Discussion :

[Nancy Rey]

Quelle est la valeur de vos données sur le dark web ? Le site PrivacyAffairs publie son étude "Dark Web Price Index 2020",
qui révèle les estimations des tarifs sur le dark web

Le dark web a depuis longtemps la réputation d'être un refuge pour les pires types d'activités criminelles. La confidentialité offerte par des logiciels tels que TOR crée un environnement dans lequel les criminels peuvent vendre leurs marchandises sur le darknet sans avoir à se soucier de l'application de la loi. Mais combien cela vaut-il réellement ?

Le site web PrivacyAffairs, spécialisé dans la cybersécurité a effectué des recherches : leur méthodologie a consisté à scanner les marchés, forums et sites web du dark web, afin de créer un indice des prix moyens pour une gamme de produits spécifiques, sur les forums et les places de marché sur le dark web. Cette opération a dévoilé que pour moins de 1500 dollars, les criminels peuvent obtenir des informations authentiques et des documents falsifiés leur permettant de s'approprier presque totalement l'identité de quelqu'un. Dans cet exercice, PrivacyAffairs s’est intéressé aux produits et services relatifs aux données personnelles, aux documents contrefaits et aux médias sociaux.

Cartes de crédit clonées et données associées

Produit	Prix moyen sur le dark web
Carte Mastercard clonée avec code PIN	15 $
Clonage dune carte American Express avec un code PIN	35 $
Carte VISA clonée avec code PIN	25 $
Détails de la carte de crédit, solde du compte jusqu'à 1000 $	12 $
Détails de la carte de crédit, solde du compte jusqu'à 5000 $	20 $
Les identifiants bancaires de compte en ligne volés, minimum 100 $ sur le compte	35 $
Identifiants bancaires de compte en ligne volés, minimum 2000 $ sur le compte	65 $
Compte Walmart avec une carte de crédit	10 $

Services de traitement des paiements

Produit	Prix moyen sur le dark web
Détails du compte PayPal volé, minimum 100 $	198,56 $
Virement PayPal à partir d'un compte volé, entre 1000 $ et 3000 $	320,39 $
Virement PayPal à partir d'un compte volé, 3000 $ et plus	155,94 $
Virement Western Union à partir d'un compte volé, au-delà de 1000 $	98,15 $

Documents falsifiés

Produit	Prix moyen sur le dark web
Permis de conduire américain, qualité moyenne	70 $
Permis de conduire américain, haute qualité	550 $
Carte d'assurance automobile	70 $
Carte de membre du service routier d'urgence AAA	70 $
Relevé bancaire de Wells Fargo	25 $
Relevé bancaire de Wells Fargo avec des transactions de	80 $
Carte d'étudiant de l'université de Rutgers	70 $
Passeport américain, canadien ou européen	1500 $
Carte d'identité nationale européenne	550 $

Ces documents sont assortis d'une série de garanties et sont disponibles avec tous les détails que l'acheteur choisit. Avec seulement quelques informations réelles sur quelqu'un, un criminel pourrait créer tout un dossier de documents officiels à utiliser pour toutes sortes d'activités frauduleuses. C'est l'une des façons dont une identité est volée.


Les médias sociaux

Produit	Prix moyen sur le dark web
Compte Facebook piraté	74,5 $
Compte Instagram piraté	55,45 $
Compte Twitter piraté	49 $
Compte Gmail piraté	155,73 $
Followers sur Instagram x 1000	7 $
Followers sur Spotify x 1000	3 $
Followers sur Twitch x 1000	6 $
Followers sur Tick Tok x 1000	15 $
Followers sur LinkedIn x 1000	10 $
Followers d’une page d'entreprise LinkedIn x 1000	10 $
Followers sur Pinterest x 1000	5 $
Nombre d’écoutes sur Soundcloud x 1000	1 $
Vues sur Daily Motion x 1000	2 $
Twitts et retweets x 1000	25 $
likes sur Instagram x 1000	6 $

