Surveillance du dark web : ce que 1 041 fuites disent de ce qu'elle
peut voir

Imaginez un lot de couples e-mail et mot de passe, tous rattachés au domaine d'une PME, mis en vente sur un forum avec une capture d'un login réussi sur son webmail. Le post reste en ligne trois semaines, personne ne le voit passer chez la PME, et l'accès initial du ransomware qui suit vient de là. La surveillance dark web sert à raccourcir ce délai : voir la vente pendant qu'elle est encore une vente, pas une fois que c'est devenu une intrusion.

Le sujet traîne son lot de promesses gonflées, et on peut en mesurer une partie. On a analysé les 1 041 fuites du catalogue public Have I Been Pwned, la référence publique la plus connue en la matière, et testé des mots de passe pourtant conformes à une politique classique contre son corpus de mots de passe compromis. Deux résultats cadrent la suite. Une fuite d'organisation n'entre au catalogue qu'4,6 mois après les faits en médiane, et plus d'un an après dans 35,5 % des cas. Et un mot de passe "complexe" construit sur un prénom et une année y figure déjà près d'une fois sur deux. Ce qui suit décrit ce que la surveillance dark web regarde, comment elle fonctionne, et où sont ses angles morts : un outil dont on connaît les limites vaut mieux qu'un outil qu'on croit omniscient.

Ce que la surveillance dark web regarde vraiment

"Surveiller le dark web" ne veut rien dire tant qu'on n'a pas précisé ce qu'on surveille. Pour une organisation, un service de dark web monitoring se concentre sur cinq familles de signaux, et il faut les distinguer parce qu'elles n'ont ni la même valeur ni le même taux de faux positifs.

• Les identifiants d'employés qui ressortent dans des fuites publiques et des dumps de bases. C'est le cas le plus fréquent : une adresse pro ([email protected]) qui apparaît, souvent avec un mot de passe, parce que la personne l'a réutilisée sur un site tiers qui s'est fait piller.
• Les fuites de bases de données entières mises en vente ou diffusées gratuitement. Là, ce n'est plus un compte isolé mais tout un jeu de données clients, RH ou techniques qui circule.
• Les combolists, ces immenses fichiers d'agrégation de couples login / mot de passe issus de dizaines de fuites, recompilés et rejoués en masse par les attaquants pour du credential stuffing, le rejeu de mots de passe volés ailleurs. Une même adresse peut y figurer vingt fois.
• Les logs d'infostealers, sans doute la source la plus dangereuse aujourd'hui. Un malware voleur (RedLine, Vidar, Lumma et consorts) infecte le poste d'un salarié ou d'un prestataire et exfiltre tout : mots de passe enregistrés dans le navigateur, cookies de session, tokens, jusqu'aux accès VPN. Ces logs se vendent au détail, et un cookie de session valide court-circuite parfois même le second facteur.
• Les mentions de votre marque et de votre domaine sur les forums et les canaux : un acteur qui demande "quelqu'un a un accès chez tel groupe ?", un courtier en accès qui revend une entrée, une revendication de ransomware. Signal plus qualitatif, mais précieux quand il tombe tôt.

La hiérarchie de gravité n'est pas linéaire. Un vieux mot de passe déjà changé qui traîne dans une combolist de 2019 ne mérite qu'un haussement de sourcils. Un log d'infostealer daté de la semaine dernière avec un cookie de session sur votre VPN, lui, mérite qu'on décroche le téléphone. Un bon service ne se contente pas de vous dire "on a trouvé quelque chose", il vous dit à quel point c'est chaud, et pourquoi.

Les identifiants compromis restent l'un des tout premiers vecteurs d'accès initial recensés par le rapport Verizon Data Breach Investigations Report, au coude-à-coude avec l'exploitation de vulnérabilités. Surveiller leur apparition, c'est se donner une chance d'agir sur ce vecteur avant qu'il ne serve.

Ce que dit un catalogue de 1 041 fuites : tard, et peu d'infostealers

Une bonne partie de la "surveillance" vendue repose, au moins en partie, sur des fuites déjà agrégées. Le catalogue de Have I Been Pwned est l'un des rares agrégats dont la liste complète est publique, avec pour chaque fuite sa date, sa date d'ajout et les catégories de données exposées. On l'a extrait en entier le 7 octobre 2026.

