Tous les articles par Damien Bancal

Damien Bancal, expert reconnu en cybersécurité Damien Bancal est une figure incontournable de la cybersécurité, reconnu à l’international pour son expertise et son engagement depuis plus de 30 ans. Fondateur de ZATAZ.com en 1989 (et DataSecurityBreach.fr en 2015), il a fait de ce média une référence majeure en matière de veille, d’alertes et d’analyses sur les cybermenaces. Auteur de 17 ouvrages et de plusieurs centaines d’articles pour des médias comme Le Monde, France Info ou 01net, il vulgarise les enjeux du piratage informatique et de la protection des données personnelles. Lauréat du prix spécial du livre au FIC/InCyber 2022, finaliste du premier CTF Social Engineering nord-américain (2023), et vainqueur du CTF Social Engineering du HackFest Canada (2024), il est reconnu pour sa capacité à allier pratique du terrain et transmission pédagogique. Le New York Times ou encore Le Big Data ont salué son parcours, et l’agence Tyto PR l’a classé parmi les 500 personnalités tech les plus influentes en 2023. Il est aujourd’hui 9ᵉ influenceur cyber en Europe. Chroniqueur à la radio et à la télévision (France Info, RTL, M6, Medi1...), il est également réserviste citoyen au sein de la Gendarmerie Nationale (Lieutenant-Colonel - Unité Nationale Cyber) et de l'Éducation Nationale (Hauts-de-France). Médaillé de la Défense Nationale (Marine) et des réservistes volontaires, il poursuit son engagement au travers de son entreprise veillezataz.com, lancée en 2022.
Cybersécurité, Espionnae, Espionnage Spy, IA, Securite informatique, Vie privée

Des extensions espionnent vos chats avec des IA

Laisser un commentaire

Des extensions censées protéger la vie privée ont siphonné des conversations avec des chatbots. Selon des chercheurs, plus de 8 millions d’utilisateurs ont été exposés, via une collecte activée par défaut.

D’après une enquête rapportée par The Register et une analyse de Koi Security, quatre extensions diffusées sur Chrome Web Store et Microsoft Edge Add-ons, Urban VPN Proxy, 1ClickVPN Proxy, Urban Browser Guard et Urban Ad Blocker, auraient capturé le texte de conversations menées sur des plateformes d’IA. Les services visés incluent notamment ChatGPT, Claude, Gemini, Microsoft Copilot, Perplexity, DeepSeek, Grok et Meta AI. La collecte serait activée par un paramètre codé en dur, sans option visible pour la désactiver, l’arrêt passant par la désinstallation. Les données interceptées seraient ensuite envoyées vers des domaines liés à Urban VPN.

Quatre extensions populaires, une collecte invisible

L’histoire commence par un paradoxe : des outils présentés comme des remparts, bloqueurs de publicité, « browser guard » et VPN, se comportent comme des micros. Koi Security affirme que quatre extensions ont été conçues pour capter et transmettre le texte des interactions avec des chatbots, et que plus de 8 millions de personnes les auraient installées. Les extensions citées sont Urban VPN Proxy, 1ClickVPN Proxy, Urban Browser Guard et Urban Ad Blocker. Elles sont distribuées via les boutiques d’extensions de Chrome et d’Edge, donc dans un espace censé filtrer les comportements abusifs.

Selon Idan Dardikman, cofondateur et directeur technique de Koi, Urban VPN Proxy cible des conversations sur dix plateformes d’IA. La liste mentionnée couvre un éventail large : ChatGPT, Claude, Gemini, Microsoft Copilot, Perplexity, DeepSeek, Grok et Meta AI figurent parmi les services nommés. L’enjeu dépasse la simple confidentialité d’un historique : une conversation avec un chatbot peut contenir des données personnelles, des questions de santé, des éléments professionnels, des secrets d’entreprise, ou des fragments d’identité. Ici, la collecte est décrite comme activée par défaut, via un paramètre de configuration intégré au code. Dardikman affirme qu’aucun réglage côté utilisateur ne permet de l’arrêter, la seule façon de stopper la collecte étant de désinstaller l’extension.

Comment l’extension intercepte vos requêtes et réponses

Le mécanisme décrit est agressif et s’appuie sur la position privilégiée d’une extension dans le navigateur. Dardikman explique qu’Urban VPN Proxy surveille les onglets et, lorsqu’un utilisateur visite une plateforme ciblée, par exemple un site de chatbot, l’extension injecte un script dédié, qualifié d’“executor”. Ce script ne se contente pas d’observer : il s’interpose sur les fonctions réseau du navigateur. Concrètement, il remplace ou enveloppe fetch() et XMLHttpRequest, les deux APIs fondamentales par lesquelles transitent les requêtes et réponses web. Résultat, chaque échange réseau sur la page passe d’abord par le code de l’extension.

Le script analyse ensuite les réponses d’API interceptées, isole le contenu conversationnel, puis prépare l’exfiltration. Le transfert interne s’effectue via window.postMessage avec un identifiant, PANELOS_MESSAGE, vers le “content script” de l’extension. Ce composant relaie ensuite les données à un service worker en arrière-plan, chargé de les envoyer sur le réseau. Les domaines cités pour la sortie sont analytics.urban-vpn.com et stats.urban-vpn.com. Dans ce schéma, l’utilisateur ne voit rien : aucune fenêtre, aucune notification, aucun indice visuel. L’extension exploite une logique simple, capter au niveau où tout transite, avant même que la page ou le service d’IA ne puisse “protéger” la conversation.

The Register précise avoir contacté Urban VPN, une société affiliée nommée BiScience, ainsi que 1ClickVPN via leurs adresses mail dédiées à la confidentialité. Les demandes auraient échoué, les messages étant revenus en erreur. Ce dossier est relié à des travaux antérieurs attribués au chercheur Wladimir Palant et à John Tuckner de Secure Annex, évoquant une collecte de données de navigation par BiScience. Selon Dardikman, l’enjeu serait désormais l’extension de cette collecte aux conversations avec des IA.

Consentement, « protection » affichée et zone grise des boutiques

Le débat se déplace alors sur le terrain de la conformité et de la gouvernance. Dardikman affirme qu’Urban VPN mentionne la collecte de données d’IA lors d’un écran de configuration et dans sa politique de confidentialité. Mais il souligne un décalage : la fiche de l’extension sur le Chrome Web Store indiquerait que les données ne sont pas vendues à des tiers en dehors de cas d’usage approuvés, et les conversations avec des IA ne seraient pas nommées explicitement. Il ajoute que le texte de consentement présenterait la surveillance comme une mesure de protection, tandis que la politique de confidentialité indiquerait une vente des données à des fins marketing.

Un point de chronologie compte, car il conditionne le consentement. Dardikman dit que les utilisateurs ayant installé Urban VPN avant juillet 2025 n’auraient jamais vu l’écran de consentement, ajouté plus tard via une mise à jour silencieuse en version 5.5.0. Il estime aussi que l’extension ne signalerait pas que la collecte se poursuit même quand le VPN n’est pas actif, ce qui change la perception de risque : l’utilisateur pense activer un service ponctuel, alors qu’une surveillance persistante serait en place.

Autre élément sensible : Urban VPN aurait obtenu un badge “Featured” sur le Chrome Web Store, ce qui implique, selon Dardikman, une revue humaine. Il en déduit un dilemme : soit la revue n’a pas vu le code collectant des conversations, y compris sur un produit d’IA de Google comme Gemini, soit elle l’a vu sans y voir de problème. Palant pointe, dans l’analyse citée, une possible faille d’interprétation de la règle « Limited Use », qui autorise des transferts de données vers des tiers dans des scénarios limités ne couvrant pas, selon cette lecture, les courtiers en données. Il avance que des acteurs malveillants peuvent invoquer des exceptions, « nécessaire au fonctionnement », ou « sécurité », en ajoutant des fonctions comme le blocage de publicités ou la navigation sécurisée. Google, selon The Register, n’a pas répondu immédiatement à une demande de commentaire.

Ce dossier rappelle que la menace ne vient pas seulement d’un site web ou d’un malware classique, mais d’un composant de confiance installé dans le navigateur, capable de regarder avant tout le monde et d’envoyer ailleurs ce qu’il voit. Côté recommandation, DataSecurityBreach.fr conseille fortement : désinstaller ces extensions et considérer que les conversations avec des IA depuis juillet 2025 ont pu être collectées.

Cybersécurité, Entreprise, Justice, Securite informatique

La CNIL sanctionne Nexpubica pour le logiciel PCRM

Laisser un commentaire

Une fuite fonctionnelle a exposé des dossiers d’usagers à des tiers dans des portails d’action sociale. Trois ans plus tard, la CNIL inflige 1,7 million d’euros pour défauts de sécurité jugés élémentaires.

