--- id: CP-234 slug: tor-deep-web-dark-web lang: fr title: Tor, Deep Web et Dark Web description: Comment fonctionne Tor, le routage en oignon, et pourquoi un salarié ne l'installe pas sur un poste professionnel sans accord de la DSI. canonical_url: https://startbrain.io/cyberpedia/fr/articles/tor-deep-web-dark-web/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/tor-deep-web-dark-web.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Tor, Deep Web et Dark Web », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/tor-deep-web-dark-web/ (CC BY 4.0) wing: 3 theme: browse_safely reflex: cr-077 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/tor-deep-web-dark-web/ en: https://startbrain.io/cyberpedia/en/articles/tor-deep-web-vs-dark-web/ de: https://startbrain.io/cyberpedia/de/articles/tor-deep-web-dark-web/ es: https://startbrain.io/cyberpedia/es/articles/tor-deep-web-dark-web/ sources: - "n": 1 title: Tor publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0183/ accessed: "2026-11-03" - "n": 2 title: "Proxy: Multi-hop Proxy" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1090/003/ accessed: "2026-11-03" - "n": 3 title: Encrypted Channel publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1573/ accessed: "2026-11-03" - "n": 4 title: Proxy publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1090/ accessed: "2026-11-03" - "n": 5 title: "Application Layer Protocol: Web Protocols" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1071/001/ accessed: "2026-11-03" --- # Tor, Deep Web et Dark Web Tor est un logiciel et un réseau qui servent à rendre la navigation plus anonyme. Son nom revient souvent avec « Deep Web » et « Dark Web », deux expressions que l'on confond facilement. Cette fiche explique comment Tor fonctionne et ce qu'il change pour une entreprise. Les sources réunies ici viennent de la base MITRE ATT&CK, qui décrit les techniques des attaquants. Elles disent surtout comment Tor est détourné, et peu de choses sur son usage ordinaire. La fiche s'en tient à ce qu'elles établissent. ## En 30 secondes - Où ça arrive : des groupes malveillants se servent de Tor pour leur trafic [1]. - Ce que veut l'attaquant : cacher l'origine de son trafic, pour que l'entreprise ne puisse pas remonter jusqu'à lui [2]. - Le réflexe : ne pas installer Tor sur un poste professionnel sans l'accord de la DSI, et ne télécharger aucun « navigateur Tor » depuis une source non confirmée par elle. - Si c'est déjà fait : prévenir la DSI sans attendre, sans rien supprimer de son propre chef. ## Questions directes ### Qu'est-ce que Tor ? MITRE ATT&CK le décrit comme une suite logicielle et un réseau qui offrent un anonymat accru sur Internet. Il crée un réseau de relais en chaîne (un « multi-hop proxy ») et emploie un chiffrement en plusieurs couches pour protéger à la fois le message et les informations de routage [1]. Il existe pour Linux, Windows et macOS [1]. ### Que veut dire « routage en oignon » ? Les messages sont chiffrés avec plusieurs couches. À chaque étape du réseau de relais, la couche du dessus est déchiffrée et le contenu est transmis au nœud suivant, jusqu'à la destination [1]. L'image est celle d'un oignon dont chaque relais retire une peau. ### Combien de relais le trafic traverse-t-il ? La source dit que le trafic est transmis à plusieurs nœuds avant de quitter le réseau Tor et de poursuivre vers sa destination [1]. Elle ne donne pas de nombre. Le chiffre de trois relais, souvent cité, ne figure dans aucune des sources citées ici. ### Le Dark Web est-il illégal ? Aucune des sources citées ici ne traite du statut juridique du Dark Web ni de celui de Tor. La fiche ne tranche donc pas ce point. Les sources établissent un autre fait : des groupes malveillants se servent de Tor [1]. ### Quelle différence entre Deep Web et Dark Web ? Les sources citées ici ne définissent aucun de ces deux termes. Elles décrivent seulement Tor, un réseau anonymisant. Pour la distinction entre contenus non indexés et services accessibles par réseau anonymisant, la DSI de l'entreprise reste l'interlocuteur. ## Comment ça marche Tor combine deux mécanismes. Le premier est le saut multiple : le trafic traverse plusieurs nœuds avant d'atteindre sa destination [1]. Le second est le chiffrement : Tor encapsule le trafic