La pile OSINT en 2026 : 93 outils OSINT répartis en 12 catégories

Le renseignement open source a cessé depuis des années d’être un simple dossier de signets. En 2026, il s’agit d’un secteur à plusieurs niveaux, et les outils se sont répartis en catégories distinctes qui sont rarement abordées ensemble dans une même analyse. La plupart des listes des « meilleurs outils OSINT » se contentent de vous proposer 10 ou 15 noms, sans aller plus loin. Celle-ci dresse une vue d’ensemble complète du secteur : 93 fournisseurs classés en 12 catégories fonctionnelles, auxquels s’ajoute la couche de collecte qui, discrètement, les alimente tous.

Le marché reflète cette croissance. Les estimations concernant le marché mondial de l'OSINT en 2025 variaient entre environ 11,6 milliards et 12,7 milliards de dollars selon les cabinets d'études, les prévisions de croissance sur cinq ans se situant entre 20 % et 28 % par an (Global Market Insights, marché du renseignement open source (OSINT), 2025). Considérez chaque chiffre comme indicatif d'une tendance ; les entreprises divergent de plusieurs milliards. La tendance n'est pas la suivante : plus de fournisseurs, plus de catégories, plus d'argent.

Points clés à retenir

• En 2026, la pile OSINT couvre 12 catégories et 93 fournisseurs commerciaux, dépassant de loin la liste des 10 outils.
• Les informations les plus précieuses se trouvent dans les services payants : données sur les violations de sécurité sur le dark web, analyse cryptographique et GEOINT, et non dans les recherches gratuites de noms d'utilisateur.
• SpyCloud a récupéré 53,3 milliards d'enregistrements d'identité en 2024, soit une hausse de 22 % par rapport à l'année précédente, ce qui illustre l'ampleur des données que les enquêteurs doivent désormais passer au crible (SpyCloud, Rapport annuel 2025 sur l'exposition des identités, 2025).
• Chaque catégorie repose sur un principe commun : collecter à grande échelle des données publiques en temps réel sur le Web, à partir de la bonne source, sans compromettre l'enquête.

Comment nous avons défini les 12 catégories

Nous avons regroupé les prestataires en fonction de leur activité, et non selon leur appellation marketing. Chacune des 12 catégories ci-dessous répond à une question d’enquête différente : qui est lié à qui, quelles informations ont fait l’objet de fuites, quelles données sont exposées en ligne, où se trouvent-elles physiquement, et comment les collecter en toute sécurité. Dans la réalité, un outil peut figurer dans plusieurs catégories ; nous les avons classés en fonction de leur utilisation principale.

Le résultat est une pile, et non un classement. Une équipe chargée de la lutte contre la fraude et un analyste de la sécurité nationale puisent dans des étagères différentes d’une même armoire. Voici donc le contenu de cette armoire, de haut en bas.

Les 12 catégories en un coup d'œil

1. Plateformes d'enquête et analyse des liens
2. Réseaux sociaux et intelligence narrative
3. Le Dark Web et l'exposition aux violations de données
4. Plateformes de renseignements sur les menaces
5. Recherche de personnes, dossiers et vérification des antécédents
6. Droit des sociétés, sanctions et criminalité financière
7. Criminalistique liée aux cryptomonnaies et à la blockchain
8. Surface d'attaque et reconnaissance du réseau
9. GEOINT et renseignement d'origine satellitaire
10. Suivi des médias et connaissance de la situation
11. Infrastructures de recherche et sécurité opérationnelle (OPSEC)
12. Criminalistique numérique et preuves

1. Plateformes d'enquête et analyse des liens

Les plateformes d’analyse des liens constituent l’atelier de travail de l’OSINT : elles ingèrent des entités (personnes, comptes, entreprises, infrastructures) et mettent en évidence les relations qui les unissent sur un seul et même plan de travail. C’est là que s’articulent la plupart des enquêtes sérieuses, et c’est également là que le marché connaît la consolidation la plus rapide. Maltego a racheté en mai 2025 l’outil de collecte de preuves Hunchly, l’une des nombreuses opérations visant à intégrer des outils spécialisés au sein de suites logicielles complètes (Maltego, Maltego accueille Hunchly, 2025).

