: Grand entretien "Les hackers demandent de l'argent en fonction des données dont ils disposent" : plongée dans les coulisses du "dark web" avec un spécialiste

Le dark web, plateforme de vente des données personnelles ? Pas une semaine ne passe sans une nouvelle cyberattaque. La dernière en date concerne un établissement de santé francilien, les données de plus de 750 000 patients ont été piratées et mises en vente mardi 19 novembre sur le dark web. Le dark web est ainsi souvent évoqué sans qu'on sache très bien de quoi il s'agit et surtout ce qu'y deviennent nos données.

Selon Norton, une entreprise de sécurité sur internet, en France, 7% des tentatives de vol d’identité ont été couronnées de succès en 2022, et plus de 200 000 Français se font usurper leur identité chaque année. Beaucoup de gens reçoivent des e-mails, des SMS ou des messages Whatsapp étranges et cliquent sur des liens. En tout quelque 26% des Français ont été arnaqués via ces messages de phishing. "Il y a beaucoup de données sur le dark web car la plupart des choses que nous faisons aujourd’hui se font en ligne", prévient Iskander Sanchez-Rola, directeur de l'innovation chez Norton. Ce spécialiste nous fait entrer dans le dark web pour mieux comprendre ce qui s'y passe.

franceinfo : Qu'est-ce que le dark web ?

Iskander Sanchez-Rola : Afin de définir ce qu'est le dark web, il faut se représenter l'ensemble d'internet comme un iceberg. Sa partie émergée correspond au "web de surface", c'est-à-dire tout ce que nous visitons sur internet tous les jours, lorsque nous lisons des actualités, lorsqu'on fait des recherches sur Wikipédia, tout ce que nous pouvons trouver sur n'importe quel moteur de recherche comme Google, Yahoo, ou Bing. Après le "web de surface", il y a le "web profond" ou "deep web", la partie immergée de l'iceberg juste sous la surface de l'eau pour poursuivre la comparaison. Vous pensez peut-être n'y être jamais allé, mais en fait vous y êtes régulièrement, car à chaque fois que vous avez besoin d'un mot de passe pour accéder à un site web, vous êtes sur le web profond. Cela peut inclure des bases de données d'entreprises ou d'établissements universitaires. Ce sont aussi des plateformes comme Netflix, car vous ne pouvez pas y accéder sans un nom d'utilisateur et un mot de passe.

Encore plus profondément se trouve le "dark web", à l'autre extrémité de l'iceberg. Les pages du dark web ne sont pas indexées sur les moteurs de recherche classiques et toutes les informations qui s’y trouvent sont chiffrées. Cela permet, par exemple, de ne pas savoir où se trouve la personne qui héberge le site web, mais réciproquement qu'elle ne sache pas non plus qui se connecte, car il y a plusieurs couches de cryptage, comme celles d'un oignon. Ce sous-ensemble d’internet est accessible via des logiciels spéciaux, comme le plus connu Tor, qui siginifie "The onion router", "le routeur oignon" en français, qui permettent de communiquer, d’échanger et d’acheter de façon anonyme. Une des grandes différences du dark web par rapport au web classique, c'est l'URL, qui est longue et compliquée et se finit en ".onion".

Que se passe-t-il sur le dark web ?

Trafic de drogue, cryptomonnaies, arnaques, tout type d'activités illégales. Mais il est parfois utilisé pour une bonne chose, comme la protestation politique dans des pays où il n'y a pas de liberté d'expression. Dans ces pays, c'est assez courant, par exemple, pour un journaliste d'y avoir recours lorsqu'il doit préserver la confidentialité de ses communications privées. 

À quoi ressemblent les groupes de hackers sur le dark web ? 

LockBit 3 est l'un des plus grands groupes de hackers qui attaquent la France, parmi d'autres pays. Sur leur page sur le dark web, ils écrivent de façon très détaillée les règles à respecter pour travailler pour eux, un peu comme une offre d'emploi. Ils listent les pays qu'ils ne veulent pas attaquer, les pays post-soviétiques, ce qui laisse à penser qu'ils sont originaires de ces pays. Ils précisent aussi que, concernant tout ce qui touche à la santé, comme les hôpitaux ou les cliniques dentaires, il est possible de voler leurs données, mais pas de les empêcher de fonctionner, car cela pourrait entraîner la mort et ils ne veulent pas tuer des gens. Ne vous méprenez pas : ces gens ne sont pas très gentils. La seule raison pour laquelle ils ne veulent pas tuer des gens, c’est parce que cela leur ferait une mauvaise presse, et personne ne les paiera s’ils tuent des centaines de personnes.