Le 22 décembre 2025, la CNIL a condamné NEXPUBLICA FRANCE à 1 700 000 euros d’amende pour insuffisance de mesures de sécurité autour de PCRM, un progiciel de gestion de la relation usagers utilisé dans l’action sociale, notamment par des MDPH. Fin novembre 2022, des clients ont signalé à la CNIL que des utilisateurs accédaient à des documents appartenant à des tiers. Les contrôles ont mis en évidence des faiblesses techniques et organisationnelles, des vulnérabilités connues via des audits, et des corrections tardives, après la violation. La sensibilité des données, dont certaines révèlent un handicap, a pesé lourd.

Le déclencheur : des usagers voient les documents d’autrui

Le dossier démarre par une alerte venue du terrain. Fin novembre 2022, des clients de NEXPUBLICA FRANCE notifient à la CNIL une violation de données personnelles après des signalements d’usagers : sur le portail, certains auraient consulté des documents concernant des tiers. Ce type d’incident est redouté en environnement social, car l’accès indu, même « par erreur », produit un dommage immédiat pour les personnes, et expose l’organisation à une perte de confiance durable.

La CNIL intervient alors par des contrôles auprès de l’éditeur. Le contexte est celui d’un logiciel métier, PCRM, destiné à gérer la relation avec les usagers de l’action sociale et utilisé, selon les éléments fournis, par des maisons départementales des personnes handicapées dans certains départements. Autrement dit, la chaîne de traitement ne se limite pas à un site web : elle relie des collectivités, des agents, des workflows administratifs, et des espaces de dépôt ou de consultation de pièces justificatives.

Dans une lecture cyber, l’incident ressemble à une brèche de cloisonnement. Quand un usager obtient des pièces qui ne lui appartiennent pas, l’hypothèse la plus simple n’est pas un « piratage spectaculaire » mais un défaut de contrôle d’accès, de gestion de session ou de logique applicative. C’est précisément ce que la CNIL sanctionne ici : une sécurité qui n’a pas été pensée au niveau du risque réel, alors que le produit traite des données particulièrement sensibles.

Pourquoi l’article 32 du RGPD pèse si lourd dans ce cas

La CNIL fonde la sanction sur l’obligation de sécurité prévue par l’article 32 du RGPD. Le principe est connu, mais il mérite d’être traduit en termes concrets : le responsable de traitement et le sous-traitant doivent mettre en place des mesures adaptées au risque, en tenant compte de l’état de l’art, du coût de mise en œuvre, et de la nature et des finalités du traitement. Ici, la nature du traitement est déterminante : le dossier concerne l’action sociale et inclut des informations pouvant révéler un handicap. La sensibilité intrinsèque augmente mécaniquement le niveau d’exigence attendu.

La formation restreinte, organe de la CNIL chargé des sanctions, retient une faiblesse « généralisée » du système d’information et une forme de négligence, avec des problèmes structurels laissés en place dans la durée. L’autorité relève aussi que la plupart des vulnérabilités constatées relevaient d’un manque de maîtrise de l’état de l’art et de principes de base en sécurité. C’est un point clé : ce reproche ne vise pas une sophistication technique manquante, mais l’absence de fondamentaux.

Le raisonnement suivi par la CNIL, tel qu’il est décrit, tient en trois étapes. Premièrement, des failles existent dans PCRM et exposent des données. Deuxièmement, ces failles étaient identifiées, notamment au travers de plusieurs audits. Troisièmement, malgré cette connaissance, les corrections n’ont été apportées qu’après les violations. Cette chronologie aggrave l’appréciation, car elle transforme une vulnérabilité en manquement persistant, donc en risque accepté par défaut.

Une sanction calibrée sur la sensibilité, l’ampleur et la posture d’éditeur

Le montant, 1 700 000 euros, est justifié par plusieurs critères mentionnés : capacités financières de la société, non-respect de principes élémentaires, nombre de personnes concernées, et sensibilité des données. L’addition de ces facteurs compose une logique de proportionnalité : plus les données sont intimes et le public vulnérable, plus l’exposition est grave ; plus les failles sont « basiques » et connues, plus l’inaction est difficile à défendre.

Le dossier comprend un élément de contexte qui pèse lourd politiquement : NEXPUBLICA FRANCE est spécialisée dans la conception de systèmes et logiciels informatiques. Pour la CNIL, cette spécialisation rend l’argument de l’ignorance moins crédible. Dans une approche de renseignement économique, cela renvoie aussi à l’enjeu de chaîne d’approvisionnement logicielle : quand un éditeur fournit des briques à des acteurs publics, la faiblesse d’un produit peut se répercuter sur des services essentiels et sur des populations sensibles, sans qu’il y ait besoin d’une attaque sophistiquée.

La formation restreinte n’a pas assorti la sanction d’une injonction de mise en conformité, car l’entreprise a déployé les correctifs nécessaires après les violations. Ce détail compte : il montre que l’autorité a choisi de sanctionner l’insuffisance initiale et la gestion tardive des risques, tout en constatant une remédiation effective. En clair, la conformité obtenue après coup n’efface pas le défaut de sécurité au moment où les données étaient exposées.

Cybersécurité, DDoS

Aisuru pousse le DDoS IoT à 29,7 Tbit/s

En trois mois, le botnet Aisuru a enchaîné 1 304 attaques DDoS et signé un pic à 29,7 Tbit/s. Cloudflare et Microsoft décrivent un basculement vers l’hypervolume, où quelques secondes suffisent à provoquer des dégâts durables.

Le botnet Aisuru, composé de routeurs et d’objets connectés compromis, continue d’alimenter une hausse des attaques DDoS de très grande ampleur. Cloudflare estime qu’il s’appuie sur 1 à 4 millions d’hôtes infectés et affirme avoir atténué 1 304 incidents au seul troisième trimestre, dont près de 45 % en “hypervolume” au-delà de 1 Tbit/s. L’entreprise dit avoir stoppé une attaque record culminant à 29,7 Tbit/s pendant 69 secondes, menée via bombardement UDP sur environ 15 000 ports de destination par seconde. Microsoft rapporte aussi une offensive de 15 Tbit/s visant Azure depuis 500 000 IP.

Aisuru est décrit comme un service de botnet, une offre opérée comme une capacité louable, alimentée par une “armée” d’équipements réseau et IoT. Le mode d’infection mentionné est banal et donc inquiétant : exploitation de vulnérabilités connues, et attaques par force brute sur des identifiants faibles. Ces deux vecteurs prospèrent sur un terrain que beaucoup d’organisations contrôlent mal, les routeurs domestiques, les caméras, les boîtiers, et plus largement les objets connectés exposés, rarement mis à jour, souvent configurés avec des mots de passe faibles.

Cloudflare estime la taille du parc compromis entre un et quatre millions d’hôtes à l’échelle mondiale. Même si cette fourchette est large, elle donne l’ordre de grandeur : Aisuru n’est pas un botnet “de niche”, c’est une capacité capable de générer un volume de trafic suffisant pour affecter des infrastructures en dehors de la cible, notamment des fournisseurs d’accès, selon Cloudflare. Autrement dit, l’attaque DDoS devient un phénomène de zone, qui déborde, crée de la congestion et casse des services par effet domino.

29,7 Tbit/s en 69 secondes : l’hypervolume comme arme de choc

Le fait marquant est le record revendiqué par Cloudflare : une attaque stoppée au troisième trimestre, culminant à 29,7 Tbit/s pendant 69 secondes. La précédente référence, 22,2 Tbit/s, avait déjà été repoussée par Cloudflare et attribuée avec une confiance modérée à Aisuru. Dans la même période, une autre attaque mentionnée atteint 14,1 milliards de paquets par seconde, ce qui souligne une réalité : le débit en bits et le débit en paquets sont deux façons différentes de “casser” une infrastructure, l’une saturant des liens, l’autre épuisant des équipements par le traitement.

Le vecteur décrit est un bombardement UDP. Concrètement, il s’agit de projeter du trafic indésirable à grande vitesse, en multipliant les ports visés, ici une moyenne de 15 000 ports de destination par seconde. Cette dispersion complique le filtrage par règles statiques et force l’infrastructure défensive à suivre un rythme élevé de changements. La cible du record n’est pas divulguée, mais la durée, 69 secondes, suffit à illustrer la logique actuelle : frapper très fort, très vite, puis disparaître. Cloudflare précise que la plupart de ces attaques se terminent en moins de 10 minutes, ce qui réduit la fenêtre de réaction humaine à presque rien.

 

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, Veille web & dark web, alertes et priorisation des risques.

  
DÉCOUVRIR LA VEILLE

Dédiée aux entreprises, institutions et particuliers.

A PARTIR DE 0,06€ PAR JOUR

Un ordre de grandeur – 29,7 térabits par seconde, c’est 29 700 gigabits par seconde. Si votre fibre à la maison fait 1 Gbit/s, l’attaque au pic équivaut à environ 29 700 connexions fibre « plein débit » qui envoient en même temps. Prenons un film HD de 5 Go. 5 Go, c’est environ 40 gigabits (car 1 octet = 8 bits). À 29 700 Gbit/s, on peut théoriquement « faire passer » environ 742 films HD de 5 Go par seconde (29 700 / 40 = 742,5). Sur 69 secondes, ça fait environ 51 200 films HD (742,5 × 69 = 51 232,5). Bref. Même si l’attaque ne dure qu’une minute, ce volume peut saturer des équipements réseau (routeurs, firewalls), boucher des liens chez un opérateur, et provoquer des pannes en cascade, y compris chez des acteurs qui ne sont pas la cible directe.