Ce sont les poids lourds. Attendez-vous à des visualisations graphiques, des transformations ou des connecteurs vers d'autres sources de données, ainsi qu'à la gestion des dossiers.

• Maltego - l'outil de graphes de référence pour l'analyse des liens entre entités.
• Palantir - l'intégration et l'analyse de données à grande échelle, utilisées tant au sein de l'administration qu'au sein des entreprises.
• DataWalk - des analyses exploratoires permettant de relier des ensembles de données cloisonnés.
• Penlink - plateforme d'enquête et d'analyse des communications.
• Cognyte - des analyses d'investigation destinées aux équipes chargées de la sécurité et du renseignement.
• ShadowDragon - l'analyse des liens grâce à un ensemble complet de connecteurs de données sociales et historiques.
• Falkor - plateforme d'enquête native pour les graphes.
• IBM i2 - le carnet de notes de cet analyste chevronné consacré aux graphiques de liens.

2. Réseaux sociaux et intelligence narrative

Les outils d’intelligence sociale et narrative surveillent les propos tenus sur l’ensemble des plateformes, puis mettent en évidence les comportements coordonnés, la désinformation et les menaces émergentes. Ce domaine a évolué, passant d’une simple surveillance des mots-clés à la détection des manipulations et des contenus synthétiques, en partie parce que l’IA générative permet désormais de produire à moindre coût et à grande échelle de faux récits.

Utilisez-les pour suivre les comptes, cartographier les réseaux d'influence et repérer les campagnes de désinformation avant qu'elles n'atteignent leur apogée.

• Rue de Babel - analyse multilingue des données et de la localisation.
• Fivecast - l'exploration ciblée et la détection des risques à partir de données ouvertes.
• Blackbird.AI - analyse des risques liés aux discours et à la désinformation.
• Liens vers les réseaux sociaux - Fusion de données OSINT provenant de plus de 500 sources.
• Cobwebs Technologies - veille sur le Web et détection des menaces.
• Voyager Labs - Analyse des activités en ligne à l'aide de l'intelligence artificielle.
• Pyrra - la surveillance des plateformes alternatives et marginales.
• Media Sonar - les risques numériques et la veille des réseaux sociaux.

3. Le Dark Web et l'exposition aux violations de données

Les informations qui ont déjà fuité concernant une cible constituent souvent le point de départ le plus révélateur : identifiants, cookies de session, journaux d’infostealers et discussions sur les forums. Il s’agit de l’un des niveaux les plus révélateurs de toute la pile. SpyCloud a récupéré 53,3 milliards d'enregistrements d'identité distincts en 2024, soit une hausse de 22 % par rapport à l'année précédente, et a indiqué que près de 80 % des violations de données impliquent désormais des identifiants volés (SpyCloud, Rapport annuel 2025 sur l'exposition des identités, 2025).

On ne saurait trop insister sur l'ampleur du phénomène. Hudson Rock a analysé les données provenant de plus de 30 millions d'ordinateurs infectés par des logiciels de vol d'informations, ce type de données télémétriques permettant de transformer une piste vague en une compromission avérée (Hudson Rock, 2025).

• DarkOwl - l'une des plus grandes bases de données commerciales de contenus issus du darknet.
• SpyCloud - les données d'identité récupérées à la suite d'une faille de sécurité et exfiltrées par un logiciel malveillant.
• Fusée éclairante - une surveillance continue des menaces externes et des fuites.
• Searchlight Cyber - enquêtes sur le dark web et renseignements préalables aux attaques.
• Hudson Rock - infection par un logiciel de vol d'informations et renseignements sur les identifiants compromis.
• Intelligence X - moteur de recherche dédié aux fuites, au darknet et aux données historiques.
• Constella Intelligence - des données relatives à l'exposition aux violations de données axées sur l'identité.
• Breachsense - surveillance en temps réel des violations de sécurité et des fuites.

4. Plateformes de renseignements sur les menaces

Les plateformes de renseignements sur les menaces transforment les signaux de risque externes en informations exploitables par une équipe chargée des opérations de sécurité : indicateurs, profils d'acteurs et alertes précoces. Selon une estimation, le marché s'élevait à environ 11,5 milliards de dollars en 2025 et devrait atteindre 23 milliards de dollars d'ici 2030 (MarketsandMarkets, marché de l'intelligence sur les menaces, 2025). Les chiffres sont sans appel : selon IBM, le coût moyen d'une fuite de données s'élèvera à 4,44 millions de dollars à l'échelle mondiale en 2025, et à 10,22 millions de dollars aux États-Unis (IBM, Rapport sur le coût des violations de données 2025, 2025).

