Darkweb : dix ans ont changé les règles du jeu

Jean Langlois-Berthelot et Didier Bazalgette

Depuis un peu plus de dix ans, nous consultons le darkweb plusieurs fois par semaine, pour suivre la cybersécurité, par intérêt pour cet environnement et dans le prolongement de recherches utilisant ses données. Cette pratique a aussi alimenté nos recherches opérationnelles. Nous revenons ici sur des transformations précises : les adresses ont changé, les catalogues se sont déplacés, la réputation a circulé entre plateformes et les chercheurs ont appris à confronter les promesses commerciales aux marchandises. Le changement décisif se lit souvent dans un détail que la première visite laisse passer.

Evolution, du catalogue au laboratoire

Dans Forensic Science International, en octobre 2016, Damien Rhumorbarbe, Ludovic Staehli, Julian Broséus, Quentin Rossy et Pierre Esseiva publient Buying drugs on a Darknet market: A better deal? Leur travail porte précisément sur Evolution. Ils analysent ses pages, en extraient plus de 48 000 annonces et recensent environ 2 700 vendeurs. Il s’agit d’offres affichées, pas d’un comptage de colis effectivement distribués.

L’équipe de Lausanne achète de la cocaïne et des produits du cannabis auprès de trois vendeurs suisses, dans le cadre d’une autorisation cantonale. Elle analyse les substances et les emballages. Les teneurs mesurées diffèrent des annonces ; des profils chimiques relient certaines cocaïnes achetées en ligne à des échantillons saisis en Suisse occidentale. Ce protocole transforme la question. Le vendeur ne fait plus seulement l’objet d’un entretien ; plusieurs traces indépendantes permettent de tester ses affirmations. L’étude relie une page, une expédition et une composition.

Cette articulation nous intéresse davantage que le spectacle du catalogue. Une localisation déclarée n’établit pas le lieu de production. Une expédition depuis la Suisse ne signifie pas que la substance y a été fabriquée. Un emballage appartient à une chaîne logistique, pas automatiquement à une organisation identifiable. Il faut conserver ces différences pour comprendre comment une boutique numérique s’insère dans un commerce matériel. Le darkweb ne fait disparaître ni les stocks, ni les transports, ni les intermédiaires. Il modifie la manière dont des participants se rencontrent et évaluent leurs partenaires.

La première tendance tient ainsi à l’intégration du commerce numérique dans les circuits de drogue existants. La vente en ligne ne décrit pas nécessairement un trafic séparé. Dans leur article de 2016 Hidden wholesale, Judith Aldridge et David Décary-Hétu, publié dans l’International Journal of Drug Policy, étudient la fonction d’approvisionnement de revendeurs sur Silk Road, une place de marché de drogues fermée en 2013. L’achat final peut ensuite avoir lieu hors ligne. Les consommateurs concernés ne sont donc pas tous des utilisateurs de Tor.

Ce déplacement du point de vente modifie la relation commerciale. Le vendeur doit rendre son offre compréhensible à distance ; l’acheteur compare des descriptions, des évaluations et des conditions de livraison. Le territoire n’est pas aboli : il réapparaît dans les pays d’expédition, les destinations acceptées et la possibilité de recevoir une commande. La vitrine devient internationale tandis que les contraintes logistiques restent situées. Ce sont ces articulations, déjà visibles au milieu des années 2010, qui donnent son épaisseur au développement des cryptomarchés.

Une livraison correcte peut masquer une promesse fausse

Monica Barratt et ses collègues reprennent cette confrontation dans Drugs, Habits and Social Policy en 2024. Leur article, How accurate are drug cryptomarket listings by content, weight, purity and repeat purchase?, rapproche trente-huit achats policiers australiens de 2016 et 2017 de vingt-trois annonces : cocaïne, méthamphétamine, MDMA et héroïne principalement. La substance annoncée est généralement présente et le poids est souvent conforme ou supérieur. Pourtant, toutes les annonces donnant une pureté chiffrée surestiment celle du produit reçu. La conformité dépend donc de la propriété examinée.

