Cas pratiques : légal ou non ?

Pour chaque situation, réfléchissez avant d'ouvrir la réponse.

1. En cherchant sur un moteur de recherche, vous trouvez un tableur public contenant des identifiants et mots de passe d'employés d'une entreprise. Pouvez-vous tester un identifiant pour vérifier qu'il fonctionne ?

Non. Utiliser un identifiant qui ne vous appartient pas pour accéder à un système constitue un accès frauduleux (article 323-1), même si le mot de passe était trouvable publiquement. Ne téléchargez pas le fichier, documentez seulement l'URL, et signalez la fuite à l'entreprise ou à l'ANSSI / CERT-FR.

2. Vous vérifiez si une vidéo virale a été tournée là où elle le prétend, en comparant les bâtiments visibles avec des images satellites.

Oui. C'est un usage classique et légitime de l'OSINT (vérification de l'information). Aucune donnée personnelle n'est exploitée au-delà du nécessaire.

3. Un ami vous demande de retrouver l'adresse actuelle de son ex-compagne, qui a coupé les ponts.

Non, à refuser. Aucune finalité légitime, risque grave pour la personne. La diffusion d'informations permettant de la localiser peut constituer l'infraction de l'article 223-1-1, et la démarche relève de la surveillance. Si un litige existe, il passe par un avocat ou un commissaire de justice.

4. Pour consulter un groupe Facebook public, vous créez un compte avec un nom inventé et une photo générée, sans contacter personne.

Zone grise. Ce n'est pas une usurpation d'identité (aucune personne réelle n'est imitée), mais c'est probablement contraire aux CGU de la plateforme (risque de suspension). Dans un cadre professionnel, la pratique doit être validée et documentée. Ne jamais l'utiliser pour interagir de façon trompeuse.

5. Votre entreprise vous demande d'évaluer ce qu'un attaquant pourrait apprendre sur elle en ligne (sous-domaines, adresses e-mail publiées, documents indexés).

Oui, avec un mandat écrit. C'est une démarche défensive classique. Limitez-vous à la collecte passive (sources publiques), ne testez aucun accès, et protégez le rapport, qui contient des informations sensibles.

6. En modifiant le numéro à la fin de l'URL de votre propre facture en ligne, vous pourriez afficher celle d'autres clients. Vous essayez pour vérifier.

Non. Accéder volontairement à des documents manifestement non destinés au public est un accès frauduleux et une extraction de données (articles 323-1 et 323-3). Signalez la faille au service concerné sans l'exploiter.

7. Vous compilez dans un tableur les profils publics de tous les participants à une manifestation, avec leurs opinions affichées.

Non. Il s'agit d'un traitement de données sensibles (opinions politiques, article 9 du RGPD) sans base légale ni finalité légitime, et potentiellement d'un fichage. À proscrire.

8. Vous retrouvez la date de création d'un site web d'arnaque à l'aide de son enregistrement Whois et de ses certificats TLS, pour alerter les autorités.

Oui. Consultation de sources publiques, finalité légitime, transmission aux autorités (PHAROS, SignalConso, cybermalveillance.gouv.fr) plutôt que publication.