Une attaque ciblée commence souvent par une recherche. Les attaquants recherchent des informations telles que l’intitulé de poste d’un employé, une offre d’emploi qui nomme vos outils professionnels, une adresse e-mail exposée ou un ancien sous-domaine. Pris isolément, ces informations ne semblent pas dangereuses. Mais les attaquants collectent délibérément de nombreux petits indices et informations pour construire une campagne d’hameçonnage par e-mail, une fausse page de connexion ou un appel d’usurpation d’identité crédible.

Le renseignement open source (OSINT) transforme les informations publiques en préparation d’une attaque plus ciblée. Votre stratégie de sécurité OSINT pour les entreprises est la façon dont votre entreprise se protège. Pour les entreprises, le défi est double : auditer ce qui est déjà public et savoir ce qui existe déjà, puis juger quelles informations publiques aident les clients, les candidats et les partenaires, et celles qui aident discrètement les attaquants à cartographier vos collaborateurs, vos outils, vos identifiants et vos points d’accès.

Ce que signifie OSINT en cybersécurité

Dans un contexte de cybersécurité, OSINT désigne l’utilisation d’informations publiquement disponibles pour identifier des chemins d’attaque possibles. Ces informations peuvent provenir de moteurs de recherche, de médias sociaux, de sites internet d’entreprises, de sites d’emploi, de dépôts de code publics et d’autres sources qui ne nécessitent pas d’intrusion dans un système.

Les attaquants utilisent OSINT pour répondre à des questions pratiques sur une entreprise, comme :

  • Qui travaille ici ?
  • Qui approuve les paiements ?
  • Quels outils utilise l’entreprise ?
  • À quoi ressemble le format des e-mails ?
  • Quels fournisseurs ou clients pourraient être approuvés ?
  • Quels comptes sont peut-être déjà exposés ?
  • Quels systèmes sont exposés à internet ?

OSINT donne aux attaquants des informations qui rendent leurs attaques crédibles. Une arnaque générique demande simplement une action, mais une arnaque documentée cible une personne spécifique, est envoyée par une personne qu’elle connaît ou en qui elle a des raisons de faire confiance, et mentionne un véritable projet professionnel ou des informations non publiques.

L’enquête Enquête sur les fuites de données de cybersécurité 2024(nouvelle fenêtre)⁠ a révélé que la moitié des entreprises britanniques ont signalé avoir identifié une fuite de données ou une attaque de cybersécurité au cours des 12 derniers mois. Le hameçonnage est resté le type de fuite de données ou d’attaque le plus courant parmi les entreprises touchées. OSINT n’est pas la même chose que le hameçonnage, mais c’est un atout que les attaquants peuvent utiliser pour rendre le hameçonnage plus convaincant et plus difficile à ignorer pour les employés.

Ce que les attaquants peuvent apprendre sur votre entreprise

Les attaquants utilisent diverses méthodes pour collecter des informations. Voici quelques-uns des chemins les plus courants et les plus efficaces.

Personnes

LinkedIn, les pages de biographie d’entreprise, les programmes de conférence, les podcasts, les webinaires et les mentions dans la presse peuvent révéler des noms, des intitulés de poste, des lignes hiérarchiques, l’ancienneté, les emplacements et les domaines de responsabilité. Cela aide les attaquants à choisir qui usurper et qui faire pression.

Par exemple, un attaquant qui connaît le nom d’un directeur financier, le format des e-mails de l’entreprise et le logiciel actuel de l’équipe financière peut construire un message qui semble beaucoup moins générique qu’un spam ordinaire. La demande peut mentionner un fournisseur réel, faire référence à un processus de paiement qui existe au sein de l’entreprise, ou arriver à un moment où l’équipe attend déjà une communication liée aux factures. Aucune de ces informations ne nécessite d’accéder à un système privé.

Outils

Les offres d’emploi mentionnent souvent les plateformes que les candidats sont censés connaître : CRM, outils de paie, logiciels de helpdesk, plateformes d’analyse, outils de collaboration et environnements de développement. Les avis publics, les études de cas, les intégrations et les profils des employés peuvent révéler encore plus.

L’exposition des outils aide les attaquants à adapter leur prétexte d’hameçonnage. Un e-mail d’hameçonnage qui dit « votre compte a été signalé » n’est pas convaincant, mais un message qui nomme le CRM, le système RH ou l’outil de collaboration exact utilisé par l’équipe l’est.