Cloudflare affirme avoir contré 2 867 attaques attribuées à Aisuru depuis le début de l’année, et indique que près de 45 % sont des attaques hypervolumes, au-delà de 1 Tbit/s, ou 1 milliard de paquets par seconde selon la définition citée. Le troisième trimestre à lui seul représente 1 304 incidents. La dynamique est décrite comme une hausse constante, avec une augmentation de 189 % des attaques dépassant 100 Mbit/s par rapport au trimestre précédent. Le nombre d’attaques au-delà de 1 Tbit/s aurait plus que doublé, avec une hausse de 227 %. Ces progressions signifient que l’attaquant n’augmente pas seulement la fréquence : il augmente la capacité maximale, donc la probabilité de dépasser les seuils techniques des réseaux de transit et des opérateurs.

Le texte note que le volume du dernier trimestre n’égale pas celui du premier trimestre, mais que les statistiques de 2025 restent supérieures aux années précédentes, à l’exception des mois de novembre et décembre. Cette précision suggère un cycle saisonnier ou une anomalie temporelle, sans en donner la cause. Elle rappelle surtout qu’une lecture annuelle masque parfois des pics d’intensité plus dangereux que la moyenne.

Cibles et géographie : l’attribution par télémétrie

Sur les secteurs, les chercheurs cités indiquent qu’Aisuru vise des entreprises dans les jeux vidéo, l’hébergement web, les télécoms et la finance. Ce choix colle aux profils où la disponibilité est monétisable, chaque minute d’arrêt coûte, et où la menace de DDoS peut servir de levier, extorsion, concurrence, ou diversion pendant une autre intrusion.

Cloudflare affirme avoir atténué en moyenne 3 780 attaques DDoS par heure au troisième trimestre, “la plupart” provenant d’Indonésie, de Thaïlande, du Bangladesh et d’Équateur, et ciblant la Chine, la Turquie, l’Allemagne, le Brésil et les États-Unis. Ce type de cartographie repose sur des signaux réseau, géolocalisation d’IP, observation de sources et destinations, et il faut le lire comme une photographie de routage plus que comme une preuve d’intention nationale. Néanmoins, ces flux donnent aux défenseurs un indicateur : la dispersion géographique des nœuds IoT compromis rend les blocages simples moins efficaces.

Aisuru incarne une mutation du DDoS : des salves ultra-courtes, d’un volume capable de saturer des réseaux tiers, et pilotées par un parc IoT immense et bon marché. Dans ce contexte, la protection ne se joue plus seulement “au moment de l’attaque”, mais en amont, sur la capacité à absorber, filtrer dynamiquement et basculer automatiquement. La question cyber et renseignement est désormais la suivante : comment identifier, puis tarir, les gisements d’objets compromis, quand la puissance de feu se mesure en térabits et que l’attaque n’accorde que quelques dizaines de secondes pour réagir ?

 

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.
S’abonner à la NewsLetter ZATAZ

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres
Cybersécurité, Entreprise, Justice, loi

La stratégie Trump met le renseignement au service du commerce

Un document de 33 pages publié jeudi soir redéfinit la sécurité nationale américaine. Il demande aux services de renseignement de surveiller les chaînes d’approvisionnement mondiales, avec un objectif assumé de découplage économique.

La nouvelle stratégie de sécurité nationale du président Donald Trump charge les agences de renseignement américaines de suivre les chaînes d’approvisionnement et les avancées technologiques dans le monde. Le texte, long de 33 pages et publié jeudi soir, traite la politique économique comme un volet central de la sécurité nationale, dans un contexte de tensions tarifaires. Il demande d’identifier et réduire les vulnérabilités pesant sur la sécurité et la prospérité des États-Unis, tout en soutenant un découplage vis-à-vis d’adversaires étrangers. La stratégie évoque aussi l’hémisphère occidental comme réservoir de ressources stratégiques, et pousse à une cybersurveillance plus appuyée sur le privé, avec attribution et réponse « en temps réel ».

Renseignement mis au service du découplage économique

Le message politique est clair : l’administration Trump inscrit l’économie au cœur du périmètre « sécurité nationale » et en fait une mission explicite pour la communauté du renseignement. La stratégie affirme que les agences américaines « surveilleront les principales chaînes d’approvisionnement et les avancées technologiques dans le monde entier » afin de comprendre, puis d’atténuer, les vulnérabilités et menaces pesant sur la sécurité et la prospérité nationales. Ce glissement est important, car il place l’analyse industrielle, logistique et commerciale dans le même registre que la contre-ingérence ou la lutte antiterroriste : collecte, cartographie, anticipation, et production d’alertes au décideur.

Le document insiste sur une finalité : réduire la dépendance de l’économie américaine à des adversaires étrangers, dans une logique de découplage. Les autorités américaines martèlent depuis des années que des acteurs comme la Chine et la Russie doivent être écartés des chaînes d’approvisionnement liées aux intérêts américains. La stratégie reprend cette idée, tout en reconnaissant une difficulté structurelle : l’économie est mondialisée, et séparer des filières imbriquées est à la fois complexe et coûteux. Le texte souligne en outre que la numérisation des chaînes d’approvisionnement rend l’objectif encore plus difficile, car les flux matériels se doublent désormais de flux de données, d’outils de pilotage et de services numériques partagés.

Cette orientation éclaire aussi le contexte mentionné : des mois de conflits tarifaires devenus un marqueur du programme économique du président. La stratégie apparaît comme une tentative de “tenir” une ligne politique dans la durée en la convertissant en exigences opérationnelles pour les agences fédérales. En pratique, la mission annoncée, surveiller où les entreprises expédient, produisent et stockent, implique une observation fine des trajectoires logistiques, des dépendances technologiques et des points d’étranglement, donc un effort massif d’analyse et de priorisation.

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, Veille web & dark web, alertes et priorisation des risques.

  
DÉCOUVRIR LA VEILLE

Dédiée aux entreprises, institutions et particuliers.

A PARTIR DE 0,06€ PAR JOUR

 

Chaînes d’approvisionnement numérisées, un terrain cyber

L’angle cyber du document ne se limite pas à la protection classique des réseaux. Il relie directement l’effort de souveraineté économique à la réalité technique de chaînes d’approvisionnement devenues pilotées par des plateformes. La stratégie appelle les agences fédérales à s’appuyer davantage sur les opérateurs privés et des partenaires régionaux pour détecter des intrusions sur les réseaux américains. Autrement dit, le privé n’est plus seulement “une victime à protéger”, mais un capteur et un partenaire de détection, car c’est lui qui administre une large part des infrastructures, des logiciels et des données utiles à l’alerte.

Le texte va plus loin en évoquant une évolution vers une attribution et une réponse « en temps réel ». Cette formule dit deux choses. D’abord, la volonté d’accélérer le cycle, détection, qualification, attribution, action, afin de réduire le temps laissé à l’attaquant. Ensuite, l’idée que l’attribution, souvent longue et juridiquement délicate, doit devenir plus opérationnelle, au risque de se heurter aux zones grises : sources incomplètes, attaques via des relais, faux drapeaux, et dépendance à des données détenues par des prestataires. Dans une chaîne d’approvisionnement numérisée, un incident n’est pas seulement un accès illégitime à un réseau. C’est potentiellement une altération de données logistiques, une perturbation de services, une manipulation de l’information, ou une dégradation de confiance entre partenaires.

La stratégie met donc en scène un triangle de sécurité : l’État, les entreprises, et les partenaires régionaux. Ce choix suggère que l’administration accepte un fait technique : l’État ne voit pas tout, en temps réel, sur des infrastructures majoritairement privées. Pour compenser, elle cherche à institutionnaliser le partage de signaux et la coordination, avec une doctrine plus rapide de réponse. Le document ne détaille pas les garde-fous, mais il fixe une direction : la cybersécurité devient un outil de continuité économique, pas seulement un sujet de conformité.

Hémisphère occidental, ressources et infrastructures sous surveillance

Autre axe structurant : l’hémisphère occidental est présenté comme un espace fournissant des ressources précieuses aux intérêts américains. La stratégie indique que des analystes du renseignement appuieront les efforts visant à « identifier les points et les ressources stratégiques » de la région, afin de les protéger et de les mobiliser dans des développements avec des partenaires. L’objectif combine défense et opportunité : sécuriser des nœuds jugés critiques et soutenir des projets économiques alignés.

Le texte parle aussi d’opportunités d’investissement « stratégiques » pour des entreprises américaines dans la région. Il propose de nouer des partenariats publics-privés afin de bâtir une infrastructure énergétique “évolutive et résiliente”, d’investir dans l’accès aux minerais critiques, et de renforcer les réseaux de cybercommunications existants et futurs. La phrase insiste sur un avantage américain en matière de chiffrement et de sécurité. Le lien cyber est direct : sécuriser l’énergie, les minerais et les télécoms, c’est sécuriser les dépendances matérielles et les réseaux qui les orchestrent.

