Ce que les attaquants voient de vous
Par la reconnaissance passive, un attaquant recueille ce que votre entreprise laisse paraître sans jamais toucher à votre système d'information. L'article montre ce qu'il voit et propose cinq vérifications à faire vous-même.
L’essentiel en 5 points
- Toute attaque ciblée commence par une phase de reconnaissance passive : lire ce que vous exposez, sans toucher à vos systèmes.
- Cette phase ne déclenche aucune alerte. Elle ne puise que dans des données déjà publiques : fuites, journaux de certificats, métadonnées, profils.
- Les métadonnées d’un simple document publié peuvent trahir des noms d’utilisateurs, des logiciels et des chemins internes.
- L’IA ne crée pas de nouvelle exposition, elle industrialise la collecte et la corrélation de ce qui est déjà visible.
- Cinq vérifications internes suffisent à mesurer une première fois votre surface, avant tout audit externe.
La réponse rapide
Ce que les attaquants voient de votre entreprise, c’est tout ce que vous publiez sans y penser : des adresses e-mail retrouvées dans d’anciennes fuites, des sous-domaines listés dans les journaux de certificats, les métadonnées d’un PDF mis en ligne, les profils publics de vos équipes, des indices sur votre hébergement. Cette collecte s’appelle la reconnaissance passive. Elle ne touche jamais votre système d’information, ne déclenche donc aucune alerte, et constitue la première étape de la quasi-totalité des attaques ciblées.
Cette surface se mesure avec les sources ouvertes qu’utilisent les attaquants eux-mêmes. Cinq vérifications internes donnent une première photographie de ce que vous exposez, et un audit de surface externe complète le tableau quand l’enjeu le justifie. Le reste de cet article détaille ce qui est visible, pourquoi l’IA rend cette phase plus rapide, et par où commencer.
Reconnaissance passive : voir sans être vu
Une attaque commence presque toujours par une phase de lecture, bien avant toute intrusion. Avant d’envoyer le moindre paquet vers vos serveurs, un attaquant méthodique construit une carte de votre organisation à partir de sources entièrement publiques. Cette pratique porte un nom : l’OSINT (open source intelligence), le renseignement à partir de sources ouvertes.
L’intérêt de cette phase, du point de vue de l’attaquant, tient en un mot : la discrétion. Consulter un journal de certificats, télécharger un document déjà en ligne ou interroger une base de fuites publiques ne laisse aucune trace dans vos journaux. Une reconnaissance qui ne touche jamais vos systèmes échappe à toute détection. C’est précisément ce qui la rend efficace, et ce qui justifie de la traiter en amont plutôt que d’attendre le signal d’une intrusion.
Précisons-le sans dramatiser : la reconnaissance passive ne compromet rien en elle-même. Elle prépare le terrain. Mais la qualité de cette préparation détermine souvent la suite. Un hameçonnage crédible, un mot de passe deviné, un service d’administration ciblé : tout cela s’appuie sur ce qui a été collecté en amont.
Ce qui est visible sans jamais toucher votre SI
Les profils publics de vos équipes. Un nom d’utilisateur suffit souvent à retrouver les comptes d’une même personne sur des dizaines de plateformes. Des outils publics et documentés parcourent plusieurs centaines de réseaux à partir d’un seul pseudonyme. Recoupés avec un organigramme reconstitué depuis les réseaux professionnels, ces profils dessinent qui fait quoi, qui décide, et qui ferait la meilleure proie pour un hameçonnage ciblé.
Vos adresses dans les fuites de données. Les fuites d’identifiants s’accumulent et sont sans cesse regroupées dans de nouvelles compilations. Une adresse professionnelle apparue dans une fuite ancienne reste exploitable des années plus tard, surtout si le mot de passe associé a été réutilisé. Un attaquant croise ces bases avec votre nom de domaine pour obtenir, en quelques secondes, une liste d’adresses valides, parfois accompagnées de mots de passe à essayer.
Vos sous-domaines. Chaque certificat TLS émis pour un de vos services est inscrit dans des journaux publics et permanents. Ces journaux, conçus pour la transparence, listent au passage vos sous-domaines, y compris ceux que vous pensiez discrets : environnements de test, interfaces d’administration, anciens services jamais coupés. Un service oublié mais toujours en ligne est une porte d’entrée classique.
L’empreinte de votre infrastructure. L’icône affichée dans l’onglet du navigateur (le favicon) possède une empreinte numérique. Cette même empreinte, recherchée à l’échelle d’internet, permet de relier entre eux des serveurs qui partagent la même configuration, donc souvent la même organisation. Ce recoupement, fondé sur des données publiques, permet de retrouver une infrastructure même répartie sur plusieurs adresses.
Les métadonnées de vos documents. Un PDF, une présentation ou une image publiés sur votre site contiennent souvent des métadonnées invisibles à la lecture : nom de l’auteur et donc identifiant interne, logiciel et sa version, parfois chemin du fichier sur le poste d’origine. Ces fragments, anodins pris isolément, renseignent sur vos outils, vos conventions de nommage et votre organisation interne.
Pourquoi l’IA accélère cette phase
L’exposition décrite ci-dessus n’a rien de nouveau. Ce qui change en 2026, c’est la vitesse et l’échelle avec lesquelles elle est exploitée. La reconnaissance était historiquement un travail d’analyste : long, manuel, réservé aux attaquants patients et bien outillés. Relier un pseudonyme à une vraie identité, croiser une fuite avec un organigramme, trier plusieurs centaines de sous-domaines pour repérer le service vulnérable, tout cela prenait des heures.
