En avril 2023, une opération de police internationale baptisée « Cookie Monster », menée par le FBI et la police néerlandaise avec la participation de la France, a fait tomber Genesis Market, l’une des plus grandes places de marché du dark web spécialisées dans la revente d’identifiants volés. Ce site hébergeait à lui seul environ 80 millions d’identifiants et empreintes numériques dérobés à plus de deux millions de personnes dans le monde. Combien de ces identifiants appartenaient à des salariés de PME françaises ? Statistiquement, un certain nombre, et la plupart des dirigeants concernés ne l’ont probablement jamais su.
C’est là tout le problème du dark web : contrairement à une cyberattaque visible (rançongiciel qui bloque vos écrans, site web défiguré), une fuite de données peut rester totalement silencieuse pendant des mois, voire des années, pendant que vos identifiants professionnels, ceux de vos salariés ou les données de vos clients circulent librement entre cybercriminels. Selon le rapport Cost of a Data Breach 2025 d’IBM, il faut en moyenne 241 jours à une organisation pour identifier puis contenir une violation de données, le délai le plus court enregistré depuis neuf ans, ce qui donne une idée du délai bien plus long qui prévalait auparavant et qui reste la norme pour de nombreuses PME dépourvues d’outils de surveillance.
Ce guide explique concrètement comment savoir si les données de votre entreprise ont fuité sur le dark web, quels outils gratuits et professionnels utiliser pour le vérifier, quels réflexes adopter en cas de découverte, et surtout comment réduire durablement votre exposition à ce risque largement sous-estimé par les dirigeants de TPE et PME françaises.
Pourquoi les données de votre PME peuvent finir sur le dark web ?
Beaucoup de dirigeants de PME estiment, à tort, que leur entreprise est trop petite pour intéresser les cybercriminels actifs sur le dark web. C’est précisément l’inverse : les PME sont des cibles de choix, car elles combinent des données monnayables (identifiants professionnels, données bancaires, fichiers clients, contrats) avec des moyens de défense souvent limités. Une seule adresse email professionnelle compromise peut ouvrir la voie à une fraude au président, un piratage de messagerie ou une attaque par credential stuffing, ce qui rend cette donnée attractive à revendre, même isolément.
L’essor massif des malwares de type « infostealer » (voleurs d’identifiants) a considérablement changé l’échelle du phénomène ces dernières années. Selon les données croisées de Flashpoint et de DeepStrike, plus de 1,8 milliard d’identifiants ont été dérobés en 2025 à partir d’environ 5,8 millions d’appareils infectés dans le monde, une explosion qui touche indifféremment grandes entreprises, PME et particuliers. Ces identifiants, une fois collectés, sont packagés en « logs » et revendus ou publiés gratuitement sur des forums et marketplaces du dark web, où n’importe quel acteur malveillant peut les acquérir pour quelques dollars.
Le lien entre ces fuites et les cyberattaques qui suivent est direct et documenté : selon le rapport X-Force 2025 d’IBM, plus de 54 % des victimes de rançongiciels en 2024 et 2025 avaient leurs identifiants de domaine déjà présents sur des marketplaces de logs d’infostealers avant l’attaque, avec un délai parfois inférieur à 48 heures entre l’apparition du log et le déclenchement de l’attaque. Savoir si vos données ont déjà fuité n’est donc pas une simple curiosité, c’est un indicateur avancé de risque d’attaque imminente.
Dark web, deep web, surface web : les différences essentielles
Ces trois termes sont souvent confondus, y compris dans la presse généraliste, alors qu’ils recouvrent des réalités très différentes. Le surface web désigne l’ensemble des pages indexées par les moteurs de recherche classiques comme Google, c’est-à-dire une fraction minoritaire du contenu réellement présent sur internet. Le deep web regroupe tout ce qui n’est pas indexé mais reste accessible via un navigateur classique : votre messagerie professionnelle, votre espace bancaire en ligne, l’intranet de votre entreprise ou une base de données protégée par mot de passe en font partie. Il n’a rien d’illégal ou de dangereux en soi.
Le dark web est un sous-ensemble bien plus restreint du deep web, accessible uniquement via des logiciels spécifiques comme Tor, qui anonymisent la connexion en la faisant transiter par plusieurs relais chiffrés. Cette architecture technique, initialement conçue pour protéger la liberté d’expression et les lanceurs d’alerte, est également exploitée par des marketplaces criminelles, des forums de cybercriminels et les sites de fuite de données utilisés par les groupes de rançongiciels dans leurs stratégies de double extorsion. C’est sur ces espaces que circulent très concrètement les identifiants, bases de données et documents volés à des entreprises comme la vôtre.