Les logiciels malveillants

Produit	Prix moyen sur le dark web
Qualité médiocre, vitesse lente, faible taux de réussite x 1000	70 $
Europe : qualité médiocre, vitesse lente, faible taux de réussite x 1000	300 $
USA, CA, UK, AU faible qualité, vitesse lente, faible taux de réussite x 1000	800 $
Qualité des moyenne au niveau mondial, taux de réussite de 70% x 1000	80 $
Europe qualité moyenne, 70% de taux de réussite x 1000	700 $
États-Unis uniquement qualité moyenne, taux de réussite de 70% x 1000	900 $
USA, CA, UK, AU qualité moyenne, 70% de taux de réussite x 1000	1300 $
Europe : nouveau, de haute qualité x 1000	2300 $
Europe : vieillissant, de haute qualité x 1000	1400 $
USA : haute qualité x 1000	1700 $
Canada : haute qualité x 1000	1500 $
Royaume-Uni haute qualité x 1000	2000 $
Premium x 1000	6000 $

Les outils malveillants sont installés sur des systèmes composés, ce qui permet aux attaquants d'accéder au système. L'installation initiale se fait par l'intermédiaire de faux casinos en ligne, de réseaux sociaux. Certaines formes de logiciels malveillants peuvent simplement utiliser les ressources de votre ordinateur pour des activités telles que l'extraction de monnaie cryptographique. D'autres peuvent être utilisés pour voler des identifiants lorsque vous les saisissez sur un site web. Pour chaque tranche de 1000 installations, les pirates informatiques peuvent souvent voler des dizaines de milliers de dollars.


Les attaques DDoS

Produit	Prix moyen sur le dark web
Site web non protégé, 10 à 50 000 consultations par seconde, 1 heure	10 $
Site web non protégé, 10-50 000 demandes par seconde, 24 heures	60 $
site web non protégé, 10 à 50 000 demandes par seconde, 1 semaine	400 $
Site web non protégé, 10-50k demandes par seconde, 1 mois	800 $
Site web Premium protégé , 20 à 50 000 requêtes par seconde, 24 heures	24 200 $

Une attaque par déni de service distribué (DDoS) vise à mettre un site web hors ligne en envoyant des milliers de requêtes par seconde afin de surcharger le serveur du site, provoquant son blocage.


Pourquoi ces données sont importantes

Pour le citoyen moyen, les données du marché clandestin ne seront pas forcément très utiles, car il ne cherchera probablement pas à se procurer des données de cartes volées ou des comptes PayPal. Bien que cela soit vrai, les prix auxquels ces articles se vendent fournissent une perspective puissante. Si quelqu'un met la main sur vos données financières ou vos références sur les médias sociaux, les prix mentionnés ci-dessus correspondent en gros à ce que cela vaut pour lui. Il y a de fortes chances que vous accordiez beaucoup plus de valeur à ces informations qu'elles n'en ont, car pour eux, vous n'êtes qu'une autre cible pour une somme modique.

Pour un prix bien inférieur à celui auquel vos données se vendraient sur le marché noir, vous pouvez les protéger contre la tentation d'avoir à les mettre entre leurs mains grâce à quelques règles et habitudes simples.

Comment se protéger contre la fraude à l'identité

Vous pouvez travailler avec votre banque pour récupérer éventuellement la plupart des biens qui vous ont été volés, mais c'est un long processus et un casse-tête important. Il peut également y avoir d'autres répercussions, comme un crédit inattendu contracté à votre nom, dont le recouvrement peut prendre des années.

