Un script d’email jetable détourne la validation en ligne

Un script Python circulant sur le web automatise la création d’adresses temporaires et la récupération de codes de validation. Un outil modifié pour fraude et usurpation d’identité numérique.

Un script Python accessible en ligne permet de générer automatiquement des adresses email jetables et d’intercepter les messages de confirmation envoyés par divers services. L’outil s’appuie sur une API distante pour fournir des domaines valides et surveille les boîtes créées jusqu’à l’arrivée d’un code de validation numérique. Si ce code est détecté, il est extrait et affiché. Un tel mécanisme, à première vue utile pour des tests techniques, ouvre en réalité la voie à des abus massifs : contournement de vérifications par mail, création automatisée de comptes frauduleux, propagation de spam et usurpation d’identité numérique. Une illustration concrète de la façon dont un simple script peut devenir une arme cybercriminelle.

Comment fonctionne le script

Le code en question interroge une API située sur un domaine que DataSecurityBreach.fr ne citera pas. Le site est basé au Vietnam. La première étape consiste à récupérer une liste de domaines encore valides et exploitables. L’outil sélectionne ensuite celui dont l’expiration est la plus éloignée, afin de garantir une adresse fonctionnelle. Une chaîne aléatoire de lettres et chiffres est générée pour constituer la partie locale de l’adresse. Résultat : une adresse jetable de type uXXXX@domaine.com, prête à être utilisée pour un enregistrement sur n’importe quel site.

La seconde phase est celle de la surveillance. Le script interroge périodiquement l’API afin de détecter l’arrivée d’un email adressé à cette boîte. Il analyse alors l’objet et le contenu du message, cherchant une suite de chiffres comprise entre 5 et 8 caractères. Dès que ce code apparaît, il est extrait et affiché. L’utilisateur dispose ainsi du code de validation envoyé par le service ciblé, sans jamais avoir eu besoin d’une adresse personnelle.

Les dérives possibles

Sur le plan technique, l’outil n’est qu’une automatisation d’adresses temporaires déjà présentes sur le marché des « temp-mails ». Mais sa capacité à générer, intercepter et extraire directement les codes de validation le rend particulièrement dangereux. Des acteurs malveillants peuvent l’exploiter pour ouvrir des comptes en masse sur des plateformes de streaming, de réseaux sociaux ou de messageries, contournant ainsi les mécanismes de contrôle.

Une telle automatisation favorise aussi les campagnes de spam. En multipliant les adresses éphémères, les cybercriminels peuvent envoyer des messages indésirables sans crainte de blocage. Enfin, l’usurpation d’identité numérique devient envisageable : si une plateforme se contente d’une validation par email temporaire, l’attaquant peut s’y inscrire en se faisant passer pour un utilisateur légitime. Le risque touche directement les services en ligne qui ne couplent pas leur authentification à des contrôles plus robustes.

Un problème récurrent de cybersécurité

L’usage massif d’emails temporaires ne date pas d’hier. Ils sont populaires pour éviter la publicité ou protéger la vie privée. Mais l’industrialisation par script change la donne. Là où un internaute lambda devait générer manuellement son adresse et surveiller la boîte, le script fait tout automatiquement : de la création à la récupération du code. Cette automatisation réduit les coûts, augmente la vitesse et accroît la capacité de nuisance.

Pour les services en ligne, la menace est double. D’un côté, ils voient leurs systèmes d’inscription saturés par des comptes fantômes. De l’autre, ils risquent de valider des transactions ou inscriptions frauduleuses en se basant sur un contrôle d’email insuffisant. Les conséquences vont de la fraude publicitaire à la compromission de programmes de fidélité, en passant par l’ouverture de portes aux campagnes de désinformation.

Ce script illustre la facilité avec laquelle une fonction banale, l’email jetable, peut se transformer en outil de fraude à grande échelle. La vigilance s’impose autant du côté des utilisateurs, qui doivent comprendre les dérives de tels services, que des plateformes, qui ne peuvent plus se contenter d’une simple vérification par email. La vraie question est claire : combien de temps les systèmes d’inscription basés uniquement sur une adresse électronique tiendront-ils face à l’automatisation des faux comptes ?

ChatGPT accusé à Moscou de transmettre des données au Pentagone

OpenAI est accusée par un responsable russe de partager automatiquement avec les agences américaines les requêtes en russe envoyées via ChatGPT.

Selon le site Caliber, Alexander Asafov, premier vice-président de la commission de la Chambre publique de Moscou sur la société civile, affirme que les demandes en langue russe soumises à ChatGPT seraient transférées « proactivement et automatiquement » au FBI et au Pentagone. Il ajoute que des dirigeants d’entreprises d’intelligence artificielle auraient reçu cette année « des grades au Pentagone ». Aucune preuve n’a été apportée pour étayer ces accusations.

Une rhétorique géopolitique

Cette déclaration s’inscrit dans une série de prises de position russes qui présentent les grands acteurs occidentaux du numérique comme des instruments d’ingérence. En ciblant OpenAI, Moscou met l’accent sur l’usage de l’IA générative en Russie et sur les risques supposés d’espionnage. L’accusation d’un transfert automatique au FBI et au Pentagone relève davantage d’un discours politique que d’une information vérifiée.

L’angle cyber et renseignement

La Russie multiplie les alertes autour de la collecte de données par les plateformes étrangères, qu’elle considère comme un levier de surveillance occidentale. La référence à un lien direct entre OpenAI et le Pentagone illustre une stratégie classique : associer les outils numériques à une infrastructure de renseignement militaire. Cette rhétorique vise autant l’opinion publique russe que les utilisateurs potentiels de l’IA dans la région.

Ni OpenAI ni les autorités américaines n’ont réagi à cette déclaration au moment de la publication. La formulation employée par Asafov — « automatiquement » et « initiative » d’OpenAI — ne repose sur aucune documentation technique accessible. À ce stade, il s’agit d’une accusation politique relayée par la presse locale, sans élément de corroboration indépendant.

La question centrale reste donc : cette accusation relève-t-elle d’une alerte fondée sur des renseignements techniques, ou d’une construction géopolitique destinée à encadrer l’usage de l’IA en Russie ?

