Guide · Dark web
Surveillance du dark web : que surveiller, et quoi ignorer
« Surveiller le dark web » ne veut rien dire tant que l’on n’a pas défini ce que l’on cherche. Ce guide donne les six familles d’actifs à déclarer et les sources qui comptent pour chacune. « Surveiller le dark web » ne veut rien dire tant que l’on n’a pas défini ce que l’on cherche. Ce guide donne les six familles d’actifs à déclarer, les sources qui comptent pour chacune, et ce qu’il vaut mieux ne pas surveiller pour ne pas se noyer.
- Guide
- Guide
- Étapes
- 6 ·9 min de lecture
- Publié le
- Dernière mise à jour
En une phrase
Une surveillance du dark web utile pour une entreprise regarde six choses : ses domaines et adresses dans les fuites, ses marques et mots-clés sur les forums et marchés, ses dirigeants, ses fournisseurs sur les sites de fuite, ses données et documents, et les accès à ses systèmes mis en vente.
Le « dark web » désigne au sens strict les réseaux d’anonymisation. En pratique, ce qui compte pour une organisation circule aussi sur des forums accessibles avec un simple compte, des canaux de messagerie instantanée, des marchés spécialisés, des dépôts de fichiers et des blogs de fuite de groupes de rançongiciel. Une surveillance sérieuse couvre cet ensemble, pas un seul réseau.
Le volume y est énorme et presque tout est sans rapport avec vous. La valeur d’une surveillance tient donc à deux choses : un périmètre déclaré précis, et une qualification qui écarte le bruit avant que l’alerte ne vous parvienne.
Étapes
Les six familles à surveiller
- 01
Vos domaines et adresses
Chaque domaine que vous possédez, y compris les anciennes marques et les filiales, pour repérer les identifiants qui y sont rattachés dans les fuites, les combolists et les journaux de logiciels voleurs. C’est la famille la plus productive : commencez par elle.
- 02
Vos marques et mots-clés
Le nom de l’entreprise, ses produits, ses abréviations internes, le nom de vos applications. Sur les forums et les marchés, c’est ainsi qu’un accès à vos systèmes est décrit quand il est mis en vente, souvent sans nommer votre domaine.
Choisissez des mots-clés discriminants : un nom trop courant génère du bruit que personne ne lira.
- 03
Vos dirigeants
Nom, adresses professionnelles et, après acceptation de l’invitation par la personne, adresses et identifiants personnels. Les tentatives de doxing, les faux profils et les usurpations visent des personnes précises, et se préparent là où elles sont nommées.
- 04
Vos fournisseurs
Les sites de fuite des groupes de rançongiciel annoncent leurs victimes. Si un fournisseur qui détient vos données y apparaît, vous devez le savoir le jour même, pas à réception de sa notification.
- 05
Vos données et documents
Bases clients, documents internes, code source, et les cartes de paiement de vos clients si vous en émettez, reconnues par vos BIN : leur mise en vente ou leur publication se repère par vos marques, vos noms de fichiers et vos formats. Cette famille demande une vérification avant d’agir : un échantillon publié ne prouve pas toujours ce qu’il prétend.
- 06
Les accès à vos systèmes
Les courtiers en accès initiaux vendent des accès VPN, RDP ou administrateur décrits par secteur, pays, chiffre d’affaires et type d’accès. Un analyste qui connaît votre périmètre reconnaît une annonce qui vous concerne là où un mot-clé ne suffit pas.
Ce qu’il vaut mieux ne pas surveiller
Les mots-clés génériques de votre secteur, les noms de vos concurrents, les fuites qui ne contiennent aucun de vos actifs, les alertes « votre secteur est visé » : tout cela produit des notifications que personne ne traite. Une surveillance qui envoie beaucoup est une surveillance que l’on finit par ignorer.
Un bon périmètre est court, précis et revu chaque trimestre. Il vaut mieux surveiller vingt actifs qui comptent que deux cents qui font du bruit.
Pourquoi les alertes brutes ne servent à rien sans qualification
Une mention brute dit qu’un mot est apparu quelque part. Elle ne dit pas si l’auteur est crédible, si les données sont récentes, si elles vous concernent vraiment, ni ce qu’il faut faire. La qualification, par un analyste qui lit la source, vérifie la date, croise avec vos actifs et rédige l’action, est ce qui transforme une mention en décision.
Questions fréquentes
Faut-il accéder soi-même aux forums criminels ?
Nous le déconseillons : accès réservés, risques juridiques et de sécurité, exposition de vos propres adresses. Déléguez la collecte à un prestataire qui l’encadre, et gardez la décision.
Une surveillance du dark web empêche-t-elle les attaques ?
Non. Elle vous donne du temps d’avance pour révoquer un accès, retirer un domaine, prévenir une personne ou un partenaire. La prévention reste dans vos mains.
Que se passe-t-il quand rien n’est trouvé ?
C’est une bonne nouvelle, et une information en soi : elle est datée et figure dans le rapport mensuel. Une surveillance sérieuse a des semaines vides.
Un périmètre court, une vérification avant d’agir
Le cadrage d’une évaluation d’exposition sert d’abord à décider ce qu’il ne faut pas surveiller.
Offre sur mesure : un prix par service, aucun prix public, aucun pack.