Le monitoring du dark web consiste à surveiller en continu les lieux d’échange des cybercriminels (forums, places de marché, canaux de messagerie, dépôts de données volées) pour détecter si des identifiants ou des données de votre entreprise y circulent. L’objectif est simple : être prévenu avant que quelqu’un ne s’en serve.
Chez ITAIA, cette veille fait partie du socle de sécurité que nous opérons pour nos clients : quand une adresse de votre domaine apparaît dans une fuite, nous sommes alertés, nous vérifions, et nous fermons la porte (réinitialisation, sessions invalidées, MFA contrôlée) avant que la fuite ne devienne un incident.
Que trouve-t-on vraiment sur le dark web ?
Des données d’entreprises, en quantité industrielle : couples email + mot de passe issus de fuites de sites tiers, journaux de logiciels voleurs d’informations (infostealers) qui aspirent les mots de passe enregistrés dans les navigateurs, cookies de session encore valides, accès VPN ou bureau à distance, bases clients. Le tout se vend pour quelques euros, souvent en lots.
Ce marché alimente directement les intrusions : selon le rapport Verizon DBIR 2025, les identifiants volés sont le premier point d’entrée des violations de données (22 % des cas), devant l’exploitation de vulnérabilités. Autrement dit : la porte d’entrée la plus utilisée par les attaquants, c’est une clé déjà en circulation.
« Un mot de passe qui fuite, ce n’est pas grave ? »
C’est la réaction la plus fréquente : la fuite vient d’un vieux site de e-commerce, d’un forum, d’un outil abandonné depuis des années. En quoi cela menacerait-il l’entreprise ?
Le problème, c’est la réutilisation : 65 % des utilisateurs réemploient le même mot de passe sur plusieurs comptes (étude Google / Harris Poll). Les attaquants le savent : le couple email + mot de passe fuité est testé automatiquement sur des centaines de services en quelques minutes (c’est le credential stuffing). Si le mot de passe du vieux forum est aussi celui de la messagerie professionnelle, la partie est déjà perdue.
Et avec un peu d’ingénierie, on remonte loin. Les fuites s’additionnent : une fuite de 2019 révèle votre façon de construire vos mots de passe (« Ete2019! » laisse deviner « Ete2026! »), une autre livre un numéro de mobile, LinkedIn fournit l’organigramme et le nom du dirigeant, la signature mail donne le format des adresses. Chaque miette est anodine ; assemblées, elles suffisent à cibler précisément la bonne personne avec le bon prétexte.
La boîte mail compromise : la clé qui ouvre presque tout
Si l’escalade aboutit à la messagerie, le sujet change de dimension. La boîte mail n’est pas un compte parmi d’autres : c’est le compte qui contrôle tous les autres. Presque chaque service (CRM, comptabilité, stockage cloud, réseaux sociaux, outils métier) propose un bouton « mot de passe oublié »… dont le lien de réinitialisation arrive dans cette boîte. Celui qui la tient peut réinitialiser quasiment tout, méthodiquement, service après service.
Les attaquants les plus patients ne réinitialisent d’ailleurs rien tout de suite : ils posent une règle de transfert discrète, lisent vos échanges pendant des semaines, apprennent qui valide les virements et comment vous écrivez, puis envoient la bonne fausse facture au bon moment (c’est la fraude au virement, dite BEC). La fuite à trois euros est devenue un sinistre à six chiffres.
Cette page vous a aidé ? C’est notre métier.
- Support 8h-20h · 7j/7
- SOC 24/7
- < 10 min
- Équipe dédiée
Comment fonctionne notre monitoring du dark web ?
Notre plateforme de veille sur les fuites de données surveille en continu les sources où ces données circulent : forums criminels, places de marché, canaux de messagerie utilisés par les vendeurs d’accès, dépôts de combolists et journaux d’infostealers.
