Comment s’assurer qu’un site « Onion » sur le Dark Web est légitime

Le dark web n’est pas réservé aux activités illicites. En fait, de nombreuses plateformes en ligne légitimes maintiennent un domaine « .onion » sur le dark web pour des raisons de confidentialité, notamment des médias comme ProPublica et BBC News, des sites de médias sociaux comme Facebook et des plateformes de communication soucieuses de la confidentialité comme Proton Mail et SecureDrop.

Mais cela offre également une couverture parfaite aux criminels et aux pirates informatiques qui créent des clones de sites Web sombres légitimes pour voler des données sensibles et des cryptomonnaies à des utilisateurs soucieux de leur confidentialité. Et étant donné que les liens en forme d’oignon sont longs et confus, il est facile pour les utilisateurs de cliquer accidentellement sur le mauvais lien et de se retrouver sur un faux site Web au lieu du vrai. Lorsque le FBI a saisi 276 adresses onion lors de l’opération Onymous en 2014, il a découvert que 153 d’entre elles étaient des sites de phishing.

Heureusement, Tor Browser dispose déjà d’une fonctionnalité basée sur la cryptographie qui peut vérifier l’authenticité d’un site onion, en confirmant s’il dispose d’un cryptage de bout en bout et de certificats de validation étendus. Voici comment cette fonctionnalité fonctionne, où elle échoue, ainsi que les autres signaux d’alarme que vous devriez rechercher.

Comment fonctionne le phishing sur le dark web

Même si le phishing sur le dark web fonctionne comme sur le clear web, les fraudeurs présentent quelques avantages uniques en raison de la nature secrète de l’environnement. Plus important encore, vous ne pouvez pas simplement jeter un coup d’œil à un lien en oignon pour savoir si le site est authentique. Les URL normales de sites Web ont tendance à être courtes et mémorisables, tandis que les liens en oignon sont des chaînes de texte alphanumérique de 56 caractères qui ressemblent principalement à du charabia.

Lorsque vous essayez de vous connecter, Tor Browser vérifie l’URL par rapport à la clé cryptographique du site Web d’origine, ce qui vous permet de savoir que personne n’a détourné l’adresse ou ne l’a falsifiée à mi-chemin. Mais comme cela a pour effet indésirable de rendre les domaines plus difficiles à mémoriser, les fraudeurs ont beaucoup plus de facilité à générer des adresses similaires ou à créer des clones de sites Web.

Par exemple, de nombreux sites Web populaires utilisent des « préfixes personnalisés » pour rendre leurs adresses oignon plus facilement identifiables ou pour ajouter un attrait à leur marque. Cela signifie que leur lien oignon de 56 caractères commence par quelque chose comme « facebook », « bbcnews » ou « ciadotgov ». Mais les escrocs peuvent utiliser un outil gratuit comme mkp224o pour générer des adresses similaires avec le même préfixe personnalisé que le site Web légitime, ce qui donne aux utilisateurs un faux sentiment de sécurité.

Bien sûr, la plupart des utilisateurs du Dark Web ne saisissent pas d’adresses directement dans le navigateur Tor ; ils utilisent des répertoires du Dark Web comme Hidden Wiki pour trouver des sites d’oignon utiles et pertinents pour leur recherche. Les fraudeurs créeront de faux moteurs de recherche ou créeront des liens vers des répertoires pour diriger les utilisateurs vers leurs faux sites Web, comme lorsque le moteur de recherche Ahmia a découvert qu’une copie de sa plateforme dirigeait les utilisateurs vers 255 services clonés en 2015.