L’Espagne annule un contrat Huawei de 10 millions d’euros sur fond de pressions sécuritaires

Madrid a stoppé un contrat stratégique impliquant Huawei dans le réseau RedIRIS. Une décision dictée par la sécurité nationale et la crainte d’ingérences étrangères dans des infrastructures sensibles.

Le gouvernement espagnol a annulé un contrat de 9,8 millions € avec Telefónica, qui prévoyait l’installation d’équipements Huawei pour moderniser le réseau de recherche RedIRIS, utilisé par universités et Défense. Officiellement justifiée par l’autonomie stratégique, cette décision reflète aussi les pressions internationales concernant les risques liés aux fournisseurs chinois. L’annulation retarde le projet, augmente son coût et oblige à relancer la mise en concurrence. Si Madrid n’impose pas de veto explicite à Huawei, la décision marque un tournant dans la politique numérique espagnole. Elle interroge l’équilibre entre ouverture technologique et souveraineté cyber, dans un contexte de tensions croissantes entre Chine, États-Unis et Europe.

Sécurité nationale en ligne de mire

Le 29 août, le ministère espagnol de la Science et de l’Innovation a notifié à Telefónica l’annulation du contrat attribué pour équiper RedIRIS. Cette dorsale nationale relie plus de 500 institutions de recherche, dont le ministère de la Défense, et devait passer de 100 à 400 Gbps grâce à de nouveaux équipements fournis par Huawei. L’investissement prévu atteignait 9,8 millions €, financé par des fonds publics et européens.

Le gouvernement a invoqué la stratégie de « souveraineté numérique » et la nécessité de protéger les communications critiques. Cette justification masque à peine la pression exercée par les États-Unis, qui dénoncent depuis des années le risque d’espionnage inhérent aux technologies Huawei. Washington considère que la loi chinoise sur le renseignement oblige les entreprises locales à coopérer avec Pékin.

La décision espagnole ne constitue pas un bannissement officiel de Huawei. Contrairement à Londres ou Berlin, Madrid n’a pas établi de liste de fournisseurs à risque. Mais ce signal politique place Huawei dans une position défavorable pour tout futur appel d’offres public lié aux infrastructures sensibles.

Conséquences économiques et techniques

L’annulation ne reste pas sans coût. La procédure de relance entraîne des retards et oblige à revoir les budgets. Selon les projections, les offres alternatives de Nokia, Cisco ou Juniper dépasseront largement l’enveloppe initiale. Les experts évoquent une augmentation des coûts à plus de 12 millions €, en raison de la rareté des équipements et de l’urgence imposée.

Telefónica, qui avait remporté le marché en bonne et due forme, se retrouve dans une situation délicate. L’opérateur n’a pas commenté publiquement mais doit désormais renégocier avec de nouveaux fournisseurs, tout en absorbant les délais. Pour les chercheurs et le ministère de la Défense, cela signifie un report dans la modernisation de leurs communications stratégiques.

Ce surcoût illustre le dilemme auquel se confrontent de nombreux pays européens : privilégier la souveraineté technologique face à la dépendance chinoise implique souvent des dépenses supérieures. Or, l’Espagne n’avait pas anticipé ces surcoûts dans son budget initial.

Les États-Unis jouent un rôle clé dans cette affaire. Depuis l’administration Trump, Washington mène une campagne internationale pour restreindre Huawei, accusée de liens étroits avec Pékin. Les diplomates américains ont multiplié les avertissements auprès des alliés européens : intégrer des équipements chinois dans des réseaux stratégiques, c’est ouvrir une porte potentielle au renseignement chinois.

L’OTAN, dont l’Espagne est membre, a relayé ces inquiétudes. Les communications militaires et gouvernementales transitant par RedIRIS ne pouvaient, selon les experts américains, dépendre d’une technologie jugée « non fiable ». À Bruxelles, la Commission européenne a publié plusieurs recommandations encourageant les États membres à réduire leur exposition aux fournisseurs à haut risque, sans toutefois imposer de bannissement formel.

Certains pays ont choisi une approche radicale. Le Royaume-Uni a ordonné le retrait complet des équipements Huawei de son réseau 5G d’ici 2027. L’Allemagne a imposé un examen strict de sécurité pour chaque équipement critique, visant en pratique à exclure Huawei et ZTE. L’Espagne, en revanche, avait jusqu’ici adopté une ligne plus conciliante, préférant évaluer chaque projet au cas par cas. L’affaire RedIRIS démontre que cette position évolue.

Lois chinoises et soupçons d’espionnage

Le cœur des inquiétudes occidentales repose sur la loi chinoise sur le renseignement de 2017. Ce texte oblige toute entreprise enregistrée en Chine à collaborer avec les services de sécurité nationale, sur demande. Pour les agences occidentales, cela signifie que Huawei pourrait être contraint de fournir un accès à ses équipements, sans possibilité de refus ni de transparence.

Les risques évoqués ne concernent pas uniquement l’espionnage passif. Dans un scénario de conflit ou de crise diplomatique, l’insertion de portes dérobées pourrait permettre une interruption ciblée de réseaux stratégiques. Les experts parlent d’« armes dormantes » dissimulées dans le code ou les mises à jour logicielles.

Huawei réfute systématiquement ces accusations et souligne que jamais aucune preuve technique n’a démontré l’existence de telles portes dérobées. L’entreprise rappelle sa présence dans plus de 170 pays et affirme que son exclusion relève davantage de la rivalité technologique que de la cybersécurité objective. Néanmoins, la perception de risque suffit à influencer les choix politiques européens.

La décision espagnole a des répercussions bien au-delà de l’économie numérique. Elle s’inscrit dans un équilibre délicat entre deux pôles d’influence. D’un côté, la Chine est un partenaire commercial majeur pour l’Espagne, notamment dans les secteurs automobile et énergétique. De l’autre, Washington reste un allié stratégique incontournable en matière de défense et de renseignement.

Annuler un contrat Huawei, c’est envoyer un signal de proximité à l’OTAN et aux États-Unis, mais au prix d’une irritation probable à Pékin. La Chine pourrait réagir en freinant certains investissements ou en réduisant sa coopération économique. Dans un contexte où l’Espagne cherche à attirer des capitaux étrangers pour sa transition numérique, le calcul est risqué.

