Tous les articles par Damien Bancal

Damien Bancal, expert reconnu en cybersécurité Damien Bancal est une figure incontournable de la cybersécurité, reconnu à l’international pour son expertise et son engagement depuis plus de 30 ans. Fondateur de ZATAZ.com en 1989 (et DataSecurityBreach.fr en 2015), il a fait de ce média une référence majeure en matière de veille, d’alertes et d’analyses sur les cybermenaces. Auteur de 17 ouvrages et de plusieurs centaines d’articles pour des médias comme Le Monde, France Info ou 01net, il vulgarise les enjeux du piratage informatique et de la protection des données personnelles. Lauréat du prix spécial du livre au FIC/InCyber 2022, finaliste du premier CTF Social Engineering nord-américain (2023), et vainqueur du CTF Social Engineering du HackFest Canada (2024), il est reconnu pour sa capacité à allier pratique du terrain et transmission pédagogique. Le New York Times ou encore Le Big Data ont salué son parcours, et l’agence Tyto PR l’a classé parmi les 500 personnalités tech les plus influentes en 2023. Il est aujourd’hui 9ᵉ influenceur cyber en Europe. Chroniqueur à la radio et à la télévision (France Info, RTL, M6, Medi1...), il est également réserviste citoyen au sein de la Gendarmerie Nationale (Lieutenant-Colonel - Unité Nationale Cyber) et de l'Éducation Nationale (Hauts-de-France). Médaillé de la Défense Nationale (Marine) et des réservistes volontaires, il poursuit son engagement au travers de son entreprise veillezataz.com, lancée en 2022.
Cybersécurité, double authentification, ID, Identité numérique, Mise à jour, Securite informatique

Android prépare la portabilité des clés d’accès

Google teste sur Android le transfert des clés d’accès entre gestionnaires, un chantier critique pour réduire l’enfermement numérique sans affaiblir la sécurité.

Google se rapproche d’une fonction attendue sur Android : déplacer des clés d’accès entre plusieurs gestionnaires de mots de passe. Ces identifiants modernes, conçus pour remplacer les mots de passe classiques, réduisent l’exposition au hameçonnage et s’appuient sur la validation par l’appareil. Leur adoption a toutefois créé une dépendance aux écosystèmes. Google teste désormais des options cachées dans Google Password Manager pour importer et exporter mots de passe, clés d’accès et autres données enregistrées.

Des clés plus sûres, un verrou plus discret

La promesse des clés d’accès tient en quelques gestes. L’utilisateur ne retient plus une suite de caractères, ne réutilise plus un secret fragile et valide sa connexion depuis son téléphone ou son ordinateur. Le site ou l’application ne reçoit pas un mot de passe traditionnel, ce qui limite les scénarios d’hameçonnage les plus courants. Dans une logique cyber, le bénéfice est clair : réduire la surface d’attaque liée aux identifiants volés, aux bases compromises et aux pièges envoyés par courriel.

Cette évolution avait pourtant un revers. En simplifiant l’authentification, les grands écosystèmes ont aussi rendu la mobilité plus délicate. Une clé d’accès stockée dans un gestionnaire pouvait devenir difficile à déplacer vers un autre. L’utilisateur gagnait en protection, tout en perdant une partie de sa liberté de choix. Le problème n’était pas théorique. Changer d’application de gestion des mots de passe ne se résumait pas à exporter un fichier, puis à l’importer ailleurs. Avec les clés d’accès, le transfert suppose un cadre plus strict, précisément parce que ces éléments sont sensibles.

Google travaille sur ce point depuis l’an dernier. Selon les informations rapportées, Android n’offre pas encore la migration des clés d’accès vers des gestionnaires tiers, alors qu’Apple l’a déjà intégrée dans iOS 26 et macOS 26. Cette différence place Google sous pression. Pour rester crédible sur l’authentification sans mot de passe, Android doit permettre un passage maîtrisé entre services concurrents. La sécurité ne suffit pas si elle devient une dépendance subie.

Les tests évoqués montrent un changement concret dans Google Password Manager. Des options cachées remplacent les commandes classiques d’importation et d’exportation. Elles se nomment « Importer les mots de passe et les clés d’accès » et « Exporter les mots de passe et les clés d’accès ». Le détail compte. Google ne traite plus seulement les mots de passe comme des données migrables. Il inclut aussi les clés d’accès dans le même parcours, ce qui traduit une évolution de fond dans l’architecture d’Android.

Android Authority indique avoir activé et partiellement validé cette fonction. Le scénario d’importation paraît déjà lisible. Google Password Manager demande à l’utilisateur de choisir le gestionnaire qui détient ses clés d’accès. Il redirige ensuite vers l’application concernée. L’utilisateur peut alors transférer vers Google Password Manager ses mots de passe, ses clés d’accès et d’autres informations enregistrées. Le parcours reste encadré par les applications, non abandonné à une manipulation manuelle.

Le protocole CEP au centre du transfert

L’exportation semble moins aboutie. Aucun bouton dédié ne permet encore d’envoyer directement une clé d’accès vers une autre application. Le système devrait plutôt proposer le transfert lorsque l’utilisateur ouvre un gestionnaire compatible. Cette différence révèle l’état du chantier. Importer vers Google Password Manager paraît plus simple à matérialiser dans l’interface. Exporter vers un acteur tiers impose davantage de coordination entre Android, le gestionnaire source et l’application de destination.

Le mécanisme repose sur le protocole CEP, pour Credential Exchange Protocol. Son rôle est d’organiser l’échange d’identifiants entre gestionnaires de mots de passe. Dans une lecture cyber, ce protocole sert de canal de confiance entre services concurrents. Il doit permettre de déplacer des données très sensibles sans les banaliser. La portabilité ne peut pas devenir une fuite déguisée. Elle doit être volontaire, traçable et limitée aux applications qui savent dialoguer correctement.

Le soutien de Google, Apple et Samsung donne au CEP une portée importante. Ces acteurs couvrent une grande partie des terminaux et des environnements utilisés au quotidien. Leur alignement peut transformer la migration des clés d’accès en fonction standard, au lieu d’un bricolage réservé aux utilisateurs avancés. Cela change aussi l’équilibre stratégique. Un gestionnaire de mots de passe ne garde plus ses utilisateurs uniquement parce que les sorties sont difficiles. Il doit convaincre par sa fiabilité, son ergonomie et son intégration.

Le lancement pourrait toutefois rester partiel. Le texte indique que la fonction ne sera peut-être pas disponible pour toutes les applications dès le départ. Cette réserve est essentielle. La compatibilité dépendra des gestionnaires de mots de passe, de leur prise en charge du protocole et de la manière dont Android exposera l’interface. Pour l’utilisateur, l’expérience variera donc selon l’application choisie. Pour les éditeurs, l’enjeu sera de suivre rapidement le mouvement afin de ne pas apparaître comme un point de blocage.

cyberattaque, Cybersécurité, Entreprise, Firewall, Logiciels

Palo Alto corrige en urgence un zero-day PAN-OS

Une faille critique non corrigée expose des pare-feu Palo Alto à une prise de contrôle distante, avec accès root et exploitation déjà observée.

Palo Alto Networks alerte ses clients sur CVE-2026-0300, une vulnérabilité critique de PAN-OS exploitée contre des pare-feu exposés à Internet. Cette faille de type buffer overflow touche le portail d’authentification User-ID, aussi appelé Captive Portal, sur les gammes PA-Series et VM-Series. Un attaquant non authentifié peut envoyer des paquets spécialement conçus, sans identifiants ni interaction utilisateur, afin d’exécuter du code arbitraire avec les privilèges root. Aucun correctif n’est encore disponible. Les premiers hotfixes sont annoncés autour du 13 mai 2026, puis une seconde vague vers le 28 mai. Les contournements deviennent donc prioritaires.

