Usurpation d'identité :
quand le chasseur devient le chassé

Paradoxalement, ils n'ont jamais été aussi exposés. L'agent de recherches privées, l'analyste OSINT ou l'expert en intelligence économique sont, par nature, des professionnels de l'ombre. L'usurpation d'identité — longtemps perçue comme un risque réservé aux particuliers imprudents ou aux dirigeants d'entreprise — frappe désormais au cœur des métiers du renseignement privé.

Avant d'aller plus loin, encore faut-il s'entendre sur ce que recouvre précisément cette notion.

Selon la définition de la CNIL, l'usurpation d'identité consiste à « utiliser, sans votre accord, des informations permettant de vous identifier [...]. Ces informations peuvent ensuite être utilisées à votre insu, notamment pour souscrire sous votre identité un crédit, un abonnement, pour commettre des actes répréhensibles ou nuire à votre réputation. »

Pour un professionnel du renseignement privé, cette définition prend une dimension supplémentaire. Ce n'est pas seulement une identité personnelle qui est visée — c'est une identité professionnelle, une autorité, une chaîne de confiance construite avec les clients, les sources et les partenaires.

Le développement de l'intelligence artificielle et des moyens de communication favorise les risques d'atteinte à la réputation de n'importe quelle entreprise. Quelle que soit la taille ou le secteur, personne n'est épargné.

L'usurpation d'identité est l'un des risques majeurs auxquels une entité doit faire face — même pour le professionnel qui est le moins exposé publiquement. Cela vaut particulièrement pour les indépendants : pour trouver des clients, ils doivent eux aussi s'exposer un minimum (site, profil professionnel, prise de parole). Tout professionnel du renseignement privé, qu'il dirige un cabinet ou exerce seul, devrait donc organiser sa veille réputationnelle pour prévenir ce risque — et préparer une réponse rapide s'il survient malgré tout : communiqué officiel, information immédiate des clients et partenaires concernés.

Les conséquences sont loin d'être anodines : accès illégitime à des données confidentielles, vol de propriété intellectuelle et espionnage économique, cyberattaques en cascade, pertes financières directes, perte de contrats et d'opportunités commerciales, perte de crédibilité, litiges avec des clients ou partenaires.

Juridiquement, il a fallu attendre la loi d'orientation et de programmation pour la performance de la sécurité intérieure (LOPPSI 2) en 2011 pour créer un délit autonome d'usurpation de l'identité.

Le texte pivot de ce délit autonome est l'article 226-4-1 du Code pénal, dans sa version issue de la loi du 30 juillet 2020. Il punit d'un an d'emprisonnement et de 15 000 € d'amende le fait d'usurper l'identité d'un tiers ou de faire usage de données permettant de l'identifier, en vue de troubler sa tranquillité ou de porter atteinte à son honneur.

Pour un professionnel du renseignement privé, cela couvre l'usage frauduleux d'une adresse mail nominative, d'une signature, d'un logo, d'une carte de visite numérisée, d'un nom commercial ou du nom de domaine de l'entreprise. À noter : ce texte protège une identité réelle et identifiable — il ne s'applique pas à un profil entièrement fictif qui n'usurpe l'identité de personne en particulier, puisqu'il n'existe alors aucune victime identifiable en mesure de porter plainte.

C'est pourquoi, qu'il soit expert en intelligence économique, détective privé ou analyste OSINT, tout professionnel met un point d'honneur à ne pas usurper l'identité d'une personne réelle lors de ses missions. L'alias opérationnel, lorsqu'il est utilisé, est toujours choisi de manière stratégique et réfléchie — sans jamais emprunter l'identité d'un tiers existant.

Dans les dossiers opérationnels, l'usurpation d'identité est rarement seule. Elle se combine presque toujours avec d'autres qualifications : la collecte frauduleuse de données personnelles (art. 226-18), l'accès ou le maintien frauduleux dans un système informatique (art. 323-1), l'escroquerie (art. 313-1) et le faux (art. 441-1). Cette pluralité de qualifications est une ressource pour la victime : elle élargit l'argumentaire pénal et civil.

Un point jurisprudentiel essentiel : la chambre criminelle de la Cour de cassation a rappelé en 2016 que l'article 226-4-1 exige la démonstration de l'élément intentionnel. Il ne suffit pas de prouver une confusion — il faut documenter la finalité malveillante de l'usurpateur.

Enfin, le versant RGPD n'est pas à négliger. En cas de compromission de messagerie ou d'exfiltration d'un répertoire client, l'obligation de notification à la CNIL dans les 72 heures peut se déclencher très rapidement.

1. Le spearphishing conceptualisé. C'est le vecteur le plus banal — et donc le plus dangereux. L'ANSSI le définit comme un hameçonnage ciblé fondé sur l'usurpation de l'identité de l'expéditeur et sur une ingénierie sociale forte, cohérente avec l'activité de la cible. Pour un enquêteur ou un consultant IE, cela peut prendre la forme d'un faux brief client ou d'un faux ordre de mission. Une agence de détectives privés a ainsi récemment été contactée par un individu se présentant comme salarié de Google, menaçant de faire supprimer sa fiche Google Business en l'absence de réponse rapide — une méthode de pression typique de ce type d'attaque.

