OSINT et IA : comment les attaquants exploitent l’information publique

Quand on parle de cyberattaque, on imagine souvent quelqu’un qui casse un mot de passe et force un serveur. La réalité est plus prosaïque. L’attaquant commence par regarder ce que l’entreprise et ses salariés publient d’eux-mêmes.

C’est ce qu’on appelle l’OSINT, pour open source intelligence : la collecte d’informations en sources ouvertes. Il ne s’agit pas de données volées. Il s’agit d’informations publiques, mises en ligne volontairement — parfois par obligation légale.

L’OSINT compte parce qu’il alimente le phishing (hameçonnage), le vishing, l’arnaque au président et, plus largement, l’ingénierie sociale. L’IA accélère l’étape suivante : transformer des bribes éparses en un message, un script d’appel ou un contexte professionnel qui tient debout.

Ce que l’OSINT collecte réellement en France

Beaucoup de dirigeants répondent : « nous ne publions rien de sensible ». L’attaquant ne cherche pourtant pas un secret unique. Il cherche des pièces de puzzle, et le droit français en met plusieurs à sa disposition.

Les annonces légales. Toute société commerciale publie une annonce à sa constitution, puis à chaque modification statutaire : changement de dirigeant, transfert de siège, augmentation de capital, changement d’objet. Le Bulletin officiel des annonces civiles et commerciales (BODACC) reprend les immatriculations, les modifications, les ventes de fonds de commerce, le dépôt des comptes et les procédures collectives. Une annonce de nomination d’un nouveau directeur financier, c’est une date, un nom et une fenêtre pendant laquelle personne dans l’entreprise ne connaît encore sa signature.

Le registre national des entreprises et ses rediffuseurs. SIREN, forme juridique, capital social, date de clôture, dirigeants : tout cela se consulte en quelques secondes sur les annuaires publics et sur les services qui les redistribuent. Les comptes annuels déposés au greffe sont consultables également, sauf déclaration de confidentialité — une option ouverte aux micro-entreprises et aux petites entreprises, et largement ignorée.

Vos propres mentions légales. La page que vous publiez parce que la loi l’exige nomme le directeur de la publication et l’hébergeur du site. C’est une obligation utile ; c’est aussi, pour un attaquant, un point d’entrée nommé.

Les marchés publics. Si vous vendez à une collectivité ou à un établissement public, les avis d’attribution et les données essentielles de la commande publique nomment l’acheteur, le titulaire, le montant et souvent l’objet technique du marché. Autrement dit : qui travaille avec qui, sur quoi, et pour combien.

Les offres d’emploi. C’est la source la plus sous-estimée. Une annonce « Ingénieur systèmes et réseaux H/F » qui exige trois ans sur une version précise d’hyperviseur, la maîtrise d’un pare-feu nommé, d’un ERP nommé et d’un logiciel de paie nommé vient de publier votre pile technique, votre niveau de maturité et le service qui recrute.

LinkedIn. Le filtre « personnes qui travaillent chez » reconstitue un organigramme approximatif en trois clics : intitulés de poste, ancienneté, rattachements devinables, arrivées récentes annoncées par les intéressés eux-mêmes. Les commentaires sous les publications de l’entreprise complètent la carte.

Le reste. Photos de bureaux et de salons professionnels — badges, écrans, tableaux blancs ; communiqués de presse nommant clients et fournisseurs ; documents et présentations restés indexés ; format des adresses de messagerie ; pour un nom de domaine en .fr, les coordonnées d’un titulaire personne morale, publiques par défaut ; les certificats TLS de vos sous-domaines, journalisés publiquement.

Isolément, rien de tout cela n’est confidentiel. Ensemble, cela dessine une organisation, ses projets, ses priorités internes et ses circuits de validation. C’est pourquoi l’empreinte numérique est un sujet de sécurité, et pas seulement un sujet de communication.

Comment l’attaquant assemble le scénario

Prenons un cas ordinaire. Une PME industrielle annonce sur LinkedIn qu’elle a remporté un marché. Des salariés commentent la publication ; l’un d’eux a « chargé d’affaires » dans son profil. Le site publie l’adresse de messagerie de la comptabilité. Une offre d’emploi mentionne le logiciel de gestion utilisé. Une photo d’atelier laisse lire le nom d’un sous-traitant. Une annonce légale indique que le directeur administratif et financier est arrivé il y a six semaines.

L’attaquant dispose alors de tout ce qu’il faut :

« Bonjour Madame, je vous joins l’avoir corrigé sur le marché de Vitry — notre RIB a changé lors de la reprise, le nouveau figure en pied de facture. Pouvez-vous l’intégrer avant l’échéance de vendredi ? »

C’est autrement plus dangereux qu’un phishing générique. Il y a un nom, un chantier, un outil, un contexte de travail et une échéance. Le message a l’air d’avoir un sens.

Ce que l’IA change, et ce qu’elle ne change pas

L’IA ne donne accès à aucune donnée nouvelle. Elle supprime le coût de l’étape la plus laborieuse : lire beaucoup de matériaux publics, en extraire ce qui est exploitable et le reformuler en français professionnel irréprochable.