Sur le plan industriel, cette annulation renforce indirectement les positions de Nokia, Cisco et Juniper en Europe. Ces acteurs, souvent américains ou européens, apparaissent comme des alternatives plus sûres, bien qu’à un coût supérieur. Pour l’industrie espagnole des télécoms, cela signifie aussi une dépendance accrue à des fournisseurs occidentaux déjà fortement sollicités.

En annulant ce contrat, Madrid a fait le choix de la prudence stratégique, au détriment de la rapidité et de l’efficacité économique. La souveraineté numérique devient un axe central de la politique européenne, mais l’Espagne reste confrontée à une question cruciale : jusqu’où céder aux pressions de ses alliés sans rompre avec un partenaire commercial comme la Chine, qui détient des leviers économiques puissants ?

Amazon déjoue une attaque sophistiquée d’APT29

Amazon a bloqué une opération de watering-hole d’APT29, visant à subtiliser des identifiants Microsoft grâce à des sites compromis, du JavaScript obfusqué et des redirections sélectives.

Amazon a neutralisé une campagne d’APT29, groupe lié au renseignement russe, qui exploitait des sites web compromis pour piéger des connexions Microsoft. Les assaillants utilisaient du JavaScript obfusqué et des mécanismes de redirection conditionnelle afin de tromper une partie des visiteurs. Près de 10 % du trafic était renvoyé vers des domaines contrôlés par l’attaquant, imitant Cloudflare pour capter les identifiants via le flux d’authentification par code d’appareil de Microsoft. Amazon a isolé les instances malveillantes et collaboré avec Microsoft et Cloudflare pour interrompre les infrastructures frauduleuses. Aucun système AWS n’a été compromis. Cette opération illustre le raffinement technique d’APT29 et la réponse coordonnée nécessaire pour contrer ces campagnes.

Attaque sur des sites légitimes

En août, plusieurs sites web authentiques ont été piégés par l’ajout d’un script JavaScript malveillant. Ce code, fortement obfusqué, recourait à l’encodage base64 pour masquer ses fonctions et compliquer l’analyse. Sa mission : déterminer si l’utilisateur devait être redirigé vers une infrastructure contrôlée par APT29. Seule une minorité de visiteurs, environ 10 %, était ciblée, réduisant le risque de détection. Les victimes aboutissaient sur un domaine imitant une vérification Cloudflare, notamment findcloudflare[.]com. Cette fausse étape permettait d’exploiter le flux d’authentification par code de périphérique de Microsoft et d’intercepter les tentatives de connexion.

L’activité a été repérée sur des instances EC2 utilisées à des fins malveillantes. Amazon a immédiatement isolé ces serveurs, bloqué leurs communications et engagé une coopération avec Cloudflare et Microsoft. Ensemble, ils ont procédé à la désactivation rapide des domaines frauduleux. Chaque fois qu’APT29 tentait de rétablir son infrastructure avec de nouveaux serveurs ou domaines, l’alliance technique permettait une coupure immédiate. Amazon a assuré qu’aucun système interne n’avait été touché par la campagne.

Tactiques techniques et sophistication

Les techniques employées confirment le niveau avancé d’APT29. Le JavaScript obfusqué rendait son contenu difficile à déchiffrer, dissimulant les instructions de redirection. Des redirections côté serveur permettaient d’alterner les comportements selon l’adresse IP, l’agent utilisateur ou le fuseau horaire du visiteur. L’usage de cookies servait à limiter la fréquence des redirections, empêchant un analyste de reproduire facilement le scénario d’attaque. Cette approche réduisait fortement les traces visibles et rendait l’infection plus persistante. Enfin, la rotation d’infrastructures, avec migration rapide entre domaines et serveurs compromis, ajoutait une résilience opérationnelle. Ces choix tactiques révèlent un objectif clair : espionner durablement sans attirer l’attention des défenses automatisées.

APT29, affilié au SVR russe, multiplie les campagnes contre les cibles stratégiques. Après des tentatives de phishing imitant AWS en 2024 et une campagne contre chercheurs et universitaires en 2025, le groupe renforce ses méthodes. Le recours à l’obfuscation avancée et aux redirections sélectives montre une stratégie d’ingénierie discrète, adaptée aux environnements cloud et aux services massivement utilisés. L’objectif reste constant : collecter des identifiants pour pénétrer des réseaux sensibles.

Les autorités américaines ont saisi deux domaines utilisés par le service de renseignement russe SVR (APT29/Cozy Bear) dans une vaste campagne de piratage. En mai 2021, les attaquants ont compromis un compte de l’USAID sur Constant Contact pour envoyer près de 3 000 e-mails piégés à plus de 150 organisations dans 24 pays. Les liens redirigeaient vers theyardservice[.]com, qui distribuait un malware installant Cobalt Strike. Les communications passaient aussi par worldhomeoutlet[.]com. Déjà en mai 2018, les États-Unis avaient saisi des domaines liés au botnet VPNFilter d’APT28. Microsoft a mené des actions similaires en 2018 et 2021.

L’affaire démontre la capacité d’APT29 à développer des outils furtifs et l’importance d’une veille proactive pour détecter l’obfuscation et les redirections conditionnelles. Jusqu’où ces techniques d’évasion, à la frontière entre espionnage discret et attaques massives, peuvent-elles encore progresser face aux systèmes de défense automatisés ?

Breach Salesloft Drift : Cloudflare, Zscaler et Palo Alto touchés

Un piratage via l’intégration Salesloft Drift-Salesforce a compromis plusieurs géants de la cybersécurité. Des tokens OAuth volés ont ouvert l’accès à des données sensibles.

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

 

Un acteur malveillant a exploité une faille dans l’intégration Salesloft Drift-Salesforce pour siphonner des tokens OAuth et refresh. L’attaque, détectée en août 2025, a touché des entreprises majeures, dont Cloudflare, Zscaler et Palo Alto Networks. Les données volées incluent identités, contacts, contenus de support et même des identifiants de services critiques. L’incident interroge sur la sécurité des intégrations SaaS et l’exposition croissante des chaînes logicielles.

Un piratage sophistiqué ciblant les intégrations Salesforce

Entre le 8 et le 18 août 2025, un groupe baptisé UNC6395 a exploité l’intégration entre Salesloft Drift et Salesforce pour dérober massivement des tokens OAuth. Ces jetons permettaient d’accéder directement à des environnements Salesforce, ouvrant un accès sans authentification supplémentaire à de multiples données.