Comment vos données atteignent le dark web ? Les voies principales
Il existe quatre voies principales par lesquelles les données d’une PME finissent par circuler sur le dark web. Les connaître permet d’identifier où concentrer ses efforts de prévention.
| Voie | Exemple concret | Ce qui est exposé | Niveau de risque |
|---|---|---|---|
| Fuite chez un fournisseur ou service tiers | Une plateforme SaaS que vous utilisez subit une violation de données | Email professionnel, mot de passe, parfois données de paiement | Élevé si le mot de passe est réutilisé ailleurs |
| Infostealer sur un poste employé | Un salarié télécharge un logiciel piégé ou clique sur un lien de phishing | Tous les identifiants enregistrés dans le navigateur, cookies de session, portefeuilles crypto | Très élevé, accès direct aux comptes professionnels |
| Piratage direct avec double extorsion | Un rançongiciel exfiltre vos données avant de les chiffrer | Contrats, fichiers RH, données clients, documents financiers | Critique, publication publique en cas de non-paiement |
| Credential stuffing et réutilisation de mots de passe | Un mot de passe déjà fuité ailleurs est réessayé sur vos outils professionnels | Comptes professionnels utilisant un mot de passe déjà compromis | Élevé, entièrement évitable avec une bonne hygiène de mots de passe |
La voie de la double extorsion a connu une croissance particulièrement marquée : selon les données compilées par plusieurs cabinets de threat intelligence, près de 7 960 victimes ont été recensées sur des sites de fuite de rançongiciels en 2025, soit une hausse d’environ 53 % par rapport à l’année précédente, et 96 % des attaques par rançongiciel observées en 2025 combinaient désormais chiffrement des données et exfiltration préalable. Concrètement, même une PME qui paierait une rançon pour récupérer ses fichiers n’a aucune garantie que les données déjà exfiltrées ne soient pas, malgré tout, revendues ou publiées ultérieurement sur le dark web. Notre article faut-il payer la rançon en cas de ransomware détaille les raisons pour lesquelles le paiement n’efface jamais ce risque de publication.
Une cinquième voie, plus récente et souvent négligée, mérite d’être mentionnée séparément : la saisie de données sensibles de l’entreprise dans des outils d’intelligence artificielle grand public par des salariés (extraits de contrats, données clients, code source), sans cadre défini. Ce n’est pas à proprement parler une fuite vers le dark web, mais cela constitue une perte de contrôle sur des données sensibles qui peut, in fine, alimenter d’autres fuites. Notre guide sur la charte IA pour PME et l’outil gratuit générateur de charte IA de SIAC Media permettent de cadrer cet usage en quelques minutes.
Les signaux qui doivent vous alerter
En l’absence d’outil de surveillance dédié, plusieurs signaux indirects doivent alerter un dirigeant ou un responsable informatique sur une possible fuite de données déjà en circulation.
- Des clients ou partenaires signalent avoir reçu des emails de phishing très ciblés, mentionnant des informations internes exactes (nom d’un projet, montant d’une facture réelle)
- Des tentatives de connexion à vos outils professionnels depuis des localisations inhabituelles apparaissent dans les journaux de connexion
- Votre banque ou votre prestataire de paiement signale des tentatives de fraude sur les comptes de l’entreprise
- Un salarié reçoit une notification d’un service tiers (réseau social, plateforme SaaS) l’informant que son compte professionnel a été impliqué dans une violation de données
- Une recrudescence soudaine de tentatives de fraude au président ou d’usurpation d’identité visant vos dirigeants ou votre service comptable
- Votre nom d’entreprise apparaît lors d’une recherche sur un site de fuite de données de groupe de rançongiciel, même sans confirmation d’intrusion de votre côté
Ces signaux peuvent également précéder des attaques d’ingénierie sociale plus élaborées. Notre article sur les techniques de manipulation utilisées en ingénierie sociale et notre guide sur le spear phishing et les attaques BEC ciblées détaillent comment des données fuitées sont directement réutilisées pour rendre ces attaques crédibles.
Les outils gratuits et professionnels pour vérifier une fuite
Bonne nouvelle : il n’est pas nécessaire de naviguer soi-même sur le dark web, une démarche déconseillée et inutile, pour savoir si vos données y circulent. Plusieurs outils fiables, gratuits ou professionnels, permettent d’obtenir cette information en quelques minutes.
