FR
Contact

2026-07-13 · Ibida Black Level S.L.

OSINT 101 : 7 choses qu'un attaquant découvre sur votre entreprise en 30 minutes

Ce qu'un observateur externe apprend sur votre entreprise à partir de seules données publiques en moins de 30 minutes. Rapport de terrain sans alarmisme.

OSINT 101 : 7 choses qu'un attaquant découvre sur votre entreprise en 30 minutes

Il y a une raison pour laquelle l'OSINT est l'outil le moins cher de la boîte offensive. Il n'est pas nouveau, il n'est pas subtil et il ne requiert aucun accès. Il requiert seulement que l'observateur sache où regarder. Ce même fait rend le travail OSINT défensif bon marché de notre côté. Le propos de cet article est de vous donner, sans fioritures, les sept choses que nous faisons habituellement remonter sur une entreprise moyenne européenne lors des trente premières minutes d'un triage OSINT. Aucune ne requiert d'outil payant. Toutes peuvent devenir un coup d'ouverture dans une attaque réelle.

Nous les classons par fréquence. La première apparaît presque toujours. La dernière apparaît dans environ un tiers des cas, et lorsqu'elle apparaît, elle change généralement la conversation avec le client.

1 · Une cartographie raisonnablement complète des effectifs (10 minutes)

Nous commençons par LinkedIn. Nous n'avons besoin d'aucune connexion avec qui que ce soit. La recherche gratuite filtrée par entreprise, localisation et poste actuel nous donne, dans l'entreprise moyenne européenne typique de 80 à 400 salariés, entre 50 % et 80 % des effectifs. Nous lisons les intitulés de poste, les employeurs précédents, les langues et, très souvent, la pile technologique déclarée dans la section compétences.

Ce que l'attaquant en fait : une liste de cibles pour le spear phishing avec des prétextes adaptés au rôle. Nous avons vu des messages rédigés avec l'intitulé interne exact et le projet que le destinataire avait annoncé deux semaines plus tôt sur LinkedIn. Le taux d'ouverture de ces messages ne joue pas dans la même catégorie que celui d'un phishing générique.

Ce que vous pouvez y faire : demandez à votre équipe de maintenir l'employeur à jour, mais d'être plus délibérée lorsqu'elle annonce des projets et des outils internes. Une brève session d'hygiène LinkedIn pour le personnel sénior est l'une des victoires les moins chères en sensibilisation.

2 · La pile technologique à partir des offres d'emploi (3 minutes)

Les offres d'emploi sont une mine OSINT. Un poste backend qui demande « PostgreSQL 14, Kafka, Vault et Terraform sur AWS eu-west-1 » indique à l'attaquant le moteur de base de données, le bus de messagerie, le gestionnaire de secrets, la région de déploiement et l'outil d'orchestration. Un poste en opérations de sécurité qui demande « Splunk Cloud, CrowdStrike Falcon et Tines pour le SOAR » lui indique le SIEM, l'EDR et la plateforme d'orchestration.

Ce que l'attaquant en fait : il saute la phase de découverte. La reconnaissance va directement chercher les CVE connus pour les versions nommées.

Ce que vous pouvez y faire : ne cessez pas de publier des offres. Retirez les numéros de version. Parlez en capacités (« SIEM moderne », « EDR géré ») plutôt qu'en noms de fournisseurs chaque fois que le poste le permet. Utilisez un recruteur intermédiaire pour les postes très spécifiques.

3 · L'infrastructure de courriel et sa posture DMARC (2 minutes)

Trois requêtes DNS nous donnent les enregistrements MX, SPF et DMARC de n'importe quel domaine d'entreprise. Dans une entreprise moyenne européenne typique, nous continuons de trouver plus de la moitié avec un DMARC absent, en p=none, ou en p=quarantine sans pct=100. Ces mêmes entreprises ont souvent un SPF en ~all au lieu de -all, et de trois à cinq plages IP héritées autorisées qu'aucune personne de l'équipe actuelle ne sait expliquer.

Ce que l'attaquant en fait : il enregistre un domaine ressemblant ou, tout simplement, usurpe le légitime, selon la posture DMARC. L'usurpation d'expéditeurs légitimes a été le vecteur d'entrée de plusieurs cas de BEC à fort impact que nous avons vus en 2025.

Ce que vous pouvez y faire : passez DMARC en p=reject et SPF en -all avec un calendrier documenté. Nous avons un article distinct sur la version 24 heures de ce travail.

4 · Le périmètre public tel que le voient Shodan et Censys (5 minutes)

Nous recherchons le nom de l'entreprise et son ASN. Dans une entreprise typique, nous trouvons : entre trois et douze services exposés à internet que personne ne s'attendait à voir exposés. Les plus fréquents : des concentrateurs VPN hérités laissés « pour les urgences », des interfaces de gestion à distance d'équipements réseau (Mikrotik, Cisco SMB, Ubiquiti), des buckets S3 oubliés marqués comme publics pour un test rapide, des portails internes en :8443 qu'on croyait cachés faute d'être liés, et l'interface IPMI d'un serveur qui aurait dû être mis hors service en 2022.

Ce que l'attaquant en fait : il commence à sonder les services découverts à la recherche de vulnérabilités connues. Pour une entreprise moyenne, nous avons mesuré le temps entre l'apparition publique sur Shodan et la première sonde dirigée à moins de 24 heures.