Dès qu’une adresse de votre domaine apparaît, nous sommes alertés et nous déroulons toujours la même mécanique :
- Qualifier : fuite nouvelle ou recyclée ? Mot de passe en clair ou haché ? Compte encore actif ?
- Fermer : réinitialisation du mot de passe concerné, invalidation des sessions ouvertes, vérification que la double authentification est bien active.
- Vérifier l’usage : recherche de connexions suspectes et de règles de transfert dans la messagerie, en lien avec notre SOC 24/7.
- Tracer : l’événement est journalisé et documenté, utile aussi pour vos obligations réglementaires.
Pourquoi ITAIA ?
Parce que la veille seule ne protège rien : une alerte sans remédiation, c’est juste une mauvaise nouvelle qui arrive plus tôt. Chez ITAIA, le monitoring du dark web est intégré à un socle complet (SOC, EDR professionnel, durcissement des identités, sauvegardes) et chaque alerte déclenche une action concrète, tracée dans un ticket, sous SLA mesurés.
Vous voulez savoir ce qui circule déjà sur votre domaine ? Lancez le pré-diagnostic (3 min) ou prenez RDV : un diagnostic de 30 minutes, sans engagement.
Sources : Verizon DBIR 2025 · Google / Harris Poll, Online Security Survey.
Questions fréquentes sur la surveillance du dark web
Qu’est-ce que le dark web ?
C’est la partie d’internet qui n’est pas indexée par les moteurs de recherche et à laquelle on accède par des réseaux spécifiques garantissant l’anonymat. On y trouve des usages légitimes, notamment journalistiques, et des places de marché où s’échangent des données volées : identifiants, cartes bancaires, accès à des réseaux d’entreprise.
Qu’est-ce que la surveillance du dark web ?
C’est le fait de rechercher en continu, dans les fuites publiées et les places de marché, les identifiants et informations rattachés à votre nom de domaine. L’objectif n’est pas de retirer ces données, ce qui est impossible, mais d’être prévenu qu’elles circulent afin de changer les mots de passe concernés avant qu’ils ne soient exploités.
Peut-on faire retirer ses données du dark web ?
Non. Une donnée publiée est recopiée en de multiples exemplaires et ressort régulièrement dans de nouvelles compilations. La seule réponse efficace est de rendre l’information inutilisable : changer le mot de passe concerné, vérifier qu’il n’a pas été réutilisé ailleurs, et activer une authentification multifacteur qui rend le mot de passe seul insuffisant.
Que faire quand une alerte tombe ?
Trois gestes dans cet ordre : réinitialiser le mot de passe du compte concerné, révoquer les sessions ouvertes pour expulser une éventuelle connexion en cours, puis vérifier si des règles de redirection de messagerie ont été créées, signe d’une compromission déjà active. Nous exécutons ces trois étapes dès réception de l’alerte, sans attendre votre retour.
Les mots de passe personnels des salariés sont-ils concernés ?
Nous surveillons les adresses professionnelles, c’est-à-dire celles rattachées au domaine de l’entreprise. Le risque vient précisément de là : une adresse professionnelle utilisée pour s’inscrire sur un site personnel, avec le mot de passe de la messagerie d’entreprise. C’est le scénario le plus fréquent, et il n’implique aucune faute de la personne concernée, seulement un usage devenu courant.
La surveillance suffit-elle à protéger l’entreprise ?
Non, c’est un signal d’alerte, pas une protection. Elle indique qu’un identifiant circule ; elle n’empêche ni le hameçonnage, ni l’exploitation d’une session déjà volée. Elle prend sa valeur combinée à l’authentification multifacteur et à une surveillance des comportements 24/7, qui détecte l’usage anormal d’un compte même quand la connexion a réussi.
Solutions complémentaires
À lire aussi : Test d’intrusion & cyber sécurité, Pare-feu entreprise, Audit de sécurité informatique, Antivirus professionnel entreprise, quelle utilité ?.