La présentation de ces résultats au congrès ISSDP de 2024 précise le contraste : 92 % des échantillons contiennent la substance annoncée. Pour une même annonce d’héroïne, deux achats présentent des puretés de 18 % et 73 %. Des variations importantes apparaissent aussi entre commandes espacées d’un mois. Ces achats ne constituent pas un échantillon représentatif de tous les marchés : ils proviennent d’une sélection policière australienne. Ils suffisent néanmoins à démontrer qu’une fiche stable peut recouvrir des produits variables.

Nous pouvons alors lire autrement les évaluations. Une appréciation enthousiaste sur la rapidité d’expédition mesure une expérience logistique. Elle ne remplace pas une analyse chimique. Même un avis sincère peut renseigner imparfaitement sur le produit suivant. La réputation accumule des expériences passées ; elle ne transforme pas chaque livraison future en événement déjà vérifié. Cette distinction concerne aussi les données volées : avoir livré un fichier ne démontre ni sa fraîcheur, ni son exclusivité, ni la validité des accès qu’il contient.

En 2021, les carnets d’adresses vieillissent brutalement

Un autre changement se voit dans la barre d’adresse. Les anciens services onion utilisaient des adresses de seize caractères avant le suffixe .onion. La troisième génération en utilise cinquante-six. Tor annonce le retrait de la deuxième génération en juillet 2020 ; son calendrier organise la transition en 2021. Les versions stables publiées en octobre 2021 achèvent la désactivation. Une collection de liens construite pendant plusieurs années devient alors partiellement inutilisable pour une raison technique, indépendamment d’une intervention policière ou d’une faillite commerciale.

La longueur nouvelle n’est pas décorative. La spécification de Tor décrit une clé publique Ed25519 de trente-deux octets, deux octets de contrôle et un octet de version, encodés ensemble. L’adresse participe à l’authentification du service : elle permet au logiciel de vérifier qu’il communique avec le service correspondant. Elle ne certifie pas l’identité civile de son administrateur. Elle ne garantit pas davantage que le vendeur expédiera ce qu’il promet. La cryptographie vérifie une relation technique ; la confiance commerciale se construit ailleurs.

Tor lui-même doit être distingué des sites qu’il transporte. C’est un réseau d’anonymisation, également utilisé pour consulter le Web ordinaire. Un service onion reste accessible à l’intérieur de ce réseau ; contrairement à une consultation d’un site classique par Tor, sa connexion ne passe pas par un relais de sortie. Cette architecture protège des communications légitimes autant qu’elle peut héberger des activités criminelles. Une adresse onion désigne un mode d’accès, pas une catégorie pénale, une profession ou une communauté homogène.

Pour suivre une boutique à travers cette transition, nous devons donc conserver davantage qu’une adresse. Le nom affiché, les dates, les descriptions, les annonces de migration et les éléments de continuité disponibles forment un dossier. Aucun indice isolé ne suffit toujours. Un nom se copie ; une présentation commerciale aussi. Une interruption de lien n’est pas nécessairement une disparition. Voilà un changement concret de la décennie : la mémoire du terrain ne peut plus être organisée comme un simple répertoire de favoris.

Ahmia trouve des pages, pas la totalité du terrain

Ahmia est un moteur de recherche de services onion fondé par Juha Nurmi. Sa documentation distingue un collecteur, chargé de parcourir les pages, un index utilisant Elasticsearch et une interface de recherche. Le projet applique aussi des exclusions. Le résultat affiché dépend donc de ce que le collecteur a découvert, de ce qu’il a pu consulter et de ce qui a été conservé dans l’index. Une page absente des résultats peut être inaccessible, non découverte, exclue ou située derrière une authentification.

Philipp Winter, Anne Edmundson, Laura Roberts, Agnieszka Dutkowska-Żuk, Marshini Chetty et Nick Feamster étudient ces difficultés à USENIX Security en août 2018. How Do Tor Users Interact With Onion Services? repose sur dix-sept entretiens et un questionnaire rempli par 517 utilisateurs. Les problèmes recensés concernent la découverte des sites, leur suivi et leur authentification. Trouver une adresse et savoir à quoi elle correspond sont déjà deux opérations différentes. L’étude analyse aussi les représentations incomplètes que les utilisateurs se font du fonctionnement de ces services.

