Moissonnage de données (scraping)

Définition

Le moissonnage est la collecte automatisée d'informations accessibles publiquement — profils de réseaux sociaux, annuaires, sites d'annonces, registres ouverts — afin d'en constituer des bases exploitables. Aucun système n'est forcé : la technique consiste à lire très vite ce que n'importe qui peut lire lentement, et c'est ce qui rend le sujet différent des autres fiches de ce site.

Comment ça fonctionne

Un programme parcourt les pages, extrait les champs qui l'intéressent et les range dans un fichier. L'opération n'a rien de remarquable prise une par une ; ce qui compte est le changement d'échelle et surtout le recoupement. Votre prénom sur un profil, votre employeur sur un réseau professionnel, votre ville dans une annonce, la photo de votre rue, le prénom de vos enfants dans un commentaire : chaque élément est banal, l'assemblage ne l'est plus. Il fournit exactement ce qu'exigent d'autres procédés décrits sur ce site — un message crédible parce qu'il connaît votre employeur, une réponse à une question de sécurité, un scénario d'usurpation d'un proche qui cite les bons prénoms. Le statut juridique mérite d'être dit clairement : collecter des données publiques n'est pas en soi une intrusion, mais leur réutilisation reste encadrée par le droit des données personnelles, et les conditions d'utilisation des plateformes l'interdisent le plus souvent.

Pourquoi ça marche

Chaque information publiée paraît banale, et l'on ne voit jamais la collecte. Le danger n'apparaît qu'une fois tout rassemblé, dans un message qui en sait trop.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Messages qui citent des informations exactes vous concernant sans que vous les ayez communiquées
• Votre profil réapparaît sur des annuaires ou des agrégateurs que vous n'avez jamais visités
• Sollicitations professionnelles reprenant votre poste et votre employeur avec précision
• Photo de profil réutilisée ailleurs, sur un compte qui n'est pas le vôtre
• Rien de particulier — le moissonnage ne laisse aucune trace visible chez la personne concernée

Comment vérifier

Faites l'exercice à leur place : cherchez votre nom, votre adresse électronique et votre numéro de téléphone dans un moteur de recherche, et regardez ce qu'un inconnu obtient en une minute. Cherchez aussi vos photos de profil par recherche d'image inversée. Ce que vous trouvez est très exactement la matière disponible.

Les questions à se poser, dans l'ordre

1. 1

   Un inconnu cite-t-il des informations exactes sur vous pour obtenir quelque chose ?

   Si oui : Ne lui accordez pas plus de crédit pour autant : vérifiez par un autre canal.

2. 2

   Vos profils publics montrent-ils des réponses à des questions de sécurité ?

   Si oui : Retirez-les et changez les réponses concernées.

3. 3

   Un site a-t-il publié vos données sans votre accord ?

   Si oui : Demandez-en le retrait, et saisissez la CNIL faute de réponse.

Que faire

Restreignez la visibilité de vos profils à vos contacts plutôt qu'au public, et retirez des profils publics ce qui sert de réponse à une question de sécurité : date de naissance, ville de naissance, nom des animaux, établissement scolaire. Réfléchissez à ce que révèlent les photos publiées — plaque, façade, badge, document en arrière-plan. Une donnée non publiée est la seule qui ne soit pas moissonnable.

Si c'est déjà arrivé

Vous pouvez demander à un site le retrait de vos données et saisir la CNIL en l'absence de réponse ; c'est utile site par site, et sans effet sur les copies déjà constituées. L'effort le plus rentable porte donc sur l'avenir : réduire ce qui est publiquement lisible, et considérer comme connu ce qui l'a été. Si les informations rassemblées servent à vous nuire publiquement, la fiche doxxing traite ce cas.

• Les premiers gestes, dans l'ordre : la checklist d'urgence
• L'assistant « J'ai cliqué » : le plan des gestes selon votre situation

Pour que ça ne se reproduise pas

• Réglez la visibilité de vos profils sur vos contacts.
• Publiez moins de détails qui se recoupent : employeur, ville, prénoms des enfants.
• Considérez comme connu tout ce qui a été public un jour.

Les gestes qui déjouent cette attaque

• La checklist pour votre famille, à imprimerUn mot de passe familial, un nouveau numéro qui se confirme à l'ancien, en parler sans attendre : les règles qui protègent une famille, sur une page à imprimer.

Questions fréquentes

Si c'est public, où est le problème ?

Dans l'assemblage. Chaque information prise seule ne dit rien ; réunies, elles donnent un profil complet — employeur, habitudes, entourage, adresse — qui rend crédible un message ciblé. Le problème n'est pas la publicité de chaque élément, c'est la vitesse à laquelle une machine les rassemble.

Est-ce illégal ?

Pas en soi : lire une page publique n'est pas une intrusion. La réutilisation de données personnelles reste toutefois encadrée, et la plupart des plateformes l'interdisent dans leurs conditions. Autrement dit, ce n'est pas une infraction dont on attend qu'elle soit poursuivie, et c'est pourquoi la réponse pratique est de réduire ce qui est exposé.

Attaques liées

• Réidentification de données anonymes
• Exposition de données personnelles
• Doxxing
• Prétexting (scénario fabriqué)
• Faux profil généré par IA
• Revente de données personnelles

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement