Le dataset des rôles vendus séparément dans une chaîne d'attaque

L'analyse des incidents raisonne encore largement en groupes : un nom, un mode opératoire, une motivation supposée. Cette grammaire suppose qu'un même acteur conduise l'opération du premier accès jusqu'à la monétisation. Or cette hypothèse s'affaiblit à mesure que les capacités se vendent à la pièce, chacune assurée par un fournisseur distinct qui n'a pas nécessairement connaissance de l'usage final.

Nous constituons donc un dataset dont l'unité d'observation n'est pas l'acteur mais le rôle : une fonction identifiable dans la chaîne d'attaque, qui fait l'objet d'une offre autonome. L'objectif est de décrire la structure de l'offre, non d'attribuer des faits à des groupes, exercice qui relève de moyens judiciaires ou techniques hors de portée d'une observation en sources ouvertes.

Cet article expose la définition du rôle, le constat de départ tiré de la littérature disponible, le schéma des champs retenus, la taxonomie en sept rôles, le protocole de constitution, les conséquences pour la détection, puis les limites de l'exercice côté défenseur comme côté observation.

Ce que ce dataset recense : des rôles, pas des acteurs

Un rôle est défini comme une fonction de la chaîne qui satisfait trois conditions cumulatives : elle produit un livrable identifiable, elle se négocie séparément des autres, et son acquéreur peut l'utiliser sans dépendre du fournisseur pour l'étape suivante. Une prestation qui ne remplit pas ces trois conditions relève d'une offre intégrée et sort du périmètre.

Cette définition écarte volontairement deux objets voisins. Le groupe est une entité supposée, souvent reconstituée après coup à partir de recoupements techniques. La campagne est une séquence d'événements observée du côté des victimes. Le rôle, lui, s'observe du côté de l'offre, ce qui le rend descriptible sans hypothèse d'intention.

Le bénéfice méthodologique est net. Un rôle reste stable quand les acteurs qui l'occupent changent, ce qui autorise un suivi dans le temps. Les taxonomies fondées sur les noms de groupes, à l'inverse, se périment à chaque recomposition et donnent l'illusion d'un changement de menace là où seule l'étiquette a bougé.

Le constat de départ : une industrie de capacités combinables

Le Journal du Net décrit le 25 août 2026 un dark web qui n'organise plus la vente d'outils isolés mais une industrie de capacités combinables, où chaque acteur vend une pièce distincte de la chaîne d'attaque : données, accès, outils, extorsion. Le Journal du Net souligne que les attaques ne sont plus nécessairement conduites de bout en bout par le même groupe.

La même publication situe le premier étage de cette industrie dans les infostealers, ces logiciels qui extraient des informations structurées depuis un poste compromis. Ce point est décisif pour la construction du dataset : il indique que la matière première de la chaîne est un jeu de données structuré, donc revendable, cessible et réutilisable plusieurs fois pour des finalités différentes.

Schéma du dataset et taxonomie des sept rôles

Chaque enregistrement du dataset porte huit champs : identifiant de rôle, livrable, entrée requise, unité de tarification annoncée, langue de l'annonce, canal d'exposition, date de première observation, date de dernière observation. Aucun champ ne nomme d'acteur, ce qui est une contrainte de conception et non une précaution éditoriale.

La taxonomie compte sept rôles parce que c'est le nombre minimal qui satisfait la condition de négociabilité séparée. Fusionner extraction et courtage de données, par exemple, effacerait le fait qu'un même lot est revendu plusieurs fois par des intermédiaires successifs, ce qui explique la réapparition de données anciennes dans des campagnes récentes.

Protocole de constitution : périmètre, codage, exclusions

Le périmètre est celui des offres décrites publiquement dans des publications de recherche, des comptes rendus techniques et des restitutions institutionnelles. Nous ne collectons pas directement sur les places de marché concernées, et nous ne relevons donc pas de prix : les unités de tarification enregistrées sont celles que la littérature rapporte, avec leur source.

Le codage est double, avec réconciliation sur les cas divergents. La divergence la plus fréquente porte sur la frontière entre outillage et exécution, lorsqu'une offre inclut un accompagnement. La règle retenue est simple : dès qu'une compromission est réalisée par le fournisseur, l'enregistrement bascule en exécution, quelle que soit la présentation commerciale de l'offre.

Sont exclus les enregistrements dont la seule source est une reprise médiatique sans élément technique, ceux dont la date de première observation ne peut être établie, et ceux qui décrivent une offre à destination des équipes de défense. Cette dernière exclusion est nécessaire car plusieurs outils circulent dans les deux univers.

Tant qu'on raisonne en groupes, on cherche un responsable unique. Dès qu'on raisonne en rôles, on cherche le maillon le plus lent à se reconstituer, et c'est là que la défense a prise.

