OSINT 2026 : Outils et Techniques de Reconnaissance

L'OSINT 2026 reconnaissance n'est plus l'apanage des agences de renseignement. Un attaquant ordinaire avec un laptop, une connexion Internet et quelques outils gratuits peut construire un profil complet de votre organisation en 48 heures — organigramme, infrastructure, technologies utilisées, emails valides, sous-domaines exposés, parfois même des credentials en clair dans un dépôt public oublié. Ce que les red teams font de manière structurée lors d'un engagement, les groupes cybercriminels le pratiquent en continu, automatiquement, sur des milliers de cibles simultanément. Comprendre les outils et les techniques de la phase de reconnaissance passive est donc aussi utile aux défenseurs qu'aux attaquants : les Blue Teams qui ignorent ce que Shodan révèle sur leur infrastructure naviguent à l'aveugle. Cet article passe en revue l'arsenal complet de l'OSINT en 2026 — des moteurs de recherche spécialisés aux scripts de collecte automatisés — avec une attention particulière aux nouveautés de cette année : l'intégration de l'IA dans les outils de corrélation, l'explosion des CT logs comme source de sous-domaines, et les contre-mesures OPSEC que toute équipe de sécurité devrait mettre en place pour surveiller sa propre empreinte numérique.

Taxonomie OSINT 2026 : HUMINT, SOCMINT, GEOINT et CYBINT

L'OSINT est un terme générique qui recouvre plusieurs disciplines du renseignement, chacune avec ses sources et ses méthodes propres. En contexte de cybersécurité offensive, on travaille principalement avec quatre sous-disciplines :

HUMINT (Human Intelligence) : renseignement issu de sources humaines — profils LinkedIn, publications Facebook, interviews publiques, conférences. En pentest, cela sert à identifier les employés clés, leurs rôles, leurs compétences (qui révèlent les technologies utilisées), et à construire des prétextes d'ingénierie sociale crédibles. Un analyste qui publie "Je viens d'installer notre nouveau SIEM Splunk" sur LinkedIn vient d'enrichir votre cartographie.

SOCMINT (Social Media Intelligence) : sous-catégorie du HUMINT centrée sur les réseaux sociaux. Twitter/X, LinkedIn, GitHub, Reddit — chaque plateforme révèle des informations différentes. GitHub est particulièrement riche : les commits d'employés exposent parfois des clés API, des IP internes, des noms de serveurs. Des outils comme GitLeaks et truffleHog automatisent la recherche de secrets dans les dépôts publics liés à une organisation cible.

GEOINT (Geospatial Intelligence) : renseignement géographique. Google Maps Street View permet de photographier les bâtiments cibles, d'identifier les badges d'accès, de localiser les caméras de surveillance. En 2026, l'analyse de métadonnées GPS dans les photos publiées par les employés reste une technique redoutablement efficace pour localiser des sites sensibles.

CYBINT/TECHINT (Cyber & Technical Intelligence) : la discipline la plus pertinente pour les pentesters. Elle couvre la cartographie d'infrastructure (DNS, WHOIS, ASN, plages IP), la découverte de services exposés (Shodan, Censys), l'analyse de certificats TLS, et la collecte d'informations techniques sur les technologies utilisées (en-têtes HTTP, fingerprinting de WAF, analyse de robots.txt et sitemap.xml).

Outils de cartographie passive : Maltego, SpiderFoot, Recon-ng et Amass

Ces quatre outils constituent le socle de toute reconnaissance passive structurée. Chacun a une philosophie différente et des points forts distincts.

Maltego est l'outil de référence pour la visualisation de graphes d'entités. Il transforme les relations entre domaines, IPs, emails, personnes et organisations en graphes interactifs. La version communautaire est gratuite mais limitée à 12 entités par graphe — suffisant pour une démonstration, insuffisant pour un engagement réel. Les transforms Maltego permettent d'interroger automatiquement des sources OSINT (Shodan, VirusTotal, HaveIBeenPwned) et de connecter les résultats.