Pour nous, la différence entre moteur et terrain possède une conséquence quotidienne. Une recherche répétée avec les mêmes mots peut donner moins de résultats parce que des pages ont disparu de l’index, sans que l’activité correspondante ait diminué. Inversement, plusieurs copies d’un contenu peuvent donner l’impression d’une croissance. L’information utile n’est pas seulement le résultat obtenu, mais sa date et son origine. Sans cette mémoire, le moteur finit par imposer sa propre histoire du darkweb à celui qui le consulte.

L’accès lui-même devient un enjeu de continuité. L’IOCTA 2024 décrit Dread, un forum lancé en 2018, consacré notamment aux échanges sur les drogues et le piratage. Après une interruption liée à une attaque par saturation, le projet introduit Daunt, un service d’adresses onion tournantes. L’objectif annoncé est de mieux résister aux attaques qui rendent les sites indisponibles. Cela ajoute une fonction entre l’utilisateur et le contenu : retrouver un point d’entrée utilisable. La stabilité d’une communauté peut ainsi dépendre d’une infrastructure d’orientation distincte du forum où ses membres discutent.

La confiance se construit entre deux personnes

Dans Social Networks en 2020, Lukas Norbutas, Stijn Ruiter et Rense Corten publient Believe it when you see it. Ils distinguent la réputation générale d’un vendeur de l’expérience directe qu’un acheteur possède avec lui. Cette dernière pèse fortement dans la répétition des échanges ; la réputation publique intervient particulièrement dans la formation de nouvelles relations. Un acheteur déçu peut aussi quitter le marché. Son silence ultérieur ne constitue donc pas une preuve de satisfaction retrouvée.

Ce résultat oblige à regarder les trajectoires derrière les notes. Deux vendeurs présentant une évaluation comparable peuvent occuper des positions différentes : clientèle fidèle pour l’un, flux de nouveaux acheteurs pour l’autre. Une fermeture de plateforme n’affectera pas nécessairement leurs relations de la même manière. Le capital commercial n’est pas entièrement contenu dans le compte visible. Il réside aussi dans des habitudes, des recommandations et la possibilité de reconnaître un partenaire après un déplacement. Compter les profils ne suffit pas à mesurer cette continuité.

L’ethnographie apporte une autre profondeur. Kimberley Masson et Angus Bancroft publient Nice people doing shady things dans l’International Journal of Drug Policy en août 2018. Leur enquête associe neuf entretiens, menés entre décembre 2014 et juillet 2017, à une observation déclarée des forums. Ils étudient les valeurs de réciprocité, les échanges de connaissances et les discours de réduction des risques. Les participants décrivent un espace social dont les effets débordent les transactions. Cela n’efface ni les escroqueries ni les menaces présentes dans ces communautés.

Une décennie de sophistication, sans disparition des fragilités

La tendance n’est donc pas une progression simple, de marchés primitifs vers des échanges devenus sûrs. Les outils d’accès changent, les vendeurs accumulent de la réputation et les acheteurs développent des habitudes. Pourtant, la qualité reste variable, les identités commerciales peuvent être imitées et la confiance demeure vulnérable aux ruptures. La sophistication des interfaces coexiste avec des incertitudes anciennes. Une plateforme mieux organisée peut faciliter les commandes sans résoudre le problème de la composition d’une poudre ou celui du devenir des fonds confiés à ses administrateurs.

Les échanges auxquels nous avons participé en 2018, 2019 et 2020 avec des interlocuteurs des ministères de l’Intérieur et des Armées s’inscrivaient dans cette recherche de précision. La littérature disponible traitait déjà de composition chimique, de réputation et de circulation entre marchés. Le terrain n’attendait pas qu’on découvre son existence. Il demandait qu’on distingue ses composantes et qu’on relie les observations aux questions opérationnelles : continuité d’un fournisseur, validité d’une offre, persistance d’une capacité ou déplacement d’une activité.

Après plus de dix ans de consultation régulière, nous retenons surtout cette transformation du regard. Au début, la page semble être l’objet. Avec la durée, elle devient une pièce parmi d’autres. Une note se replace dans une relation ; une adresse dans une infrastructure ; une annonce dans une chaîne matérielle. C’est là que l’observation acquiert de la profondeur. Evolution a disparu en 2015. Les questions que ses données permettent de poser restent actuelles, parce qu’elles portent sur ce qui rend un échange possible et sur ce qui permet d’en vérifier les promesses.