Pour parler entre eux, les hackers utilisent des forums, comme Dread, l'équivalent de Reddit sur le dark web. Sur Dread, ils parlent de fraude, de drogues, de cryptomonnaies intraçables comme Monero, de fabrication de médicaments... des choses complètement illégales.

Que réclament les groupes de hackers qui subtilisent les données ? 

L'activité des groupes de hackers se déroulent en grande partie sur des chats du dark web où ils discutent avec les structures qu'ils attaquent. Une fois piratées, ces structures reçoivent des instructions qui les amènent à entrer en contact avec les hackers. Ceux-ci expliquent à la structure ciblée qu'elle a été victime d'une cyberattaque, quelles données ont été dérobées, qu'il y a une rançon pour les récupérer et comment la payer.

Le concept de rançon a changé au fil des années. Maintenant, la rançon n'est plus : "Je vous rendrai les données", mais "je ne les rendrai pas publiques. Donc, si vous ne voulez pas que vos données soient sur le dark web et que tous ceux qui souhaitent y accéder le puissent, payez-moi, et si vous me payez, je les supprimerai. Sinon, ce sera public." Mais, pour être honnête, même s'ils paient, ce n'est pas sûr à 100% que les hackers ne rendront pas publiques les données qu'ils ont.

Que deviennent nos données une fois qu'elles sont sur le dark web ?

Je vais prendre l'exemple de Medusa qui est un autre groupe de hackers. Sur leur page, ils affichent des sommes d'argent associées à des comptes à rebours. Ils demandent de l’argent en fonction des données dont ils disposent et, s'ils ne sont pas payés, alors ils rendent les données publiques. N'importe qui peut payer, et pas forcément la structure visée, les hackers ne se soucient pas d’où vient l’argent. Cela signifie que d'autres groupes de hackers ou des mafias qui veulent ces données peuvent les obtenir.

Quels risques y a-t-il à avoir ses données vendues sur le dark web ?

C'est vraiment quelque chose d’important à prendre en compte, parce qu'avec les grosses cyberattaques que la France a connu récemment, Free, Auchan... si vous leur avez donné vos données, alors vos données sont sur le dark web. Ensuite, elles peuvent être utilisées à des fins d'usurpation d'identité, par exemple. Avec votre identité, je peux essayer d'ouvrir ce que je veux, comme un compte bancaire en ligne à votre nom et demander un prêt. C'est époustouflant de voir la quantité d'argent perdue à cause de l'usurpation d'identité. C'est la réalité, ce n’est pas une menace que nous voyons dans les films, et cela crée de gros problèmes. Car les hackers se font passer pour vous, ils font des choses en votre nom et c’est vous qui allez subir les conséquences de ce qu'ils font.  Et puis c'est encore vous qui devrez prouver que ce n'était en réalité pas vous. 

Peut-on vraiment éviter que nos données se retrouvent sur le dark web ?

Tout d’abord, vous devez savoir que vos données se trouvent sur le dark web. C'est extrêmement important car si vous ne savez pas que vos données sont là, vous n'êtes pas préparé. Plus vous en savez, plus vous pouvez vous protéger. Par exemple, je peux changer mon passeport si je sais qu'il est là. Je ne peux pas changer mon adresse, mais si je sais que quelqu'un a mon adresse, je peux être sur mes gardes si je reçois un courrier étrange.

Mais il faut aussi se poser la question : pourquoi donnez-vous vos données ? Ont-ils vraiment besoin de mon numéro de téléphone, de mon nom complet et de mon prénom, de mon adresse ? La réponse est souvent non. Les gens ont tendance à ne pas trop y penser et on pourrait s'attendre à ce qu'ils soient plus prudents. Je recommanderai donc toujours aux gens de réfléchir à deux fois avant de décider de donner leurs données la prochaine fois qu'ils remplissent un formulaire. J'ai entendu tellement de fois "je suis trop petit, personne ne s’en soucie." C'est faux, vos données sont tôt au tard sur le dark web et vous devez vous protéger.