Vous n'avez rien laissé pirater chez vous, et pourtant un attaquant peut déjà décrire votre quotidien : votre adresse e-mail professionnelle, un ancien mot de passe que vous réutilisez peut-être encore, le prénom de votre directeur financier, le nom de votre banque, vos périodes de déplacement, jusqu'au logiciel de comptabilité visible en arrière-plan d'une photo publiée sur LinkedIn. Rien de tout cela ne relève de l'exploit technique. Ce sont des informations publiques, patiemment assemblées.
Ce travail de collecte porte un nom : l'OSINT, le renseignement en sources ouvertes. C'est la première phase de presque toutes les attaques ciblées contre une PME ou une ETI. Avant d'envoyer le moindre message piégé, l'attaquant construit un dossier, d'autant plus facilement que le dirigeant est, par nature, une personne visible : interviews, signatures d'e-mails, mentions légales, profils professionnels, prises de parole.
La bonne nouvelle, c'est que cette exposition se mesure et se réduit. Encore faut-il savoir ce qui est déjà dehors. Voici ce qu'un attaquant trouve sur vous en quelques minutes, comment il s'en sert, et ce que vous pouvez faire dès cette semaine.
Ce qu'un attaquant trouve en quelques minutes
La reconnaissance ne demande ni budget ni compétence rare. Elle s'appuie sur des sources ordinaires, que chacun alimente sans y penser.
- Identifiants et mots de passe issus de fuites : des milliards de couples e-mail / mot de passe circulent dans des bases revendues ou diffusées gratuitement. Une simple recherche indique si votre adresse y figure, et parfois avec quel mot de passe. Si vous réutilisez ce mot de passe ailleurs, l'attaquant tente sa chance sur votre messagerie, votre banque ou vos outils métier.
- Données personnelles : nom, fonction, employeurs successifs, formation, localisation approximative, parfois numéro de téléphone ou adresse. Autant d'éléments qui rendent un message crédible.
- Réseaux sociaux : organigramme officieux de l'entreprise, projets en cours, recrutements récents, déplacements, centres d'intérêt. Un profil ouvert raconte beaucoup plus que son propriétaire ne l'imagine.
- Documents indexés : PDF, présentations, comptes rendus ou devis oubliés sur un site public. Leurs métadonnées peuvent révéler des noms d'utilisateur internes, des chemins de fichiers, des versions de logiciels.
- Informations de localisation : photos géolocalisées, agenda public, mentions d'événements. De quoi savoir quand vous êtes absent, donc quand une demande urgente passera plus facilement.
De la reconnaissance à l'attaque
Prise isolément, chaque information paraît anodine. Assemblée, elle devient une arme. Trois usages reviennent systématiquement :
- Le spear-phishing : un e-mail sur mesure, qui cite le bon projet, le bon interlocuteur et le bon ton. Plus il est précis, moins il éveille les soupçons.
- La fraude au président : un message qui imite le dirigeant pour réclamer un virement urgent, un changement de coordonnées bancaires ou l'achat de cartes cadeaux, souvent en jouant sur l'urgence et la confidentialité.
- L'usurpation d'identité : création d'un faux profil, d'une adresse ressemblante ou d'un compte au nom du dirigeant pour tromper clients, fournisseurs ou collaborateurs.
Un exemple courant : un attaquant repère qu'une PME vient de nommer un nouveau directeur financier. Il déduit son adresse d'après le format visible dans une signature publique, constate dans une base de fuites qu'un mot de passe réutilisé traîne, puis envoie au comptable un message imitant le président, en pleine période de clôture, pour réclamer un virement urgent. Aucune faille logicielle n'a été exploitée : seulement de l'information ouverte et de la mise en scène.
Le point faible, c'est rarement vous seul
L'attaquant ne vise pas toujours le dirigeant en direct. Il cible l'entourage numérique : l'assistant qui gère l'agenda, le comptable qui exécute les paiements, le prestataire qui a accès aux comptes, parfois un membre de la famille dont le profil ouvert révèle vos habitudes. Dans une petite structure, ces personnes disposent souvent de droits élevés et de peu de garde-fous. Réduire l'exposition d'un dirigeant, c'est donc aussi sécuriser ce cercle proche et clarifier qui peut valider quoi.
Votre plan d'action
Aucune de ces mesures ne demande un grand projet. Elles se mettent en place en quelques heures et coupent l'herbe sous le pied des scénarios les plus fréquents.
- Vérifier vos adresses e-mail professionnelles et personnelles sur un service de veille des fuites, et changer tout mot de passe compromis.
- Bannir la réutilisation des mots de passe : un gestionnaire de mots de passe, plus une authentification forte (MFA, idéalement des passkeys résistantes au phishing) sur la messagerie, la banque et les réseaux sociaux.
- Passer vos comptes personnels en privé et limiter ce qui est visible : photos géolocalisées, agenda public, déplacements annoncés à l'avance.
- Nettoyer les métadonnées des documents publiés (PDF, images, présentations) avant toute mise en ligne.
- Sensibiliser l'entourage direct (assistant, direction financière, comptable) aux mécaniques de la fraude au président et de l'usurpation.
- Instaurer une règle de double validation, hors e-mail, pour tout virement ou changement de coordonnées bancaires.
- Cartographier périodiquement ce qui est réellement exposé sur vos dirigeants et votre entreprise, plutôt que de le découvrir le jour de l'attaque.
Comment Sedona peut aider
Mesurer son exposition suppose d'adopter le point de vue de l'attaquant, sans jamais sortir de la légalité. C'est l'objet de l'audit OSINT de Sedona (à partir de 1 900 €) : une collecte strictement fondée sur des sources publiques et un consentement écrit, qui reconstitue le dossier qu'un attaquant pourrait bâtir sur vos dirigeants et votre organisation, puis liste les mesures concrètes pour réduire cette surface. Côté exposition technique, Sedona Radar évalue votre surface d'attaque externe (ports, DNS, TLS, sous-domaines, vulnérabilités connues) et propose un plan Découverte gratuit pour commencer. Pour aller plus loin, nos ressources détaillent les bonnes pratiques et un échange permet de cadrer un audit adapté à votre contexte. L'objectif n'est pas de vous alarmer, mais de vous rendre le contrôle sur ce qui se dit de vous, en ligne.
