Archives de catégorie : Espionnage Spy

Trafic de puces IA, trois hommes inculpés

Une commande géante, des serveurs bardés de GPU sous contrôle et une route via la Thaïlande : l’affaire révèle une tentative présumée de contourner un verrou stratégique majeur de Washington.

La justice américaine accuse trois hommes d’avoir monté un circuit destiné à expédier vers la Chine des technologies d’intelligence artificielle soumises à de strictes restrictions. Au cœur du dossier, une commande d’environ 170 millions de dollars (156,7 millions d’euros), 750 serveurs et 600 puces Nvidia concernées par les contrôles à l’exportation. Selon les procureurs fédéraux, Stanley Yi Zheng, Matthew Kelly et Tommy Shad English auraient utilisé une société présentée comme thaïlandaise pour masquer la destination finale réelle du matériel. L’affaire dépasse le simple contentieux commercial : elle touche à la rivalité technologique, au contrôle des flux de semi-conducteurs avancés et à la protection de capacités à usage militaire et de renseignement.

Une filière présumée construite pour masquer la Chine

Le ministère américain de la Justice a inculpé mercredi Stanley Yi Zheng, 56 ans, de Hong Kong, Matthew Kelly, 49 ans, de Hopewell Junction, dans l’État de New York, et Tommy Shad English, 53 ans, d’Atlanta, en Géorgie. Ils sont poursuivis pour complot en vue de commettre un trafic illicite et pour violations des règles américaines sur les exportations. D’après l’acte d’accusation, les trois hommes auraient cherché à acheter, auprès d’une entreprise californienne de matériel informatique, des puces valant plusieurs millions de dollars afin de les faire partir vers la Chine par l’intermédiaire de la Thaïlande.

Stanley Zheng a été arrêté le 22 mars. Matthew Kelly et Tommy Shad English se sont rendus aux autorités fédérales le 25 mars. Les procureurs décrivent un dispositif commencé en mai 2023. À cette date, les trois suspects auraient commencé à coordonner l’acquisition de serveurs informatiques auprès d’un fabricant californien avant leur expédition vers la Thaïlande, avec, selon l’accusation, la Chine comme destination finale réelle. Des sociétés thaïlandaises auraient servi de façade commerciale pour donner une apparence régulière à l’opération.

Le dossier insiste sur la nature du matériel recherché. Il s’agit notamment de puces Nvidia A100 et H100, des processeurs graphiques de très haut niveau utilisés pour l’entraînement et l’inférence de modèles d’intelligence artificielle à grande échelle. Une première tranche visait des serveurs intégrant du matériel Supermicro conçu pour supporter les GPU Nvidia H100 et H200, pour un montant proche de 62 millions de dollars (57,1 millions d’euros). Plus largement, l’une des commandes évoquées porte sur 750 serveurs pour environ 170 millions de dollars (156,7 millions d’euros). Sur cet ensemble, 600 machines embarquaient une puce figurant sur la liste de contrôle du département du Commerce des États-Unis et nécessitant une licence d’exportation vers la Chine.

Le signal d’alerte est venu de la chaîne commerciale elle-même. En janvier 2024, lors d’un échange sur un contrôle de conformité lié à la commande d’octobre 2023, English aurait demandé qu’on ajoute Zheng et Kelly à la conversation. Le fabricant aurait alors relevé un point jugé anormal : la société de Zheng était basée en Chine, alors qu’aucun représentant de l’entreprise thaïlandaise supposée cliente ne figurait parmi les destinataires. L’entreprise aurait aussi rappelé que la Chine est visée par des restrictions américaines et que des sociétés américaines ne peuvent pas vendre à des entreprises ou utilisateurs finaux installés dans ce pays dans ce cadre réglementaire. Quelques semaines plus tard, le schéma présumé commençait à se fissurer.

 

News & alertes actualités cyber

Enquêtes, cyberveille avec le Service de veille ZATAZ, fuites, actus, et recevez nos infos par 📧 ou par ☎️.

