Ce que votre entreprise révèle sans le savoir: le risque des traces OSINT
Les données OSINT sont publiques et disponibles dans les pages web.
Pascal Rochat
Publié jeudi 22 mai 2025
Lien copié
#Cybersécurité
Un criminel peut collecter des informations librement accessibles sur internet concernant votre entreprise.
Aujourd’hui, un criminel n’a souvent pas besoin de pirater un système informatique pour préparer une attaque. Il lui suffit de collecter les informations librement accessibles sur internet: c’est ce que l’on appelle l’OSINT, pour Open Source Intelligence. Ces données sont publiques et disponibles dans vos pages web, les réseaux sociaux professionnels, les offres d’emploi, les dépôts de documents, les bases légales ou même les métadonnées techniques de vos certificats et domaines. Bien souvent, ces éléments passent inaperçus, mais ils constituent une mine d’or pour une personne malveillante. Pour les PME genevoises, le danger est bien réel. Contrairement à une idée reçue, les petites structures ne sont pas à l’abri, au contraire: elles sont souvent mal protégées et donc perçues comme des cibles accessibles. Les données récoltées en OSINT peuvent être utilisées pour préparer des campagnes de phishing très ciblées, usurper l’identité d’un collaborateur ou d’un fournisseur, repérer des failles techniques exploitables ou encore cartographier votre environnement numérique. Ce travail en amont permet aux attaquants de gagner en efficacité, en précision, et parfois de contourner totalement les défenses techniques en jouant uniquement sur le facteur humain. Ce que votre entreprise publie sans y prêter attention peut devenir, demain, la porte d’entrée d’une attaque ciblée. Lorsqu’on parle d’attaques ciblées, il ne s’agit pas d’un scénario hypothétique. Plusieurs exemples récents montrent comment des informations anodines ont été exploitées à mauvais escient. Une PME publie sur son site une plaquette PDF contenant des informations techniques: un attaquant peut en extraire des informations importantes. Un collaborateur met à jour son profil LinkedIn pour annoncer la mise en place d’un nouveau projet technique ou applicatif: un pirate en déduit la solution utilisée et lance une attaque basée sur une vulnérabilité connue. Publications dans les journaux officiels ou les plateformes de marchés (procédures d’appel d’offres): une adresse e-mail visible sur une page de contact est utilisée pour lancer une fraude au président. Dans tous ces cas, l’attaquant n’a eu besoin que d’une bonne recherche Google et de quelques outils gratuits. L’intelligence économique fonctionne aussi du côté des cybercriminels. Heureusement, il est possible de se prémunir contre ces risques. La première étape est de reprendre le contrôle de votre image numérique. Cela passe par un inventaire de votre présence en ligne: que peut-on apprendre sur votre entreprise en quelques clics? Quels documents sont accessibles? Quelles informations partagent vos collaborateurs? Ensuite, il s’agit de retirer ce qui n’a pas besoin d’être public, de centraliser les points de contact et de sensibiliser vos équipes. Mieux encore: mettez en place une veille régulière sur les informations accessibles, et utilisez des outils OSINT pour surveiller votre propre surface d’exposition. La cybersécurité, ce n’est pas que de la technique: c’est aussi une question de maîtrise de l’information.
En autorisant les services tiers, vous acceptez le dépôt et la lecture
de cookies et l'utilisation de technologies de suivi nécessaires à leur
bon fonctionnement. Voir notre politique de confidentialité.
