L’essentiel en 5 points
- Toute attaque ciblée commence par une phase de reconnaissance passive : lire ce que vous exposez, sans toucher à vos systèmes.
- Cette phase ne déclenche aucune alerte. Elle se déroule dans des données déjà publiques : fuites, journaux de certificats, métadonnées, profils.
- Un simple document publié peut trahir des noms d’utilisateurs, des logiciels et des chemins internes via ses métadonnées.
- L’IA ne crée pas de nouvelle exposition, elle industrialise la collecte et la corrélation de ce qui est déjà visible.
- Cinq vérifications internes suffisent à mesurer une première fois votre surface, avant tout audit externe.
La réponse rapide
Ce que les attaquants voient de votre entreprise, c’est tout ce que vous publiez sans y penser : des adresses e-mail retrouvées dans d’anciennes fuites, des sous-domaines listés dans les journaux de certificats, les métadonnées d’un PDF mis en ligne, les profils publics de vos équipes, des indices sur votre hébergement. Cette collecte s’appelle la reconnaissance passive. Elle ne touche jamais votre système d’information, ne déclenche donc aucune alerte, et constitue la première étape de la quasi-totalité des attaques ciblées.
Cette surface se mesure, avec les mêmes sources ouvertes que celles qu’utilisent les attaquants. Cinq vérifications internes donnent une première photographie de ce que vous exposez, et un audit de surface externe complète le tableau quand l’enjeu le justifie. Le reste de cet article détaille ce qui est visible, pourquoi l’IA rend cette phase plus rapide, et par où commencer.
Reconnaissance passive : voir sans être vu
Une attaque ne commence presque jamais par une intrusion. Elle commence par de la lecture. Avant d’envoyer le moindre paquet vers vos serveurs, un attaquant méthodique construit une carte de votre organisation à partir de sources entièrement publiques. C’est ce qu’on appelle l’OSINT (open source intelligence) : le renseignement à partir de sources ouvertes.
L’intérêt de cette phase, du point de vue de l’attaquant, tient en un mot : la discrétion. Consulter un journal de certificats, télécharger un document déjà en ligne ou interroger une base de fuites publiques ne laisse aucune trace dans vos journaux. Vous ne pouvez pas détecter une reconnaissance que vous ne subissez pas directement. C’est précisément ce qui la rend efficace, et ce qui justifie de la traiter en amont plutôt que d’attendre le signal d’une intrusion.
Un point mérite d’être posé sans dramatisation : la reconnaissance passive ne compromet rien en elle-même. Elle prépare le terrain. Mais la qualité de cette préparation détermine souvent la suite. Un hameçonnage crédible, un mot de passe deviné, un service d’administration ciblé : tout cela s’appuie sur ce qui a été collecté en amont.
Ce qui est visible sans jamais toucher votre SI
Les profils publics de vos équipes. Un nom d’utilisateur suffit souvent à retrouver les comptes d’une même personne sur des dizaines de plateformes. Des outils publics et documentés parcourent plusieurs centaines de réseaux à partir d’un seul pseudonyme. Recoupés avec un organigramme reconstitué depuis les réseaux professionnels, ces profils dessinent qui fait quoi, qui décide, et qui serait la cible la plus rentable pour un hameçonnage ciblé.
Vos adresses dans les fuites de données. Les fuites d’identifiants s’accumulent et se recompilent. Une adresse professionnelle apparue dans une brèche ancienne reste exploitable des années plus tard, surtout si le mot de passe associé a été réutilisé. Un attaquant croise ces bases avec votre nom de domaine pour obtenir, en quelques secondes, une liste d’adresses valides et parfois de mots de passe candidats.
Vos sous-domaines. Chaque certificat TLS émis pour un de vos services est inscrit dans des journaux publics et permanents. Ces journaux, conçus pour la transparence, listent au passage vos sous-domaines, y compris ceux que vous pensiez discrets : environnements de test, interfaces d’administration, anciens services jamais coupés. Un service oublié mais toujours en ligne est une porte d’entrée classique.
