OSINT et intelligence économique

Si intelligence économique et OSINT sont deux termes qui gagnent en visibilité auprès du grand public, ils n’en demeurent pas moins relativement flous pour la plupart des non-praticiens. L’intelligence économique est ainsi régulièrement associée à de l’espionnage, tandis qu’un individu qui explique sa passion pour l’OSINT s’entend souvent demander s’il n’est pas un stalker un peu creepy.

Il s’agit pourtant de deux concepts assez nobles, dont l’un, le renseignement en sources ouvertes, sert le second. La personne qui lit ce billet sur osintfr.com a normalement une petite idée de ce qu’est l’OSINT, mais l’intelligence économique peut demeurer vague : s’agit-il d’études de marché ? De marketing ? De renseignement ? Il existe plusieurs définitions mais la plus complète semble celle-ci : il s’agit de « la recherche et l’interprétation systématique de l’information accessible à tous, afin de décrypter les intentions des acteurs et de connaître leurs capacités ». Et donc, à l’instar de l’OSINT, l’intelligence économique est strictement bornée par le cadre légal, puisqu’il ne s’agit que de collecter de l’information accessible à tous.

À partir de deux types de mission, cet article a pour objet de montrer comment l’OSINT est utilisé dans un cabinet d’intelligence économique, ce qui permettra à la fois de démystifier cette activité et de présenter quelques outils particulièrement précieux.

Étudier un cas de déstabilisation en ligne

Cas typique dans un cabinet d’intelligence économique : étudier la déstabilisation d’une personne physique ou morale sur le Web. Cela peut prendre la forme de blogs ou de comptes Twitter, Instagram ou Facebook dénigrant une société. Prenons le cas d’une entreprise qui constate une baisse importante de ses ventes sans qu’aucun événement ne le justifie.

Des requêtes Google permettent dans un premier d’identifier une galaxie de sites Web et d’individus qui critiquent les produits de l’entreprise. Tous ces sites se présentent comme des blogueurs indépendants ou comparateurs en ligne. À la lecture des articles, on s’aperçoit que tous ces sites sont relativement récents. La baisse importante des ventes semble trouver un début d’explication.

Nous avons désormais de la matière pour investiguer : d’abord, en examinant leur contenu (propos, rubrique « qui sommes-nous », mentions légales, etc.). Premier constat : les sites se ressemblent étrangement, comme s’ils avaient été copiés-collés avec des modifications à la marge. Autre similitude : les biographies des « blogueurs » sont toutes incohérentes et accompagnées de photos de profil qui semblent tout droit sorties de https://thispersondoesnotexist.com/. Les mentions légales sont quant à elles limitées aux informations concernant l’hébergeur, ce qui n’est pas très utile. À ce stade, on peut déjà supposer une déstabilisation (un peu grossière), mais aucun élément ne permet d’identifier l’auteur.

Illustration fictive vraiment pas éloignée de la réalité

Après avoir exploité à fond le contenu du site (sans oublier archives.org !), place aux éléments techniques. Lors du dépôt d’un nom de domaine, il est en effet nécessaire de renseigner certaines informations, comme le nom, l’email, le numéro et l’adresse de la personne qui a effectué le dépôt. Ces données, consultables sur un whois (comme viewdns.info), peuvent toutefois être anonymisées. On se retrouve alors avec quelque chose comme ça :

Ce n’est pas de chance, mais il est toujours possible d’utiliser un joker : l’historique du whois ! Pour cela il faut toutefois souscrire à une solution payante, comme http://domaintools.com/. En effet, les informations sont anonymes à l’instant T de la consultation du whois, mais il peut arriver que le propriétaire du nom de domaine ait d’abord renseigné ses informations en clair, avant d’estimer qu’il serait bon de demander une anonymisation. Mais le Web n’oublie pas grand-chose… Et, dans ce cas précis, plusieurs historiques renseignent une même adresse email et une même identité, à partir desquelles il est possible de rebondir.

Image piquée ici

Retour sur Google : une recherche « prénom nom » renvoie vers plusieurs profils LinkedIn, dont l’un semble intéressant : la personne s’y décrit comme un pro du SEO. Aucune certitude, mais la piste mérite d’être suivie. Deuxième coup de chance, l’individu (que l’on va appeler Boris) a partagé il y a quelques mois un CV, dans lequel apparaît son adresse email… la même que celle utilisée pour les dépôts de nom de domaine. Bingo, on sait qu’il s’agit du bon individu. Reste désormais à comprendre pourquoi, un beau jour, Boris a décidé de créer plusieurs sites pour dénigrer une entreprise qui n’évolue même pas dans son domaine d’activité.

Il faut alors comprendre qui il est et tenter d’identifier si, dans ses relations, il n’y aurait pas une personne ayant un intérêt à dénigrer une entreprise. Comme Boris a son entreprise, on peut tenter de consulter gratuitement les statuts via Pappers. Comme ces derniers indiquent que Boris est marié, il n’est pas inintéressant de regarder qui est sa femme. Les recherches Google ne donnent pas grand-chose, mais Pappers montre qu’elle possède une entreprise concurrente de la société dénigrée en ligne ! À ce stade, le faisceau d’indices commence à devenir conséquent et on peut partir de l’hypothèse « Boris a créé ces sites pour dénigrer un concurrent de sa femme » pour tenter de trouver d’autres éléments corroborant cette thèse.

Ces techniques de manipulation en ligne ne sont pas rares et ne se limitent pas au secteur privé. Dans une récente étude, Openfacto a ainsi identifié plus de 1300 sites russophones gérés par le GRU, le renseignement militaire.