Ce passage révèle une conception du renseignement comme outil de préparation économique. Identifier des « points stratégiques », ce n’est pas seulement repérer des risques, c’est aussi cartographier des leviers : infrastructures, ressources, routes et partenaires. Dans ce cadre, la cybersécurité devient une condition de confiance pour les investissements, et la surveillance des chaînes d’approvisionnement devient un moyen de réduire l’incertitude.

Le document de 33 pages trace une doctrine : traiter l’économie comme un théâtre de sécurité nationale, avec une communauté du renseignement mobilisée sur les chaînes d’approvisionnement, les technologies et les ressources de l’hémisphère occidental. Sur le plan cyber, l’ambition d’attribution et de réponse « en temps réel » s’appuie explicitement sur le secteur privé. Une stratégie nationale de cybersécurité est par ailleurs annoncée pour début janvier, selon une personne citée par Nextgov/FCW, avec un accent sur les cyberattaques et un rôle accru des partenaires privés. La question de fond est désormais opérationnelle : jusqu’où peut-on accélérer l’attribution et la riposte, sans fragiliser la preuve, la coordination et la confiance entre l’État et les entreprises ?

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.
S’abonner à la NewsLetter ZATAZ

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres
Cybersécurité, Entreprise, Espionnage Spy, Justice

CrowdStrike sanctionne un « initié » après business pirate

CrowdStrike a licencié un employé accusé d’avoir transmis des informations internes à un collectif de hackers. L’affaire illustre une menace difficile à neutraliser : l’abus de confiance, parfois plus simple qu’une intrusion technique.

CrowdStrike a confirmé le licenciement d’un employé ayant divulgué des informations internes à un groupe baptisé Scattered Lapsus Hunters, présenté comme une alliance mêlant des profils liés à Scattered Spider, LAPSUS$ et ShinyHunters. Des captures d’écran publiées sur un canal Telegram public montraient un tableau de bord interne de CrowdStrike, avec des liens vers des systèmes d’entreprise, dont l’authentification unique Okta. Les attaquants ont d’abord évoqué une compromission via le prestataire Gainsight et des cookies d’authentification. CrowdStrike nie toute intrusion externe et affirme qu’il s’agissait de photos prises par l’employé. ShinyHunters aurait proposé 25 000 $ (23 000 €) pour obtenir un accès.

Une fuite « par l’intérieur » plutôt qu’une brèche technique

Le cœur du dossier est une clarification d’attribution. Le groupe a, dans un premier temps, revendiqué une compromission de CrowdStrike via une plateforme tierce, Gainsight, en affirmant avoir récupéré des cookies d’authentification. CrowdStrike répond en niant catégoriquement toute attaque externe réussie. Selon l’entreprise, les images ne démontrent pas une intrusion : ce sont des captures prises par un employé depuis son propre écran, puis divulguées.

Les captures publiées sur Telegram auraient montré l’interface d’un tableau de bord interne, avec des liens vers des systèmes de l’entreprise, dont la page d’authentification unique Okta. Même sans accès direct, ce type d’éléments peut alimenter un repérage : cartographie des outils, vocabulaire interne, chemins d’accès, et indices sur la manière dont l’organisation structure ses contrôles.

Le récit insiste sur le risque interne. CrowdStrike place ce danger au même niveau que les vulnérabilités techniques, parce qu’un initié n’a pas besoin de “casser” la sécurité pour faire sortir de l’information. Il peut simplement la copier, la photographier ou la raconter, en profitant d’un accès déjà légitime.

L’offre financière et la tactique de « super alliance »

Une enquête plus poussée, selon CrowdStrike, a établi que ShinyHunters avait offert 25 000 $ (23 000 €). Cette somme suggère une logique de recrutement : payer pour accélérer l’accès, réduire les risques d’attaque directe, et contourner des défenses techniques coûteuses à franchir.

Le groupe cité, Scattered Lapsus Hunters, est décrit comme une « super alliance » rassemblant des membres de plusieurs collectifs connus. L’intérêt de ce type de bannière, dans une opération, est d’agréger des compétences et de maximiser l’impact psychologique, tout en brouillant les responsabilités. En prétendant à une intrusion via un tiers, l’attaquant peut aussi tester la réaction publique et pousser la cible à se défendre, ce qui révèle parfois des informations supplémentaires.

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, Veille web & dark web, alertes et priorisation des risques.

  
DÉCOUVRIR LA VEILLE

Dédiée aux entreprises, institutions et particuliers.

A PARTIR DE 0,06€ PAR JOUR

 

CrowdStrike affirme que son centre de sécurité a détecté l’anomalie à temps, que les attaquants n’ont pas réussi à établir un accès valide, et que l’événement a été rapidement contenu. L’entreprise indique que ses systèmes n’ont pas été compromis et que ses clients sont restés protégés. L’employé mis en cause a été licencié, et l’affaire a été transmise aux forces de l’ordre.

Ce passage met en avant une distinction essentielle : fuite d’information ne veut pas dire prise de contrôle. Ici, CrowdStrike sépare l’exposition, captures et éléments de connexion, d’une compromission effective de ses systèmes. Cette nuance compte, car les récits d’attaque jouent souvent sur l’ambiguïté entre “preuve de présence” et “preuve d’accès”, surtout lorsqu’une publication sur un canal public vise à créer une perception de défaillance.

Une leçon de chaîne d’approvisionnement, mais aussi de gestion RH

L’incident est rattaché à une série d’attaques récentes attribuées à ce même ensemble d’acteurs contre de grandes entreprises. Le texte souligne leur appétit pour les fournisseurs externes et prestataires, citant Salesforce et Gainsight comme exemples de surfaces privilégiées. Mais l’épisode CrowdStrike rappelle qu’un prestataire n’est pas la seule porte d’entrée : un employé peut jouer ce rôle, volontairement, sous contrainte ou contre rémunération.

Pour les organisations, le message est concret. Renforcer les défenses techniques reste indispensable, mais l’angle mort se situe souvent dans la gouvernance des accès : qui voit quoi, à quel moment, avec quelles traces, et avec quelles barrières contre l’exfiltration “banale”, photo d’écran, export, copie. La prévention passe aussi par la détection comportementale interne et par une politique claire sur les dispositifs personnels, les canaux de messagerie, et la gestion des alertes quand un salarié devient un point de risque.

Cette affaire illustre une réalité opérationnelle : l’attaquant n’a pas toujours besoin d’exploiter une faille, il peut acheter ou manipuler un accès humain, puis fabriquer un récit d’intrusion externe pour amplifier l’effet. La question, côté cyber et renseignement, est désormais de savoir comment mesurer et réduire la probabilité de trahison opportuniste, sans bloquer le travail quotidien : quelles combinaisons de contrôle d’accès, de traçabilité et de signaux RH permettent de détecter un initié avant la fuite publique ?

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.
S’abonner à la NewsLetter ZATAZ

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres
Cybersécurité, Mise à jour, Patch

SmartTube compromis, un détournement par clé de signature

Un client YouTube tiers très utilisé sur Android TV et boîtiers multimédias a diffusé une mise à jour infectée. La compromission des clés de signature a transformé un canal de confiance en vecteur d’implant silencieux.

Le développeur de SmartTube, application open source prisée sur Android TV, Fire TV Stick et décodeurs, a reconnu la compromission de ses clés de signature. Cette fuite aurait permis à des attaquants d’injecter un composant malveillant dans une mise à jour officielle, provoquant une vague d’alertes : Play Protect a commencé à bloquer l’application et à la signaler comme menace, après de nombreuses plaintes d’utilisateurs en fin de semaine dernière. Des analyses communautaires de la version 30.51 ont repéré la bibliothèque libalphasdk.so, absente du code source public. Le module collecte des informations appareil, les envoie à distance et peut recevoir de nouvelles fonctions.

Une chaîne de confiance retournée contre les utilisateurs

Le point critique n’est pas seulement la présence d’un malware, c’est le chemin qu’il emprunte. Selon Yuri Yuliskov, développeur de SmartTube, les clés de signature ont été compromises. Dans l’écosystème Android, la signature est la preuve d’authenticité qui autorise une mise à jour à remplacer une version existante. Quand cette clé tombe, l’attaquant n’a plus besoin de convaincre l’utilisateur : l’update “officielle” devient le cheval de Troie. C’est précisément ce que suggère l’alerte Play Protect, déclenchée après une série de retours utilisateurs en fin de semaine dernière, avec blocage automatique de l’application sur certains appareils.

SmartTube, gratuit et open source, est populaire car il bloque la publicité et reste stable sur du matériel modeste, un profil fréquent dans les parcs de téléviseurs Android, Fire TV Stick et boîtiers TV. Ce contexte compte : ces appareils sont souvent moins surveillés que les smartphones, partagés au sein du foyer et connectés à des comptes Google, ce qui augmente l’intérêt d’un implant discret.