Une porte d’entrée critique sur le périmètre réseau

Dans une infrastructure d’entreprise, le pare-feu marque souvent la frontière entre le réseau interne, les partenaires et Internet. C’est précisément ce rôle stratégique qui rend CVE-2026-0300 aussi sensible. La vulnérabilité se situe dans le service User-ID Authentication Portal de PAN-OS. Ce composant intervient lorsque le pare-feu ne parvient pas à associer automatiquement une adresse IP à une identité utilisateur. Il présente alors un portail d’authentification, destiné à collecter des identifiants.

Le problème repose sur une écriture hors limites en mémoire, classée CWE-787. En pratique, la logique de traitement des paquets accepte une séquence réseau spécialement forgée, capable de déclencher un débordement de tampon. Comme le chemin d’exécution vulnérable intervient avant toute authentification, l’attaquant n’a pas besoin de compte, de mot de passe, d’accès préalable ou d’action de la victime.

Le scénario d’attaque est donc direct. Un système exposé reçoit le paquet malveillant. La mémoire est corrompue. Le flux d’exécution peut être détourné. Le code choisi par l’attaquant s’exécute ensuite sur la plateforme PAN-OS. L’élément le plus préoccupant tient au niveau de privilèges : le service fonctionne avec les droits root. Une exploitation réussie donne donc un contrôle total sur le pare-feu.

Palo Alto Networks indique que l’exploitation est automatisable. L’entreprise confirme aussi des attaques limitées contre des portails d’authentification accessibles depuis des adresses IP non fiables ou directement depuis Internet. Le score CVSS atteint 9,3 lorsque le portail est exposé à un réseau non maîtrisé. Il descend à 8,7 lorsque l’accès est limité à des adresses internes de confiance, conformément aux bonnes pratiques de l’éditeur.

La surface d’exposition reste importante. Shadowserver suit plus de 5 800 pare-feu PAN-OS VM-Series visibles en ligne. La majorité se trouve en Asie, avec 2 466 systèmes recensés, puis en Amérique du Nord, avec 1 998 équipements. Ces chiffres ne prouvent pas que tous les systèmes soient exploitables, car la vulnérabilité dépend de l’activation du portail concerné. Ils donnent toutefois une mesure du risque sur des équipements de bordure.

Les produits touchés sont les pare-feu PA-Series et VM-Series. Prisma Access, Cloud NGFW et Panorama ne sont pas affectés, selon les informations fournies. Les versions vulnérables couvrent plusieurs branches de PAN-OS : 12.1, 11.2, 11.1 et 10.2, dès lors que le portail User-ID Authentication Portal est activé. La configuration se vérifie dans Device, User Identification, Authentication Portal Settings, Enable Authentication Portal.

Identifiez vos angles morts informatiques avant que les pirates ne le fassent !

Un zero-day sans patch, avec contournements immédiats

Le caractère zero-day de CVE-2026-0300 place les équipes de sécurité dans une fenêtre de risque contrainte. Aucun correctif n’est disponible au moment de l’alerte. Palo Alto Networks prévoit une première série de hotfixes autour du 13 mai 2026, puis une seconde vers le 28 mai. Jusqu’à leur publication, la réduction de surface d’attaque constitue la mesure centrale.

La première action consiste à restreindre immédiatement l’accès au portail d’authentification. Les règles de filtrage doivent limiter le service User-ID Authentication Portal aux seules adresses IP et zones internes jugées fiables. Un portail exposé à Internet, ou à un réseau non approuvé, crée une cible directe pour une attaque distante sans authentification.

La deuxième mesure consiste à désactiver le portail lorsqu’il n’est pas nécessaire. Les organisations qui n’utilisent pas activement cette fonction peuvent la couper depuis Device, User Identification, Authentication Portal Settings, Disable Authentication Portal. Cette décision réduit le risque à la source, car le composant vulnérable n’est alors plus accessible.

Pour les environnements sous PAN-OS 11.1 et versions supérieures, Palo Alto Networks a publié une signature Threat Prevention d’urgence. Elle vise à bloquer les schémas d’exploitation connus, sous réserve d’un abonnement actif. Cette protection ne remplace pas un correctif, car les signatures peuvent être contournées ou rester incomplètes face à des variantes. Elle ajoute cependant une couche utile pendant la période d’attente.

La surveillance doit aussi être renforcée. Les journaux du pare-feu doivent être examinés pour repérer des accès inhabituels au portail d’authentification, des exécutions de processus inattendues ou des communications vers des infrastructures externes inconnues. Un pare-feu compromis avec droits root représente bien plus qu’un équipement isolé. Il peut offrir une visibilité sur les flux, faciliter la reconnaissance interne et ouvrir des chemins de mouvement latéral.

Cette vulnérabilité correspond au profil recherché par des groupes persistants avancés et des opérateurs de rançongiciels : un équipement de bordure, une exécution de code avant authentification et un accès complet aux flux réseau. Tenable attribue à CVE-2026-0300 un score de base de 10,0, soit le maximum possible. Le catalogue CISA Known Exploited Vulnerabilities répertorie déjà 13 vulnérabilités touchant des produits Palo Alto, même si CVE-2026-0300 n’y figure pas encore dans les informations fournies.

L’équation défensive est claire : réduire l’exposition avant la publication des hotfixes, appliquer les signatures disponibles, puis installer les correctifs dès leur diffusion.

Cybersécurité, Firefox, Logiciels, Mise à jour, Patch, Securite informatique

Firefox : l’IA débusque 423 failles cachées

Mozilla a utilisé des modèles d’IA pour traquer des vulnérabilités profondes dans Firefox, avec un impact direct sur le renseignement cyber défensif.

Mozilla affirme avoir corrigé 423 failles de sécurité découvertes grâce à une méthode d’analyse par intelligence artificielle appliquée à Firefox. L’approche se distingue des audits automatisés classiques : les modèles ne produisent pas seulement des alertes à vérifier. Ils s’intègrent au fuzzing du navigateur, testent des hypothèses, écartent les cas non reproductibles et génèrent des preuves de concept lorsque le bogue est réel. Claude Mythos Preview et Claude Opus ont ainsi révélé des défauts anciens dans HTML, XSLT, WebAssembly, IndexedDB, WebTransport, HTTPS et plusieurs mécanismes internes sensibles.

Une IA branchée sur la mécanique du navigateur

La promesse était connue, le résultat change d’échelle. Mozilla a annoncé une nouvelle utilisation de l’intelligence artificielle dans la recherche de vulnérabilités visant Firefox. Au total, 423 failles de sécurité cachées ont été identifiées puis corrigées par les équipes du navigateur. L’opération ne repose pas sur un simple balayage de code source ni sur une génération massive de signalements incertains. Elle s’appuie sur une intégration directe avec l’infrastructure de fuzzing déjà utilisée pour pousser Firefox dans ses retranchements.

Le fuzzing consiste à soumettre un logiciel à des entrées nombreuses, inattendues ou malformées, afin de provoquer des comportements anormaux. Ici, l’IA ne s’est pas contentée d’observer. Les modèles, notamment Claude Mythos Preview et Claude Opus, ont fonctionné sur plusieurs machines virtuelles, formulé des pistes d’attaque, tenté de les valider, puis éliminé les résultats impossibles à reproduire. Cette étape est essentielle : une alerte non vérifiable consomme du temps, mobilise des experts et brouille la hiérarchie du risque.

L’approche retenue par Mozilla ajoute une couche de tri opérationnel. Lorsqu’un bogue apparaissait exploitable, le système cherchait à produire une preuve de concept. Cette logique rapproche l’analyse automatisée des méthodes utilisées par les chercheurs en sécurité offensifs, qui doivent démontrer qu’une anomalie peut être transformée en scénario concret. Pour les défenseurs, l’intérêt est évident : distinguer un simple dysfonctionnement d’un défaut pouvant servir à compromettre un navigateur, un profil utilisateur ou un environnement isolé.

Les découvertes montrent surtout que certains défauts avaient résisté aux outils classiques pendant de longues périodes. Mozilla cite une faille présente depuis 15 ans dans l’élément HTML legend, ainsi qu’une vulnérabilité vieille de 20 ans dans XSLT. D’autres bogues touchaient le traitement des tableaux HTML, WebAssembly, IndexedDB, WebTransport et HTTPS. Cette variété indique que l’IA n’a pas inspecté une seule surface d’attaque. Elle a exploré plusieurs couches du navigateur, du rendu web aux interfaces de stockage, en passant par les protocoles et les composants d’exécution.

