OSINT : tout ce que vous avez posté en ligne est encore là

Internet est éternel. Une fois que vous avez appuyé sur le bouton « poster », il est difficile, voire impossible, de l’effacer complètement du web (pour mémoire, la Wayback Machine enregistre tout ce qui est posté sur internet, même dans le passé, c’est un peu une prise de note photographique).

Cette prise de vue à la mode que vous avez postée au lycée. Cette photo. Vous pensiez que ça allait impressionner les femmes, hein ? N’est-ce pas le cas de chacun d’entre nous ? Eh bien, ce n’était pas le cas. Et ce n’est toujours pas le cas. Les gars, arrêtez. Vous vous ridiculisez. Allez d’abord à la gym, puis postez-le. Tout est encore là quelque part, probablement. Je viens de me reconnecter à mon compte MySpace que j’ai créé il y a 20 ans. Hector ? Je pensais que nous étions amis…

Pourquoi se préocuper de l’ OSINT ?

• Pour deux raisons. Premièrement, les employeurs le font.
• Et les employeurs du secteur de la cybersécurité le font encore mieux.

Peut-être, juste peut-être, que vous n’avez pas obtenu ce poste après sept séries d’entretiens parce qu’ils ont déterré vos fêtes de fraternité à l’université ou, à Dieu ne plaise, votre vieil historique de chat League of Legends. Pour ma défense, il est littéralement nul et devrait simplement se désinstaller. Deuxièmement, savoir comment fonctionne OSINT peut vous aider dans votre OPSEC.

L’OPSEC, c’est-à-dire la sécurité opérationnelle, consiste à protéger les informations et les activités sensibles contre l’observation ou l’interception par des adversaires. Les adversaires sont bien sûr votre employeur actuel et futur, votre ex fou, les amis de vos enfants et le gouvernement.

J’ai déjà publié un article sur la façon de vivre aussi anonymement que possible en ligne. Cette vidéo se concentre donc sur la recherche de ce que vous avez fait avant d’avoir le bon sens de réaliser « Oh, ça peut me faire virer ». La culture de l’annulation est réelle, les amis, et je suis pour les conséquences de vos actes.

Comme vous pouvez le constater, plus vous en faites, plus vous en découvrirez. Oh, et raison supplémentaire, comme vous le verrez, nous faisons une quantité étonnamment importante de OSINT par inadvertance dans la plupart des rôles de cybersécurité.

Qu’est-ce que l’OSINT ?

On dirait quelque chose de tout droit sorti de la Seconde Guerre mondiale, lorsque l’espionnage du KGB qui tentait de voler les secrets nucléaires américains les plus secrets était une préoccupation majeure. En réalité, il s’agit simplement de rechercher sur Google des médias sociaux et des personnes ayant un OPSEC embarrassant, ce qui constitue la première étape de presque toutes les enquêtes menées par les analystes de la sécurité.

• Ils recherchent des informations sur les fichiers,
• les adresses IP, etc.
• afin de déterminer s’ils sont malveillants ou s’ils sortent de l’ordinaire.

Les testeurs de pénétration recherchent des vulnérabilités et des exploits après avoir cartographié les points d’appui potentiels dans l’environnement d’une personne. Même les responsables de la recherche et du développement recherchent des vulnérabilités afin de s’assurer que les contrôles appropriés sont en place pour répondre aux normes de conformité. L’OSINT fait donc plus ou moins partie de nos vies, même si nous ne l’appelons pas officiellement ainsi.

Comment faire de l’OSINT ?

Pour l’apprentissage pratique, des plateformes comme Hack The Box offrent des environnements d’entraînement réalistes.

Pour une approche plus académique, les formations d’organismes comme le SANS Institute sont des références mondiales.

Enfin, pour découvrir les outils, le site OSINT Framework est une carte indispensable, avec le travail du collectif d’investigation Bellingcat.

1. Hack The Box (HTB) : Lien : https://www.hackthebox.com/
2. SANS Institute : C’est le « gold standard » de la formation en cybersécurité professionnelle. Leur cours SEC587: Open-Source Intelligence (OSINT) Gathering and Analysis est LA référence pour les professionnels (payant). https://www.sans.org/cyber-security-courses/advanced-open-source-intelligence-gathering-analysis
3. OSINT Framework : Le site osintframework.com est une excellente ressource
4. Maltego : Outil de « link analysis » (analyse de liens) très puissant et emblématique de l’OSINT. Il permet de visualiser les relations entre des informations (personnes, entreprises, adresses, etc.). La version Community Edition est gratuite. Lien : https://www.maltego.com/
5. Bellingcat : C’est le nom le plus prestigieux dans le domaine du journalisme d’investigation basé sur l’OSINT. Leur travail sur des conflits, des attentats et des affaires politiques est mondialement reconnu. Les citer est un gage de crédibilité immense. Lien : https://www.bellingcat.com/
6. OSINT Curious Project : Un excellent blog et une communauté qui partagent des techniques, des analyses d’outils et des études de cas. C’est très pédagogique et bien respecté. Lien : https://www.osintcurio.us/