Le module suspect : libalphasdk.so et une collecte furtive

Des passionnés ayant disséqué la version 30.51 affirment y avoir découvert une bibliothèque inconnue, libalphasdk.so, absente du dépôt public. Yuliskov précise que ce composant n’appartient pas au projet et n’est rattaché à aucun outil utilisé pour construire l’application. L’élément le plus inquiétant tient au comportement décrit : fonctionnement silencieux, aucune action visible, collecte d’informations sur l’appareil, envoi vers un serveur distant, et échanges réguliers via un canal chiffré. Le choix d’une bibliothèque native, au format .so, peut aussi compliquer la lecture du code et masquer des fonctions derrière du binaire.

À ce stade, aucun vol de compte ni enrôlement dans un botnet n’est rapporté. Mais le texte insiste sur le risque : l’architecture observée permettrait d’activer à distance des fonctions additionnelles. Dit autrement, la version livrée pourrait n’être qu’un socle, avec des capacités modulaires déclenchées ultérieurement. Pour des opérations d’influence ou de renseignement, ce modèle est pratique : déployer large, rester discret, puis activer seulement sur certaines cibles.

Yuliskov affirme avoir révoqué immédiatement les clés compromises. Il annonce une nouvelle version avec un nouvel identifiant, et pousse les utilisateurs à mettre à jour dès que possible. Il dit aussi avoir publié une bêta sécurisée et une version de test stable via sa chaîne Telegram. Bleeping Computer relève toutefois qu’un déficit d’informations techniques alimente la défiance dans la communauté. Le développeur promet une analyse complète après la disponibilité de la nouvelle version sur F-Droid, ce qui situe la communication dans une logique de transparence différée : d’abord remettre en circulation une build saine, ensuite documenter l’incident.

Cyber-attaque, cyberattaque, Cybersécurité, Entreprise, Identité numérique

Les adresses IP ukrainiennes volées, angle mort européen

À Kherson, des identifiants auraient été extorqués sous contrainte pour détourner des adresses IP ukrainiennes. En toile de fond, la “neutralité” revendiquée par RIPE NCC nourrit une zone grise aux effets directs sur l’attribution des cyberattaques.

Dans les territoires ukrainiens occupés, des opérateurs télécoms auraient été forcés de céder leurs identifiants, permettant la captation d’adresses IP ukrainiennes aujourd’hui exploitées par Moscou. Un mécanisme : re-enregistrement auprès d’entités russes via RIPE NCC, registre basé à Amsterdam, malgré les alertes ukrainiennes et des sanctions européennes visant des structures liées aux RPD et RPL. En masquant des attaques et des opérations de désinformation derrière des IP “ukrainiennes” ou “européennes”, ces détournements compliquent l’attribution et accroissent le risque pour la cybersécurité du continent. La question devient juridique, politique et opérationnelle.

Des “passeports” numériques au rendement stratégique

Le cœur du problème tient à la nature même d’une adresse IP : un identifiant unique qui sert à acheminer le trafic et, dans de nombreux cas, à inférer une localisation. Dans un environnement où les IPv4 sont décrites comme quasi épuisées, la ressource prend une dimension à la fois marchande et stratégique. Une fourchette de prix, 35 à 50 € par IPv4 sur des marchés non officiels. Pour mesurer l’ordre de grandeur, la perte de 1 000 adresses représente entre 35 000 et 50 000 € ; 10 000 adresses, entre 350 000 et 500 000 € ; 100 000 adresses, entre 3,5 et 5 millions d’euros. Oleksandr Fedienko, député ukrainien et ex-président de l’Association ukrainienne de l’Internet, relie ces volumes aux portefeuilles des grands opérateurs, qui compteraient des centaines de milliers d’adresses, et évoque des pertes de plusieurs millions dès lors que quelques milliers d’unités disparaissent.

Mais l’argent n’est qu’un volet. Fedienko insiste sur l’usage de ces adresses par des communications gouvernementales, des transactions bancaires et des signaux d’infrastructures critiques. Dans cette lecture, contrôler des blocs d’IP revient à contrôler une partie de l’identité réseau d’un pays, et donc une capacité de se dissimuler, de filtrer, d’interrompre ou de tromper. L’affirmation, “leur contrôle est une question de sécurité nationale”, situe l’enjeu au niveau du renseignement : une IP n’est pas seulement un numéro, c’est un point d’ancrage pour le camouflage, l’usurpation et l’influence.

Kherson, la contrainte physique et la capture des ressources

Une bascule après les occupations russes de 2014 et de 2022 : des fournisseurs d’accès ukrainiens auraient perdu leurs locaux et leurs adresses IP, ensuite réenregistrées au bénéfice de sociétés russes via RIPE NCC. La spécificité de Kherson, rapportée par Fedienko, est la méthode. Il dit connaître un cas où des ressources ont été « confisquées de force sous la torture« , et précise l’élément opérationnel clé : sans identifiant et mot de passe, la prise de contrôle est difficile. Autrement dit, l’occupation territoriale devient un moyen d’acquérir l’accès administrateur aux actifs numériques, pas seulement de saisir des équipements.

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, Veille web & dark web, alertes et priorisation des risques.

  
DÉCOUVRIR LA VEILLE

Dédiée aux entreprises, institutions et particuliers.

A PARTIR DE 0,06€ PAR JOUR

 

Nous voici face à des entités présentées comme pivots de l’extension informationnelle russe dans les zones occupées, via des entreprises de communication unitaires d’État créées sous les administrations installées comme Ugletelecom, Comtel, l’opérateur Phoenix et Republican Digital Communications. Leur intérêt, dans cette architecture, est double : utiliser « les plus grands volumes » d’IP volées et offrir une façade administrative pour l’exploitation courante, notamment dans la diffusion de contenus et l’organisation technique de services.

Sanctions, « neutralité » et risque d’attribution pour l’Europe

L’angle juridique est porté par Andriy Pylypenko, avocat participant à un groupe de travail sur le gel des adresses IP volées. Il attribue à ces entités un rôle de soutien informationnel aux administrations d’occupation, avec des actions décrites comme structurantes : organisation de référendums et d’élections truqués, propagation, cyberattaques, et détournement des paiements d’accès à Internet vers les budgets des RPD et RPL. Dans ce cadre, l’IP devient une ressource logistique au service d’un système politique illégal, et un outil pour frapper l’Ukraine tout en compliquant les preuves.

En 2018 l’Association ukrainienne d’Internet a alerté RIPE sur toute coopération avec les RPD et RPL, sans réaction, RIPE arguant que les adresses IP n’étaient pas des ressources économiques, donc pas concernées par les sanctions de l’UE. Puis, en 2021, le ministère néerlandais des Affaires étrangères a précisé que les ressources IP entraient bien dans la catégorie des ressources économiques au sens du régime européen, ce qui a contraint RIPE à geler l’enregistrement d’IP détenues par des entités sanctionnées. Le conseil d’administration de RIPE a néanmoins contesté publiquement cette interprétation et demandé une exemption, refusée par La Haye faute de base juridique pour des dérogations générales.

L’effet cyber est direct : si des acteurs russes opèrent avec des IP ukrainiennes, ils peuvent faire passer des actions hostiles pour des activités « ukrainiennes » ou « européennes ». Cela brouille l’attribution, ralentit la réponse, et peut déclencher des erreurs d’escalade, au moment même où la reconnaissance par l’OTAN, dès le sommet de Varsovie de 2016, du cyberespace comme domaine opérationnel, et l’idée qu’une cyberattaque majeure pourrait activer la défense collective via l’article 5. Le risque, vu de l’Europe, n’est donc pas abstrait : c’est la possibilité de décisions politiques et techniques prises sur une attribution fragilisée.

NEWS & ALERTES ACTUALITÉS

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.
S’abonner à la NewsLetter ZATAZ

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres
Antivirus, Cybersécurité, Securite informatique

Antivirus en 2026 : toujours indispensable ?

En 2026, les protections intégrées progressent, mais les attaques aussi. La vraie question n’est plus « antivirus ou pas », c’est quel niveau de contrôle vous voulez sur vos postes et vos données.

Faut-il encore installer un antivirus en 2026, alors que Windows, macOS, iOS et Android intègrent déjà des défenses solides ? La réponse dépend moins d’un réflexe d’achat que d’un modèle de risque : usages, exposition, valeur des données et capacité à réagir vite. Un antivirus moderne n’est plus seulement un « scan » de fichiers, il sert à bloquer des comportements, filtrer le web, durcir le navigateur, surveiller des processus et produire des traces utiles après incident. Pour un particulier, il peut réduire l’impact des arnaques et des téléchargements piégés. Pour une entreprise, il devient une brique d’hygiène et de preuve, surtout face au phishing, aux rançongiciels et aux vols d’identifiants.