Un attaquant peut soumettre à un modèle génératif un profil, une offre d’emploi et un communiqué, puis demander un courriel à destination de la comptabilité, un message LinkedIn personnalisé, un script d’appel ou une fausse correspondance fournisseur. Il peut régler le ton : formel, cordial, laconique, très technique. Et produire trente variantes en autant de secondes.

Conséquence directe : la faute d’orthographe n’est plus un signal fiable. Les campagnes visant la France arrivaient autrefois mal traduites — accents manquants, accords approximatifs, tutoiement et vouvoiement mélangés. Ce repère a disparu. Un phishing généré par IA est souvent mieux écrit qu’un courriel interne moyen. Nous avons détaillé ailleurs ce que l’IA change pour les attaquants.

Ce qui n’a pas changé, en revanche, c’est la demande. Un virement, un identifiant, un code de validation, un fichier, un accès. C’est là que la vérification reste possible, et c’est la seule chose qu’il faut enseigner.

Le pretexting, ou création d’un prétexte

Le pretexting consiste à inventer une situation crédible et à jouer un rôle pour obtenir un acte. L’attaquant se présente comme :

• un nouveau fournisseur,
• un client,
• un collègue d’un autre site,
• le support informatique ou l’éditeur d’un logiciel que vous utilisez,
• un transporteur ou un livreur,
• un commissaire aux comptes ou un auditeur,
• un candidat à un poste ouvert,
• un responsable hiérarchique, un conseiller bancaire, un agent d’une administration.

Un bon prétexte n’est pas spectaculaire. Il est ordinaire. Il s’insère dans une journée de travail normale et il arrive au moment où il est plausible : la veille d’une clôture, pendant les congés du directeur financier, la semaine d’une migration annoncée dans une offre d’emploi. C’est exactement pour cela qu’il fonctionne.

Quatre scénarios que l’on rencontre en France

La fraude au changement de RIB

L’attaquant identifie qui traite les factures et avec quels fournisseurs vous travaillez. Il envoie une demande de modification de coordonnées bancaires qui reprend la mise en page, le numéro de marché et la signature du fournisseur réel. Sans rappel sur un numéro déjà connu, le virement part sur son compte. C’est la forme la plus courante de faux ordre de virement ; elle ne suppose aucune compromission informatique.

L’arnaque au président

Même mécanique, autorité en plus : un message présenté comme venant du dirigeant demande un virement urgent et confidentiel, souvent lié à une opération de croissance externe « encore non publique ». Les annonces légales et la presse économique fournissent le contexte qui rend l’histoire crédible, et les enregistrements publics fournissent la voix.

Le faux support technique

Les offres d’emploi révèlent quels outils vous utilisez. L’attaquant appelle un salarié et se présente comme le support de cet outil précis : « Bonjour, j’appelle au sujet de votre ERP. Nous lançons la migration aujourd’hui, j’ai besoin de vérifier votre accès. » Nommer le bon produit suffit souvent à obtenir le bénéfice du doute.

La préparation d’un deepfake vocal

Webinaires, podcasts, interviews, prises de parole en salon : les dirigeants laissent des échantillons de voix exploitables. Plus le matériel public est abondant, plus la préparation est simple. C’est le prolongement naturel de l’arnaque au président, et la contre-mesure n’est pas l’oreille du salarié — c’est le rappel sur un numéro connu.

Ce que dit le droit français

Consulter n’est pas s’introduire. La collecte d’informations publiques n’est pas réprimée en tant que telle. Ce qui l’est, c’est l’accès ou le maintien frauduleux dans un système de traitement automatisé de données, aux articles 323-1 et suivants du code pénal. C’est la raison pour laquelle tous nos tests d’intrusion sont réalisés sur mandat écrit, dans un périmètre défini contractuellement : c’est le mandat, et lui seul, qui distingue un test d’une infraction.

Le prétexte a déjà un nom en droit. L’article 313-1 du code pénal définit l’escroquerie notamment par « l’usage d’un faux nom ou d’une fausse qualité » ou « l’emploi de manœuvres frauduleuses » ayant déterminé la remise de fonds. Un faux fournisseur qui obtient un virement, c’est exactement cette définition.

Le RGPD attend que vous testiez. L’article 32 cite, parmi les mesures de sécurité appropriées, « une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles ». Les contrôles humains — reconnaître, vérifier, signaler — en font partie au même titre que les contrôles techniques. Et si un prétexte réussi débouche sur une violation de données personnelles, l’organisation dispose en principe de 72 heures pour la notifier à la CNIL.

L’OSINT lui-même traite des données personnelles. Un dossier nominatif constitué sur vos salariés est un traitement : il lui faut une base légale, une minimisation réelle, une durée de conservation courte et un contrat de sous-traitance. Demandez-le à tout prestataire qui vous propose une reconnaissance en sources ouvertes ; c’est une question que peu de prestataires se voient poser, et la réponse est instructive.

Réduire votre empreinte numérique sans disparaître d’internet

L’objectif n’est pas de cesser de communiquer. Vous avez besoin de marketing, de recrutement, de LinkedIn, d’un site et de visibilité. L’objectif est de publier en connaissance de cause.

