pour la suite : si un outil grand public trouve difficilement les données qui s'y échangent, la surveillance sérieuse d'une exposition d'entreprise ne peut pas reposer sur une recherche manuelle occasionnelle.

Que trouve-t-on vraiment sur le dark web ?

C'est la vraie question, et la réponse honnête est : un peu de tout, dont une grande part parfaitement légale. Le mythe ne retient que la partie sombre, mais l'outil a été pensé, à l'origine, pour protéger des communications.

Les usages légitimes qu'on oublie

Le premier public du dark web, ce sont des gens qui ont de bonnes raisons de ne pas être traçables. Des journalistes et leurs sources échangent via des plateformes de dépôt anonyme (le système SecureDrop, utilisé par plusieurs grands médias, tourne en .onion). Des lanceurs d'alerte y transmettent des documents sans se griller. Des citoyens sous censure contournent le blocage de sites d'information ou de messageries dans des régimes autoritaires. Des grands services comme Wikipédia, le New York Times ou des messageries chiffrées y exposent volontairement une version .onion pour rester joignables. Le réseau est un outil de confidentialité avant d'être un bazar criminel.

Le marché des données volées

C'est la partie qui nous concerne directement, en tant que défenseurs. Le dark web est le principal lieu d'échange des identifiants volés, et c'est là que ce qui a fuité de votre entreprise finit par réapparaître. On y trouve, entre autres :

• Des combolists. D'énormes fichiers de couples e-mail plus mot de passe, agrégés à partir de dizaines de fuites, revendus ou diffusés gratuitement pour se faire une réputation. C'est le carburant des attaques par bourrage d'identifiants : on rejoue vos anciens mots de passe partout.
• Des logs d'infostealers. Le poste d'un employé infecté par un voleur d'informations (Redline, Raccoon et consorts) recrache tout : mots de passe enregistrés dans le navigateur, cookies de session, autofill, portefeuilles. Ces logs se vendent à l'unité et donnent un accès direct, souvent en contournant la double authentification via les cookies volés.
• Des bases de données d'entreprises. Après un piratage, la base exfiltrée (clients, employés, parfois systèmes internes) est mise en vente ou publiée pour faire pression dans une extorsion. C'est la vitrine classique des groupes de rançongiciel.
• Des accès prêts à l'emploi. Des courtiers d'accès initial revendent des points d'entrée déjà validés vers des réseaux d'entreprise : VPN, RDP, comptes admin. L'acheteur n'a plus qu'à entrer.

Le fil rouge, c'est l'identifiant. Un mot de passe compromis dans une brèche grand public, réutilisé sur un compte professionnel, et vous tenez le vecteur d'accès initial le plus courant des incidents. Le dark web est le marché où cet identifiant change de mains.

Les dangers concrets quand on s'y aventure

Puisque l'accès est légal et facile, autant être direct sur ce qui vous attend si vous y allez sans préparation. Trois risques dominent, et aucun n'a besoin que vous fassiez quoi que ce soit d'illégal pour vous mordre.

• Les arnaques. L'anonymat qui protège les honnêtes protège aussi les escrocs. Une part écrasante des marchés sont des pièges : vous payez en cryptomonnaie (irréversible), vous ne recevez rien, et vous n'avez évidemment aucun recours. Les faux annuaires et les clones de sites connus sont partout.
• Les malwares. Tout ce qui se télécharge est suspect par défaut : fausses versions du Tor Browser, exécutables piégés, documents avec macro. Le réseau est un terrain de chasse privilégié pour distribuer les infostealers dont on parlait, ce qui ferme la boucle : on va voir des données volées, on repart infecté, on devient la prochaine fuite.
• La désanonymisation. Tor protège le transport, pas vos erreurs. Se connecter à un compte personnel, activer un plugin, ouvrir un fichier qui appelle l'extérieur hors du tunnel, réutiliser un pseudo : autant de fuites qui relient votre identité réelle à votre session censée être anonyme.

Vos données finissent là : surveiller plutôt que fouiller

Revenons à ce qui compte pour une organisation. Vous n'avez pas besoin d'aller vous-même sur le dark web pour être concerné par le dark web. Le vrai enjeu n'est pas de savoir naviguer dans Tor : c'est de savoir, en continu, si vos identifiants, vos fuites de secrets (clés d'API, tokens, credentials) et vos bases de données ont fait surface dans un de ces marchés. Or fouiller à la main, on l'a vu, est peu fiable : liens morts, clones, accès fermés, données noyées dans des téraoctets de combolists périmées.

Pour une seule adresse, un outil comme vérifier si vos identifiants ont fuité via Have I Been Pwned est le bon réflexe, gratuit et immédiat. À l'échelle d'une entreprise, l'affaire n'a plus la même forme : des dizaines de domaines, les comptes de tout le personnel, les accès des prestataires, et des secrets égarés au fil des commits. Ce périmètre-là ne se surveille pas en tapant une adresse dans un formulaire une fois par an.

C'est le rôle d'un module Leaks & Secrets dans une démarche de gestion de la surface d'attaque externe : il piste en continu les identifiants et secrets liés à votre organisation, les rattache aux bons actifs, et remonte une alerte quand une fuite touche un de vos comptes. Vous n'ouvrez jamais Tor ; c'est la surveillance qui vous dit ce qui, de votre périmètre, y est déjà exposé.

À retenir

• Le dark web n'est pas le deep web. Le deep web, c'est le web non indexé et banal (votre webmail, un intranet) ; le dark web en est une fraction minuscule, accessible seulement via un réseau d'anonymisation.
• On y accède via Tor et son routage en oignon : trois relais, un chiffrement en couches, aucun maillon ne connaît à la fois qui vous êtes et ce que vous consultez. Le Tor Browser officiel suffit à ouvrir les adresses .onion.
• Les moteurs de recherche du dark web existent (annuaires, index en oignon) mais restent partiels, périmés et truffés de clones : la recherche manuelle n'est pas fiable.
• On y trouve du légitime (journalisme, lanceurs d'alerte, contournement de censure) et le marché des données volées : combolists, logs d'infostealers, bases d'entreprises, accès revendus.
• Les dangers sont réels même sans rien faire d'illégal : arnaques, malwares, désanonymisation. La bonne posture pour une entreprise n'est pas de fouiller, c'est de surveiller son exposition en continu.

Curieux de savoir ce qui, de votre organisation, circule déjà sur ces marchés sans que vous ayez jamais lancé Tor ? C'est ce que notre module Leaks & Secrets s'en charge, en continu, rattaché à votre périmètre réel. Pour un échange direct avec un pentester, passez par la page contact.