Qu’est-ce que l’OSINT ?

Comment fonctionne l’OSINT ?

L’OSINT (Open source intelligence), ou ROSO en français (Renseignement d’origine sources ouvertes), est une méthode d’analyse, de collecte, d’obtention de renseignements en source d’information publique, d’après le Livre blanc de l’OSINT. Plus concrètement, il s’agit, à partir de sources et données ouvertes au public, de rechercher des informations afin de lutter contre leur fuite… ou d’exploiter celle-ci. La publicité des informations collectées et analysées est le fondement de l’OSINT qui, dès lors, ne s’apparente pas à du hacking, faisant d’elle une discipline parfaitement légale. Cette méthode de recherche se divise en plusieurs sous-catégories, cumulables entre elles, selon les objectifs des recherches effectuées :

• GEOINT (Geospatial Intelligence) : analyse et collecte d’informations graphiques via des systèmes de géolocalisation pour obtenir des informations sur un territoire ;
• SOCMINT (Social Media Intelligence) : analyse et collecte d’informations à partir de ce qui est publiquement publié sur les réseaux sociaux ;
• COMINT (Communication Intelligence) : analyse et collecte d’informations extraites de communications interceptées. À noter que, comme le rappelle la journaliste Fanny Tan dans un article consacré au sujet, le difficile accès à ces données par le grand public crée un débat sur l’intégration de cette méthode dans le domaine de l’OSINT ;
• IMINT (Imagery Intelligence) : analyse des photographies et des images obtenues grâce à des satellites, des drones ou des avions ;
• MASINT (Measurement and signature Intelligence) : analyse et traitement des informations récoltées grâce à des capteurs marins, radars ou électromagnétiques.

Qui fait de l’OSINT ?

L’OSINT est utile tant pour les journalistes que pour les acteurs du monde judiciaire, les militaires et les spécialistes de la cybersécurité.

En effet, concernant les premiers, l’OSINT est utilisée à la fois pour enquêter et pour vérifier la véracité des informations récoltées. C’est à cette fin qu’une cellule d’OSINT et investigations vidéos a été ouverte à la rédaction du journal Le Monde.

Les acteurs judiciaires ont également recours à cette méthode en procédure pénale et civile pour récolter et analyser preuves et arguments. Les agents du fisc y recourent afin de s’assurer, par exemple en analysant les réseaux sociaux de contribuables, que le train de vie correspond aux revenus déclarés. Les tribunaux internationaux ne sont pas en reste, la Cour pénale internationale ayant admis que prévenus et victimes y recourent pour constituer leurs preuves.

Quant à l’utilisation de l’OSINT par des acteurs privés tels que des spécialistes de la cybersécurité d’une entreprise, ils y ont recours à des fins d’amélioration de la cybersécurité d’une entreprise (surveillance des menaces, identification et analyse des vulnérabilités). Enfin, et de façon plus évidente encore au regard des origines de l’OSINT, cette méthode est utile aux militaires. Des armées du monde entier l’emploient afin, par exemple, de déterminer les positions de troupes ennemies et d’envisager une stratégie. À cet égard, la guerre en Ukraine constitue un terrain propice à l’exploration des possibilités de l’OSINT en matière militaire. Ainsi, dans les premiers jours de la guerre en Ukraine, la position d’un soldat ukrainien a été repérée par l’armée russe parce que celui-ci, ayant posté une photo sur les réseaux sociaux, n’avait pas désactivé la fonction de géolocalisation. Cette erreur a causé la mort de dix soldats ukrainiens.

L’OSINT est-elle légale ?

Oui. En effet, les chercheurs en OSINT ne recherchent que ce qui est déjà disponible sur le web… y compris sur le dark web, aucun article du Code pénal interdisant de s’y rendre.

OSINT ne rime donc pas avec hacking ou manipulation pour traiter la data concernée. L’usurpation d’identité (article 226-4-1 C. pénal), le maintien frauduleux dans un système de traitement automatisé de données (article 323-1 C. pénal) ou encore l’entrave au bon fonctionnement d’un système de traitement automatisé de données (article 323-3 C. pénal) demeurent des infractions punissables.

Toutefois, il se peut que le caractère non frauduleux de la recherche et l’obtention de l’information fasse débat. La fraude est qualifiée lorsque la personne accède à la data en sachant qu’elle n’en avait pas le droit. Que se passe-t-il alors si une information confidentielle était, par erreur, disponible en sources ouvertes ? La cour d’appel de Paris a répondu à cette interrogation dans un arrêt du 5 février 2014, affirmant que le simple accès au système de traitement automatisé de données, permis par une faille de sécurité, n’est pas punissable. Cependant, elle ajoute que le maintien dans ce système, en l’occurrence l’extranet d’une Agence Nationale, est condamnable puisque le prévenu savait qu’il n’aurait pas dû s’y trouver.

Concernant la collecte, le traitement, l’analyse et la diffusion de la data, l’OSINT ne suppose pas non plus de violer le Code de la propriété intellectuelle en diffusant une image protégée par les droits d’auteurs. De même, le Règlement Européen sur la Protection des Données Personnelles (RGPD) s’applique aux chercheurs en OSINT. Dès lors, ceux-ci ne sauraient diffuser des éléments identifiant une personne. Les chercheurs en OSINT ne peuvent, dès lors, pas tout se permettre et se doivent de rester prudents.