Sur le dark web, des identifiants professionnels ou des documents internes de votre entreprise peuvent circuler dès qu’une fuite touche l’un de vos prestataires ou de vos salariés. Mais grâce à une surveillance régulière, vous pouvez repérer ces fuites avant qu’un cybercriminel ne les exploite contre vous.
Vous dirigez une TPE ou une PME mais vous n’avez peut-être ni service informatique dédié ni budget cybersécurité conséquent. Votre entreprise est pourtant la plus exposée. Les TPE et les PME représentent 58 % des victimes mondiales de rançongiciels recensées par l’ANSSI. 60 % des petites entreprises touchées par une cyberattaque disparaissent purement et simplement, d’après data.gouv.fr. Le dark web sert de marché à ces attaques. Des identifiants volés, des bases de données ou des accès à vos outils professionnels peuvent circuler sur ces marchés des mois avant qu’une intrusion ne survienne. Une surveillance régulière de ces espaces vous aide à agir avant l’attaque, plutôt qu’après ses conséquences.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Des robots explorent en continu les forums du dark web à la recherche de vos données
Ces services se servent de robots d’indexation. Ces robots scrutent en continu les marchés noirs, les forums fermés et les sites de dépôt de fichiers volés, et certains canaux Telegram utilisés par les cybercriminels. Le service compare ensuite ce contenu à une liste de surveillance, construite à partir du nom de domaine de votre entreprise et des adresses e-mail de vos salariés.
Certains outils avancés recourent d’abord à l’apprentissage automatique, pour trier ces très grands volumes de conversations, y compris en plusieurs langues, et isoler les cas potentiellement sensibles. Une correspondance retenue peut alors déclencher une alerte automatique. Les prestataires sérieux la font toutefois vérifier une dernière fois par un analyste avant de vous la transmettre, pour écarter les faux positifs. L’alerte indique, en principe, la nature de la donnée retrouvée et la source du forum ou du marché concerné, avec une date estimée de la fuite.
Certains marchés ne sont accessibles que via le navigateur Tor. Ce logiciel masque l’origine de la connexion. D’autres marchés opèrent sur le web classique ou sur des messageries chiffrées, plus faciles à surveiller pour un outil automatisé. Une bonne partie des données récentes provient désormais de logiciels espions installés sur des ordinateurs personnels, des « stealer logs ». Ces programmes aspirent les mots de passe enregistrés dans le navigateur, puis les revendent en lot sur ces marchés.
Les options accessibles : Have I Been Pwned et une start-up lyonnaise
Comprendre ce mécanisme est une chose. Choisir un outil adapté à votre budget en est une autre. Avant ou plutôt que de déclencher l’artillerie lourde, regardez du côté de ce qui est à la portée de votre budget ou de l’importance de vos données.
Le service britannique Have I Been Pwned propose une recherche par nom de domaine. Jusqu’à dix adresses e-mail professionnelles compromises, l’outil est gratuit. Au-delà, l’abonnement démarre à 3,95 dollars par mois, environ 3,40 euros, pour aller jusqu'à 25 adresses, et atteint 115 dollars, environ 99 euros, par mois pour un nombre illimité d'’adresses.
La start-up lyonnaise Mia, fondée par Arthur Huppert que nous avions interviewé, propose de son côté une fonctionnalité dédiée aux petites structures, capable de détecter la présence d’adresses e-mail professionnelles dans des fuites récentes et de repérer la création de comptes non autorisés sur des outils comme Slack ou Microsoft, avec les identifiants de l'’entreprise.
Les suites de sécurité grand public intègrent aussi une surveillance du dark web, limitée à quelques adresses e-mail. Vous pouvez les utiliser à titre personnel si votre entreprise ne compte pas encore de solution dédiée. Vous pouvez également vous tourner vers des outils gratuits pour une recherche ponctuelle, au prix d’une prise en main plus technique.
Pour une entreprise en croissance, certaines plateformes ajoutent la détection de domaines usurpés et de fuites de code source, avec un abonnement calculé selon le nombre de salariés à surveiller. Les offres réservées aux grands comptes dépassent dix mille euros par an, mais c’est un budget hors de portée d'une petite structure.
Une adresse compromise ne signifie pas forcément une intrusion en cours
Un outil de surveillance n’a de valeur que si vous savez lire ses alertes.
Une adresse e-mail retrouvée dans une base ancienne, déjà connue et largement diffusée, n'a que peu de valeur et de risques si on la compare avec une donnée fraîchement extraite d’un journal de logiciel espion installé sur l’ordinateur d'un salarié. Ce second cas signale une infection active, avec des identifiants et des cookies de session potentiellement encore valides au moment de la détection.
Vous devez donc regarder la date de la fuite et l’origine technique de la donnée. Un mot de passe seul compte moins qu’un identifiant associé à un accès VPN ou à un outil de gestion financière.
Une alerte isolée ne signifie pas qu’une attaque est en cours. Le risque augmente lorsque cette alerte survient en même temps que des tentatives de connexion inhabituelles sur vos comptes professionnels, ou de messages de phishing conçus spécifiquement pour vos salariés.
Vous serez aussi bien inspiré de croiser l’alerte avec vos propres journaux de connexion, pour vérifier si l’identifiant signalé a servi récemment à une tentative d’accès. Un salarié parti depuis plusieurs mois peut garder un compte actif sur un outil métier. Selon un rapport Verizon cité par Mia, ce type de compte dormant est impliqué dans 40 % des fuites de données observées en entreprise.
Comment réduire le risque simplement
Une fois l’alerte comprise, il est temps d’agir. Mais vous allez voir que c’est très simple, au point que vous vous demanderez pourquoi vous ne l’avez pas fait ou fait faire avant.
Changez immédiatement tout mot de passe signalé par une alerte, et tout mot de passe identique utilisé sur d’autres comptes. Activez une authentification à deux facteurs sur vos outils professionnels critiques, en particulier la messagerie et les accès à distance.
Adoptez un gestionnaire de mots de passe pour vos équipes, plutôt que des combinaisons répétées d’un service à l’autre. Informez vos salariés concernés sans attendre, afin qu’ils vérifient personnellement leurs comptes personnels liés à cette adresse.
Passez en revue, au moins une fois par trimestre, les comptes professionnels des salariés partis de l’entreprise. Désactivez les comptes encore ouverts.
Consultez la plateforme Cybermalveillance.gouv.fr en cas de doute sur la gravité d’une fuite, ou pour signaler un incident avéré. Cybermalveillance.gouv.fr a assisté plus de 500 000 victimes en 2025, soit une hausse de 20 % sur un an. Le piratage de compte est la première menace signalée par les professionnels auprès de cette plateforme, avec une hausse de 45 % sur un an, et les signalements liés à des violations de données ont progressé de 107 % en 2025 également.
Documentez chaque alerte reçue et la réponse apportée. Cette traçabilité sert en cas de contrôle ou de sinistre assuré.
Vérifiez enfin que vos sauvegardes sont isolées du réseau principal de l’entreprise, pour limiter les dégâts en cas d’intrusion malgré ces précautions.