Les tokens, une fois volés, ont servi à exfiltrer des informations sensibles de plusieurs clients Salesforce. Parmi les organisations ciblées figurent des acteurs critiques du secteur cyber, dont Zscaler, Cloudflare et Palo Alto Networks. D’autres éditeurs comme Tanium et SpyCloud figurent aussi sur la liste des victimes confirmées.

Les attaquants ont ciblé les champs de support et les données clients stockées dans Salesforce. Selon les premières analyses, l’accès concernait à la fois des informations personnelles (noms, emails, numéros de téléphone) et des données techniques ou organisationnelles (clés AWS, tokens Snowflake, identifiants internes). Google Threat Intelligence Group (GTIG) attribue cette campagne à UNC6395, tout en soulignant l’absence de preuves solides reliant l’opération au collectif ShinyHunters, pourtant prompt à revendiquer la responsabilité.

 

⏳ Jusqu’où tolérerez-vous d’être piraté ?

CTI ZATAZ – Scannez les menaces vous concernant avant qu’il ne soit trop tard.

✅ Scanner mes risques

Confidentiel. Instantané. Sécurisé. Zéro intermédiaire. 100 % Made in France.

Des données sensibles exposées chez les leaders de la cybersécurité

Chez Cloudflare, les assaillants ont pu consulter des tickets de support, comprenant noms, coordonnées de clients et contenus des échanges. Certaines informations techniques soumises par des utilisateurs, comme des logins, ont également été exposées.

Zscaler a confirmé le vol de données relatives aux licences produits, aux postes occupés par ses clients et aux numéros de téléphone professionnels. Les échanges de support, parfois détaillés, faisaient partie du lot.

Chez Palo Alto Networks, les intrusions ont permis d’accéder aux données de comptes de vente internes, ainsi qu’à certains cas de support contenant des informations sensibles.

L’ampleur exacte du volume exfiltré n’a pas été chiffrée publiquement, mais plusieurs entreprises reconnaissent la possibilité que des credentials techniques aient été compromis. Salesforce a de son côté averti que les attaquants pouvaient avoir récupéré des clés AWS et des identifiants de services cloud critiques.

Si ces informations étaient exploitées pour une intrusion secondaire, les conséquences pourraient être majeures. La compromission d’intégrations SaaS utilisées par des milliers d’entreprises illustre la difficulté croissante à protéger les chaînes de confiance logicielles.

Réponses d’urgence et interrogations persistantes

Face à l’attaque, Salesforce et Salesloft ont immédiatement désactivé l’application Drift, révoqué les tokens associés et retiré Drift de l’AppExchange. Les entreprises touchées ont lancé des investigations internes, notifié leurs clients et enclenché des rotations massives de clés et tokens.

Cloudflare, Zscaler et Palo Alto Networks affirment que les systèmes centraux de leurs infrastructures n’ont pas été atteints. Les exfiltrations se limiteraient aux données Salesforce accessibles via Drift. Cependant, la confiance des clients reste mise à l’épreuve, d’autant que l’exploitation de tokens OAuth confère aux assaillants une persistance difficile à détecter.

Google GTIG rappelle que les campagnes d’UNC6395 se caractérisent par une exploitation rapide des intégrations SaaS et par un usage intensif de tokens volés. Leur mode opératoire témoigne d’une compréhension fine des environnements cloud modernes.

L’affaire soulève une question centrale : comment contrôler la prolifération d’applications tierces connectées aux environnements critiques, quand chacune d’elles peut devenir une porte d’entrée invisible ? Le piratage Salesloft Drift rappelle la fragilité des chaînes SaaS : une seule application compromise peut entraîner la fuite de données sensibles chez des acteurs mondiaux de la cybersécurité. L’enjeu stratégique devient clair : comment redéfinir la gestion des intégrations cloud pour éviter que le maillon faible ne compromette tout un écosystème ?

Selon 6Sens, environ 110 entreprises en France utilisent Salesloft (contre 390 au Royaume-Uni, 286 au Canada) .

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

WhatsApp exploité sans clic : faille critique sur iOS et macOS

Une vulnérabilité critique de WhatsApp a permis des attaques sans interaction utilisateur. Meta confirme l’exploitation, Amnesty alerte : journalistes et ONG ciblés.

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

Retour de la cyber attaque sans clic de souris ! Une vulnérabilité critique de WhatsApp pour iOS et macOS, identifiée comme CVE‑2025‑55177, a été activement exploitée en conjonction avec une faille d’iOS (CVE‑2025‑43300) pour mener des attaques zero‑click. Meta a confirmé des cyberattaques réelles. Amnesty International signale plusieurs alertes envoyées à des cibles potentielles, notamment des journalistes et des membres de la société civile. L’exploitation permettait de forcer WhatsApp à charger des données à partir d’URL arbitraires sur l’appareil, sans interaction. Les failles ont été corrigées fin juillet et début août 2025. Les experts recommandent la réinitialisation des appareils et une mise à jour immédiate. Une fois de plus, le logiciel espion gouvernemental est dans le viseur, sans attribution claire à ce jour.

Un scénario invisible : la vulnérabilité zero-click

Le 28 juillet 2025, WhatsApp publiait discrètement une mise à jour de sécurité pour ses utilisateurs iOS. Derrière ce correctif, une vulnérabilité critique dormait dans les lignes de code. CVE‑2025‑55177 permettait à un attaquant distant de manipuler WhatsApp afin qu’il charge du contenu depuis une URL arbitraire stockée sur l’appareil de la cible. Le danger en soi était déjà notable. Mais combinée à une autre faille (CVE‑2025‑43300) propre à iOS, la menace s’est transformée en une attaque sans clic : aucune interaction de l’utilisateur n’était nécessaire pour que le malware s’active.

La combinaison des deux failles a permis une exploitation silencieuse. Une simple ouverture automatique, un processus en arrière‑plan, suffisait à compromettre un appareil. Aucun lien à cliquer, aucun fichier à ouvrir. Les attaques de ce type, dites zero‑click, sont parmi les plus redoutées : elles sont invisibles, instantanées, souvent indétectables.

 

⏳ Jusqu’où tolérerez-vous d’être piraté ?

CTI ZATAZ – Scannez les menaces vous concernant avant qu’il ne soit trop tard.