SpiderFoot excelle dans l'automatisation : une seule commande déclenche plusieurs dizaines de modules OSINT en parallèle et consolide les résultats dans une interface web. En mode CLI :

# Installation SpiderFoot
pip3 install spiderfoot

# Lancer un scan complet sur un domaine cible (mode CLI)
python3 sf.py -s example.com -t DOMAIN_NAME -m all -o /tmp/osint-results/

# Scan ciblé sur les emails et sous-domaines uniquement
python3 sf.py -s example.com -t DOMAIN_NAME -m sfp_dns,sfp_hunter,sfp_emailformat -o /tmp/scan-email/

# Interface web (port 5001 par défaut)
python3 sf.py -l 127.0.0.1:5001

Recon-ng adopte une architecture modulaire inspirée de Metasploit. Chaque source OSINT est un module indépendant. Il maintient une base de données locale des résultats, ce qui facilite la corrélation entre modules :

# Lancer Recon-ng
recon-ng

# Dans le shell Recon-ng
workspaces create pentest-exemple
modules search recon/domains-hosts
modules load recon/domains-hosts/hackertarget
options set SOURCE example.com
run

# Module de collecte d'emails
modules load recon/domains-contacts/pgp_search
options set SOURCE example.com
run

# Exporter les résultats
modules load reporting/html
options set FILENAME /tmp/recon-ng-report.html
run

Amass est le standard industrie pour la découverte de sous-domaines. Il combine DNS brute-force, recherche passive (CT logs, APIs), et scraping de sources OSINT. La commande de base :

# Installation via Go
go install -v github.com/owasp-amass/amass/v4/...@master

# Reconnaissance passive uniquement (sans résolution DNS active)
amass enum -passive -d example.com -o /tmp/subdomains.txt

# Reconnaissance active avec brute-force DNS
amass enum -active -d example.com -brute -w /opt/wordlists/subdomains-top1million.txt -o /tmp/subdomains-active.txt

# Mode Intel : découverte de domaines liés à une organisation
amass intel -org "Entreprise Cible" -whois -o /tmp/domains-org.txt

# Visualisation du graphe de découverte
amass viz -d3 -d example.com -o /tmp/amass-viz.html

Shodan, Censys, FOFA et ZoomEye : comment cartographier votre infrastructure exposée ?

Ces quatre moteurs de recherche spécialisés indexent l'Internet en permanence et permettent de trouver des services exposés sans envoyer le moindre paquet vers la cible. C'est de la reconnaissance 100% passive du point de vue du défenseur.

Shodan reste la référence absolue. Son indexation couvre les ports TCP/UDP, les bannières de service, les certificats TLS, et les métadonnées d'appareils IoT. Les dorks Shodan permettent des recherches très ciblées :

# Installation CLI Shodan
pip install shodan
shodan init VOTRE_API_KEY

# Recherche de serveurs Elasticsearch non authentifiés (vulnérabilité classique)
shodan search 'port:9200 product:Elastic'

# Recherche de caméras Hikvision exposées en France
shodan search 'hikvision port:80 country:FR'

# Informations sur un hôte spécifique
shodan host 93.184.216.34

# Recherche de services avec des certificats expirés
shodan search 'ssl.cert.expired:true org:"Example Corp"'

# Dork pour trouver des panels d'administration exposés
shodan search 'http.title:"Admin Panel" country:FR port:443'

# Monitorer les changements sur votre propre organisation (DÉFENSIF)
shodan alert create "Mon infra" "org:\"Mon Entreprise\""

Censys se distingue par sa qualité d'indexation des certificats TLS et son API très structurée. Il est souvent utilisé pour découvrir des sous-domaines via l'analyse des CN (Common Name) et SAN (Subject Alternative Names) des certificats.

FOFA (Chine) et ZoomEye sont particulièrement utiles pour les actifs en Asie et les appareils IoT industriels sous-représentés dans Shodan. En 2026, ces moteurs couvrent des plages IP historiquement peu indexées par les outils occidentaux.

theHarvester et Hunter.io : reconnaissance email et employés

La collecte d'adresses email valides reste l'une des techniques OSINT les plus rentables. Un email valide ouvre la porte au spear phishing, au credential stuffing (si l'email apparaît dans une fuite), et à la cartographie des équipes.

# theHarvester — collecte emails, sous-domaines, IPs depuis sources multiples
theHarvester -d example.com -b all -l 500 -f /tmp/harvest-results

# Sources spécifiques (moins de bruit)
theHarvester -d example.com -b google,linkedin,shodan,certspotter -l 200

# Avec vérification DNS des sous-domaines trouvés
theHarvester -d example.com -b all -n -l 500

# Hunter.io via CLI (nécessite clé API gratuite)
curl "https://api.hunter.io/v2/domain-search?domain=example.com&api_key=VOTRE_CLE" | python3 -m json.tool

Pour la vérification de validité des emails collectés, l'outil email-verifier ou le service NeverBounce permettent de confirmer l'existence d'une adresse sans envoyer de vrai email (via requêtes SMTP en RCPT TO). Cette étape est cruciale pour filtrer les faux positifs avant une campagne de phishing simulée.

