Le Dark-Web Investigation est une discipline spécialisée de la cybersécurité qui consiste à surveiller, analyser et infiltrer les réseaux clandestins afin de détecter des indices d’attaques, d’exfiltration de données ou d’activités illicites visant une organisation. Contrairement au web « superficiel » (Surface Web) ou au Web profond (Deep Web), le Dark Web regroupe des sites et forums accessibles uniquement via des protocoles anonymisants tels que Tor ou I2P, où circule une multitude de contenus non indexés. On y trouve des places de marché noires, des forums de pirates, des services de vente de données volées, de phishing, de malware en kit, d’armes ou de faux documents. Dans ce paysage obscur, l’investigation requiert à la fois des compétences techniques pointues et une méthodologie rigoureuse.

1. Pourquoi surveiller le Dark Web ?

Aujourd’hui, de nombreuses fuites de données (logins/mots de passe, bases clients, dossiers confidentiels) émergent sur ces plateformes avant même que l’entreprise victime ne prenne connaissance de l’incident. Les attaquants y partagent, échangent ou mettent aux enchères des listes d’informations stratégiques. Si l’organisation concernée découvre un indice suspect (par exemple, la vente de bases de données clients) avant la diffusion massive, elle peut anticiper la crise en déclenchant une réponse proactive (réinitialisation de mots de passe, alerte des parties prenantes, audit des systèmes). D’où l’importance cruciale d’une surveillance proactive et continue du Dark Web.

2. Processus d’investigation

1. Définition du périmètre cible : Tout commence par une phase de cadrage où nos experts identifient les entités à protéger (marque, noms de domaines, adresses e-mail, noms des dirigeants, adresses IP, produits logiciels, mots-clés spécifiques, etc.).

2. Collecte automatisée et manuelle : À l’aide d’outils spécialisés (crawl TOR, crawling de forums privés, spidering de services en peers-to-peer), nous configurons des sondes pour remonter régulièrement toute information en lien avec ces indicateurs. En parallèle, des analystes chevronnés effectuent une veille manuelle sur les forums closed-access, les chats chiffrés et les canaux de messagerie cryptés.

3. Filtrage et enrichissement : Les masses d’informations brutes remontées (captures d’écran, liens, extraits textuels) sont ensuite analysées afin de filtrer les faux-positifs, regrouper les flux redondants et classer chaque élément selon sa criticité (niveau de menace, pertinence, fiabilité de la source).

4. Analyse approfondie : Une fois une menace identifiée, nos experts tentent d’analyser les infrastructures techniques (serveurs Tor, adresses Bitcoin ou crypto-wallet associées, adresses IP masquées) pour établir une cartographie des réseaux criminels. Cet enrichissement technique s’accompagne d’une contextualisation : qui publie ? Quelles motivations ? Quelles cibles spécifiques ?

5. Production de rapports et recommandations : Chaque investigation donne lieu à un rapport détaillé précisant l’origine des données, la fiabilité des informations, le risque pour l’entreprise et les mesures à prendre (aussi bien techniques — patchs, modifications de configurations, réinitialisation de comptes — que stratégiques — communication de crise, alerte aux partenaires).

6. Suivi et mise à jour continue : Le Dark Web est mouvant et en perpétuelle évolution. Les menaces isolées aujourd’hui peuvent devenir des vagues d’attaques demain. IBSCyberSec assure donc un suivi régulier pour garantir que les indicateurs clés soient mis à jour en permanence, couvrant à la fois Tor, I2P, Freenet et les chats cryptés (Mattermost, Telegram privés, etc.)..