Enquête · Analyse · Communication ✳ mise à jour le 8 septembre 2026

Analyste Threat Intelligence

Aussi appelé : Analyste de la menace cybersécurité, Cyber Threat Intelligence Analyst, Analyste renseignement cyber, Analyste CTI, Threat Researcher, Analyste veille cybermenaces.

L'analyste CTI étudie les attaquants : qui ils sont, comment ils opèrent, qui ils visent, pour que l'organisation se défende contre les menaces réelles plutôt que contre des menaces imaginaires.

Ce que fait vraiment un analyste threat intelligence

• Collecter des informations sur les menaces : rapports publics, flux de données, forums, sources ouvertes (OSINT), dark web
• Suivre les groupes d'attaquants, leurs outils, leurs techniques et leurs cibles
• Produire des indicateurs exploitables (adresses, domaines, empreintes de fichiers) pour les équipes de détection
• Rédiger des notes de renseignement : alerte flash, analyse d'une campagne, rapport stratégique pour la direction
• Répondre aux questions des autres équipes : ce groupe vise-t-il notre secteur ? cette vulnérabilité est-elle exploitée ?
• Surveiller l'exposition de l'organisation : fuites de données, noms de domaine usurpés, identifiants en vente
• Contribuer aux exercices et aux scénarios d'attaque avec les équipes offensives et défensives

Journée type

Revue matinale des flux : rapports d'éditeurs, alertes du CERT-FR, publications de chercheurs, discussions sur des forums surveillés. Un nouveau groupe de rançongiciel revendique une victime dans le même secteur que l'organisation : lecture de la revendication, recherche des techniques employées, comparaison avec les défenses en place. Rédaction d'une note d'une page pour le RSSI et transmission des indicateurs au SOC. Après-midi : point avec l'équipe de détection pour transformer un mode opératoire en règles de surveillance. Réponse à une demande de la direction des achats sur un fournisseur cité dans une fuite de données. Fin de journée : mise à jour de la fiche du groupe dans la plateforme CTI, veille en anglais, préparation du rapport hebdomadaire.

Faut-il savoir coder ?

Peu. Il faut savoir manipuler des données (tableurs, un peu de Python pour trier et automatiser la collecte), comprendre ce que fait un logiciel malveillant quand un collègue l'a analysé, et lire de la documentation technique. La CTI stratégique demande surtout de savoir enquêter et écrire ; la CTI technique demande plus de bagage.

Les profils qui réussissent

Les enquêteurs et les rédacteurs. Anciens analystes en renseignement, en géopolitique ou en veille stratégique : méthode d'analyse, gestion des sources, évaluation de la fiabilité. Anciens journalistes d'investigation ou documentalistes : recherche en sources ouvertes, recoupement, écriture claire. Anciens analystes de fraude, de risque ou de conformité bancaire : logique de détection de schémas, rigueur. Anciens analystes SOC qui veulent prendre de la hauteur. Ce qui compte : la curiosité pour comprendre l'adversaire, la capacité à douter de ses sources, la lecture de l'anglais (la quasi-totalité du matériau est en anglais), et le sens de la synthèse.

Compétences transférables

• Ancien analyste renseignement, géopolitique ou veille stratégique : cycle du renseignement, évaluation des sources, synthèse
• Ancien journaliste, documentaliste ou chercheur : recherche en sources ouvertes, recoupement, rédaction
• Ancien analyste fraude, risque ou conformité (banque, assurance) : détection de schémas, rigueur, reporting
• Ancien analyste SOC ou administrateur : compréhension des traces techniques laissées par une attaque
• Ancien traducteur ou linguiste : lecture de sources en plusieurs langues, attention aux nuances

Compétences à acquérir

• Écosystème des menaces : groupes cybercriminels et étatiques, rançongiciels, modes opératoires
• Matrice MITRE ATT&CK et modèles d'analyse (cycle du renseignement, Diamond Model, kill chain)
• Techniques OSINT et outils de collecte, plateformes de partage (MISP, OpenCTI)
• Bases de l'analyse de logiciels malveillants et des indicateurs de compromission
• Rédaction de renseignement : niveaux de confiance, formats courts, adaptation au lecteur
• Anglais professionnel, lu et écrit

Voies d’accès et certifications

• Master en cybersécurité, en relations internationales, en intelligence économique ou en criminologie, avec stage en équipe CTI
• Passage depuis un SOC ou une équipe de réponse à incident (voie la plus courante)
• Reconversion depuis le renseignement, la veille, le journalisme ou l'analyse de fraude, avec une formation cyber et une pratique OSINT démontrée
• Entrée chez un éditeur de renseignement sur la menace, un CERT ou un grand groupe (banque, défense, énergie)
• Publications personnelles : analyses de campagnes, rapports OSINT, contributions à des projets ouverts

Certifications utiles

GIAC GCTI (référence CTI, coûteuse) · CompTIA Security+ ou CySA+ pour le socle · Formations OSINT reconnues (SANS SEC497, formations françaises spécialisées) · MITRE ATT&CK Defender (gratuite) · Certifications éditeurs de plateformes CTI selon l'employeur

Salaire indicatif

Moyenne 49 650 € brut annuel (Glassdoor France, 2026, données déclaratives). Fourchettes relayées par des sites spécialisés : 40 000 à 55 000 € en junior, 60 000 à 80 000 € en senior (2025), non vérifiées auprès d'un cabinet. Aucun chiffre Hays, Robert Half ou Michael Page visible pour ce poste dans les extraits consultés.

Source ✳ Glassdoor France, 2026 ; sites spécialisés (0xhack, Cyber Teachers), 2025 · lien

Repère indicatif, jamais une promesse. Les fourchettes varient selon la région, l’expérience et la source ; nous n’affichons que des chiffres dont la source est visible.

L’idée reçue

Idée reçue : la CTI, c'est traquer des hackers sur le dark web toute la journée. Réalité : c'est surtout lire, trier, recouper et écrire pour que les bonnes personnes prennent les bonnes décisions. Le dark web représente une petite partie des sources, et le plus difficile est de savoir ce qui mérite d'être remonté.