✅ Scanner mes risques

Confidentiel. Instantané. Sécurisé. Zéro intermédiaire. 100 % Made in France.

Des cibles bien choisies, une attribution floue

Meta, maison‑mère de WhatsApp, a confirmé que la vulnérabilité avait été utilisée lors d’attaques réelles. L’entreprise a envoyé des notifications à certains utilisateurs ciblés, comme le prévoit sa politique de transparence. Amnesty International, qui suit régulièrement l’usage des logiciels espions contre les acteurs de la société civile, a confirmé avoir identifié plusieurs victimes potentielles. Parmi elles, des journalistes, des chercheurs et des membres d’organisations non gouvernementales.

La nature des cibles laisse peu de doute : il s’agit d’une campagne de surveillance avancée. Et bien que l’origine exacte de l’attaque n’ait pas encore été révélée, les analystes convergent vers une piste familière : l’usage de spyware commercial, probablement d’origine étatique. Ces outils, souvent vendus à des gouvernements sous couvert de sécurité nationale, sont régulièrement détournés à des fins de surveillance illégitime.

Les campagnes précédentes ont montré que les logiciels espion comme Pegasus ou Predator utilisent exactement ce type de vulnérabilités : zero‑click, multi‑plateformes, orientées interception. Rien ne permet d’affirmer que l’un de ces noms est impliqué ici, mais la logique, elle, ne change pas.

Correctifs déployés, mais la prudence reste de mise

WhatsApp a rapidement comblé la faille. La version 2.25.21.73 pour iOS, déployée le 28 juillet, intègre le correctif principal. WhatsApp Business, quant à lui, a reçu une mise à jour le 4 août (version 2.25.21.78), tout comme l’application macOS. Ces correctifs sont essentiels, mais ne suffisent pas à effacer les conséquences d’une compromission.

Les experts en sécurité recommandent aux utilisateurs concernés — ou suspectant avoir été ciblés — d’effectuer une réinitialisation complète de leur appareil aux paramètres d’usine. Cette mesure radicale est souvent la seule capable de déloger un spyware implanté profondément dans le système.

La vulnérabilité n’a été exploitée qu’en conjonction avec des versions spécifiques d’iOS, et les appareils mis à jour seraient désormais protégés. Mais l’incident rappelle la complexité croissante de la menace : ce ne sont plus des failles isolées, mais des chaînes de vulnérabilités interconnectées, conçues pour frapper vite et rester invisibles. Et surtout, la question fondamentale demeure : quelle structure est derrière cette attaque ciblée ? Et combien d’autres failles attendent, silencieusement, dans le code ?

L’exploitation de CVE‑2025‑55177 n’est pas qu’une alerte technique. C’est une démonstration de force. Elle prouve que, même dans les applications les plus surveillées, des failles critiques subsistent. Et qu’elles sont activement exploitées par des entités capables, organisées, et patientes.

Si les correctifs sont essentiels, ils n’empêchent pas les dégâts. La confiance dans la technologie repose sur un équilibre fragile, que chaque vulnérabilité zero‑click érode un peu plus. Et pendant que les patchs se diffusent, les attaquants, eux, peaufinent déjà leur prochaine méthode.

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

Snake : un faux document militaire pour piéger l’aérospatiale

Un keylogger avancé se cache dans un faux fichier officiel turc. La Turquie, et son industrie de défense, sont visées. Snake frappe sans alerter l’utilisateur.

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

 

Une campagne de phishing ciblé, sophistiquée et discrète, frappe les entreprises turques de l’aérospatiale et de la défense. Déguisé en document Excel légitime de Turkish Aerospace Industries, le fichier malveillant déploie Snake, un keylogger furtif qui échappe à Windows Defender, collecte des données sensibles depuis les navigateurs et les clients mail, et exfiltre le tout via un serveur SMTP frauduleux. La charge secondaire “Remington”, injectée en mémoire, est déployée par l’outil Chiron. La Turquie répond par une signature YARA spécifique et une mobilisation coordonnée de l’équipe USOM. L’incident illustre le niveau de sophistication croissant des outils d’espionnage numérique dans un secteur où chaque frappe peut coûter cher.

Une attaque invisible dans un faux costume officiel

C’est un fichier anodin qui arrive dans une boîte mail. Une pièce jointe au format .xlsx.exe, déguisée en document commercial de Turkish Aerospace Industries. Rien d’alarmant au premier regard. Mais dès son ouverture, le piège se referme. Snake, un keylogger furtif (il intercepte les frappes clavier), s’installe dans le système, modifie les paramètres de sécurité de Windows Defender via PowerShell, et se dissimule dans une tâche planifiée exécutée à chaque démarrage.

Le stratagème repose sur une ingénierie sociale soignée. L’attaque cible uniquement des profils liés à l’industrie turque de la défense et de l’aérospatiale. Chaque message semble personnalisé, chaque expéditeur crédible. Le malware Snake s’installe silencieusement et donne l’impression d’être un utilitaire inoffensif, comme une calculatrice de température. En réalité, c’est un outil d’espionnage de nouvelle génération, chargé en mémoire de manière dynamique, sans laisser de traces classiques sur le disque.

Snake et Remington : un duo d’intrusion redoutable

Une fois en place, Snake commence son travail de collecte. Il cible les navigateurs les plus courants — Chrome, Firefox, Edge, Brave — et siphonne logins, cookies, données de formulaire, historiques, informations de cartes bancaires. Mais il ne s’arrête pas là. Snake explore également les clients de messagerie, déchiffrant les identifiants d’Outlook, Thunderbird ou Fox Mail grâce à l’analyse du registre Windows et des fichiers de stockage locaux.

La deuxième phase de l’attaque est tout aussi discrète. Baptisée Remington, cette charge complémentaire est injectée via l’outil Chiron, souvent utilisé pour encapsuler des fichiers .NET protégés. Elle agit en mémoire, sans être écrite sur le disque, évitant ainsi les antivirus traditionnels. L’ensemble de l’opération repose sur une architecture offensive modulaire, où chaque brique est conçue pour rester invisible.

 

⏳ Jusqu’où tolérerez-vous d’être piraté ?

CTI ZATAZ – Scannez les menaces vous concernant avant qu’il ne soit trop tard.

✅ Scanner mes risques

Confidentiel. Instantané. Sécurisé. Zéro intermédiaire. 100 % Made in France.