Techniques OSINT

Faisons comme si quelqu’un vous harcelait à des fins éducatives, évidemment. Commençons par les bases. Votre nom d’utilisateur. Si vous avez déjà réutilisé votre nom d’utilisateur sur plusieurs plateformes, félicitations. Vous avez créé un fil d’Ariane qui va de votre LinkedIn à vos seuls fans.

Google Dorking

Voici la tactique habituelle des OSINT. Google dorking. C’est la façon dont les pirates utilisent Google.

Je charge l’utilisation du mot hack ou hacker ou hacking, mais c’est un mot à la mode et les professionnels de la cybersécurité adorent les mots à la mode. Par exemple, l’opérateur site peut être utilisé pour rechercher un site. Associez-le à un mot-clé ou à un opérateur de titre pour trouver un CV caché. Combinez les opérateurs pour déterrer des pages oubliées, d’anciens CV et des données en cache que vous pensiez disparus. Ce n’est pas le cas. Il y a plusieurs opérateurs que vous pouvez utiliser, ou vous pouvez simplement tricher et utiliser le guey cuz pour apprendre la syntaxe.

Moteurs de recherche par nom d’utilisateur

Il y a les moteurs de recherche par nom d’utilisateur. Vous pouvez essayer instant name search, pour n’en citer qu’un. Ce genre de sites vous montreront toutes les plateformes où ce nom d’utilisateur existe.

Recherche d’images

La recherche d’images, la préférée de tous. Google images, bien sûr, ou Yandex peuvent trouver tous les autres endroits où se trouvent vos selfies. Vous seriez surpris de voir à quel point les photos de profil sont souvent réutilisées sur les sites de rencontre, les forums et les biographies d’entreprise.

Tineye a une très bonne recherche d’images, et c’est ce que Google était dans le bon vieux temps avant qu’il ne décide d’être fantaisiste et d’essayer de vous montrer ce qu’il pense que vous voulez voir et pas exactement ce que vous avez demandé. Mais je m’éloigne du sujet.

Recherche d’emails

Il y a les recherches d’emails. Des sites comme Have I been pawned, dehashed, ou Intel X peuvent vous dire dans quelles brèches vos courriels se sont retrouvés. La paranoïa qui sommeille en moi pense qu’il s’agit de collecteurs d’emails. Mais ne nous voilons pas la face, nos emails ont été vendus à de multiples reprises.

Extraction de métadonnées

Il y a aussi l’extraction de métadonnées. Quelqu’un a-t-il déjà dû écouter un type qui utilise le mot « métadonnées » comme s’il était un hacker savant autoproclamé ? C’est dans les métadonnées. Oh, vous avez oublié les métadonnées ? Oui, c’est ça.

Téléchargez une photo dans GroupDocs ou utilisez un outil dans le terminal. Vous pourriez être surpris par ce que vous verrez.

• Les coordonnées GPS,
• les informations sur l’appareil photo,
• la date
• et l’heure.

N’oubliez pas que les sites de médias sociaux suppriment les données. Mais pas avant de les avoir collectées eux-mêmes. Si votre ordinateur ou votre téléphone est confisqué, ce sont des preuves. Ou encore, si vous envoyez à quelqu’un en ligne une photo directe, vous venez peut-être de vous doxer vous-même. Même si la localisation ne figure pas dans les métadonnées, il existe des sites de localisation de photos par IA comme Geospy qui font le travail pour vous.

Une fois que vous avez obtenu quelques fils d’Ariane, quelques pistes transpirantes, le trou du lapin devient rapidement profond. On commence alors à relier les réseaux sociaux, à faire correspondre les voix, à identifier les informations sur la famille, le lieu de travail ou l’école. Des outils comme Spiderfoot permettent d’automatiser toutes ces recherches manuelles et de relier les points pour vous. Littéralement, c’est comme si vous disposiez d’un limier numérique. Donnez-lui un email ou un domaine et il vous recrachera tout, des sous-domaines aux plateformes de médias sociaux, en passant par les vieilles pages web archivées.

Wayback Machine ? Une initiative de Internet Archive ? La Wayback Machine est un site à but non lucratif qui a effectivement construit une bibliothèque numérique, une archive de sites Internet, et Spiderfoot peut les trouver automatiquement via une API gratuite. Il y a donc beaucoup, beaucoup d’intégrations, c’est un outil intéressant à mettre en place et à utiliser.

