Du dump au kit de phishing : dans la chaîne de revente des données fuitées
Lorsqu'une entreprise confirme une fuite de données, les titres s'obnubilent sur le nombre de dossiers dérobés. La question plus décisive est de savoir ce qui se passe ensuite, car les données volées ne voyagent presque jamais directement du serveur qui les a perdues jusqu'au criminel qui les utilise enfin. Elles descendent une chaîne de revente avec ses propres spécialistes : des courtiers qui prennent les premières copies, des agrégateurs qui fusionnent les dumps, des enrichisseurs qui ajoutent de la valeur aux lignes brutes, des revendeurs qui reconditionnent le même matériel sous de nouveaux noms, et enfin les opérateurs de kits de phishing et d'outils de connexion automatisée qui consomment le produit fini.
La première vente
Une base de données fraîchement volée vaut le plus dans ses premiers jours. Sur les forums de cybercriminalité, un vendeur peut organiser une vente privée à un ou quelques acheteurs qui paient pour l'exclusivité, ou ouvrir un fil public et vendre des copies une par une. Le lieu compte moins que ne l'imaginent les nouveaux venus. Une chronologie de Flashpoint sur le commerce des données fuitées montre le schéma : Raid Forums est tombé après l'arrestation de son fondateur en janvier 2022, Breach Forums a pris sa place, son administrateur a été arrêté en mars 2023, et une rangée de successeurs, dont Exposed, PwnedForums et un relancement soutenu par ShinyHunters, se sont disputé le même commerce, allant jusqu'à fuiter en cours de route une base de 478 870 enregistrements d'utilisateurs de Raid Forums. Les saisies perturbent la distribution, pas le stock. Les données elles-mêmes survivent à chaque effondrement et migrent vers la plateforme suivante ; c'est pourquoi une annonce de saisie signifie rarement que le matériel a disparu. Il a généralement été copié de nombreuses fois avant que les lumières ne s'éteignent.Agrégation, puis enrichissement
Les dumps bruts sont ingrats : formats incohérents, doublons, empreintes de mots de passe de qualité inégale. Les agrégateurs normalisent le tout en paires e-mail et mot de passe, et SpyCloud souligne que les combolists combinent généralement des données issues de plusieurs fuites d'entreprises. L'enrichissement, c'est là que la marge se crée. Un revendeur peut tester des paires contre de vraies connexions pour voir lesquelles fonctionnent encore, cartographier les comptes d'une personne en recoupant les adresses, greffer des numéros de téléphone ou des adresses postales issus de fuites sans rapport, et associer des enregistrements à des journaux d'infostealers contenant cookies et jetons de session. Chaque étape transforme une ligne brute en quelque chose sur quoi un acheteur peut agir directement. Les prix reflètent ce traitement. L'analyse de Securelist d'environ deux cents messages de forums du dark web a révélé des journaux d'infostealers échangés en gros, un vendeur offrant deux téraoctets de matériel de 2020 à 2021, tandis qu'un acheteur de la même étude proposait cinquante cents par compte valide associé à une carte de paiement, minimum 150 lignes. Les données non triées sont bon marché ; les données validées se paient au résultat.« Les criminels tentent souvent des attaques de credential stuffing des années après avoir téléchargé leurs premières combolists. Ils savent que les utilisateurs oublient souvent de réinitialiser leurs mots de passe. » - SpyCloud Labs
Réétiquetage et reconditionnement
Les mêmes lignes peuvent se vendre bien plus d'une fois. Un vieux dump réapparaît dans une collection étiquetée comme fraîche, les fichiers sont renommés, découpés par pays ou par secteur, cassés en clair ou fondus dans des flux de mises à jour façon abonnement. Les acheteurs voient rarement la provenance, et l'étiquette signifie surtout : nouveau pour ce vendeur. Le reconditionnement marche parce que la faiblesse de fond persiste : SpyCloud a mesuré un taux de réutilisation des mots de passe de 70 pour cent chez les utilisateurs exposés par des fuites en 2021, et de 64 pour cent chez les salariés du Fortune 1000, si bien que des paires issues d'incidents vieux de plusieurs années ouvrent encore des comptes actuels.La courbe de déclin des prix
Les données volées se comportent comme une denrée périssable. Les prix démarrent haut tant qu'une fuite reste exclusive et chutent à mesure que les copies se diffusent et que la part fonctionnelle des données rétrécit : les victimes réinitialisent leurs mots de passe, les sites imposent une rotation, les cartes de paiement sont annulées. Securelist a constaté que la plupart des offres d'accès à des entreprises étaient proposées à moins de 5 000 dollars, l'accès aux grandes sociétés se situant typiquement entre 2 000 et 4 000, tandis que les identifiants de particuliers en gros changent de mains pour quelques centimes la ligne. Ce qui maintient commercialement en vie les vieilles données, c'est le volume plus la réutilisation. Même un faible taux de validité sur une très grande liste nourrit des outils automatisés pendant des années ; rien n'est donc jamais jeté dans la chaîne.Là où la chaîne peut être brisée
Chaque maillon de la chaîne a son pendant côté défense, et les interventions les moins coûteuses se situent au point d'usage plutôt qu'à la source :- Valider et réinitialiser : comparer les connexions à des bases de données d'expositions et imposer une réinitialisation dès qu'un mot de passe apparaît dans des dumps connus, afin que les vieilles combolists meurent à la porte au lieu d'attendre une saisie qui ne fait que changer le décor.
- Deuxièmes facteurs et clés d'accès : ils émoussent les produits finaux de la chaîne, que l'entrée soit un journal frais ou un dump vieux de dix ans, car un mot de passe réutilisé seul cesse de suffire.
- Dater les données, pas l'annonce : beaucoup de bruit autour des fuites reconditionne des incidents vieux de plusieurs années ; traitez les étiquettes fraîches avec méfiance et vérifiez les dates avant de réagir à une fuite.
- Surveiller la couche des courtiers : suivre les domaines de votre organisation et les adresses de vos employés dans les bases agrégées donne un avertissement précoce que du matériel circule en aval.