Ces plateformes associent les données OSINT à des méthodes de collecte propriétaires et aux compétences analytiques de leurs experts.

• Recorded Future - un graphe de renseignements sur les menaces à grande échelle.
• Point d'inflammation - renseignements sur les communautés illicites et les menaces.
• Cybersixgill - collecte automatisée de données sur le Deep Web et le Dark Web.
• KELA - informations sur les menaces liées à la cybercriminalité.
• Cyble - Analyse des menaces et surveillance de la surface d'attaque basées sur l'IA.
• SOCRadar - des informations approfondies sur les menaces et une protection renforcée contre les risques numériques.
• Group-IB - veille sur les menaces et enquêtes sur les fraudes.
• Hunt.io - recherche d'infrastructures malveillantes à l'échelle d'Internet.

5. Recherche de personnes, vérification des antécédents et sélection

Les outils de recherche de personnes et d'accès aux registres permettent d'identifier des individus et d'extraire les informations issues des registres publics et des bases de données sous licence qui s'y rapportent : adresses, proches, entreprises, dossiers judiciaires, etc. Cette catégorie est essentielle aux enquêtes sur les fraudes, à la diligence raisonnable et à la vérification des antécédents, et s'appuie largement sur des courtiers en données agréés ainsi que sur des sources ouvertes.

Le travail consiste ici à effectuer une vérification d'identité : transformer un nom ou un pseudonyme en données vérifiées, puis filtrer les informations qui en ressortent.

• Skopenow - des recherches automatisées sur les réseaux sociaux et dans les registres publics.
• OSINT Industries - enrichissement en temps réel des données relatives aux comptes et aux identités.
• LexisNexis - les registres publics et les données sur les risques à grande échelle.
• Thomson Reuters CLEAR - recherche d'informations dans les archives publiques à des fins d'enquête.
• Tracers - la collecte de données et la recherche de personnes pour le compte d'enquêteurs.
• TransUnion TLOxp - données issues d'enquêtes et vérification d'identité.
• Checkr - la vérification des antécédents selon les méthodes modernes.
• IDI - les données relatives à l'identité et aux dossiers.

6. Droit des sociétés, sanctions et criminalité financière

Ces plateformes permettent de cartographier la structure de propriété des entreprises, les bénéficiaires effectifs et l'exposition aux sanctions, ce qui constitue le fil conducteur des travaux de diligence raisonnable et de lutte contre la criminalité financière. Les régimes de sanctions évoluant sans cesse, leur intérêt réside dans la capacité à déterminer qui contrôle réellement une entité et si un lien quelconque mène à une partie soumise à des restrictions.

Utilisez-les pour les contrôles « Connaître son client », l'évaluation des risques liés à la chaîne d'approvisionnement et les enquêtes sur les structures de prête-nom.

• Sayari - les informations relatives à la structure de l'actionnariat et aux réseaux commerciaux.
• Kharon - la recherche sur les sanctions et les menaces pour la sécurité.
• ComplyAdvantage - Données sur les risques de criminalité financière générées par l'IA.
• Castellum.AI - le contrôle des sanctions et des risques en temps réel.
• Dow Jones : Risques et conformité - données relatives à la couverture médiatique négative et aux sanctions.
• Quantifind - analyse des risques liés à la criminalité financière.
• Sigma360 - évaluation des risques et sélection.
• Linkurious - enquêtes sur la criminalité financière basées sur des graphes.

7. Criminalistique liée à la cryptomonnaie et à la blockchain

Les outils d'analyse judiciaire de la blockchain permettent de retracer les flux financiers entre les portefeuilles et les chaînes, en associant des entités du monde réel à des adresses sur la chaîne. Cette catégorie existe parce que l’argent a circulé sur la blockchain. Chainalysis a estimé le volume minimal des transactions illicites en cryptomonnaies en 2024 à 40,9 milliards de dollars, dont 63 % transitent par des stablecoins (Chainalysis, Rapport 2025 sur la criminalité liée aux cryptomonnaies, 2025).