Il y a tellement d’outils à ce stade que je doute que vous puissiez tous les explorer au cours de votre vie, mais vous pouvez essayer. Alors, rendez-vous sur osintframework.com et découvrez tous les outils disponibles dans l’arsenal OSINT.

Comment brouiller les pistes

Maintenant, voici la partie importante, celle qui pourrait vous intéresser. Comment couvrir vos traces avant que quelqu’un comme moi ou les RH ne les découvrent ?

Vérifiez vos comptes

Vérifiez votre identité. Cherchez votre nom, vos noms d’utilisateur et vos anciens courriels sur Google. Faites comme si vous étiez votre propre détective privé. Supprimez vos anciens comptes ou utilisez l’un des nombreux services de suppression de données disponibles et demandez-leur d’en supprimer la plus grande partie. Gardez à l’esprit qu’il n’y a aucune garantie que les demandes de suppression de données seront effectuées, même si vous ou un service légitime en faites la demande. C’est pourquoi vous devez vous dépêcher et commencer à prêter attention à votre OPSEC.

Utiliser des courriels alias

Supprimez les messages avec précaution

Supprimez des messages tant que vous voulez. Si Google l’a indexé, il est encore visible dans le cache pendant quelques semaines. Faites donc attention à ce que vous publiez. Vous pouvez demander la suppression via l’outil de suppression de contenu de Google (Google content removal tool) et prier pour qu’ils s’en occupent réellement. Et pour l’amour de Dieu, séparez votre identité personnelle de votre identité professionnelle. Les employeurs doivent voir votre curriculum vitae, pas votre historique de délires sur Reddit.

TLDR : Tout ce qui se trouve sur Internet est permanent. En gros, chaque post, chaque commentaire, chaque vous est probablement archivé quelque part. Alors, apprenez le OSINT et renseignez-vous sur le OPSEC. Pas seulement pour être un goon effrayant ou pour impressionner les RH, mais pour comprendre à quel point vous êtes vraiment exposé parce que savoir comment les autres peuvent vous trouver est essentiel pour s’assurer qu’ils ne le peuvent pas.

Questions fréquemment posées

Qu’est-ce que l’OSINT exactement ?

L’OSINT (Open-Source Intelligence) est la capacité de tout savoir sur quelqu’un ou quelque chose sans faire quoi que ce soit d’illégal. C’est en gros ce que fait votre ex fou, mais en mieux, et c’est utilisé par les employeurs, les professionnels de la cybersécurité et même les gens ordinaires.

Pourquoi s’intéresser à l’OSINT?

Vous devriez vous intéresser à l’OSINT pour deux raisons principales :

• Premièrement, les employeurs s’en servent pour rechercher des candidats, et les employeurs spécialisés dans la cybersécurité sont particulièrement doués dans ce domaine.
• Deuxièmement, comprendre le fonctionnement de l’OSINT peut vous aider à améliorer votre propre OPSEC (sécurité opérationnelle) afin de protéger vos informations sensibles.

Quelles sont les techniques de base de l’OSINT ?

Les techniques OSINT de base comprennent le Google dorking (utilisation d’opérateurs de recherche avancés), les moteurs de recherche de noms d’utilisateur pour trouver toutes les plateformes où un nom d’utilisateur existe, les recherches d’images à l’aide d’outils tels que Google Images ou Yandex, les recherches d’emails pour voir dans quelles brèches votre email a été impliqué, et l’extraction de métadonnées à partir de photos.

Comment puis-je me protéger des enquêtes OSINT ?

Pour vous protéger, vérifiez votre identité en tapant votre nom et vos noms d’utilisateur sur Google, supprimez vos anciens comptes ou utilisez des services de suppression de données, utilisez des pseudonymes pour vos différentes personnalités en ligne, faites attention à ce que vous publiez (n’oubliez pas la mémoire cache de Google) et séparez vos identités personnelle et professionnelle en ligne.

Quels sont les outils utiles à l’OSINT ?

1. Hack The Box propose des laboratoires pratiques, tandis que des institutions comme le SANS Institute offrent une formation de niveau professionnel.
2. Pour automatiser les recherches et relier les informations, Spiderfoot est un excellent outil.
3. Pour découvrir un large éventail d’autres utilitaires, OSINT Framework est une ressource indispensable.
4. Pour les recherches d’images, Yandex est souvent recommandé par rapport à Google Images pour ses capacités supérieures de recherche inversée.
5. Enfin, pour un travail d’investigation sérieux, les méthodologies partagées par des groupes comme Bellingcat et des outils comme Maltego pour l’analyse des liens sont des standards de l’industrie.