1. Reconnaissance : fondements conceptuels de la veille adverse
Avant de parler de 0‑day, de ransomware ou de supply chain, un attaquant commence par quelque chose de beaucoup plus basique : regarder ce qui dépasse. La reconnaissance, c’est ce travail préparatoire de renseignement où l’on collecte, trie et corrèle tout ce qu’une cible laisse visible sur Internet, volontairement ou non.
Concrètement, la reconnaissance est le processus d’acquisition d’informations sur une cible avant l’attaque proprement dite. Elle porte simultanément sur trois axes :
- Le système d’information : topologie, adressage, services exposés, interconnexions, dépendances techniques.
- Les applications : technologies utilisées, versions, chemins d’URL, comportements, intégrations tierces.
- Le facteur humain : personnes clés, habitudes de travail, niveaux de privilèges, signaux exploitables pour l’ingénierie sociale.
[ STRATÉGIE_DE_DÉFENSE ]
Plus la cartographie est fine, plus l’attaque peut être ciblée et difficile à attribuer. Comprendre cette veille est la clé pour passer d’une posture réactive, où l’on subit les alertes, à une posture proactive où l’on réduit activement ce que l’adversaire peut découvrir, tester et exploiter.
2. Reconnaissance passive vs reconnaissance active
Dans la pratique, les attaquants ne « scannent » pas au hasard : ils orchestrent un va‑et‑vient continu entre une reconnaissance passive très large et une reconnaissance active beaucoup plus ciblée. La première leur donne la carte, la seconde leur donne les portes précises à enfoncer.
2.1. Reconnaissance passive
La reconnaissance passive consiste à collecter des informations sur une cible sans jamais lui parler directement. Aucun paquet n’est envoyé vers l’infrastructure visée : tout se fait à partir de sources déjà disponibles quelque part sur Internet.
Dans cette catégorie, on retrouve notamment :
- L’OSINT classique : moteurs de recherche, Google dorks, caches, archives DNS, transparence des certificats, registres WHOIS, open data.
- Les traces techniques indexées par des tiers : Shodan, Censys, GreyNoise et autres scanners qui ont déjà parcouru l’Internet pour vous.
- Les empreintes humaines et organisationnelles : LinkedIn, GitHub, annonces de recrutement, communiqués de presse, organigrammes, fuites de dépôts publics.
C’est exactement ce que décrit la formule « Internet vous voit déjà » : si un service répond sur Internet, il a déjà été vu, scanné et catalogué par des routines automatiques. Pour l’attaquant, cette approche offre en pratique une discrétion opérationnelle très élevée, difficile à repérer sans outils de corrélation avancés, et un profilage global avec un risque limité à ce stade.
2.2. Reconnaissance active
La reconnaissance active commence au moment où l’attaquant accepte d’entrer en contact direct avec la cible. Elle se traduit par l’envoi de requêtes ou de paquets vers les systèmes de l’organisation pour valider les hypothèses issues de la phase passive.
- Scans de ports (TCP/UDP) : pour identifier ce qui est réellement ouvert en temps réel.
- Bannière grabbing : pour récupérer les versions exactes des services et logiciels.
- Tests d’authentification : bruteforce ou credential stuffing ciblé sur des interfaces repérées en amont.
- Fuzzing applicatif : pour détecter injections, débordements et comportements anormaux des serveurs.
Cette phase est plus précise, mais aussi beaucoup plus bruyante : elle laisse des traces dans les logs, peut déclencher des alertes IDS/WAF ou remonter dans les télémétries EDR/XDR. D’où l’usage de techniques « low and slow » pour tenter de se fondre dans le bruit de fond du trafic légitime.
2.3. Tableau de synthèse
| Caractéristique | Reconnaissance passive | Reconnaissance active |
|---|---|---|
| Mécanisme | Indirect (sources tierces, index, observation) | Direct (probes, scans, requêtes vers la cible) |
| Origine des données | OSINT, archives, scans tiers (Shodan, etc.) | Réponses temps réel des systèmes cibles |
| Visibilité cible | Très faible | Risque de détection élevé |
| Objectif principal | Profilage global, cartographie | Validation et identification de failles |
| Risque attaquant | Limité (difficile à tracer) | Élevé (blocages, traces logicielles) |
CONSTAT TACTIQUE — Les groupes avancés maximisent la phase passive pour savoir exactement où frapper, puis déclenchent une reconnaissance active minimale avant l'exploitation finale.