 

Export controls, renseignement économique et enjeu militaire

Un informateur a alerté les enquêteurs fédéraux en janvier 2024. Puis, en février 2026, des agents fédéraux ont saisi le téléphone et l’ordinateur portable de Matthew Kelly à son retour d’Italie. Cette saisie a donné accès aux messages WhatsApp échangés entre les trois suspects, selon les autorités. En parallèle, des employés de Nvidia et de Supermicro ont eux aussi identifié des irrégularités dans les demandes de commande, conduisant à leur annulation au début de 2024.

Au-delà de la procédure pénale, l’affaire éclaire un mode opératoire classique du contournement des contrôles à l’exportation : le transbordement via un pays tiers. Ici, la Thaïlande est décrite comme une plaque de transit destinée à masquer la destination finale du matériel. Cette technique est présentée comme bien documentée et en forte progression depuis l’élargissement, par l’administration Biden, des restrictions sur les puces avancées en octobre 2022 puis en octobre 2023. Dans une logique de renseignement économique et technologique, le choix d’un intermédiaire étranger permet de brouiller la lecture des flux, de complexifier les vérifications de conformité et de tester la vigilance des fabricants américains.

L’enjeu dépasse largement la seule fraude documentaire. Les procureurs soulignent que les puces visées ont des applications militaires et stratégiques. Les A100 et H100 permettent d’entraîner des modèles d’IA à une échelle compatible avec des usages sensibles, notamment le ciblage d’armes avancées, l’analyse du renseignement électromagnétique et les systèmes autonomes. C’est précisément pour limiter l’accès à ces capacités que Washington a renforcé ses contrôles. Dans cette lecture, chaque tentative de contrebande de semi-conducteurs avancés devient un épisode de la compétition de puissance autour de l’intelligence artificielle.

Le dossier surgit dans un climat de confrontation technologique croissante entre Washington et Pékin. Les autorités américaines considèrent le trafic de puces comme l’un des moyens les plus directs pour réduire l’écart que les restrictions cherchent justement à maintenir. La réponse judiciaire traduit donc une logique plus large : protéger un avantage industriel, préserver un avantage militaire et verrouiller les briques matérielles qui soutiennent les futurs systèmes d’IA.

L’enquête est menée conjointement par le Bureau of Industry and Security du département du Commerce, le Defence Criminal Investigative Service et Homeland Security Investigations. Chaque accusé est poursuivi pour association de malfaiteurs en vue de commettre un trafic illicite et pour association de malfaiteurs en vue de violer la loi sur la réforme du contrôle des exportations. Les peines cumulées encourues peuvent dépasser 20 ans de prison. Dans cette affaire, la bataille des puces apparaît aussi comme une guerre discrète de traçabilité, de conformité et de contre-ingérence technologique.

 

News & alertes actualités cyber

Enquêtes, cyberveille avec le Service de veille ZATAZ, fuites, actus, et recevez nos infos par 📧 ou par ☎️.

 

Un soldat américain au cœur d’un réseau nord-coréen

L’affaire éclaire une faille critique du recrutement à distance américain, où l’usurpation d’identité a ouvert à des informaticiens nord-coréens un accès discret à des entreprises sensibles.

La condamnation d’Alexander Paul Travis, militaire américain en service actif, met en lumière un dispositif clandestin mêlant fraude à l’identité, télétravail et accès distant à des systèmes d’entreprise. Entre 2019 et 2022, cet homme a permis à des informaticiens nord-coréens d’utiliser son nom pour décrocher des postes dans huit sociétés américaines. Deux autres Américains, Jason Salazar et Audricus Phagnasay, ont participé au même schéma. Selon l’accusation, l’opération a généré environ 1,3 million $.

