Darkweb : comment évoluent les marchés clandestins ?

Jean Langlois-Berthelot

Le 20 juin 2017, la police néerlandaise prend secrètement le contrôle de Hansa, une place de marché clandestine où se vendent notamment des drogues. Le site reste accessible. Début juillet, AlphaBay, un marché concurrent beaucoup plus important, est démantelé. Des utilisateurs cherchent un refuge et rejoignent Hansa. Ils entrent dans une plateforme déjà tenue par les enquêteurs. Le 20 juillet, Hansa ferme à son tour. Ces quatre semaines résument une transformation majeure : la disparition d’un site et le déplacement de ses utilisateurs peuvent appartenir à la même opération policière.

Depuis plus de dix ans, je consulte régulièrement le darkweb, plusieurs fois par semaine, pour la veille en cybersécurité et pour des recherches, notamment opérationnelles, utilisant ses données. Cette durée permet de distinguer plusieurs mouvements : la croissance des grandes places de marché, les crises de confiance provoquées par leurs fermetures, le développement des services spécialisés et l’articulation avec d’autres espaces de communication. Les noms changent rapidement. Les fonctions commerciales et les relations entre participants ont une histoire plus longue.

Hansa, le refuge qui était devenu un piège

Le communiqué d’Europol du 20 juillet 2017 décrit une multiplication par huit des nouvelles inscriptions sur Hansa immédiatement après la fermeture d’AlphaBay. Il ne parle pas d’une multiplication par huit de toutes les ventes. La différence compte : le déplacement commence par l’arrivée de comptes, puis seulement par la reconstruction éventuelle des transactions. Europol indique aussi avoir reçu environ 10 000 adresses étrangères d’acheteurs de Hansa. L’interface restée disponible avait donc permis de recueillir des informations pendant la migration.

Cet épisode transforme la lecture de la résilience. Habituellement, un marché qui reçoit les clients d’un concurrent disparu semble profiter d’une occasion commerciale. Ici, cette concentration facilite également l’enquête. Une hausse de fréquentation peut accompagner une dégradation de la sécurité des participants. La réputation antérieure du site ne renseigne plus correctement sur son contrôle présent. Pour comprendre le commerce clandestin, il faut suivre les acteurs qui administrent les infrastructures, pas seulement vérifier que les pages répondent encore.

Pourquoi les fermetures déplacent autant d’activité

Abeer ElBahrawy, Laura Alessandretti, Leonid Rusnac, Daniel Goldsmith, Alexander Teytelboym et Andrea Baronchelli publient Collective dynamics of dark web marketplaces dans Scientific Reports le 2 novembre 2020. Leur étude suit trente et un marchés entre juin 2011 et juillet 2019 et examine vingt-quatre fermetures. Les données reposent sur des transactions en bitcoin attribuées aux plateformes. Parmi les utilisateurs qui migrent, 66 % rejoignent la même destination principale. Les participants les plus actifs se déplacent plus facilement que les utilisateurs occasionnels.

La destination qui attire le plus de migrants tend à être un marché déjà important et partageant davantage d’utilisateurs avec celui qui ferme. Le commerce ne repart donc pas nécessairement de zéro. Certains participants disposent déjà d’un compte ailleurs, de partenaires connus ou d’une réputation susceptible d’être reconnue. Le résultat décrit un corpus historique précis. Il ne prouve ni que chaque vendeur survit à une fermeture ni que toutes les opérations policières échouent.

Ce que j’en retiens est une asymétrie. L’acheteur occasionnel perd son point d’entrée. Le vendeur qui fréquente plusieurs plateformes possède davantage de possibilités de repli. Après une perturbation, les acteurs survivants peuvent donc être plus expérimentés ou mieux connectés. Un volume commercial revenu à son niveau antérieur peut masquer une sélection des participants. C’est une transformation du marché, même lorsque la courbe globale donne l’impression d’un simple retour à la normale.

Lukas Norbutas, Stijn Ruiter et Rense Corten consacrent justement un article de 2020 au transfert de réputation entre cryptomarchés, dans l’International Journal of Drug Policy. Le titre, Reputation transferability across contexts, désigne un problème très concret : comment conserver une crédibilité construite sur une plateforme lorsque celle-ci disparaît ? Leur travail rappelle que les déplacements concernent aussi la valeur accumulée dans les relations. Une nouvelle boutique peut reprendre un catalogue en quelques minutes ; une réputation ne se reconstruit pas aussi mécaniquement.

