Méthodologie OSINT

La recherche en sources ouvertes fournit souvent le lien que l’analyse on-chain ne peut pas apporter : une publication dans laquelle un suspect a diffusé une adresse, l’historique d’enregistrement d’un site web frauduleux, les conditions d’utilisation archivées d’un service. Mais une capture d’écran prise à la hâte, sans URL, sans heure ni trace de la manière dont elle a été trouvée, constitue une pièce fragile et une cible facile. Cette leçon explique comment planifier une recherche en sources ouvertes, la mener sans exposer l’enquête, recueillir des éléments avec leur provenance et documenter les résultats afin qu’un tribunal puisse s’y fier.

Informations, renseignements et preuves en sources ouvertes

Le Protocole de Berkeley sur les enquêtes numériques en sources ouvertes, publié en décembre 2020 par le Human Rights Center de la faculté de droit de l’UC Berkeley et le Haut-Commissariat des Nations Unies aux droits de l’homme, est la principale référence internationale pour les enquêtes en sources ouvertes destinées à des procédures judiciaires. Il établit des distinctions qu’il est utile d’adopter :

• Les informations en sources ouvertes sont des informations que tout membre du public peut observer, acheter ou demander, sans statut juridique particulier ni accès non autorisé.
• Les renseignements en sources ouvertes (OSINT) sont des informations en sources ouvertes principalement utilisées pour appuyer des décisions, par exemple pour déterminer où concentrer les recherches ou quelles informations demander.
• Les preuves en sources ouvertes sont des informations en sources ouvertes ayant une valeur probante et susceptibles d’être invoquées pour établir des faits dans le cadre d’une procédure.

Dans une affaire liée aux cryptomonnaies, la plupart des renseignements OSINT restent des renseignements : ils indiquent quel service contacter ou quel sujet examiner. Seuls les éléments recueillis et préservés selon une norme probatoire peuvent devenir des preuves. Prévoyez-le dès la première recherche, car une page qui disparaît ne pourra pas être recueillie une seconde fois.

Concernant l’emplacement des données, la Convention de Budapest autorise une Partie à accéder aux données informatiques stockées qui sont accessibles au public (sources ouvertes), quel que soit l’endroit où elles se trouvent géographiquement (article 32(a)). Les règles nationales applicables aux recherches en ligne menées par les enquêteurs s’appliquent également et varient selon les pays ; elles sont définies par les conseillers juridiques de l’unité.

Planification : le cycle du renseignement

Le travail en sources ouvertes suit le cycle du renseignement classique : orientation (que devons-nous savoir ?), collecte, traitement, analyse, diffusion et retour d’information pour définir une nouvelle orientation. Le Protocole de Berkeley décrit les étapes de l’enquête comme des recherches en ligne, une évaluation préliminaire, la collecte, la préservation, la vérification et l’analyse d’enquête.

Avant d’effectuer des recherches, rédigez un plan de collecte succinct dans le dossier d’enquête :

Le plan permet de concentrer les recherches sur ce qui est nécessaire pour répondre à la question, conformément au principe de minimisation des données, que le Protocole de Berkeley énumère parmi ses principes méthodologiques aux côtés de l’exactitude, de la préservation et de la sécurité dès la conception. Il permet également à l’examinateur de répondre si on lui demande pourquoi une source a été consultée ou non.

Posture de recherche : attribuable, non attribuable et clandestine

La manière dont l’enquêteur apparaît en ligne compte tant pour sa sécurité que pour l’affaire.

Le Protocole de Berkeley demande aux enquêteurs de minimiser leur empreinte numérique et aux organisations de fournir une infrastructure correctement anonymisée et non attribuable aux chercheurs qui vont en ligne. Il leur demande également d’éviter les manœuvres trompeuses, comme l’adhésion à des groupes fermés sous de faux prétextes, qui peuvent porter atteinte au droit à la vie privée et compromettre une enquête ; ce type de travail nécessite sa propre autorisation. Même une recherche d’adresse suspecte sur un explorateur public indique à son opérateur qu’une personne s’y intéresse ; effectuer les recherches sensibles sur son propre nœud permet d’éviter cela (voir la leçon IDFE-BA API de nœuds et accès aux données et la leçon Éthique, vie privée et sécurité des enquêteurs).