Une fraude d’emploi devenue faille de sécurité

Le dossier jugé en Géorgie raconte moins une simple escroquerie financière qu’un contournement méthodique des contrôles de confiance. Alexander Paul Travis, 35 ans, militaire en service actif stationné à Fort Gordon, a participé au système entre septembre 2019 et novembre 2022. Il a reconnu avoir laissé des informaticiens nord-coréens usurper son identité sur des CV et au cours de procédures de recrutement comprenant des entretiens, des tests antidrogue et des prises d’empreintes digitales.

Ce point est central. Dans un environnement professionnel largement numérisé, l’identité n’est pas seulement un nom sur un contrat. Elle ouvre l’accès aux réseaux, aux outils internes, aux messageries et parfois à des données stratégiques. En laissant son profil servir de façade, Travis a créé un sas d’entrée crédible pour des opérateurs installés à distance. Huit entreprises ont ainsi envoyé des ordinateurs portables à ce faux salarié. Ces machines étaient configurées avec des logiciels permettant un accès distant par les travailleurs nord-coréens.

L’affaire prend alors une dimension cyber nette. Chaque terminal expédié à un employé supposé légitime devient une extension potentielle du système d’information d’une entreprise. Une fois la relation contractuelle établie, la confiance technique suit souvent la confiance administrative. Les postes reçus, les accès fournis et les paiements versés ne relèvent plus seulement d’une tromperie RH. Ils deviennent des vecteurs possibles d’intrusion discrète, d’exfiltration ou de persistance.

Pour sa participation, Travis a touché 47 357 euros. Le tribunal l’a condamné à un an de prison, à trois ans de liberté surveillée et à la restitution de 193 265 $, somme perçue par des Nord-Coréens en son nom. L’écart entre ce qu’il a personnellement gagné et ce qui a circulé via son identité montre que le prête-nom n’était qu’un maillon. La valeur réelle du dispositif se trouvait dans l’accès durable à des emplois américains, à leurs revenus et, potentiellement, à leurs environnements techniques.

 

 

News & alertes actualités cyber

Enquêtes, cyberveille avec le Service de veille ZATAZ, fuites, actus, et recevez nos infos par 📧 ou par ☎️.

 

Un modèle clandestin structuré et rentable

Travis n’était pas seul. Jason Salazar, 30 ans, de Clovis, et Audricus Phagnasay, 25 ans, de Fresno, ont été condamnés en même temps que lui. Tous trois ont plaidé coupable de complot en vue de commettre une fraude par voie électronique. Eux aussi ont laissé des Nord-Coréens exploiter leur identité et recevoir des ordinateurs portables d’entreprise.

Selon l’accusation, Phagnasay a perçu au moins 3 450 $ et son nom a servi à faire embaucher des informaticiens nord-coréens dans dix entreprises américaines entre 2019 et 2021. Les revenus générés par ces emplois atteignent collectivement 680 000 $. Salazar, de son côté, a reçu 4 500 $ et son identité a permis de produire plus de 400 000 $ entre septembre 2020 et octobre 2022. Les deux hommes ont été condamnés à trois ans de probation et devront restituer les sommes encaissées en leur nom.

L’ensemble du système a rapporté environ 1,3 million $. Le calcul, ici, ne décrit pas seulement l’ampleur financière. Il donne la mesure d’un modèle industriel. Des identités américaines sont prêtées ou louées. Des entretiens sont franchis. Des postes sont obtenus. Des machines sont livrées. Puis le travail est réalisé, ou simulé, à distance depuis l’étranger. À chaque étape, la chaîne repose sur la fragmentation des contrôles entre recruteurs, services de conformité, équipes IT et banques.

Margaret Heap, procureure américaine du district sud de la Géorgie, résume l’enjeu en des termes explicites. Le programme de travailleurs informatiques nord-coréens représente un « défi important pour notre sécurité nationale ». Elle ajoute : « Ces hommes ont pratiquement donné les clés du royaume en ligne à des travailleurs nord-coréens expatriés, probablement des techniciens cherchant à générer des revenus illicites pour le gouvernement nord-coréen – le tout en échange de ce qui leur apparaissait comme de l’argent facile ».