L’exfiltration des données se fait par SMTP, un choix inhabituel qui permet d’éviter certains pare-feu ou proxies. Le domaine utilisé (htcp.homes) se présente comme anodin, mais les identifiants de connexion au serveur sont intégrés dans le binaire, chiffrés à l’aide de l’algorithme DES. Une méthode ancienne mais suffisante pour dissuader les analyses automatisées.

La Turquie riposte, mais la menace persiste

Face à la menace, les autorités turques réagissent vite. L’équipe nationale USOM (équivalent turc du CERT) coordonne la réponse technique. Une règle YARA est diffusée pour identifier les fichiers .NET contenant les signatures spécifiques à Snake. Cette détection repose sur des caractéristiques uniques : noms de classes, flux d’injection mémoire, chaînes d’encodage base64 internes.

Mais au-delà de la réponse immédiate, c’est la stratégie défensive des secteurs sensibles qui est questionnée. Le niveau de sophistication de cette campagne montre que les attaquants disposent de moyens significatifs, d’un ciblage précis et d’un savoir-faire avancé dans la furtivité. Le fichier malveillant ne visait pas la masse, mais des postes clés, probablement techniques ou décisionnels.

Ce type d’attaque pourrait être une étape d’une opération plus large : infiltration, reconnaissance, préparation d’une compromission durable ou d’un vol massif de données stratégiques. Dans un contexte de tensions régionales et d’accélération de la compétition technologique, chaque fuite peut faire pencher l’équilibre d’un marché ou d’un programme militaire.

L’attaque menée par Snake n’a rien de classique. Elle est chirurgicale, modulaire, silencieuse. Elle témoigne d’une évolution préoccupante des malwares d’espionnage dans les secteurs de haute valeur technologique. Ce que révèle cette campagne, ce n’est pas seulement la vulnérabilité d’une infrastructure, mais celle d’un écosystème humain, où le faux sentiment de légitimité d’un document peut suffire à compromettre un projet entier.

La question reste ouverte : combien de fichiers de ce type circulent actuellement, en sommeil dans les messageries, attendant l’ouverture d’un clic trop confiant ?

Rejoignez-nous sur les réseaux sociaux

Aucun spam – Désinscription en un clic – Vie privée respectée

FreeVPN.One : un espion masqué sur Chrome pendant des mois

Sous couvert de protéger la vie privée, une extension Chrome vérifiée a mené une vaste opération d’espionnage silencieux. Plus de 100 000 victimes. Silence radio côté développeur.

L’extension FreeVPN.One, téléchargée plus de 100 000 fois sur Chrome, s’est révélée être un puissant outil de surveillance déguisé. Derrière son label « vérifié » par le Chrome Web Store, elle capturait en secret des captures d’écran des navigateurs, extrayait des données sensibles et les transmettait à des serveurs distants. L’attaque, perfectionnée au fil des versions, exploitait des autorisations critiques, changeait de nom et ajoutait du chiffrement sophistiqué pour brouiller les pistes. En prétendant analyser les menaces, elle siphonnait en réalité des informations personnelles et professionnelles. Cet incident soulève des questions profondes sur la fiabilité du modèle de validation de Google. Quand la sécurité devient façade, qui contrôle vraiment l’extension ?

Une extension banale, une menace invisible

Pendant des mois, FreeVPN.One a fait partie du paysage numérique de nombreux internautes. Téléchargée depuis le Chrome Web Store, affichant fièrement la mention « vérifiée », elle offrait un service de protection de la vie privée, un VPN gratuit et simple d’utilisation. Rien d’inhabituel à première vue. Pourtant, derrière cette façade rassurante se cachait une opération d’espionnage massive, organisée et habilement dissimulée. L’extension, installée sur plus de 100 000 navigateurs, agissait silencieusement à chaque navigation.

La mécanique était bien huilée : à chaque chargement de page, des scripts étaient injectés en arrière-plan. Une temporisation précise de 1,1 seconde permettait d’activer une API peu connue du grand public, chrome.captureVisibleTab(). Ce simple appel technique suffisait à figer l’instantané de la page visitée. De Google Docs à Gmail, en passant par les plateformes bancaires et les services photo, rien n’échappait à la surveillance.

Les images ainsi capturées étaient encodées en base64 et transférées discrètement vers un serveur distant, identifié comme appartenant au domaine aitd.one. La collecte ne se limitait pas aux captures : adresse IP, géolocalisation, caractéristiques techniques du terminal, tout était aspiré et archivé. L’utilisateur, de son côté, ne voyait rien. Pas de ralentissement, pas d’alerte, aucune anomalie visible.

Une évolution toxique et programmée

Le processus d’infiltration s’est affiné sur plusieurs mois. L’analyse des versions successives révèle une stratégie en trois temps. À partir de la version 3.0.3, publiée au printemps 2025, FreeVPN.One demande une autorisation critique : <all_urls>. Ce simple paramètre ouvre l’accès à l’ensemble des sites visités, sans distinction. À partir de là, tout devient possible.

Puis vient la mutation. Avec la version 3.1.1, l’extension change de nom et se rebaptise « AI Threat Detection ». Un repositionnement sémantique malin, qui laisse entendre qu’elle renforcerait la sécurité de l’utilisateur en détectant d’éventuelles menaces à l’aide de l’intelligence artificielle. Une couverture parfaite pour masquer des fonctions d’espionnage toujours plus sophistiquées.

Dans les versions suivantes (3.1.3 et 3.1.4), le basculement est complet. La collecte de données s’intensifie et un chiffrement AES‑256‑GCM est mis en place, couplé à un empaquetage des clés avec RSA. Ce double verrou rend l’analyse des flux sortants particulièrement complexe, même pour les experts. La structure à deux niveaux (scripts injectés, capture différée, envoi chiffré) fait penser à une opération pensée pour durer, mais surtout pour ne pas être découverte.

Le discours du développeur, lorsqu’il était encore joignable, évoquait un simple outil d’analyse destiné à identifier les « domaines suspects ». Mais cette défense s’écroule face aux preuves : des captures issues de services de confiance (Google Photos, Sheets, etc.) ont été retrouvées sur les serveurs, sans aucune justification légitime. La dissimulation prend alors une autre tournure.