Dans une perspective cyber, cette profondeur compte davantage que le volume brut. Un navigateur moderne concentre des fonctions critiques : interprétation de contenus non fiables, exécution de scripts, gestion mémoire, isolation des processus et échanges réseau. Chaque composant peut devenir un point d’entrée. Une faiblesse ancienne, oubliée dans une partie peu visible du moteur, peut un jour être combinée avec une autre pour former une chaîne d’exploitation. C’est précisément ce type de combinaison que les équipes de renseignement cyber surveillent dans les campagnes avancées.

Des failles anciennes, des défenses qui résistent

Les anomalies identifiées n’étaient pas toutes bénignes. Mozilla mentionne des erreurs d’utilisation après libération, des corruptions de mémoire, des conditions de concurrence dans IPC et des contournements du bac à sable touchant des bibliothèques tierces. Ces catégories sont particulièrement sensibles. Une utilisation après libération peut permettre de manipuler une zone mémoire déjà libérée. Une corruption de mémoire peut ouvrir la voie à une exécution de code. Une condition de concurrence IPC peut perturber les échanges entre processus. Un contournement de bac à sable menace l’un des principaux mécanismes de confinement du navigateur.

L’intérêt de l’expérience tient donc à la nature des bogues. L’IA ne cherchait pas seulement des erreurs visibles ou des comportements incohérents. Elle visait des chaînes complexes, nécessitant une compréhension de l’architecture interne de Firefox. Dans ce cadre, la valeur du modèle tient à sa capacité à proposer des chemins d’exploration que les tests traditionnels n’avaient pas priorisés. Ce n’est pas une substitution complète aux experts humains. C’est une extension de leur champ d’observation, avec une puissance d’essai démultipliée.

Mozilla souligne aussi une limite importante. Les modèles n’ont pas réussi à franchir certaines protections déjà installées dans Firefox. Les changements d’architecture qui figent les prototypes par défaut ont notamment neutralisé des tentatives d’attaque. Ce point est important pour l’analyse défensive : l’IA peut aider à trouver des vulnérabilités, toutefois elle se heurte aux durcissements conçus pour réduire l’impact d’un défaut. Une bonne architecture de sécurité ne supprime pas tous les bogues. Elle rend leur exploitation plus difficile, moins fiable, ou impossible dans certaines conditions.

La correction de 423 vulnérabilités a mobilisé plus de 100 développeurs et relecteurs. Ce chiffre rappelle une réalité souvent sous-estimée : découvrir une faille n’est qu’une partie du travail. Il faut vérifier le signalement, comprendre la cause racine, rédiger un correctif, éviter les régressions, relire le code, intégrer les changements, puis distribuer les mises à jour. Mozilla indique que des corrections ont été incluses dans des versions récentes de Firefox, dont 149.0.2, 150.0.1 et 150.0.2.

La prochaine étape consiste à intégrer l’analyse par IA directement au système d’intégration continue de Firefox. L’objectif n’est plus seulement d’examiner le code existant. Il s’agit aussi de contrôler les nouveaux correctifs avant publication. Cette évolution déplace l’IA vers une fonction de veille permanente, au plus près du cycle de développement. Pour les équipes de sécurité, le gain attendu se situe dans la détection précoce, avant que les vulnérabilités ne s’installent durablement dans le code.

Cette expérimentation montre une tendance nette : l’intelligence artificielle devient un capteur supplémentaire du renseignement cyber, utile quand elle reste encadrée par des preuves, des correctifs et une validation humaine.

Android, APT, backdoor, Cybersécurité, Espionnage Spy, Smartphone

Google renforce l’enquête anti-espionnage sur Android

Google déploie sur Android un journal d’intrusion pensé pour documenter les attaques, préserver les traces et aider les enquêtes cyber sur smartphones compromis.

Le nouveau dispositif de journalisation intégré à Android vise un enjeu longtemps critique : comprendre précisément comment un téléphone a été ciblé, compromis ou fouillé. Intégré au mode de protection avancée, il s’adresse d’abord aux profils exposés, notamment journalistes, militants, défenseurs des droits humains et autres utilisateurs à risque. Les journaux collectent des événements techniques pouvant signaler une intrusion, puis les protègent par chiffrement avant transfert vers le compte Google de l’utilisateur. L’objectif est clair : empêcher qu’un logiciel espion efface simplement les indices locaux et donner aux chercheurs une base exploitable pour reconstituer une attaque.

Android veut garder la mémoire des attaques

Sur un smartphone, l’attaque ne se résume pas toujours à un écran suspect ou à une application inconnue. Elle peut passer par une connexion distante, une extraction discrète, une manipulation de débogage ou l’ouverture d’un serveur malveillant. Jusqu’ici, sur Android, beaucoup de ces signaux disparaissaient vite. Les journaux système n’étaient pas pensés pour une investigation d’intrusion, ils étaient régulièrement écrasés, et ne conservaient pas toujours les éléments nécessaires à une analyse solide.

Google introduit donc une fonction dédiée à cette zone grise de l’enquête mobile. La journalisation des intrusions collecte un ensemble séparé d’événements capables d’indiquer une compromission, une tentative de piratage ou une opération de dissimulation. Elle est intégrée au mode de protection avancée, conçu pour les utilisateurs dont le métier, l’engagement ou l’exposition publique augmente le risque de surveillance ciblée.

Le mécanisme repose sur une logique simple : conserver des traces utiles avant qu’elles ne disparaissent. Une fois par jour, Android rassemble ces journaux, les chiffre, puis les envoie vers le compte Google associé au téléphone. Selon Google, l’entreprise ne peut pas lire leur contenu. Le déchiffrement reste entre les mains de l’utilisateur, qui peut ensuite choisir de les transmettre à des chercheurs chargés d’examiner une attaque possible.

Cette architecture répond à un problème central du renseignement numérique : lorsqu’un logiciel espion a déjà pris pied sur un appareil, les preuves locales deviennent fragiles. Un outil suffisamment avancé peut tenter d’effacer ses traces, de masquer ses communications ou de supprimer les éléments compromettants. En déplaçant régulièrement des journaux chiffrés hors du téléphone, Google cherche à réduire cette capacité d’effacement.

La fonction a été développée avec l’aide d’Amnesty International. L’organisation a souligné une difficulté récurrente dans les enquêtes sur Android : l’analyse d’un appareil était souvent plus complexe que celle d’un iPhone, précisément parce que les traces disponibles étaient moins adaptées aux investigations sur intrusion. Pour des chercheurs, cette différence peut déterminer la qualité d’un diagnostic. Sans chronologie fiable, il devient difficile d’identifier le vecteur d’attaque, la période de compromission et les actions réalisées sur le terminal.

Les nouveaux journaux enregistrent plusieurs catégories d’actions. Ils peuvent conserver les déverrouillages du téléphone, les installations et suppressions d’applications, les connexions à des sites web ou serveurs, l’usage d’Android Debug Bridge, ainsi que les tentatives de suppression des journaux eux-mêmes. Ce dernier point est particulièrement sensible : vouloir effacer ces données peut constituer un indice d’obstruction ou de camouflage après compromission.

Pour les enquêteurs, la valeur de ces informations tient à leur combinaison. Un événement isolé peut sembler banal. Une séquence, elle, peut raconter une attaque. Un déverrouillage inhabituel, suivi d’une connexion à un serveur suspect, d’une installation d’application et d’un accès via Android Debug Bridge, forme une piste beaucoup plus solide qu’un simple soupçon.

Un outil utile, mais encore encadré

Cette journalisation peut aussi aider à documenter des scénarios très concrets. Les données recueillies peuvent montrer si le smartphone a été relié à un outil d’extraction comme Cellebrite. Elles peuvent également révéler des tentatives de récupération de données, la présence d’un logiciel espion, l’installation d’un logiciel de harcèlement ou l’ouverture de domaines et serveurs utilisés dans une opération malveillante.