La formule est forte, et le dossier lui donne du poids. Depuis cinq ans, les autorités américaines démantèlent progressivement cette main-d’œuvre informatique clandestine, en perturbant des fermes d’ordinateurs portables et en arrêtant les Américains impliqués. Selon le texte fourni, le régime nord-coréen a ainsi engrangé des centaines de millions de dollars grâce à l’embauche illégale de ses ressortissants par des entreprises américaines et européennes.

Les travaux de chercheurs de Flare et d’IBM renforcent cette lecture. Ils ont mis au jour de nombreux messages et documents internes attribués à ces travailleurs, révélant l’organisation du système et ses hiérarchies. Les informaticiens concernés seraient recrutés dans des universités prestigieuses, soumis à une sélection rigoureuse, puis intégrés à un dispositif présenté comme stratégique pour le pouvoir nord-coréen. Le rapport souligne aussi que de nombreux complices aux États-Unis et en Europe sont approchés via LinkedIn et GitHub. Certains, « volontairement ou non, communiquent leur identité pour être utilisée dans le cadre d’une escroquerie visant à se faire passer pour des travailleurs du secteur informatique ».

 

 

News & alertes actualités cyber

Enquêtes, cyberveille avec le Service de veille ZATAZ, fuites, actus, et recevez nos infos par 📧 ou par ☎️.

 

La FCC bloque les routeurs étrangers aux États-Unis

Washington durcit sa doctrine cyber en visant les routeurs fabriqués hors des États-Unis, jugés trop risqués pour les réseaux domestiques, les infrastructures critiques et la sécurité nationale.

La Federal Communications Commission, la FCC, interdit l’importation future de tous les routeurs grand public fabriqués en dehors des États-Unis, sauf exemption explicite accordée après examen sécuritaire. La mesure ne vise pas les appareils déjà installés chez les particuliers, mais elle pourrait bouleverser tout le marché américain, largement dépendant d’une production étrangère. L’agence invoque un « risque inacceptable » pour la sécurité nationale, la sûreté publique et la cybersécurité.

Une rupture réglementaire au nom de la sécurité nationale

La FCC franchit un seuil important dans sa politique de sécurité. L’agence interdit désormais l’importation de futurs routeurs grand public produits hors des États-Unis, à moins que leurs fabricants n’obtiennent une dérogation. Pour être exemptées, les entreprises devront décrocher une « détermination spécifique » du Department of Homeland Security ou du Department of War attestant que leurs produits ne présentent aucun danger sécuritaire.

Le signal envoyé est considérable. La plupart des routeurs utilisés par les consommateurs américains sont fabriqués à l’étranger. En visant l’origine industrielle des équipements, et non une seule marque ou une seule technologie, la FCC expose potentiellement l’ensemble du secteur à un choc réglementaire. Cette décision prolonge une logique déjà engagée en décembre, lorsque l’agence avait adopté une interdiction comparable concernant les drones produits hors des États-Unis.

L’interdiction reste toutefois circonscrite aux importations à venir. Les particuliers qui possèdent déjà chez eux des routeurs fabriqués à l’étranger peuvent continuer à les utiliser. Cette précision limite l’effet immédiat pour les consommateurs, mais elle ne réduit pas la portée stratégique de la mesure. Elle déplace l’effort sur le renouvellement du parc et sur l’accès au marché américain pour les nouveaux équipements.

La justification de la FCC repose sur un diagnostic de chaîne d’approvisionnement. Selon la décision de sécurité nationale, publiée le 20 mars 2026, la dépendance des ménages américains à l’égard de routeurs fabriqués à l’étranger introduit des vulnérabilités susceptibles de menacer l’économie, les infrastructures critiques et la posture de défense du pays. L’agence parle même d’un « grave risque de cybersécurité ». La formule n’est pas anodine. Elle inscrit les équipements domestiques dans le périmètre de la sécurité nationale, au même titre que des composants plus directement liés aux réseaux stratégiques.