Le délai a deux bosses. Près d'une fuite sur trois entre au catalogue dans le mois. Plus d'une sur trois n'y arrive qu'après plus d'un an. Pour une organisation, la conséquence est simple : un service qui se contente de comparer votre domaine à un catalogue agrégé vous apprend souvent une fuite des mois après qu'elle a commencé à servir. La valeur d'un prestataire tient à ce qu'il voit avant l'agrégation.

Le second constat porte sur la nature des sources. Sur 1 041 entrées, le catalogue ne compte que 6 lots de logs d'infostealers et 9 entrées liées à des malwares, alors que ces logs sont la source la plus dangereuse décrite plus haut. Ce n'est pas un défaut d'HIBP, qui catalogue surtout des fuites d'organisations ; c'est un rappel que "vérifier son domaine dans une base de fuites" et "surveiller les infostealers" sont deux métiers distincts. Et le volume est trompeur : sur les 17,8 milliards d'enregistrements cumulés, 7,0 milliards viennent de compilations, de combolists et de listes de spam, c'est-à-dire en bonne partie de données déjà vues ailleurs. Une même adresse peut y compter des dizaines de fois.

Ce qu'on trouve quand un mot de passe sort

Un mot de passe exposé n'a de valeur pour l'attaquant que s'il est lisible. Sur 644 fuites d'organisations qui exposent des mots de passe, HIBP en décrit 57,5 % avec au moins une partie en clair, en MD5 ou en SHA-1, dont 13,7 % en clair, et 18,6 % seulement avec bcrypt ou une fonction de dérivation lente. MD5 et SHA-1 sont des fonctions rapides, conçues pour hacher vite : c'est exactement ce qu'on ne veut pas pour un mot de passe, que l'attaquant teste par milliards de candidats.

Ce qui rend ces fuites dangereuses chez vous, c'est la réutilisation, et la politique de mots de passe ne l'empêche pas. On a généré, à partir de listes publiques françaises (prénoms de l'INSEE, communes, noms communs), des mots de passe qui respectent une politique classique : 12 caractères au moins, une majuscule, une minuscule, un chiffre, un caractère spécial. Puis on les a testés contre le corpus Pwned Passwords des mots de passe compromis, en k-anonymat : seuls les cinq premiers caractères de l'empreinte SHA-1 quittent la machine.

Selon le motif retenu, de 13 % à 48 % de ces mots de passe conformes sont déjà dans un corpus de fuite. Le détail compte : un prénom suivi d'une année et d'un point d'exclamation l'est à 60,7 % (142 sur 234), la même base terminée par un dièse à 30,0 %. Le témoin aléatoire, lui, est à zéro, ce qui valide surtout la chaîne de test. La leçon pour la surveillance : un mot de passe conforme mais construit sur un motif humain figure souvent déjà dans les listes que les attaquants rejouent, qu'il ait fui chez vous ou non. Ne surveiller que les fuites de votre domaine ne couvre pas ce risque-là.

La mesure

Catalogue : GET /api/v3/breaches de Have I Been Pwned, endpoint public sans clé, appelé le 7 octobre 2026, 1 041 entrées dont 999 marquées vérifiées. Les délais et les formats portent sur les fuites d'organisations, après retrait des listes de spam, des fuites signalées fabriquées, des logs d'infostealers et des compilations dont la date est celle de l'assemblage. Mots de passe : corpus figé avant toute requête (graine fixe, régénéré à l'identique hors ligne), puis 6 254 empreintes interrogées par préfixe avec l'en-tête Add-Padding, qui brouille la taille des réponses. Une contre-expertise a recompté les 6 254 réponses brutes et retiré deux motifs qui ne tenaient pas.

Comment ça marche, techniquement

Sous le capot, un service de dark web monitor fait deux choses très différentes qu'on a tendance à confondre : il collecte de la donnée brute sur des sources difficiles d'accès, puis il corrèle cette masse à votre périmètre pour n'en garder que ce qui vous concerne. C'est à la corrélation que se joue la qualité de l'alerte.