Bien entendu, il est possible d’orchestrer des tentatives de phishing qui n’impliquent pas du tout le clonage de sites. Des chercheurs de la Freie Universität Berlin décrivent une technique sophistiquée dans laquelle les attaquants servent le vrai site Web via leur propre proxy inverse, ce qui leur permet de manipuler des parties du site ou d’enregistrer votre activité en ligne à votre insu. En 2019, ESET a même découvert une version trojanisée du navigateur Tor qui remplaçait les adresses Bitcoin sur les sites Web pour diriger les paiements vers les pirates. Ainsi, les sites Web authentiques et votre navigateur lui-même sont également vulnérables à la manipulation si vous les téléchargez ou y accédez à partir d’une source non vérifiée.

Comment vérifier un site oignon dans le navigateur Tor

Il existe quelques bonnes pratiques pour éviter les attaques de phishing lors de l’utilisation du dark web. Aucun d’entre eux n’est infaillible à lui seul, mais ensemble, ils réduisent considérablement le risque de se retrouver sur un site Web faux ou manipulé.

1. Le projet Tor dispose d’une fonctionnalité appelée Onion-Location, qui permet aux sites Web clairs d’annoncer qu’ils disposent d’une version Web sombre disponible pour les utilisateurs qui préfèrent plus de confidentialité. Si l’ouverture d’un site Web standard basé sur TLS à l’aide du navigateur Tor révèle un bouton violet « oignon disponible » dans la barre d’adresse, vous pouvez cliquer dessus et être redirigé vers le lien oignon officiel associé à ce site.

2. Sur la version de bureau du navigateur Tor, vous pouvez accéder à un site Onion en utilisant une version abrégée de son URL appelée nom d’oignon. Pour l’instant, cette fonctionnalité ne fonctionne qu’avec SecureDrop, de sorte que les salles de rédaction peuvent établir des lignes de conseils avec des adresses telles que mysitename.securedrop.tor.onion, qui redirigeraient ensuite vers l’adresse oignon d’origine de 56 caractères. Cette fonctionnalité est en cours de développement, donc davantage de plates-formes pourraient la prendre en charge à l’avenir.

3. Lorsque vous chargez un site oignon à l’aide du navigateur Tor, vous verrez une icône en forme d’oignon sur la barre d’adresse, qui confirme que votre connexion est cryptée de bout en bout. Mais vous pouvez également cliquer sur l’icône en forme d’oignon pour vérifier si le site dispose d’un certificat Extended Validation (EV), qui vous indique que son authenticité a été vérifiée par une autorité de certification de confiance comme DigiCert. Bien que tous les sites d’oignons légitimes n’aient pas de certificat EV, les sites célèbres comme Facebook ont ​​tendance à en avoir.

4. D’un autre côté, si vous voyez un panneau d’avertissement à côté de l’icône en forme d’oignon, cela signifie que le site utilise un certificat auto-signé ou expiré qui n’est pas garanti par une autorité de confiance. Cela peut également impliquer que le site est diffusé via une URL non sécurisée. Cela ne vous indique pas définitivement qu’il s’agit d’un site de phishing, mais c’est néanmoins un signal d’alarme à surveiller.

5. Ne comptez pas trop sur les moteurs de recherche, les répertoires de liens, les fils de discussion Reddit ou les chaînes Telegram sur le dark web. Une fois que vous êtes sûr d’avoir trouvé l’adresse oignon d’un site authentique, ajoutez-la à vos favoris afin de pouvoir y accéder directement la prochaine fois que vous souhaitez le visiter.

Que faire si vous pensez avoir été victime d’un hameçonnage

Si vous réalisez que vous avez été victime d’une tentative de phishing, la première étape consiste à fermer la fenêtre du navigateur avec le faux site et à accéder à la véritable adresse onion pour réinitialiser les mots de passe de compte que vous pourriez avoir accidentellement divulgués.

Essayez également d’activer l’authentification à deux facteurs et les connexions PGP sur tout compte Web sombre qui le prend en charge pour plus de sécurité. Et si vous avez téléchargé le navigateur Tor ailleurs que sur le site officiel du projet Tor, désinstallez-le maintenant et récupérez une nouvelle copie à l’adresse officielle.