Dans son texte, la FCC détaille les usages offensifs associés à des routeurs compromis. Ces appareils peuvent faciliter la surveillance du trafic, l’exfiltration de données, les attaques par botnet et l’accès non autorisé à des réseaux. L’agence ajoute que des routeurs non sécurisés, fabriqués hors des États-Unis, ont déjà servi dans plusieurs cyberattaques récentes comme points d’appui pour pénétrer d’autres systèmes et comme relais vers des infrastructures critiques. Dans cette lecture, le routeur domestique n’est plus un simple boîtier technique. Il devient un point d’entrée, un capteur, un pivot et parfois une plateforme d’espionnage.

 

News & alertes actualités cyber

Enquêtes, cyberveille avec le Service de veille ZATAZ, fuites, actus, et recevez nos infos par 📧 ou par ☎️.

 

Le routeur domestique, nouvel enjeu de la guerre des accès

La décision de la FCC met en lumière une réalité connue du monde cyber : l’attaque passe souvent par les marges. Un routeur compromis permet non seulement d’observer le trafic, mais aussi de se fondre dans le décor, de conserver un accès durable et d’utiliser un réseau déjà légitime comme tremplin. C’est précisément ce que l’agence associe ici à plusieurs campagnes attribuées à des acteurs étatiques ou à des groupes offensifs.

Selon la décision de sécurité nationale, les opérateurs parrainés par un État derrière les attaques Salt Typhoon ont utilisé des routeurs étrangers compromis pour s’intégrer à certains réseaux, y maintenir un accès dans la durée et pivoter vers d’autres cibles. Cette description est importante. Elle souligne que la menace ne tient pas uniquement au sabotage ou au vol immédiat de données. Elle tient aussi à la persistance, à la discrétion et à la capacité de mouvement latéral, trois dimensions essentielles dans les opérations de renseignement.

La CISA, l’Agence de cybersécurité et de sécurité des infrastructures, a elle aussi qualifié les routeurs de « vecteur d’attaque de choix », rappelle la FCC, en citant un avis de septembre 2025. L’agence fédérale s’appuie également sur une évaluation conjointe publiée en septembre 2024 par le FBI, la Cyber National Mission Force et la National Security Agency. Ce document indiquait que des pirates avaient exploité des routeurs de fabrication étrangère pour constituer des botnets employés dans des activités malveillantes, notamment des attaques par déni de service distribué. La FCC mentionne encore une annonce de Microsoft, datée d’octobre 2024, selon laquelle des routeurs compromis fabriqués à l’étranger avaient été utilisés pour mener des attaques par pulvérisation de mots de passe contre ses clients.

TP-Link illustre choqué !

La réaction de TP-Link illustre l’onde de choc provoquée par cette décision. Dans un communiqué, l’entreprise, fondée en Chine et désormais basée en Californie, affirme que presque tous les routeurs sont fabriqués hors des États-Unis, y compris ceux d’entreprises américaines, et précise produire au Vietnam. Selon son porte-parole, l’ensemble du marché des routeurs pourrait être affecté par l’annonce de la FCC concernant les nouveaux appareils qui n’avaient pas encore été autorisés. La société dit néanmoins avoir confiance dans la sécurité de sa chaîne d’approvisionnement et se déclare favorable à cette évaluation sectorielle.

Le climat politique s’est encore tendu en février, lorsque le Texas a attaqué TP-Link Systems en justice, l’accusant d’avoir facilité le piratage d’appareils de consommateurs par le Parti communiste chinois tout en affirmant offrir un haut niveau de sécurité et de protection de la vie privée. Cette procédure ajoute une dimension contentieuse à un débat déjà dominé par les questions d’influence, d’ingérence et de dépendance technologique.