L’enjeu dépasse donc la réparation technique. Il touche à la preuve. Pour un journaliste, un défenseur des droits humains ou un militant, démontrer qu’un téléphone a été attaqué peut avoir des conséquences professionnelles, judiciaires et politiques. Dans ces dossiers, l’incertitude profite souvent à l’attaquant. Plus la chronologie est précise, plus l’analyse devient exploitable.

La fonctionnalité n’est toutefois pas automatique. L’utilisateur doit activer manuellement le mode de protection avancée, puis la journalisation des intrusions. Ce choix limite l’exposition involontaire, mais réduit aussi la couverture immédiate. Les personnes les plus ciblées devront connaître l’existence du dispositif, comprendre son intérêt et accepter de l’utiliser avant un incident.

Autre restriction importante : le déploiement concerne actuellement les appareils Pixel disposant de la mise à jour Android 16 de décembre ou ultérieure. Le téléphone doit aussi être associé à un compte Google. Dans l’état actuel, le dispositif ne couvre donc pas l’ensemble de l’écosystème Android, très fragmenté selon les fabricants, les modèles et les calendriers de mise à jour.

La question de la confidentialité demeure centrale. Ces journaux peuvent contenir l’historique de connexions et des éléments liés à l’activité de navigation. Même chiffrés, ils restent sensibles dès lors qu’un utilisateur envisage de les partager avec des chercheurs. Le choix final lui appartient : transmettre ces données peut aider à établir une attaque, mais cela implique aussi d’exposer une partie de son activité numérique à une analyse externe.

Google tente ici un équilibre délicat. Trop peu de traces, et l’enquête échoue. Trop de collecte, et l’outil devient lui-même une source d’inquiétude. Le chiffrement et le contrôle donné à l’utilisateur répondent à cette tension, sans l’effacer totalement. Dans les affaires d’espionnage mobile, la confiance ne repose pas seulement sur la technologie, mais aussi sur la clarté du consentement.

Pour Android, cette évolution marque un changement d’approche. La sécurité ne consiste plus seulement à bloquer l’attaque au moment où elle survient. Elle doit aussi permettre d’en comprendre les mécanismes après coup. Cette capacité d’analyse post-incident est essentielle face aux logiciels espions, aux outils forensiques intrusifs et aux opérations ciblées.

En matière de cyber-renseignement, la bataille se joue désormais autant dans la conservation des traces que dans la détection de l’attaque.

Cybersécurité, Entreprise, Mise à jour, Securite informatique

Cyberattaques en France : les comptes compromis deviennent la porte d’entrée préférée des attaquants

Le rapport d’incidentologie 2026 d’InterCERT France dresse un constat net : les cyberattaques ne relèvent plus de l’accident isolé. Elles sont devenues une pression continue sur les entreprises françaises, avec des méthodes souvent connues, mais toujours efficaces.

Une étude sortie voilà quelques semaines mérite un détour. L’étude s’appuie sur 366 incidents cyber recensés en 2025 par 66 CERT français. L’échantillon montre une hausse du nombre d’incidents documentés par rapport au précédent rapport. Cette progression ne signifie pas forcément une explosion mécanique de la menace, mais plutôt une meilleure remontée des informations par les équipes de réponse à incident.

Un point ressort clairement : les attaques opportunistes restent majoritaires. Les cybercriminels cherchent d’abord les failles simples, les accès exposés, les identifiants déjà compromis et les systèmes mal protégés. L’objectif principal reste financier. Mais le rapport souligne aussi la présence persistante d’attaques non lucratives, liées à l’espionnage, au pré-positionnement, à l’influence ou à la déstabilisation.

Les identifiants au cœur de la menace

Le rapport met en avant une tendance devenue centrale : l’exploitation de comptes légitimes. Les attaquants cherchent moins à « casser la porte » qu’à entrer avec la bonne clé. Comptes utilisateurs, messageries, comptes administrateurs ou comptes de service deviennent des cibles prioritaires.

Cette évolution explique la place prise par les infostealers, ces logiciels malveillants conçus pour voler discrètement des mots de passe, cookies de session, jetons d’accès ou autres secrets d’authentification. En 2025, leur usage augmente fortement dans les incidents observés.

Leur rôle ne se limite plus au vol de données. Dans plusieurs cas, ils servent de première étape avant une attaque plus lourde. Le rapport indique que les infostealers sont associés à des fuites ou pertes de données dans une part importante des incidents, mais aussi à des arrêts d’activité et à des campagnes de phishing ultérieures. Autrement dit : un poste infecté aujourd’hui peut devenir le point de départ d’une crise majeure demain.

Les grandes entreprises sont particulièrement exposées aux compromissions de comptes, en raison du volume d’identités à gérer et de la complexité des droits. Mais les PME restent des cibles très attractives, notamment lorsqu’elles servent de passerelles vers d’autres organisations.

Rançongiciel : moins de bruit, toujours autant de casse

Le rançongiciel reste l’un des phénomènes les plus destructeurs. Le rapport rappelle que les attaques par ransomware ne se limitent plus au chiffrement des données. L’exfiltration est devenue un levier de pression majeur : les attaquants volent, menacent de publier, puis chiffrent.

Selon les données citées dans le rapport, l’OFAC recense 266 attaques par rançongiciel en 2025, en baisse par rapport à 2024 et 2023. Cette diminution ne doit pas faire baisser la garde. Les attaques restantes sont souvent mieux préparées, plus ciblées dans leurs effets et plus difficiles à traiter.

Les PME apparaissent comme des victimes privilégiées. Elles offrent un bon rapport coût/bénéfice pour les groupes cybercriminels : des moyens de défense souvent plus limités que ceux des grands groupes, mais des enjeux financiers et opérationnels suffisamment importants pour rendre l’extorsion rentable.

Le rapport souligne un chiffre lourd : dans 85 % des incidents avec rançongiciel, une reconstruction partielle ou totale du système d’information est nécessaire. Cela confirme que le ransomware n’est pas seulement un problème de chiffrement. C’est une crise d’exploitation, de continuité d’activité, de communication, de juridique et de confiance.

Les bons réflexes : identité, logs, EDR, sauvegardes

Les recommandations d’InterCERT France vont droit au but. La première priorité est la sécurisation des identités. L’authentification multifacteur doit être généralisée, les privilèges limités au strict nécessaire et les comportements anormaux surveillés.

Deuxième pilier : la détection. L’EDR reste présenté comme un outil de première ligne, à condition d’être largement déployé et connecté aux autres sources de logs. L’enjeu n’est pas seulement de bloquer une attaque, mais aussi de comprendre ce qui s’est passé après l’incident.

Troisième axe : séparer strictement les usages personnels et professionnels. L’utilisation de comptes professionnels sur des services personnels, la réutilisation de mots de passe ou l’usage d’appareils personnels dans un contexte professionnel augmentent fortement le risque de compromission.

Enfin, les sauvegardes restent vitales. Elles doivent être fiables, testées, isolées et suffisamment récentes pour permettre une reconstruction sans dépendre des cybercriminels. Dans les attaques modernes, elles servent aussi à comparer les données réellement compromises avec les revendications des attaquants.

Le message du rapport est limpide : la cyberrésilience ne peut plus être un slogan. Elle doit devenir une méthode. Inventaire des actifs, MFA, moindre privilège, logs exploitables, EDR, sauvegardes testées, formation continue. Rien de spectaculaire. Juste les fondamentaux. Mais en cybersécurité, ce sont souvent les fondamentaux oubliés qui coûtent le plus cher.

Cybersécurité, IA

L’IA détourne déjà l’économie du streaming

Avec l’affaire Michael Smith, la fraude assistée par l’intelligence artificielle cesse d’être théorique. Elle montre comment des plateformes entières peuvent être exploitées à grande échelle avec de faux contenus musicaux.

