Pourquoi le darknet a une dent contre vous (et vous ne vous en rendez pas compte)

On parle souvent du darknet (ou Dark Web) comme s'il s'agissait d'un mythe. Une terre, très lointaine, intangible et avec laquelle nous n'entrons jamais en contact. Un lieu où se déroulent des activités illicites, des pratiques illégales et des choses sinistres qui ne devraient jamais voir le jour. Malheureusement, les personnes qui pensent en être totalement déconnectées se trompent. Car c'est là que nos propres données font l'objet d'un commerce illégal. 

Le darknet, pour ceux à qui il faut le rappeler, est l'endroit où les trafiquants d'armes, les trafiquants de drogue et les vendeurs de pornographie illégale, entre autres, proposent leurs marchandises. Vous avez besoin d'un navigateur spécial pour naviguer dans cette partie de l'internet, même le grand Google ne peut pas vous aider. Vous y trouverez tout ce que vous ne voulez pas, ne pouvez pas ou n'osez pas acheter par les voies normales, y compris des informations de connexion et des mots de passe, et vous pourriez même tomber sur vos propres informations bancaires. 

Darknet : L'internet invisible 

Pour vous donner une idée de son impact : pas plus tard qu'en juin 2023, 500 000 identifiants de connexion belges [1] ont été divulgués à la suite du piratage d'une plateforme de marché criminel sur le darknet lui-même (c'est vrai : les pirates ont été piratés). Les informations remontaient principalement à 2020 et comprenaient les identifiants de connexion de personnes issues d'universités et d'institutions publiques. Il s'agit encore de données récentes, ce qui signifie qu'un grand nombre de ces données seront, selon toute vraisemblance, encore utilisables. 

L'année dernière, Secutec a également trouvé une liste de plus de 4 000 adresses IP belges, liées à une fuite critique de Microsoft Exchange. Si un pirate informatique parvient à relier ces adresses à des données d'entreprises réelles, il peut alors rechercher les données de connexion des employés de ces entreprises et entrer directement dans l'entreprise. Et ces données sont nombreuses. 

Nous avons fait le test et avons réussi à relier facilement un millier d'entreprises aux adresses IP concernées. En un rien de temps, à l'aide de nos outils spécialisés, nous avons trouvé les identifiants de connexion nécessaires pour pénétrer dans ces entreprises et étions théoriquement en mesure de déclencher un ransomware sur l'ensemble de l'organisation (ce que nous n'avons bien sûr pas fait). 

Mieux encore : en juillet 2023, nous avons trouvé sur le darknet les données de connexion de 658 clients d'un fournisseur de sécurité physique. Ces données nous ont permis de générer un code PIN nous permettant d'entrer dans le bâtiment d'un concurrent - en plus d'un accès illimité aux caméras de sécurité. Cela montre que même si vous, en tant qu'organisation, êtes totalement conforme, ce n'est pas toujours le cas de vos fournisseurs, partenaires ou clients. 

Le problème invisible 

Le problème est le suivant : ce n'est pas toujours la faute de l'utilisateur final lorsque des données sensibles sont divulguées. Ce n'est pas toujours un employé ou un individu hameçonné qui est à l'origine d'un piratage. Parfois, une application présente des failles de sécurité importantes qui peuvent être exploitées. Parfois, une organisation ne se préoccupe pas suffisamment des mises à jour opportunes, ce qui amène les gens à travailler avec des solutions de sécurité dépassées. Invariablement, un manque de prudence avec les données sensibles est à l'origine d'un piratage. 

Il est donc d'autant plus important de prendre le contrôle de ce que l'on peut contrôler : redondance, couches de sécurité supplémentaires et prudence. Le plus simple est encore de vérifier l'origine de chaque courriel, de toujours utiliser des mots de passe uniques et de mettre en place un authentificateur à plusieurs facteurs. Toujours, partout. 

Si vous ne le faites pas, vous serez tôt ou tard pris au dépourvu. Des recherches relativement simples permettent de trouver des listes interminables de fuites de mots de passe, d'adresses électroniques, de numéros de téléphone, d'adresses IP non sécurisées, etc. Sur le darknet, il n'est pas nécessaire d'être Sherlock Holmes pour assembler les pièces du puzzle et lancer une attaque contre les malheureuses victimes et, dans le pire des cas, contre leurs entreprises. 

Le poids de la responsabilité 

Si les employés ne sont pas toujours à l'origine du piratage de leur organisation par le biais de leurs comptes, ils portent une grande responsabilité. Il incombe à chacun d'assurer la sécurité de ses données en faisant preuve de prudence et en demandant conseil si nécessaire. 

Les pirates informatiques utilisent de plus en plus une triple approche : non seulement ils exigent des rançons plus importantes pour les données cryptées, mais ils menacent également de rendre publiques les données des clients. Ou encore, ils commencent immédiatement à détruire les sauvegardes, de sorte que l'organisation touchée a du mal à se remettre sur pied. Les risques augmentent, notre prise de conscience collective doit suivre le plus rapidement possible. 

Chaque fois que je donne un séminaire sur les groupes de pirates informatiques ou sur le fonctionnement des cyberattaques, et sur la facilité avec laquelle il est possible de bouleverser la vie de quelqu'un, je vois encore trop souvent des mâchoires se décrocher. Ces connaissances devraient désormais faire partie du quotidien. Et pour ceux qui ne me croient pas : venez parler à nos experts en sécurité. 

Geert Baudewijns,  

PDG et fondateur de Secutec  

[1] 500.000 mots de passe sont publiés en ligne | VRT NWS : nouvelles