Ce qui a changé : l’antivirus n’est plus un simple “scanner”

Pendant longtemps, l’antivirus a été résumé à une image : un programme qui repère une « signature » dans un fichier, puis le met en quarantaine. En 2026, cette vision est trop étroite, parce que la menace ne se limite plus à un exécutable grossier déposé sur le disque. Les attaques s’insinuent via le navigateur, des documents piégés, des scripts, des extensions, des publicités, ou des identifiants volés. Elles misent souvent sur la vitesse, l’automatisation et la confusion, plutôt que sur un code facilement reconnaissable.

L’antivirus moderne, quand il est bien conçu, travaille donc sur plusieurs couches. Il peut analyser des comportements, détecter des enchaînements suspects, bloquer des connexions vers des destinations risquées, empêcher un processus de modifier massivement des fichiers, ou alerter sur des tentatives d’accès aux mots de passe du navigateur. Ce glissement est important pour comprendre le débat. Si vous pensez « antivirus = signatures », vous conclurez trop vite que les protections intégrées suffisent. Si vous pensez « antivirus = surveillance, blocage, et preuves », vous verrez qu’il reste une valeur, à condition de choisir une solution adaptée et de ne pas la laisser fonctionner en roue libre.

Il faut aussi regarder l’adversaire tel qu’il opère réellement. Le cybercrime industrialisé ne cherche pas forcément à « infecter » au sens classique, comme une grippe ,hivernale. Il cherche à monétiser, en volant des comptes, en extorquant, en détournant une session, ou en poussant à payer une fausse assistance comme on peut le lire dans cet article. Dans ce théâtre, la prévention ne se limite pas à éviter un fichier. Elle consiste à réduire les occasions de cliquer, à limiter les permissions, à contrôler les scripts, à contenir l’exécution, et à récupérer des indices quand quelque chose a dérapé. L’antivirus, dans sa version 2026, est souvent l’un des rares outils grand public capables d’apporter ces protections sans exiger une équipe sécurité.

Enfin, il y a un aspect rarement assumé : la charge mentale. Beaucoup d’incidents naissent d’un moment d’inattention, d’un faux message « urgent », d’une fenêtre qui se superpose, d’une page qui imite un service. Dans ces scénarios, un bon produit ne remplace pas le discernement, mais il peut casser la chaîne, au bon moment, en bloquant un site, un script, un téléchargement ou une action à risque. C’est moins spectaculaire qu’un « nettoyage » après coup, mais c’est là que se joue l’essentiel.

Protections natives : suffisantes pour qui, et dans quels usages ?

Les systèmes actuels intègrent des mécanismes de défense sérieux. Pour beaucoup d’utilisateurs, c’est déjà une base efficace, à condition d’activer les options de sécurité, de maintenir le système à jour, et de ne pas transformer l’ordinateur en terrain d’essai. Dans ce cadre, la question “faut-il encore un antivirus ?” devient une question de couverture. Qu’est-ce qui est déjà pris en charge, et qu’est-ce qui reste fragile dans votre usage quotidien ?

Le premier facteur, c’est l’exposition. Un poste utilisé pour consulter des sites connus, avec peu d’extensions, des mises à jour automatiques et des comptes protégés, court moins de risques qu’un poste où l’on télécharge souvent, où l’on installe des utilitaires, où l’on partage des fichiers, ou où l’on jongle entre plusieurs comptes. Le second facteur, c’est la valeur des actifs. Si votre machine contient des documents sensibles, des accès professionnels, des identifiants bancaires, ou si elle sert de « coffre-fort » à vos vies numériques, alors votre seuil d’acceptation du risque est plus bas. Le troisième facteur, c’est votre capacité à réagir. Un incident n’est pas seulement un “virus”. C’est du temps perdu, des mots de passe à changer, des comptes à récupérer, parfois des démarches, et une incertitude sur ce qui a été vu ou copié.

Dans cet arbitre, l’antivirus tiers peut ajouter des couches de protection ou de visibilité. Il peut offrir une interface plus lisible, des contrôles web plus agressifs, des règles plus strictes sur les scripts, un suivi d’événements, et des outils de remédiation. Il peut aussi fournir une forme de redondance utile. Une défense n’est pas parfaite, donc deux lignes de défense, si elles ne se gênent pas, peuvent réduire la probabilité qu’un même angle mort soit exploité.

C’est là que le choix devient concret. Chercher le meilleur antivirus n’a de sens que si vous définissez vos critères, simplicité, impact sur les performances, protection web, gestion des alertes, et qualité des journaux en cas d’incident. Sinon, vous achetez un logo et vous espérez. En cybersécurité, l’espoir n’est pas une stratégie, la clarté des règles l’est.

Le vrai risque en 2026 : l’arnaque qui ressemble au normal

Si l’on devait résumer le danger dominant côté grand public, ce ne serait pas « le virus » au sens des années 2000. Ce serait l’arnaque parfaitement plausible, livrée au bon moment, avec les bons codes visuels, et parfois une assistance téléphonique qui imite un support officiel. Les ransomwares et les vols d’identifiants continuent de peser, mais ils arrivent souvent par un point d’entrée très banal : un lien, une pièce jointe, une connexion sur un faux site, un mot de passe réutilisé.

Dans ces attaques, l’antivirus joue un rôle moins visible mais décisif, casser des redirections, empêcher un téléchargement, détecter un script inhabituel, bloquer un domaine récemment utilisé pour des campagnes, alerter sur un comportement de chiffrement massif, ou isoler une action suspecte. Ce sont des micro-interruptions qui peuvent éviter un incident majeur. La défense la plus efficace est celle qui vous épargne l’étape où vous devez « récupérer » votre vie numérique. Un logiciel de cybersécurité qui produit des traces compréhensibles n’est pas seulement une barrière, c’est un instrument d’enquête à l’échelle du poste.

En 2026, la question n’est pas de savoir si l’antivirus « sert encore », mais si votre environnement exige une couche supplémentaire de blocage, de contrôle web et de traçabilité. Pour un usage simple et discipliné, les protections natives peuvent suffire. Dès que l’exposition augmente, téléchargements, usages professionnel, données sensibles, famille peu technophile, une solution dédiée redevient rationnelle, indispensable. Le point décisif est la capacité à prévenir, mais aussi à comprendre, quand une tentative a eu lieu : sans traces, on subit, avec des preuves, on corrige. (Image : Pixabay)

Cybersécurité, Entreprise, Justice

Prospection politique : la CNIL sanctionne cinq candidats

En décembre 2025, la CNIL frappe cinq candidats des scrutins européens et législatifs 2024. Motif : des messages de campagne envoyés à des électeurs, sans respecter plusieurs exigences de protection des données.

La CNIL a prononcé en décembre 2025 cinq sanctions simplifiées contre des candidats aux élections européennes et aux législatives anticipées de 2024. Les contrôles, déclenchés après des signalements via un téléservice dédié, ont mis au jour des manquements liés à l’envoi de SMS, courriels ou courriers de prospection politique. Au total, 23 500 € d’amendes ont été infligés. La CNIL relève notamment l’incapacité à prouver la base légale du traitement, l’utilisation de données collectées pour d’autres finalités, une information incomplète des personnes, l’absence de mécanisme d’opposition, le défaut de réponse à des demandes de droits, et une faille de confidentialité par envoi sans « cci ».

Un observatoire des élections pour capter les dérives

L’épisode démarre pendant la séquence électorale de 2024, marquée par les européennes et des législatives anticipées. Pour canaliser les remontées du public, la CNIL a ouvert un téléservice, pensé comme un point d’entrée unique pour signaler des situations problématiques, dont la réception de messages de prospection politique. Le dispositif, présenté comme un « observatoire des élections », a servi de déclencheur opérationnel. Des citoyens y ont rapporté des SMS, des courriels ou des courriers perçus comme intrusifs, ou envoyés dans des conditions jugées irrégulières.

À partir de ces alertes, l’autorité a interrogé les candidats mis en cause sur la manière dont ils avaient géré les traitements de données liés à leurs envois. Le cœur du sujet n’est pas la communication politique en elle-même, mais la façon dont des informations personnelles ont été utilisées, et sécurisées, pour toucher des électeurs. Dans une campagne, la tentation est forte d’aller vite, d’externaliser, de réutiliser des fichiers existants ou de s’appuyer sur des circuits déjà prêts. C’est précisément là que la CNIL place son curseur : une campagne électorale n’est pas une zone de non-droit, et la mécanique de prospection doit rester compatible avec les règles de protection des données.

Les investigations ont débouché sur cinq sanctions financières prononcées via la procédure simplifiée. La somme totale des amendes atteint 23 500 €. Dit autrement, le dossier met en scène un volume limité de décisions, mais une diversité de défaillances. Et, en filigrane, une même question de gouvernance : qui maîtrise réellement la chaîne, depuis la collecte des données jusqu’au clic sur « envoyer » ?

