Quel est le prix de vos données sur le black market ?

Dans les tréfonds du dark web, les marchés noirs pullulent, chacun leur petit nom (Silk Road Reloaded, Angora, Pandora, etc.), leurs habitués et spécialités. Grâce à eux, vous pouvez acheter ou vendre à peu près tout ce qu’internet compte d’illicite : armes, drogues, faux papiers, données personnelles, tueur à gages, logiciels malveillants, etc.

Récemment, le tenancier de Silk Road, autrement dénommé « l’eBay de la drogue », a été condamné à la prison à vie (deux fois), reconnu coupable, entre autres, de blanchiment d’argent, trafic de stupéfiants et piratage informatique.

Les experts de G Data, éditeur international de solutions de sécurité informatique dont la société sise à Bochum a été créée en 1985, ont infiltré le black market afin de comprendre son écosystème, ce qui s’y échange, quels produits et services y sont vendus et à quel prix ?

Quoi ? Faux papiers, armes, drogues, logiciels malveillants, exploit kit, virus, payés en monnaie virtuelle, dont la plus connue est le Bitcoin (1 bitcoin = 238$).

Qui ? Des cybercriminels donc. S’il y a encore quelques années, seuls les plus aguerris s’y retrouvaient pour échanger leur butin afin de mener des opérations entre eux, force est de constater que le profil du cybercriminel à changer puisque, comme expliqué précédemment, tout s’achète sur le black market, même les services d’un autre. Ainsi, sans grandes compétences, on peut s’allouer les services d’un développeur de malwares, puis d’un hébergeur, etc. et mener sa propre opération.

Le marché noir est le terrain tout choisi des alliances de compétences entre différents cybercriminels. Bonus : il offre un service après-vente, si un numéro de carte bancaire acheté ne fonctionne pas, il vous en sera délivré un autre, par exemple. Les réputations des vendeurs et des acheteurs sont très importantes, le marché noir marchant sur la confiance des produits, vendeurs, mais aussi acheteurs. C’est la limite de l’enquête des experts de G Data, ils n’ont rien acheté, n’ont pas construit leur réputation et n’ont pas pu accéder à certains forums privés où il faut être invité.

Tarifs ? Très abordables selon ce que vous souhaitez acheter et les produits les plus recherchés sont les données personnelles : adresse email, compte email, numéro de carte bleue, identité complète.

– Services
Peut aller de 70€ pour l’installation d’un programme malveillant à 100€ pour une attaque DDoS, parfois loué à l’heure (entre 10€ et 200€/h d’attaque), 5€ le spam, 20€ le kit d’hameçonnage (ou phishing) et 5 000€ l’installation d’un Bot.

– Produits
Logiciels malveillants (Ransomware/Crypter,Exploits).
Tutoriels : gratuit, cadeau de bienvenue.
Faux papiers (1 000$ la carte d’identité, 2 500$ le passeport et 1 150$ le permis de conduire), armes (Desert Eagle IMI, 44, 1250$), drogues, carding et skimming (pour escroquerie et piratage de CB)
Données personnelles : 75€ le million d’emails (ou 0,000075$ l’adresse), 20€ les 40 000 comptes emails, 50€ la CB française volée ou le compte Paypal, 70€ l’identité complète (ou fullz) d’une personne. Les faibles prix s’expliquent aisément par l’offre très abondante. Autrement dit, plus la quantité de données personnelles subtilisées est importante, plus important sera le gain pour le cybercriminel.

Les données personnelles sont les plus prisées et peut-être aussi les plus facilement récupérables : avec elles, c’est la porte ouverte sur votre vie privée et numérique : email, compte email, accès compte réseaux sociaux, usurpation d’identité, achats frauduleux sur internet, fausse carte de crédit , etc. On dénombre 2600 cas par mois, 80% sont des escroqueries et 22% des arnaques à la carte bancaire.
Les Botnet sont de plus en plus utilisés, pour mener des campagnes de spam, stocker des données illégales, mener des attaques DDoS, accéder à un compte Steam, etc. Le botnet est un réseau de bot (robot) informatiques, qu’on appelle aussi réseau de machines zombies car plusieurs ordinateurs sont infectés par un virus dormant. Pour mener une attaque de spam, phishing ou DDoS, le groupe ou la personne qui contrôle le botnet réveille son réseau d’ordinateurs infectés.

Comme nous l’a expliqué Eric Freyssinet, conseiller du préfet en charge de la lutte contre les cybermenaces au Ministère de l’Intérieur, le Botnet requiert plusieurs compétentes qu’une seule personne ne peut souvent pas réunir et coûte généralement plusieurs milliers d’euros à la personne qui souhaite le constituer et l’utiliser. Les données récoltées grâce à lui, rentabiliseront son investissement, une fois revendues sur le black market, mais bénéficieront aussi aux autres acteurs du marché noir, comme les gestionnaires d’infrastructures,acheteurs de données collectées, blanchisseurs d’argent sale, etc.

Pour Eric Freyssinet, l’avenir des Botnet se sont les objets connectés qui, une fois piratés, peuvent donner accès aux serveurs où sont connectés ces objets. Mais également les terminaux de point de vente, de plus en plus ciblés (notamment aux États-Unis).
Leur rapidité de diffusion et d’adaptation (notamment du pays dans lequel le botnet est déployé) en fait des armes redoutables et difficilement traçables. Le temps de l’enquête, l’attaque est terminée depuis longtemps. Cependant, des victoires sont à relever : Blackshade, dont l’enquête a donné lieu à un important coup de filet international, l’auteur de Gameover Zeus, identifié, mais toujours en fuite (le FBI offre 3 millions de dollars pour sa capture) ou le développeur de Blackhole arrêté en 2013.

On en le dira jamais assez une bonne protection (antivirus complet, qui comprend un pare-feu, quand un pare-feu ne comprend pas d’antivirus) est de mise et surtout une grande vigilance. Si les logiciels malveillants ou autres botnet exploitent des failles existantes, ils profitent également de la méconnaissance et l’imprudence de l’internaute lambda, qui même avec un mot de passe à rallonge, ne peut rien faire face à ça.