Wall Street Market, quand le garant devient le risque

Wall Street Market était une place de marché accessible par Tor, proposant notamment des stupéfiants, des contrefaçons et des logiciels malveillants. Le 3 mai 2019, le ministère américain de la Justice annonce des poursuites contre ses administrateurs présumés. La plainte décrit environ 5 400 vendeurs et 1,15 million de clients. Elle leur reproche notamment d’avoir détourné, en avril, les monnaies numériques conservées dans les comptes et le dispositif de paiement du marché. Les enquêteurs évaluent alors ces fonds à environ onze millions de dollars.

Le mécanisme en cause est le séquestre, souvent appelé escrow. La plateforme retient le paiement pendant l’exécution de la commande, puis le libère selon les règles prévues. Cette intermédiation vise à réduire le risque qu’un vendeur conserve l’argent sans livrer. Elle crée cependant une autre dépendance : les utilisateurs doivent faire confiance à celui qui garde les fonds. Lorsque les administrateurs partent avec cet argent, on parle d’exit scam, une escroquerie de sortie. Le service chargé de sécuriser l’échange devient lui-même le point de défaillance.

Cette contradiction traverse toute la décennie. Plus une plateforme inspire confiance, plus elle peut attirer d’utilisateurs et concentrer des fonds. Sa réussite augmente donc parfois l’enjeu d’une défaillance. Le problème ne se réduit pas à la robustesse du chiffrement ou à la qualité du logiciel. Il concerne la répartition du pouvoir : qui contrôle l’argent, qui tranche un litige, qui peut interrompre les retraits ? L’histoire de ces marchés est aussi celle de tentatives pour limiter la confiance accordée à un administrateur unique.

Angus Bancroft, Tim Squirrell, Andreas Zaunseder et Irene Rafanell l’examinent dans Producing trust among illicit actors, publié en ligne en 2019 puis dans Sociological Research Online en 2020. Leur étude décrit un marché qui renonce à plusieurs dispositifs techniques habituels et s’appuie davantage sur des relations entre membres, des normes communes et une participation aux décisions. Elle montre que la confiance ne dépend pas exclusivement d’un bouton de paiement ou d’un score. Une communauté peut déplacer une partie des garanties vers ses relations sociales.

Genesis vendait une possibilité d’usurpation

Genesis Market marque une autre transformation. Créé en mars 2018, ce service commercialise des données prélevées sur des ordinateurs infectés : identifiants de messagerie, comptes bancaires, réseaux sociaux et autres accès. Le 5 avril 2023, le ministère américain de la Justice indique que le marché avait proposé des données provenant de plus de 1,5 million d’ordinateurs compromis, représentant plus de quatre-vingts millions d’identifiants d’accès. Un ordinateur, une personne et un identifiant sont ici trois unités différentes. La taille du catalogue ne donne pas directement le nombre de victimes distinctes.

La National Crime Agency britannique décrit aussi des empreintes numériques associées aux identifiants. Ces informations caractérisent l’environnement habituel d’un utilisateur. Les ensembles proposés comprennent des données de navigateur et de session, dont des cookies : de petits éléments utilisés notamment par les services en ligne pour maintenir une connexion. La marchandise ne se limite donc pas à une paire composée d’un nom d’utilisateur et d’un mot de passe. Elle vise à rapprocher une connexion frauduleuse de l’apparence d’une connexion légitime, selon les protections du service ciblé.

L’opération Cookie Monster frappe Genesis le 4 avril 2023. Eurojust précise que le marché était accessible à la fois sur le Web ordinaire et sur le darkweb. Ce détail empêche de réduire l’économie clandestine à une liste d’adresses onion. Une même activité peut utiliser plusieurs modes d’accès. Le lieu où se trouve la boutique ne dit pas, à lui seul, où les données ont été volées, où les clients discutent ni comment les infractions suivantes seront commises.

Pour la cybersécurité, la tendance est importante : le commerce porte aussi sur des capacités immédiatement utilisables. Un fichier ancien de mots de passe et un ensemble récent de données de session ne présentent pas la même valeur opérationnelle. Leur durée d’utilité diffère. Une réinitialisation, une révocation ou une modification des protections peut réduire cette valeur. Le temps devient une composante du produit. L’offre se juge à sa fraîcheur, à son périmètre et aux conditions d’accès, autant qu’au nombre de lignes annoncé.

