Даркнет.

Даркнет (Dark Web) — это сегмент интернета, размещённый в оверлейных сетях, прежде всего в onion-сервисах Tor и eepsites I2P, недоступный обычным браузером и стандартным DNS. Многоуровневая маршрутизация через зашифрованные узлы анонимизирует и посетителей, и операторов, поэтому он легитимно используется журналистами, диссидентами и информаторами, а одновременно — киберкриминальными маркетплейсами, leak-сайтами ransomware, брокерами украденных данных и материалами CSAM. Команды threat intelligence отслеживают его для поиска утёкших учётных данных, продажи эксплойтов и инфраструктуры противника. Защита включает сервисы непрерывного дарквеб-мониторинга, обнаружение утечек учёток, координированные takedown-операции и, при необходимости, блокировку известных выходных узлов Tor на чувствительных периметрах.

Как работает анонимность — и как она даёт сбой

Onion-сервис Tor доступен по адресу .onion, производному от открытого ключа сервера; клиент и сервер встречаются в точке представления (introduction point), при этом ни одна из сторон не узнаёт IP-адрес другой. Трафик оборачивается в три слоя шифрования и прогоняется через добровольческие узлы, так что ни один отдельный хоп не видит одновременно источник и назначение. Это по-настоящему стойкая схема — но люди и программное обеспечение за ней таковыми не являются. Правоохранительные органы редко взламывают саму криптографию; вместо этого они эксплуатируют ошибки операционной безопасности (OPSEC), неправильную конфигурацию серверов, отслеживание криптовалют и внедрение агентов.

История ликвидаций показывает эту закономерность. Operation Bayonet (июль 2017) изъяла AlphaBay — на тот момент крупнейший даркнет-маркет с более чем 200 000 пользователей — с арестом основателя Александра Каза, а голландская полиция несколько недель тайно управляла конкурирующим маркетом Hansa как приманкой (honeypot), чтобы деанонимизировать бежавших пользователей. Operation Cookie Monster (апрель 2023) уничтожила Genesis Market, который продавал «ботов», объединявших украденные cookie, учётные данные и отпечатки браузеров для захвата аккаунтов. Operation Cronos (февраль 2024) нарушила работу ransomware-группировки LockBit, изъяв 34 сервера, исходный код и ключи расшифровки в восьми странах.

Для защитников практический вывод — мониторинг экспозиции: следите за leak-сайтами и дампами учётных данных на предмет данных вашей организации, внедряйте MFA и passkey, чтобы украденные пароли были менее полезны, и передавайте наблюдаемую инфраструктуру противника в блок-листы.

flowchart LR
  U[Пользователь<br/>Tor Browser] --> G[Охранный узел (guard)]
  G --> M[Промежуточный узел]
  M --> R[Точка встречи (rendezvous)]
  R --> H[Скрытый сервис<br/>.onion leak-сайт / маркет]
  H -.->|ошибка OPSEC<br/>неверная конфигурация сервера<br/>отслеживание крипты| LE[Правоохранительные органы<br/>ликвидация]