Sans jamais forcer une seule serrure numérique, un cybercriminel peut cartographier une PME entière à partir des publications de ses propres salariés sur LinkedIn, Facebook et les forums d’emploi, avant de préparer une fraude au président ou un phishing ciblé.
Avant une fraude au président, un attaquant n’a pas besoin de pirater quoi que ce soit. Il lui suffit de savoir lire. Sur LinkedIn, votre organigramme et la date d’arrivée de votre comptable circulent probablement. Il peut aussi consulter vos habitudes de déplacement sur Facebook, puis les avis que d’anciens salariés laissent sur des forums de recrutement. Cette collecte porte un nom, l’OSINT, pour renseignement en sources ouvertes. Sans coût pour l’attaquant et sans trace dans vos journaux de connexion, la moindre publication anodine de vos équipes peut devenir une donnée exploitable. Avec une simple vigilance sur les informations volontairement laissées en ligne par votre entreprise, vous pourrez réduire cette exposition sans budget technique ni compétence en cybersécurité.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Vos salariés peuvent publier l’organigramme de l’entreprise sur LinkedIn
Par défaut, et on a tendance à l’oublier, un profil LinkedIn affiche le poste exact d’un salarié et le nom de son manager direct. Multipliée par vos vingt ou cinquante employés, cette fiche peut recomposer un organigramme complet, du comptable au dirigeant. Avant de choisir son interlocuteur, un fraudeur commence généralement par cette collecte. Il va ensuite créer une adresse proche de la vôtre pour tenter de pousser votre comptable vers un virement urgent et confidentiel.
Il peut aussi en apprendre plus sur vos fournisseurs et partenaires habituels grâce à une liste de relations professionnelles afichées sur le profil ou dans un post. Très utile pour une arnaque au faux fournisseur. Un fraudeur repère alors le bon moment pour glisser, dans une facture d'apparence légitime, un changement de coordonnées bancaires.
En période de congés ou de déplacement, quand personne ne décroche pour vérifier, les escrocs sont susceptibles de frapper en priorité. Vos publications de voyage et vos messages d’absence automatiques donnent, sans que vous le sachiez, des renseignements précieux sur ces périodes creuses.
Sur Facebook, lorsque vos collaborateurs identifient leurs collègues sur une photo d’équipe prise à l’occasion d’une réunion ou d'un séminaire, ils complètent l’organigramme de votre société que le cyberpirate n’a plus qu’à reconstituer depuis LinkedIn.
Par la seule fraude au président, un réseau démantelé début 2026 avait détourné soixante et un millions d’euros en un an.
En parcourant une offre d’emploi pour un administrateur SAP ou un ingénieur Salesforce, un attaquant est capable de repérer les logiciels installés chez vous. De cette liste, il peut tirer les vulnérabilités connues à tester en priorité, avant toute tentative d’intrusion technique.
Vos salariés peuvent élargir la faille sur Facebook et les forums
Vos salariés sont certainement nombreux à être inscrits sur les réseaux sociaux et à alimenter leurs fils d’actualité de leurs activités, que ce soit sur leur vie privée ou professionnelle.
Postée depuis la plage, une story publiée sur Facebook ou Instagram peut signaler, sans le vouloir, une absence de deux semaines à leur poste ou que l’entreprise est fermée. Le lieu et l’heure sont en plus vérifiables simplement grâce à l’horodatage des publications. Certains d'entre eux publient sans réfléchir aux conséquences des photos qui contiennent des coordonnées GPS intégrées dans le fichier, invisibles à l'écran mais lisibles facilement.
Idem pour le badge d'accès en arrière-plan d'une photo de bureau qui donne des informations sur le système de sécurité physique du site.
Ces fragments suffisent pour établir le calendrier de vos absences.
Mais les escrocs peuvent aussi exploiter l’intelligence artificielle pour pousser cette collecte plus loin. Lors d’une visioconférence truquée, un cabinet d’ingénierie britannique installé à Hong Kong, Arup, a perdu l’équivalent de 23,5 millions d’euros. Convaincu de dialoguer avec son directeur financier et plusieurs collègues, un employé avait autorisé les transferts, alors que chaque visage et chaque voix provenaient de vidéos et d’enregistrements publics de la marque.
Les attaquants sont enfin très à l’affût sur les forums d’anciens salariés. Ils peuvent retrouver le prénom d’un manager ou le nom du logiciel de paie que vous utilisez dans un avis Glassdoor ou Indeed. Ils peuvent ensuite s'en servir pour usurper au téléphone l’identité d'un ancien collègue ou d'un technicien de maintenance. C’est tout simplement de l’ingénierie sociale. Bien calibrée, cette pression psychologique peut pousser un salarié à agir contre son intérêt, à son insu.
Vous pourrez réduire la surface d’exposition de votre entreprise
Contrôlez qui publie quoi et où
Limitez, dans les paramètres de confidentialité de LinkedIn, la visibilité de la liste complète de vos salariés. Retardez la publication des photos de vacances jusqu’au retour de vos équipes, et désactivez la géolocalisation automatique sur les comptes professionnels.
Rédigez une charte interne
Elle borne les informations techniques partagées dans vos offres d’emploi publiques, sans détailler chaque logiciel installé.
Établissez un plan d'action avec votre banque
Demandez par exemple à votre banque d’imposer un délai de quarante-huit heures entre l’ajout d’un nouveau bénéficiaire et le premier virement vers ce compte. Ce délai laisse à votre comptable le temps de vérifier une demande urgente par un second canal, un appel sur un numéro déjà enregistré plutôt que celui indiqué dans le message.
En cas de virement exécuté vers un compte frauduleux, Cybermalveillance.gouv.fr recommande d’appeler votre banque sans délai pour tenter un rappel de fonds, puis de signaler les coordonnées falsifiées à l’ensemble de vos services internes.
Surveillez aussi l’enregistrement de noms de domaine proches du vôtre
C’est souvent un signe avant-coureur d’une campagne de phishing ciblé.
Formez vos équipes à répondre aux interlocuteurs
Aucun réglage de confidentialité, en revanche, ne s’applique aux avis publiés sur Glassdoor ou Indeed par vos anciens salariés. Formez plutôt vos équipes à vérifier l’identité d’un interlocuteur avant de répondre à une demande inhabituelle, même si celui-ci connaît le nom exact de votre outil de comptabilité.
Vérifiez Internet
Passez en revue, une fois par trimestre, les résultats d'une recherche simple sur le nom de vos dirigeants et de vos salariés clés, pour repérer ce qui circule sans votre accord.