Des manquements répétés, du consentement à la sécurité

Premier reproche, la difficulté, pour certains candidats, de démontrer que le traitement reposait sur une base légale. La CNIL rappelle que le candidat reste responsable, y compris s’il confie l’envoi à une société spécialisée. Externaliser l’exécution ne transfère pas l’obligation de conformité. Concrètement, les candidats doivent pouvoir établir soit que les destinataires ont accepté de recevoir ces messages, soit que les conditions permettant d’invoquer un intérêt légitime sont réunies, notamment en montrant que les personnes pouvaient raisonnablement s’attendre à être contactées. Or, les contrôles indiquent que certains n’ont pas été capables de fournir ces éléments, ce qui constitue un manquement à l’article 5-2 du RGPD. Sur le plan cyber, l’enjeu est simple : sans traçabilité, pas de preuve, et sans preuve, la conformité s’effondre au premier contrôle.

Deuxième manquement, l’usage de données pour un objectif différent de celui annoncé au départ. Un cas ressort nettement : l’un des candidats, professionnel de santé, a utilisé les numéros de téléphone de ses patients, collectés pour organiser les consultations et assurer le suivi médical, afin d’envoyer un SMS vantant sa candidature. La CNIL juge cet emploi incompatible avec la finalité initiale (article 5-1-b du RGPD). L’affaire illustre une dérive classique dans les environnements riches en données : la réutilisation opportuniste d’un fichier « disponible », sans reposer la question du pourquoi et du cadre. Dans une logique de renseignement, le point d’alerte est évident : lorsqu’une même personne cumule des rôles, l’accès à des données sensibles au travail peut devenir un levier d’influence en dehors de ce contexte.

Troisième reproche, l’information insuffisante des personnes. En prospection politique, la CNIL rappelle l’obligation de fournir l’ensemble des informations prévues par les articles 13 et 14 du RGPD. Le moment dépend de l’origine des données : à la collecte, ou dès le premier message si les données proviennent d’un tiers, par exemple des listes électorales, de sociétés spécialisées dans la revente de données, d’un listing de parti politique, ou d’autres canaux cités par l’autorité. Or, dans quatre cas sur cinq, les messages ou courriers contrôlés n’incluaient pas ces informations, ou seulement une partie. Cette lacune n’est pas un détail rédactionnel. Elle empêche l’électeur de comprendre pourquoi il est ciblé, par qui, et sur quel fondement. Pour une campagne, c’est aussi une erreur stratégique : l’opacité alimente la défiance et transforme un message de mobilisation en signal d’intrusion.

Quatrième manquement, l’absence de mécanisme d’opposition réellement utilisable. Deux candidats n’avaient prévu aucun dispositif permettant aux personnes de refuser la réception de nouveaux messages. La CNIL cite, à titre d’exemples, un « STOP SMS » ou un lien de désinscription. Ici, la logique est binaire : si l’opposition n’est pas simple, elle n’est pas effective, et le droit devient théorique. Dans une lecture cyber, c’est aussi une question de contrôle des flux : une campagne qui ne sait pas traiter les demandes d’opposition est une campagne qui perd la maîtrise de sa propre base, et augmente mécaniquement le risque de plaintes, de blocages et d’escalade contentieuse.

Cinquième point, le défaut de réponse à une demande d’exercice de droits. Un plaignant, destinataire d’un SMS de prospection, a demandé des explications, notamment sur la source de ses données et sur la base légale du traitement, et a également demandé l’effacement. Le candidat n’a pas répondu. La CNIL a sanctionné ce silence et a ajouté une injonction : répondre aux demandes. Ce volet, souvent traité comme un irritant administratif, est en réalité un test de maturité organisationnelle. Répondre suppose d’avoir documenté les entrées de données, les échanges avec d’éventuels prestataires, et la logique de conservation. Là encore, sans journalisation et sans chaîne de responsabilité, la réponse devient impossible.

Enfin, la CNIL relève un manquement à la confidentialité (article 32 du RGPD) dans un envoi par courriel à plusieurs centaines de destinataires, tous adhérents d’un même parti, sans utiliser le champ « cci ». Résultat : les adresses électroniques ont été exposées à l’ensemble des destinataires. L’autorité insiste sur la gravité du risque, car ces données peuvent révéler des opinions politiques réelles ou supposées. Elle rappelle qu’il s’agit de données sensibles au sens de l’article 9 du RGPD. Pour l’angle cybersécurité, c’est le point le plus immédiatement tangible : une simple erreur de paramétrage, ou un geste mal maîtrisé, suffit à créer une fuite de données, avec un impact potentiel sur la sécurité des personnes et sur la confiance dans l’organisation politique.

Ce que la CNIL rappelle aux candidats, et aux prestataires

Pris ensemble, ces manquements dessinent une cartographie très concrète des fragilités des campagnes. D’abord, la gouvernance. La CNIL répète un principe clé : même si une entreprise est sollicitée pour envoyer les messages, le candidat demeure comptable de la conformité. Dans les faits, cela signifie que la délégation ne peut pas se limiter à « faire partir » un volume de messages. Elle doit inclure la capacité à démontrer la licéité, à expliquer l’origine des données, et à garantir les droits. Ce n’est pas une formalité, c’est une obligation de preuve.

Ensuite, la discipline des finalités. Le cas du professionnel de santé résume l’écueil : une donnée collectée dans un contexte relationnel asymétrique, ici le soin, ne peut pas être recyclée pour un objectif électoral. Au-delà du cadre juridique rappelé par la CNIL, l’effet de renseignement est évident : des bases constituées pour des usages de confiance, lorsqu’elles sont détournées, deviennent des outils de pression ou d’influence, même si l’intention initiale se veut « seulement » politique. La frontière, pour le public, se brouille immédiatement.

Troisième enseignement, la transparence n’est pas optionnelle. La CNIL insiste sur l’information complète : dire ce qui est fait, avec quelles données, et comment exercer ses droits. Ce point est crucial dans un environnement où les données circulent par listes, par prestataires, par réutilisations successives. Le texte de l’autorité cite explicitement des sources possibles de données, comme les listes électorales ou la revente, ce qui suffit à comprendre le risque : dès que l’origine n’est plus directe, la charge de clarté augmente.

Quatrième leçon, l’opposition et la gestion des droits doivent être conçues comme un circuit. Un « STOP » absent, une demande ignorée, et la campagne se retrouve à la fois en infraction et dans l’incapacité de corriger. Ce n’est pas seulement une faute, c’est une perte de contrôle. Les campagnes modernes fonctionnent avec des outils, des envois en masse, parfois des fichiers multiples. Sans procédure, l’organisation ne sait plus où se trouvent les données, qui les a, ni comment arrêter l’usage.

Cinquième rappel, la sécurité opérationnelle la plus basique compte. L’épisode du courriel sans « cci » montre qu’une fuite peut naître d’un acte banal. Dans le champ politique, où l’exposition peut être sensible, divulguer une appartenance ou une proximité partisane, même indirectement, peut entraîner des conséquences disproportionnées. La CNIL qualifie ces informations de sensibles, et souligne la gravité de leur révélation. Ce rappel vaut comme message plus large : la conformité n’est pas qu’une affaire de formulaires, elle touche à la protection effective des personnes, et donc à la sécurité.

Cybersécurité, Mise à jour, Patch

Patch Tuesday de décembre : Windows en première ligne

Dernier Patch Tuesday de 2025, et Microsoft boucle l’année avec un lot de correctifs où une élévation de privilèges Windows exploitée activement impose l’ordre de priorité aux équipes sécurité.

Ce Patch Tuesday de décembre se distingue moins par le volume des correctifs que par leur profil de risque. Microsoft publie 56 CVE, dont seulement deux critiques sur le papier mais une faille d’élévation de privilèges déjà exploitée dans Cloud Files Mini Filter Driver, rendant la mise à jour Windows prioritaire. Deux vulnérabilités officiellement divulguées complètent le tableau, l’une dans PowerShell, l’autre dans GitHub Copilot pour JetBrains. En parallèle, Mozilla corrige 27 CVE dans Firefox, et Adobe traite à lui seul 142 failles, majoritairement via une mise à jour ColdFusion classée priorité un. Pour les équipes de défense, l’enjeu n’est plus de tout installer au plus vite, mais de hiérarchiser finement les risques.

Un Patch Tuesday dominé par Windows

Pour ce dernier rendez-vous correctif de 2025, Microsoft publie 56 vulnérabilités référencées, avec deux failles considérées comme critiques et 54 classées importantes. Pris isolément, ce volume pourrait presque sembler modéré par rapport à certains mois précédents. Mais l’angle cyber ne se mesure pas au compteur brut de CVE, plutôt à la combinaison entre criticité théorique, exploitabilité pratique et surface d’exposition.

Le point dur de ce mois-ci est clair : CVE-2025-62221, une vulnérabilité d’élévation de privilèges dans le pilote Cloud Files Mini Filter. Officiellement, Microsoft la classe comme « Important » avec un score CVSS v3.1 de 7,8. En pratique, le fait qu’elle soit déjà exploitée dans la nature change complètement la donne. Un attaquant capable d’en abuser peut obtenir des privilèges SYSTEM, soit le niveau de contrôle maximal sur une machine Windows. Dans un modèle de priorisation basé sur le risque, cette combinaison score élevé plus exploitation active suffit à la reclasser de facto au rang de faille critique, quelle que soit l’étiquette de l’éditeur.

