Le renseignement sur la menace se vend souvent sous forme de flux : indicateurs de compromission, alertes de fuite, rapports sur des groupes d'attaquants. Beaucoup d'organisations s'abonnent, lisent les premières semaines, puis cessent. Le problème n'est pas la qualité du renseignement. C'est qu'il n'est relié à rien : ni à l'analyse de risque, ni au plan d'actions. Un renseignement qui ne change aucune décision est une lecture, pas une capacité.
Ce que recouvrent les offres du marché
Les flux de renseignement technique fournissent des indicateurs (adresses, domaines, empreintes de fichiers) destinés à des outils de détection. Ils supposent un SOC capable de les intégrer.
La surveillance des fuites et de l'exposition recherche les identifiants divulgués, les domaines usurpant votre marque, les journaux de logiciels voleurs d'informations mentionnant vos comptes. Elle produit des alertes directement actionnables.
Le renseignement stratégique caractérise les modes opératoires qui visent votre secteur. Il intéresse la direction et l'analyse de risque.
Pour une PME ou une ETI sans SOC, la deuxième catégorie apporte le plus de valeur immédiate. La première n'a de sens qu'avec une capacité de détection.
Le chaînon manquant
Le rapport DBIR 2026 de Verizon relève que la moitié des victimes de rançongiciel avaient connu, dans les 95 jours précédents, un événement de vol d'identifiants ou d'infection par un logiciel voleur d'informations. Ce chiffre dit deux choses : le signal existe souvent avant l'attaque, et il n'est pas exploité.
La raison est organisationnelle. L'alerte arrive dans une boîte de messagerie, sans responsable désigné, sans lien avec le registre des risques, sans action datée. L'ISO/IEC 27001:2022 a d'ailleurs introduit un contrôle dédié au renseignement sur les menaces : il ne demande pas de collecter, il demande d'analyser et d'exploiter.
Comparatif
| Dimension | Abonnement à un flux | Veille ponctuelle | Dispositif relié au risque |
|---|---|---|---|
| Couverture | Large, générique | Instantané | Ciblée sur vos surfaces |
| Destinataire | Outil de détection | Rapport | Responsable désigné |
| Effet sur l'analyse de risque | Aucun | Éventuel | Mise à jour des sources de risque et des scénarios |
| Effet sur le plan d'actions | Aucun | Recommandations | Actions datées et affectées |
| Preuve ISO 27001 | Abonnement | Rapport | Trace de l'analyse et des décisions |
Notre approche
- Six surfaces surveillées : domaines approchants, certificats émis, actifs exposés, identifiants et données divulgués, empreinte organisationnelle, exposition des fournisseurs critiques.
- Une surveillance des fuites outillée : le module de veille cyber de GALEA s'appuie sur un partenaire spécialisé dans la surveillance des fuites de données et de l'usurpation de noms de domaine.
- Un lien direct avec l'analyse de risque : une exposition détectée devient une source de risque ou une donnée d'entrée dans les ateliers EBIOS RM conduits dans GALEA, et une mesure inscrite au plan d'actions avec un responsable et une échéance.
- Une restitution lisible : identifiants exposés, postes infectés, journaux de vol d'informations, présentés pour qu'une direction comprenne ce qu'ils impliquent et ce qu'il faut décider.
- Une expérience internationale : nous conduisons aussi ces analyses pour des organisations aux Émirats arabes unis, via notre partenaire Velocity MENA.
Les limites que nous respectons
Le renseignement en sources ouvertes s'arrête là où commence l'intrusion. Nous ne testons aucun système qui n'appartient pas au client, nous n'achetons pas de données volées, et nous traitons les données personnelles issues de fuites conformément au RGPD : finalité définie, conservation limitée, accès restreint. L'accès frauduleux à un système de traitement automatisé de données est réprimé par les articles 323-1 et suivants du code pénal, y compris lorsqu'il est motivé par une intention défensive.
Vous voulez savoir ce qu'un attaquant voit de votre organisation ? Un premier relevé d'exposition, restitué en une heure, suffit souvent à identifier deux ou trois actions prioritaires.
Questions fréquentes
Faut-il un SOC pour faire de la CTI ?
Non, pour la surveillance de l'exposition et des fuites. Oui, pour exploiter des flux d'indicateurs techniques en détection.
Que faire quand des identifiants de collaborateurs apparaissent dans une fuite ?
Réinitialiser les comptes concernés, révoquer les sessions actives, vérifier que l'authentification multifacteur est active, et rechercher si le poste d'origine est infecté. La seule réinitialisation du mot de passe ne suffit pas si un cookie de session a été volé.
Peut-on surveiller ses fournisseurs ?
Leur exposition publique, oui. Tester leurs systèmes, non, sans autorisation écrite. Pour aller plus loin, la voie est contractuelle.
Sources
- Verizon, « 2026 Data Breach Investigations Report »
- ANSSI / CERT-FR, Panorama de la cybermenace 2025
- ISO/IEC 27001:2022, page officielle de la norme
- Code pénal, articles 323-1 et suivants
- CNIL, Guide de la sécurité des données personnelles
Liens consultés le 2 octobre 2026.