Techniques de recherche

Les moteurs de recherche proposent des opérateurs qui permettent d’affiner les résultats. La syntaxe et la prise en charge varient selon les moteurs et évoluent avec le temps ; consignez donc la chaîne de recherche exacte avec chaque résultat.

Conseils pratiques pour les affaires liées aux cryptomonnaies :

• Recherchez les adresses complètes, avec et sans guillemets, sur plusieurs moteurs, ainsi que dans les dépôts de code et les sites de partage de texte. Les adresses sont des chaînes longues et uniques ; un résultat pertinent est donc rarement une coïncidence, même s’il peut s’agir d’une copie (voir la leçon Relier les identifiants on-chain et off-chain).
• Recherchez les pseudonymes et leurs variantes : tirets bas, chiffres, substitutions courantes.
• Consultez les archives Web. La Wayback Machine d’Internet Archive et d’autres archives conservent d’anciennes versions de pages, souvent antérieures à la suppression des adresses de dépôt d’un site frauduleux ou à la modification d’une publication par un utilisateur du forum. Les copies archivées sont elles-mêmes des captures effectuées par des tiers ; indiquez l’URL de l’archive et l’heure de capture telle que consignée par celle-ci.
• Effectuez les captures d’abord, analysez ensuite. Les pages en ligne changent et disparaissent, parfois parce que le sujet a remarqué l’intérêt qu’on lui porte.

Collecte avec provenance

Chaque élément recueilli doit être accompagné d’informations suffisantes pour établir par la suite de quoi il s’agissait, d’où il provenait, quand et comment il a été capturé, et qu’il n’a pas été modifié. Le guide Best Practices for Acquiring Online Content de SWGDE (document 21-F-001) recommande de capturer la séquence complète des URL, de consigner les dates, les heures et le fuseau horaire de l’accès, de préserver les métadonnées, de hacher chaque fichier acquis à l’aide d’algorithmes approuvés par le NIST, et de documenter l’examinateur, le navigateur et l’adresse IP utilisée pour l’accès. Le Protocole de Berkeley ajoute que les enquêteurs doivent consigner les outils et logiciels utilisés.

Exemple d’entrée dans un journal de collecte :

{
  "item_id": "OS-0007",
  "case_id": "CF-2026-0142",
  "url": "https://forum.example/t/48213?page=3#post-912",
  "query": "\"bc1q…7k3f\" site:forum.example",
  "captured_utc": "2026-03-06T10:41:12Z",
  "method": "capture de page complète + source HTML + WARC",
  "tool": "outil de capture en sources ouvertes v3.2, navigateur 128",
  "files": [
    {"name": "OS-0007.warc.gz", "sha256": "5b0e…11d4"},
    {"name": "OS-0007.png", "sha256": "c3a9…7e20"}
  ],
  "archive_copy": "copie d’archive Web demandée le 2026-03-06T10:44Z",
  "posture": "non attribuable, hôte de recherche RH-2",
  "collector": "EX-07",
  "note": "publication datée du 2023-11-14 affichant l’adresse dans la signature de l’utilisateur"
}

L’entrée consigne l’URL complète, y compris l’ancre de la publication, la requête exacte qui a permis de la trouver, l’heure de capture en UTC et la méthode de capture. Elle conserve trois formes de la page : un fichier WARC (format d’archive Web normalisé sous la référence ISO 28500), qui préserve l’échange HTTP et est difficile à contester ; une capture d’écran compréhensible pour le lecteur ; et le code source HTML. Chaque fichier possède un hachage SHA-256 calculé au moment de la capture. Demander au même moment une copie indépendante à une archive fournit une trace provenant d’un tiers. La note distingue la date affichée sur la publication, qui est une information fournie par la plateforme, de l’heure de capture, qui correspond à l’observation de l’examinateur.