Have I Been Pwned : le standard mondial gratuit
Créé par le chercheur en sécurité australien Troy Hunt, Have I Been Pwned (HIBP) est devenu la référence mondiale en matière de vérification de fuites de données, avec près de 8 milliards de comptes enregistrés dans sa base au fil des violations indexées depuis sa création. Le service de base, gratuit, permet de vérifier si une adresse email individuelle a été exposée dans une violation connue. Pour une entreprise, la fonctionnalité « Domain Search » permet, après vérification de la propriété du nom de domaine, de surveiller l’ensemble des adresses email de votre organisation et d’être alerté en cas de nouvelle exposition, avec des abonnements Core, Pro et API disponibles à partir de quelques euros par mois. HIBP ne révèle jamais les données réellement compromises, seulement le nom de la violation et le type de données concernées, ce qui en fait un outil respectueux de la confidentialité.
Mozilla Monitor (anciennement Firefox Monitor), qui s’appuie directement sur la base de données de Have I Been Pwned, propose une alternative gratuite permettant de surveiller jusqu’à 20 adresses email et constitue une bonne option pour une TPE souhaitant surveiller ses adresses clés sans complexité technique.
| Outil | Type | Ce qu’il vérifie | Tarif |
|---|---|---|---|
| Have I Been Pwned | Vérification par email ou par domaine | Présence dans des violations de données connues et publiques | Gratuit pour un email, abonnement pour un domaine complet |
| Mozilla Monitor | Vérification par email (jusqu’à 20 adresses) | Même base de données que Have I Been Pwned | Gratuit |
| NordPass Data Breach Scanner | Surveillance continue intégrée au gestionnaire de mots de passe | Fuites de dark web et de bases de données en temps réel, alertes automatiques | Inclus dans les offres NordPass payantes |
| Service de threat intelligence professionnel | Surveillance continue par un prestataire spécialisé | Marketplaces, forums, logs d’infostealers, sites de fuite ransomware | Sur devis, généralement plusieurs centaines d’euros par mois |
Pour les PME qui n’ont pas les moyens d’un service de threat intelligence dédié, associer un gestionnaire de mots de passe intégrant une surveillance automatisée du dark web à des vérifications régulières via Have I Been Pwned constitue un socle de surveillance déjà très solide et accessible à tout budget.
NordPass : surveillance du dark web intégrée à votre gestionnaire de mots de passe
Le Data Breach Scanner de NordPass analyse en continu le dark web et les bases de données de violations connues, et vous alerte immédiatement si l’un de vos emails professionnels ou l’un de vos identifiants apparaît dans une fuite. Couplé à un coffre-fort chiffré et au partage sécurisé d’identifiants entre collaborateurs, c’est une solution accessible pour surveiller votre exposition sans budget de threat intelligence.
Que faire si vous découvrez une fuite : le plan d’action immédiat
Si un outil de vérification confirme que des identifiants ou des données de votre entreprise circulent sur le dark web, la rapidité de réaction est déterminante. Cybermalveillance.gouv.fr, le dispositif officiel français d’assistance aux victimes, recommande une série d’actions immédiates.
- Changez immédiatement le mot de passe concerné, ainsi que celui de tout autre compte utilisant le même mot de passe ou une variante proche
- Déconnectez toutes les sessions actives sur le compte concerné pour invalider d’éventuels cookies de session également volés
- Activez la double authentification (MFA) sur le compte concerné si ce n’est pas déjà fait
- Si des données bancaires sont concernées, contactez immédiatement votre banque pour faire opposition et renouveler les moyens de paiement
- Faites analyser le poste de travail concerné à la recherche d’un logiciel infostealer actif, qui continuerait sinon à exfiltrer de nouveaux identifiants
- Signalez l’incident sur Cybermalveillance.gouv.fr et, en cas de préjudice financier ou d’usurpation avérée, déposez plainte via la plateforme 17Cyber ou auprès des services de police et de gendarmerie
- Documentez précisément ce qui a été découvert et à quel moment : cette chronologie sera nécessaire pour vos obligations réglementaires, détaillées dans la section suivante
Notre guide détaillant que faire dans les 24 premières heures d’une cyberattaque et notre article sur qui prévenir en cas de cyberattaque (CNIL, ANSSI, assurance, police) complètent utilement cette check-list immédiate.