1. Lorsque vous répondez à votre téléphone, veillez à ne jamais donner d'informations sensibles (telles que votre numéro de sécurité sociale, votre numéro de carte de crédit, vos mots de passe) à qui que ce soit, même si cela est nécessaire pour une procédure quelconque. Si c'est si important, faites-le en personne.
2. Chaque fois que vous vous rendez à un guichet automatique, vérifiez que le lecteur de carte n'est pas équipé d'un skimmer. Les skimmers lisent une carte avant qu'elle ne soit insérée dans un distributeur automatique, fournissant ainsi à un criminel un clone de la bande magnétique de votre carte. Cela suffit pour recréer votre carte à partir d'un "blanc". Appuyez sur les côtés du port de la carte et voyez si quelque chose semble desserré. Les skimmers sont souvent fabriqués pour imiter le matériau autour des ports, mais ils sont montés délicatement de manière à ce qu'ils se déplacent lorsqu'on les presse avec une légère pression. Vérifiez s'il y a de la colle sur les bords ou du ruban adhésif. Si vous voyez de la colle, ne vous approchez pas du distributeur et appelez la banque. De même, si vous avez des difficultés à mettre votre carte dans le distributeur, arrêtez d'essayer et restez à l'écart.
3. Vérifiez le clavier d'un distributeur automatique de billets en soulevant légèrement les bords. De faux claviers sont parfois placés par-dessus le clavier authentique pour enregistrer votre numéro d'identification personnel (PIN). Ils sont souvent montés de manière très souple. Si le clavier bouge un peu ou si vous remarquez qu'il est décentré, vous devez éviter de l'utiliser.
4. Vérifiez souvent la présence de logiciels malveillants sur votre ordinateur afin de vous assurer que vos données ne sont pas enregistrées lorsque vous les saisissez. Utilisez un anti-malware et assurez-vous qu'il est configuré pour se mettre à jour automatiquement.
5. Évitez les Wifi publics ou non sécurisés. Si vous devez vous connecter à un compte sur un réseau dont vous n'êtes pas sûr à 100 %, utilisez un VPN pour chiffrer toutes les communications. Même les sites web des banques peuvent être falsifiés et devenir presque indétectables si un pirate dispose d'un accès administratif au réseau que vous utilisez.
6. Supprimez les comptes que vous pensez ne plus utiliser. Les anciens comptes peuvent être compromis, ce qui entraîne des problèmes à l'avenir. Cependant, ce n'est vraiment un problème que si vous utilisez le même mot de passe pour plusieurs comptes.
7. N'utilisez jamais le même mot de passe pour plusieurs comptes. C'est le moyen le plus simple pour un intrus d'y accéder.
8. Utilisez un gestionnaire de mots de passe et vous bénéficierez toujours d'une sécurité optimale pour tous vos comptes, mais vous ne devrez vous souvenir que d'un seul mot de passe principal.

Source : PrivacyAffairs

Et vous ?

Quelle est votre opinion sur le sujet ?
Avez-vous déjà eu recours aux données ou services provenant du dark web ? Si oui, pouvez-vous partager votre expérience ?

Voir aussi :

Escroqueries du coronavirus sur le Dark Web : de la vente des respirateurs et du sang infecté, à l'enregistrement de noms de domaine pour créer des campagnes de phishing, d'après des analystes
Des outils du dark web mettent en lumière les dangers d'une mauvaise gestion des mots de passe, selon Recorded Future
Le service de vente des accès aux réseaux informatiques d'entreprises va grandissant sur le Dark Web, selon une étude réalisée par Positive Technologies

[tanaka59]

Bonjour,

Quelle est votre opinion sur le sujet ?

Lorsque vous répondez à votre téléphone, veillez à ne jamais donner d'informations sensibles (telles que votre numéro de sécurité sociale, votre numéro de carte de crédit, vos mots de passe) à qui que ce soit, même si cela est nécessaire pour une procédure quelconque. Si c'est si important, faites-le en personne.

Déjà une astuce , ne jamais répondre par "oui" en premier. Beaucoup de personnes agées se font avoir de la sorte ... Si on vous demande, dites "c'est moi même" surtout pas "oui" ... L'entreprise qui appelle ou la call center presta (si non basé en France), est en droit d'enregistrer votre voix et un "oui" peut servir de "signature oral" pour des facturations ou un changement de service que vous n'auriez pas besoin (changement de fournisseur d'eau, de gaz, électricité, télécom , assurance pour des services que vous n'avez pas besoin ... ). En gros c'est les attrapes à balou.

Chaque fois que vous vous rendez à un guichet automatique, vérifiez que le lecteur de carte n'est pas équipé d'un skimmer. Les skimmers lisent une carte avant qu'elle ne soit insérée dans un distributeur automatique, fournissant ainsi à un criminel un clone de la bande magnétique de votre carte. Cela suffit pour recréer votre carte à partir d'un "blanc". Appuyez sur les côtés du port de la carte et voyez si quelque chose semble desserré. Les skimmers sont souvent fabriqués pour imiter le matériau autour des ports, mais ils sont montés délicatement de manière à ce qu'ils se déplacent lorsqu'on les presse avec une légère pression. Vérifiez s'il y a de la colle sur les bords ou du ruban adhésif. Si vous voyez de la colle, ne vous approchez pas du distributeur et appelez la banque. De même, si vous avez des difficultés à mettre votre carte dans le distributeur, arrêtez d'essayer et restez à l'écart.

