Réseaux sociaux et empreinte numérique

Une photo de vacances, un anniversaire, un badge de l'entreprise sur un bureau, un tag à la sortie de l'école : chaque publication ajoute une pièce à un puzzle. Pris séparément, chaque élément est anodin. Assemblés, ils racontent beaucoup de choses sur vous, y compris à des personnes qui n'ont aucune bonne intention. Cette leçon vous explique ce qu'est l'empreinte numérique, comment on peut l'exploiter, et comment la maîtriser sans renoncer à vos usages.

Après avoir protégé vos appareils, vos échanges et votre navigation, voyons ce que vous exposez volontairement. C'est la dernière leçon du chapitre 4 : à la fin, vous aurez une page de carnet sur votre exposition en ligne.

Qu'est-ce que l'empreinte numérique ?

L'empreinte numérique (ou identité numérique) est l'ensemble des traces que vous laissez en ligne. On distingue deux types :

• L'empreinte active : ce que vous publiez volontairement : messages, photos, commentaires, avis, profils professionnels, inscriptions ;
• L'empreinte passive : ce qui est collecté sans que vous le publiiez : adresse IP, historique de navigation, localisation, appareil utilisé, habitudes d'achat, informations déduites par les plateformes ;
• L'empreinte héritée : ce que d'autres publient sur vous : photos où vous êtes identifié, mentions, articles, annuaires, données issues de fuites passées.

Cette empreinte est durable (ce qui est publié est copiable et archivable), agrégeable (on peut recouper des sources) et consultable par des recruteurs, des employeurs, des curieux, des escrocs.

Comment les fraudeurs exploitent ces informations

Sans être très techniques, des personnes malveillantes peuvent utiliser des informations publiques pour :

• Personnaliser un hameçonnage : citer votre employeur, votre responsable, votre événement récent, votre banque, pour rendre un message très crédible (spear phishing, cf. chapitre 1) ;
• Répondre aux questions de sécurité : nom de jeune fille de la mère, ville de naissance, nom du premier animal, école primaire : tout ce qui se trouve parfois sur un profil ;
• Usurper votre identité : copier vos photos et votre nom pour créer un faux profil et solliciter vos contacts ;
• Deviner des mots de passe bâtis sur des informations personnelles ;
• Savoir quand vous êtes absent : une publication de vacances en direct signale un domicile vide ;
• Vous localiser : un arrière-plan, une enseigne, un uniforme, un horaire régulier ;
• Cibler vos proches : des enfants identifiables, un établissement scolaire, un trajet régulier.

Cette exploitation des sources ouvertes s'appelle le renseignement d'origine sources ouvertes (OSINT). Les professionnels de la sécurité l'utilisent aussi, dans un cadre légal, pour évaluer l'exposition d'une organisation : vous le retrouverez plus loin dans le parcours.

Les paramètres à maîtriser

Qui voit quoi ?

Chaque réseau social propose des réglages de visibilité : public, amis, amis d'amis, liste restreinte, moi uniquement. Parcourez systématiquement :

• la visibilité des publications par défaut et la possibilité de la changer publication par publication ;
• la visibilité de votre liste d'amis, de vos abonnements et de vos informations de profil (date de naissance, ville, employeur, numéro de téléphone) : masquez ce qui n'a pas besoin d'être public ;
• la possibilité qu'on vous retrouve par numéro de téléphone ou adresse de messagerie ;
• l'identification : demandez à valider les photos et publications dans lesquelles on vous mentionne avant qu'elles n'apparaissent sur votre profil ;
• le référencement de votre profil par les moteurs de recherche ;
• les applications tierces connectées à votre compte : retirez celles que vous n'utilisez plus.

Les connexions

• Acceptez les demandes d'amis et d'abonnés avec discernement : un profil inconnu avec peu d'activité, une photo trop belle ou des amis en commun étranges est suspect ;
• Méfiez-vous des messages privés d'inconnus qui proposent un investissement, une rencontre, un emploi miracle ;
• Utilisez la double authentification (chapitre 2) : un compte de réseau social piraté sert à arnaquer vos contacts en votre nom.

Avant de publier : cinq questions

1. Qui peut le voir ? Le public visé est-il le public réel ?
2. Qu'est-ce que cela révèle ? Lieu, horaires, domicile, école, plaque d'immatriculation, documents, écrans, badges, codes visibles ?
3. Y a-t-il d'autres personnes ? Ont-elles donné leur accord ? Surtout les enfants et les proches.
4. Serait-ce un problème dans cinq ans ? Ou dans une situation de recrutement, de litige, de séparation ?
5. Puis-je le publier plus tard ? Poster ses vacances au retour plutôt qu'en direct réduit le risque de signaler l'absence du domicile.

Auditer votre propre empreinte

La meilleure façon de comprendre votre exposition est de la regarder comme un inconnu le ferait. Voici une démarche d'autodiagnostic, légale et inoffensive, appliquée uniquement à vous-même :

1. Tapez votre nom et prénom entre guillemets dans un moteur de recherche, avec votre ville ou votre employeur. Notez ce qui apparaît (profils, photos, annuaires, articles) ;
2. Faites une recherche d'images avec votre photo de profil : apparaît-elle sur d'autres sites ?
3. Consultez vos profils déconnecté (ou en navigation privée) pour voir ce qu'un inconnu voit ;
4. Vérifiez si votre adresse de messagerie figure dans des fuites de données connues grâce à un service de vérification reconnu, ou en consultant les ressources de cybermalveillance.gouv.fr ;
5. Listez les comptes « fantômes » (anciens forums, vieux réseaux sociaux, services abandonnés) et supprimez-les.

Pour demander la suppression d'informations vous concernant sur un site ou un moteur de recherche, vous disposez de droits que nous verrons au chapitre 5 (droit à l'effacement, droit au déréférencement).

Cas particulier des enfants et des proches

Ce que vous publiez sur les autres engage aussi leur vie privée : photos d'enfants, de proches, de collègues. Demandez toujours l'accord des personnes concernées. Pour les mineurs, réfléchissez à l'empreinte que l'enfant devra assumer, des années plus tard, avec des publications qu'il n'a pas choisies. Nous y reviendrons au chapitre 5 (protéger les enfants et la famille).

Carnet de sécurité : page 4, bilan du chapitre

Ajoutez la page « Navigation, communication et exposition » :

• Vos sites sensibles en signet, et les extensions supprimées ;
• Vos règles pour le Wi-Fi public (ex. : partage de connexion pour la banque) ;
• Votre routine de signalement des messages suspects (bouton, destinataire interne au travail) ;
• Les cinq réglages de confidentialité que vous avez modifiés sur vos réseaux sociaux ;
• Les comptes « fantômes » supprimés ou à supprimer.

À vous de jouer

Réalisez l'autodiagnostic en cinq étapes sur vous-même et notez trois informations qui ne devraient pas être publiques, ainsi que l'action à mener pour chacune (réglage, suppression, demande à un tiers).

Maîtriser son empreinte passe aussi par la connaissance de vos droits. Le chapitre suivant s'intéresse à la vie privée et au droit, en commençant par le RGPD.