Threat intelligence et surveillance des fuites : les prestataires OSINT

Sa démarche suit des étapes formalisées, du cadrage des questions à la vérification des informations, et se conclut par un rapport illustré de graphiques. La société développe Basileak, un logiciel d'enquête OSINT hébergé en France, calcule un « Osint score » et enseigne la discipline dans un catalogue de formations certifié Qualiopi. Qualifiée PASSI au niveau élevé depuis 2020 et labellisée Expert Cyber, elle comptait deux orateurs à la journée OSINT 2026 du Forum INCYBER.

Registre : SIREN 450 702 527, depuis le 3 novembre 2003.

Zone : France.

Lien de cette fiche : auditosint.com/osint/threat-intelligence#adacis

Sources : son offre d'investigation OSINT, ses qualifications et labels (accueil), journée OSINT du Forum INCYBER 2026

Son CERT réunit deux équipes, l'une qui intervient sur les attaques, l'autre vouée à la veille et au renseignement cyber, et diffuse chaque mois un bulletin d'analyse des menaces. Le département de la Vienne témoigne sur son site d'une intervention sur place après un rançongiciel. Les services sont qualifiés par l'ANSSI à trois titres : PDIS pour la détection assurée par mySOC, PRIS pour le CERT et PASSI pour l'audit. Le CERT est membre du FIRST, et l'entreprise est certifiée B Corp.

Registre : SIREN 433 428 018, depuis le 30 octobre 2000.

Zone : France, Espagne, Italie, Allemagne, Canada.

Lien de cette fiche : auditosint.com/osint/threat-intelligence#advens

Sources : son CERT, ses certifications, ses implantations, un bulletin de son CERT

Ses cofondateurs ont exposé au leHACK 2026 quatre cas d'opérations d'influence débusquées par algorithme dans un corpus de dix millions d'utilisateurs, dont l'opération russe visant les élections roumaines de 2024, travaux menés avec des autorités et des rédactions. La société publie des études ouvertes, souvent avec Visibrain : plus de deux millions de tweets passés au crible après le 10 septembre et #BloquonsTout, débats des municipales, perception d'une crise sanitaire sur six plateformes. Ses graphes servent aussi la communication de crise et la veille concurrentielle, et elle indique publier la plupart de ses algorithmes en open source.

Registre : SIREN 940 648 231, depuis le 5 février 2025.

Zone : France, International.

Lien de cette fiche : auditosint.com/osint/threat-intelligence#agoratlas

Sources : site d'Agoratlas, ses études publiées, programme OSINT du leHACK 2026

Son outil Stealblocker surveille ces fuites à partir des noms de domaine du client et prévient dès qu'un accès compromis apparaît, tandis que Stealreact gère les alertes au moyen d'un système de jetons. La société se présente comme membre du Pôle d'excellence cyber et du GICAT, dont elle a rejoint l'accélérateur. Le compte rendu INCYBER de 2022 rattachait l'un de ses cofondateurs à la création de la communauté OSINT-FR.

Registre : SIREN 891 754 673, depuis le 4 décembre 2020.

Zone : France.

Lien de cette fiche : auditosint.com/osint/threat-intelligence#breachunt

Sources : site de BreacHunt, compte rendu INCYBER 2022

Sa plateforme annonce l'examen de six milliards de points de données par jour, et son module dark web suit forums, places de marché et groupes Telegram ou WhatsApp dans plus de deux cents langues. Un volet de protection de la marque repère domaines frauduleux, faux profils et applications contrefaites, puis aide à les faire retirer. Son équipe REACT conduit des enquêtes à la demande, notamment sur un groupe de rançongiciel, et la société mène des due diligences cyber avant une acquisition. Sanofi et Lagardère figurent parmi ses études de cas publiées.

Registre : SIREN 791 341 274, depuis le 7 février 2013.

Zone : France, International.

Lien de cette fiche : auditosint.com/osint/threat-intelligence#cybelangel

Sources : site de CybelAngel, sa surveillance du web profond

Sa cellule CTI travaille avec le CyberSOC et le CERT selon une organisation « follow-the-sun », de Paris à Montréal et Hong Kong, avec des analystes confirmés. Pour réduire la surface d'exposition des clients, elle croise CTI, OSINT et surveillance du dark web, et ses analystes ont publié une enquête sur le stealer EditBot. Ses équipes SOC prennent en charge chaque année plus de 400 incidents critiques. Gartner la cite dans son guide des services de surveillance cogérée, et Forrester la retient dans son panorama européen du conseil en cybersécurité.