Quelles sont les sources open source incontournables de l'OSINT Framework ?

L'OSINT Framework recense de manière exhaustive les sources et outils disponibles par catégorie. C'est le point de départ idéal pour tout engagement OSINT. Les catégories les plus utiles en contexte pentest :

• WHOIS et registres de domaines : who.is, domaintools.com, historique WHOIS pour identifier des changements de propriétaire
• Certificate Transparency Logs : crt.sh permet de rechercher tous les certificats émis pour un domaine et ses sous-domaines — une mine d'or pour la découverte passive
• GitHub et dépôts publics : GitHub Dorking pour trouver des secrets, configurations, ou code source divulgué involontairement
• Pastebin et sites de partage : des credentials, des configurations ou des données internes finissent régulièrement sur Pastebin, Ghostbin, ou PrivateBin
• Bases de données de fuites : HaveIBeenPwned (API), DeHashed (payant), IntelX pour croiser les emails collectés avec des fuites connues

Le script Python suivant illustre une collecte basique de données WHOIS et CT logs :

#!/usr/bin/env python3
"""
Script OSINT basique : WHOIS + Certificate Transparency Logs
Usage: python3 osint_passive.py -d example.com
"""

import requests
import json
import whois
import argparse
from datetime import datetime

def get_whois_info(domain):
    """Collecte les informations WHOIS d'un domaine."""
    try:
        w = whois.whois(domain)
        return {
            "registrar": w.registrar,
            "creation_date": str(w.creation_date),
            "expiration_date": str(w.expiration_date),
            "name_servers": w.name_servers,
            "emails": w.emails
        }
    except Exception as e:
        return {"error": str(e)}

def get_ct_logs(domain):
    """Récupère les sous-domaines via Certificate Transparency Logs (crt.sh)."""
    url = f"https://crt.sh/?q=%.{domain}&output=json"
    try:
        resp = requests.get(url, timeout=30)
        data = resp.json()
        subdomains = set()
        for entry in data:
            name_value = entry.get("name_value", "")
            for sub in name_value.split("\n"):
                sub = sub.strip().lstrip("*.")
                if domain in sub:
                    subdomains.add(sub)
        return sorted(list(subdomains))
    except Exception as e:
        return []

def main():
    parser = argparse.ArgumentParser(description="OSINT Passif — WHOIS + CT Logs")
    parser.add_argument("-d", "--domain", required=True, help="Domaine cible")
    args = parser.parse_args()

    print(f"[*] Reconnaissance passive de: {args.domain}")
    print(f"[*] Timestamp: {datetime.now().isoformat()}")

    # WHOIS
    print("\n[+] Données WHOIS:")
    whois_data = get_whois_info(args.domain)
    print(json.dumps(whois_data, indent=2, default=str))

    # CT Logs
    print("\n[+] Sous-domaines via CT Logs (crt.sh):")
    subdomains = get_ct_logs(args.domain)
    print(f"    {len(subdomains)} sous-domaines découverts:")
    for sub in subdomains[:50]:  # Limiter l'affichage
        print(f"    - {sub}")

if __name__ == "__main__":
    main()

Workflow OSINT complet : passive → semi-passive → active

Un engagement OSINT professionnel suit une progression rigoureuse en trois phases. Brûler les étapes conduit à contaminer les logs de la cible et à perdre l'avantage de la discrétion.

Phase 1 — Passive (zéro contact avec la cible) : tout ce qui peut être collecté sans interagir avec les systèmes de la cible. Sources : moteurs de recherche (Google Dorks, Bing), Shodan/Censys, crt.sh, WHOIS historique, Wayback Machine, GitHub, LinkedIn, Pastebin. Aucun paquet n'atteint les serveurs cibles. Durée typique : 4-8 heures.

Phase 2 — Semi-passive (contact minimal) : requêtes DNS standards (résolution de noms), HTTPS vers des services publics de la cible (site web, portail de connexion). Les requêtes sont indiscernables de celles d'un visiteur ordinaire. Inclut le scraping du site web, l'analyse des en-têtes HTTP (technologies, versions), et l'extraction des liens internes. Durée : 2-4 heures.

Phase 3 — Active (contact direct et détectable) : scans de ports (nmap), brute-force DNS, fuzzing de répertoires. Cette phase dépasse le cadre OSINT strict et entre dans la reconnaissance active — elle génère des logs et peut déclencher des alertes. Réservée aux engagements avec autorisation explicite.