Cette vulnérabilité affecte Windows 10 et les versions ultérieures. Autrement dit, elle recoupe une grande partie du parc encore en production dans les entreprises. Pour un attaquant déjà positionné sur un poste utilisateur, cette élévation de privilèges constitue un tremplin idéal vers un contrôle complet de la machine, puis une éventuelle progression latérale. C’est précisément ce type de maillon qui permet de passer d’un incident isolé à un compromis de domaine complet.

La mise à jour du système d’exploitation Windows de décembre corrige à la fois cette faille exploitée et l’une des vulnérabilités divulguées publiquement, CVE-2025-54100. C’est la raison pour laquelle le bulletin place explicitement Windows au sommet des priorités ce mois-ci. Pour les RSSI et responsables de configuration, le calcul est simple : une seule vague de déploiement du correctif OS réduit en même temps la surface d’attaque liée à une exploitation active et à une divulgation publique. Toutes choses égales par ailleurs, la fenêtre de tir laissée aux attaquants se mesure en jours.

Toutes les autres mises à jour Microsoft peuvent, selon les recommandations fournies, être intégrées dans les cycles de patch habituels, alignés sur les SLA internes. Cette hiérarchisation n’invite pas à la complaisance, mais elle reconnaît que le risque marginal supplémentaire lié à ces autres CVE est moindre que celui associé à une élévation de privilèges déjà utilisée sur le terrain.

PowerShell et Copilot, nouveaux angles d’attaque

Au-delà de l’élévation de privilèges dans Cloud Files, deux vulnérabilités divulguées publiquement attirent l’attention des équipes défense. La première, CVE-2025-54100, touche PowerShell et se traduit par un risque d’exécution de code à distance. Là encore, Microsoft la classe en « Important » avec un score CVSS v3.1 de 7,8. Le fait qu’elle soit déjà publique augmente mécaniquement le risque de voir apparaître des scripts d’exploitation reproductibles, même si aucune exploitation active n’est mentionnée dans le texte fourni.

Le correctif de Microsoft pour cette faille ne se limite pas à un patch technique, il s’accompagne d’un avertissement et de recommandations d’usage. Le cœur du problème vient de la commande Invoke-WebRequest. Lorsqu’elle analyse le contenu d’une page web, elle peut, dans certaines conditions, exécuter du code script lors de cette phase d’analyse. La recommandation fournie insiste sur l’utilisation du paramètre -UseBasicParsing pour éviter la prise en charge avancée susceptible de déclencher ce type de comportement.

Les auteurs du récapitulatif soulignent que la nature même de la vulnérabilité rend une correction totale peu probable. Dit autrement, même après application du correctif, la posture de sécurité dépendra en grande partie de la discipline opérationnelle des administrateurs et des scripts en production. Cette vulnérabilité affecte Windows Server 2008 et toutes les versions ultérieures, ce qui élargit encore la surface d’exposition, notamment dans les environnements où PowerShell est massivement utilisé pour l’automatisation.

La seconde vulnérabilité rendue publique, CVE-2025-64671, cible GitHub Copilot for JetBrains. Elle est également classée « Important » mais avec un score CVSS v3.1 plus élevé, à 8,4. On reste officiellement sous le seuil « critique », mais la proximité montre que le scénario d’attaque est loin d’être théorique. L’exploitation repose sur un concept qui parle directement aux spécialistes de l’IA générative : l’attaque « Cross Prompt Inject ».

Concrètement, un attaquant peut insérer du contenu malveillant dans des fichiers non fiables ou sur des serveurs MCP. Copilot, en traitant ces informations, se trouve alors amené à proposer ou exécuter des commandes supplémentaires, injectées dans le flux normal de travail. Le danger augmente fortement lorsque l’option d’approbation automatique du terminal utilisateur est activée. Dans ce cas, les commandes suggérées franchissent plus facilement la barrière entre assistance et exécution réelle.

Cette vulnérabilité ne se corrige pas par une simple mise à jour Windows. Elle impose aux équipes de développement de télécharger et mettre à jour le plugin GitHub Copilot utilisé dans les IDE JetBrains. Ce détail opérationnel est important : il déplace une partie de la responsabilité du côté des équipes dev, qui n’entrent pas toujours dans le périmètre direct des processus de patch management classiques. Pour les équipes de sécurité, l’alignement entre IT, Dev et Sec devient ici une condition de réduction effective du risque.

En termes de renseignement cyber, le cas Copilot illustre une tendance lourde : les outils d’assistance à la programmation et les extensions d’IDE deviennent de nouvelles surfaces d’attaque. Là où l’on regardait traditionnellement les chaînes CI/CD et les dépôts de code, il faut désormais intégrer les assistants IA comme maillons à part entière de la chaîne d’approvisionnement logicielle.

Mozilla, Adobe et la pression des dépendances tierces

Le Patch Tuesday de décembre ne se limite pas à l’écosystème Microsoft. Côté navigateurs, Mozilla publie plusieurs mises à jour pour Firefox 146 et les branches ESR 115.31 et 140.6. Au total, 27 CVE sont corrigées, avec des impacts jugés élevés pour l’ensemble des trois mises à jour. Même si le détail des failles n’est pas fourni ici, les équipes de défense savent par expérience qu’un navigateur exposé à Internet, combiné à des vulnérabilités CVE en nombre à impact élevé, constitue une cible logique pour les campagnes d’exploitation opportunistes.

Adobe, de son côté, alourdit considérablement le bilan chiffré du mois avec cinq mises à jour qui traitent à elles seules 142 CVE. Les produits concernés sont ColdFusion, Experience Manager, DNG SDK, Acrobat et Reader, ainsi que l’application Creative Cloud Desktop. Quatre de ces cinq mises à jour sont classées priorité trois, ce qui suggère un niveau de pression moindre, soit parce que les scénarios d’exploitation sont jugés difficiles, soit parce qu’aucun contexte opérationnel massivement exposé n’a été identifié.

La mise à jour ColdFusion fait figure d’exception. Classée priorité un, elle corrige la grande majorité des 142 vulnérabilités recensées par Adobe ce mois-ci. Aucune exploitation connue n’est signalée dans le texte fourni, mais la concentration de CVE sur un produit serveur côté applicatif suffit à justifier ce classement prioritaire. Dans un environnement où ColdFusion reste installé, un attaquant obtenant une seule chaîne d’exploit stable peut bénéficier d’une surface extrêmement large, depuis les serveurs de contenu jusqu’aux backends métiers.

Le contraste est frappant : côté Microsoft, une faille exploitée activement dans le cœur de Windows impose l’urgence ; côté Adobe, c’est la densité de vulnérabilités dans un produit serveur qui dicte la priorité, même sans exploit connu. Dans les deux cas, les décisions de patch se font par combinaison de trois paramètres : exploitabilité avérée ou probable, criticité fonctionnelle de l’actif exposé et volume de failles corrigées.

En termes de gestion du risque, le récapitulatif du mois propose une ligne directrice claire. Première étape, déployer en priorité les mises à jour du système d’exploitation Windows pour neutraliser CVE-2025-62221 et réduire en même temps le risque lié à CVE-2025-54100. Deuxième étape, organiser la mise à jour des chaînes de développement utilisant GitHub Copilot for JetBrains afin de traiter CVE-2025-64671, en impliquant clairement les équipes dev. Troisième étape, intégrer les mises à jour Mozilla et Adobe, notamment ColdFusion, dans les cycles de patch habituels, tout en vérifiant que les actifs les plus exposés ne restent pas plusieurs mois sans correction.

Pour les SOC et équipes de renseignement sur la menace, ce Patch Tuesday de décembre offre enfin un signal plus large : les vecteurs d’attaque se diversifient. Pilotes de fichiers cloud, frameworks d’automatisation comme PowerShell, assistants IA intégrés aux IDE, navigateurs et plateformes applicatives comme ColdFusion constituent autant de couches où un attaquant peut chercher l’entrée la plus rentable. L’exercice de priorisation devient un travail d’arbitrage permanent entre ces couches.

Ce Patch Tuesday de décembre 2025 illustre une évolution désormais bien installée du paysage des vulnérabilités : la criticité ne se lit plus seulement dans le score CVSS ou le label « critique », mais dans la combinaison entre exploitation active, divulgation publique et rôle de l’actif dans la chaîne de valeur numérique. Avec une élévation de privilèges Windows déjà armée, un PowerShell dont la correction passe autant par la configuration que par le patch, et un GitHub Copilot exposé aux attaques de type Cross Prompt Inject, les organisations doivent synchroniser sécurité système, sécurité des scripts et sécurité des outils d’IA de développement. À la lumière de ce dernier Patch Tuesday de l’année, les équipes cyber sauront-elles adapter leurs processus de veille et de priorisation pour suivre, en temps quasi réel, le déplacement des surfaces d’attaque vers ces nouveaux points de friction entre système, DevOps et IA générative ?