Registre : SIREN 484 841 127, depuis le 14 octobre 2005.

Zone : France, Suisse, Royaume-Uni, Canada, Asie.

Lien de cette fiche : auditosint.com/osint/threat-intelligence#i-tracing

Sources : son site, ses services MDR et CTI, sa présentation

Ils combinent veille en sources ouvertes et sources clandestines, réduisent la surface exposée sur Internet (EASM), traquent l'usurpation de marque et préparent les tests TIBER-EU attendus par DORA. Les clients reçoivent au choix des alertes quotidiennes, plus de 2 000 indicateurs par jour notés à la main ou par automate, ou une instance OpenCTI gérée nommée X-TIP. Membre de l'InterCERT France, la société est qualifiée PASSI au niveau élevé et PRIS par l'ANSSI, et le blog de son équipe figure comme source dans la bibliothèque OpenCTI de Filigran.

Registre : SIREN 812 535 284, depuis le 12 mai 2015.

Zone : France.

Lien de cette fiche : auditosint.com/osint/threat-intelligence#intrinsec

Sources : son offre de threat intelligence, ses qualifications ANSSI (page d'accueil), version anglaise de l'offre, catalogue OpenCTI de Filigran

Ses analystes OSINT et CTI repèrent le typosquatting, la revente de cartes bancaires et d'identifiants issus de stealers, les fuites de code source ou de secrets industriels, en s'introduisant au besoin dans des espaces semi-fermés comme Telegram. Le pôle cartographie aussi la surface exposée de l'entreprise et l'empreinte numérique de ses dirigeants et de leurs proches, puis transmet les alertes dans un portail baptisé SERAM, doublé d'une messagerie chiffrée pour les urgences. Lexfo est qualifiée PRIS par l'ANSSI, et l'un de ses analystes CTI figurait parmi les orateurs de la journée OSINT organisée à Lille en 2026.

Registre : SIREN 495 160 657, depuis le 1er avril 2007.

Zone : France.

Lien de cette fiche : auditosint.com/osint/threat-intelligence#lexfo

Sources : son offre d'anticipation de la menace, sa présentation (accueil), journée OSINT du Forum INCYBER 2026

Son équipe CTI, intégrée aux services managés, à la réponse à incident et à la Red Team, publie des recherches sur des menaces comme BRICKSTORM et appuie les exercices TIBER et TLPT. Elle explore le web profond et le dark web en quête de mots de passe divulgués, de domaines sosies et de discussions d'attaquants, en continu ou par rapports qui suivent dans le temps les comptes présents dans plusieurs fuites. NVISO contribue au projet MISP, dont elle assure un support commercial reconnu, et son CSIRT est accrédité par Trusted Introducer.

Registre : BCE 0502.544.825, depuis le 17 janvier 2013.

Zone : Belgique, Allemagne, Autriche, Grèce.

Lien de cette fiche : auditosint.com/osint/threat-intelligence#nviso

Sources : son offre de threat intelligence, sa présentation

En mai 2026, elle a rejoint à titre gracieux l'initiative « Cosmos » du Cybercrime Atlas, hébergé par le Forum économique mondial, qui cartographie l'écosystème cybercriminel : elle y apporte son renseignement, son savoir-faire en recherche ouverte et une application de graphe de connaissances issue de sa plateforme Cybercrime Now. Son service de surveillance de la cybercriminalité scrute web, deep web et dark web pour détecter fraudes, usurpations de marque et fuites. En 2021, la presse spécialisée relatait ses qualifications PASSI, PRIS et PDIS délivrées par l'ANSSI.

Registre : SIREN 512 664 194, depuis le 15 mai 2009.

Zone : France, Belgique, International.

Lien de cette fiche : auditosint.com/osint/threat-intelligence#orange-cyberdefense

Sources : communiqué du 19 mai 2026 (Cybercrime Atlas), Acteurs publics, qualifications ANSSI (2021), son service de surveillance de la cybercriminalité

Ses analystes croisent indices techniques, humains et organisationnels, en surface comme sur le deep web et le dark web, pour signaler fuites de données et atteintes à une marque, repèrent le moissonnage massif de données et dressent la carte de ce qu'un attaquant voit d'une organisation, de ses serveurs à son organigramme. OWN conduit aussi des tests d'intrusion guidés par la menace au format TLPT de DORA, et ses audits sont qualifiés PASSI-RGS.

Registre : SIREN 502 067 705, depuis le 3 janvier 2008.

Zone : France.