Pour chaque collaborateur

• Ne détaillez pas les processus internes dans vos publications.
• Demandez-vous si chaque outil de travail doit figurer dans votre profil.
• Restez prudent face aux sollicitations de personnes inconnues.
• N’ouvrez pas un lien reçu en message privé sans vérification.
• Surveillez ce que montrent vos photos : écrans, badges, tableaux, documents.
• N’envoyez jamais de document professionnel depuis un compte personnel.

Pour l’organisation

• Relisez ce que publie votre site, y compris les pages anciennes.
• Reprenez vos offres d’emploi et retirez les détails techniques inutiles.
• Fixez une règle de relecture des photos publiées.
• Sensibilisez vos équipes à l’OSINT et à l’ingénierie sociale, exemples réels à l’appui.
• Imposez une procédure de vérification pour tout paiement et tout changement de coordonnées bancaires.
• Surveillez les noms de domaine proches du vôtre.
• Rendez le signalement d’un message suspect immédiat et sans reproche.

Ces deux derniers points coûtent moins cher qu’ils n’en ont l’air. Un bouton de signalement qui fonctionne en deux clics rapporte souvent davantage qu’une mesure technique supplémentaire : il réduit le délai entre la première victime et le moment où votre équipe sait qu’une campagne est en cours.

LinkedIn, un outil à double tranchant

LinkedIn est utile. Il sert la marque, la vente, le recrutement et le partage d’expertise. Il est aussi une excellente source pour un attaquant. Cela ne veut pas dire qu’il faut s’en passer : cela veut dire qu’il faut choisir ce que l’on y met.

Une publication du type « notre équipe comptable achève un audit d’envergure avec un prestataire externe » paraît inoffensive côté communication. Côté attaquant, elle donne un service, une activité, une période et un rôle à endosser.

La règle tient en une phrase : partagez des résultats, pas des détails internes.

La checklist avant publication, pour le marketing et les RH

Ce sont les deux services qui publient le plus. Ils méritent une liste courte. Avant de publier, demandez-vous :

• Des écrans, des documents ou des notes internes sont-ils visibles sur la photo ?
• Nommons-nous des personnes à côté de systèmes sensibles ?
• Donnons-nous plus de détails techniques que nécessaire ?
• Révélons-nous qui valide les paiements ou les accès ?
• Ce contenu peut-il servir de prétexte à une prise de contact ?
• Annonçons-nous en temps réel l’absence de personnes clés ?

Comment nous reproduisons cela dans un test

Un test d’ingénierie sociale suit la même séquence qu’une attaque réelle, mais dans un périmètre défini à l’avance et sur mandat écrit.

1. Reconnaissance en sources ouvertes. Nous cartographions ce que l’on trouve sur vous : noms de domaine, format des adresses, annonces légales, offres d’emploi, profils publics, identifiants exposés lors de fuites antérieures. Uniquement des sources ouvertes, aucune intrusion dans un compte.
2. Conception des prétextes. Nous en tirons quelques scénarios cohérents avec votre quotidien : une demande fournisseur, une note interne, un appel au sujet d’un outil que vous utilisez réellement.
3. Exécution. Selon le périmètre, par campagnes de phishing, de vishing et de smishing ou dans le cadre plus large d’une mission Red Team, où l’entrée humaine se combine à des étapes techniques.
4. Rapport et contre-audit. Vous recevez les constats, les scénarios employés et des correctifs concrets pour le processus, la technique et la sensibilisation. Le contre-audit est inclus, sans surcoût, après la mise en œuvre des correctifs.

Ce que nous évaluons, ce sont des mesures organisationnelles, pas des personnes. Les résultats sont restitués de façon agrégée ; aucun salarié n’est identifié ni sanctionné. Une simulation qui se termine par une liste de noms ne produit rien d’utile : elle abîme précisément la confiance dont vous avez besoin pour recevoir des signalements. La question n’est pas de savoir qui a cliqué, mais si la procédure de vérification, le canal de signalement et les filtres techniques ont fait leur travail.

Pour la même raison, un test va de pair avec la sensibilisation de vos collaborateurs. Mesurer sans expliquer ne change rien ; expliquer sans mesurer non plus. Et si vous voulez voir le déroulement complet d’une mission, il est décrit dans notre article sur le Red Team.

Pour conclure

L’OSINT et l’IA forment une combinaison efficace. L’information publique fournit la matière ; l’IA en fait une histoire crédible ; une personne sous pression commet l’erreur.

La bonne nouvelle, c’est que le risque se réduit. Vous n’avez pas à disparaître d’internet. Vous avez à savoir ce qui est public, à qui cela profite, et à faire reposer vos garde-fous sur la vérification plutôt que sur la vigilance.

Avant de publier, une seule question suffit : « cette information sert-elle davantage nos clients, ou un attaquant ? »

Nos services associés : pentest d’ingénierie sociale et simulations de phishing · sensibilisation de vos collaborateurs à la cybersécurité · Red Team – une simulation d’attaque réaliste