Un analyste du dark web est un spécialiste du renseignement sur les cybermenaces qui se concentre sur les recoins cachés et à accès restreint d'internet où l'activité criminelle s'organise, se discute et se monétise. Le rôle est centré sur la collecte et l'interprétation d'informations issues des places de marché du dark web, des forums sur invitation, des canaux de messagerie chiffrée, des sites de partage de texte (paste sites) et des dépôts de fuites de données. L'objectif n'est pas simplement de parcourir ces espaces, mais de transformer l'activité observée en renseignement qui aide une organisation à comprendre qui pourrait la cibler, quelles méthodes sont échangées ou discutées, et si ses données, ses identifiants ou sa marque ont déjà été exposés. Les analystes occupant ce rôle sont généralement rattachés à une équipe de renseignement sur les menaces ou d'opérations de sécurité, et transmettent leurs constats aux défenseurs, aux intervenants en réponse à incident ainsi qu'aux fonctions de lutte contre la fraude ou de protection de la marque.
Au quotidien, le travail consiste à maintenir une visibilité sur un ensemble soigneusement sélectionné de sources, à suivre les acteurs malveillants et les pseudonymes qu'ils utilisent, et à reconnaître quand les échanges signalent un changement significatif du niveau de risque. Un analyste peut repérer des identifiants d'employés divulgués mis en vente, détecter un groupe de rançongiciel qui nomme l'organisation sur un site de fuite, suivre la discussion autour d'une nouvelle méthode d'accès échangée, ou évaluer la crédibilité d'un acteur qui met en vente un accès au réseau. Une grande partie de la discipline repose sur la vérification et la mise en contexte. Les sources clandestines regorgent d'exagérations, de revente de données périmées et de pures fabrications ; un analyste compétent corrobore donc les affirmations, juge de la fiabilité d'un vendeur ou d'un membre de forum, et communique honnêtement les niveaux de confiance plutôt que de sonner l'alarme sur des publications non vérifiées. Les constats sont consignés dans des rapports de renseignement, des alertes et des notes de synthèse adaptés au public qui devra agir en conséquence.
Le rôle exige un solide jugement analytique, de la patience et des habitudes de recherche rigoureuses, ainsi qu'une bonne compréhension du fonctionnement des économies de la cybercriminalité et des opérations des acteurs malveillants. La capacité de lecture dans plusieurs langues, ou une collaboration étroite avec des linguistes et des outils de traduction, est souvent précieuse, car ces communautés opèrent à l'échelle mondiale. Les analystes s'appuient sur des pratiques de sécurité opérationnelle et sur des environnements de recherche dédiés et isolés pour observer les sources de manière sûre et légale, et ils doivent rester dans les limites juridiques et éthiques : le métier consiste à observer et à analyser, pas à participer à des transactions criminelles ni à les faciliter. La résilience émotionnelle compte également, car le matériel rencontré peut être perturbant. La connaissance des cadres de renseignement, des techniques analytiques structurées et une écriture claire complètent le profil.
On accède généralement à ce rôle depuis un parcours en renseignement sur les menaces, en opérations de sécurité, en recherche de renseignement de sources ouvertes, en enquête sur la fraude ou dans les forces de l'ordre, et nombreux sont ceux qui apportent des compétences linguistiques ou une expertise régionale rendant certaines communautés accessibles. Les premières responsabilités mettent plutôt l'accent sur la surveillance et le reporting sous supervision, avec une autonomie croissante pour mener des enquêtes, développer la couverture des sources et suivre des acteurs précis dans le temps. L'évolution peut mener à des postes d'analyste senior, à une spécialisation dans un écosystème criminel ou un type de menace particulier, ou à une orientation vers des voies plus larges en renseignement, en enquête ou en management.
Ce rôle est étroitement lié à celui, plus large, d'analyste du renseignement sur les menaces, qui travaille sur un éventail plus vaste de sources de collecte et de besoins en renseignement, et il alimente l'étude plus approfondie des acteurs et des campagnes menée par un chercheur en menaces. Là où un analyste stratégique des menaces cadre le risque pour la direction et où un responsable CTI pilote le programme et ses priorités, l'analyste du dark web se concentre sur un domaine de collecte spécialisé, fournissant la visibilité sur les milieux clandestins dont dépendent ces rôles voisins.