Ce que vous pouvez y faire : une routine de gestion de surface d'attaque externe, même trimestrielle et manuelle, élimine 80 % de cette catégorie. L'investissement est de deux journées d'analyste par trimestre pour une entreprise moyenne typique.

5 · Les dépôts de code et les secrets que les gens y laissent fuir (4 minutes)

Les recherches sur GitHub du type org:<entreprise> et "@entreprise.com" path:.env révèlent plus qu'elles ne le devraient. Les trouvailles les plus courantes : un dépôt de test oublié avec une chaîne de connexion à une base de données réelle, le GitHub personnel d'un ancien salarié avec un fichier de configuration contenant une clé API que l'entreprise n'a jamais fait tourner, un gist public avec une URL de webhook qui fonctionne toujours.

Ce que l'attaquant en fait : il teste les identifiants. Environ une sur trois des informations d'identification que nous faisons remonter dans cette catégorie sont encore valides la première fois que nous les testons avec le client lors d'un diagnostic.

Ce que vous pouvez y faire : activez le secret scanning de GitHub sur l'organisation, faites un balayage des commits historiques dans les dépôts privés et opérationnalisez la rotation des clés au départ d'un salarié. Rien de tout cela ne requiert l'achat d'un nouveau produit dans la plupart des entreprises moyennes.

6 · La chaîne d'approvisionnement que vous n'avez dessinée dans aucun diagramme (4 minutes)

Nous regardons le JavaScript chargé sur votre site web public, les sous-domaines SaaS qui résolvent sous votre domaine (status., support., helpdesk., learn., tracking.), les journaux de transparence des certificats et les empreintes de favicon des portails internes. Dans une entreprise moyenne européenne typique, nous identifions entre 15 et 40 tiers qui touchent à vos données, vos clients ou votre surface de marque, dont 5 à 10 ne figurent généralement pas dans la liste des achats.

Ce que l'attaquant en fait : il choisit le tiers le plus faible comme pivot. Le schéma de brèches via un tiers de 2023 à 2025 n'était pas un hasard ; c'était le chemin le plus facile contre des entreprises qui avaient durci leur propre périmètre.

Ce que vous pouvez y faire : un inventaire des tiers piloté par OSINT, rafraîchi trimestriellement, confronté à la liste officielle des achats. Les écarts sont le travail.

7 · La fragilité dont personne ne parle : dépendre d'une seule personne (2 minutes)

C'est la trouvaille OSINT à laquelle les clients réagissent le plus fortement. En combinant LinkedIn, les conférences publiques, les contributions GitHub, les billets techniques et l'historique WHOIS, nous identifions fréquemment qu'une personne précise est l'unique visage public de tout un domaine technique. Si cette personne n'est pas disponible pendant 72 heures, plusieurs systèmes qu'elle maintient n'ont pas de successeur documenté.

Ce que l'attaquant en fait : il fait de cette personne une cible de spear phishing à forte valeur. Dans un cas public bien documenté (pas un de nos clients), le phishing réussi d'un seul SRE a mis hors service une plateforme SaaS pendant 48 heures parce qu'aucun autre membre de l'équipe n'avait les identifiants de récupération.

Ce que vous pouvez y faire : une revue interne du facteur de bus. Ce n'est pas un exercice de cybersécurité au sens strict ; c'est un exercice de continuité aux conséquences cyber.

Comment utiliser cette liste au sein de votre entreprise

Nous ne recommandons pas d'exécuter ces sept étapes contre votre propre entreprise sans impliquer l'équipe de sécurité et, selon la juridiction, le service juridique. Même si les données sont publiques, le fait de les compiler dans un contexte d'entreprise peut avoir des implications. Le chemin le plus simple est de demander à un tiers de le faire avec un périmètre clair et de livrer les trouvailles à un responsable interne nommé.

Le but d'un exercice OSINT défensif n'est pas de s'impressionner de ce qu'un observateur externe peut voir. Le but est de transformer les trouvailles en une liste de remédiation avec responsables et échéances. Les trouvailles sans responsable sont du bruit.

> « Nous n'avons jamais livré de rapport OSINT défensif à une entreprise moyenne qui ait trouvé zéro exposition pertinente. Nous en avons en revanche livré plusieurs où la trouvaille la plus chère était interne : un domaine critique soutenu par une seule personne à qui personne n'avait demandé d'avoir une relève. » — Revue interne IBL des audits OSINT 2025-2026

Ce que nous faisons chez IBL

Notre mission OSINT défensive est un exercice fixe de cinq jours. Le livrable est un rapport écrit, signé et daté, avec les trouvailles classées par difficulté de remédiation et sévérité d'exposition. Nous n'incluons aucune donnée que nous n'ayons obtenue de sources publiques. Nous incluons l'URL et la date de chaque trouvaille pour que votre équipe puisse la reproduire.

Si vous souhaitez discuter de votre empreinte concrète, écrivez à info@ociria.com. Nous répondons dans un jour ouvrable.

Ibida Black Level S.L. est un cabinet de conseil boutique en cybersécurité basé à Málaga, en Espagne, avec une équipe opérationnelle en Roumanie. Nous travaillons avec des entreprises moyennes européennes qui préfèrent l'honnêteté technique à l'emballage commercial. Nous avons été fondés en 2026 ; nous n'inventons pas une histoire plus longue.

Lectures connexes

Étiquettes : osint, exposition, perimetre, chaine-approvisionnement, securite-courriel, entreprise-moyenne, rapport-terrain