La collecte, source par source

Il n'y a pas de "moteur de recherche du dark web" qui indexerait tout proprement. La collecte est un patchwork de méthodes, chacune avec ses contraintes :

• Les forums et les marketplaces (sur Tor ou en clair) sont crawlés par des robots qui doivent parfois s'enregistrer, résoudre des captchas, entretenir des comptes avec une réputation, voire payer un droit d'entrée. Beaucoup de ces espaces sont éphémères : une place de marché tombe, une autre monte, un forum se ferme sur saisie policière.
• Les paste sites (Pastebin et ses innombrables clones) où l'on balance des extraits de fuites en clair, souvent pour la vitrine avant une vente. Faciles à surveiller, mais très bruyants.
• Telegram est devenu, ces dernières années, le vrai centre de gravité de la diffusion de fuites et de logs. Des milliers de canaux publient des échantillons, revendent des logs d'infostealers à l'unité, alimentent des bots automatisés. Suivre Telegram demande de rejoindre en continu de nouveaux canaux et d'ingérer un flux énorme.
• Les dumps déjà agrégés (bases connues, corpus de combolists) que l'on ré-indexe pour pouvoir y chercher un domaine instantanément, plutôt que de recrawler à chaque requête.

La corrélation, ou pourquoi votre domaine est la clé

Collecter dix téraoctets de fuites ne sert à rien si on ne sait pas lesquelles vous concernent. C'est le rôle de la corrélation : rattacher la donnée brute à des sélecteurs qui vous identifient. Le plus robuste, de loin, c'est votre domaine (et ses variantes) parce qu'il apparaît dans les adresses e-mail de vos employés. À partir de là, on peut aussi pivoter sur les noms de la marque, des plages d'IP, des adresses spécifiques. C'est cette étape qui transforme un océan de bruit en une poignée d'alertes exploitables.

Notez l'étage de qualification, celui qu'on escamote le plus souvent. Sans lui, vous recevez une alerte par ligne de combolist et vous finissez par toutes les ignorer, ce qui est pire que pas d'alerte du tout. Une alerte de surveillance a de la valeur seulement si elle arrive triée, datée et accompagnée d'une action claire.

Les limites, honnêtement

La surveillance dark web est utile, mais elle n'est ni exhaustive ni magique. Elle a quatre limites.

La première limite est la plus dérangeante : on ne voit pas tout, et de loin. Les accès les plus juteux ne finissent jamais sur un forum public ; ils se négocient entre courtiers en accès et opérateurs de ransomware, dans des canaux privés où aucun crawler n'entre. Ce que la surveillance capte, c'est ce qui a été rendu visible, volontairement (une vitrine de vente) ou par négligence. Une absence d'alerte ne prouve donc jamais une absence d'exposition.

La deuxième, c'est le bruit. Une même adresse peut apparaître dans quinze combolists, dont quatorze sont des recyclages de la même vieille fuite. Un service mal calibré vous notifie quinze fois, vous perdez confiance, vous coupez les notifications, et le jour où l'alerte vraiment grave tombe, elle finit dans le même dossier ignoré. Sans tri, l'outil ne reste pas utilisable dans la durée.

Viennent ensuite les faux positifs. Les données vendues sur ces marchés ne sont pas garanties d'origine : un lot peut être gonflé de lignes inventées, mélanger plusieurs sources, ou attribuer à votre domaine des comptes qui n'ont jamais existé chez vous. Et il y a l'accès réellement privé, quatrième limite, qui recoupe la première : tout ce qui se joue en un contre un, sur une messagerie chiffrée, dans un club sur invitation, n'émet aucun signal.

Surveillance continue ou recherche ponctuelle : ne pas confondre

Beaucoup d'organisations croient "faire de la surveillance" alors qu'elles font une recherche ponctuelle. Taper son domaine une fois dans un outil, un jour donné, vous donne une photo à l'instant T. Or les fuites arrivent à des dates que vous ne choisissez pas : un log d'infostealer peut apparaître le lendemain de votre vérification, et vous ne le saurez qu'à votre prochaine recherche manuelle, dans six mois, si vous y repensez.