L’affaire Michael Smith illustre une mutation nette de la fraude numérique. Cet homme de Caroline du Nord, âgé de 54 ans, a reconnu avoir manipulé des plateformes de streaming musical à l’aide de chansons générées par intelligence artificielle et de bots automatisés. Selon les éléments fournis, le dispositif aurait produit plus de 8 millions de dollars (7,37 millions d’euros) au détriment d’artistes et d’ayants droit légitimes. Au-delà de ce dossier, le cas met en lumière une faille structurelle des économies fondées sur l’engagement. Quand l’IA produit le contenu et que l’automatisation simule l’audience, la fraude change d’échelle, de cadence et de discrétion.

Une mécanique industrielle fondée sur les faux signaux

Le système décrit dans cette affaire repose sur une faiblesse bien connue des plateformes de streaming musical. Les redevances sont versées en fonction du nombre d’écoutes d’un titre. Comme ces paiements proviennent d’un fonds commun, chaque écoute artificielle détourne une part des revenus destinés aux artistes réels. Michael Smith a exploité cette logique avec méthode, en adaptant son activité pour éviter les signaux trop visibles.

Selon les informations fournies, il a créé des milliers de faux comptes utilisateurs et déployé un logiciel capable de diffuser ses propres morceaux en boucle. Le schéma aurait pu être repéré s’il s’était concentré sur un petit nombre de titres. Il a au contraire réparti les écoutes sur un grand volume de chansons, afin de diluer l’activité et de réduire le risque d’alerte. Cette dispersion apparaît comme l’un des éléments centraux de la fraude. Elle ne cherche pas seulement à gonfler des chiffres. Elle vise à reproduire une apparence de normalité statistique.

L’autre pilier du système est l’intelligence artificielle. Pour maintenir l’opération dans la durée, Smith aurait généré des centaines de milliers de chansons grâce à l’IA. Ce point change la nature même de la fraude. Dans un modèle classique, produire suffisamment de contenu pour alimenter un schéma de manipulation à grande échelle représente un coût, une contrainte et un facteur de risque. Ici, l’IA supprime en grande partie cette barrière. Elle permet de créer rapidement un stock quasi illimité de morceaux diffusable en continu, à faible coût marginal.

Associée à des bots capables d’imiter des comportements d’auditeurs, cette production automatisée rend l’activité plus crédible aux yeux de systèmes de détection basiques. C’est ce qui distingue la fraude assistée par l’IA d’une simple triche automatisée. Elle n’est pas seulement rapide. Elle devient extensible, adaptable et beaucoup plus difficile à isoler lorsqu’elle est pensée pour ressembler à un trafic ordinaire.

Le procureur fédéral Jay Clayton a résumé cette logique en des termes particulièrement directs. Il a déclaré que Michael Smith avait généré des milliers de fausses chansons grâce à l’intelligence artificielle, puis les avait diffusées des milliards de fois en streaming. Il a ajouté que si les chansons et les auditeurs étaient fictifs, les millions de dollars détournés, eux, étaient bien réels, au détriment d’artistes et d’ayants droit légitimes. Cette citation souligne un enjeu de fond, souvent sous-estimé dans les débats sur l’IA. Le faux ne reste pas virtuel lorsqu’il agit sur un système de rémunération. Il produit un transfert économique concret.

Des plateformes fragilisées par la monétisation de l’engagement

Le dossier Smith dépasse donc le seul cadre du streaming musical. Il révèle une vulnérabilité plus générale des plateformes numériques conçues pour récompenser l’activité visible. Plus une plateforme associe directement engagement et revenu, plus elle devient exposée à des manipulations capables de fabriquer cet engagement à grande échelle. Le problème n’est pas seulement technique. Il est structurel.

Ce qui frappe ici, c’est le niveau de planification. En dispersant les flux sur des milliers de pistes, l’activité a évité les pics brutaux qui déclenchent habituellement les contrôles les plus simples. Cela suggère une évolution importante des pratiques frauduleuses. La fraude ne devient pas forcément plus agressive dans sa forme visible. Elle devient plus discrète, mieux répartie et plus proche des usages qu’elle imite. Pour les plateformes, cette évolution complique fortement la réponse.

Le dilemme est clair. Un contrôle trop agressif risque de toucher des utilisateurs ou des créateurs légitimes. Une détection trop faible laisse prospérer des schémas qui ponctionnent les revenus des acteurs honnêtes. Cette tension est au cœur de l’affaire. Elle montre que la vérification des volumes ne suffit plus. Les systèmes doivent désormais s’intéresser à la cohérence des comportements, à la qualité des interactions et aux logiques de diffusion dans le temps.

L’essor de cette fraude s’explique aussi par l’accessibilité des outils. Les briques nécessaires existent désormais à faible coût. L’IA peut produire du contenu rapidement. Les outils d’automatisation peuvent reproduire des comportements utilisateurs à grande échelle. Ensemble, ils abaissent le seuil d’entrée de la fraude. Ce qui exigeait autrefois des moyens lourds peut aujourd’hui être industrialisé avec une efficacité redoutable.

Le risque, selon les éléments fournis, ne se limite pas à la musique. Des tactiques comparables peuvent émerger partout où l’engagement produit un revenu. Streaming, publicité, réseaux sociaux, toutes ces architectures partagent une fragilité commune dès lors que les indicateurs peuvent être simulés et monétisés. L’affaire Smith agit donc comme un signal pour l’ensemble des plateformes numériques.

Sur le plan judiciaire, Michael Smith a plaidé coupable de complot en vue de commettre une fraude par voie électronique. Il encourt une peine maximale de cinq ans de prison. Il a également accepté de restituer plus de 8 millions $, soit 7,37 millions d’euros. Conversion indicative calculée sur la base du taux implicite fourni en exemple, soit 1 $ ≈ 0,9216 euro. Le prononcé de la sentence est annoncé pour le 29 juillet 2026. Le dossier est traité par les procureurs fédéraux de New York avec le soutien du FBI.

Le signal envoyé par cette affaire est net. Dans l’économie numérique, la bataille ne porte plus seulement sur les contenus illicites, mais sur la capacité à distinguer une activité réelle d’un simulacre rentable, ce qui devient un enjeu central de cyberdéfense et de renseignement économique.

Cybersécurité, Justice, Securite informatique, Social engineering, Stealer

Le botnet Mario Kart, plaque tournante du ransomware

À Detroit, la condamnation d’Illya Angelov éclaire un rouage discret du cybercrime, celui des vendeurs d’accès clandestins qui alimentent en silence l’économie mondiale du ransomware.

La condamnation d’Illya Angelov par un tribunal fédéral de Detroit met en lumière un pan moins visible, et pourtant central, de la criminalité numérique. Entre 2017 et 2021, ce ressortissant russe a dirigé un botnet surnommé « Mario Kart« , capable d’envoyer 700 000 courriels piégés par jour et d’infecter environ 3 000 machines quotidiennes. Le réseau revendait ensuite des accès dérobés à d’autres groupes criminels, surtout spécialisés dans le rançongiciel. Selon l’accusation, 72 entreprises réparties dans 31 États américains ont été touchées. L’affaire montre comment les opérateurs de botnets et les courtiers d’accès occupent une place stratégique dans la chaîne industrielle de l’extorsion numérique.

Un grossiste du piratage au service du ransomware

Le dossier jugé à Detroit décrit une mécanique criminelle rodée, industrielle et particulièrement rentable. Entre 2017 et 2021, Illya Angelov et son organisation, identifiée par le FBI sous le nom de « Mario Kart », ont exploité un réseau de machines compromises pour propager des pièces jointes piégées via des campagnes massives de courriels indésirables. Le volume donne la mesure de l’opération : environ 700 000 messages envoyés chaque jour à travers le monde, pour près de 3 000 nouvelles infections quotidiennes.

Derrière cette cadence, l’objectif n’était pas uniquement de contaminer. Le cœur du modèle économique reposait sur la revente. Angelov et son cogérant monétisaient les accès clandestins obtenus sur des ordinateurs compromis en les cédant à d’autres groupes criminels. Ces clients n’étaient pas de simples fraudeurs opportunistes. Ils intervenaient le plus souvent dans des campagnes de rançongiciel, verrouillant les systèmes d’information des victimes, chiffrant leurs données, puis réclamant une somme pour restaurer l’accès.