Cette limite inférieure a tendance à être revue à la hausse à mesure que de nouvelles adresses sont attribuées, ce qui correspond exactement à la fonction de ces outils.

• Chainalysis - l'analyse de la blockchain à des fins d'enquêtes et de conformité.
• TRM Labs - risques liés à la chaîne de blocs et analyse judiciaire.
• Elliptique - conformité et enquêtes dans le domaine des cryptomonnaies.
• Crystal Intelligence - l'analyse de la blockchain pour les établissements financiers.
• Arkham - analyse des entités sur la blockchain.
• Merkle Science - évaluation prédictive des risques liés aux cryptomonnaies et suivi.
• AnChain.AI - Sécurité et analyse judiciaire de la blockchain basées sur l'IA.
• Nansen - l'étiquetage des portefeuilles et l'analyse sur la chaîne.

8. Surface d'attaque et reconnaissance du réseau

Certains outils répertorient Internet lui-même : les ports ouverts, les services, les certificats et les appareils exposés. Ils permettent de déterminer « à quoi ressemble cette organisation vue de l'extérieur », ce qui constitue le point de départ tant pour les attaquants que pour les défenseurs. Il s'agit de la couche la plus technique de la pile et l'une des plus abouties.

Les analystes y ont recours pour cartographier la surface d'attaque, explorer l'infrastructure partagée et identifier les vulnérabilités laissées exposées par une cible.

• Censys - des données issues d'analyses à l'échelle d'Internet et relatives à la surface d'attaque.
• Shodan - le premier moteur de recherche dédié aux appareils connectés.
• GreyNoise - contexte concernant le bruit de fond sur Internet.
• SecurityTrails - Données historiques relatives au DNS, aux noms de domaine et aux adresses IP.
• BinaryEdge - données relatives à l'exposition sur Internet et aux menaces.
• Netlas - détection et recherche de ressources sur Internet.
• ZoomEye - moteur de recherche sur Internet permettant de repérer les ressources exposées.
• ONYPHE - moteur de recherche dédié à la cyberdéfense et aux données Internet.

9. GEOINT et renseignement d'origine satellitaire

Les outils de renseignement géospatial permettent de répondre à la question « où » grâce à l'imagerie et aux signaux provenant de l'orbite, qui proviennent de plus en plus souvent de constellations commerciales plutôt que de satellites gouvernementaux. Le marché de l'imagerie satellitaire commerciale a atteint environ 6,6 milliards de dollars en 2025, les acheteurs des secteurs public et de la défense en représentant près de la moitié (Precedence Research, marché de l'imagerie satellitaire commerciale, 2025).

Le radar à ouverture synthétique et la cartographie par radiofréquence ont permis d'exploiter cette couche malgré la couverture nuageuse et de nuit, ce qui a modifié ce que les analystes du secteur open source peuvent vérifier par eux-mêmes.

• Maxar - des images satellites optiques à haute résolution.
• Planet Labs - imagerie terrestre actualisée quotidiennement.
• BlackSky - la surveillance géospatiale en temps réel.
• HawkEye 360 - analyse géospatiale par radiofréquence.
• ICEYE - constellation de radars à ouverture synthétique.
• Umbra - SAR commercial à haute résolution.
• Satellogic - imagerie optique à haute fréquence.

10. Suivi des médias et connaissance de la situation

Les outils de veille situationnelle transforment le flot incessant d'actualités, de publications sur les réseaux sociaux et de données provenant de capteurs en alertes précoces concernant des événements ayant une incidence sur la sécurité physique ou la réputation. Les équipes de sécurité des entreprises, les rédactions et les centres opérationnels gouvernementaux s'en servent pour être informés d'un incident en quelques minutes plutôt qu'en quelques heures.

Tout est une question de rapidité : repérer l'événement, alerter l'équipe et transmettre des informations permettant d'anticiper les risques avant que l'affaire ne soit rendue publique.

• Dataminr - la détection d'événements en temps réel à partir de signaux publics.
• Zignal Labs - analyse en temps réel des médias et des récits.
• Janes - la défense et l'analyse des renseignements issus de sources ouvertes.
• Eau de fonte - veille médiatique et analyse des réseaux sociaux.
• Samdesk - détection des crises à l'échelle mondiale.
• Ontic - plateforme connectée de sécurité et de renseignements.
• Everbridge - gestion des événements critiques et système d'alerte.

