Surveillance du dark web : comment ça marche, et pour qui
c'est utile

Un lundi matin, un post apparaît sur un forum russophone d'accès semi-privé. Le vendeur propose un lot : 4 200 couples e-mail / mot de passe, tous rattachés au domaine d'une PME industrielle française, avec une capture qui montre un login réussi sur son webmail. Prix demandé : 800 dollars en crypto. Le post reste en ligne trois semaines. Personne, chez la PME, ne le voit passer. Ce n'est qu'après le chiffrement de deux serveurs, un mois plus tard, que l'équipe IT remonte le fil et comprend que l'accès initial venait de là. La surveillance dark web sert précisément à raccourcir ce délai : voir la vente pendant qu'elle est encore une vente, pas une fois que c'est devenu une intrusion.

Le sujet est à la mode, et comme tout sujet à la mode, il traîne son lot de promesses gonflées. On vous vend un tableau de bord rouge et noir qui "scanne le dark web" et vous rassure d'un badge vert. La réalité est plus nuancée. Ce qui suit décrit ce que la surveillance dark web regarde pour une organisation, comment elle fonctionne techniquement, et où sont ses limites : un outil dont on connaît les angles morts vaut mieux qu'un outil qu'on croit omniscient.

Ce que la surveillance dark web regarde vraiment

"Surveiller le dark web" ne veut rien dire tant qu'on n'a pas dit quoi on surveille. Pour une organisation, un service de dark web monitoring se concentre sur cinq familles de signaux, et il faut les distinguer parce qu'elles n'ont ni la même valeur ni le même taux de faux positifs.

• Les identifiants d'employés qui ressortent dans des fuites publiques et des dumps de bases. C'est le cas le plus fréquent : une adresse pro (prenom.nom@votreboite.fr) qui apparaît, souvent avec un mot de passe, parce que la personne l'a réutilisée sur un site tiers qui s'est fait piller.
• Les fuites de bases de données entières mises en vente ou diffusées gratuitement. Là, ce n'est plus un compte isolé mais tout un jeu de données clients, RH ou techniques qui circule.
• Les combolists, ces immenses fichiers d'agrégation de couples login / mot de passe issus de dizaines de fuites, recompilés et rejoués en masse par les attaquants pour du credential stuffing. Une même adresse peut y figurer vingt fois.
• Les logs d'infostealers, sans doute la source la plus dangereuse aujourd'hui. Un malware voleur (RedLine, Vidar, Lumma et consorts) infecte le poste d'un salarié ou d'un prestataire et exfiltre tout : mots de passe enregistrés dans le navigateur, cookies de session, tokens, jusqu'aux accès VPN. Ces logs se vendent au détail, et un cookie de session valide court-circuite parfois même le second facteur.
• Les mentions de votre marque et de votre domaine sur les forums et les canaux : un acteur qui demande "quelqu'un a un accès chez tel groupe ?", un courtier en accès qui revend une entrée, une revendication de ransomware. Signal plus qualitatif, mais précieux quand il tombe tôt.

La hiérarchie de gravité n'est pas linéaire. Un vieux mot de passe déjà changé qui traîne dans une combolist de 2019 ne mérite qu'un haussement de sourcils. Un log d'infostealer daté de la semaine dernière avec un cookie de session sur votre VPN, lui, mérite qu'on décroche le téléphone. Un bon service ne se contente pas de vous dire "on a trouvé quelque chose", il vous dit à quel point c'est chaud, et pourquoi.

Comment ça marche, techniquement

Sous le capot, un service de dark web monitor fait deux choses très différentes qu'on a tendance à confondre : il collecte de la donnée brute sur des sources difficiles d'accès, puis il corrèle cette masse à votre périmètre pour n'en garder que ce qui vous concerne. La collecte, c'est le gros muscle ; la corrélation, c'est le cerveau, et c'est là que se joue la qualité de l'alerte.