Vos obligations légales RGPD en cas de fuite confirmée
Si la fuite découverte concerne des données à caractère personnel de salariés, de clients ou de prospects, votre PME est soumise à des obligations légales précises et strictement encadrées dans le temps, qu’il s’agisse d’une fuite provoquée directement chez vous ou détectée après coup sur le dark web.
| Article | Qui prévenir | Délai | Condition de déclenchement |
|---|---|---|---|
| Article 33 RGPD | La CNIL, via la plateforme notifications.cnil.fr | 72 heures à compter de la prise de connaissance | Dès que la violation est susceptible d’engendrer un risque pour les droits des personnes concernées |
| Article 34 RGPD | Les personnes concernées elles-mêmes (salariés, clients) | Dans les meilleurs délais | Uniquement si le risque est élevé pour les droits et libertés des personnes |
Le compte à rebours des 72 heures démarre dès la prise de connaissance de la violation, y compris les week-ends et jours fériés, et non à partir du moment où l’incident technique s’est réellement produit, ce qui signifie qu’une découverte tardive sur le dark web ne vous dispense en rien de cette obligation. Il est admis de transmettre une notification initiale incomplète à la CNIL si toutes les informations ne sont pas encore disponibles, à condition de préciser ce qui est établi, ce qui reste en cours d’investigation, et de transmettre les compléments sans délai supplémentaire injustifié.
Cette échéance réglementaire a aussi des conséquences directes sur votre couverture d’assurance cyber, certains contrats excluant ou limitant l’indemnisation en cas de notification tardive ou de négligence caractérisée. Notre guide complet sur l’assurance cyber pour PME et notre article sur les raisons pour lesquelles un assureur peut refuser d’indemniser détaillent ces points de vigilance contractuels.
Ressource recommandée
Guide de mise en conformité NIS2 pour PME 2026
Évitez jusqu’à 10 M€ de sanctions. Auto-diagnostic EE/EI, gap analysis et plan d’action sur 6 mois pour mettre votre PME en conformité avec NIS2. Sans jargon juridique, actionnable dès la première lecture.
Calculez votre score de conformité NIS2 en 10 minutes
Répondez aux questions et obtenez votre gap analysis personnalisée avec les priorités d’action.
- Auto-diagnostic EE / EI
- Score par domaine de mesures
- Identification des lacunes critiques
- Priorisation des actions correctives
- Résultat immédiat et détaillé
- 100 % gratuit, sans inscription
Souveraineté numérique : à qui confier la surveillance de vos données ?
Vérifier une fuite de données implique, par nature, de communiquer à un tiers la liste de vos adresses email professionnelles, voire votre nom de domaine complet. Ce n’est pas un détail anodin : mieux vaut confier cette vérification à des services transparents sur l’usage qu’ils font de ces informations plutôt qu’à un « scanner dark web gratuit » anonyme dont l’hébergeur et la finalité réelle restent inconnus. Have I Been Pwned, bien que basé en Australie, publie sa méthodologie et ne conserve pas les recherches individuelles au-delà du nécessaire ; c’est un critère de confiance à vérifier systématiquement avant d’utiliser un outil de ce type.
Au-delà de l’outil de vérification lui-même, la question de la souveraineté se pose surtout en amont, sur l’endroit où vous stockez vos propres données professionnelles et vos sauvegardes. Une donnée qui ne transite jamais par une infrastructure étrangère soumise à des législations extraterritoriales comme le CLOUD Act américain réduit mécaniquement le nombre d’acteurs susceptibles d’en perdre le contrôle. Notre guide sur la cybersécurité souveraine pour PME détaille cette logique en profondeur.
Partenaire affilié
Infomaniak : réduisez votre surface d’exposition avec un hébergement souverain
Messagerie professionnelle, sauvegardes chiffrées et hébergement web exclusivement en Suisse et en France, hors du champ du CLOUD Act américain. Moins d’intermédiaires étrangers sur vos données, c’est mécaniquement moins de points de fuite potentiels vers le dark web.
Prévenir plutôt que guérir : réduire durablement votre exposition
La surveillance permet de détecter une fuite déjà survenue, mais l’essentiel de l’effort doit porter sur la réduction du risque à la source. Plusieurs mesures, déjà largement documentées sur ce site, ont un impact direct et mesurable sur votre exposition au dark web.
