L’OSINT ou comment vos traces numériques peuvent parler pour vous

Qu’est-ce que l’OSINT ?

L’OSINT, acronyme d’Open Source Intelligence (ou ROSO en français pour Renseignement d’Origine Source Ouverte), repose sur un postulat simple : quelles sont les données qui existent sur moi disponibles publiquement sur Internet ? 

Pour répondre à cette question, il suffit d’utiliser des techniques de collecte et d’analyse d’informations disponibles librement : recherches sur les moteurs, exploration de réseaux sociaux, analyse d’images, de métadonnées, etc. L’OSINT est une méthode qui utilise toute technique permettant de retrouver les données recherchées. Cela fonctionne comme un puzzle : chaque donnée est une pièce qui, une fois assemblée, peut réidentifier une personne en ligne, révéler une identité ou un comportement.

Comment ça fonctionne ?

La vidéo ci-dessous illustre comment un individu peut être réidentifié à partir des traces qu’il a laissées en ligne, en utilisant uniquement des outils accessibles à tous sur Internet.

Vidéo mise à disposition selon les termes de licence CC-BY 4.0 FR – LINC – 25/06/2025 – https://linc.cnil.fr/mentions-legales

À quoi sert l’OSINT ?

L’OSINT n’est pas dédié spécifiquement à une activité d’espionnage, mais est utilisé dans de nombreux domaines légitimes :

• Journalisme : vérification d’informations ou d’images,
• Enquêtes judiciaires et renseignement : identification de suspects ou de réseaux,
• Assurances : vérification de déclarations de sinistres,
• Généalogie : reconstitution d’arbres familiaux,
• Fiscalité : détection de piscines ou abris non déclarés via des images satellites.

Dans un cadre professionnel, l’OSINT peut aussi servir à :

• Analyser les tendances marketing,
• Vérifier les antécédents dans un processus de recrutement,
• Contrôler la conformité RGPD des prestataires,
• …

Est-ce légal ?

L’OSINT n’est pas illégal en soi. Toutefois, la simple accessibilité d’une donnée ne signifie pas qu’elle peut être exploitée librement.

Voici quelques principes à respecter :

• Respect du RGPD : toute donnée personnelle collectée doit être traitée dans un cadre légal.
• Accès autorisé uniquement : récupérer un fichier PDF sur un site mal sécurisé peut constituer un accès frauduleux.
• Interdiction d’utiliser des données issues de fuites : télécharger un leak est illégal.
• Vérification des sources : le RIFI (Recherche sur Internet de Fuites d’Informations) permet de s’assurer que les données n’ont pas été compromises.
• Respect des droits : propriété intellectuelle, droit à l’image, etc.
• Documentation des traitements : Il est essentiel de documenter la provenance des données et de s’assurer que leur collecte est licite.

Y a-t-il un risque juridique ?

Le code pénal pose des limites à la recherche et le recoupement d’informations :

• L’OSINT peut devenir intrusif et porter atteinte à la vie privée qui est protégée (article 9 du code civil).
• La révélation d’informations relatives à la vie privée, familiale ou professionnelle et l’exposition à un risque d’atteinte à une personne est passible de 3 ans d’emprisonnement et de 45 000 € (article 223-1-1 du code pénal).
• L’usage d’une ou plusieurs données permettant d’identifier une personne en vue de troubler sa tranquillité ou de porter atteinte à son honneur est puni d’un an d’emprisonnement et de 15 000 € d’amende (article 226-1 du code pénal).

Est-il possible d’en faire un usage malveillant ?

Malheureusement l’OSINT est aussi exploitée à des fins malveillantes :

• ingénierie sociale pour construire des phishings,
• préparation de cambriolages,
• cyberharcèlement ou doxing,
• violences ciblées,
• …

Toute technique d’OSINT peut être utilisée :

• utiliser le pseudonyme d’une personne pour retrouver tous les sites l’utilisant,
• retrouver tous les comptes ou sites utilisant une adresse email, un numéro de téléphone,
• exploiter les likes ou commentaires pour profiler une personne,
• extraire les métadonnées d’une pour localiser un individu
• …

Comment se protéger ?

Pour limiter les risques, il faut maîtriser les données et les contenus qui sont partagés :

• Ne pas publier d’informations sensibles (adresse, carte d’identité, plaque d’immatriculation…),
• Analyser les photos avant publication : certains détails peuvent trahir une localisation ou une date,
• Demander l’accord avant de publier une photo d’un tiers,
• Configurer les paramètres de confidentialité sur les réseaux sociaux,
• Utiliser des identifiants différents (pseudos, emails) pour cloisonner ses activités en ligne,
• Éviter de publier les mêmes contenus sur plusieurs plateformes.

Pour en savoir plus

Recoupement d’informations en ligne : ce que vous publiez peut dévoiler votre vie privée | CNIL

Le Renseignement en Sources Ouvertes : faire le lien entre vos activités sur le web | Linc

Si vous avez des questions, n’hésitez pas à nous contacter !