La collecte, source par source

Il n'y a pas de "moteur de recherche du dark web" qui indexerait tout proprement. La collecte est un patchwork de méthodes, chacune avec ses contraintes :

• Les forums et les marketplaces (sur Tor ou en clair) sont crawlés par des robots qui doivent parfois s'enregistrer, résoudre des captchas, entretenir des comptes avec une réputation, voire payer un droit d'entrée. Beaucoup de ces espaces sont éphémères : un market tombe, un autre monte, un forum se ferme sur saisie policière.
• Les paste sites (Pastebin et ses innombrables clones) où l'on balance des extraits de fuites en clair, souvent pour la vitrine avant une vente. Faciles à surveiller, mais très bruyants.
• Telegram est devenu, ces dernières années, le vrai centre de gravité de la diffusion de fuites et de logs. Des milliers de canaux publient des échantillons, revendent des logs d'infostealers à l'unité, alimentent des bots automatisés. Suivre Telegram demande de rejoindre en continu de nouveaux canaux et d'ingérer un flux énorme.
• Les dumps déjà agrégés (bases connues, corpus de combolists) que l'on ré-indexe pour pouvoir y chercher un domaine instantanément, plutôt que de recrawler à chaque requête.

La corrélation, ou pourquoi votre domaine est la clé

Collecter dix téraoctets de fuites ne sert à rien si on ne sait pas lesquelles vous concernent. C'est tout l'enjeu de la corrélation : rattacher la donnée brute à des sélecteurs qui vous identifient. Le plus robuste, de loin, c'est votre domaine (et ses variantes) parce qu'il apparaît dans les adresses e-mail de vos employés. À partir de là, on peut aussi pivoter sur les noms de la marque, des plages d'IP, des adresses spécifiques. C'est cette étape qui transforme un océan de bruit en une poignée d'alertes exploitables.

Notez l'étage de qualification, celui qu'on escamote le plus souvent. Sans lui, vous recevez une alerte par ligne de combolist et vous finissez par toutes les ignorer, ce qui est pire que pas d'alerte du tout. Une alerte de surveillance a de la valeur seulement si elle arrive triée, datée et accompagnée d'une action claire.

Les limites, honnêtement

C'est la section que les fiches commerciales oublient, et c'est pourtant celle qui vous évitera de vous croire à l'abri. La surveillance dark web est utile, mais elle n'est ni exhaustive ni magique. Quatre limites, à garder en tête en permanence.

La première limite est la plus dérangeante : on ne voit pas tout, et de loin. Les accès les plus juteux ne finissent jamais sur un forum public ; ils se négocient entre courtiers en accès et opérateurs de ransomware, dans des canaux privés où aucun crawler n'entre. Ce que la surveillance capte, c'est ce qui a été rendu visible, volontairement (une vitrine de vente) ou par négligence. Une absence d'alerte ne prouve donc jamais une absence d'exposition. C'est une nuance que tout RSSI honnête doit poser devant sa direction.

La deuxième, c'est le bruit. Une même adresse peut apparaître dans quinze combolists, dont quatorze sont des recyclages de la même vieille fuite. Un service mal calibré vous notifie quinze fois, vous perdez confiance, vous coupez les notifications, et le jour où l'alerte vraiment grave tombe, elle finit dans le même dossier ignoré. Le tri n'est pas un luxe, c'est la condition pour que l'outil reste utilisable dans la durée.

Viennent ensuite les faux positifs. Les données vendues sur ces marchés ne sont pas garanties d'origine : un lot peut être gonflé de lignes inventées, mélanger plusieurs sources, ou attribuer à votre domaine des comptes qui n'ont jamais existé chez vous. Et il y a l'accès réellement privé, quatrième limite, qui recoupe la première : tout ce qui se joue en un contre un, sur une messagerie chiffrée, dans un club sur invitation, n'émet aucun signal. La surveillance éclaire une pièce ; il reste des pièces sans fenêtre.

