Dark web : mythes et réalités sur vos données exposées
Ce que le dark web est vraiment, ce qui y circule, et comment savoir si vos données y sont sans y mettre les pieds.
Le dark web, c'est quoi exactement ?
Le dark web est souvent confondu avec le deep web, ces deux termes désignant pourtant des réalités bien différentes. Le deep web englobe simplement toute la partie d'Internet non indexée par les moteurs de recherche classiques : vos e-mails, vos comptes bancaires en ligne, les intranets d'entreprises — c'est la grande majorité du web, et il n'a rien d'illégal. Le dark web, lui, est une couche encore plus profonde, accessible uniquement via des navigateurs spéciaux comme Tor (The Onion Router), qui anonymisent le trafic en faisant transiter les connexions par plusieurs serveurs chiffrés dispersés dans le monde. Contrairement aux idées reçues, le dark web n'est pas entièrement illicite : il est aussi utilisé par des journalistes pour protéger leurs sources dans des régimes autoritaires, par des militants politiques, des lanceurs d'alerte, ou des chercheurs en sécurité. Mais c'est aussi là que prospèrent les marchés de données volées, les outils de piratage, et toutes sortes de trafics illégaux. C'est cette dimension qui nous intéresse ici.
Mythe 1 : « mes données ne sont pas sur le dark web »
C'est malheureusement une illusion pour la grande majorité des internautes. Les grandes fuites de données des dernières années ont exposé des centaines de millions de profils qui circulent aujourd'hui librement sur des forums du dark web, souvent téléchargeables gratuitement. Facebook, en 2021, a vu les données de 533 millions d'utilisateurs dans 106 pays publiées en accès libre. LinkedIn a subi la même année une exposition massive de 700 millions de profils. Deezer a perdu 228 millions de comptes en 2022. En France, Free et SFR ont respectivement exposé 19 millions et 3,6 millions de clients en 2024. Selon le chercheur en sécurité Clément Domingo, huit Français sur dix auraient déjà leurs données en circulation sur des marchés clandestins. Si vous utilisez Internet depuis plus de cinq ans et avez des comptes sur plusieurs plateformes, la probabilité statistique que certaines de vos données soient présentes sur le dark web est très élevée.
Mythe 2 : « le dark web est inaccessible aux criminels ordinaires »
L'image du hacker solitaire et ultra-compétent est largement dépassée. La réalité du dark web en 2025 est bien plus préoccupante : les données volées sont vendues à des prix dérisoires qui les rendent accessibles à pratiquement n'importe qui. Un lot de milliers de profils issus d'une fuite peut s'acheter pour quelques euros. Des services de vente automatisés permettent d'acheter des données spécifiques — ciblées par pays, par tranche d'âge, par opérateur téléphonique — sans aucune compétence technique requise. Les outils de credential stuffing, qui testent automatiquement des milliers de combinaisons e-mail/mot de passe sur des sites populaires, sont disponibles gratuitement. La barrière à l'entrée pour exploiter des données volées est infiniment plus faible qu'on ne l'imagine. Ce n'est plus l'apanage des experts : des adolescents ont été arrêtés pour des fraudes sophistiquées menées à partir de données achetées sur le dark web.
Mythe 3 : « les données du dark web sont inutilisables »
Certains minimisent le risque en arguant que les données exposées sont trop anciennes ou trop fragmentaires pour être exploitées. C'est inexact. Même des données datant de plusieurs années restent exploitables : votre nom, date de naissance et adresse ne changent pas, et un numéro de téléphone ou une adresse e-mail resté le même depuis dix ans peut toujours servir à vous cibler. La technique de l'enrichissement permet aux cybercriminels de croiser plusieurs bases de données pour construire des profils très complets à partir de fragments épars. Un profil complet sur le dark web — comprenant nom, prénom, date de naissance, adresse, numéro de téléphone, e-mail et IBAN — peut se vendre bien plus cher, car il permet des fraudes très ciblées et à fort rendement. Par ailleurs, les mots de passe exposés, même anciens, fonctionnent encore sur les comptes où l'utilisateur ne les a jamais changés — ce qui est fréquent.
Mythe 4 : « si mes données sont là-bas, je ne peux rien faire »
C'est le mythe le plus paralysant, et aussi le plus faux. Même si vos données circulent sur le dark web, des actions concrètes permettent de limiter significativement les risques. Changer tous vos mots de passe compromis, en commençant par vos comptes e-mail (point d'entrée pour les autres comptes via les réinitialisations de mot de passe), est la première priorité. Activer l'authentification à deux facteurs rend vos comptes résistants même face à un attaquant qui connaît votre mot de passe. Surveiller vos relevés bancaires et activer les alertes de transaction vous permet de détecter rapidement toute fraude. Rester particulièrement vigilant face aux e-mails et appels téléphoniques exploitant vos informations personnelles vous aide à ne pas tomber dans les pièges tendus avec vos propres données. Aucune de ces actions n'efface vos données du dark web — c'est impossible — mais elles réduisent drastiquement votre exposition au risque.
Ce qui circule vraiment sur le dark web : les données françaises
Les données françaises sont particulièrement recherchées sur les marchés du dark web, la France étant le premier pays européen par volume de données exposées. On y trouve des bases de données d'opérateurs téléphoniques (Free, SFR, Bouygues), de services de santé, de plateformes e-commerce, d'administrations publiques, et de nombreux services en ligne grand public. Les données les plus précieuses sont les combinaisons complètes : identité + coordonnées + données bancaires. Les IBAN, particulièrement recherchés pour les prélèvements frauduleux, ont une valeur élevée. Les données médicales, souvent issues de tiers payants ou de laboratoires d'analyses, sont également très prisées car elles permettent des fraudes à l'assurance difficiles à détecter. La CNIL note que le secteur de la santé, des télécommunications et du commerce représente la majorité des violations massives signalées en 2024.
Comment savoir si vos données sont sur le dark web sans y aller ?
Il est formellement déconseillé aux non-spécialistes de se rendre eux-mêmes sur le dark web : le risque d'exposition à des contenus illégaux, de téléchargement involontaire de malwares, ou d'attirer l'attention de cybercriminels est bien réel. La bonne approche est d'utiliser des services légitimes qui effectuent cette surveillance à votre place. Have I Been Pwned (haveibeenpwned.com), créé par le chercheur Troy Hunt, recense plus de 10 milliards de données issues de fuites connues et vérifie gratuitement si votre e-mail y figure. Des services comme Datalogia poussent cette approche plus loin en proposant une surveillance continue : dès qu'une nouvelle base de données compromises incluant votre e-mail est découverte, vous recevez une alerte en temps réel avec le détail des informations exposées. C'est la méthode la plus sûre, la plus efficace, et la plus accessible pour rester informé sans prendre de risques inutiles.