Reconnaissance OSINT : comment un attaquant prépare une intrusion, et comment réduire ce qu’il trouve

Qu’est-ce que la reconnaissance dans une attaque ?

Avant d’envoyer un courriel piégé ou de tenter une connexion, un attaquant se renseigne. Il cherche qui fait quoi, quelles technologies sont en place, quels comptes existent et par où il pourrait entrer sans attirer l’attention. Cette phase précède l’intrusion et en conditionne souvent la réussite.

La base MITRE ATT&CK la décrit sous la tactique Reconnaissance (TA0043), avec un objectif simple : l’adversaire cherche à réunir des informations qui lui serviront à planifier ses opérations. La tactique regroupe des techniques actives, comme le balayage d’adresses ou l’hameçonnage destiné à obtenir des informations, et des techniques passives, fondées sur les sources ouvertes : moteurs de recherche, réseaux sociaux, dépôts de code, bases techniques publiques, sites de l’organisation elle-même.

La reconnaissance OSINT désigne cette part passive. Elle ne touche pas vos systèmes. Elle ne déclenche aucune alerte. Et elle est souvent plus riche que l’organisation ne l’imagine.

Pourquoi c’est difficile à contrer

MITRE le dit sans détour pour plusieurs techniques de cette tactique : elles se déroulent hors du périmètre des défenses de l’entreprise et ne peuvent pas être facilement bloquées par des contrôles préventifs. La recommandation qui revient est de réduire la quantité et la sensibilité des données accessibles aux tiers. Autrement dit, la défense ne consiste pas à empêcher la recherche, mais à appauvrir ce qu’elle trouve.

Que cherche un attaquant en sources ouvertes ?

En exercice Red Team, nous retrouvons d’une mission à l’autre les mêmes grandes catégories. Le tableau les rapproche des techniques ATT&CK correspondantes.

L’organisation et ses rôles

Les sites institutionnels, les registres légaux, les communiqués et les offres d’emploi décrivent l’organisation mieux qu’un organigramme interne. La technique T1591 recense ces informations : divisions, opérations, rôles et responsabilités, relations d’affaires, implantations physiques. Une offre d’emploi qui cite la version d’un pare-feu et le nom d’un outil de supervision renseigne aussi bien qu’un balayage.

Les personnes

Les réseaux professionnels donnent les noms et les fonctions. Il suffit ensuite de connaître le format des adresses de l’entreprise pour en déduire une liste de destinataires plausible. Les profils publics des dirigeants et des fonctions financières alimentent la fraude au président et le faux ordre de virement. C’est l’objet d’une évaluation dédiée de l’exposition des dirigeants ; l’enjeu ici est de comprendre que ces profils sont une source de premier rang pour l’attaquant.

Les identifiants fuités

C’est la catégorie qui raccourcit le plus le chemin. La technique T1589.001 cite plusieurs origines : fuites de données publiées, dépôts de code, marchés illicites et canaux qui diffusent des journaux de logiciels voleurs d’informations. Elle souligne aussi la réutilisation des mêmes mots de passe entre comptes personnels et professionnels. Un identifiant valide sur une messagerie ou un VPN sans authentification forte rend inutile toute exploitation technique. Le lien avec la sécurité des identités est direct.

L’infrastructure et le code

Les bases techniques publiques décrivent votre surface externe sans que vous l’ayez publiée. Les journaux de transparence des certificats, définis par la RFC 9162, consignent publiquement les certificats TLS émis : chaque nom de sous-domaine qu’ils contiennent devient visible, y compris pour une préproduction. Les dépôts de code publics, selon la technique T1593.003, exposent parfois des identifiants ou des clés d’API publiés par erreur. Cette cartographie externe est le terrain de l’EASM.

Les domaines voisins et l’écosystème

L’attaquant regarde aussi autour de vous : les prestataires cités dans des références commerciales, l’infogérant, l’éditeur de la paie, et les noms de domaine proches du vôtre, enregistrés ou disponibles. Un fournisseur moins protégé est une porte d’entrée ; un domaine ressemblant est un support d’usurpation.