L’IA industrialise ce recoupement. Un agent d’investigation enchaîne les collectes, normalise des sources hétérogènes et corrèle les signaux en continu, sans fatigue et à grande échelle. Pour un dirigeant, la conséquence n’est pas l’apparition d’une nouvelle faille : la reconnaissance ciblée cesse d’être un luxe réservé à quelques adversaires. Elle devient un traitement de routine, applicable à un grand nombre d’organisations en parallèle. La surface que vous exposiez déjà est désormais lue plus vite, plus souvent, et plus systématiquement.
Les cinq vérifications à faire vous-même
- Cherchez vos domaines dans les bases de fuites. Recensez les adresses de votre organisation présentes dans les compilations de fuites publiques. Toute adresse retrouvée impose au minimum une rotation de mot de passe et l’activation de l’authentification à deux facteurs.
- Listez vos sous-domaines via les journaux de certificats. Les journaux de transparence des certificats sont publics et interrogeables. Comparez la liste obtenue à votre inventaire réel : chaque sous-domaine que vous ne reconnaissez pas ou que vous croyiez éteint mérite une vérification.
- Inspectez les métadonnées de vos documents publics. Prenez quelques PDF et présentations en ligne et examinez leurs propriétés. Si des noms d’utilisateurs, des versions de logiciels ou des chemins internes apparaissent, mettez en place un nettoyage systématique avant publication.
- Vérifiez l’exposition de vos profils clés. Pour vos dirigeants et vos administrateurs techniques, mesurez ce qu’un tiers peut reconstituer : fonction, rattachements, adresses, comptes annexes. L’objectif n’est pas de disparaître, mais de savoir ce qu’un inconnu peut apprendre.
- Repérez vos services d’administration exposés. Identifiez les interfaces d’administration, accès distants et tableaux de bord accessibles depuis internet. Réservez à un accès restreint tout ce qui n’a pas besoin d’être public.
Quand passer à un audit de surface externe
Ces vérifications internes donnent une première mesure, pas une cartographie complète. Quand elles révèlent une surface plus large qu’anticipé, ou à l’approche d’un événement qui vous expose davantage (mise en ligne de nouveaux services, levée de fonds, croissance rapide des équipes), un audit de surface externe prend le relais. Il cartographie l’exposition de façon systématique, sépare le risque résiduel du risque critique et produit une liste de correctifs classés par priorité. Parce qu’il s’appuie sur des données déjà publiques, il se conduit sans jamais interrompre votre production.
Colombani.ai réalise ce type d’audit de sécurité IA (cartographie de surface externe, tests d’intrusion assistés par agents, couvert par une assurance RC Pro dédiée aux tests d’intrusion) et prépare les équipes techniques avec la formation Sécurité des agents IA (reconnaissance, OWASP LLM Top 10, red teaming), dispensée par un organisme certifié Qualiopi, finançable par votre OPCO.
Sources
Questions fréquentes
Qu'est-ce que la reconnaissance passive (OSINT) et pourquoi concerne-t-elle mon entreprise ?
La reconnaissance passive consiste à collecter tout ce qu'une entreprise expose publiquement sans jamais interagir avec ses systèmes : profils de collaborateurs, adresses e-mail présentes dans des fuites, sous-domaines, métadonnées de documents publiés, indices sur l'hébergement. C'est la première étape de la quasi-totalité des attaques ciblées, car elle ne déclenche aucune alerte et cartographie la surface avant le moindre contact avec votre SI.
Un attaquant peut-il vraiment cartographier mon infrastructure sans y accéder ?
En partie, oui. Des sous-domaines oubliés apparaissent dans les journaux de certificats publics, une même empreinte de favicon permet de relier plusieurs serveurs à la même organisation, et les métadonnées d'un simple PDF publié révèlent souvent des noms d'utilisateurs, des logiciels et des chemins de fichiers internes. Rien de tout cela ne suppose un accès à vos machines : ce sont des données déjà publiques que des outils agrègent en quelques minutes.
En quoi l'IA change-t-elle la donne pour la reconnaissance ?
L'IA ne crée pas de nouvelles données exposées, elle industrialise leur collecte et leur corrélation. Ce qui demandait à un analyste des heures de recoupement manuel (relier un pseudonyme à un profil, croiser une fuite avec un organigramme, trier des centaines de sous-domaines) se fait désormais en continu et à grande échelle. La conséquence pour un dirigeant : la reconnaissance ciblée n'est plus réservée aux attaquants patients et outillés.
Quelles vérifications puis-je faire moi-même avant de commander un audit ?
Cinq contrôles sont accessibles en interne : rechercher vos domaines dans les bases de fuites d'identifiants, lister vos sous-domaines via les journaux de certificats, inspecter les métadonnées de vos documents publics, vérifier l'exposition des profils de vos équipes clés, et repérer les services d'administration accessibles depuis internet. Ces vérifications donnent une première mesure de votre surface exposée sans compétence offensive avancée.
Quand faut-il passer à un audit de surface externe professionnel ?
Quand les vérifications internes révèlent une surface plus large qu'attendu, avant un déploiement sensible, ou lors d'événements qui vous exposent davantage (levée de fonds, recrutement massif, mise en ligne de nouveaux services). Un audit de surface externe cartographie l'exposition de façon systématique, priorise les correctifs, et se conduit sans jamais interrompre votre production puisqu'il s'appuie sur des données déjà publiques.
Lire aussi : Vos fichiers d'instructions IA sont du code