// CLUBIC — MOBILE & WEB
Réseaux sociaux et OSINT : ce que vos employés révèlent sans le savoir sur votre entreprise
Sans jamais forcer une seule serrure numérique, un cybercriminel peut cartographier une PME entière à partir des publications de ses propres salariés sur LinkedIn, Facebook et les forums d’emploi, avant de préparer une fraude au président ou un phishing ciblé.
Avant une fraude au président, un attaquant n’a pas besoin de pirater quoi que ce soit. Il lui suffit de savoir lire. Sur LinkedIn, votre organigramme et la date d’arrivée de votre comptable circulent probablement. Il peut aussi consulter vos habitudes de déplacement sur Facebook, puis les avis que d’anciens salariés laissent sur des forums de recrutement. Cette collecte porte un nom, l’OSINT, pour renseignement en sources ouvertes. Sans coût pour l’attaquant et sans trace dans vos journaux de connexion, la moindre publication anodine de vos équipes peut devenir une donnée exploitable. Avec une simple vigilance sur les informations volontairement laissées en ligne par votre entreprise, vous pourrez réduire cette exposition sans budget technique ni compétence en cybersécurité.
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Par défaut, et on a tendance à l’oublier, un profil LinkedIn affiche le poste exact d’un salarié et le nom de son manager direct. Multipliée par vos vingt ou cinquante employés, cette fiche peut recomposer un organigramme complet, du comptable au dirigeant. Avant de choisir son interlocuteur, un fraudeur commence généralement par cette collecte. Il va ensuite créer une adresse proche de la vôtre pour tenter de pousser votre comptable vers un virement urgent et confidentiel.
Il peut aussi en apprendre plus sur vos fournisseurs et partenaires habituels grâce à une liste de relations professionnelles afichées sur le profil ou dans un post. Très utile pour une arnaque au faux fournisseur. Un fraudeur repère alors le bon moment pour glisser, dans une facture d'apparence légitime, un changement de coordonnées bancaires.
En période de congés ou de déplacement, quand personne ne décroche pour vérifier, les escrocs sont susceptibles de frapper en priorité. Vos publications de voyage et vos messages d’absence automatiques donnent, sans que vous le sachiez, des renseignements précieux sur ces périodes creuses.
Sur Facebook, lorsque vos collaborateurs identifient leurs collègues sur une photo d’équipe prise à l’occasion d’une réunion ou d'un séminaire, ils complètent l’organigramme de votre société que le cyberpirate n’a plus qu’à reconstituer depuis LinkedIn.
Par la seule fraude au président, un réseau démantelé début 2026 avait détourné soixante et un millions d’euros en un an.
En parcourant une offre d’emploi pour un administrateur SAP ou un ingénieur Salesforce, un attaquant est capable de repérer les logiciels installés chez vous. De cette liste, il peut tirer les vulnérabilités connues à tester en priorité, avant toute tentative d’intrusion technique.
Vos salariés sont certainement nombreux à être inscrits sur les réseaux sociaux et à alimenter leurs fils d’actualité de leurs activités, que ce soit sur leur vie privée ou professionnelle.
Postée depuis la plage, une story publiée sur Facebook ou Instagram peut signaler, sans le vouloir, une absence de deux semaines à leur poste ou que l’entreprise est fermée. Le lieu et l’heure sont en plus vérifiables simplement grâce à l’horodatage des publications. Certains d'entre eux publient sans réfléchir aux conséquences des photos qui contiennent des coordonnées GPS intégrées dans le fichier, invisibles à l'écran mais lisibles facilement.
Idem pour le badge d'accès en arrière-plan d'une photo de bureau qui donne des informations sur le système de sécurité physique du site.
Ces fragments suffisent pour établir le calendrier de vos absences.
Mais les escrocs peuvent aussi exploiter l’intelligence artificielle pour pousser cette collecte plus loin. Lors d’une visioconférence truquée, un cabinet d’ingénierie britannique installé à Ho