Dark Web OSINT

Définition

Le Dark Web OSINT désigne la collecte et l'analyse de renseignements provenant des réseaux anonymes (principalement Tor, mais aussi I2P et Freenet) à des fins de cybersécurité. Cette pratique spécialisée permet d'identifier des données volées en vente, des discussions sur des vulnérabilités non divulguées, des annonces d'attaques imminentes, des forums cybercriminels et des marketplaces illégaux. Les équipes de Threat Intelligence et les SOC intègrent le Dark Web OSINT pour obtenir des informations précoces sur des menaces ciblant leur organisation : credentials d'employés mis en vente, données clients piratées, exploits zero-day commercialisés, infrastructures d'attaque louées (Ransomware-as-a-Service), et annonces de groupes APT. Ces renseignements permettent une réponse proactive avant qu'une attaque ne se matérialise. Les sources clés du Dark Web OSINT comprennent les forums cybercriminels (Exploit.in, RaidForums avant sa fermeture), les marketplaces de données volées (Genesis Market), les sites de leak des groupes ransomware, les canaux Telegram de hackers et les pastes anonymes (ZeroBin). L'accès nécessite généralement un nœud Tor et parfois des comptes sur des forums fermés. Des services commerciaux de Cyber Threat Intelligence (CTI) comme Recorded Future, Flashpoint, Intel 471, Kela et DarkOwl proposent des plateformes d'accès structuré aux données du Dark Web, avec des alertes sur les mentions d'une organisation, des tableaux de bord et des APIs d'intégration avec les SIEM. Ces services évitent d'exposer les analystes aux risques légaux et techniques liés à l'accès direct aux forums cybercriminels. Les précautions légales et opérationnelles sont essentielles : l'accès au Dark Web pour surveiller des forums cybercriminels reste dans un cadre légal si limité à l'observation passive, mais toute participation active, tout achat ou téléchargement de données volées constitue une infraction pénale dans la plupart des juridictions.