什麼是暗網？意義、定義與運作方式

什麼是暗網？

暗網是運行於加密覆蓋網路上的網際網路層，必須使用專門打造的軟體才能存取。標準瀏覽器無法開啟它，搜尋引擎也不會為其建立索引。實務上，暗網的意義相當狹義。無論主機或訪客都無法被定位。

在 2025 年 6 月，美國特勤局與 FBI 查扣了約 145 個暗網網域，這些網域與 BidenCash 市集有關，該市集販售遭竊的支付卡與遭入侵的憑證。

如果您負責安全營運，暗網就是遭竊憑證被定價與轉售的地方。本頁將說明此網路如何運作、其中包含哪些內容，以及應監看的位置。

暗網 vs 深網 vs 表層網路

對於深網與暗網之間的差異，仍然存在許多混淆。因此，「Dark Web」經常與「Deep Web」交替使用，但實際上兩者是不同的概念。「表層網路」由可透過 Google 或 Bing 等搜尋引擎搜尋到的 WWW 網站所組成。

凡是超出該索引範圍、隱藏在密碼或任何軟體之後的內容，都稱為深網或暗網。對於評估來自網際網路威脅的組織而言，深網、暗網與表層網站之間的差異至關重要。

1. 表層網路 – 容易建立索引： 表層網路包含所有可透過標準網頁瀏覽器以及標準搜尋引擎爬蟲存取的資訊。其中包括新聞網站、社群媒體頁面、公司網站與線上商店等。這些網域可透過網站提供的連結或搜尋引擎結果來存取。它僅代表網際網路的一小部分，但人們通常將其與「Web」一詞聯想在一起。
2. 深網 – 未建立索引的頁面： 深網頁面不會被一般搜尋引擎建立索引，因為它們不是位於付費牆之後，就是存在於私人網路中。範例包括公司的內部資料庫、受密碼保護的電子郵件，以及付費期刊與定期刊物。就規模而言，這個未建立索引的領域遠大於表層網路。值得注意的是，深網本身不帶有任何犯罪意涵，但有些暗網站點經常也被稱為深網。
3. 暗網 – 以匿名性為設計核心： 暗網是深網的一部分，由託管於 Tor 或 I2P 等匿名網路中的網站所組成。在 Tor 網路上，這些網域也被稱為「v3 onion sites」，其名稱由隨機字元組成，並以「.onion」結尾。它們可透過暗網瀏覽器存取，以確保使用者的身分與 IP 位址受到隱藏。此環境支援隱密討論群組、非法交易，以及安全的通訊方式。
4. 可存取性差異：只要在 Google 上搜尋，就能找到表層網站。大多數深網頁面需要使用者名稱與密碼，或頁面的實際位址。相較之下，暗網資源只能藉由特定軟體或在匿名網路內運作的暗網搜尋引擎來存取。許多新手在了解這些獨特的存取步驟時，都會問：「什麼是暗網？」因為這與簡單且開放的表層網路截然不同。
5. 內容多樣性： 表層網路包含文章、部落格與電子商務網站，而深網則包括私人資訊、受密碼保護的文件與內部網路。另一方面，暗網站點的內容可能從政治行動者的討論論壇到毒品市場，無所不包。其範圍極廣，這證明暗網上的活動既可能相當有用且合法，也可能完全違法。
6. 安全意涵： 雖然大多數表層網路，甚至深層網路的互動都是安全的，但由於暗網的匿名性，風險更高。這裡是威脅行為者前來買賣遭竊資料與駭客工具，或彼此合作的地方。企業會使用暗網掃描服務來追蹤企業內遭竊的憑證或其他智慧財產。暗網與表層網路分類的幫助在於，它能說明當組織的資料流入暗網時，所面臨的風險有多高。
7. 觀感與合法性： 雖然深網大多無害，但由於黑市與駭客集團的存在，暗網帶有陰暗的形象。這類網站通常會在大型毒品販子或信用卡詐欺犯落網時受到關注。然而，即使是暗網站點也包含許多合法活動，例如政治異議人士之間的通訊。在這種情況下，將所有被隱藏的內容都視為本質上違法，便忽略了暗網更細微的面向。

暗網如何運作？

暗網透過洋蔥路由運作，這項技術由美國海軍研究實驗室的研究人員於 1990 年代中期建立，並於 2002 年以開源 Tor 軟體形式釋出。其運作機制說明了為何歸因困難，以及為何取締行動往往持續多年：