L’authentification multifacteur (MFA) neutralise l’immense majorité des tentatives de connexion utilisant des identifiants volés, même lorsque le mot de passe correspondant a fuité. Notre guide sur le MFA pour PME détaille comment le déployer sans friction pour vos équipes. De la même manière, un bon gestionnaire de mots de passe élimine la réutilisation de mots de passe, cause directe des attaques par credential stuffing : nos comparatifs gestionnaires de mots de passe pour PME et Bitwarden, 1Password et Dashlane permettent de choisir la solution la plus adaptée. Notre article sur les attaques par force brute et credential stuffing approfondit ce mécanisme précis.
La formation des salariés reste également déterminante, car la grande majorité des infostealers s’installent via un téléchargement piégé ou un lien de phishing ouvert par un utilisateur non sensibilisé. Notre guide complet pour former ses employés à la cybersécurité propose un plan d’action concret sur ce point.
Le rôle de votre prestataire informatique dans la détection
Un prestataire informatique compétent ne se contente pas de réagir après une attaque : il doit intégrer une surveillance proactive de vos identifiants et de votre nom de domaine dans sa prestation, au même titre que la supervision de vos serveurs. C’est un critère de sélection à part entière, que nous détaillons dans notre guide sur comment choisir un prestataire informatique de confiance. Cette même vigilance doit s’étendre aux éditeurs de logiciels métier auxquels vous confiez des données sensibles : un éditeur certifié ISO 27001 comme Axonaut pour la facturation, par exemple, réduit le risque que vos propres données clients se retrouvent un jour dans une violation chez un fournisseur tiers.
Axonaut : vos données de facturation à l’abri chez un éditeur français certifié
Logiciel de facturation et de gestion commerciale certifié ISO 27001, hébergé en France. Confier vos données clients et financières à un éditeur qui applique lui-même les standards de sécurité les plus stricts limite le risque qu’elles se retrouvent un jour dans une fuite tierce.
Ressource recommandée
Guide Cybersécurité PME & IA 2026
Protégez votre PME des cyberattaques grâce à l’intelligence artificielle. 41 pages, 6 chapitres, un plan d’action 90 jours. Sans jargon technique, actionnable dès la première lecture.
Pour une vision d’ensemble des technologies capables d’automatiser cette surveillance et cette détection, y compris par intelligence artificielle, notre panorama complet des technologies IA en cybersécurité pour PME recense les solutions les plus pertinentes selon la taille de votre structure.
La checklist finale
Avant de refermer cet article, assurez-vous d’avoir mis en place chacun des points suivants.
- Vous avez vérifié vos adresses email professionnelles principales sur Have I Been Pwned ou Mozilla Monitor
- Vous avez mis en place une surveillance continue, via un gestionnaire de mots de passe intégrant un scanner de fuites ou un service professionnel dédié
- La double authentification est activée sur tous les comptes professionnels critiques
- Aucun mot de passe n’est réutilisé entre deux comptes professionnels distincts
- Vos salariés savent reconnaître un email de phishing et connaissent la procédure de signalement interne
- Vous savez précisément qui prévenir (CNIL, ANSSI, assurance, police) et dans quel délai en cas de fuite confirmée
- Votre prestataire informatique inclut la surveillance de vos identifiants dans son contrat, ou vous avez identifié une solution complémentaire
Checklist Cybersécurité PME – Gratuit
29 actions prioritaires pour protéger votre PME.
PDF à imprimer · Conformité RGPD & NIS2
Gratuit · Désabonnement en 1 clic
Conclusion
Le dark web n’est pas un phénomène lointain réservé aux grandes entreprises victimes de piratages spectaculaires : c’est un marché actif et organisé où circulent, chaque jour, des identifiants et des données appartenant à des PME françaises, souvent à leur insu. Avec 241 jours en moyenne pour détecter une violation selon IBM, et plus de la moitié des victimes de rançongiciels ayant déjà leurs identifiants exposés avant l’attaque, la surveillance active n’est plus une option réservée aux grands comptes, c’est un réflexe de base accessible à toute PME disposant d’un budget minimal.
Commencez dès aujourd’hui par vérifier vos adresses professionnelles sur Have I Been Pwned, puis évaluez votre niveau de sécurité global grâce à l’outil gratuit Audit Cyber PME de SIAC Media, avant d’envisager, si votre budget le permet, une solution de surveillance continue adaptée à la taille de votre structure. Pour resituer cette démarche dans une stratégie de sécurité globale, notre guide complet de la cybersécurité pour PME en 2026 reste la référence à consulter en priorité.