Vérifiez le clavier d'un distributeur automatique de billets en soulevant légèrement les bords. De faux claviers sont parfois placés par-dessus le clavier authentique pour enregistrer votre numéro d'identification personnel (PIN). Ils sont souvent montés de manière très souple. Si le clavier bouge un peu ou si vous remarquez qu'il est décentré, vous devez éviter de l'utiliser.

J'ai travaillé dans la détection de fraude à la CB ... quand je passe sur un automate genre DAB, pompe, borne de parking ... c'est le premier réflexe que j'ai . Je contrôle l'automate et la tronche qu'il a . Pas de fausse bouche ? Pas de collet marseillais ? Pas de faux clavier ? Pas de "caméra espion" ?

Vérifiez souvent la présence de logiciels malveillants sur votre ordinateur afin de vous assurer que vos données ne sont pas enregistrées lorsque vous les saisissez. Utilisez un anti-malware et assurez-vous qu'il est configuré pour se mettre à jour automatiquement.

Cela dépend de l'hygiène numérique , de ce que l'on télécharge et fréquente comme site web ...

Évitez les Wifi publics ou non sécurisés. Si vous devez vous connecter à un compte sur un réseau dont vous n'êtes pas sûr à 100 %, utilisez un VPN pour chiffrer toutes les communications. Même les sites web des banques peuvent être falsifiés et devenir presque indétectables si un pirate dispose d'un accès administratif au réseau que vous utilisez.

Mieux j’évite de m'y connecter tout court

Supprimez les comptes que vous pensez ne plus utiliser. Les anciens comptes peuvent être compromis, ce qui entraîne des problèmes à l'avenir. Cependant, ce n'est vraiment un problème que si vous utilisez le même mot de passe pour plusieurs comptes.

> Si le compte est "supprimable" , je supprime.
> Si le compte est "non supprimable", je mets une adresse mail bidon ou redirige vers un webmail temporaire, des coordonnées bidons aussi histoire de rendre le truc caduque non exploitable en cas de piratage de la BDD du site web.

A l'heure ou l'on nous parle d'écologie et d'environnement "supprimer" un compte devrait être aussi simple que de le créer ... Mais le marketing préfère conserver et continuer d'envoyer de la prospection ...

2/3 exemples de truc absurdes mais en cas de piratage cela ne pardonne pas :

> continuer d'envoyer du courrier postale à une adresse ou soit la personne est décédé , soit l'habitant a changé (solution, renvoyer le courrier à la poste a vos frais ou sur votre temps libre ... )
> continuer d'appeler un numéro de téléphone quand le propriétaire à soit changé, soit le titulaire n'est plus dans la situation indiqué en base (j'ai des exemples ou le numéro de tel n'est plus en raccord avec l'adresse postale depuis 10/20 ans ... pourtant il y a encore des appelles pour vendre des services ou produits ... bon a un moment c'est pénible et on en devient désagréable avec le call center ...)

N'utilisez jamais le même mot de passe pour plusieurs comptes. C'est le moyen le plus simple pour un intrus d'y accéder.

C'est élémentaire je dirais ...

Avez-vous déjà eu recours aux données ou services provenant du dark web ?

Non jamais, je n'ai jamais mis les pieds . Je sais par contre que des cabinets d'avocats, ont ouverts des guichets la dessus pour pouvoir entrer en contact avec des lanceurs d'alertes en cas de pépin , pour communiquer sur des sujets sensibles (lu dans un article de presse).

---

Contre le risque de fraude ou de piratage, je dirais :

> Lister les sites importants ou l'on s'inscrit , ou moins le nom de l'organisme (banque, service financier, solution de paiement,telecom et nom de domaine , assurance , service d'archivage de papier (bulletin de paie, contrat de travail ...) , emploi (assurance chomage , agence d'interim ... ) , assurance maladie , assurance retraite , administration divers (mairie, impots, cadastre , site d'enregistrement pour les vignettes de la voiture, administration régionale locale ...) , sociéte de transport (TC, train, compagnie aérienne, abonnement de parking ...) , service divers (voisin vigilant, service de gardiennage, alarme, service d'alerte communale ... ) , eau , gaz , électricité , site lié à la scolarité , site lié à la santé , mutuelle ... )
> se connecter au site en question (1 à 2 fois par an ... ) histoire de voir si on a pas de notification ou une alerte (non reçu par mail ... ), qu'on a toujours accès au compte et donc pas de problème de piratage ...