11. Infrastructure de recherche et sécurité opérationnelle (OPSEC)

Les outils d’infrastructure et d’OPSEC constituent la base sur laquelle s’appuient les enquêteurs, et non pas ce qu’ils interrogent. Cette couche englobe l’infrastructure de collecte, la navigation avec attribution gérée et les procédures de saisie des dossiers qui garantissent à la fois la productivité et la sécurité d’une enquête. C’est la catégorie la moins prestigieuse, mais sans doute celle qui supporte la plus grande charge : tous les autres outils de cette liste ne valent que par la qualité des données auxquelles ils peuvent accéder en toute sécurité.

La question de la sécurité opérationnelle (OPSEC) n'est pas une simple question théorique. Dès qu'une cible détecte qu'une adresse IP d'entreprise ou d'un centre de données tente de la sonder, l'enquête est compromise ; c'est précisément pour éviter cela que les enquêteurs se tournent de plus en plus vers des solutions d'attribution gérées spécialement conçues à cet effet (SANS : Qu'est-ce qu'un « sock puppet » dans le domaine de l'OSINT ?, 2025).

• Massive - un réseau de proxys résidentiels et une Web Render API permettant de collecter des données Web publiques provenant d'appareils grand public réels dans plus de 195 pays.
• Authentic8 Silo - une navigation isolée, avec attribution gérée.
• Ntrepid - des plateformes de gestion de l'attribution et des erreurs d'attribution.
• Bright Data - infrastructure de collecte de données sur le Web.
• Hunch.ly - la collecte automatique de preuves issues d'Internet dans le cadre d'enquêtes.
• SpiderFoot - collecte et corrélation automatisées de données OSINT.
• Lampyre - l'analyse des données et l'automatisation de l'OSINT.

12. Criminalistique numérique et preuves

Les outils de criminalistique numérique permettent de récupérer et de préserver les éléments de preuve provenant d'appareils et de sources de données d'une manière défendable et prête à être présentée devant un tribunal. C'est à ce stade qu'une enquête devient une affaire judiciaire. Selon les principaux cabinets d'études, le marché de la criminalistique numérique s'est établi entre 13 et 15 milliards de dollars en 2025, avec un taux de croissance annuel de l'ordre de la faible dizaine (Precedence Research, marché de la criminalistique numérique, 2025).

Cette catégorie se caractérise par la chaîne de traçabilité et la reproductibilité. Les résultats doivent pouvoir résister à l'examen d'un avocat de la défense.

• Cellebrite - l'extraction de données à des fins d'expertise judiciaire sur les appareils mobiles.
• Magnet Forensics - enquêtes numériques et analyse des éléments de preuve.
• Oxygen Forensics - l'expertise numérique des appareils mobiles et du cloud.
• MSAB - la criminalistique mobile au service des forces de l'ordre.
• Exterro - la recherche électronique de preuves et les enquêtes judiciaires.
• OpenText EnCase - une suite d'outils de criminalistique numérique établie de longue date.
• Nuix - l'analyse exploratoire de grands volumes de données.
• Belkasoft - la criminalistique numérique et la gestion des incidents.

D'où proviennent réellement ces données ?

Toutes les catégories ci-dessus ont en commun une contrainte qui fait rarement l'objet d'une section à part entière : collecter à grande échelle des données Web publiques en temps réel, à partir de la bonne source, sans être bloqué ni repéré. Une plateforme d'enquête est constituée d'un graphe de données qu'elle a réussi à récupérer. Un outil de surveillance du dark web n'est à jour que jusqu'à sa dernière collecte réussie. Un outil de recherche de personnes soumis à une limitation de débit renvoie des enregistrements obsolètes.