Ce que la reconnaissance révèle de votre exposition

Prise isolément, chaque information est anodine. Le risque naît de leur assemblage : un nom, une fonction, un format d’adresse, un mot de passe ancien et un portail d’accès distant, réunis, forment un scénario d’accès initial. C’est la lecture que fait un attaquant, et c’est celle qu’il faut reproduire pour se défendre.

Exemple type. Lors de la phase de reconnaissance d’un exercice Red Team, l’équipe identifie sur un réseau professionnel une dizaine de collaborateurs du service comptable, et déduit le format des adresses e-mail d’un communiqué de presse. Une fuite ancienne contient l’un de ces comptes avec un mot de passe. Les journaux de transparence des certificats révèlent un sous-domaine d’accès distant.

Le mot de passe n’est plus valide, mais sa structure suggère une règle de construction. Le portail d’accès distant n’impose pas d’authentification forte pour tous les comptes. Sans aucune exploitation technique, le scénario d’accès initial est posé.

Le rapport ne liste pas des informations : il décrit le chemin, puis les trois mesures qui le ferment, à savoir l’authentification forte généralisée sur le portail, la réinitialisation des comptes concernés et le retrait du sous-domaine inutile.

Ce scénario est construit à partir de situations courantes en mission, pas à partir d’un client identifiable.

Comment réduire l’empreinte exploitable ?

L’objectif n’est pas de disparaître d’Internet. Il est de retirer ce qui n’apporte rien à l’activité et beaucoup à un attaquant, et de rendre inoffensif ce qui doit rester public.

1. Révoquer et renouveler les secrets exposés. Tout identifiant, jeton ou clé retrouvé en source ouverte est considéré comme compromis. MITRE recommande de le retirer de l’historique du dépôt, pas seulement de la dernière version du code.
2. Généraliser l’authentification forte sur les accès exposés (messagerie, VPN, portails SaaS) : c’est la mesure qui neutralise le mieux les identifiants fuités.
3. Fermer ou protéger les actifs oubliés : sous-domaines de test, préproductions, consoles d’administration, services indexés.
4. Relire les publications techniques : offres d’emploi, présentations, documentation publique, métadonnées des documents.
5. Instaurer des procédures de contre-vérification pour les demandes sensibles (virement, changement de coordonnées bancaires, réinitialisation de compte), puisque les informations sur les rôles ne peuvent pas être effacées.
6. Sensibiliser les fonctions exposées : direction, finance, ressources humaines, support informatique.
7. Surveiller les domaines proches du vôtre pour repérer tôt une usurpation, comme le permet la détection de typosquatting.
8. Rejouer la reconnaissance à intervalle régulier, puisque l’empreinte évolue avec chaque recrutement, chaque projet et chaque fuite chez un tiers.

Le cadre légal

Une information publique n’est pas une information libre. La CNIL rappelle que des données publiquement accessibles restent des données personnelles et ne sont pas librement réutilisables. Une démarche défensive de reconnaissance s’inscrit donc dans le RGPD : mandat écrit, finalité définie, collecte limitée à ce qui sert la réduction du risque, conservation encadrée.

Limites de l’exercice

Une reconnaissance défensive donne une image à une date. Les fuites chez des tiers, les nouveaux recrutements et les projets lancés la rendent rapidement incomplète.

Elle ne voit pas tout ce que voit un attaquant. Certaines sources, comme les marchés illicites, posent des questions juridiques et éthiques qu’un prestataire défensif ne franchit pas, et MITRE recense justement une technique de recherche dans des sources fermées (T1597).

Enfin, une partie de l’empreinte ne se réduit pas : les dirigeants restent publics, les partenaires restent cités, l’entreprise doit rester joignable. Pour cette part, la réponse est organisationnelle (procédures, sensibilisation, authentification forte), pas documentaire.