Un point mérite toutefois d’être relevé : les routeurs fabriqués aux États-Unis ne sont pas présentés comme immunisés. Le département de la Justice a indiqué en janvier 2024 que les acteurs de Volt Typhoon avaient utilisé des routeurs Cisco et Netgear arrivés en fin de support, donc privés de correctifs et de mises à jour. Autrement dit, l’origine industrielle ne résout pas à elle seule la vulnérabilité. Elle s’ajoute à un autre problème majeur, celui du cycle de vie, de la maintenance logicielle et de l’abandon de produits encore déployés sur le terrain.

En visant les routeurs étrangers, la FCC traite l’équipement domestique comme une surface de renseignement, preuve que la bataille cyber se joue désormais jusque dans les boîtiers les plus ordinaires des foyers.

 

News & alertes actualités cyber

Enquêtes, cyberveille avec le Service de veille ZATAZ, fuites, actus, et recevez nos infos par 📧 ou par ☎️.

Ancien pilote américain accusé d’avoir formé l’armée chinoise

Un ancien officier décoré de l’US Air Force est accusé aux États-Unis d’avoir préparé une formation militaire pour des pilotes chinois, avec l’appui d’un pirate informatique lié à des opérations d’espionnage industriel.

Les autorités américaines ont arrêté Gerald Eddie Brown, ancien major de l’US Air Force, soupçonné d’avoir conspiré avec un pirate informatique chinois pour former des pilotes de chasse de l’Armée populaire de libération. L’enquête révèle un projet structuré visant à transférer un savoir-faire militaire sensible vers la Chine. Le dossier implique Stephen Su Bin, déjà condamné pour avoir piraté des entreprises de défense américaines et dérobé des données classifiées sur des programmes militaires. L’affaire illustre les stratégies d’acquisition technologique de Pékin, mêlant cyberespionnage, recrutement d’experts occidentaux et exploitation d’anciens militaires disposant d’une expertise critique.

Un ancien pilote au cœur d’un projet de formation militaire

Les procureurs fédéraux américains accusent Gerald Eddie Brown, 65 ans, d’avoir participé à un projet destiné à transmettre des compétences militaires sensibles à la Chine. L’ancien officier a été arrêté jeudi à Jeffersonville, dans l’Indiana, après plusieurs années passées en Chine où il aurait fourni une formation aéronautique à des pilotes militaires.

Les documents judiciaires indiquent que Brown a servi plus de vingt ans dans l’US Air Force. Après avoir quitté l’armée en 1996 avec le grade de major, il a poursuivi sa carrière dans l’aviation civile comme pilote de fret. Il a également occupé des fonctions dans deux entreprises américaines liées au secteur de la défense.

Selon l’acte d’accusation, il aurait commencé en 2023 des discussions visant à former des pilotes de la Force aérienne de l’Armée populaire de libération, la PLAAF. Les autorités américaines estiment que cette activité relevait d’un transfert d’expertise militaire sensible vers une puissance étrangère.

Le projet prévoyait notamment la transmission de compétences liées au combat aérien et aux opérations militaires. Brown aurait exprimé clairement son intention de former des pilotes chinois à ces techniques.

En décembre 2023, il se rend en Chine. Sur place, il rencontre des responsables chinois et leur présente son parcours professionnel. Les enquêteurs affirment qu’il est resté dans le pays près de trois ans avant de revenir aux États-Unis ce mois-ci, moment choisi par les autorités pour procéder à son arrestation.

Une affaire liée à un pirate impliqué dans l’espionnage industriel

L’enquête américaine souligne un élément central du dossier. Le contrat de formation aurait été négocié avec l’aide d’un complice de Stephen Su Bin, ressortissant chinois déjà condamné pour cyberespionnage.