1. 您的 Tor 用戶端會從全球節點池中隨機選擇三個由志工運作的中繼節點，並定期輪替。
2. 流量會以三層方式加密，每個中繼節點對應一層，就像洋蔥一樣。
3. 每個中繼節點只會解密屬於自己的那一層，因此只知道前一跳與下一跳。沒有任何一個節點同時知道您的 IP 位址與目的地。
4. .onion 服務沒有出口中繼節點。用戶端與服務端各自建立一條通往共享會合點的電路，因此雙方都不會得知彼此的位置。
5. 該位址是由密碼學公開金鑰衍生出的 56 字元字串，而傳統 DNS 永遠不會解析它。

取締通常來自營運者的失誤：重複使用的電子郵件地址、可追蹤的付款、重複利用的基礎設施。當由美國主導並與 Europol 合作的行動 查扣 AlphaBay 於 2017 年 7 月發生時，當時它是仍在運作中最大的暗網市集，調查人員已透過該網站早期自動訊息中留下的個人電子郵件地址識別出其管理員。Tor 的加密並未被破解。這些習慣形塑了暗網站點的樣貌。

Get Deeper Threat Intelligence

See how the SentinelOne threat-hunting service WatchTower can surface greater insights and help you outpace attacks.

Learn More

暗網看起來是什麼樣子？

大多數暗網站點以文字為主、視覺上樸素且速度緩慢，因為每次頁面載入都要經過多個中繼節點，而強化的 Tor 設定會封鎖讓現代網站變快的指令碼與圖片。

每移除一項功能，就會再關閉一條去匿名化路徑。要真正到達該介面，本身就需要刻意的設定。

如何安全存取暗網

存取是一項具有爆炸半徑的研究工作，不是瀏覽決策。分析師、詐欺調查人員與事件回應人員有理由前往那裡。你網路中的其他所有人都沒有。在你允許的情況下，請在任何人開啟瀏覽器之前先劃定界線：

1. Tor Browser 作為用戶端。 Tor 是免費且開放原始碼的，並且能解析一般瀏覽器無法處理的 .onion 位址。只能從 Tor Project 下載。透過搜尋廣告散布的仿冒安裝程式一直都是個問題。
2. 在 Tor 前面加上一個 VPN。 這會向你的 ISP 隱藏使用 Tor 的事實，而且更重要的是，對企業而言，能讓企業 IP 空間不出現在連線中。歸因是雙向的：若市場營運者在其記錄中發現一段企業位址區塊，就會知道是誰在監看。
3. 隔離的機器。 專用虛擬機器或分段的研究網路，可讓工作階段遠離正式環境憑證與內部系統。 網路分段 是限制遭入侵研究主機可存取範圍的控制措施。
4. 僅使用已驗證的位址。 沒有權威索引，而鏡像真實市場以竊取登入資訊的仿冒 .onion 網站很常見。請使用你們情報團隊已驗證的位址，絕不要使用隨機目錄中的位址。
5. 書面政策。 在美國與歐洲大多數地區，瀏覽本身是合法的，但行為未必合法，而且某些司法管轄區會直接監控或封鎖匿名網路。請預先定義哪些角色可存取、可從何處存取，以及可與哪些內容互動。

手動存取有其上限。一位分析師只能閱讀少數幾個論壇；而對你真正重要的暴露分散在數百個論壇中，其中大多數僅限受邀者。留存在那個樸素介面中的，是一個仍在運作的經濟體，而要大規模閱讀它，則是蒐集問題。

暗網上有什麼？你能找到什麼

暗網上的內容可分為三類，而監控計畫對這三類的處理方式各不相同：販售存取權的市場、發布遭竊資料的洩漏網站，以及必須依賴匿名性才能運作的合法服務。

網路犯罪市場與服務

暗網市集是營運上最重要的部分，會把單一遭竊密碼轉變成具有價格、賣家與買家的商品：

• 遭竊憑證：infostealer 記錄、工作階段 Cookie，以及 帳戶接管 攻擊背後的身分套件。
• Ransomware-as-a-service：讓低技術門檻行為者部署加密酬載，並分得部分收益的加盟計畫。
• 初始存取掮客：入侵組織後轉售立足點的賣家，其中企業 VPN 憑證價格最高。
• 漏洞利用工具包： 惡意軟體 建置器、載入器、 零時差漏洞利用，以及租用式攻擊基礎設施。