3. OSINT et empreintes numériques institutionnelles
L’Open Source Intelligence, c’est tout ce que vous laissez traîner à l’air libre et que n’importe quel attaquant un minimum motivé peut recoller en une carte d’attaque crédible. Certificats TLS, enregistrements DNS, offres d’emploi, profils LinkedIn, dépôts Git publics : pris isolément, ce sont des détails. Mis bout à bout, ils dessinent une topologie et des dépendances critiques.
Concrètement, les attaquants exploitent trois couches distinctes :
- Les couches techniques : transparence des certificats, archives DNS, WHOIS, bannières collectées par Shodan/Censys qui montrent ce qui répond réellement sur le réseau.
- Les couches humaines et organisationnelles : organigrammes LinkedIn, annonces de recrutement détaillant précisément les technos (admin PostgreSQL 13, expert Cisco ASA 9.x), conférences ou slides exposant la surface d’attaque.
- Les couches « secrets et glue » : clés API ou tokens oubliés dans un dépôt GitHub public, fichiers .env poussés par erreur, scripts de debug ou bouts de configuration CI/CD.
[ DIAGNOSTIC : RECONNAISSANCE_SILENCIEUSE ] L’objectif est de transformer chaque erreur d’exposition ou de communication en raccourci : un accès RDP qu’on pensait discret ou un sous‑domaine de pré‑prod jamais durci. Une fois cette empreinte consolidée, il devient beaucoup plus simple de relier les points et de choisir un point d’entrée.
4. Industrialisation de la veille : Shodan, Censys et automatisation
Pendant que vous dormez, des moteurs comme Shodan, Censys ou GreyNoise balayent l’Internet en continu, capturent les bannières de services et les certificats TLS. Un attaquant n’a plus besoin de lancer lui‑même un scan massif : il interroge ces bases et obtient une photographie à faible latence de votre surface exposée.
C’est l’industrialisation de la veille cybercriminelle :
- Routines automatiques : des bots scannent et cataloguent ce qui répond. Comme l’a documenté GreyNoise, des campagnes coordonnées peuvent mobiliser des centaines d’IP (parfois hébergées sur des infrastructures cloud majeures) pour industrialiser la collecte de bannières sans interaction directe de l'attaquant final.
- Consommation d’API : des scripts surveillent en continu l’apparition de nouveaux services, de nouveaux certificats ou de fuites de configuration pour une organisation donnée via des requêtes programmatiques.
- Corrélation temps réel : ces résultats sont croisés avec les bases de vulnérabilités (CVE, NVD, EUVD) pour produire des listes de cibles prêtes à exploiter sans jamais avoir utilisé nmap.
4.1. Shodan comme reconnaissance « déléguée »
Shodan fonctionne comme un banner grabbing global. Interroger cet index revient à effectuer une reconnaissance active par procuration : le scan a déjà eu lieu, l'attaquant ne fait que fouiller dans le cache de l'Internet.
| Filtre Shodan | Utilité pour la veille cybercriminelle |
|---|---|
port:3389 |
Identifier instantanément les accès RDP exposés sur Internet. |
os:"Windows 7" |
Cibler les systèmes obsolètes et vulnérables, souvent sans support. |
org:"Nom de l'org" |
Isole l’infrastructure publique d’une organisation spécifique. |
has_screenshot:true |
Trouver des interfaces graphiques (RDP, VNC, admin panels) accessibles. |
ssl.cert.expired:true |
Repérer une hygiène de maintenance dégradée et une inertie technique. |
[ VERDICT : CONTINUOUS_RECON ]
Dans les playbooks modernes, ces requêtes sont intégrées à des scripts qui alertent dès qu’un nouvel hôte correspond à un pattern donné. La reconnaissance devient un flux continu de données, prêt à être croisé avec des vulnérabilités fraîchement publiées.
// Patch diffing et TTE négatif
5. Veille sur les vulnérabilités : patch diffing et TTE négatif
La veille des groupes avancés ne s’arrête pas à lire les CVE. Elle consiste à disséquer les correctifs pour comprendre exactement ce qui a été réparé via le patch diffing. En alignant les fonctions modifiées, les attaquants peuvent isoler le bloc de code et générer l'exploit souvent sans disposer du code source original.
Ce processus déplace la fenêtre d’opportunité vers les 1‑day / n‑day : ces vulnérabilités corrigées sur le papier mais non encore patchées dans la majorité des systèmes d'information.
