Większość ludzi słyszała o dark webie. Większość myśli, że to miejsce, gdzie hakerzy siedzą w kapturach i sprzedają sobie nawzajem hasła do kont bankowych. Rzeczywistość jest jednocześnie bardziej przyziemna i bardziej niepokojąca, niż pokazują to filmy.

Ten artykuł to nie jest zaproszenie do odwiedzin. To mapa terenu, którą warto znać – bo przestępczość w sieci dotyka każdego z nas, często bez naszej wiedzy.

Czym właściwie jest dark web?

Internet, z którego korzystamy na co dzień, to zaledwie wierzchołek góry lodowej. Naukowcy szacują, że tzw. surface web – czyli strony indeksowane przez Google i inne wyszukiwarki – stanowi zaledwie kilka procent całego internetu.

Reszta to:

• Deep web – zasoby nieindeksowane publicznie, ale zupełnie legalne: skrzynki e-mail, panele administracyjne, bazy danych szpitali, wewnętrzne systemy firm, archiwa naukowe.

• Dark web – celowo ukryta część sieci, dostępna wyłącznie przez specjalne oprogramowanie, najczęściej przeglądarkę Tor (The Onion Router).

Tor anonimizuje ruch sieciowy, odbijając go przez kilka serwerów na całym świecie. Każde „odbicie" usuwa jedną warstwę identyfikacji – stąd nazwa „cebula". Efekt: prawie niemożliwe jest ustalenie, kto łączy się z konkretną stroną.

To samo narzędzie służy dziennikarzom w krajach autorytarnych, sygnalistom przekazującym dokumenty mediom, a także – cyberprzestępcom.

Kto tam handluje i czym?

Rynek dark webu przypomina strukturą normalne platformy e-commerce. Są sklepy, recenzje sprzedawców, systemy escrow chroniące kupującego, a nawet obsługa klienta. Różnica polega na tym, co jest w ofercie.

Skradzione dane osobowe i loginy

To najszerzej dostępny towar. Na forach i rynkach dark webu można kupić:

• paczki danych zawierające imię, nazwisko, PESEL, adres, numer dowodu – nazywane „fullz" (od angielskiego full information);

• dane kart płatniczych wraz z kodem CVV;

• dostępy do kont bankowych – cena zależy od salda; im wyższe konto, tym drożej;

• loginy do serwisów streamingowych, sklepów, platform – sprzedawane hurtowo w paczkach po kilkaset sztuk.

Skąd te dane się biorą? Z wycieków po atakach na firmy, z phishingu, z infostealerów (złośliwego oprogramowania kradnącego dane z zainfekowanych komputerów). Nierzadko dane, które ktoś kupuje na dark webie, pochodzą z wycieku sprzed kilku lat – użytkownik nawet nie wie, że jest w tej bazie.

Złośliwe oprogramowanie

Rynek malware to osobny ekosystem. Można kupić gotowe narzędzia, ale też zamówić je na miarę.

• Ransomware-as-a-Service (RaaS) – model abonamentowy: kupujesz dostęp do gotowego oprogramowania ransomware, atakujesz ofiary, a twórcy oprogramowania dostają prowizję od okupu.

• Stealery i keyloggery – programy kradnące dane z zainfekowanych maszyn.

• Botnety – sieci zainfekowanych komputerów, wynajmowane do ataków DDoS lub rozsyłania spamu.

• Exploity zero-day – luki w oprogramowaniu, o których nie wie jeszcze producent. To towar dla zamożnych kupujących: ceny sięgają setek tysięcy dolarów.

Przeczytaj też rzeczony pasjonujący artykuł: Spowiedź etycznego hakera: za co mi naprawdę płacą i czego nie mogę powiedzieć

Dokumenty i fałszywe tożsamości

To jeden z bardziej złożonych towarów. W ofercie są:

• skany dokumentów tożsamości (dowodów, paszportów) do weryfikacji kont w bankach i serwisach krypto;

• szablony dokumentów gotowe do edycji;

• usługi „weryfikacji tożsamości" – czyli przeprowadzenia procesu KYC (Know Your Customer) z użyciem cudzych danych.

Ten segment rynku bezpośrednio karmi inne przestępstwa: pranie pieniędzy, oszustwa kredytowe, otwieranie kont na cudzy rachunek.

Dostępy do infrastruktury firmowej

Jeden z najbardziej niepokojących segmentów, bo najmniej widoczny publicznie. Sprzedawcy oferują:

• Initial Access – dostęp do już skompromitowanych sieci firmowych, gotowy do dalszego wykorzystania przez innego przestępcę;

• dane logowania do VPN, pulpitów zdalnych (RDP), paneli administracyjnych;

• dostępy do konkretnych branż: szpitali, urzędów, firm z sektora finansowego.