Cas concret : construction d'un profil pour une campagne de spear phishing

Voici comment un pentester mandaté construirait méthodiquement un profil cible. L'exemple est volontairement généralisé — aucune entreprise réelle n'est visée.

Étape 1 — Identification du périmètre : à partir du nom de domaine principal, interroger WHOIS pour identifier les plages IP et ASN associés. Amass intel permet de découvrir des domaines frères (même organisation WHOIS) non listés dans le scope initial.

Étape 2 — Cartographie des employés : LinkedIn avec l'opérateur de recherche site:linkedin.com "example.com" révèle les profils déclarant travailler pour l'entreprise. theHarvester collecte les emails associés au domaine depuis les sources OSINT.

Étape 3 — Recherche de fuites : croiser les emails collectés avec HaveIBeenPwned API et, si disponible, des bases de credentials leakés. Un email valide + un mot de passe issu d'une vieille fuite vaut de l'or si la politique de mots de passe est faible.

Étape 4 — Analyse technique : Shodan sur les plages IP identifiées, analyse des en-têtes HTTP du site web (Server, X-Powered-By, X-AspNet-Version), analyse du sitemap.xml et robots.txt pour identifier des sections cachées.

Étape 5 — Préparation du prétexte : avec le profil LinkedIn des décideurs, les technologies identifiées (ex : l'offre d'emploi publiée mentionne "Nous cherchons un expert Azure AD"), et un email valide d'un employé connu, un email de spear phishing hyper-ciblé peut être construit. Consultez notre article sur le spear phishing avancé en 2026 pour les techniques de rédaction et d'infrastructure.

MITRE ATT&CK TA0043 : formaliser la reconnaissance OSINT

Le framework MITRE ATT&CK Reconnaissance (TA0043) formalise les techniques de reconnaissance utilisées par les acteurs de la menace. Mapper vos activités OSINT sur ce framework permet deux choses : documenter votre engagement de manière standardisée, et identifier les détections défensives possibles.

Les techniques les plus pertinentes pour l'OSINT :

• T1589 — Gather Victim Identity Information : collecte d'emails (T1589.002), de credentials (T1589.001), de données employés (T1589.003). Outils : theHarvester, Hunter.io, HaveIBeenPwned.
• T1590 — Gather Victim Network Information : identification des plages IP (T1590.005), des DNS (T1590.002), des topologies réseau (T1590.004). Outils : Amass, Shodan, WHOIS.
• T1591 — Gather Victim Org Information : identification des filiales (T1591.002), du personnel clé (T1591.004). Sources : LinkedIn, sites corporatifs, communiqués de presse.
• T1593 — Search Open Websites/Domains : Google Dorking (T1593.002), réseaux sociaux (T1593.001). Outils : Google, Bing, OSINT Framework.
• T1596 — Search Open Technical Databases : CT logs (T1596.003), WHOIS (T1596.002), Shodan/Censys (T1596.005). Voir notre article sur la threat intelligence et l'automatisation de la veille.

Quelles contre-mesures OPSEC les Blue Teams doivent-elles déployer ?

La meilleure défense contre l'OSINT est de savoir ce que votre organisation expose. Voici les contre-mesures prioritaires :

Surveiller sa propre empreinte Shodan : créer des alertes Shodan Monitor sur vos plages IP et domaines. Chaque nouveau service indexé par Shodan génère une notification — avant que l'attaquant le découvre.

Google Dorks défensifs : exécuter régulièrement des recherches comme site:example.com filetype:pdf, site:github.com "example.com" password, site:pastebin.com "example.com" pour détecter des fuites. L'outil Google Dorks Scanner automatise ce processus.

Politique de publication LinkedIn : sensibiliser les employés aux risques de publication de technologies utilisées, d'organigrammes détaillés, ou de descriptions de mission révélant des infrastructures internes. L'ANSSI publie des guides de sensibilisation sur ce sujet.

Monitoring HaveIBeenPwned : configurer l'API pour recevoir des alertes dès qu'un email @votre-domaine.fr apparaît dans une nouvelle fuite. Gratuit jusqu'à un certain volume, indispensable en entreprise.

Ghost profiling : pour les cadres exposés (RSSI, DG, DSI), envisager des profils LinkedIn minimalistes et l'utilisation d'alias emails publics plutôt que des adresses professionnelles directes. Lire notre article sur la reconnaissance OSINT offensive en pentest pour comprendre ce que ces profils révèlent.

