Lurk

Vue d'ensemble

Lurk est un agrégateur OSINT anonyme et basé sur des jetons, conçu pour les professionnels de la cybersécurité, les journalistes, les testeurs d'intrusion et les chercheurs soucieux de la confidentialité qui ont besoin de renseignements sur les violations de données, de données de réputation IP et de surveillance du darknet sans laisser de trace d'identité. La plateforme rejette délibérément le modèle SaaS standard : il n'y a pas de comptes utilisateur, pas d'inscriptions par e-mail, pas de réinitialisations de mot de passe et pas de tickets de support qui pourraient être assignés par assignation. L'accès est acheté avec des cryptomonnaies, Bitcoin, Ethereum, Monero ou USDT, et échangé via un jeton cryptographique qui est affiché une seule fois et jamais stocké en clair. Cette architecture fait de Lurk l'un des rares outils de renseignement de niveau professionnel qui fonctionne réellement comme un service sans KYC de bout en bout.

L'interface est délibérément minimaliste. Les utilisateurs arrivent sur une seule page, sélectionnent un type de requête, e-mail, adresse IP, domaine, nom d'utilisateur ou hachage, et effectuent soit une recherche gratuite limitée, soit s'authentifient avec un jeton payant. En coulisses, Lurk indexe plus de 15 milliards d'identifiants provenant de fuites de données publiques, enrichit les adresses IP avec des données GreyNoise et Shodan en direct, surveille plus de 50 forums du darknet et canaux Telegram, et propose une énumération de noms d'utilisateur multiplateforme sur plus de 600 services. L'accès API est disponible pour les niveaux Pro et Elite, retournant du JSON structuré pour l'intégration dans des pipelines.

Confidentialité & KYC

Lurk se situe au niveau KYC L1, entièrement anonyme et pseudonyme. Aucun nom, aucune adresse e-mail, aucun numéro de téléphone, aucune pièce d'identité gouvernementale et aucune vérification de géolocalisation ne sont demandés à aucune étape. L'architecture de confidentialité s'étend au-delà de la politique pour atteindre la conception technique. Selon sa documentation de confidentialité publiée, Lurk ne collecte qu'un hachage SHA-256 du token de l'utilisateur pour l'authentification et un ID de transaction de paiement pour la validation du registre. Les adresses IP, les empreintes de navigateur, les requêtes de recherche, les métadonnées comportementales et les URLs de référent sont explicitement listés comme jamais collectés ni au niveau de l'application ni au niveau du réseau. Le trafic transite par un réseau périphérique configuré pour la confidentialité avec journalisation entièrement désactivée.

• Modèle de token : Inspiré de l'approche de Mullvad VPN, le paiement crée un token, le token en clair est affiché une seule fois, et seul son hachage est conservé côté serveur. Les tokens perdus sont irrécupérables par conception.
• Confidentialité des paiements : Monero est nativement pris en charge et recommandé ; Bitcoin, Ethereum et USDT sont également acceptés. Les adresses furtives et les signatures en anneau de Monero brisent le lien on-chain entre le paiement et le token.
• Canari de mandat : Un canari de mandat signé PGP est publié mensuellement. Si les mises à jour cessent, les utilisateurs sont invités à le considérer comme un signal de compromission.
• Mécanisme d'opt-out : Les individus peuvent soumettre des identifiants sur lurk.st/optout ; seul un hachage SHA-256 est stocké, et les requêtes futures correspondantes sont automatiquement supprimées.

Le score de confidentialité de la plateforme dans notre méthodologie est tempéré par l'opacité inhérente à toute revendication d'infrastructure à source fermée. Les utilisateurs ne peuvent pas pleinement vérifier les assertions de zéro journalisation, et Lurk reconnaît cela directement dans sa FAQ : « Vous ne pouvez pas pleinement vérifier cela, et quiconque affirme le contraire ment. » Le modèle économique, ne conserver aucune donnée minimise la surface d'attaque juridique et les frais opérationnels, fournit une garantie plausible mais non prouvable.

Actifs et paiements pris en charge

Lurk accepte quatre cryptomonnaies pour l'achat de jetons : Bitcoin (BTC), Ethereum (ETH), Monero (XMR) et Tether (USDT). Les monnaies fiduciaires ne sont pas directement acceptées, bien que la mention de « Fiat » et « Cash » dans les données d'annuaire agrégées reflète probablement une flexibilité d'entrée indirecte plutôt qu'un support natif. Monero est explicitement positionné comme l'option privilégiée pour les utilisateurs recherchant une confidentialité maximale des paiements, le site notant que « Bitcoin laisse une trace » et que l'analyse de chaîne est efficace contre les registres transparents.

