Quel est le coût de vos données sur le Dark Web ?

Par Andréanne Bergeron, chercheuse en sécurité, et Renaud Bergeron, stagiaire en criminologie (Université de Montréal)

Quel est le type de données le plus précieux pour les acteurs malveillants ? Pour répondre à cette question, nous avons analysé 348 annonces de fuites de données réelles, couvrant la période de 2008 à 2026 et provenant de marchés du dark web et du web classique.

Nous avons constaté que les dossiers médicaux personnels sont en réalité les plus précieux pour les cybercriminels, leur valeur s'élevant à environ 300 dollars par dossier. Les codes PIN arrivent ensuite, à 196 dollars. Les numéros de carte de crédit, qui monopolisent l'attention du public et les investissements des entreprises en matière de sécurité, se classent huitièmes, à seulement 17 dollars. 

Le décalage entre la perception culturelle et la réalité du marché est révélateur : les données compromises, considérées par la plupart des experts en sécurité comme le joyau de la couronne, sont, selon l’évaluation collective des acteurs malveillants, une donnée de second ordre. Parallèlement, les catégories de données qui bénéficient du moins d’investissements en sécurité (adresses e-mail, numéros de téléphone, adresses IP) se négocient à moins d’un dollar chacune, non pas parce qu’elles sont inoffensives, mais parce qu’elles sont si abondantes que l’offre a fait chuter leur prix à un niveau quasi nul. Elles demeurent la matière première de la plupart des intrusions. Cet article présente la hiérarchie complète des prix, explique la logique du marché qui la sous-tend et expose ses implications pour la priorisation des efforts de défense.

Points clés concernant le coût des données sur le Dark Web

• Les données personnelles présentent une hiérarchie de valeur bien définie sur les marchés clandestins. Les dossiers médicaux dominent largement (environ 300 $ par dossier), dépassant de loin les données financières comme les cartes de crédit (environ 17 $), qui sont souvent considérées comme les plus précieuses.
• Le contexte et la combinaison des données influencent fortement le prix. Certains éléments apparemment de faible valeur (par exemple, les plaques d'immatriculation) semblent avoir une grande valeur car ils sont généralement associés à des ensembles de données plus riches, ce qui souligne l'importance du contexte des données.
• Les types de données courants sont peu coûteux mais restent très dangereux. Les adresses e-mail, les numéros de téléphone et les adresses IP sont peu coûteux (moins de 1 $), non pas parce qu'ils sont inoffensifs, mais parce qu'ils sont largement disponibles et souvent réutilisés lors de violations de données, ce qui en fait des points d'entrée clés pour les attaques.
• La tarification sur le marché parallèle fournit un signal de risque concret aux défenseurs. L'estimation de la valeur des données peut aider à prioriser les efforts de sécurité : protéger plus rigoureusement les catégories à forte valeur ajoutée comme les données de santé, tout en reconnaissant que les données à faible valeur ajoutée peuvent néanmoins alimenter des attaques à volume élevé.

Méthodologie 

Évaluer individuellement le prix d'une information personnelle est plus complexe qu'il n'y paraît. La plupart des données sont vendues par lots : une fuite de données peut inclure les noms, adresses électroniques, adresses postales et numéros de compte bancaire de millions d'utilisateurs, le tout étant proposé à un prix unique. 

Afin d'isoler la valeur de chaque type de donnée personnelle, nous avons élaboré un modèle de décomposition qui normalise chaque ensemble en fonction du nombre d'utilisateurs concernés et de l'année de vente (ajustée en dollars de 2026), puis attribue itérativement les contributions au prix entre les différents types de données personnelles selon les combinaisons qui apparaissent simultanément. Les enregistrements ne contenant qu'un seul utilisateur et un seul type de donnée personnelle ont reçu une pondération plus élevée, car ils fournissent le signal le plus clair.

L'ensemble de données couvre les violations de données survenues entre 2008 et 2026, affectant de quelques centaines à 2.7 milliards d'utilisateurs, et couvre 25 catégories distinctes d'informations personnelles identifiables.

Ce que le marché nous révèle réellement

Les résultats, présentés dans le graphique ci-dessous, révèlent un marché beaucoup plus stratifié que ne le supposent la plupart des défenseurs, et la hiérarchie qui se dégage des données de prix mérite une analyse approfondie.

La catégorie de valeur la plus élevée des informations personnelles identifiables (IPI)

Les données de santé personnelles se vendent à un prix nettement supérieur à toutes les autres catégories, avec une moyenne d'environ 300 $ par enregistrement. Les codes PIN arrivent ensuite à 196 $, tandis que les numéros de compte bancaire et les permis de conduire coûtent en moyenne respectivement environ 69 $ et 67 $. En revanche, les numéros de carte de crédit, malgré une attention publique et des investissements en sécurité disproportionnés, se classent huitièmes à environ 17 $ par enregistrement.

