L’OSINT : comprendre l’exploitation des données en sources ouvertes

L’OSINT, ou renseignement d’origine sources ouvertes, repose sur l’exploitation de données librement accessibles pour produire des informations ciblées. Utilisé dans des contextes variés : cybersécurité, veille, recherche, il soulève des questions techniques, éthiques et juridiques. Cet article explore ses usages, ses méthodes et son cadre légal.

Que recouvre précisément l’OSINT ?

L’OSINT peut porter sur tous type de données, par exemple l’identité d’une personne, son adresse IP, sa présence sur les réseaux sociaux, des articles scientifiques pour entraîner un LLM (Large Language Model, type de programme d’intelligence artificielle conçu pour traiter de larges volumes de données hétérogènes.). Ces données doivent être publiques, c’est-à-dire librement accessibles. Elles peuvent se trouver sur internet, dans la presse, à la télévision, dans l’espace public. Notons que les informations gratuites comme payantes peuvent être considérées en sources ouvertes tant qu’elles sont obtenues légalement.

Les données publiques présentent une autre caractéristique importante : elles restent accessibles longtemps après leur diffusion. Toutefois, leur caractère public ne retire pas les droits de propriété intellectuelle de leur auteur.

Il existe plusieurs sous-catégories d’OSINT, certaines sont plus populaires, d’autres plus faciles à mettre en pratique. En voici quelques exemples :

• Le Dorking consiste à rechercher des données précises via l’usage de mots clés dans un moteur de recherche (Google, Duckduckgo, ou autre).
• Le Geoint a pour but de trouver une localisation pour laquelle on dispose de contenus (photos, description, etc.) grâce à des photos satellites, des images issues de Google Street View ou toute autre information visuelle qui permettent de retrouver le lieu .
• Le Socmint est la recherche d’informations par l’intermédiaire des réseaux sociaux pour retrouver une personne ou mieux la connaître grâce à ses publications, ses conversations ou photos publiées en ligne.

Les attaquants exploitent largement le Socmint pour mener des attaques reposant sur l’ingénierie sociale. Ils se rapprochent de leur cible via les réseaux sociaux, par téléphone ou par d’autres moyens, afin de l’amener à divulguer des données sensibles sur un sujet qu’elle maîtrise, comme son entreprise ou ses comptes bancaires.

De nombreux acteurs mettent aujourd’hui fortement en lumière l’OSINT, notamment grâce à la généralisation des algorithmes LLM. Les réseaux sociaux, quant à eux, continuent d’offrir une source inépuisable de données en libre accès. Tout comme les volumes croissants de données volées et exfiltrées, qui constituent une source dite « grise » – autrement dit, des informations rendues accessibles au public, mais issues de fuites ou d’actions illégitimes.

Qui peut utiliser l’OSINT ?

• Un acteur malveillant

Un acteur malveillant peut utiliser l’OSINT sur une cible afin de préparer par exemple du spear phishing : faire croire à une victime qu’elle s’adresse à un tiers de confiance pour obtenir des informations de connexion. Exemple alarmant : un groupe de hackeurs a en ce sens alimenté une IA en se renseignant sur les directeurs d’une entreprise pour créer des deepfakes (usurpation d’identité visuelle dans un média) et ainsi piéger un salarié. Pensant communiquer avec son Directeur, il a effectué un virement de 26 millions d’euros.

• Une entreprise

Les entreprises utilisent l’OSINT dans les actions de recrutement, les « chasseurs de tête » recherchent les profils les plus intéressants. Sous un autre angle, les entreprises de journalisme peuvent également utiliser l’OSINT pour produire leurs articles. Des cabinets d’intelligence économique utilisent également souvent l’OSINT, notamment à des fins de recherche d’informations concurrentielles.

• Un État

L’OSINT est naturellement présent dans la boîte à outils de l’État à des fins de sécurité nationale. Aujourd’hui, un des cas d’OSINT étatique les plus connus est l’utilisation d’analystes qui parcourent les médias numériques et papier afin de collecter des informations supplémentaires.

• Un chercheur

Les chercheurs mobilisent l’OSINT à des fins scientifiques dans le cadre de leurs travaux. Il peut s’agir, de savoir si des personnes ont déjà travaillé sur un sujet précis afin de confirmer ou réfuter une théorie. Le Health Data Hub par exemple est une opération française d’agrégation des données de santé, destinée à la recherche médicale. Les hôpitaux et cliniques transmettent des données « anonymisées », puis les rendent accessibles à des groupes de chercheurs et à d’autres équipes de travail.

