Cyberpediapar Brain
FRDEEN

Tor, Deep Web et Dark Web

Comment fonctionne Tor, le routage en oignon, et pourquoi un salarié ne l'installe pas sur un poste professionnel sans accord de la DSI.

En 30 secondes

Où ça arrive
Des groupes malveillants se servent de Tor pour leur trafic1.
Ce que veut l'attaquant
Cacher l'origine de son trafic, pour que l'entreprise ne puisse pas remonter jusqu'à lui2.
Le réflexe
Ne pas installer Tor sur un poste professionnel sans l'accord de la DSI, et ne télécharger aucun « navigateur Tor » depuis une source non confirmée par elle.
Si c'est déjà fait
Prévenir la DSI sans attendre, sans rien supprimer de son propre chef.

De quoi parle-t-on

Tor est un logiciel et un réseau qui servent à rendre la navigation plus anonyme. Son nom revient souvent avec « Deep Web » et « Dark Web », deux expressions que l'on confond facilement. Cette fiche explique comment Tor fonctionne et ce qu'il change pour une entreprise.

Les sources réunies ici viennent de la base MITRE ATT&CK, qui décrit les techniques des attaquants. Elles disent surtout comment Tor est détourné, et peu de choses sur son usage ordinaire. La fiche s'en tient à ce qu'elles établissent.

Questions directes

Qu'est-ce que Tor ?

MITRE ATT&CK le décrit comme une suite logicielle et un réseau qui offrent un anonymat accru sur Internet. Il crée un réseau de relais en chaîne (un « multi-hop proxy ») et emploie un chiffrement en plusieurs couches pour protéger à la fois le message et les informations de routage1. Il existe pour Linux, Windows et macOS1.

Que veut dire « routage en oignon » ?

Les messages sont chiffrés avec plusieurs couches. À chaque étape du réseau de relais, la couche du dessus est déchiffrée et le contenu est transmis au nœud suivant, jusqu'à la destination1. L'image est celle d'un oignon dont chaque relais retire une peau.

Combien de relais le trafic traverse-t-il ?

La source dit que le trafic est transmis à plusieurs nœuds avant de quitter le réseau Tor et de poursuivre vers sa destination1. Elle ne donne pas de nombre. Le chiffre de trois relais, souvent cité, ne figure dans aucune des sources citées ici.

Le Dark Web est-il illégal ?

Aucune des sources citées ici ne traite du statut juridique du Dark Web ni de celui de Tor. La fiche ne tranche donc pas ce point. Les sources établissent un autre fait : des groupes malveillants se servent de Tor1.

Quelle différence entre Deep Web et Dark Web ?

Les sources citées ici ne définissent aucun de ces deux termes. Elles décrivent seulement Tor, un réseau anonymisant. Pour la distinction entre contenus non indexés et services accessibles par réseau anonymisant, la DSI de l'entreprise reste l'interlocuteur.

1Comment ça marche1 min

Tor combine deux mécanismes. Le premier est le saut multiple : le trafic traverse plusieurs nœuds avant d'atteindre sa destination1. Le second est le chiffrement : Tor encapsule le trafic dans plusieurs couches de chiffrement et utilise TLS par défaut1.

Pour une équipe de sécurité, l'effet est le suivant. D'ordinaire, un défenseur peut identifier le dernier proxy que le trafic a traversé avant d'entrer dans son réseau. Il peut ou non identifier les proxys précédents2. Enchaîner plusieurs proxys oblige à suivre le trafic de relais en relais pour trouver sa source2. MITRE cite le réseau Tor, accessible publiquement, comme exemple de réseau de routage en oignon2.

Pour les communications de commande et contrôle des logiciels malveillants, MITRE note que, malgré un algorithme sûr, une implémentation peut être vulnérable à la rétro-ingénierie si des clés secrètes sont codées ou générées dans les échantillons de logiciel malveillant ou leurs fichiers de configuration3.

Les attaquants emploient aussi des proxys pour éviter les connexions directes vers leur infrastructure, gérer leurs communications de commande et contrôle ou emprunter des chemins de communication déjà considérés comme fiables, afin d'éviter les soupçons4.