2. La fuite ou la collecte de données. Vos identifiants ont peut-être déjà été compromis sans que vous le sachiez. Cybermalveillance rappelle qu'une compromission de messagerie permet la réinitialisation d'autres comptes, l'usurpation auprès des contacts et la fraude au virement. Outil simple pour vérifier l'exposition de vos adresses professionnelles : Have I Been Pwned.

3. L'hyper-trucage (deepfake). Ce vecteur est en forte montée avec l'amélioration des IA. La CNIL alerte désormais explicitement sur l'usage des hyper-trucages pour usurper une voix, un visage ou un comportement à des fins de fraude. Pour un cabinet exposé par des webinaires, conférences ou podcasts, l'attaque vocale est particulièrement crédible. Le baromètre CESIN 2025 relevait déjà que le deepfake apparaissait dans 9 % des vecteurs identifiés.

4. Le clonage d'écosystème numérique. France Num documente des cas de faux sites reprenant l'apparence, la structure et les contenus du site original — y compris le SIRET, l'adresse et le numéro de TVA, ce qui retarde la détection. L'AFNIC rappelle que le cybersquatting et le phishing passent souvent par le nom de domaine, et que tous les domaines sont concernés.

5. L'arnaque au président. Plus connue sous ce nom que sous celui de « faux dirigeant », cette technique consiste en un appel vocal ou un message audio synthétique demandant en urgence un rapport, un code MFA ou un document sensible — en s'appuyant sur l'autorité hiérarchique pour pousser la victime à agir sans vérification.

À partir des modes opératoires décrits par l'ANSSI, la CNIL, Cybermalveillance et France Num, deux scénarios concrets se dégagent pour les trois profils de nos métiers — agent de recherches privées, analyste OSINT, consultant en intelligence économique.

Le faux profil professionnel : un clone (profil social ou site) reprend votre photo, votre biographie, vos mentions légales et votre SIRET pour approcher des cibles, détourner des prospects ou collecter des pièces auprès de vos contacts.

La fraude au RIB : après prise de contrôle de la messagerie, l'attaquant intercepte une chaîne de paiement et substitue un nouveau RIB.

Le déroulé est presque toujours le même : collecte OSINT sur le professionnel → fuite ou collecte d'identifiants → usurpation active → prise de contact crédible → obtention d'un acte (clic, paiement, document) → exploitation → persistance.

L'usurpation ne se signale pas toujours par un signal d'alarme évident. Les indicateurs à surveiller : une hausse inhabituelle de messages de non-remise, des réponses à des mails que vous n'avez jamais envoyés, des clients signalant avoir été « appelés par votre cabinet », des demandes de reconfirmation de RIB, des invitations LinkedIn suspectes, ou l'apparition d'un faux site reprenant vos mentions légales.

En termes de veille, une combinaison minimale et accessible dès maintenant : Google Alerts + Talkwalker Alerts (gratuits) + Have I Been Pwned (surveillance des adresses mail exposées) + revue mensuelle WHOIS de vos noms de domaine. Un cabinet plus exposé gagnera à ajouter Mention, Visibrain ou ONYPHE.

En cas d'incident avéré ou suspecté, chaque minute compte. La séquence recommandée est la suivante :

La prévention efficace, c'est une réduction systématique de la surface d'imitation. Cinq priorités se dégagent.

L'authentification multifacteur sur toutes les messageries, outils collaboratifs, réseaux sociaux et consoles d'administration. Sans exception, conformément au guide d'hygiène de l'ANSSI.

La messagerie : vérifier les règles de transfert, séparer les adresses publiques des adresses sensibles, publier des politiques SPF/DKIM/DMARC — y compris sur les domaines peu ou pas émetteurs.

Le cloisonnement : une seule compromission suffit à produire un kit complet d'usurpation si contacts, mandats, devis et RIB convergent dans les mêmes boîtes. Cloisonner par mission et par niveau de sensibilité.

L'audit OSINT défensif : appliquer à votre propre cabinet les méthodes que vous utilisez pour vos cibles. Auditer trimestriellement ce qu'un attaquant peut apprendre en 30 minutes sur vous.

Le cadrage contractuel : interdiction de modifier un IBAN par simple mail, canal de crise authentifié, alerte incident sous délai court, coopération probatoire en cas d'usurpation.

Dans le monde du renseignement privé, l'identité n'est pas seulement une donnée administrative. C'est un actif opérationnel, une réputation, une capacité d'action. La protéger avec la même rigueur que les dossiers clients ou les sources n'est plus une option.

L'usurpation d'identité est une menace asymétrique : elle peut surgir de n'importe où, à tout moment, et ses effets se propagent souvent bien avant qu'on en ait conscience. Dans ce contexte, la vigilance n'est pas de la paranoïa. C'est du professionnalisme.

Et si vous ne deviez retenir qu'une chose : appliquez à votre propre cabinet la même rigueur OSINT que vous appliquez à vos cibles. Parce que quelqu'un, peut-être, est déjà en train de le faire à votre place.

Pour toute question juridique spécifique, consultez un avocat spécialisé en droit du numérique.