Ce que la spécialisation change pour la détection et l'attribution

La première conséquence porte sur le délai de détection. Entre l'extraction initiale et l'exécution, il s'écoule un intervalle qui correspond au temps de revente et de recoupement. Cet intervalle est une fenêtre défensive : une organisation qui surveille l'apparition de ses propres identifiants dans des lots revendus intervient avant l'étage suivant, ce qui n'est possible que si la surveillance porte sur l'offre et pas seulement sur ses propres journaux.

La deuxième conséquence concerne l'attribution. Retrouver l'exécutant ne renseigne ni sur l'origine des données ni sur le fournisseur d'accès, et inversement. Une note d'analyse qui conclut à un commanditaire unique à partir d'un seul étage de la chaîne commet une erreur de niveau, fréquente et rarement relevée dans les restitutions internes.

La troisième conséquence est organisationnelle. Surveiller sept rôles suppose sept types de sources et plusieurs langues, ce qu'aucune équipe ne couvre manuellement. NewsCore (www.newscore.fr) couvre en continu des millions de sources multilingues, relie les mentions dispersées d'un même ensemble de données et raccourcit le délai de détection avant décision. Le cadrage du besoin et l'arbitrage final restent la part de l'organisation.

Ce que la vérification côté défenseur permet, et ce qu'elle ne permet pas

ZATAZ décrit le 18 août 2026 deux outils de vérification mobiles complémentaires. SpyGuard, dans sa version 2, observe les communications réseau via le Wi-Fi pour identifier comportements suspects, indicateurs de compromission et anomalies, en s'appuyant sur le moteur Suricata, et ne se limite pas aux smartphones. Mobile Verification Toolkit, publié en juillet 2021 par le laboratoire de sécurité d'Amnesty International, automatise la collecte de traces forensiques sur Android et iOS.

La limite posée explicitement par ZATAZ est celle qui intéresse le dataset : aucune analyse fondée uniquement sur des indicateurs publics ne garantit qu'un appareil est sain, et un logiciel malveillant qui ne communique pas pendant l'analyse échappe à la détection. Un résultat négatif borne donc l'hypothèse, il ne la clôt pas, et cette asymétrie doit figurer telle quelle dans toute restitution.

Limites du dataset et conditions de reproductibilité

La limite principale est le biais de visibilité. Les rôles les mieux documentés sont ceux dont l'offre s'expose, c'est-à-dire l'extorsion et le courtage d'accès ; les rôles discrets, notamment l'infrastructure, sont sous-représentés. Le dataset décrit donc la structure de l'offre visible, et toute conclusion sur les poids relatifs constitue une borne basse pour les rôles les moins exposés.

La reproductibilité tient à trois éléments publiés avec le jeu de données : la définition en trois conditions du rôle, la règle de bascule entre outillage et exécution, et la liste des exclusions. Un tiers qui applique ces règles à un corpus différent obtiendra d'autres volumes mais devrait retrouver la même séparation des rôles, ce qui constitue le test de solidité de la taxonomie.

Questions fréquentes

Pourquoi ne pas classer les attaques par groupe plutôt que par rôle ?

Parce que le classement par groupe suppose une continuité d'acteur que la spécialisation de l'offre ne garantit plus. Un même incident mobilise des données extraites par un premier fournisseur, un accès revendu par un deuxième et une exécution assurée par un troisième. Le classement par rôle décrit ce qui est réellement observable et reste stable quand les acteurs se recomposent.

Qu'est-ce qu'un infostealer et pourquoi ouvre-t-il la chaîne ?

C'est un logiciel qui extrait des informations structurées depuis un poste compromis. Il ouvre la chaîne parce qu'il produit la matière première de tous les étages suivants : un jeu de données exploitable, cessible et réutilisable plusieurs fois. Sa sortie alimente aussi bien le courtage de données que le courtage d'accès, ce qui explique qu'un même lot réapparaisse dans des opérations sans lien apparent.

Comment surveiller l'exposition de son organisation dans ces circuits ?

En surveillant l'offre plutôt que ses seuls journaux internes : mentions du nom de domaine, apparition d'identifiants dans des lots revendus, offres décrites par secteur et par taille d'entreprise. Cette surveillance suppose plusieurs langues et un suivi continu, car la fenêtre exploitable se situe entre la revente et l'exécution, et elle se referme sans préavis.

Un test de vérification négatif prouve-t-il qu'un appareil est sain ?

Non. Une vérification fondée sur des indicateurs publics constate l'absence de traces connues, ce qui n'équivaut pas à l'absence de compromission, notamment lorsqu'un logiciel reste silencieux pendant la période d'analyse. La restitution correcte formule le résultat comme une réduction d'incertitude assortie de sa fenêtre d'observation, jamais comme une garantie d'intégrité.