Lien de cette fiche : auditosint.com/osint/threat-intelligence#own

Sources : son site, Solutions Numériques

Son moteur Predicta Search prend pour point de départ une adresse électronique, un téléphone, un nom ou un pseudonyme pour faire apparaître comptes liés, fuites et journaux de logiciels voleurs, tandis que Predicta Graph dessine l'enquête sous forme de graphe et qu'un module repère les identifiants d'une organisation dérobés par des infostealers. L'équipe assure aussi une veille sur les fuites, les domaines frauduleux et les forums malveillants, des vérifications d'antécédents et de la due diligence. Ses modules de formation couvrent l'OPSEC, le SOCMINT, le GEOINT, le Runet et l'internet chinois, et son président a pris la parole lors de l'OSINT Day d'INCYBER en 2024.

Registre : SIREN 882 794 548, depuis le 24 mars 2020.

Zone : France, International.

Lien de cette fiche : auditosint.com/osint/threat-intelligence#predicta-lab

Sources : ses produits, ses services, intervenants de la journée OSINT INCYBER 2024

Ce renseignement provient de pots de miel, de traqueurs de serveurs de commande et du suivi de logiciels malveillants, complétés par des sources ouvertes qu'un analyste contrôle avant diffusion. Les objets sont modélisés en STIX 2.1, avec des rapports d'analyse appelés FLINT et plus de 450 sources externes cotées selon leur fiabilité. Les indicateurs partent vers le SIEM, le SOAR, l'EDR ou le pare-feu par API ou par connecteur TAXII ou MISP, et le catalogue de Filigran documente leur import dans OpenCTI.

Registre : SIREN 913 174 744, depuis le 3 mai 2022.

Zone : France, International.

Lien de cette fiche : auditosint.com/osint/threat-intelligence#sekoia-io

Sources : Sekoia Intelligence, catalogue OpenCTI de Filigran

Le 5 avril 2023, Thales a lancé le projet « Socle Commun du Renseignement cyber et de la Détection », retenu par Bpifrance et financé par l'État au titre de France 2030. Il associe dix partenaires, dont Filigran, Sekoia, HarfangLab, GLIMPS, l'Institut Mines-Télécom SudParis et INP Grenoble, pour bâtir une base nationale mutualisée et un centre d'analyse de la situation cyber du pays. En 2022, le groupe a aussi acquis Excellium, implanté au Luxembourg et en Belgique, et S21sec.

Registre : SIREN 920 802 501, depuis le 13 octobre 2022.

Zone : France.

Lien de cette fiche : auditosint.com/osint/threat-intelligence#thales-cyber-solutions

Sources : communiqué du 5 avril 2023 (PDF), son flux CTI en français, communiqué AMF du 17 mai 2022 (Excellium et S21sec)

Elle rassemble les traces en ligne d'un particulier ou d'une société (adresses, alias, comptes rattachés à un e-mail ou à un téléphone) et explore les forums et places de marché des réseaux Tor et I2P, avec un volet consacré aux cryptomonnaies. Ses dossiers servent à des détectives privés, qui orientent ensuite leur travail de terrain, à des avocats, à des cabinets de cybersécurité et à des dirigeants qui vérifient un futur partenaire. Elle travaille sur des machines virtuelles Linux qu'elle assemble elle-même, donne des cours à l'ILERI comme à l'ESSE, et son fondateur s'exprimait au FIC 2022.

Registre : SIREN 791 197 593, depuis le 18 février 2013.

Zone : France.

Lien de cette fiche : auditosint.com/osint/threat-intelligence#vigiliact

Sources : son renseignement d'origine cyber, sa présentation, intervenants de la journée OSINT INCYBER 2022

Son rapport 2025 analyse 21 incidents majeurs traités entre août 2024 et septembre 2025 dans plus de dix secteurs, de l'entreprise stratégique à l'hôpital, et relève que 56 % des attaques contre les grands groupes passent par une filiale ou un partenaire. Le cabinet dit avoir été le premier à obtenir puis renouveler la qualification PRIS-LPM de l'ANSSI sur tous les périmètres. Son catalogue comprend une évaluation de l'empreinte Internet, et l'équipe est référencée auprès d'assureurs pour la gestion de crise cyber.

Registre : SIREN 377 550 249, depuis le 1er avril 1990.

Zone : France, Belgique, Luxembourg, Suisse.

Lien de cette fiche : auditosint.com/osint/threat-intelligence#wavestone

Sources : présentation du CERT-Wavestone, rapport 2025 du CERT-Wavestone