La tarification est structurée en trois niveaux. Le niveau Gratuit ne nécessite aucun paiement et permet cinq recherches par jour avec uniquement les types de requête email et IP, les données de menace de base et les mots de passe masqués. L'accès Pro, listé à 15 € mensuels sous un « Founder's Lock », passe à 2 500 recherches quotidiennes, révèle les identifiants complets, débloque toutes les sources, inclut l'accès API et prend en charge l'export JSON/CSV. L'Elite à 25 € mensuels porte la limite à 10 000 recherches, ajoute le téléchargement CSV en masse pour les requêtes par lots, la priorisation de file d'attente API et la fonctionnalité d'export en masse. Tous les paiements sont définitifs ; la politique de non-remboursement est stricte, justifiée par la nature irréversible des transactions en cryptomonnaie et l'absence intentionnelle d'infrastructure de compte qui permettrait l'émission de crédit.

Sécurité & garde

Lurk est non-custodial dans le sens où il ne détient aucun fonds utilisateur, aucune donnée personnelle et aucun historique de requêtes. Le modèle de garde est architectural plutôt que financier : les utilisateurs conservent le contrôle total de leur jeton d'accès, et la plateforme ne peut pas geler, révoquer pour des raisons politiques ou remettre le contenu d'un compte car aucun compte n'existe. La révocation de jeton est techniquement possible pour les violations des conditions de service, les activités interdites incluent le harcèlement, le doxxing, le credential stuffing, les tests de pénétration non autorisés, le scraping automatisé et l'utilisation depuis des juridictions sanctionnées, mais l'opérateur n'a aucune identité à associer au jeton, ce qui fait reposer l'application sur la détection comportementale plutôt que sur l'attribution personnelle.

Les fonctionnalités de sécurité incluent la disponibilité de Tor pour les utilisateurs recherchant une anonymisation supplémentaire au niveau réseau, des composants open-source lorsque cela est applicable, et un transit chiffré pour toutes les connexions. La page de statut indique une surveillance opérationnelle pour les sous-systèmes d'API de recherche, de renseignement sur les violations, de renseignement sur les IP, de renseignement sur les menaces, de traitement des paiements et de validation des tokens. Un seul cookie de session interne ne stocke que le token haché pendant les sessions actives ; aucun script analytique, marketing ou tiers n'est chargé. Le score de confiance de la plateforme reflète son caractère récent et la difficulté naturelle de vérifier les déclarations d'infrastructure, bien que les données de ScamAdviser pour le domaine connexe lurk.org suggèrent un historique d'enregistrement pluriannuel et une configuration SSL valide.

Pour qui c'est, verdict

Lurk occupe une niche étroite mais critique : l'OSINT et le renseignement sur les menaces de qualité professionnelle pour les utilisateurs qui refusent la vérification d'identité. Il convient mieux aux chercheurs en sécurité indépendants, aux opérateurs red-team, aux journalistes enquêtant sur les violations de données et aux défenseurs de la vie privée qui ont besoin de corrélation de violations, de réputation IP et de surveillance du darknet sans créer de trace papier découvrable. L'outil n'est pas un produit de consommation courante ; la friction délibérée de la gestion des tokens, l'irréversibilité de la perte d'accès et la nature technique des résultats de requête supposent une base d'utilisateurs compétente et autonome.

Le score global de 8/10 reflète un fort alignement avec les principes no-KYC, une architecture de confidentialité bien documentée et une utilité pratique, entaché par les hypothèses de confiance inévitables de tout système fermé prétendant à l'absence de logs. Pour les utilisateurs déjà à l'aise avec Monero et les modèles d'accès par jetons, Lurk offre une alternative convaincante aux plateformes d'intelligence grand public qui exigent une inscription par email, enregistrent les requêtes par défaut et constituent des cibles privilégiées pour la contrainte légale. Pour ceux qui ont besoin d'accompagnement, de résolution des litiges ou d'un recours réglementaire, les mêmes choix de conception qui protègent la confidentialité apparaîtront comme un risque inacceptable.