Une surveillance continue, c'est un flux : les sources sont réingérées en permanence, votre domaine est comparé à chaque nouveau lot, et vous êtes alerté quand quelque chose de nouveau tombe, pas quand vous pensez à demander. Le renseignement sur les menaces se périme vite : la fenêtre entre l'apparition d'un identifiant et son exploitation se compte souvent en jours, parfois en heures pour un cookie de session frais. Une photo annuelle ne protège de rien dans cette temporalité, et une veille branchée sur le seul catalogue public non plus : avec 4,6 mois de délai médian avant l'ajout, elle vous prévient souvent des mois après les faits.

Pourquoi ça n'a de sens que branché à votre surface d'attaque

C'est la raison pour laquelle nous ne vendons pas la surveillance dark web comme un gadget isolé. Une alerte "l'adresse [email protected] est en fuite" ne vaut pleinement que si vous savez, dans la foulée, ce que cette personne peut ouvrir chez vous : a-t-elle un accès VPN ? Un compte sur le webmail exposé que votre module de détection de fuites et de secrets a justement cartographié ? Le renseignement sur la fuite et la connaissance de la surface d'attaque sont deux moitiés de la même réponse.

C'est pour ça que la surveillance vit, chez nous, à l'intérieur de l'EASM. On part de votre domaine racine, on découvre tout ce qui vous est rattaché (sous-domaines, services exposés, comptes), et c'est ce même périmètre cartographié qui sert de grille de corrélation pour les fuites. Une adresse en fuite se pose alors sur un actif réel et daté, pas dans le vide. Le sujet des identifiants volés rejoint ici directement celui des fuites de secrets et de credentials exposés, dont la surveillance dark web n'est qu'un canal de détection parmi d'autres.

Cette logique de "partir de vous et remonter ce qui circule" a une conséquence pratique : elle traite en priorité les cas les plus courants et les plus rentables pour un attaquant, à savoir les mots de passe compromis réutilisés d'un service perso vers un accès pro. Elle évite aussi un réflexe à proscrire : envoyer un collaborateur "vérifier lui-même" sur Tor. Les marchés y sont truffés de clones et d'arnaques, et les faux navigateurs Tor comme les exécutables piégés servent justement à distribuer des infostealers : on va voir des données volées, on repart avec un poste infecté, et l'entreprise devient la prochaine fuite.

À retenir

• La surveillance dark web traque cinq familles de signaux : identifiants d'employés, fuites de bases, combolists, logs d'infostealers (les plus dangereux), et mentions de votre marque.
• Techniquement, elle fait deux choses distinctes : collecter largement (forums, paste sites, Telegram, dumps agrégés) et corréler à votre domaine pour ne garder que ce qui vous concerne.
• Les catalogues agrégés sont en retard : dans HIBP, une fuite d'organisation entre 4,6 mois après les faits en médiane, plus d'un an après dans 35,5 % des cas, et les logs d'infostealers n'y pèsent que 6 entrées sur 1 041.
• Une politique de mots de passe "complexes" ne protège pas d'un motif prévisible : 47,7 % des combinaisons prénom, année et caractère spécial testées par own2pwn étaient déjà dans Pwned Passwords.
• Ses limites sont structurelles : on ne voit pas tout (l'accès privé échappe), il y a beaucoup de bruit et des faux positifs. Une absence d'alerte ne prouve pas une absence d'exposition.
• Une surveillance continue (un flux qui vous alerte quand une fuite tombe) n'a rien à voir avec une recherche ponctuelle : le renseignement se périme en jours, pas en mois.
• Elle ne prend tout son sens que branchée à votre surface d'attaque : une adresse en fuite doit se poser sur un actif réel pour qu'on sache ce qu'elle ouvre, et donc quoi faire.

Reste à savoir si des identifiants de votre organisation circulent déjà, et sur quels accès ils ouvrent. C'est la question que traite notre module Leaks & Secrets, rattaché à votre périmètre réel : il répond à ça en continu. Et si vous préférez exposer votre cas à quelqu'un, la page contact est là pour ça.

Questions fréquentes