Cette évolution vers des prestations entretenues dans la durée apparaît aussi dans la recherche récente. Mathieu Jeannot, Jean-Yves Marion et leurs collègues déposent en juin 2026 Inside Crypter-as-a-Service sur arXiv. Un crypter est un outil destiné à rendre un logiciel malveillant plus difficile à détecter. Leur corpus porte sur 491 fils et 2 949 messages du forum exploit.in, entre janvier 2020 et août 2025. Il décrit des offres dont la valeur dépend du renouvellement des composants et du maintien de l’efficacité face aux antivirus, parfois avec des mises à jour quotidiennes.

Les auteurs précisent que certaines offres annoncent un renouvellement toutes les vingt-quatre à quarante-huit heures : le support et la fréquence des mises à jour deviennent des arguments commerciaux.

Ce préprint distingue cinq types de vendeurs et quatre profils d’acheteurs. Les offres vont de prestations automatisées peu coûteuses à des développements sur mesure et au recrutement rémunéré. Il ne s’agit donc pas uniquement de télécharger un programme : le client achète aussi une maintenance et une disponibilité. La continuité du prestataire devient une partie de la marchandise. Le corpus concerne un forum précis ; il documente une forme de spécialisation, sans représenter à lui seul toute la cybercriminalité.

Le contraste avec une annonce de cocaïne est éclairant. Dans un cas, il faut renouveler un stock et organiser sa livraison. Dans l’autre, il faut maintenir une capacité face à des protections qui changent. Les deux activités ont besoin de réputation, mais leurs rythmes diffèrent. Une évaluation ancienne ne porte pas sur le même risque lorsqu’elle concerne une expédition passée ou l’efficacité actuelle d’un service logiciel. Cette différence explique pourquoi les catégories commerciales doivent accompagner la lecture historique des marchés.

Archetyp rappelle que la drogue n’a pas disparu

La spécialisation dans les services numériques n’a pas remplacé le commerce de stupéfiants. Archetyp, une place de marché de drogues active depuis 2020, est démantelée en juin 2025. Dans son bilan du 16 juin, Eurojust mentionne environ 3 200 vendeurs, plus de 600 000 utilisateurs, quelque 17 000 annonces et au moins 250 millions d’euros de transactions. Ce montant est cumulé sur l’existence du service. Le catalogue autorisait notamment le fentanyl et d’autres opioïdes de synthèse, une particularité soulignée par les autorités.

L’intervention se déroule du 11 au 13 juin et vise plusieurs fonctions : administration, modération, vendeurs et serveurs. Huit personnes sont arrêtées. Le cas montre la coexistence de deux réalités : des plateformes spécialisées restent capables d’atteindre une taille importante, et leur fonctionnement dépend d’un ensemble de personnes et d’infrastructures localisables. Le darkweb n’est pas devenu une économie immatérielle détachée du monde. La livraison de cocaïne ou d’opioïdes continue d’exiger une chaîne physique ; la plateforme organise la rencontre commerciale et une partie des garanties.

En 2026, les fonctions se répartissent entre davantage de lieux

Dans son Internet Organised Crime Threat Assessment de 2026, Europol décrit une contraction des grandes places généralistes, une durée de vie plus courte et une progression de plateformes spécialisées. Les forums servent notamment de points de regroupement après les fermetures. Les échanges s’articulent davantage avec des messageries chiffrées. Il ne s’agit pas d’une disparition générale des marchés onion, mais d’une distribution plus fragmentée des fonctions : découverte, réputation, recrutement, négociation et transaction ne se déroulent pas nécessairement au même endroit.

Cette distribution explique pourquoi le suivi d’une seule enseigne devient insuffisant. Une boutique peut fermer tandis que ses vendeurs restent identifiables dans les discussions. Un forum peut conserver les controverses et les recommandations alors que les paiements ont lieu ailleurs. Une messagerie peut prolonger une relation sans devenir une place de marché complète. Ces espaces ne sont pas interchangeables. Chacun conserve certaines traces et en rend d’autres moins visibles. La circulation entre eux fait désormais partie de l’objet à observer.

Après plus de dix ans, je décrirais donc le changement comme une recomposition continue, accélérée par les fermetures, les escroqueries et la spécialisation commerciale. Hansa montre que migrer peut exposer davantage. Wall Street Market montre le risque créé par le gardien des fonds. Genesis montre la vente de capacités d’usurpation. Archetyp montre la persistance des grands marchés de drogues. Ces cas appartiennent à une même histoire, mais ils ne racontent pas la même transformation. Les distinguer permet de comprendre ce qui se déplace, ce qui se maintient et ce qui change réellement.