On parle parfois, de manière imagée, de Time‑to‑Exploit (TTE) proche de zéro voire négatif.
Cela décrit des situations où les exploits apparaissent dans les heures qui suivent la publication d’un correctif, bien avant que la plupart des organisations n’aient pu déployer les mises à jour. Chaque cycle de correctifs majeur (Patch Tuesday et autres) devient ainsi une opportunité rapide pour l'adversaire. Toute latence dans vos processus de mise à jour se traduit par une fenêtre d’attaque parfaitement documentée.
6. Marché souterrain de l’information
La veille n’est pas qu’un sport individuel mené par quelques isolés du reverse-engineering. Elle s’appuie sur une véritable économie de l’information régulièrement observée sur le Dark Web, où chaque acteur se spécialise dans une brique précise du pipeline d’attaque.
- Les Initial Access Brokers (IAB) : ces acteurs industrialisent la phase d’intrusion initiale. Ils revendent des accès clés en main (VPN, RDP, Azure) avec des annonces détaillant le niveau de privilège, la localisation géographique et la taille de l’entreprise cible.
- Les vendeurs de logs d’infostealers : ils monétisent les données aspirées par des malwares (RedLine, Vidar). Des millions de logs sont régulièrement observés sur certaines marketplaces, chacun correspondant à un poste compromis contenant cookies de session active, identifiants et empreintes système.
[ ANALYSE_D_IMPACT ] Cette économie permet à des attaquants d'acheter un accès déjà validé. En combinant l'accès d'un IAB et les logs d'un stealer, un groupe réduit drastiquement le délai entre la compromission initiale et l’impact final, facilitant le contournement des mesures de sécurité traditionnelles comme le MFA par le vol de session.
VERDICT B2B — Le marché souterrain joue pour les attaquants le même rôle que les plateformes B2B pour les entreprises légitimes. Il mutualise la veille et fluidifie la circulation des accès.
7. Veille humaine et ingénierie sociale
L’ingénierie sociale est une forme de veille appliquée au facteur humain. Les attaquants scrutent les signaux faibles : changements de domaines, réorganisations internes, fusions‑acquisitions (M&A). Chaque mouvement devient un prétexte crédible pour une campagne de spear‑phishing (ex: migration urgente vers un nouveau SSO).
Parallèlement, les cybercriminels développent une veille spécifique aux insiders.
Comme l’a documenté Check Point fin 2025, des annonces proposent entre 3 000 et 15 000 dollars à des employés (banques, télécoms, cloud) en échange d’un accès interne ou d’un dump. Une fois l’insider recruté, une grande partie des défenses techniques peut être court‑circuitée, rendant la détection comportementale interne indispensable.
8. Bots de sondage et attaques « low and slow »
Une partie du travail est désormais déléguée à des probing bots qui énumèrent des URLs (/admin, /backup, /config, /.env) et analysent la réaction de l’application. Pour rester sous les radars, ces bots adoptent des tactiques low and slow :
- Espacement temporel : requêtes espacées avec des délais aléatoires pour éviter les pics détectables dans les métriques de trafic.
- Distribution IP massive : trafic réparti sur de larges botnets, chaque adresse IP n’envoyant que quelques requêtes apparemment anodines.
- Imitation comportementale : les patterns miment la navigation humaine (séquençage, temps de lecture), rendant le filtrage par signature inefficace.
[ ANALYSE_DE_RISQUE ] Ces campagnes préparent silencieusement le terrain pour l’étape finale : exfiltration discrète ou déni de service applicatif à bas bruit. Sans corrélation longue durée et analyse comportementale robuste, elles se fondent totalement dans le bruit statistique de l'activité légitime.
9. Veille spécifique aux environnements cloud et Kubernetes
La reconnaissance s’étend désormais aux chaînes d’approvisionnement logicielles (npm, PyPI, Docker Hub) et aux pipelines CI/CD où transitent clés et tokens de haute importance.
Des études techniques (CNCF / TAG Security) ont identifié plus de 1 600 images malveillantes ou piégées sur Docker Hub, confirmant que les registres publics sont régulièrement utilisés comme vecteur d’attaque pour tenter de s’échapper d’un conteneur et viser le cluster sous‑jacent.
