C’est quoi l’OSINT, qui exploite les données open source pour espionner et être espionné ?

Qui n’a jamais écumé les réseaux sociaux pour stalker ses anciens camarades de 6B au collège, histoire de voir si Michel Beaugosse n’a pas pris 20 kg ou si Micheline Laflemme a fait quelque chose de sa vie ? Sans le savoir et à votre petite échelle, c’est de l’OSINT, ou Open Source Intelligence, que vous avez fait. Sauf que les possibilités offertes par l’OSINT vont bien plus loin que choper des dossiers pour bitcher sur les fantômes du passé. Forces de l’ordre, impôts, services de renseignement, délinquants… Tout le monde s’en sert. Et le pire, c’est que nous alimentons tous, volontairement ou pas, cette machine d’espionnage ultime.

L’OSINT, c’est l’art « d’exploiter les données en accès libre, qu’elles soient sur Internet ou pas », explique Nicolas de Rycke, fondateur de la plateforme d’investigation OSINT Elephantastic, rencontré au Forum international de la cybersécurité (FIC), à Lille. Et elles sont multiples et nombreuses, ces données en libre accès, « à commencer par les adresses mail et les numéros de téléphone », affirme Antoine Violet-Surcouf, expert chez Forward Global, une entreprise spécialisée dans les technologies dédiées aux risques numériques, économiques et informationnels. Mais aussi, et surtout, toutes les données que l’on balance sur les réseaux sociaux : photos, vidéos, annonces, commentaires, prises de position…

Trouver une base de départ et dérouler le fil

Pour exploiter tout ça, le processus est toujours le même en utilisant la technique dite du « pivot ». « A partir d’un nom par exemple, on trouve une page Facebook sur laquelle il y aura peut-être un post avec un téléphone ou un e-mail. Avec cet e-mail, on va trouver des noms de domaines associés, d’autres comptes de réseaux et ainsi de suite », détaille Nicolas de Rycke.

C’est comme ça qu’un grand nom du streaming illégal de films s’est fait coincer. « On savait juste qu’il était à Bali. Lui ne postait rien mais sa femme mettait régulièrement des vidéos sur les réseaux. En recoupant les vidéos, on a pu reconstituer le plan de leur maison vue d’en haut et déterminer avec Google Maps leur localisation exacte », raconte Antoine Violet-Surcouf.

« On utilise l’OSINT presque depuis la création d’Internet », assure le major de gendarmerie Olivier, du Commandement du ministère de l’Intérieur dans le cyberespace (COMCYBER-MI). Localisation grâce aux images postées, identification en traçant des pseudos, analyse de contexte d’une affaire grâce aux posts sur les réseaux… Les impôts s’y sont mis, pour pister les fraudeurs, et les entreprises, pour démasquer les salariés malades en vacances à la plage. « Sauf que si c’est une mine d’or pour nous, c’en est aussi une pour les délinquants », prévient le major.

L’arnaque au président

« Lorsque vous montez une SCI par exemple, toutes les informations concernant l’identification des associés se retrouvent sur des sites accessibles gratuitement comme Pappers », reconnaît l’expert de Forward Global. Nom, prénoms, profession, adresse personnelle, date et lieu de naissance, situation maritale et même la signature manuscrite. « Tout ce qu’il faut en somme pour usurper une identité », déplore Antoine Violet-Surcouf.

C’est aussi grâce à l’OSINT que l’arnaque au président est possible selon le major Olivier. « Les escrocs ciblent une entreprise et en déterminent l’organigramme en analysant les réseaux comme LinkedIn. Ils trouvent les noms des décideurs, usurpent leur identité et leurs adresses mail et parviennent à faire effectuer aux services comptables des virements », détaille le militaire. Sans oublier les cambrioleurs qui scrutent les réseaux à la recherche de victimes y annonçant leur départ en vacances.

On se souvient des mots de passe de journalistes d’une chaîne du service public aperçus en arrière-plan d’une séquence du « 13 Heures ». On se souvient du tollé en découvrant que certains gardes du corps du président de la République publiaient leurs parcours de footing sur une application de running. Rien que signaler une voiture en panne sur une application de GPS peut être problématique, parce que ces informations, accessibles à tous, sont utilisées par des dépanneurs pirates.

« Tout le monde peut faire de l’OSINT »

Selon Antoine Violet-Surcouf, « tout le monde peut faire de l’OSINT avec très peu de moyens ». La simple recherche Google en est un pour « Mme Michu, qui peut y entrer le numéro de téléphone fourni dans une annonce du Bon Coin pour voir s’il est répertorié dans les bases d’arnaques », prend pour exemple l’expert. Il y a aussi pléthore d’outils en ligne gratuits, comme TinEye pour les images, Epieos pour les e-mails, Sherlock pour les réseaux sociaux. Pour optimiser ses recherches et gagner du temps, il y a des solutions payantes, comme Maltego, longtemps utilisé par les forces de l’ordre selon le major Olivier. Ou Elephantastic, très prisé des autorités pour traquer les fugitifs, les cybercriminels ou encore les narcotrafiquants.

Notre dossier sur les réseaux sociaux

Se prémunir d’être traqué grâce à l’OSINT est presque impossible. « Même si vous avez une bonne hygiène numérique, peut-être que ce n’est pas le cas de vos proches », constate l’expert de Forward Global, rappelant la mésaventure du pirate de films. Sans oublier que tout ne dépend pas de vous, à l’image des données disponibles librement sur Pappers ou sur le cadastre. Alors autant se faire une raison en tentant de limiter la casse.