Kupującymi są zazwyczaj grupy ransomware, które nie chcą tracić czasu na włamanie – kupują już otwarte drzwi.

Jak wygląda ekosystem od środka?

Badacze bezpieczeństwa i dziennikarze, którzy monitorują dark web zawodowo, opisują go jako środowisko o dużej nieufności i wysokiej specjalizacji.

Największe rynki – jak niegdyś Silk Road czy AlphaBay – osiągały obroty liczone w setkach milionów dolarów, zanim zostały zamknięte przez organy ścigania. Po każdej likwidacji pojawiały się kolejne. Rynek jest odporny na uderzenia punktowe, bo jest zdecentralizowany.

Zaufanie między sprzedawcami a kupującymi buduje się przez:

• systemy reputacji – recenzje i oceny, podobne do tych na Allegro;

• escrow – środki blokowane przez platformę do momentu potwierdzenia transakcji;

• fora dyskusyjne – gdzie weryfikuje się nowych sprzedawców.

Waluty? Niemal wyłącznie kryptowaluty – Bitcoin, Monero (szczególnie ceniony za anonimowość). To nie znaczy, że transakcje są całkowicie anonimowe: analiza blockchain jest dziś standardowym narzędziem śledczym.

Kto za tym stoi? Przestępcy, nie hakerzy

Tu warto zatrzymać się przy ważnym rozróżnieniu, o którym media często zapominają.

Słowo „haker" w kontekście dark webu pada bardzo często – i bardzo często błędnie. Tymczasem osoba, która kupuje skradzione dane na czarnym rynku i wyciąga pieniądze z cudzych kont, niekoniecznie ma jakiekolwiek kompetencje techniczne. To cyberprzestępca korzystający z gotowych narzędzi, nie haker w technicznym sensie tego słowa.

Czym różni się haker od cyberprzestępcy? Granica przebiega przez intencję, metodę i – przede wszystkim – zgodę. Szczegółowo wyjaśnia to ten artykuł o white hat, gray hat i black hat hakerach – warto go przeczytać, zanim wyrobi się zdanie na temat całej branży.

Wśród osób, których produkty i usługi trafiają na dark web, są zarówno wysoko wykwalifikowani specjaliści tworzący exploity zero-day, jak i zwykli oszuści kupujący gotowy malware za kilkadziesiąt dolarów. To nie jest środowisko jednorodne.

Czy organy ścigania cokolwiek z tym robią?

Tak – i z rosnącą skutecznością.

Europol, FBI i inne agencje regularnie prowadzą operacje wymierzone w największe rynki dark webu. Kilka głośnych przykładów:

• Operacja Onymous (2014) – zamknięcie kilkudziesięciu rynków jednocześnie przez Europol i FBI.

• Likwidacja AlphaBay i Hansa (2017) – jedyna w swoim rodzaju akcja, w której Hansa działała przez miesiąc pod kontrolą holenderskiej policji, zbierając dane o użytkownikach, zanim ogłoszono jej zamknięcie.

• Hydra Market (2022) – największy rosyjskojęzyczny rynek dark webu, zamknięty przez BKA (niemiecka policja) i Departament Sprawiedliwości USA. Obroty szacowano na ponad miliard dolarów rocznie.

Kryptowaluty, przez lata uważane za gwarancję anonimowości, okazały się być błędem operacyjnym wielu przestępców. Analiza łańcucha bloków pozwoliła zidentyfikować i aresztować dziesiątki osób.

Co z tego wynika dla zwykłego użytkownika?

Twoje dane mogą już być na dark webie – bez twojej wiedzy. Wycieki z serwisów, z których korzystasz, zdarzają się regularnie. Warto:

• sprawdzić swój adres e-mail w serwisach takich jak Have I Been Pwned (haveibeenpwned.com);

• używać unikalnych haseł dla każdego serwisu (menedżer haseł to nie luksus, to konieczność);

• włączyć uwierzytelnianie dwuskładnikowe wszędzie tam, gdzie jest dostępne;

• monitorować swoje konta bankowe i raporty BIK pod kątem nieznanych operacji.

Dark web nie jest abstrakcyjnym zagrożeniem dla kogoś innego. To rynek, na którym twoje dane mają konkretną cenę – i ktoś może właśnie sprawdzać, czy są w dobrej kondycji.

Podsumowanie

Dark web to nie fikcja z filmów sensacyjnych. To działający, zorganizowany rynek – ze swoją ekonomią, hierarchią i kulturą. Handel skradzionymi danymi, dostępami do sieci firmowych i złośliwym oprogramowaniem generuje miliardy dolarów rocznie i dotyka ofiary na całym świecie.

Zrozumienie tego ekosystemu – kto za nim stoi, jak działa i skąd bierze towar – jest pierwszym krokiem do sensownej obrony. Zarówno na poziomie indywidualnym, jak i korporacyjnym czy państwowym.