[ CRITICAL_TARGET : CI/CD_PIPELINES ] La veille consiste aujourd'hui à repérer la moindre fuite de secret dans les couches outillage et déploiement. Un seul token compromis dans un pipeline peut, dans certains cas, ouvrir la voie à un contrôle très large d’un tenant Cloud ou à l'injection de code malveillant chez les clients finaux.
10. Focus France : panorama ANSSI 2023
Le Panorama de la cybermenace 2023 de l’ANSSI confirme la professionnalisation de la chaîne d’attaque. L’agence constate une hausse d’environ 30% des attaques par rançongiciel portées à sa connaissance par rapport à l'année précédente.
La distribution des victimes est révélatrice : les collectivités territoriales représentent 24% des cas. En clair, la France voit les rançongiciels viser en priorité les acteurs très exposés mais peu armés : collectivités, structures de santé et PME/ETI.
[ CONSTAT_TACTIQUE ] Les groupes investissent davantage dans la qualité de leur veille (réutilisation d'accès IAB, exploitation de vulnérabilités récentes) que dans la seule sophistication technique des charges utiles.
11. Transformer la veille en arme défensive
Face à l’industrialisation de la reconnaissance adverse, la réponse ne peut être uniquement périmétrique. Elle doit devenir proactive en utilisant les propres méthodes de l’attaquant pour durcir le Système d'Information (SI).
11.1. Attack Surface Management (ASM)
L’ASM consiste à cartographier en continu tous les actifs exposés (domaines, sous-domaines, IPs, SaaS, Shadow IT) tels qu’ils apparaissent depuis Internet.
L’idée n’est plus de se fier uniquement à une CMDB interne souvent théorique, mais de s’aligner sur la vision externe réelle qu’ont Shodan, Censys et consorts de votre SI. Cela permet de découvrir les serveurs de staging oubliés ou les outils SaaS non déclarés avant qu’ils ne soient indexés par un attaquant.
11.2. Cyber‑déception et honeypots
La cyber‑déception inverse le rapport de force : au lieu de réduire la surface, elle l'augmente volontairement avec des actifs trompeurs (honeypots, faux services, honeytokens) pour retourner la reconnaissance contre l'adversaire.
- Capteurs d'intrusion : un serveur factice ressemblant à une base de données critique ou un faux compte VPN devient un capteur d'alerte immédiat dès la première tentative de scan.
- Complexification du parcours : le déploiement de décoys indiscernables du SI réel rend la phase de reconnaissance extrêmement coûteuse, risquée et lente pour l'attaquant.
- Honeytokens : disséminer des clés API ou des documents "leurres" permet d'identifier instantanément une exfiltration ou un accès non autorisé à un environnement sensible.
[ ARCHITECT_CONCLUSION ] Tant que les défenseurs n’auront pas industrialisé leur propre veille — ASM, contre‑OSINT et déception — les attaquants conserveront l’avantage informationnel décisif.
Conclusion
La veille cybercriminelle n’est pas un détail périphérique, c’est l’ossature de l’attaque. Les groupes sophistiqués investissent massivement dans la capacité à voir plus vite que la défense.
Si un service répond sur Internet, il est déjà intégré dans la veille de quelqu’un. La réponse doit transformer la visibilité en arme défensive par une hygiène de fabrication qui traite chaque nouvelle exposition comme un choix stratégique.
Sources et ressources pour aller plus loin
Les sources ci‑dessous sont classées par rapports de référence et ressources techniques complémentaires.
Les sources ci‑dessous sont classées par rapports de référence et ressources techniques complémentaires.
Rapports et organismes de référence
- ANSSI : Panorama de la cybermenace 2023 (PDF)
- ENISA : Threat Landscape 2024
- ENISA / EUVD : Vulnerability Disclosure & European Vulnerability Database
- GreyNoise : Analyses sur l'industrialisation du scan
- Check Point Research : Recrutement d'insiders (2025)
- CNCF / TAG Security : Malicious Images on Docker Hub
Pour vulgariser et approfondir
- CISA : Cybersecurity Resources & Tools
- Bellingcat : Guides OSINT et investigation
- Shodan AIO : Comprehensive OSINT reference
- StepSecurity : CI/CD Incidents Database
- Wikipedia : Initial access broker definition
Mettre l’architecture et la sécurité au centre de vos projets
Découvrez itylos.com, un laboratoire d’expérimentations autour de la messagerie souveraine et de l’automatisation sécurisée, pensé pour réduire l’impact des mêmes vecteurs de reconnaissance que ceux décrits dans cet article.