Cette architecture éclaire une réalité essentielle du cybercrime contemporain : tous les acteurs ne remplissent pas le même rôle. Certains conçoivent les outils, d’autres diffusent les logiciels malveillants, d’autres encore exploitent les brèches ouvertes pour lancer une extorsion. L’organisation Mario Kart occupait cette position charnière. Elle fonctionnait comme un fournisseur en gros pour des opérateurs de ransomware qui ne disposaient ni des infrastructures, ni des moyens techniques nécessaires pour compromettre eux-mêmes leurs cibles à grande échelle.

Les documents judiciaires décrivent aussi un niveau de sophistication notable. Le groupe comptait des développeurs capables de produire des programmes de spam et des malwares suffisamment élaborés pour déjouer les antivirus. Le logiciel malveillant Mario Kart intégrait en outre une faille de sécurité permettant l’installation d’un code malveillant sur les machines visées. Là encore, l’organisation ne se limitait pas à utiliser cet atout pour son propre compte. Elle revendait cette capacité à d’autres groupes de cybercriminels, qui s’en servaient ensuite pour déployer des rançongiciels, chiffrer les données des victimes et exiger un paiement.

L’affaire illustre ainsi une forme de spécialisation avancée. Angelov n’apparaît pas seulement comme un pirate isolé ou comme l’administrateur d’un réseau infecté. Il se situe à l’interface entre l’intrusion initiale et l’extorsion finale. Dans cette chaîne, celui qui fournit l’accès détient une valeur stratégique élevée. Il réduit les coûts, accélère les attaques et augmente la portée des opérations menées par d’autres.

Detroit frappe un maillon clé de l’économie criminelle

La sentence prononcée mardi à Detroit s’inscrit dans cette lecture plus large. En octobre, Angelov avait plaidé coupable à huis clos à un chef de complot en vue de commettre une fraude électronique. Le procureur avait requis 61 mois d’emprisonnement, soit une baisse marquée par rapport aux recommandations du barème, qui dépassaient 12 ans. Cette réduction a tenu compte de sa coopération volontaire ainsi que des conditions de sa reddition.

Le tribunal l’a également condamné à une amende de 100 000 $ (92 160 euros) et à verser 1,6 million $ (1 474 560 euros) de dommages et intérêts. Ce détail financier rappelle que la réponse judiciaire vise aussi l’assèchement économique du modèle criminel.

La trajectoire d’Angelov croise celle de son associé Viatcheslav Igorevitch Penchukov. Quatre ans plus tôt, celui-ci avait été arrêté en Suisse avant d’être extradé vers les États-Unis. Selon le dossier, Penchukov appartenait à un groupe qui avait négocié le versement d’un million de dollars à Angelov et à une autre personne pour obtenir l’accès au système Mario Kart, soit 1 million $ (921 600 euros) selon la même conversion indicative. Quelques jours après cette arrestation, Angelov a pris contact avec les autorités américaines et a ensuite négocié sa reddition. Au moment de ce déplacement, Penchukov vivait au Royaume-Uni, depuis lequel Washington aurait aussi pu solliciter son extradition.

Le dossier ne s’arrête pas à ces deux noms. Vitlalii Alexandrovich Balint, présenté comme un acteur essentiel du développement de Mario Kart, a été condamné cinq mois plus tôt par un tribunal fédéral de Detroit à 20 mois de prison. Son rôle était important, selon les éléments du dossier, tout en restant subordonné à celui d’Angelov. La hiérarchie interne du groupe, telle qu’elle apparaît dans les décisions judiciaires, renforce l’idée d’une organisation structurée, avec des fonctions techniques et des responsabilités différenciées.

Au-delà des peines individuelles, l’affaire Mario Kart s’inscrit dans une stratégie plus large du ministère américain de la Justice. L’enjeu n’est plus seulement de poursuivre les auteurs visibles des attaques au ransomware, ceux qui affichent les demandes de rançon et négocient avec les victimes. Il s’agit aussi de frapper en amont les opérateurs de botnets et les courtiers d’accès, autrement dit ceux qui fournissent les outils, les portes d’entrée et la logistique technique sans lesquels nombre d’attaques ne pourraient pas être lancées avec une telle efficacité.

Le calendrier judiciaire renforce cette démonstration. La veille de la sentence d’Angelov, un autre tribunal fédéral a condamné le courtier d’accès russe Aleksei Volkov à 81 mois de prison pour avoir fourni un accès réseau au groupe de ransomware Yanluowang à travers des dizaines d’organisations américaines. Mis bout à bout, ces dossiers dessinent une ligne claire : les autorités cherchent désormais à désorganiser l’écosystème criminel dans son ensemble, en ciblant ses prestataires, ses intermédiaires et ses fournisseurs techniques.

Cybersécurité, Entreprise, Justice, loi, RGPD, Securite informatique

G7 2026 : Paris au centre des données

La CNIL réunira à Paris les autorités du G7 pour aligner protection des données, intelligence artificielle et coopération face aux risques numériques mondiaux.

La France présidera le G7 en 2026 et confiera à la CNIL l’organisation, à Paris, de la Table ronde des autorités de protection des données et de la vie privée. Du 23 au 26 juin 2026, les régulateurs du G7 échangeront sur les transformations numériques, l’intelligence artificielle et les conditions d’une protection robuste des informations personnelles. Cette rencontre annuelle, créée en 2021, vise à rapprocher les pratiques, renforcer l’application du droit et chercher des convergences opérationnelles. Son enjeu dépasse la conformité : il touche à la confiance, à la souveraineté numérique et au renseignement économique.

Paris accueille un rendez-vous stratégique

Du 23 au 26 juin 2026, Paris deviendra un point de passage obligé pour les régulateurs mondiaux de la donnée. Sous la présidence de la CNIL, les autorités de protection des données des pays du G7 se retrouveront pour leur réunion annuelle. L’événement s’inscrit dans la présidence française du G7, qui donnera à la France une visibilité particulière sur les grands dossiers numériques.

Ce rendez-vous arrive dans un moment sensible. Les technologies se diffusent vite, les usages de l’intelligence artificielle s’élargissent, et les attentes autour des données personnelles se renforcent. Chaque administration, chaque entreprise et chaque plateforme doit désormais composer avec une contrainte majeure : exploiter l’information sans fragiliser les droits fondamentaux. Dans cet équilibre, les autorités de contrôle jouent un rôle de vigie.

La Table ronde des autorités de protection des données et de la vie privée du G7 existe depuis 2021. Elle rassemble, sous l’impulsion de la présidence annuelle, les régulateurs compétents d’Allemagne, du Canada, des États-Unis, de France, d’Italie, du Japon, du Royaume-Uni, ainsi que l’Union européenne. Cette composition reflète un espace politique et économique où circulent d’immenses volumes de données, parfois au cœur de chaînes technologiques critiques.

L’objectif n’est pas de produire un affichage diplomatique. La Table ronde sert d’abord à comparer les évolutions juridiques, techniques et opérationnelles observées dans chaque juridiction. Elle permet aussi aux responsables des autorités de se parler directement, sans intermédiaire, sur des sujets qui dépassent les frontières. Enfin, elle cherche, lorsque cela reste possible, à dégager des positions communes sur des thèmes d’intérêt partagé.

Dans une lecture cyber et renseignement, cette mécanique compte. Les données personnelles ne sont pas seulement des éléments administratifs ou commerciaux. Elles peuvent révéler des habitudes, des déplacements, des opinions, des vulnérabilités, voire des liens professionnels sensibles. Lorsqu’elles sont croisées avec des outils d’analyse avancée, elles deviennent une matière stratégique. Leur protection relève donc aussi de la résilience démocratique et de la sécurité informationnelle.

Trois chantiers pour une gouvernance opérationnelle

La présidence française a prévu plusieurs axes de travail pour 2026. Le premier porte sur les technologies émergentes. Cette catégorie inclut notamment les systèmes d’intelligence artificielle, dont le développement rapide oblige les régulateurs à suivre des usages mouvants. Le sujet est central, car l’IA repose souvent sur des volumes massifs de données, parfois difficiles à tracer, à expliquer ou à maîtriser.

