Points clés
- Les attaques les plus coûteuses commencent par une collecte d'informations publiques — OSINT — qui ne déclenche aucune alerte et ne laisse aucune trace dans les systèmes ciblés.
- Le croisement d'informations provenant de plusieurs sources publiques produit un niveau de précision permettant des attaques impossibles à détecter par les mécanismes de sécurité traditionnels.
- Les informations publiées par l'organisation elle-même (communiqués, offres d'emploi, présentations) constituent souvent la source la plus précieuse pour les attaquants.
- La sensibilisation des équipes à ce qu'elles publient est plus efficace que les contrôles techniques pour réduire cette surface d'exposition.
L'OSINT — Open Source Intelligence, ou renseignement à partir de sources ouvertes — est la technique de reconnaissance préférée des attaquants sophistiqués. Elle est gratuite, légale, indétectable et souvent plus efficace que les outils d'intrusion techniques pour préparer une attaque ciblée. La direction doit comprendre que les informations publiées volontairement par l'organisation et ses membres sont la principale matière première de cette reconnaissance.
Un attaquant motivé peut, en quelques heures de recherche sur des sources publiques légales, construire un dossier plus précis sur une organisation cible que celui dont disposent ses propres auditeurs. Ce déséquilibre informationnel est structurel et s'aggrave à mesure que la présence numérique des organisations s'intensifie.
Le croisement de sources comme amplificateur de précision
Chaque source publique prise isolément livre peu. Le croisement de plusieurs sources — profils LinkedIn des employés, communiqués de presse, offres d'emploi, articles de blog, interventions en conférence, enregistrements de domaines — produit un tableau précis de l'organisation : ses technologies, ses prestataires, ses projets, ses vulnérabilités organisationnelles et ses individus les plus accessibles.
Cette technique de croisement de sources est exactement ce qu'a utilisé le groupe qui a compromis Target en 2013 : en identifiant via des sources publiques le prestataire HVAC de Target et ses pratiques de sous-traitance, les attaquants ont trouvé le vecteur d'intrusion initial qui leur a permis d'exfiltrer les données de 40 millions de cartes bancaires.
Les offres d'emploi comme cartographie technique involontaire
Une offre d'emploi pour un ingénieur sécurité cite typiquement les outils SIEM, firewall et EDR utilisés. Une offre pour un administrateur cloud nomme les prestataires et les plateformes. Une offre pour un développeur liste les frameworks et langages en production. Agrégées sur plusieurs mois, ces offres construisent une cartographie précise de l'architecture technique de l'organisation, avec ses points de jonction et ses dépendances — exactement ce qu'un attaquant cherche à établir.
Des guidelines simples sur ce que les offres d'emploi ne doivent pas révéler — outils de sécurité spécifiques, versions de logiciels, noms de prestataires critiques — réduisent significativement la valeur de cette source pour les adversaires.
Les présentations et conférences comme fuite stratégique
Les interventions de dirigeants ou d'experts techniques lors de conférences sectorielles, souvent relayées sur les réseaux sociaux, livrent régulièrement des informations sur les projets stratégiques, les partenariats en cours, les défis techniques rencontrés et les roadmaps technologiques. Ces informations sont valorisées à des fins commerciales légitimes mais sont également précieuses pour des concurrents mal intentionnés ou des attaquants cherchant à cibler des projets spécifiques.
Toute intervention publique d'un membre de la direction ou d'un expert technique doit faire l'objet d'une revue préalable pour s'assurer qu'elle ne livre pas d'informations sensibles sous couvert de partage d'expérience.
Sensibiliser les équipes à ce qu'elles publient
La réduction de l'exposition informelle — ce que les employés publient individuellement sur leurs profils personnels — est un défi de sensibilisation autant que de politique. Les publications personnelles sur les projets en cours, les outils utilisés, les partenaires rencontrés ou les défis techniques résolus alimentent la base de données OSINT des adversaires. Une sensibilisation régulière et concrète, illustrée par des exemples tirés de cas réels, est plus efficace que des politiques générales difficiles à appliquer individuellement.
L'objectif n'est pas de transformer les employés en entités sans présence numérique — c'est de les aider à comprendre quelles informations ont de la valeur pour un adversaire et lesquelles sont sans conséquence, pour qu'ils puissent exercer un jugement éclairé dans leurs publications quotidiennes.
Études de cas
Target 2013 — Prestataire identifié via OSINT public
Les attaquants ont compromis Fazio Mechanical Services, le prestataire HVAC de Target, après l'avoir identifié via des sources publiques incluant des publications LinkedIn, des témoignages clients et des certifications commerciales affichées sur le site web de l'entreprise. Cette compromission indirecte a permis d'accéder au réseau de Target et d'exfiltrer les données de 40 millions de cartes bancaires. L'OSINT n'a ciblé aucun système — uniquement les informations publiques des partenaires commerciaux.
Axie Infinity (Ronin Bridge) 2022 — Recrutement fictif sur LinkedIn
Un développeur de Sky Mavis (éditeur d'Axie Infinity) a reçu sur LinkedIn une offre d'emploi très attractive d'un faux recruteur lié au groupe Lazarus. Après plusieurs échanges, un document PDF contenant un malware lui a été transmis. La compromission initiale, basée sur OSINT du profil professionnel de la cible et ingénierie sociale adaptée, a permis de voler 620 millions de dollars en cryptomonnaies. Le vecteur d'attaque ne comprenait aucune vulnérabilité technique d'infrastructure.
Phishing ciblé via données de conférence — Secteur financier
L'ENISA a documenté des campagnes ciblant des dirigeants financiers européens en exploitant des informations publiées lors de conférences sectorielles. Les attaquants utilisaient des références précises aux interventions des cibles, à leurs projets mentionnés publiquement et à leurs relations connues pour construire des emails de spear phishing indiscernables de communications légitimes. Le taux d'ouverture de ces campagnes ultra-ciblées dépasse 60%, contre 3% pour le phishing générique.
États-Unis — NSA et le rapport sur l'OSINT contre les infrastructures critiques
La NSA a publié des recommandations documentant comment les acteurs étatiques adverses utilisent l'OSINT pour cartographier les opérateurs d'infrastructures critiques américains. Les offres d'emploi des utilities et opérateurs énergétiques sont spécifiquement citées comme sources précieuses identifiant les technologies SCADA/OT utilisées, facilitant la préparation d'attaques ciblées contre les systèmes industriels. La recommandation centrale est d'anonymiser les détails techniques dans les offres d'emploi.
Union européenne — ENISA et la surface OSINT des institutions
L'ENISA (Agence de l'UE pour la cybersécurité) a conduit des évaluations de l'exposition OSINT d'institutions européennes et publié des recommandations sur la réduction de la surface informationnelle publique. Ces évaluations montrent systématiquement que les informations publiées par les institutions elles-mêmes — pas uniquement leurs employés — constituent la source OSINT la plus précieuse pour des adversaires. Les présentations officielles publiées post-conférence contiennent souvent plus d'informations sensibles que les communications informelles des employés.
Japon — Secteur automobile et espionnage industriel via OSINT
L'Agence nationale de police japonaise a documenté des campagnes d'espionnage industriel contre des constructeurs automobiles utilisant systématiquement l'OSINT sur les réseaux sociaux pour identifier les ingénieurs travaillant sur des projets de véhicules électriques ou de batteries. Ces ingénieurs étaient ensuite ciblés par des campagnes de spear phishing ou de recrutement fictif. La précision des approches — utilisant des références à des projets réels, des partenaires identifiés et des détails techniques corrects — démontrait une phase de reconnaissance OSINT intensive préalable.