Silence du développeur, échec de Google

Le responsable de l’extension, contacté par plusieurs chercheurs en cybersécurité, a brusquement cessé toute communication. Son site de référence, construit sur une base Wix générique, ne comporte aucun contenu concret, aucune mention légale, aucune identité vérifiable. L’opacité est totale.

Plus troublant encore : malgré les signaux d’alerte répétés, FreeVPN.One a conservé son statut « vérifié » pendant toute la durée de son activité malveillante. Ce label, censé rassurer l’utilisateur, a paradoxalement joué contre lui. Il a renforcé la confiance, facilité la diffusion et multiplié les installations. Un échec structurel du Chrome Web Store, déjà critiqué par le passé pour ses failles de contrôle.

Cette affaire illustre une réalité inquiétante : même les extensions officiellement validées par Google peuvent devenir des vecteurs de surveillance massive. Et dans un contexte de tensions géopolitiques croissantes, l’enjeu dépasse le simple cadre technique. Qui étaient les véritables bénéficiaires des données collectées ? Pour quelles finalités ces captures ont-elles été stockées, organisées, analysées ? Aucune réponse officielle, mais des indices qui pointent vers une exploitation à grande échelle, peut-être au service d’acteurs étatiques ou de groupes opérant en sous-traitance.

Ce que révèle FreeVPN.One dépasse le cas isolé d’une extension malveillante. Il s’agit d’un signal d’alarme. La confiance accordée aux labels de sécurité, les promesses de confidentialité, les discours de protection sont aujourd’hui trop facilement détournés. Derrière une interface propre et un slogan rassurant, se cache parfois une mécanique d’espionnage redoutablement efficace.

Et si cette affaire n’est qu’un exemple parmi d’autres, elle pose une question fondamentale : dans un écosystème où les extensions peuvent tout voir, tout lire, tout enregistrer, qui surveille vraiment les surveillants ?

Yandex sanctionné pour avoir refusé l’accès du FSB à Alisa

Le conflit entre innovation domestique et sécurité d’État s’expose publiquement. Yandex vient d’être sanctionné pour n’avoir pas ouvert au FSB un accès permanent à sa maison intelligente Alisa.

Un tribunal de Moscou a condamné Yandex à une amende de 10 000 roubles (environ 105 euros) pour avoir refusé de donner au FSB un accès permanent à sa plateforme de maison intelligente « Alisa ». La décision, prise fin juin 2025, dépasse le cadre d’une simple sanction financière : elle illustre l’extension de la loi Yarovaya aux objets connectés. Derrière ce jugement se profile un enjeu central pour la Russie : intégrer la sphère privée dans le dispositif de surveillance numérique. Quelles conséquences pour l’avenir des technologies domestiques, pour les entreprises opérant en Russie et pour les citoyens dont le foyer devient zone de contrôle ?

Les faits

Le 28 mai 2025, le FSB a transmis à Roskomnadzor un rapport d’inspection. Selon les services de sécurité, Yandex n’avait pas mis en place l’accès permanent requis à la ressource « yandex.ru/alice/smart-home ». La demande initiale consistait à garantir une disponibilité totale, 24 h sur 24, aux flux générés par l’écosystème Alisa.

L’affaire a été portée devant le tribunal du district de Khamovniki, à Moscou. Le 27 juin, le juge Vladislav Pojilovski a rendu sa décision : la culpabilité de Yandex était établie. En tant qu’« organisateur de la diffusion d’informations » (ORI), la société avait l’obligation légale de se conformer aux prescriptions. Le non-respect est considéré comme une infraction administrative, selon l’article 19.5 du Code de la Fédération de Russie.

Le représentant de Yandex ne s’est pas présenté à l’audience. Le tribunal, après analyse des pièces, a jugé l’entreprise coupable et infligé une amende de 10 000 roubles (105 euros).

Le montant peut sembler dérisoire. Mais le symbole est lourd : c’est la première fois qu’une plateforme de maison intelligente est sanctionnée pour avoir refusé l’accès intégral aux services de renseignement.

La décision marque une étape. Jusqu’ici, les sanctions avaient visé des messageries chiffrées comme Telegram. Avec Alisa, l’État russe franchit un seuil : celui de la vie domestique.

Les enjeux

La loi Yarovaya, adoptée en 2016, oblige les ORI à conserver et transmettre les communications aux autorités. L’esprit initial visait les fournisseurs de messageries, les réseaux sociaux et les services de courrier électronique. Mais son extension progressive touche désormais tout système numérique capable de traiter des données personnelles.

La qualification d’ORI appliquée à Alisa pose problème. Les messageries véhiculent des textes et des fichiers ; la maison intelligente produit des flux de voix, de vidéos, de données de capteurs. Assimiler ces deux réalités sous une même catégorie légale entraîne une application uniforme de la loi à des environnements techniques radicalement différents.

RUne phrase prononcée dans un salon devient, juridiquement, l’équivalent d’un message envoyé sur une messagerie cryptée.

Implications techniques

L’assistant vocal Alisa n’est pas un simple logiciel. Il coordonne des dizaines d’appareils connectés : enceintes, thermostats, caméras de surveillance, volets roulants, détecteurs de mouvement, téléviseurs. Mettre en place un accès complet pour le FSB suppose de centraliser ces flux dans une interface unique et de maintenir un accès permanent.

Cela équivaudrait à donner aux services de renseignement une cartographie détaillée du foyer : horaires de présence, habitudes de consommation, conversations privées, voire données médicales si des capteurs de santé sont connectés.

Développer une telle passerelle est extrêmement coûteux. Les investissements se chiffrent en millions d’euros. Pour une entreprise déjà soumise à de fortes contraintes réglementaires et économiques, la perspective de payer une amende symbolique est parfois plus rentable que de modifier toute l’architecture technique.

Certains analystes estiment que Yandex a délibérément choisi de ne pas se conformer. En acceptant la sanction, l’entreprise évite à la fois un coût démesuré et la perte de confiance des utilisateurs.

L’affaire révèle une faille du droit russe : l’absence de distinction entre services numériques hétérogènes. Une messagerie chiffrée et un réfrigérateur connecté sont rangés dans la même catégorie. Cette généralisation, pratique pour les services de sécurité, ignore les réalités techniques et complique l’application.