Le deuxième chantier concerne la coopération dans l’application du droit. C’est un point décisif. Les atteintes à la vie privée, les traitements illicites ou les transferts contestés ne s’arrêtent pas aux frontières nationales. Une autorité isolée peut sanctionner, enquêter ou alerter, pourtant son efficacité dépend souvent de la capacité à échanger avec ses homologues. Dans un environnement numérique globalisé, la coordination devient un instrument de puissance publique.

Le troisième axe traite de la libre circulation des données. La formule peut sembler technique, elle se trouve pourtant au centre des tensions numériques contemporaines. Les États, les entreprises et les citoyens attendent des flux de données efficaces. En parallèle, ces flux doivent respecter les garanties prévues pour les personnes. La difficulté consiste à éviter deux impasses : un blocage stérile des échanges ou une circulation sans garde-fous.

La CNIL place cette présidence sous le signe du dialogue, de l’expertise partagée et du pragmatisme. Le mot est important. Dans le domaine numérique, les principes généraux ne suffisent pas toujours. Les autorités doivent aussi confronter leurs méthodes, leurs outils d’enquête, leurs interprétations et leurs priorités. La convergence recherchée n’efface pas les différences entre systèmes juridiques, elle tente de construire un terrain d’action commun.

Ce travail aura une portée particulière en 2026. L’intelligence artificielle, les architectures cloud, les plateformes transnationales et les services fondés sur l’analyse comportementale transforment la notion même de donnée personnelle. Une information isolée peut paraître anodine. Agrégée, enrichie et analysée, elle peut devenir sensible. Pour les autorités, l’enjeu consiste à maintenir une protection élevée dans un espace technique qui change plus vite que les cadres institutionnels.

La réunion de Paris servira donc de test politique. Elle montrera jusqu’où les autorités du G7 peuvent rapprocher leurs approches sans renoncer à leurs spécificités nationales ou régionales. Elle dira aussi si la protection des données peut devenir un véritable langage commun entre démocraties industrialisées, face à des acteurs privés puissants et à des technologies de plus en plus opaques.

Pour la France, l’accueil de cette Table ronde offre un levier d’influence. La CNIL pourra mettre en avant une approche fondée sur les droits et libertés, tout en insistant sur la nécessité d’outils concrets. La promesse n’est pas seulement normative. Elle vise une coopération capable de répondre à des risques réels : collecte excessive, usages détournés, décisions automatisées mal contrôlées, circulation internationale mal encadrée.

En matière de cyber intelligence, la donnée personnelle reste un capteur de pouvoir : protéger son usage revient aussi à défendre l’autonomie numérique des sociétés démocratiques.

Cybersécurité

Un navire chinois teste un coupe-câble sous-marin

Un essai chinois à 3 500 mètres ravive les inquiétudes sur la sécurité des câbles sous-marins, colonne vertébrale physique d’Internet.

La Chine a testé, depuis le navire de recherche Haiyang Dizhi 2, un outil capable de sectionner des câbles sous-marins à grande profondeur. Selon le South China Morning Post, l’essai s’est déroulé à 11 483 pieds, soit 3 500 mètres. Cette démonstration intervient après plusieurs incidents visant des câbles de données, des lignes électriques et des pipelines, de la Baltique au Pacifique. Pékin présente ces technologies comme civiles, mais leur usage possible contre des infrastructures critiques nourrit les soupçons. Pour les services de renseignement, l’enjeu dépasse la mer : il touche directement la résilience d’Internet, des îles du Pacifique à Taïwan.

Un outil civil présenté dans un contexte militaire

La scène se déroule loin des côtes, dans l’obscurité froide des grands fonds. Le Haiyang Dizhi 2, navire chinois de recherche océanographique, participe alors à une expédition scientifique. À bord, l’équipement donne la mesure de ses capacités : une grue de 150 tonnes, un treuil à fibre optique de 10 kilomètres et une plateforme pour hélicoptère. Le bâtiment a déjà démontré, lors de précédentes missions, qu’il pouvait déployer des véhicules sous-marins téléopérés en profondeur.

Selon le South China Morning Post, le test a validé un dispositif capable de couper des câbles à 3 500 mètres. L’objectif maximal annoncé atteint 13 123 pieds, soit 4 000 mètres. Cette profondeur place l’outil dans une catégorie sensible : celle des technologies capables d’intervenir sur des infrastructures que les États considéraient longtemps comme difficiles d’accès, donc relativement protégées.

Le quotidien hongkongais s’appuie sur un article de China Science Daily, publication officielle en chinois placée sous l’égide de l’Académie chinoise des sciences. Ce média affirme que l’essai en mer a franchi le « dernier kilomètre » séparant le développement d’équipements profonds de leur application industrielle. La formule, technique en apparence, porte une signification stratégique : un prototype ne reste plus seulement en laboratoire, il devient utilisable en opération. La même annonce, moins profonde, avait été diffusée à la même période.

Le mécanisme décrit repose sur un actionneur électro-hydrostatique. Il combine une pompe hydraulique, un moteur électrique et une unité de contrôle. L’ensemble permet à une meule diamantée d’exercer la pression nécessaire pour entamer des câbles protégés par de l’acier, du caoutchouc et des polymères. Le dispositif serait assez compact pour être embarqué sur l’un des nombreux robots sous-marins chinois.

La conception avait été publiée en 2025 dans la revue chinoise Mechanical Engineer. Les travaux étaient attribués à des chercheurs du China Ship Scientific Research Center et du State Key Laboratory of Deep-sea Manned Vehicles. Le cadre scientifique n’efface pas l’ambiguïté. Dans le domaine sous-marin, les mêmes outils peuvent réparer, récupérer, inspecter ou neutraliser.

Cette ambiguïté n’est pas nouvelle. D’après la Jamestown Foundation, basée à Washington, des organismes navals de l’Armée populaire de libération ont déjà déposé des brevets liés à la coupe ou à la récupération de câbles. L’université de Lishui a également déposé un brevet pour un outil remorquable destiné, officiellement, à des usages d’urgence. La répétition de ces développements dessine une trajectoire : Pékin accumule des compétences utiles à la fois à l’industrie offshore, à la recherche océanique et à l’action clandestine.

Wendy Chang, analyste au Mercator Institute for China Studies en Allemagne, y voit un signal politique. Lors de la révélation initiale de cette technologie en 2025, elle avait décrit l’exposition de ces moyens comme une démonstration de force. Selon elle, la Chine envoie des messages contradictoires : elle nie son rôle dans des opérations opaques impliquant des ancres modifiées, tout en dévoilant des équipements capables de couper des câbles renforcés. Elle veut participer à la construction et à l’exploitation des réseaux sous-marins, mais aussi montrer qu’elle pourrait perturber ces infrastructures en cas de besoin.

La colonne vertébrale d’Internet sous pression

La Chine n’est pas le seul État doté de moyens capables d’atteindre les câbles océaniques. Pendant la guerre froide, la marine américaine a utilisé un sous-marin modifié et des plongeurs pour intercepter secrètement des communications navales soviétiques circulant par un câble en mer d’Okhotsk. Aujourd’hui encore, les États-Unis et la Russie disposent de sous-marins nucléaires, de navires de surveillance et de robots capables d’opérer près du fond marin.

La différence tient au contexte. Ces dernières années, plusieurs incidents ont touché des câbles ou des conduites sous-marines. Certains cas relèvent peut-être d’accidents, notamment lorsque des navires traînent leur ancre sur le fond. D’autres nourrissent des soupçons de sabotage, en particulier lorsque les événements se répètent dans des zones sensibles.

Des navires immatriculés ou liés à la Chine ont été impliqués dans des dommages subis par des câbles de données et des gazoducs en mer Baltique. Deux épisodes sont cités : octobre 2023 et novembre 2024. Ils ont affecté plusieurs pays européens, dont l’Allemagne, la Finlande, la Lituanie, l’Estonie et la Suède. Les autorités chinoises ont présenté ces faits comme des accidents.