Mener une due diligence

Autre cas classique d’IE, la due diligence. En France, la loi Sapin II oblige les entreprises de plus de 500 salariés et réalisant un chiffre d’affaires supérieur à 100 millions d’euros d’évaluer leurs partenaires (sous-traitants, filiales) afin de prévenir toute pratique liées à la corruption et les atteintes à la probité. Il s’agit alors d’une mission de type due diligence qui va se concentrer sur plusieurs aspects, notamment les éléments judiciaires et de réputation. Au-delà de ces éléments, cela permet aussi de valider l’intérêt d’un éventuel rapprochement au regard des capacités de l’entreprise, de sa réputation, sa dynamique, etc. Une due diligence peut aussi être menée en amont d’une prestation de service.

Après un petit tour d’horizon de la presse pour se familiariser avec l’entreprise sur laquelle il faut enquêter, il est très souvent utile de retracer son historique. Le point de départ consiste évidemment à identifier l’entreprise en question afin de se procurer les statuts  (si cela est possible, car tous les pays n’ont pas Pappers) : cela permet de comprendre quelles sont les personnes clés rattachées à la société et si les fondateurs sont toujours présents.

Outre des recherches Google et la consultation des pages « qui sommes-nous ? » ou « Notre histoire », il est extrêmement intéressant d’utiliser archive.org, car cette ressource montrera comment l’entreprise se décrivait à différents instants de son existence, éclairant ainsi sa stratégie, ses succès et ses échecs. Les éléments à trouver sont infinis (des noms d’anciens responsables, leurs biographies, des contacts, etc.) mais en voici quelques exemples utiles pour de l’IE :

• En naviguant dans les versions du site d’un cabinet de conseil, on s’aperçoit que l’entreprise était présente à Paris, Moscou et Istanbul en 2013, puis Paris, Moscou et Malte en 2016, et qu’elle indique désormais Paris et Londres. Cela déclenche alors plusieurs questions : pourquoi avoir été là-bas ? Pour quelles raisons les branches ont-elles fermées ? Les responsables de ces antennes sont-elles identifiables ? Si oui, elles pourraient éventuellement être contactées.

• En naviguant dans les archives, il est aussi possible de comparer des rubriques dans le temps. Imaginons une rubrique « Qui sommes-nous ? » présentant une douzaine de personnes à un moment T, puis 9 un mois après, puis 4 trois mois plus tard. Premier constat : l’entreprise perd ses collaborateurs (ou ne met à jour que les départs…). En s’intéressant à l’historique en détail, on remarque que le fils du fondateur avait été nommée directeur quelques mois avant ces départs massifs. On peut alors émettre l’hypothèse d’une nomination qui n’est pas passée, suivie d’une vague de départs.

• Dans une archive de 2007, l’École de Guerre Économique fait la promotion d’un programme « stratégie de conquête des marchés asiatiques », qui n’existe plus aujourd’hui. Cela peut par exemple montrer que l’école a tenté de se diversifier.

Une fois l’historique, l’activité et les statuts bien étudiés, il est temps de se pencher sur d’éventuels antécédents judiciaires ou autre « casseroles ». Pour obtenir ce genre d’informations plus difficiles d’accès tout en restant dans le cadre de l’OSINT, il existe de nombreuses bases de données spécialisées. Voici quelques sources et ce que l’on peut y trouver :

• Wikileaks: ONG qui publie des leaks et s’est notamment fait connaître en dévoilant des milliers de câbles diplomatiques américains. Un analyste effectuant des recherches sur la société cambodgienne The Royal Group serait par exemple très intéressé d’apprendre que le dirigeant était considéré comme un « relatively young and ruthless gangster ». Comme l’individu est connu, l’information a ensuite été relayée par la presse, mais il existe des milliers d’informations n’intéressant pas le grand public qui ne se trouvent que dans Wikileaks ;

• ICIJ : l’International Consortium of Investigative Journalists met aussi à disposition un moteur de recherche explorant des leaks connus (Paradise & Panama papers, Luxleaks, Luanda leaks, etc.). Cela peut permettre de prouver l’implication d’une personne ou d’une entreprise dans un montage financier dans des paradis fiscaux. S’il n’est pas illégal d’avoir des intérêts dans une entreprise présente dans un paradis fiscal, cela constitue tout de même une alerte qu’il s’agit de creuser ;

• OCCRP Aleph: moteur de recherche de l’Organized Crime and Corruption Reporting Project, qui agrège des leaks et bases de données (registres du commerces et document officiels).  Il s’agit d’un bon complément à l’ICIJ.

Bien évidemment, une due diligence nécessite de consulter beaucoup plus de ressources, le but ici étant de montrer une partie de ce qui se fait à partir de sources ouvertes.

Conclusion

Au final, les missions et la manière de travailler dans un cabinet d’IE ne diffèrent pas vraiment de l’approche journalistique et des (excellentes) enquêtes publiées par le Projet Fox sur la désinformation ou Openfacto sur la violation d’embargo. Il s’agit toujours de démêler des situations complexes à partir de sources ouvertes. Chaque mission est unique, mais le ressort est toujours le même : agir avec méthode, consulter les ressources et faire preuve d’un bon esprit d’analyse. Les cas complexes sont ceux qui nécessitent de nombreux rebonds avant de trouver une information pertinente. Enfin, il faut aussi garder à l’esprit que tout n’est pas identifiable en OSINT, mais que le renseignement en sources ouvertes peut apporter des indices et permettre d’identifier des sources.