Le dark web : ce qu’il est vraiment, et pourquoi vos données y finissent

On décrit souvent le dark web comme un immense monde criminel caché sous Internet. La réalité est à la fois plus petite et plus banale. C’est une petite partie d’Internet qu’on ne peut atteindre qu’avec un logiciel particulier, le plus souvent Tor, et qui a été conçue pour cacher qui gère un site et qui le visite. Cet anonymat protège des dissidents et des lanceurs d’alerte. Il attire aussi des marchés criminels, et c’est pourquoi vos données volées peuvent y transiter.

Surface, profond, dark : trois choses différentes

On confond souvent le web profond et le dark web. Votre boîte mail fait partie du web profond simplement parce qu’elle est privée ; elle n’a rien de sombre. Le dark web se définit par la technologie utilisée pour y accéder et par l’anonymat qu’elle procure.

Ce qu’on y trouve réellement

Certaines organisations connues proposent des versions .onion officielles de leurs sites pour que les habitants de pays pratiquant la censure ou la surveillance puissent y accéder en sécurité. Plusieurs rédactions utilisent des systèmes de dépôt sécurisé en .onion pour recevoir des documents de leurs sources. En même temps, des forums et des places de marché criminels utilisent le même anonymat pour échanger drogues, données volées, outils de piratage et services. Les forces de l’ordre, dont Europol, démantèlent régulièrement ces marchés, et de nouveaux apparaissent. Beaucoup des choses « terrifiantes » que l’on raconte sont des arnaques : les acheteurs du dark web sont eux-mêmes souvent victimes de fraude.

Comment vos données y arrivent

• Les fuites de données : une entreprise que vous utilisez est piratée, et sa base clients (e-mails, mots de passe, adresses, parfois plus) est vendue ou publiée.
• Les infostealers : un programme malveillant sur l’ordinateur de quelqu’un collecte les mots de passe enregistrés et les cookies de session ; ces « logs » volés sont vendus en gros.
• Les fuites de rançongiciels : les groupes pratiquant la double extorsion publient les données d’entreprises volées sur leurs propres sites quand les victimes refusent de payer.
• Les kits d’hameçonnage : de fausses pages de connexion récupèrent des identifiants qui sont ensuite revendus.

La suite est en grande partie automatisée. Les criminels combinent adresses e-mail et mots de passe fuités en immenses listes et les essaient sur d’autres services, une technique appelée credential stuffing (bourrage d’identifiants). Elle fonctionne parce que tant de gens réutilisent le même mot de passe. Les informations personnelles servent aussi à rendre l’hameçonnage plus crédible : un fraudeur qui connaît votre adresse et la boutique où vous avez commandé peut écrire un message très convaincant.

Vérifier si vous êtes concerné

Vous n’avez pas besoin d’aller sur le dark web pour savoir si vos données ont fuité, et vous ne devriez pas le faire. Des services comme Have I Been Pwned, géré par le chercheur en sécurité Troy Hunt, permettent de vérifier si votre adresse e-mail apparaît dans des fuites connues, et beaucoup de gestionnaires de mots de passe vous préviennent désormais quand un mot de passe enregistré apparaît dans une fuite. Certains services de « surveillance du dark web » sont utiles ; d’autres vendent surtout de la tranquillité d’esprit. La vérification gratuite et un bon gestionnaire de mots de passe couvrent l’essentiel des besoins d’un particulier.

Que faire quand vos données ont fuité

• Changez le mot de passe du compte concerné, et celui de tous les autres comptes qui utilisaient le même mot de passe.
• Utilisez un gestionnaire de mots de passe pour que chaque compte ait désormais son propre mot de passe long et aléatoire.
• Activez la double authentification, de préférence avec des clés d’accès ou une appli d’authentification.
• Soyez particulièrement méfiant face aux messages qui mentionnent des détails de la fuite ; les criminels s’en servent pour paraître légitimes.
• Si des données financières ou d’identité ont fuité, surveillez vos relevés bancaires et renseignez-vous sur les protections contre la fraude de votre pays.

Anonyme ne veut pas dire intouchable

L’anonymat du dark web est solide, mais il n’a rien de magique. La police et des agences internationales comme Europol ont fermé de nombreux marchés criminels au fil des ans. Souvent, la technologie a tenu et ce sont les gens qui ont failli : opérateurs et acheteurs ont été identifiés grâce à des erreurs commises ailleurs, comme un pseudonyme réutilisé, une adresse e-mail personnelle, une adresse de livraison, ou de l’argent suivi lors de ses passages entre cryptomonnaie et comptes bancaires ordinaires. Pour les utilisateurs ordinaires, la leçon vaut aussi dans l’autre sens : visiter des marchés criminels par curiosité est inutile et risqué. Les arnaques y sont partout, et télécharger quoi que ce soit sur ces sites est un moyen sûr d’infecter son propre ordinateur.

Le lien avec votre propre ordinateur

La plupart des fuites se produisent sur les serveurs d’autres personnes, et rien sur votre Mac ne peut empêcher une entreprise d’être piratée. Ce que vous pouvez contrôler, c’est que votre propre ordinateur ne devienne pas une source : un infostealer sur votre Mac livre vos mots de passe directement au marché. Garder vos logiciels à jour, éviter les applis piratées et surveiller ce qui se connecte à Internet réduisent ce risque. FireAI montre quelles applis envoient des données et où, et peut bloquer une appli inconnue avant sa première connexion ; ses listes de menaces optionnelles peuvent aussi signaler des connexions vers des serveurs malveillants connus. Il ne peut ni voir ni supprimer des données qui ont déjà fuité ailleurs.