上述任何一項都可能直接點名你的組織，這會讓市場監控轉化為可用情報。

洩漏網站與資料傾印

勒索團體會營運專用的 .onion 洩漏網站，發布那些拒絕付款受害者遭竊的檔案，而這些資料傾印通常包含內部憑證、財務紀錄與技術文件。

這些網站一舉兩得：一方面向受害者施壓，另一方面向加盟者展示能力。REvil 就是在其 2021 年 7 月針對 Kaseya 的 VSA 軟體發動零時差攻擊活動時，搭配運作了完全相同的架構；該活動透過受管服務供應商波及約 1,500 家企業，並提出 7,000 萬美元的勒索要求。 CISA 和 FBI 發布了聯合指引，在數日內提供給受影響的供應商。

合法且受保護的內容

相當大比例的暗網流量，是為了服務那些安全仰賴匿名性的人。 SecureDrop 平台在包括 The New York Times 在內的新聞編輯部運作 .onion 位址，讓消息來源能匿名提交文件，而 BBC 也為審查嚴格國家的受眾鏡像其報導。

隱私社群與為公開 開源情報 紀錄提供資料的學術爬蟲，也占有一部分。這兩類族群都依賴同一個網路，這就是為什麼全面封鎖不是安全策略。實際會落到你這一側網路上的內容範圍更窄，也更容易明確指出。

你的組織面臨的暗網風險

憑證外洩是將暗網活動轉變為你網路中事件的關鍵。在對關鍵基礎設施組織進行的 143 次評估中，CISA 發現有效帳戶 (T1078) 是最常見的成功 攻擊技術，占成功嘗試的 41%。而遭竊憑證正是暗網市場販售的內容。

DarkSide 是一個勒索軟體即服務集團，曾在暗網論壇招募成員並經營自己的資料外洩網站，於 2021 年 5 月透過一組遭入侵的 VPN 憑證，讓美國東岸最大的燃料管線停擺數日。Colonial 支付了約 75 枚比特幣；FBI 後來追蹤並查扣了其中的 63.7 枚，方法是透過公開帳本。

需要追蹤的暗網曝險：

• 憑證重複使用： 第三方外洩事件中洩露的密碼，會在任何重複使用該密碼的地方解鎖企業帳戶。
• 第三方資料： 遭入侵的供應商可能會在您的系統未受影響的情況下，將您的資料放上暗網外洩網站。
• 品牌濫用：網路釣魚工具包 會針對您的登入頁面建置，且仿冒網域與假入口網站會被公開交易。
• 攻擊前目標鎖定： 附屬成員會討論目標選擇，因此在任何內容遭加密之前，您的名稱就可能已經出現。
• 內部威脅訊號： 員工偶爾會刊登廣告販售 內部存取權，這是來自內部的早期警訊。

只要有正確的蒐集方式，就能觀察到每一項，而且 Singularity Identity 會在有人使用外洩憑證的當下加以標記，補足蒐集所遺漏的部分。大多數團隊兩者都沒有，主要是因為一些根深蒂固的迷思。

修正常見的暗網迷思

正確的心智模型會改變暗網監控決策。以下假設會讓安全計畫走錯方向，通常是因為讓問題看起來毫無希望或無關緊要。

最後一項的代價最高，因為它掩蓋了網路上有一半的人是誰，以及他們為何無法離開。

Enhance Your Threat Intelligence

See how the SentinelOne threat-hunting service WatchTower can surface greater insights and help you outpace attacks.

Learn More

人們為什麼使用暗網？它為什麼存在？

人們使用暗網，要嘛是為了隱藏犯罪交易，要嘛是為了逃避監控與人身危險。這些動機彼此不相容，但這兩類人都依賴相同的匿名性保證。您的威脅模型必須將這點納入考量。

犯罪者為何使用它

犯罪者使用暗網，是因為它解決了非法交易中最困難的問題：在不暴露自己身分的情況下向陌生人販售。聲譽評分、第三方託管與爭議論壇提供了通常由身分所帶來的信任；加密貨幣則負責完成付款。正是這套機制，讓單一 data breach 在入侵事件本身結束後，仍可持續獲利多年。

合法使用者為何依賴它

記者、異議人士與受虐倖存者依賴暗網來保障人身安全，因為標準電子郵件與社群平台會洩露中繼資料，暴露誰在何時與誰聯絡。Tor 的設計就是以這些使用者為出發點。美國政府的資助正是基於這個原因。單一保證同時服務這兩類群體，這也是為什麼相關用語始終混淆不清。