Tableau comparatif des outils OSINT 2026

L'IA dans l'OSINT 2026 : accélération et nouvelles capacités

L'intégration de l'IA dans les outils OSINT est l'évolution majeure de 2025-2026. Plusieurs dimensions :

Corrélation automatisée : des outils comme OSINTgpt et les modules IA de SpiderFoot permettent de relier automatiquement des entités disparates — un email collecté sur HaveIBeenPwned, un profil GitHub, et un sous-domaine Amass — sans intervention manuelle. Ce qui prenait une journée d'analyse prend désormais quelques minutes.

Génération de prétextes : l'IA générative permet de rédiger des emails de phishing hyper-personnalisés à partir d'un profil OSINT, une menace que nous détaillons dans notre article sur l'IA et la reconnaissance vocale. Les campagnes de vishing (phishing vocal) utilisant des voix clonées à partir de publications YouTube ou de conférences publiques sont désormais opérationnelles.

Analyse de métadonnées à grande échelle : les LLM permettent d'analyser des gigaoctets de documents publics (rapports annuels PDF, présentations de conférence) pour en extraire des informations structurées sur les technologies, les partenaires, et les projets en cours d'une organisation cible. Une capacité autrefois réservée aux États est maintenant accessible à n'importe quel acteur.

Pour approfondir le lien entre C2 frameworks et l'exploitation post-OSINT, consultez notre article sur les C2 frameworks 2026 : Mythic, Havoc et Sliver.

Questions fréquentes

Quelle est la différence entre OSINT et reconnaissance active ?

L'OSINT (Open Source Intelligence) se limite aux informations publiquement disponibles — aucun contact direct avec les systèmes de la cible. La reconnaissance active implique l'envoi de paquets vers la cible (scans nmap, requêtes vers des serveurs internes, brute-force DNS autoritaire). L'OSINT peut être réalisé légalement sur n'importe quelle cible ; la reconnaissance active nécessite une autorisation explicite.

Shodan est-il légal à utiliser sur des cibles tierces ?

Oui — Shodan indexe des informations déjà publiquement accessibles sur Internet. Consulter les données Shodan d'une IP tierce est légal, de la même façon que rechercher un site dans Google. En revanche, exploiter les vulnérabilités découvertes via Shodan sans autorisation constitue une infraction pénale (article 323-1 du Code pénal).

Comment protéger son organisation contre l'OSINT ?

La protection passe par la réduction de l'empreinte numérique : politique WHOIS privée, surveillance Shodan Monitor de ses propres plages IP, formation des employés à ne pas publier d'informations sensibles sur LinkedIn, rotation régulière des certificats TLS pour limiter l'accumulation dans les CT logs, et monitoring continu des fuites de données via HaveIBeenPwned API.

Quels sont les meilleurs outils OSINT gratuits pour débuter ?

Pour commencer : theHarvester (collecte emails/sous-domaines), Amass (découverte sous-domaines via CT logs), SpiderFoot (vue d'ensemble multi-sources), et crt.sh (interface web pour CT logs). Tous sont gratuits et open source. Le compte Shodan gratuit offre 100 requêtes/mois — largement suffisant pour s'initier. L'OSINT Framework à osintframework.com répertorie des centaines d'autres ressources gratuites.

L'OSINT peut-il être détecté par la cible ?

En phase strictement passive, non — la cible ne voit aucun trafic anormal. En phase semi-passive (consultation du site web, résolution DNS via résolveurs publics), le trafic est indiscernable d'un visiteur ordinaire. Seule la phase active (scans nmap, requêtes DNS autoritaires directes) génère des traces détectables dans les logs et peut déclencher des alertes SIEM.

Conclusion

L'OSINT n'est pas une niche de spécialistes — c'est une compétence fondamentale pour tout professionnel de la sécurité. Côté offensif, c'est la phase de reconnaissance qui détermine la qualité du ciblage et la crédibilité du prétexte d'ingénierie sociale. Côté défensif, ne pas pratiquer l'OSINT sur sa propre organisation, c'est naviguer à l'aveugle dans un paysage de menaces où vos adversaires cartographient votre infrastructure en permanence, automatiquement, gratuitement.

En 2026, l'IA a considérablement abaissé la barre d'entrée pour un adversaire déterminé. Ce qui compensait jadis le manque de ressources des petits acteurs — la complexité de la corrélation OSINT — a disparu. La réponse défensive est à la mesure du problème : automatiser la surveillance de votre empreinte numérique avec les mêmes outils que vos adversaires, et intégrer l'OSINT comme composante permanente de votre programme de threat intelligence.