Dark Web.

Le Dark Web est la portion d'Internet hebergee sur des reseaux d'overlay (principalement les services onion de Tor et les eepsites d'I2P), inaccessible avec un navigateur classique et le DNS standard. Le routage chiffre en couches anonymise visiteurs et operateurs, ce qui en fait un outil utilise legitimement par journalistes, dissidents et lanceurs d'alerte, mais aussi par des marketplaces criminelles, sites de fuite de ransomware, intermediaires de donnees volees et contenus d'exploitation infantile. Les equipes de cyber threat intelligence le surveillent pour reperer identifiants voles, ventes d'exploits et infrastructures adverses. Les defenses incluent des services de dark-web monitoring, la detection de fuites d'identifiants, la coordination de takedowns et, lorsque pertinent, le blocage des noeuds de sortie Tor connus sur des perimetres sensibles.

Comment fonctionne l'anonymat — et comment il échoue

Un service onion Tor est atteint via une adresse .onion dérivée de la clé publique du serveur ; le client et le serveur se rejoignent à un point d'introduction sans qu'aucune des deux parties n'apprenne l'adresse IP de l'autre. Le trafic est enveloppé dans trois couches de chiffrement et rebondi à travers des relais bénévoles, de sorte qu'aucun saut unique ne voit à la fois l'origine et la destination. C'est réellement solide — mais les humains et les logiciels qui se trouvent derrière ne le sont pas. Les forces de l'ordre cassent rarement la cryptographie ; elles exploitent plutôt les erreurs de sécurité opérationnelle, les mauvaises configurations de serveur, le traçage des cryptomonnaies et l'infiltration.

L'historique des démantèlements montre le schéma. Operation Bayonet (juillet 2017) a saisi AlphaBay — alors le plus grand marché du darknet avec plus de 200 000 utilisateurs — en arrêtant son fondateur Alexandre Cazes, tandis que la police néerlandaise faisait secrètement tourner le marché rival Hansa en pot de miel pendant des semaines afin de désanonymiser les utilisateurs en fuite. Operation Cookie Monster (avril 2023) a démantelé Genesis Market, qui vendait des « bots » regroupant cookies volés, identifiants et empreintes de navigateur pour la prise de contrôle de comptes. Operation Cronos (février 2024) a perturbé le gang de ransomware LockBit, saisissant 34 serveurs, du code source et des clés de déchiffrement dans huit pays.

Pour les défenseurs, l'enseignement pratique est la surveillance de l'exposition : surveiller les sites de fuite et les dumps d'identifiants pour repérer les données de votre organisation, imposer la MFA et les passkeys pour rendre les mots de passe volés moins utiles, et alimenter les listes de blocage avec l'infrastructure adverse observée.

flowchart LR
  U[Utilisateur<br/>Tor Browser] --> G[Relais garde]
  G --> M[Relais intermédiaire]
  M --> R[Point de rendez-vous]
  R --> H[Service caché<br/>site de fuite / marché .onion]
  H -.->|erreur OPSEC<br/>mauvaise config serveur<br/>traçage crypto| LE[Forces de l'ordre<br/>démantèlement]