Vérification et analyse

Les éléments recueillis restent des affirmations jusqu’à leur vérification. Le Protocole de Berkeley demande aux enquêteurs d’établir si les informations sont authentiques et d’évaluer chaque élément selon sa fiabilité, sa pertinence et sa valeur probante. Une structure pratique consiste à examiner la source (qui l’a publiée, et le compte est-il authentique et établi ?), le contenu (est-il cohérent en lui-même et avec les autres informations ?) et les traces techniques (métadonnées, structure de la page, historique de l’archive). Pour l’OSINT liée aux cryptomonnaies, la chaîne offre une vérification indépendante solide : si une publication datée de novembre 2023 affiche une adresse, cette adresse existait-elle à ce moment-là et son activité était-elle cohérente avec la publication ? Une publication qui affiche une adresse avant que celle-ci ait reçu ses premiers fonds est plus révélatrice qu’une publication apparue après une alerte publique, lorsque n’importe qui aurait pu la copier.

L’analyse examine ensuite les différentes explications possibles : l’auteur contrôle l’adresse ; l’auteur l’a copiée ; le compte a été usurpé ou compromis. Consignez chaque hypothèse, ainsi que les éléments qui l’étayent et ceux qui la contredisent, puis évaluez le niveau de solidité du lien établi (voir la leçon De l’adresse à l’entité, puis à la personne).

Documenter l’OSINT pour le tribunal

Une pièce issue de sources ouvertes est défendable lorsqu’un autre examinateur peut suivre le même parcours et vérifier chaque élément. Le dossier d’enquête doit contenir :

1. Le plan de collecte et ses éventuelles modifications, accompagnés de leurs raisons.
2. Le journal de collecte, avec les hachages, et les fichiers capturés dans un espace de stockage sécurisé, conformément à la chaîne de possession (voir les leçons Préserver les preuves on-chain et Hachage, journalisation et chaîne de possession).
3. Des notes prises au moment des faits, y compris les recherches qui n’ont rien donné, lesquelles sont importantes lorsque la défense demande ce qui a été examiné d’autre.
4. Les étapes de vérification et leurs résultats pour chaque élément invoqué.
5. Une déclaration indiquant la posture adoptée et toute interaction, confirmant qu’aucun accès non autorisé ni aucune manœuvre trompeuse n’a eu lieu.

Dans le rapport, citez chaque élément à l’aide de son identifiant, ne reprenez que les passages nécessaires et masquez les informations concernant les personnes non concernées. Conservez les informations identifiantes concernant des personnes privées dans une annexe à accès restreint, comme l’explique la leçon IDFE-BA Protection des données, éthique et divulgation responsable.

Points clés pour l’examen : les informations, les renseignements et les preuves en sources ouvertes tels que définis dans le Protocole de Berkeley (2020), ainsi que ses étapes d’enquête ; l’article 32(a) de la Convention de Budapest sur les données accessibles au public ; le cycle du renseignement et un plan de collecte écrit comportant des règles d’arrêt ; les postures attribuable, non attribuable et clandestine, et les raisons pour lesquelles les activités clandestines nécessitent une autorisation spécifique ; les opérateurs de recherche et la consignation de la requête exacte ; les archives Web et la réalisation des captures avant l’analyse ; les enregistrements de collecte comportant l’URL complète, l’heure UTC, la méthode, la version de l’outil, les hachages SHA-256 et le format WARC (ISO 28500), conformément à SWGDE 21-F-001 ; la vérification de la source, du contenu et des éléments techniques, ainsi que l’utilisation de la chaîne pour vérifier les affirmations datées ; le contenu d’un dossier OSINT prêt à être présenté devant un tribunal.