Empreinte technique

Les sous-domaines, les services exposés, les enregistrements de certificats, les anciens environnements de préproduction et les pages de connexion mal configurées peuvent révéler où une entreprise dispose de systèmes en ligne. Les attaquants peuvent également rechercher des dépôts publics contenant d’anciens identifiants, des clés API, des URL internes ou des fichiers de configuration accidentellement commités lors du développement.

Données de fuite

Les adresses e-mail, les noms d’utilisateur, les mots de passe, les numéros de téléphone et autres informations personnelles ou professionnelles exposées lors de fuites de données antérieures peuvent devenir des matières premières pour une attaque ultérieure. L’Observatoire des fuites de données⁠ de Proton montre comment les données divulguées peuvent continuer à créer un risque après l’incident initial, en particulier lorsque les identifiants, les coordonnées et les informations sur les employés peuvent être reliés à une entreprise.

Comment OSINT alimente les attaques ciblées

OSINT devient dangereux lorsque les attaquants utilisent les données collectées pour construire une histoire crédible. Prenons une entreprise qui publie des profils d’employés, liste des logos de clients, mentionne une récente migration CRM dans des offres d’emploi et utilise un format d’e-mail prévisible. Un employé des finances reçoit alors un message qui semble provenir d’un cadre supérieur, fait référence à un fournisseur réel et demande une aide au paiement urgente. L’e-mail n’a besoin de contenir que suffisamment de détails familiers pour réduire les soupçons.

Le même schéma s’applique aux attaques par identifiants. Un attaquant trouve l’e-mail professionnel d’un employé dans des données de fuite, voit sur LinkedIn que la personne travaille dans les opérations et apprend à partir des offres d’emploi que l’entreprise utilise une plateforme SaaS spécifique. Le prochain message d’hameçonnage peut imiter cette plateforme et arriver avec un langage qui correspond au rôle de l’employé.

Les arnaques téléphoniques peuvent aussi être façonnées par OSINT. Un appelant qui connaît le fournisseur informatique de l’entreprise, le nom d’un chef de service ou le calendrier d’un projet semble légitime. C’est pourquoi OSINT et l’ingénierie sociale sont étroitement liés : les informations publiques donnent aux attaquants la confiance et les détails nécessaires pour manipuler les gens en temps réel.

L’entreprise peut subir l’attaque finale sous forme d’hameçonnage, de vishing, d’usurpation de compte, de fraude à la facture ou de vol d’identifiants. Le travail préparatoire a peut-être été OSINT depuis le début.

Les identifiants divulgués font aussi partie de l’OSINT

Les données de fuite sont souvent considérées comme un risque direct d’usurpation de compte : lorsqu’un mot de passe fuit, les attaquants peuvent l’essayer sur plusieurs points d’entrée. C’est toujours un problème grave, en particulier lorsque les employés réutilisent les mots de passe sur plusieurs services.

Mais les identifiants divulgués peuvent aussi aider les attaquants à comprendre l’entreprise derrière le compte. Une adresse e-mail exposée peut confirmer quels services un employé a utilisés, tandis que d’anciens mots de passe, des numéros de téléphone et des domaines d’entreprise répétés peuvent ajouter du contexte pour de futures tentatives d’hameçonnage, de vishing ou d’usurpation de compte. La fuite peut s’être produite ailleurs, mais les informations peuvent toujours aider un attaquant à brosser un tableau plus précis de votre équipe.

L’Observatoire des fuites de données de Proton met en évidence comment les données exposées peuvent soutenir l’hameçonnage, les attaques par identifiants et l’ingénierie sociale plus large. Il souligne également que les données divulguées ne cessent pas d’être utiles aux attaquants après le signalement de la première fuite. Ces données peuvent être réutilisées, combinées et remodelées pour de futures attaques ciblées.

La surveillance des e-mails professionnels exposés et des identifiants aide les organisations à voir plus que le mot de passe à changer. Elle peut révéler où les employés ont utilisé des adresses professionnelles, quels services peuvent être connectés à l’entreprise et si la même identité apparaît dans plusieurs fuites.

C’est essentiel car les attaquants peuvent réutiliser les informations, non seulement pour essayer d’anciens mots de passe, mais aussi pour rendre de futures tentatives d’hameçonnage, de vishing ou d’usurpation d’identité plus spécifiques. Un identifiant divulgué est rarement un identifiant isolé. Il peut faire partie des recherches de contexte qui rendent la prochaine attaque plus efficace.