2Ce que vous faites1 min
  • N'installez pas Tor, ni aucun logiciel d'anonymisation, sur un poste professionnel sans l'accord de la DSI.
  • Si une information semble n'être accessible que par ce moyen, demandez à la DSI plutôt que de chercher vous-même.
  • Si un message vous propose d'acheter, de consulter ou de vérifier des données d'entreprise sur un site de ce type, ne cliquez pas et signalez-le à la DSI.
  • Si vous avez déjà installé un tel logiciel, dites-le à la DSI, même si rien ne semble anormal.
3Les pièges1 min

Croire à un anonymat absolu est le premier. Le chiffrement et les relais compliquent le travail d'un défenseur : MITRE parle de difficulté à identifier la source, pas d'impossibilité2.

Tor sert aussi aux attaquants. MITRE mentionne des réseaux en oignon pour transporter un trafic de commande et contrôle chiffré à travers un ensemble de machines compromises2. Le trafic d'un attaquant peut en outre se fondre dans le trafic web ordinaire : HTTP/S et WebSocket sont très courants dans les environnements d'entreprise, et un attaquant peut les détourner pour imiter un trafic normal5.

Le réseau héberge des sites de groupes criminels. Water Galura tient un site de fuites de données hébergé sur Tor pour le rançongiciel Qilin et ses affiliés1. Le groupe ShinyHunters a employé Tor pour son propre site de fuites1. Voir le nom d'une société sur un tel site ne prouve pas à lui seul une attaque : la vérification revient à la DSI.

Les sources ne traitent ni des faux navigateurs Tor, ni des téléchargements piégés, ni des offres de données volées. La prudence demandée sur ces points relève de la consigne de la DSI, pas d'un fait établi ici. Un cas illustre toutefois le risque d'un logiciel installé sans contrôle : le logiciel malveillant Dok télécharge et installe Tor via Homebrew2.

4Cas réels1 min

2025 Poland Wiper Attacks

Lors des attaques par logiciel destructeur de 2025 en Pologne, les attaquants ont utilisé des nœuds Tor pour leur commande et contrôle12. Dans la campagne CostaRicto, les attaquants ont géré des serveurs de commande via Tor1.

Scattered Spider et l'extraction de données Salesforce

Selon MITRE, le groupe Scattered Spider a utilisé Tor pour communiquer avec les organisations ciblées1. Lors de la campagne Salesforce Data Exfiltration, les attaquants ont utilisé des adresses IP Tor pour des appels vocaux et la collecte de données1.

Operation Wocao

Pendant l'opération Wocao, les attaquants ont employé des nœuds de sortie Tor pour exécuter des commandes1.

Fiche

Identifiant
CP-234
Aile
3. Protocoles et défense
Compétence Brain
Naviguer en sécurité (browse_safely)
Réflexe Brain
cr-077
Schéma
G3 · Coupe Anatomique
Langues
de, en, fr
Sources
5 sources vérifiées le 3 novembre 2026
Sources5 sources
  1. MITRE ATT&CK, « Tor ». https://attack.mitre.org/software/S0183/ (consulté le 3 novembre 2026)
  2. MITRE ATT&CK, « Proxy: Multi-hop Proxy ». https://attack.mitre.org/techniques/T1090/003/ (consulté le 3 novembre 2026)
  3. MITRE ATT&CK, « Encrypted Channel ». https://attack.mitre.org/techniques/T1573/ (consulté le 3 novembre 2026)
  4. MITRE ATT&CK, « Proxy ». https://attack.mitre.org/techniques/T1090/ (consulté le 3 novembre 2026)
  5. MITRE ATT&CK, « Application Layer Protocol: Web Protocols ». https://attack.mitre.org/techniques/T1071/001/ (consulté le 3 novembre 2026)

Citer cet article

Brain, « Tor, Deep Web et Dark Web », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/tor-deep-web-dark-web/

BibTeX 
@misc{brain_cp234_fr_2026,
  author = {Brain},
  title = {Tor, Deep Web et Dark Web},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/tor-deep-web-dark-web/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0