La décision judiciaire ouvre une perspective inquiétante : l’extension de la surveillance à tous les objets connectés. Les détecteurs de fumée, les voitures autonomes, les équipements médicaux domestiques pourraient demain être intégrés dans le réseau de contrôle.

Chaque foyer, chaque appareil deviendrait une antenne potentielle du système sécuritaire.

Yandex condamné pour refus d’accès du FSB à sa maison intelligente Alisa. Analyse d’une décision qui élargit la loi Yarovaya aux objets connectés et à la sphère privée.

Lipsync-2-pro : l’arme secrète de la synchronisation labiale ultra-réaliste

La nouvelle IA de Sync Labs promet un doublage 4K précis, multilingue et fidèle à l’élocution originale.

Avec lipsync-2-pro, Sync Labs propulse la synchronisation labiale dans une nouvelle ère : résolution 4K, rendu studio, adaptation automatique au style vocal et détection du locuteur. Le tout dans plus de 95 langues. Une avancée technologique majeure pour le cinéma, le contenu digital et les opérations de renseignement.

Une révolution invisible : l’IA derrière les lèvres

Quand Thomas, un cinéaste indépendant lyonnais, découvre lipsync-2-pro, il comprend instantanément qu’il vient de gagner des mois de postproduction. En un clic, il double son court-métrage de 12 minutes dans six langues différentes. Les visages sont nets, les mouvements de lèvres parfaitement synchronisés, la barbe et les dents conservées avec un réalisme troublant. Pour la première fois, l’illusion est totale.

Sorti en 2025, ce modèle développé par Sync Labs repousse les limites de la synchronisation labiale. Contrairement à ses prédécesseurs, lipsync-2-pro ne floute pas les détails, ne transforme pas l’élocution, et surtout, il comprend qui parle, quand, et comment. C’est l’aboutissement de plusieurs années de recherche en super-résolution, en modélisation faciale, et en deep learning linguistique.

Car derrière cette prouesse technologique se cache une ambition bien plus vaste : uniformiser la voix numérique dans le respect du naturel, quelle que soit la langue, le visage ou le format de la vidéo.

La voix d’un autre, avec votre visage

Au cœur de lipsync-2-pro se trouve une technologie de diffusion à super-résolution. Elle permet de générer des vidéos en qualité 4K, sans sacrifier les détails les plus subtils : rides, texture de la peau, pilosité, dents visibles ou non… tout est reconstitué avec une précision quasi organique. Contrairement aux anciens systèmes qui réécrivaient une bouche figée sur un visage pixelisé, lipsync-2-pro conserve l’identité visuelle et émotionnelle du locuteur.

Mais ce n’est pas tout. Le modèle s’adapte au style d’élocution, ce qui lui permet de préserver le rythme, les pauses, l’intonation. Une performance rendue possible par un mécanisme de type zero-shot, qui ne nécessite aucun entraînement préalable. En pratique, cela signifie qu’un simple extrait audio, doublé dans une autre langue, suffit pour générer une version entièrement synchronisée, sans perdre l’ADN vocal du personnage d’origine.

Un autre atout de taille : le modèle détecte automatiquement le locuteur actif dans les scènes polyphoniques. Plus besoin de découper manuellement les dialogues, ni de réencoder les plans individuellement. Cette capacité à gérer des interactions complexes ouvre la voie à des usages jusque-là hors de portée de l’intelligence artificielle.

Une IA multilingue taillée pour le renseignement

Avec la prise en charge de plus de 95 langues, lipsync-2-pro dépasse le cadre du cinéma ou du marketing digital. Il devient un outil stratégique dans le champ du cyber, du renseignement et de la communication d’influence. Imaginez pouvoir reconstituer un discours, un interrogatoire ou une vidéo de propagande dans une autre langue tout en conservant les caractéristiques physiques et orales du locuteur. Le gain analytique est immense.

Dans un monde où la désinformation s’appuie de plus en plus sur des vidéos trafiquées ou des contenus traduits de manière brute, lipsync-2-pro permet de croiser les langues sans altérer la forme, ouvrant de nouveaux horizons pour les analystes en OSINT, les linguistes en mission ou les services de contre-influence. En doublant un contenu tout en maintenant la synchronisation labiale parfaite, l’outil conserve la crédibilité émotionnelle du message original, ce qui est crucial pour comprendre les intentions réelles de l’orateur.

Autre fonctionnalité précieuse : la modification des dialogues en postproduction, qui permet de corriger, effacer ou adapter des propos sans réenregistrer l’audio ou reconstituer la scène. Cette capacité donne aux agences et studios un contrôle narratif inédit sur les contenus sensibles.

La vidéo multilingue à la portée de tous

Ce niveau de finesse a un prix : lipsync-2-pro consomme plus de ressources et coûte entre 0,067 $ et 0,083 $ la seconde (soit environ 0,063 € à 0,078 €) en traitement, et tourne 1,5 à 2 fois plus lentement que la version précédente. Mais pour les professionnels, le rapport temps/qualité est imbattable.

Pour les créateurs de contenu, les journalistes ou les cinéastes indépendants, lipsync-2-pro change radicalement la donne. Il devient possible de tourner dans sa langue maternelle, puis de générer automatiquement une version pour un public international, sans studio de doublage, ni perte de qualité. Une économie de temps, mais surtout une liberté artistique décuplée.

Les blogueurs peuvent ainsi s’ouvrir à des marchés étrangers en conservant leur identité visuelle et sonore. Les studios, eux, peuvent adapter leur catalogue existant à de nouveaux territoires sans coûts de localisation massifs. Et les communicants institutionnels, produire des messages multilingues au style cohérent, crédible et instantanément diffusables.

Une technologie de rupture ou d’illusion ?

La frontière entre amélioration et manipulation devient ténue. Comme toute technologie de génération réaliste, lipsync-2-pro soulève des questions éthiques. L’outil peut-il être utilisé pour créer de faux témoignages crédibles ? Pour altérer un message, tout en conservant l’apparence de véracité ? Des garde-fous existent, mais l’enjeu dépasse la technique : il touche à notre capacité collective à discerner le réel du synthétique.

Reste que lipsync-2-pro est une avancée majeure. En moins de deux ans, la synchronisation labiale est passée de gadget semi-réaliste à outil de production de niveau studio, fiable, multilingue, et totalement adaptable. Une révolution silencieuse, mais visible sur toutes les lèvres.