Quel cadre juridique pour l’OSINT ?

Des données accessibles… mais encadrées

Sauf indication, nous ne parlerons ici que de données publiques obtenues légalement.

Un résumé pourrait être « Entrez, c’est ouvert ! » puisqu’en OSINT ces données sont par nature publiques. Cependant de nombreuses restrictions existent, comme des licences, la propriété intellectuelle, une politique de confidentialité, des cadres légaux locaux, etc. En dehors des restrictions par plateforme, il n’y a pas de cadre de loi global limitant la collecte et l’analyse des données en source ouverte, ni de durée de vie ou de délai de prescription pour une donnée.

La donnée publique n’a pas de durée de vie, mais certaines méthodes de recherche peuvent accepter des demandes de déréférencement ou de rectification (déréférencement d’un moteur de recherche, le droit d’oubli selon le RGPD ou la LPRPDE).

Certains pays ou groupes de pays peuvent appliquer des cadres protecteurs, ou au contraire légaliser la libre collecte et utilisation de ces données, dont nous présentons quelques exemples ci-après. Les États ou les institutions lèvent ces protections lorsqu’ils estiment qu’un critère essentiel est atteint, comme la protection de la Nation, la défense des droits de l’Homme ou le respect des lois.

Comment l’OSINT est encadrée à l’international

L’approche européenne

Au sein de l’Union européenne, la protection du citoyen européen et de ses données est un des objectifs premiers. Plus qu’un droit, le respect de la vie privée est un devoir pour les groupes et organisations.

Le RGPD, le Règlement Général sur la Protection des Données, est un cadre général, contraignant, et applicable dans l’ensemble de l’Union Européenne et au-delà (notamment en cas de transferts de données personnelles). Il garantit plusieurs grands principes dont certains intéressent l’OSINT :

• Le principe de consentement : dans les cas non-énumérés par la loi, chaque individu ou groupe doit donner son accord de manière libre et non contrainte.
• Le devoir d’information et de transparence sur la collecte et le traitement : l’obligation d’informer la personne sur le type de données récoltées et l’usage qui en sera fait. A ce titre, Il est également interdit de changer les règles du traitement sans en informer au préalable les personnes concernées.
• L’intérêt légitime et un devoir de collecte minimale : la logique du « strict nécessaire », les données récoltées doivent être indispensables à un traitement donné (par exemple : uniquement le nom, prénom, et l’adresse pour des livraisons).
• Interdiction du détournement d’usage : toute donnée récoltée pour un traitement donné ne peut pas être utilisée pour autre chose (vente, marketing, etc.), notons que si le consentement est donné pour ces traitements, alors les limites sont définies dans la politique de confidentialité ou les mentions légales.
• Droit de rectification et droit à l’oubli : un ensemble de droits très généraux, permettant à une personne physique ou morale de demander à modifier les données la concernant, ou effacer purement et simplement ces données, dès lors qu’elles ne sont pas légalement exigibles par le responsable de la collecte (données bancaires, impôts…). Ce double droit est très important, car il ne demande aucune justification de la part de la personne réalisant la demande, et toute entreprise traitant sur le sol de l’UE (même les entreprises étrangères) doit respecter ces demandes dans un délai d’un mois.  

Qu’en est-il dans le reste du monde ?

La CNIL publie une carte des pays dont le cadre de protection des données est comparable à celui de l’Union Européenne. Les autorités européennes et américaines ont instauré à deux reprises des accords de transfert, puis les ont annulés en raison du non-respect du cadre réglementaire européen. L’accord actuel, bien qu’actif, est aujourd’hui encore en attente d’une décision de la Cour de justice de l’Union Européenne.

Aux États-Unis, la législation est très protectrice, mais uniquement pour les citoyens américains : convention relation aux droits de l’homme, CCPR/Human Rights Comitee.

Au-delà des États, certains organismes internationaux traitent également ce sujet, disposent de branches spécialisées et mènent des actions en faveur du respect des droits fondamentaux. Amnesty International, par exemple, a mené plusieurs travaux en ce sens entre 2019 et 2021, durant la crise sanitaire de la COVID-19.

Conclusion

L’OSINT peut se révéler être un outil particulièrement puissant pour le renseignement, et accessible, dont l’encadrement juridique reste encore partiellement défini, en particulier dans les contextes transnationaux ou non réglementés. A certains égards qualifiés de « zone grise », des éclaircissements juridiques pourraient être les bienvenus.

Article écrit par Antoine MALIGE et Charles MELIS.