Surveillance continue ou recherche ponctuelle : ne pas confondre

Beaucoup d'organisations croient "faire de la surveillance" alors qu'elles font une recherche ponctuelle. La différence est fondamentale. Taper son domaine une fois dans un outil, un jour donné, vous donne une photo à l'instant T. Or les fuites arrivent à des dates que vous ne choisissez pas : un log d'infostealer peut apparaître le lendemain de votre vérification, et vous ne le saurez qu'à votre prochaine recherche manuelle, dans six mois, si vous y repensez.

Une vraie surveillance continue, c'est un flux : les sources sont réingérées en permanence, votre domaine est comparé à chaque nouveau lot, et vous êtes alerté quand quelque chose de nouveau tombe, pas quand vous pensez à demander. Le renseignement sur les menaces se périme vite : la fenêtre entre l'apparition d'un identifiant et son exploitation se compte souvent en jours, parfois en heures pour un cookie de session frais. Une photo annuelle ne protège de rien dans cette temporalité. C'est du continu ou ce n'est pas de la surveillance.

Pourquoi ça n'a de sens que branché à votre surface d'attaque

C'est la raison pour laquelle nous ne vendons pas la surveillance dark web comme un gadget isolé. Une alerte "l'adresse j.martin@votreboite.fr est en fuite" ne vaut pleinement que si vous savez, dans la foulée, ce que cette personne peut ouvrir chez vous : a-t-elle un accès VPN ? Un compte sur le webmail exposé que votre module de détection de fuites et de secrets a justement cartographié ? Le renseignement sur la fuite et la connaissance de la surface d'attaque sont deux moitiés de la même réponse.

C'est pour ça que la surveillance vit, chez nous, à l'intérieur de l'EASM. On part de votre domaine racine, on découvre tout ce qui vous est rattaché (sous-domaines, services exposés, comptes), et c'est ce même périmètre cartographié qui sert de grille de corrélation pour les fuites. Une adresse en fuite se pose alors sur un actif réel et daté, pas dans le vide. Le sujet des identifiants volés rejoint ici directement celui des fuites de secrets et de credentials exposés, dont la surveillance dark web n'est qu'un canal de détection parmi d'autres.

Cette logique de "partir de vous et remonter ce qui circule" a une conséquence pratique : elle traite en priorité les cas les plus courants et les plus rentables pour un attaquant, à savoir les mots de passe compromis réutilisés d'un service perso vers un accès pro. Si le sujet plus général du dark web et de son fonctionnement vous intéresse au-delà de la seule surveillance d'entreprise, on l'a traité à part ; ici, l'angle reste résolument défensif et rattaché à votre périmètre.

À retenir

• La surveillance dark web traque cinq familles de signaux : identifiants d'employés, fuites de bases, combolists, logs d'infostealers (les plus dangereux), et mentions de votre marque.
• Techniquement, elle fait deux choses distinctes : collecter largement (forums, paste sites, Telegram, dumps agrégés) et corréler à votre domaine pour ne garder que ce qui vous concerne.
• Ses limites sont structurelles : on ne voit pas tout (l'accès privé échappe), il y a beaucoup de bruit et des faux positifs. Une absence d'alerte ne prouve pas une absence d'exposition.
• Une surveillance continue (un flux qui vous alerte quand une fuite tombe) n'a rien à voir avec une recherche ponctuelle : le renseignement se périme en jours, pas en mois.
• Elle ne prend tout son sens que branchée à votre surface d'attaque : une adresse en fuite doit se poser sur un actif réel pour qu'on sache quoi elle ouvre, et donc quoi faire.

Reste à savoir si des identifiants de votre organisation circulent déjà, et sur quels accès ils ouvrent. C'est la question que traite notre module Leaks & Secrets, rattaché à votre périmètre réel : il répond à ça en continu. Et si vous préférez exposer votre cas à quelqu'un, la page contact est là pour ça.