Dans le Pacifique, les inquiétudes sont différentes mais tout aussi vives. Le South China Morning Post a évoqué la menace potentielle que ferait peser un tel outil sur les câbles en fibre optique reliant certaines îles, dont Guam, territoire américain d’outre-mer accueillant plusieurs bases militaires. Un câble coupé ne provoque pas seulement une panne technique. Il peut ralentir les communications, perturber les échanges militaires, compliquer la coordination de crise et isoler temporairement des territoires.

Taïwan apparaît comme l’un des points les plus exposés. La démocratie autonome dépend de 24 câbles majeurs pour sa connectivité mondiale. Elle a déjà subi plusieurs incidents présumés de sabotage sous-marin impliquant des navires appartenant à des intérêts chinois. Ces épisodes s’inscrivent dans une pression plus large exercée par l’armée chinoise et par des milices maritimes, régulièrement actives près de l’île.

Les chercheurs chinois affirment que l’outil vise des usages civils liés au développement des ressources marines. Cette explication reste possible. Les fonds océaniques exigent des équipements capables de couper, dégager ou récupérer des structures endommagées. Mais le renseignement raisonne rarement sur l’intention déclarée seule. Il examine aussi la capacité, le moment, la doctrine et les précédents.

Le réseau mondial compte plus de 1,5 million de kilomètres de câbles sous-marins. Cette architecture transporte l’essentiel des communications intercontinentales. Elle paraît abstraite, mais elle repose sur des fibres posées sur le fond de l’océan, parfois à des milliers de mètres sous la surface. Un outil capable d’y intervenir transforme une vulnérabilité technique en levier stratégique.

La démonstration chinoise rappelle une réalité centrale du cyberespace : avant les logiciels, les données traversent des câbles que les États peuvent surveiller, exploiter ou couper. [ArtsTechnica]

Cybersécurité, IA, loi, santé

Bulle veut repenser les réseaux sociaux

Face aux risques d’addiction, de désinformation et de harcèlement, Bulle défend une réponse centrée sur l’architecture même des plateformes sociales.

Alors que plusieurs États veulent interdire les réseaux sociaux aux moins de 15 ans, Bulle avance une autre voie : modifier les mécanismes qui organisent l’attention, la visibilité et la circulation des contenus. Le réseau social européen estime que la vérification de l’âge ne suffit pas si les publications dangereuses restent accessibles, amplifiées ou recommandées par des algorithmes peu lisibles. Sa proposition repose sur trois leviers : transparence algorithmique, limitation du temps d’usage et cadre éditorial strict. L’enjeu dépasse la protection des mineurs : il touche à la sécurité informationnelle et à la responsabilité des plateformes numériques.

Une réponse au-delà du contrôle d’âge

La protection des mineurs en ligne s’impose désormais comme un sujet politique central. En France, en Turquie, en Espagne, en Grèce ou en Norvège, des textes ont été adoptés ou préparés pour encadrer plus fermement l’accès des jeunes aux réseaux sociaux. Cette dynamique dépasse l’Europe. L’Australie a instauré, depuis fin 2025, une limite d’âge fixée à 16 ans. Selon les premiers bilans cités, cette mesure n’a pas modifié de façon notable la domination des grandes plateformes. ZATAZ explique même que dès l’annonce de ces nouvelles régles, les pirates proposaient à la vente des comptes et des accès afin de passer outre les restriction !

Ces initiatives traduisent une même inquiétude : l’exposition des adolescents à des contenus violents, trompeurs ou addictifs. Elles reposent pourtant sur une logique principalement défensive. Il s’agit de filtrer l’entrée, de vérifier l’âge, puis d’autoriser ou de bloquer l’accès. Cette approche laisse intact le cœur du problème. Une plateforme peut contrôler l’âge de ses utilisateurs tout en conservant des systèmes de recommandation opaques, capables de pousser des contenus anxiogènes, polarisants ou trompeurs.

Un réseau social n’est pas seulement un espace d’expression. C’est aussi une infrastructure de visibilité, où chaque signal, chaque interaction et chaque recommandation peut orienter l’attention collective. Lorsque les règles internes restent invisibles, les utilisateurs ne savent pas pourquoi certains contenus leur sont montrés, ni comment certaines publications gagnent en puissance.

Bulle affirme donc que la réponse ne peut pas se limiter à l’interdiction. Le réseau social européen propose de déplacer le débat vers la conception même des outils numériques. L’objectif consiste à réduire les risques avant qu’ils ne deviennent structurels : dépendance aux flux, exposition répétée à des contenus toxiques, propagation de rumeurs ou pression sociale permanente.

La plateforme agit d’abord sur le temps d’usage. Par défaut, chaque utilisateur dispose d’une limite quotidienne d’une heure trente. Ce choix vise à casser la logique de captation continue, souvent centrale dans les modèles d’engagement. Un couvre-feu nocturne est appliqué. Il bloque automatiquement l’accès pendant la nuit. Cette mesure s’inscrit dans une approche de réduction des risques, plutôt que dans une exclusion totale des jeunes publics.

Le principe est clair : limiter l’emprise sans supprimer les usages. Les adolescents, les créateurs, les journalistes et les médias peuvent continuer à utiliser des formats sociaux attractifs, mais dans un cadre moins dépendant de la stimulation permanente. Le sujet n’est plus seulement l’âge biologique de l’utilisateur. Il devient la qualité de l’environnement numérique dans lequel cet utilisateur évolue.

Envie de tester ? Cette proposition n’est pas un partenariat ou toutes autres démarches commerciales. Juste vous permettre de découvrir un projet qui nous semble prometteur et respectueux de l’Internet et des Internautes ! Voici comment faire : www.bulle.media. Lors de votre inscription, utilisez le code parrainage : 0F6NXW

Des algorithmes publics pour une information lisible

Le deuxième pilier de Bulle concerne la transparence algorithmique. La plateforme indique que ses algorithmes de recommandation sont publics et consultables. Cette orientation tranche avec le fonctionnement dominant des grands réseaux sociaux, où les critères de diffusion restent souvent difficiles à comprendre. Cette lisibilité compte : elle permet d’observer les mécanismes qui hiérarchisent l’information, favorisent certains contenus et organisent la visibilité.

Rendre un algorithme consultable ne supprime pas tous les risques. Mais cela modifie le rapport de force entre la plateforme, les producteurs de contenus et les utilisateurs. Les règles ne sont plus seulement imposées dans une boîte noire. Elles deviennent discutables, vérifiables et potentiellement contrôlables. Pour les médias et les journalistes, cette transparence peut aussi renforcer la confiance dans les conditions de diffusion.

Bulle associe cette transparence à une charte de déontologie stricte. Les publications doivent respecter des règles explicites, pensées pour limiter la désinformation et les dérives. Cette dimension éditoriale donne à la plateforme une identité particulière : elle ne se présente pas uniquement comme un outil social, mais comme un espace structuré pour l’information et la création. Les contenus y circulent dans un cadre défini, où la responsabilité des auteurs est placée au centre.

Cette organisation répond à une demande croissante : disposer de formats numériques attrayants, sans abandonner les exigences de fiabilité. Les créateurs peuvent publier, les médias peuvent diffuser, les journalistes peuvent toucher leurs publics, mais dans un environnement où les règles de visibilité et de publication sont affichées. Le modèle revendiqué cherche donc un équilibre entre attractivité, responsabilité et sécurité informationnelle.

Clément Étoré, fondateur de Bulle, résume cette logique en opposant la restriction d’accès à la transformation des mécanismes internes. Selon lui, les réponses actuelles s’appuient surtout sur l’interdiction ou la vérification de l’âge, sans changer les logiques profondes des plateformes. Il souligne que ces logiques déterminent la circulation des contenus et la captation de l’attention. Sur Bulle, explique-t-il, les algorithmes sont publics, l’usage est limité par défaut et une charte de déontologie encadre les publications. L’objectif annoncé est de réduire les risques d’addiction et de désinformation, tout en conservant des formats adaptés aux jeunes, aux créateurs et aux médias.

Dans cette bataille, l’enjeu n’est plus seulement de bloquer l’accès, mais de rendre visibles les mécanismes qui gouvernent l’information.