L’empreinte de votre infrastructure. L’icône affichée dans l’onglet du navigateur (le favicon) possède une empreinte numérique. Cette même empreinte, recherchée à l’échelle d’internet, permet de relier entre eux des serveurs qui partagent la même configuration, donc souvent la même organisation. C’est une technique de corrélation publique qui aide à retrouver une infrastructure même quand elle est répartie sur plusieurs adresses.
Les métadonnées de vos documents. Un PDF, une présentation ou une image publiés sur votre site embarquent souvent des métadonnées invisibles à la lecture : nom de l’auteur et donc identifiant interne, logiciel et sa version, parfois chemin du fichier sur le poste d’origine. Ces fragments, anodins pris isolément, renseignent sur vos outils, vos conventions de nommage et votre organisation interne.
Pourquoi l’IA accélère cette phase
L’exposition décrite ci-dessus n’a rien de nouveau. Ce qui change en 2026, c’est la vitesse et l’échelle avec lesquelles elle est exploitée. La reconnaissance était historiquement un travail d’analyste : long, manuel, réservé aux attaquants patients et bien outillés. Relier un pseudonyme à une vraie identité, croiser une fuite avec un organigramme, trier plusieurs centaines de sous-domaines pour repérer le service vulnérable, tout cela prenait des heures.
L’IA industrialise ce recoupement. Un agent d’investigation enchaîne les collectes, normalise des sources hétérogènes et corrèle les signaux en continu, sans fatigue et à grande échelle. La conséquence pour un dirigeant n’est pas qu’une nouvelle faille apparaît, c’est que la reconnaissance ciblée cesse d’être un luxe réservé à quelques adversaires. Elle devient un traitement de routine, applicable à un grand nombre d’organisations en parallèle. La surface que vous exposiez déjà est désormais lue plus vite, plus souvent, et plus systématiquement.
Les cinq vérifications à faire vous-même
- Cherchez vos domaines dans les bases de fuites. Recensez les adresses de votre organisation présentes dans les compilations de fuites publiques. Toute adresse retrouvée impose au minimum une rotation de mot de passe et l’activation de l’authentification à deux facteurs.
- Listez vos sous-domaines via les journaux de certificats. Les journaux de transparence des certificats sont publics et interrogeables. Comparez la liste obtenue à votre inventaire réel : chaque sous-domaine que vous ne reconnaissez pas ou que vous croyiez éteint mérite une vérification.
- Inspectez les métadonnées de vos documents publics. Prenez quelques PDF et présentations en ligne et examinez leurs propriétés. Si des noms d’utilisateurs, des versions de logiciels ou des chemins internes apparaissent, mettez en place un nettoyage systématique avant publication.
- Vérifiez l’exposition de vos profils clés. Pour vos dirigeants et vos administrateurs techniques, mesurez ce qu’un tiers peut reconstituer : fonction, rattachements, adresses, comptes annexes. L’objectif n’est pas de disparaître, mais de savoir ce qui est lisible.
- Repérez vos services d’administration exposés. Identifiez les interfaces d’administration, accès distants et tableaux de bord accessibles depuis internet. Tout ce qui n’a pas besoin d’être public devrait être placé derrière un accès restreint.
Quand passer à un audit de surface externe
Ces vérifications internes donnent une première mesure, pas une cartographie complète. Quand elles révèlent une surface plus large qu’anticipé, ou à l’approche d’un événement exposant (mise en ligne de nouveaux services, levée de fonds, croissance rapide des équipes), un audit de surface externe prend le relais. Il cartographie l’exposition de façon systématique, distingue le résiduel du critique, et produit une liste de correctifs priorisés. Parce qu’il s’appuie sur des données déjà publiques, il se conduit sans jamais interrompre votre production.
Colombani.ai réalise ce type d’audit de sécurité IA (cartographie de surface externe, tests d’intrusion assistés par agents, couvert par une assurance RC Pro dédiée aux tests d’intrusion) et forme les équipes techniques via la formation Sécurité des agents IA (reconnaissance, OWASP LLM Top 10, red teaming), certifiée Qualiopi et finançable OPCO.