Le repaire des hackers est aussi devenu le repère des défenseurs. Accès initiaux mis aux enchères, identifiants exfiltrés par des infostealers, cookies de session revendus pour contourner la MFA : la phase de préparation d’une attaque laisse des traces exploitables. Pour Maxime Coulon, expert en threat intelligence et cybercriminalité et directeur de Secutec Canada, la difficulté ne tient plus à la collecte de ces signaux. Elle tient à la capacité des organisations à les qualifier et, surtout, à agir.
Une intrusion est rarement un événement isolé. Elle conclut une chaîne : un identifiant compromis, une vulnérabilité exploitée à grande échelle, un accès revendu, puis exploité par un autre acteur. Chacune de ces étapes laisse une trace sur le dark web, et donc une fenêtre de remédiation.
Le dark web n’est pas l’élément le plus important, mais il joue un rôle clé pour identifier les choses à l’avance
Maxime Coulon, expert en threat intelligence et cybercriminalité, directeur de Secutec Canada.
Fondée à Anvers en 2005 par Geert Baudewijns, Secutec a commencé comme intégrateur d’antivirus avant de se spécialiser dans le renseignement sur la menace, puis dans la gestion continue de l’exposition. Son fondateur compte parmi les négociateurs reconnus face aux groupes de ransomware. Cette position alimente la veille de l’entreprise en retours d’expérience directs. “Nous obtenons des informations sur les vecteurs d’entrée, les méthodologies, les sources utilisées sur le dark web, parfois de la bouche des criminels eux-mêmes. Cela nous permet de confronter nos dispositifs au terrain plutôt qu’à la théorie”.
Du bruit au signal exploitable
Les places de marché publiques du dark web recyclent surtout des données anciennes et des offres frauduleuses. Le renseignement utile circule ailleurs, dans des communautés fermées et sur des canaux Telegram où les attaquants échangent sur leurs cibles. C’est là qu’une mention du nom d’une organisation, d’une plage IP, d’une technologie déployée ou d’un dirigeant devient un indicateur. “Quand une organisation est évoquée dans ces canaux, il faut d’abord comprendre de quoi on parle. S’agit-il d’une vulnérabilité en cours d’industrialisation, d’un équipement exposé, d’un accès déjà obtenu ?”
Le scénario type suit le cycle des vulnérabilités critiques. Une faille sur un pare-feu est publiée, les attaquants identifient les équipements exposés via des moteurs de recherche spécialisés, compromettent ceux qui ne sont pas corrigés, puis revendent l’accès à d’autres groupes. Les annonces sont souvent précises : secteur d’activité, chiffre d’affaires, solution de sécurité en place, autant de critères qui permettent à l’acheteur d’évaluer la cible et de préparer la neutralisation de ses défenses. “C’est ce type d’information qu’il faut repérer avant que l’accès ne soit acheté et exploité”.
La surveillance repose sur un périmètre construit avec méthode. Le nom de domaine sert de point d’ancrage pour couvrir les adresses professionnelles, y compris lorsqu’elles ont été utilisées sur des services tiers victimes d’une fuite. La chaîne d’approvisionnement entre ensuite dans le périmètre : un prestataire d’infogérance ou de maintenance dont les identifiants sont compromis offre un accès direct à l’environnement du client. S’y ajoute une bibliothèque de mots-clés propres à l’organisation, enrichie en continu : comptes à privilèges, dirigeants, adresses IP, noms de produits ou de projets internes. Secutec agrège pour cela plusieurs flux de renseignement issus d’acteurs spécialisés dans la collecte sur le dark web.
Reste un dilemme que les équipes de threat intelligence connaissent bien. Les vendeurs de données publient généralement un échantillon pour appâter les acheteurs, et cet échantillon peut être gonflé ou recyclé à partir de fuites anciennes. Pour s’assurer qu’une base est authentique et qu’elle concerne réellement l’organisation, la tentation peut être de l’acheter, au risque de financer l’écosystème criminel. “La ligne est très grise”, reconnaît Maxime Coulon. Sans se prononcer sur l’achat lui-même, il assure qu’il existe toujours des moyens d’accéder au contenu pour le valider, et que la décision d’aller plus loin passe par une analyse de risque. La priorité reste la fraîcheur de l’information. Un identifiant compromis depuis quelques heures appelle une révocation immédiate des accès, la désactivation du compte, le renouvellement des certificats concernés.
Infostealers : la MFA contournée par la session
L’essentiel des identifiants en circulation provient aujourd’hui des infostealers. Déposés via un lien piégé ou un site compromis, ces malwares exfiltrent les mots de passe enregistrés dans le navigateur, le contenu du presse-papier, les données de paiement, les portefeuilles crypto. Et surtout les cookies de session, qui rendent l’authentification multifacteur inopérante. “La session est créée après la saisie de l’identifiant, du mot de passe et du second facteur. Si elle est volée, l’attaquant n’a plus besoin d’aucun de ces éléments pour accéder à la plateforme”, souligne l’expert.
Les volumes en jeu changent l’échelle du problème. Environ 53 milliards d’identifiants distincts circuleraient aujourd’hui, soit une hausse de 22 % par rapport à 2024. Parmi eux, 1,7 milliard auraient été dérobés en 2025 par des infostealers, auxquels s’ajoutent 17 milliards de cookies. Plus préoccupant encore, environ 70 % des victimes continueraient de réutiliser le même mot de passe, ce qui nourrit les campagnes de credential stuffing. Les attaquants compilent tout ce qu’ils ont collecté sur une organisation et automatisent les tentatives d’authentification. “Modifier deux chiffres à la fin d’un mot de passe ne protège plus de rien. Les variantes se devinent très facilement”.