Il s'agit de la couche de collecte, et c'est là que Massive intervient. Massive exploite un réseau d’appareils grand public réels dans plus de 195 pays ; ainsi, une requête adressée à une source publique apparaît comme du trafic local naturel plutôt que comme une requête provenant d’un centre de données. Au-dessus de ce réseau se trouve la Web Render API, qui renvoie du code HTML ou Markdown épuré à partir de n’importe quelle source publique, quel que soit son emplacement (Une documentation produit très complète, 2026). Pour les équipes qui intègrent des agents d’IA ou des pipelines sur des pages en ligne, ce résultat au format Markdown s’affiche directement dans une invite. Pour une équipe OSINT, cela se traduit concrètement par deux avantages : vous pouvez accéder à des sources soumises à des restrictions géographiques ou susceptibles d’être bloquées en tant qu’utilisateur local, et vous pouvez mener votre opération en toute discrétion. Dans notre collaboration avec les équipes chargées des données et des enquêtes, le point de rupture réside rarement dans l’outil d’analyse. Il s’agit plutôt de la requête signalée ou géo-bloquée avant même que la page ne se charge, ce qui paralyse discrètement tout le processus en aval.

Le réseau est issu d'une source éthique, chaque adresse IP ayant donné son consentement via le SDK Massive ; l'entreprise est en outre soumise à un audit SOC 2, conforme au RGPD et certifiée AppEsteem. Pour les enquêtes susceptibles de déboucher sur un rapport ou une procédure judiciaire, cette traçabilité de la source à la requête n'est pas un simple atout.

La pile ne cesse de s'agrandir

En 2026, le domaine de l’OSINT est plus vaste et plus complexe que ne peut le refléter une simple liste de 10 outils. On dénombre 93 fournisseurs répartis dans 12 catégories, et les frontières de ce domaine continuent de s’étendre à mesure que l’IA redéfinit à la fois la manière dont les analystes travaillent et ce qu’ils doivent vérifier. Deux tendances marqueront l’année à venir : la poursuite de la consolidation, les suites logicielles absorbant les outils ponctuels, et une importance croissante accordée à une collecte sûre et fiable, les cibles devenant de plus en plus aptes à repérer et à bloquer toute attention indésirable.

Quelle que soit la couche de l'architecture à partir de laquelle vous travaillez, la même question se pose en arrière-plan : pouvez-vous accéder aux données dont vous avez besoin, depuis l'endroit où vous devez donner l'impression de vous trouver, sans compromettre le bon fonctionnement de l'opération ? Si vous maîtrisez cette couche, le reste de la pile fonctionne comme prévu.

Sources

• Global Market Insights, Marché du renseignement open source (OSINT), consulté le 26 juin 2026, https://www.gminsights.com/industry-analysis/open-source-intelligence-osint-market
• The Business Research Company, « Rapport sur le marché mondial du renseignement open source », consulté le 26 juin 2026, https://www.thebusinessresearchcompany.com/report/open-source-intelligence-global-market-report
• SpyCloud, Rapport annuel 2025 sur l'exposition des identités, consulté le 26 juin 2026, https://spycloud.com/newsroom/annual-identity-exposure-report-2025/
• Hudson Rock, consulté le 26 juin 2026, https://www.hudsonrock.com/
• MarketsandMarkets, Marché de l'intelligence sur les menaces, consulté le 26 juin 2026, https://www.marketsandmarkets.com/PressReleases/threat-intelligence-security.asp
• IBM, Rapport sur le coût d'une fuite de données 2025, consulté le 26 juin 2026, https://www.ibm.com/reports/data-breach
• Chainalysis, Rapport 2025 sur la criminalité liée aux cryptomonnaies, consulté le 26 juin 2026, https://www.chainalysis.com/blog/2025-crypto-crime-report-introduction/
• Precedence Research, « Marché de l'imagerie satellitaire commerciale », consulté le 26 juin 2026, https://www.precedenceresearch.com/commercial-satellite-imaging-market
• Precedence Research, Marché de la criminalistique numérique, consulté le 26 juin 2026, https://www.precedenceresearch.com/digital-forensics-market
• Maltego, « Maltego accueille Hunchly pour étendre ses capacités OSINT », consulté le 26 juin 2026, https://www.maltego.com/blog/maltego-welcomes-hunchly-to-expand-osint-capabilities/
• SANS, « Qu'est-ce qu'un « sock puppet » dans le domaine de l'OSINT ? », consulté le 26 juin 2026, https://www.sans.org/blog/what-are-sock-puppets-in-osint/
• Documentation complète sur les produits, consultée le 26 juin 2026, https://docs.joinmassive.com/