Cette hiérarchie des prix reflète la manière dont les acteurs malveillants évaluent la permanence, l'exploitabilité et le potentiel de monétisation à long terme des données. Les dossiers médicaux sont particulièrement précieux car, contrairement aux informations financières, ils ne peuvent être facilement annulés ou remplacés et permettent un large éventail de fraudes et d'extorsions sur de longues périodes (nous expliquerons pourquoi les données de santé sont devenues la catégorie d'informations personnelles la plus précieuse dans un article dédié, à paraître prochainement).

Niveau intermédiaire : Données financières et documents d’identité

Les numéros de cartes de crédit se classent au huitième rang, avec une valeur de 17 $ par enregistrement. Cette valorisation relativement modeste s'explique par la courte période de monétisation : une fois qu'une carte est signalée comme compromise, sa valeur chute à zéro. Le marché a déjà intégré cette contrainte temporelle. Les données financières conservent leur valeur, mais sont considérées comme une marchandise à courte durée de vie et à rotation rapide plutôt que comme un actif durable.

L'anomalie des plaques d'immatriculation

L'anomalie concernant les plaques d'immatriculation mérite une attention particulière, car elle représente l'une des conclusions les plus contre-intuitives de l'ensemble de données. Notre modèle attribue une valeur d'environ 62 $ aux données des plaques d'immatriculation, soit environ quinze fois la valeur de 4 $ attribuée aux numéros de sécurité sociale (SSN), alors même que les SSN constituent la base de la vérification d'identité dans les systèmes financiers et gouvernementaux américains, tandis que les plaques d'immatriculation sont, par définition, visibles du public.

L'explication la plus parcimonieuse n'est pas que le marché ait mal évalué ces données prises isolément, mais plutôt que les plaques d'immatriculation apparaissent rarement seules. Elles font généralement leur apparition dans des lots de données piratées de grande valeur, accompagnées de dossiers de propriété de véhicules, de données d'assurance et d'historiques de localisation. Le prix qui leur est attribué dans ces contextes reflète la valeur combinée de l'ensemble plutôt que l'utilité individuelle du numéro de plaque. Ceci nous rappelle utilement, d'un point de vue méthodologique, que la tarification sur le dark web est un phénomène relationnel : la valeur de chaque type de données est indissociable du contexte dans lequel il est associé.

Le plancher des matières premières : bon marché mais dangereux

À l'opposé, les adresses e-mail (0.83 $), les numéros de téléphone (0.97 $) et les adresses IP (1.15 $) fonctionnent comme des matières premières au sens strict du terme. Largement disponibles, rarement spécifiques à une seule violation de données, elles ne contribuent que marginalement au prix des ensembles de données plus sophistiqués. Leur faible valeur ne doit cependant pas être confondue avec leur insignifiance. Ces catégories remplissent une fonction distincte dans l'arsenal opérationnel des acteurs malveillants : elles constituent l'infrastructure d'accès initial, la matière première à partir de laquelle… phishing Des campagnes de piratage, des opérations de bourrage d'identifiants et des attaques d'ingénierie sociale sont orchestrées. Leur abondance les rend bon marché, et leur faible coût les rend omniprésentes. Le prix reflète la dynamique de l'offre, et non l'ampleur des dommages potentiels.

Priorisation de la défense pour les équipes de sécurité

La tarification du marché offre aux défenseurs un signal rare, adapté aux attaquants, pour la priorisation des risques. Quelques implications se dégagent :

• Les données de santé méritent un niveau de sécurité spécifique. La plupart des cadres de classification des données la considèrent comme une donnée personnelle sensible au même titre que les données financières. Son prix de 300 $ suggère qu'elle devrait être traitée comme une catégorie à part entière, avec des contrôles d'accès plus stricts, une surveillance accrue et un examen plus rigoureux de tout tiers y ayant accès.
• Les données les moins chères restent le vecteur de violation le plus courant. Les adresses e-mail et les identifiants peuvent sembler presque sans valeur pris individuellement, mais c'est souvent par eux que commencent les intrusions. Un prix bas sur le marché ne signifie pas un faible risque, mais un volume élevé.
• La surveillance des violations de données devrait être pondérée en fonction du type de données. Toutes les expositions ne se valent pas. Une organisation dont les dossiers de prestations de santé des employés apparaissent sur un forum du dark web Le risque encouru par une entreprise dont la liste de diffusion est divulguée est qualitativement différent de celui qu'elle court. Savoir ce qui existe (et à quel prix) est le point de départ d'une réponse adaptée.
  

Le marché noir des données personnelles est efficace et pragmatique. Les prix qu'il fixe reflètent l'intérêt réel qu'en retirent les attaquants. Les équipes de sécurité qui comprennent cette logique sont mieux placées pour anticiper les prochaines cibles de grande valeur.