Audit OSINT : ce qu'un tiers trouve sur vous en une heure

La question que posent nos clients avant de signer est presque toujours la même : qu'est-ce qu'on trouve sur moi, en vrai ? La réponse se construit en une heure, avec des sources ouvertes, sans rien forcer. Ce qu'elle révèle surprend rarement par son contenu, souvent par sa facilité d'accès.

Ce que recouvre le terme

L'OSINT désigne la collecte d'informations à partir de sources ouvertes : ce qui est publié, indexé, enregistré, déposé, fuité. Aucune intrusion, aucun accès à un compte, aucune donnée obtenue par ruse. La discipline consiste à rassembler ce qui est déjà accessible et à en faire un portrait cohérent, ce qu'aucune des sources ne permet isolément.

C'est exactement ce que fait un adversaire sérieux avant un contentieux, un fonds avant une transaction, un employeur avant un recrutement de direction. Faire l'exercice sur soi-même, c'est voir ce qu'ils verront.

Les surfaces d'exposition, dans l'ordre où elles livrent

Les registres publics. Registre du commerce, publications officielles, faillites, décisions de justice publiées, registres fonciers selon les cantons et les pays. Ils donnent les dates, les adresses, les liens entre personnes et sociétés. C'est la fondation d'un dossier, et c'est irréversible.

Les traces professionnelles. Profils, conférences, publications, interviews, listes de participants, communiqués. Elles datent les parcours et révèlent les relations, y compris celles que l'on croyait discrètes.

Les réseaux sociaux, y compris ceux des proches. Le compte le plus bavard sur une personne est rarement le sien. Photos identifiées, mentions, commentaires, groupes, listes d'amis : ce sont les comptes de l'entourage qui livrent les habitudes, les lieux et les dates.

Les images. Une photo de profil cherchée en recherche inversée relie un pseudonyme à un nom, un compte professionnel à un compte personnel. Les métadonnées, quand elles subsistent, ajoutent le lieu et l'appareil.

Les fuites de données. Les bases issues de violations successives circulent et s'agrègent. Elles livrent des adresses, des numéros, d'anciens mots de passe, et surtout le recoupement entre comptes réputés séparés.

Les courtiers en données. Des sociétés entières compilent, enrichissent et revendent ces éléments, souvent avec des erreurs qui vous suivent ensuite sans que vous sachiez d'où elles viennent.

Le recoupement, qui est le vrai sujet

Chaque élément pris isolément paraît anodin. Un prénom sur un registre, une photo sur un compte de loisir, un numéro dans une fuite ancienne, une adresse dans une annonce. Mis bout à bout, ils donnent l'adresse du domicile, les horaires, l'entourage, parfois le patrimoine. Le risque ne naît pas d'une donnée sensible, il naît de l'assemblage de données qui ne le sont pas.

Ce qu'on referme, et dans quel ordre

• Ce qui est faux. En priorité, parce qu'une erreur se propage et devient la référence. Les demandes de rectification auprès des courtiers sont fastidieuses et efficaces.
• Ce qui est privé et retirable. Annonces anciennes, profils oubliés, comptes dormants, documents indexés par inadvertance.
• Ce qui est public et irréversible. Un registre ne s'efface pas. On ne le referme pas, on construit autour pour qu'il ne soit plus le premier élément trouvé.
• Ce qui facilite le recoupement. Réutilisation d'un pseudonyme, même photo partout, adresse électronique commune aux usages personnels et professionnels. Ce sont les coutures du portrait, et ce sont elles qu'on découd.

Ce qu'un audit ne doit pas être

Un audit OSINT sérieux n'est pas une liste de cent liens. C'est un classement par gravité et par réversibilité, avec pour chaque élément ce qu'il révèle, qui peut y accéder et ce qu'on peut en faire. Un rapport qui ne hiérarchise pas est un rapport qui ne sert à rien, parce qu'il laisse le lecteur devant une masse qu'il ne traitera jamais.

Il ne doit pas non plus franchir les lignes qu'il observe : pas d'accès à un compte, pas de contact sous fausse identité, pas de donnée obtenue d'une façon qui rendrait le rapport inutilisable devant un juge.

Ce que nous faisons

Nous conduisons l'audit comme le conduirait quelqu'un qui vous cherche, puis nous le rendons lisible : ce qui est exposé, ce que cela permet, et ce qui se referme en premier pour le meilleur effet. La plupart de nos dossiers de fond commencent là, parce qu'on ne traite correctement que ce qu'on a d'abord vu en entier.