OSINT : ce que les informations publiques révèlent de votre organisation

Qu'est-ce que l'OSINT, en pratique ?

C'est la collecte et l'analyse d'informations publiquement accessibles, sans accès aux systèmes de personne : aucun mot de passe n'est utilisé, aucune faille n'est exploitée, aucun compte n'est approché. Nous lisons ce qui est déjà exposé, nous le recoupons, puis nous expliquons ce que cela signifie pour votre organisation.

La valeur n'est pas dans la donnée isolée, elle est dans le recoupement. Un sous-domaine oublié, un certificat qui révèle un nom de serveur interne et une adresse professionnelle retrouvée dans une fuite ancienne décrivent, ensemble, un chemin qu'aucun de ces éléments ne montrait seul. Une mission OSINT sert donc d'abord à voir votre organisation comme un attaquant la voit — puis à réduire ce qui lui est utile.

Pour qui

Pour les entreprises et les organisations qui veulent savoir ce qu'elles exposent : avant un audit ou une certification, après un incident, avant l'ouverture d'un service, ou parce qu'un doute est apparu. Pour les avocats et leurs clients, en appui technique : examen et préservation de contenus publics précisément désignés dans un dossier, avec la documentation qui va avec. Cyber Praxis SRL intervient depuis Lasne, en Brabant wallon, pour des clients en Belgique et en France.

Les prestations

1. Cartographie de la surface d'attaque externe

Inventaire de ce que votre organisation expose sur Internet : noms de domaine et sous-domaines, adresses IP et services accessibles, certificats TLS — y compris ceux qui révèlent des noms d'hôtes internes —, portails d'administration ou d'accès distant restés ouverts, dépôts de code publics et fichiers de configuration qui s'y trouvent. Le résultat est une liste d'actifs classée par exposition, qui contient presque toujours des éléments que personne dans l'organisation ne savait encore en ligne.

2. Recherche de fuites d'identifiants

Adresses professionnelles et identifiants apparaissant dans des fuites publiquement documentées. Nous évaluons le risque réel — ancienneté de la fuite, nature du secret exposé, réutilisation probable, comptes concernés — et nous formulons des recommandations de remédiation : réinitialisations ciblées, authentification à deux facteurs, revue des règles de messagerie, surveillance des accès. Nous ne testons jamais un identifiant, ni sur vos systèmes ni sur ceux d'un tiers.

3. Détection d'usurpation et de phishing

Domaines ressemblants — lettres substituées, extensions voisines, préfixes trompeurs —, faux sites reprenant votre charte graphique, fausses pages de connexion, profils et annonces utilisant votre marque. Chaque constatation est documentée — URL, date et heure de consultation, capture, données d'enregistrement du domaine — sous une forme utilisable pour une demande de retrait ou pour votre conseil.

4. Veille sur les menaces

Suivi des informations publiques utiles à vos technologies : vulnérabilités nouvellement publiées sur les produits que vous utilisez réellement, campagnes malveillantes actives dans votre secteur, modes opératoires signalés par les CERT et les éditeurs. L'objectif est un filtrage : vous recevez ce qui concerne votre parc, pas un flux d'actualité.

5. Appui à la réponse à incident

Pendant ou après un incident, nous recherchons les indicateurs publics correspondant à ce que vous avez observé — domaines, adresses, empreintes de fichiers, infrastructures déjà documentées — et nous les rapprochons des éléments techniques que vous nous transmettez. Ce travail complète l'analyse de vos propres systèmes, qui relève de la cyber-investigation.

6. Recherche d'exposition de données

Documents et données de l'organisation rendus publiquement accessibles par erreur : espaces de stockage ouverts, sauvegardes joignables, documents indexés par les moteurs, pièces déposées sur des services de partage, fichiers publiés avec leurs métadonnées. Nous décrivons ce qui est exposé, ce que cela permet de déduire, et les démarches à engager pour limiter l'exposition — retraits, désindexation, correction des accès.

7. Analyse technique de contenus publics identifiés

À la demande d'un client ou de son avocat, nous examinons et préservons des pages, fichiers ou publications précisément désignés : documentation des URL, des dates et heures de consultation, captures, copies des fichiers et empreintes cryptographiques lorsque c'est pertinent. Nous décrivons ce que le contenu montre et dans quelles conditions il a été recueilli. Nous n'affirmons pas qu'une capture d'écran établit à elle seule l'identité de l'auteur d'un contenu ni l'authenticité de celui-ci : ce sont deux questions distinctes, et le rapport le dit.

8. Due diligence cyber d'un fournisseur

Avant de confier des données à un prestataire, ou pendant un appel d'offres : exposition technique du fournisseur, hygiène de ses domaines et de ses certificats, informations de sécurité qu'il documente publiquement — certifications, page de sécurité, incidents qu'il a lui-même publiés. L'analyse porte sur des sources publiques et sur ce que le fournisseur publie ; elle ne remplace pas un questionnaire contractuel, elle permet de le remplir en connaissance de cause.

Ce que nous ne faisons pas

Nos missions OSINT sont des missions de cybersécurité et d'analyse technique. Cyber Praxis SRL n'est pas une agence de détectives privés et n'accepte pas de recherche visant à établir le comportement d'une personne — conjoint, salarié, voisin, partie adverse — dans un litige. En Belgique, la qualification d'une mission dépend notamment de son objectif : le seul fait de n'utiliser que des sources publiques ne dispense pas des règles relatives à la recherche privée. C'est la raison pour laquelle le périmètre est écrit avant l'acceptation d'un dossier.

Pour l'analyse de contenus destinés à une procédure, décrivez le périmètre et transmettez les éléments déjà identifiés — URL, captures, références. Nous indiquons alors ce qui est réalisable, ce qui ne l'est pas, et sous quelles réserves, avant d'accepter la mission. Une constatation technique n'est pas présentée comme une preuve : l'appréciation de la valeur probante d'un élément appartient à la juridiction saisie.