Surveillance du dark web : ce qu’elle voit, ce qu’elle ne voit pas

Qu’est-ce que la surveillance du dark web ?

La surveillance du dark web charge un service de chercher pour vous là où c’est difficile à faire soi-même, et de vous prévenir quand votre entreprise y apparaît : son nom, son domaine, ses adresses e-mail ou ses documents.

Le terme dépasse le dark web proprement dit. Il recouvre trois types d’endroits :

• Les sites de revendication des groupes de ransomware. Un groupe nomme l’entreprise attaquée sur son site et, si elle ne paie pas, publie les fichiers pris. Beaucoup de ces sites ne s’ouvrent qu’avec Tor, un réseau qui masque d’où vous vous connectez.
• Les forums et marchés criminels. Où l’on propose ou échange des données, des accès à des réseaux d’entreprise et des comptes.
• Les canaux de messagerie comme Telegram. Pas le dark web à proprement parler, car l’application est publique, mais un lieu où circulent souvent des identifiants compromis.

Que peut-elle trouver ?

1. Des documents publiés par des groupes de ransomware. Les vôtres, ou ceux d’un fournisseur où vous apparaissez : contrat, facture, tableur ou boîte mail portant votre nom ou votre domaine. Mesurez ce qu’il expose, prévenez votre délégué à la protection des données, changez les mots de passe et clés révélés.
2. Des identifiants compromis. Des adresses e-mail et des mots de passe mis en circulation dans des listes, souvent après une violation de données chez un autre service. Un constat : une adresse de votre domaine avec un mot de passe, une source et une date. Réinitialisez le mot de passe, fermez les sessions ouvertes, activez un second facteur, cherchez où il est réutilisé.
3. Des mentions et des offres de vente sur des forums. Un message qui nomme votre entreprise ou propose un accès à son réseau ou à ses données. Un constat : un titre, une date, le pseudo d’un vendeur, quelques lignes. C’est une piste, pas un fait : des vendeurs exagèrent, certains inventent. Faites vérifier avant d’agir.

Que ne voit-elle pas ?

• Les ventes privées et les groupes fermés. Des données vendues en privé ou dans des groupes sur invitation n’arrivent pas là où un service peut lire.
• Les données pas encore publiées. Un attaquant peut garder vos fichiers des semaines avant de publier. La surveillance voit la publication, pas l’intrusion.
• Ce qui se passe dans vos propres systèmes. Un poste compromis ou un stockage exposé sur internet est invisible de l’extérieur : c’est le rôle de vos outils de sécurité.
• Ce que le service n’a pas indexé. La couverture dépend des sources qu’il a choisies et réussi à lire.

Elle n’empêche pas non plus une attaque : elle vous dit, après coup, que quelque chose est en circulation. Sa valeur est le temps gagné.

Recherche, scan, surveillance : quelle différence ?

• Une recherche est une question posée une fois : mon domaine apparaît-il ? La réponse est immédiate, puis rien ne veille.
• Un scan est souvent un premier contrôle gratuit : vous donnez un domaine, vous recevez un court rapport. C’est un test, pas une veille.
• La surveillance tourne en continu : le service lit les nouveautés à mesure de leur publication et vous alerte. Elle seule vous prévient quand vous ne cherchez plus.

Autre différence : ce qu’on cherche. Certains services listent les entreprises que des groupes de ransomware revendiquent comme victimes : cela dit qui a été nommé, pas ce qui a été publié. D’autres indexent les fichiers publiés eux-mêmes, en texte intégral, et trouvent votre nom dans le contrat d’un fournisseur. Seuls ces derniers montrent que vous apparaissez dans l’incident d’un autre.

Que signifie un résultat vide ?

Pas que vous êtes à l’abri : rien n’a été trouvé aujourd’hui, dans ces sources.

Un résultat vide n’est pas la preuve d’une absence. Un nom peut s’écrire autrement, un document peut manquer à l’index, un groupe peut publier plus tard, et des données peuvent circuler là où le service ne regarde pas.

Cherchez de nouveau après un incident chez un fournisseur ou un partenaire, après un changement de nom, de domaine ou de propriétaire, puis régulièrement si vous vous fiez à des recherches ponctuelles.

Une petite ou moyenne entreprise en a-t-elle besoin ?

Pas toujours. À examiner sérieusement si l’un de ces cas est le vôtre :

• Vous détenez des documents ou des données personnelles de vos clients.
• Vous dépendez de quelques fournisseurs dont un incident vous exposerait.
• Vous fournissez de grands groupes, qui peuvent vous demander comment vous apprendriez que vous êtes exposé.
• Vous entrez dans le champ de règles sur la sécurité de la chaîne d’approvisionnement : NIS2 et DORA traitent de la sécurité des fournisseurs et prestataires TIC des organisations concernées, et AirCyber évalue les fournisseurs de l’aéronautique. Contexte général, pas l’affirmation que l’un d’eux appelle une surveillance du dark web : vos conseils diront si vous êtes concerné.

Sinon, une recherche gratuite de temps en temps peut suffire.

Que demander à un prestataire ?

1. Quelles sources ? Sites de ransomware, forums, marchés, messageries : lesquels, et selon quel choix.
2. Des noms ou des contenus ? Une liste de victimes revendiquées, ou les fichiers publiés eux-mêmes, consultables en texte intégral ?
3. Quelle fraîcheur ? Combien de temps après sa publication un document apparaît-il ?
4. Que voyez-vous des tiers ? Les autres entreprises et personnes citées dans les mêmes fichiers : ce qui s’affiche, ce qui reste masqué.
5. Quel prix ? Un tarif public ou un devis ?
6. Vos outils ou votre IA peuvent-ils lire les données ? Par une API ou un connecteur, ou seulement sur un tableau de bord ?
7. Que deviennent vos recherches ? Qui voit ce que vous cherchez, et combien de temps cela est conservé.
8. Que dit-il ne pas savoir faire ? Un prestataire qui dit ses limites est plus crédible.

Où se place OwlyScan ?

OwlyScan est un moteur de recherche sur les fichiers publiés par des groupes de ransomware. Son index contient ce qui a été publié sur les sites de revendication et les forums, pas tout ce qui existe : il ne voit rien des ventes privées, des données non publiées ni de vos systèmes.

• La recherche gratuite ne demande pas de compte et se lance quelques fois par jour. Elle indique combien de documents correspondent au nom ou au domaine de votre entreprise, et de quel type, noms masqués ; vous n’en lisez pas le texte. Comment elle fonctionne.
• Access est un abonnement pour votre entreprise. Il montre tels quels les enregistrements sur votre propre domaine, garde masqués les noms des autres entreprises et relie votre assistant IA aux mêmes données par MCP, un standard de connexion pour assistants IA. Les résultats sont des extraits, pas des documents entiers ; les alertes font partie d’Unlimited. Prix public : un abonnement mensuel à 39 € ou annuel à 390 €, hors TVA. Les tarifs.
• Unlimited, sur devis : alertes et rapports, filtres de champ, export, ouverture des documents entiers.
• Ecosystem, sur devis : suivi en continu de votre entreprise et de celles dont vous dépendez, vos fournisseurs par exemple, sur un tableau de bord.

Essayez votre domaine avec la recherche gratuite ou la vérification du dark web. Un fournisseur a été touché ? Lisez que faire quand un fournisseur est victime d’un ransomware.

Questions fréquentes