OSINT : ce que les sources ouvertes révèlent de votre organisation

Une discipline, deux directions

L'investigation en sources ouvertes désigne la collecte et l'analyse d'informations librement accessibles : registres publics, sites d'entreprise, réseaux sociaux, données techniques d'Internet (noms de domaine, certificats), images et documents publiés. Rien d'exotique : c'est la rigueur de la méthode qui fait la discipline, pas le secret des sources.

C'est par ces méthodes que des rapports publics ont reconstruit les opérations que nous analysons dans nos articles — l'infrastructure de Doppelgänger, la coordination de Portal Kombat — jusqu'à des attributions opposables. Mais la symétrie est totale : les mêmes méthodes servent à préparer une usurpation de dirigeant, une fraude au virement ou une campagne de déstabilisation ciblée.

Ce qu'un attaquant assemble en quelques heures

Sans rien d'illégal, à partir de données publiques ordinaires, un attaquant motivé reconstitue l'essentiel de ce dont il a besoin :

• L'organigramme réel : profils professionnels en ligne, signatures d'emails publiées, organigrammes de plaquettes, mentions dans la presse locale — qui décide, qui paie, qui remplace qui pendant les congés.
• Les habitudes du dirigeant : déplacements annoncés, conférences, interviews — dont on extrait la voix et l'image qui alimenteront un hypertrucage, et le calendrier qui rendra crédible une demande « urgente » en son absence.
• L'écosystème fournisseurs et clients : marchés publics, communiqués conjoints, litiges publiés — la matière première d'un faux fournisseur crédible.
• L'infrastructure : noms de domaine, certificats, offres d'emploi techniques qui détaillent vos outils — de quoi cibler l'usurpation là où elle passera.

Chacun de ces éléments est anodin isolément. C'est l'assemblage qui constitue la menace — et l'assemblage est précisément ce que la méthode OSINT enseigne à faire, et donc à anticiper.

L'OSINT défensif : se regarder avec les yeux de l'attaquant

La contre-mesure la plus rentable est de conduire l'exercice sur soi-même. Un audit d'empreinte en sources ouvertes — sur l'organisation et sur ses dirigeants — répond à trois questions : que peut-on assembler sur nous, qu'est-ce qui rend une attaque crédible, et qu'est-ce qui peut être retiré ou cloisonné à coût faible ?

Certaines expositions se réduisent (détails opérationnels dans les offres d'emploi, calendriers de déplacement publiés à l'avance, signatures détaillant les circuits de validation). D'autres sont irréductibles — un dirigeant public a une voix et un visage publics — et se traitent alors par procédure : c'est exactement le rôle de la règle du double canal face aux usurpations.

Lire : la règle du double canal face aux fraudes par deepfake →

La méthode compte plus que l'outil

L'erreur classique des équipes qui se lancent est l'outillage sans méthode. L'investigation en sources ouvertes produit vite beaucoup de matière, et la matière abondante nourrit le biais de confirmation : on trouve ce qu'on cherchait. Les garde-fous sont méthodologiques — hypothèses alternatives explicites, séparation entre observation et interprétation, journalisation de chaque constat avec sa source et son horodatage, prudence d'attribution.

Ces garde-fous ne sont pas décoratifs : une qualification erronée, fondée sur une investigation bâclée, peut coûter plus cher que l'attaque elle-même — réponse publique injustifiée, accusation d'un tiers, contentieux. La collecte est légale quand elle porte sur des données publiques ; l'usage qui en est fait reste soumis au droit, à commencer par la protection des données personnelles.