Black Web 與其他替代術語

The black web、the black website 與 the dark network 都是指暗網，而暗網仍是標準技術術語，也是報告中應使用的用語：

• The black web 與 the black website： 非正式說法，常見於一般報導。
• The dark network: 匿名化基礎架構本身，主要是 Tor，而 I2P 與 Freenet 則是較小型的替代方案。
• Darknet: 在該基礎架構上運作的特定市集或論壇。

統一翻譯可避免混淆，當主管詢問 black web，而分析師回答的是 .onion 涵蓋範圍時尤其如此。

使用 SentinelOne 監控暗網

暗網監控只有在持續執行並對應到您的資產時才有幫助。等到每週掃描返回結果時，憑證可能已被使用、資料已擴散，而且攻擊活動已經展開。

SentinelOne 自有的蒐集涵蓋暗網論壇與封閉社群，除了回傳入侵指標外，也提供與組織相關的憑證外洩與攻擊活動規劃發現。 Wayfinder 威脅狩獵 將該情報來源與人工分析師結合，因此指標送達您手中時會附帶歸因與背景脈絡。

Singularity AI SIEM 會將該情報與您在 Singularity Data Lake上的遙測資料進行關聯，將外洩的憑證轉化為關於您環境的具體問題。 Purple AI 接著會以自然語言執行自主、多步驟查詢來展開調查。在 IDC Business Value 研究中，Purple AI 使用者識別威脅的速度快了 63% ，且修復速度比手動作業的團隊快了 55%。

Singularity Identity 和 Singularity Endpoint 會在外洩憑證遭到使用時完成閉環。Behavioral AI 會找出不可能旅行模式，平台可在攻擊者站穩腳跟前自主隔離工作階段，而 Storyline 則會在單一時間軸上重建每個程序、連線與橫向移動。

Latio 將 SentinelOne 評為其 2026 年 Security Operations Market Report 中的 SOC 平台領導者，這也是該公司首次對 SOC 平台進行評估。

申請 SentinelOne 示範，了解如何將犯罪市場情報整合至端點與身分回應中。

暗網的未來

在新型匿名技術、法規變化與使用者需求的推動下，暗網將持續發展。預測其未來需要分析加密、法規與加密貨幣的趨勢。

以下是隱藏網際網路未來樣貌的五個跡象：

1. 持續演進的匿名協定： 先進的加密方法、更完善的路由系統，以及即將出現的隱私網路，可能讓暗網變得更加完善。科學家目前正試驗使用後量子加密，以確保面對未來運算技術進步時仍具備安全性。這種日益增加的複雜性使執法機關難以滲透暗網，也顯示暗網依然非常難以破解。
2. 替代網路的興起： 目前 Tor 最受歡迎，但像 I2P 這類其他匿名網路未來也可能變得更普及。它們各自具備特殊屬性，從高速到更強的串流相容性皆有。這些替代方案擴展了暗網站點的分類，因為它們提供了各種託管隱藏內容的可能性。更加碎片化的隱藏網際網路，可能需要不同的方法來掃描與監控暗網。
3. 加密貨幣創新： 隨著更多幣種推動匿名轉帳，加密貨幣與暗網之間的關聯可能會進一步演變。像 Zcash 或 Beam 這類以隱私為核心的區塊鏈存在，證明對匿名金融工具的需求依然存在。另一方面，各國政府在發展數位貨幣方面也未曾落後，這些貨幣可能會減緩或重新定義暗黑市場。
4. 更嚴格的法規： 各國的國會正考慮通過立法，以禁止或規範暗網上的工具使用。例如，相關提案旨在透過實作後門或強制資料保留，來針對加密或匿名服務進行管制。這些政策可能會降低網際網路的一般使用率，但也可能導致犯罪分子的使用增加。暗網可能會分裂為兩個截然不同的極端：純粹犯罪與純粹合法，但兩者之間仍會存在專門化的利基領域。
5. 企業情報的成長： 預期將有更多公司關注暗網，以防止資料外洩並識別新興威脅。這使得他們在獲得承保之前，必須提出證明，證實組織已部署有效的掃描解決方案。因此，將暗網用於正當目的的情況，例如由資安人員和品牌保護團隊使用，將會顯著增加。未來，這種專業化可能會影響隱蔽線上社群的性質。