dans plusieurs couches de chiffrement et utilise TLS par défaut [1]. Pour une équipe de sécurité, l'effet est le suivant. D'ordinaire, un défenseur peut identifier le dernier proxy que le trafic a traversé avant d'entrer dans son réseau. Il peut ou non identifier les proxys précédents [2]. Enchaîner plusieurs proxys oblige à suivre le trafic de relais en relais pour trouver sa source [2]. MITRE cite le réseau Tor, accessible publiquement, comme exemple de réseau de routage en oignon [2]. Pour les communications de commande et contrôle des logiciels malveillants, MITRE note que, malgré un algorithme sûr, une implémentation peut être vulnérable à la rétro-ingénierie si des clés secrètes sont codées ou générées dans les échantillons de logiciel malveillant ou leurs fichiers de configuration [3]. Les attaquants emploient aussi des proxys pour éviter les connexions directes vers leur infrastructure, gérer leurs communications de commande et contrôle ou emprunter des chemins de communication déjà considérés comme fiables, afin d'éviter les soupçons [4]. ## Ce que vous faites - N'installez pas Tor, ni aucun logiciel d'anonymisation, sur un poste professionnel sans l'accord de la DSI. - Si une information semble n'être accessible que par ce moyen, demandez à la DSI plutôt que de chercher vous-même. - Si un message vous propose d'acheter, de consulter ou de vérifier des données d'entreprise sur un site de ce type, ne cliquez pas et signalez-le à la DSI. - Si vous avez déjà installé un tel logiciel, dites-le à la DSI, même si rien ne semble anormal. ## Les pièges Croire à un anonymat absolu est le premier. Le chiffrement et les relais compliquent le travail d'un défenseur : MITRE parle de difficulté à identifier la source, pas d'impossibilité [2]. Tor sert aussi aux attaquants. MITRE mentionne des réseaux en oignon pour transporter un trafic de commande et contrôle chiffré à travers un ensemble de machines compromises [2]. Le trafic d'un attaquant peut en outre se fondre dans le trafic web ordinaire : HTTP/S et WebSocket sont très courants dans les environnements d'entreprise, et un attaquant peut les détourner pour imiter un trafic normal [5]. Le réseau héberge des sites de groupes criminels. Water Galura tient un site de fuites de données hébergé sur Tor pour le rançongiciel Qilin et ses affiliés [1]. Le groupe ShinyHunters a employé Tor pour son propre site de fuites [1]. Voir le nom d'une société sur un tel site ne prouve pas à lui seul une attaque : la vérification revient à la DSI. Les sources ne traitent ni des faux navigateurs Tor, ni des téléchargements piégés, ni des offres de données volées. La prudence demandée sur ces points relève de la consigne de la DSI, pas d'un fait établi ici. Un cas illustre toutefois le risque d'un logiciel installé sans contrôle : le logiciel malveillant Dok télécharge et installe Tor via Homebrew [2]. ## Cas réels ### 2025 Poland Wiper Attacks Lors des attaques par logiciel destructeur de 2025 en Pologne, les attaquants ont utilisé des nœuds Tor pour leur commande et contrôle [1][2]. Dans la campagne CostaRicto, les attaquants ont géré des serveurs de commande via Tor [1]. ### Scattered Spider et l'extraction de données Salesforce Selon MITRE, le groupe Scattered Spider a utilisé Tor pour communiquer avec les organisations ciblées [1]. Lors de la campagne Salesforce Data Exfiltration, les attaquants ont utilisé des adresses IP Tor pour des appels vocaux et la collecte de données [1]. ### Operation Wocao Pendant l'opération Wocao, les attaquants ont employé des nœuds de sortie Tor pour exécuter des commandes [1]. ## Sources 1. MITRE ATT&CK, « Tor ». https://attack.mitre.org/software/S0183/ (consulté le 3 novembre 2026) 2. MITRE ATT&CK, « Proxy: Multi-hop Proxy ». https://attack.mitre.org/techniques/T1090/003/ (consulté le 3 novembre 2026) 3. MITRE ATT&CK, « Encrypted Channel ». https://attack.mitre.org/techniques/T1573/ (consulté le 3 novembre 2026) 4. MITRE ATT&CK, « Proxy ». https://attack.mitre.org/techniques/T1090/ (consulté le 3 novembre 2026) 5. MITRE ATT&CK, « Application Layer Protocol: Web Protocols ». https://attack.mitre.org/techniques/T1071/001/ (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/tor-deep-web-dark-web/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.