Réduire ce que les attaquants peuvent apprendre à partir de sources publiques

Aucune entreprise ne peut se retirer complètement de la vue du public, et ce ne devrait pas être l’objectif. Les clients, les candidats et les partenaires ont toujours besoin de suffisamment d’informations pour comprendre qui vous êtes et comment travailler avec vous.

Le risque réside dans la publication d’informations qui vont au-delà de cet objectif : noms d’outils internes, modèles de contact directs, flux d’approbation ou indices techniques qui donnent aux attaquants une image plus précise du fonctionnement de l’entreprise.

  • Commencez par vos informations publiques. Passez en revue les pages d’entreprise, les biographies de l’équipe, les communiqués de presse, les études de cas, les articles de l’espace Aide & Support, les offres d’emploi, les publications sur les médias sociaux et les documents publics. Recherchez les informations qui révèlent des systèmes internes, des processus d’approbation, des voies d’accès ou des flux de travail sensibles.
  • Les offres d’emploi méritent une attention particulière. Les candidats peuvent avoir besoin de connaître les grandes catégories d’outils qu’ils utiliseront, mais les annonces publiques n’ont pas toujours besoin de nommer chaque plateforme SaaS, produit de sécurité, CRM, outil de paiement, fournisseur cloud ou flux de travail interne. Plus la liste d’outils est spécifique, plus il est facile de créer une fausse invite de connexion, un message d’assistance ou une demande de fournisseur.
  • Les informations sur les employés doivent aussi être équilibrées. L’ancienneté, le rôle et l’expertise peuvent être appropriés à partager, mais les numéros de téléphone directs, les détails personnels, les habitudes de déplacement, les noms de projets internes ou les détails inutiles sur la structure hiérarchique peuvent donner plus de prise aux attaquants.
  • Les dépôts de code publics doivent être examinés régulièrement. D’anciens projets, fichiers de test, documentations ou exemples de configuration peuvent contenir des secrets qui n’étaient pas destinés à être publics. Même lorsque les identifiants ont expiré, les URL internes, les conventions de nommage et les références de service peuvent encore aider les attaquants à comprendre l’environnement.

Réduire la valeur de ce que les attaquants trouvent

OSINT existera toujours car les entreprises ont besoin d’être visibles. L’objectif est de réduire la quantité d’informations inutiles disponibles et de limiter ce que les attaquants peuvent faire avec les informations qu’ils trouvent.

Les informations publiques sont le premier endroit où réduire l’exposition inutile. Les offres d’emploi, les profils d’entreprise, les pages des employés, les dépôts, les sous-domaines et les anciens documents doivent donner aux gens suffisamment de contexte pour faire confiance et comprendre l’entreprise, et non une vue détaillée de son fonctionnement en coulisses. Lorsque les noms d’outils internes, les indices techniques ou les détails de processus ne sont pas nécessaires publiquement, il vaut mieux les garder hors de vue.

Les contrôles d’identifiants sont tout aussi importants. Les adresses e-mail exposées et les mots de passe divulgués sont parmi les signaux OSINT les plus faciles à exploiter. Les mots de passe uniques, la MFA, les clés d’accès, le partage sécurisé, la surveillance des fuites de données et l’accès contrôlé rendent tous la reconnaissance moins utile.

Examinez votre empreinte technique sans publier de feuille de route

L’exposition technique fait aussi partie de l’OSINT. Les domaines, sous-domaines, portails de connexion, services cloud, environnements de développement, points de terminaison API et dépôts publics peuvent tous aider les attaquants à comprendre comment une entreprise est structurée en ligne.

Un examen régulier permet de distinguer ce qui est intentionnellement public de ce qui a été publié puis oublié. Les anciennes pages de préproduction, les sous-domaines inutilisés, les écrans de service par défaut, la documentation obsolète, les notes de configuration exposées et les dépôts publics contenant des références internes peuvent ne pas sembler urgents, mais ils peuvent faciliter la reconnaissance.

De nombreuses corrections sont simples : retirer les anciennes pages, restreindre l’accès, mettre à jour la documentation, renouveler les secrets exposés ou déplacer les informations internes hors des dépôts publics. D’autres constats peuvent simplement nécessiter un responsable clair et une raison de rester visibles. L’exposition publique devient une décision, plutôt qu’un oubli.

