Lurk

Qu'est-ce que Lurk

Lurk est une plateforme de renseignement en source ouverte (OSINT) axée sur la confidentialité, spécialisée dans les données de fuites, l'intelligence IP et la surveillance des menaces. Au 2026-05-30, elle opère sur lurk.st et offre l'accès à plus de 15 milliards d'identifiants compromis, des données de réputation IP en temps réel de GreyNoise et Shodan, la surveillance de forums du darknet sur plus de 50 sources, l'énumération de noms d'utilisateur multiplateforme et des flux de suivi des ransomwares. Le service cible explicitement les professionnels de la cybersécurité, les testeurs d'intrusion, les équipes rouges, les chercheurs en sécurité indépendants et les journalistes.

Cela représente un changement significatif par rapport aux anciennes métadonnées sources, qui caractérisaient Lurk comme un « agrégateur d'échange non dépositaire » pour les cryptomonnaies. Le service actuel n'a aucun lien apparent avec cette description antérieure et fonctionne entièrement comme un outil de recherche OSINT.

Quel niveau de no-KYC ?

Lurk met en œuvre un modèle véritablement no-KYC sans vérification d'identité à aucun niveau. L'architecture élimine délibérément les systèmes de compte traditionnels :

• Aucune adresse e-mail collectée
• Aucun nom requis
• Aucun document d'identité demandé
• Aucune vérification téléphonique
• Accès accordé uniquement par des jetons cryptographiques anonymes

Le système de jetons est explicitement calqué sur les mécanismes de préservation de la confidentialité utilisés par Mullvad VPN. Lors du paiement, les utilisateurs reçoivent un jeton affiché une seule fois. Seul un hachage SHA-256 de ce jeton est conservé côté serveur pour validation. Les jetons perdus ne peuvent pas être récupérés, et les détenteurs de jetons ne peuvent pas être identifiés. Ce choix de conception rend l'identification forcée des utilisateurs techniquement impossible par l'architecture, et non simplement par politique.

Confidentialité et sécurité

L'architecture de confidentialité de Lurk s'étend au-delà du système de jetons jusqu'aux couches réseau et applicative. Selon la politique de confidentialité du site (dernière mise à jour mai 2026) :

• Les adresses IP ne sont jamais journalisées
• Les empreintes de navigateur ne sont jamais collectées
• Les requêtes de recherche s'exécutent en mémoire et ne sont pas écrites sur disque
• Le trafic transite par un réseau périphérique configuré pour la confidentialité avec journalisation désactivée
• Aucun cookie analytique, comportemental, marketing ou de traçage
• Aucun script tiers ne s'exécute sur la plateforme
• Un seul cookie de session first-party conserve uniquement le jeton haché pendant les sessions actives

La plateforme publie un canari de transparence mensuel signé par PGP, le plus récent daté du 2026-05-25. Le canari indique que Lurk n'a pas reçu de lettres de sécurité nationale, d'ordres de silence, d'ordonnances judiciaires contraignant à la divulgation, ni de demandes gouvernementales visant à modifier la plateforme pour la surveillance. La prochaine mise à jour est prévue pour le 2026-06-20.

Le traitement des paiements s'effectue via des processeurs de cryptomonnaies tiers, le site notant que les transactions Monero offrent une confidentialité supplémentaire grâce aux adresses furtives et aux signatures en anneau par défaut.

Paiements, frais et limites

Lurk propose trois niveaux tarifaires, bien que les montants spécifiques des frais ne soient pas divulgués dans les pages analysées. La structure comprend :

• Niveau gratuit : 5 recherches par jour
• Niveaux payants : accès Pro avec limites de requêtes étendues (les allocations de recherche spécifiques ne sont pas énumérées dans les preuves disponibles)

Les cryptomonnaies acceptées incluent BTC, ETH, XMR et USDT. Le flux de paiement comprend la sélection d'un forfait, le choix d'une devise, la confirmation du paiement, l'envoi de la transaction et la réception du jeton d'accès. Le site met en avant « aucune vente incitative » dans sa description des niveaux.

Aucune politique de remboursement ne s'applique, selon les conditions d'utilisation. Les enregistrements de paiement ne contiennent qu'un identifiant de transaction et un niveau de forfait, sans adresse IP, e-mail ou identité physique traitée lors du paiement.

Expérience utilisateur et support

La plateforme fonctionne sans comptes utilisateurs traditionnels, ce qui change fondamentalement le modèle de support. Les utilisateurs ne peuvent pas réinitialiser de mot de passe, récupérer l'accès ou demander des modifications de compte. La perte du jeton signifie la renonciation permanente à l'accès.

L'interface semble rationalisée autour de la fonctionnalité de recherche immédiate avec une démonstration en direct montrant des exemples de résultats de requêtes pour l'intelligence IP et les données de fuites. Les options d'exportation incluent le format JSON pour les résultats. La surveillance de l'état du système indique que tous les composants sont opérationnels lors de la dernière mise à jour le 2026-05-29.

Des options de contact existent pour les demandes d'exclusion de domaine et les demandes générales via lurk.st/contact. Les conditions d'utilisation spécifient un mécanisme d'exclusion pour les personnes souhaitant exclure leurs adresses e-mail des résultats de recherche, qui fonctionne en hachant l'identifiant en SHA-256 et en stockant uniquement ce hachage à des fins d'exclusion.

À qui s'adresse-t-il

Lurk convient aux chercheurs en sécurité soucieux de leur confidentialité, aux journalistes enquêtant sur les fuites de données, aux testeurs d'intrusion et aux équipes rouges qui ont besoin de capacités OSINT sans créer de comptes identifiables ni laisser de traces d'audit. L'interdiction explicite du harcèlement, de la doxxing, du remplissage d'identifiants et des tests d'intrusion non autorisés indique que le service tente de servir des cas d'usage légitimes de recherche tout en se dégageant des applications malveillantes.

Le niveau gratuit de 5 recherches par jour permet une évaluation occasionnelle, bien que la recherche sérieuse nécessite un accès payant. Les utilisateurs à l'aise avec la gestion irréversible des jetons et l'absence d'options de récupération trouveront les compromis de confidentialité acceptables ; ceux qui ont besoin de structures de support de compte traditionnelles ne les trouveront pas.