Intégrer les contrôles OSINT aux routines de sécurité

L’exposition OSINT n’est pas statique. Elle augmente chaque fois qu’une entreprise publie quelque chose de nouveau, modifie un flux de travail, recrute pour un rôle, lance un projet, apparaît sur la page d’un fournisseur ou voit les données de ses employés exposées dans une fuite de données. Chaque mise à jour semble inoffensive isolément, mais avec le temps, elle peut donner aux attaquants une vision plus claire des personnes, des outils, des relations et des points d’accès de l’entreprise.

Un ensemble simple de contrôles et d’examens peut aider :

  • Passer en revue chaque trimestre les informations publiques de l’entreprise
  • Vérifier les offres d’emploi avant publication pour y déceler des informations inutiles sur les outils ou les flux de travail
  • Surveiller l’exposition aux fuites de données pour les adresses e-mail professionnelles
  • Passer en revue les dépôts publics et les services exposés
  • Demander aux responsables de service si des informations publiques révèlent des processus sensibles ou des schémas d’accès.

Avant qu’une information ne devienne publique, il faut toujours se demander : cela pourrait-il aider un attaquant à créer un message, un appel ou une tentative de connexion plus convaincants ?

Rendre les identifiants plus difficiles à connecter avec des alias

Les alias d’adresse e-mail peuvent aider à réduire la quantité d’informations que les attaquants peuvent recouper entre les services. Lorsqu’une même adresse e-mail est utilisée pour chaque service, il devient plus facile de relier les comptes, de rechercher dans les données de fuite, de deviner les portails de connexion et de dresser le profil de l’employé ou de l’entreprise.

Pour certains flux de travail professionnels, une adresse e-mail standard est nécessaire. Les employés ont besoin d’identités stables pour le travail, les clients et la collaboration. Mais les alias peuvent être utiles pour les inscriptions, les newsletters, les versions d’essai, les tests de fournisseurs, les événements ou les services qui ne nécessitent pas l’adresse e-mail professionnelle principale d’une personne.

Les alias d’adresse e-mail sont utiles parce qu’ils séparent les comptes que les attaquants connecteraient autrement au même employé, à la même équipe ou à la même adresse professionnelle. Ils peuvent aussi permettre de tracer plus facilement une exposition. Lorsqu’un alias créé pour un fournisseur commence à recevoir des tentatives de connexion ou des messages d’hameçonnage non liés, l’entreprise dispose d’un signal plus clair indiquant où cette adresse a pu être exposée.

Les alias sont plus efficaces lorsqu’ils sont associés à un gestionnaire de mots de passe professionnel tel que Proton Pass for Business. Chaque compte a toujours besoin d’un mot de passe unique, d’un espace de stockage contrôlé et d’une propriété claire. Sans cette structure, les alias peuvent devenir une nouvelle habitude manuelle que les employés doivent gérer eux-mêmes.

Gérez l’OSINT avec Proton Pass for Business

Un gestionnaire de mots de passe professionnel comme Proton Pass for Business peut vous aider à surveiller les fuites de données et à protéger votre réseau grâce à des fonctionnalités de santé des identifiants. Avec Proton Pass for Business⁠, les équipes peuvent créer des mots de passe uniques, les stocker dans des coffres-forts de mots de passe chiffrés, utiliser le remplissage automatique, partager des identifiants en toute sécurité, gérer des clés d’accès et utiliser l’authentification à deux facteurs (A2F) intégrée.

Les fonctionnalités d’administration telles que les politiques, les rapports, les journaux, le contrôle d’accès basé sur les rôles, le provisionnement SCIM et l’intégration SSO aident les entreprises à mieux contrôler l’accès aux identifiants à mesure qu’elles se développent.

Un gestionnaire de mots de passe professionnel n’élimine pas l’exposition OSINT, mais il peut rendre les informations que les attaquants trouvent moins utiles. Lorsque les identifiants sont uniques, stockés dans des coffres-forts chiffrés, partagés via des espaces approuvés et protégés par l’A2F ou des clés d’accès, un mot de passe divulgué ou une page de connexion factice convaincante a moins de chances de donner un accès plus large. Il donne aussi aux employés une règle plus claire à suivre : les identifiants professionnels doivent rester dans le gestionnaire de mots de passe, et non dans les e-mails, les discussions, les feuilles de calcul ou les conversations téléphoniques.

Les attaquants continueront de se renseigner sur votre entreprise. La question est de savoir combien ils peuvent apprendre, à quel point cette image est exacte et jusqu’où ils peuvent aller avec elle.

Réduisez l’exposition de vos identifiants professionnels avec un gestionnaire de mots de passe professionnel⁠.