Su Bin dirigeait une société de technologies aéronautiques installée au Canada. Entre 2008 et 2014, il est accusé d’avoir mené des intrusions informatiques contre plusieurs entreprises de défense américaines. Les autorités américaines affirment que ces opérations visaient à récupérer des informations sensibles pour le gouvernement chinois.

En 2016, Su Bin a reconnu avoir piraté un sous-traitant militaire américain. L’enquête a établi qu’il avait dérobé des données militaires sensibles et des informations soumises aux règles américaines de contrôle des exportations.

Un épisode particulièrement documenté concerne l’avion de transport militaire C-17. Le pirate informatique avait pénétré les serveurs de Boeing pour accéder à des fichiers techniques relatifs à cet appareil. Les documents récupérés avaient ensuite été transmis par courrier électronique à des responsables chinois.

Pour ces faits, Su Bin a été condamné à quatre ans de prison et son entreprise a été sanctionnée.

Les procureurs affirment que Brown a collaboré avec ce réseau afin de finaliser l’accord de formation. Selon l’accusation, l’ancien officier n’avait pas obtenu l’autorisation obligatoire du Département d’État pour fournir une expertise militaire à une armée étrangère.

Cette obligation relève de la réglementation américaine sur le trafic international d’armes, connue sous le nom d’International Traffic in Arms Regulations, ou ITAR. Elle encadre strictement l’exportation de technologies et de connaissances militaires.

Les responsables du FBI et du ministère de la Justice présentent l’affaire comme un exemple de stratégie chinoise visant à exploiter l’expertise occidentale.

Roman Rozhavsky, directeur adjoint de la division de contre-espionnage du FBI, estime que Brown « a trahi son pays en formant des pilotes chinois à combattre ceux qu’il avait juré de protéger ».

John Eisenberg, procureur général adjoint chargé de la sécurité nationale, souligne que la formation d’une armée étrangère par un citoyen américain reste illégale sans licence officielle délivrée par le Département d’État.

L’affaire illustre la convergence entre cyberespionnage, recrutement d’experts militaires et transferts de compétences stratégiques dans la compétition technologique entre Washington et Pékin.

Dans le domaine du renseignement, ces dossiers démontrent comment la Chine combine piratage informatique et captation de savoir-faire humain pour accélérer la modernisation de ses forces armées.

Nouveau malware Android vole les codes SMS bancaires

Un nouveau cheval de Troie Android circule via messageries sous forme d’une fausse galerie photo. L’application malveillante intercepte les SMS, notamment les codes d’authentification bancaire, afin de faciliter des fraudes financières.

Un fichier APK récemment identifié par des spécialistes en cybersécurité révèle une nouvelle évolution de la famille de malwares Pulsar SMS Stealer. Diffusée sous le nom trompeur Photos_2920, cette application Android se présente comme une simple galerie d’images. En réalité, elle agit comme un outil d’espionnage capable d’intercepter les messages SMS de l’utilisateur. Les chercheurs indiquent qu’au 10 mars 2026, ce programme malveillant échappe encore aux détections antivirus connues. La diffusion repose sur l’ingénierie sociale via des messageries mobiles. L’objectif consiste à récupérer les codes OTP et 2FA utilisés pour sécuriser l’accès aux comptes bancaires et services en ligne.

Une galerie photo qui espionne les SMS

Les attaquants envoient directement le fichier APK aux victimes par messagerie. La méthode exploite un réflexe courant : ouvrir une image reçue d’un contact ou d’un interlocuteur inconnu. Une fois installé, le logiciel malveillant adopte l’apparence d’une galerie photo anodine.

En arrière-plan, l’application réclame une série d’autorisations sensibles. Ces droits lui permettent d’intercepter, lire, envoyer et supprimer des SMS. Le programme accède également à plusieurs identifiants de l’appareil, dont l’IMEI, le numéro de téléphone et les informations de l’opérateur mobile.

Les analyses montrent aussi que le malware récupère les numéros associés aux deux cartes SIM lorsque l’appareil en possède deux. Il peut démarrer automatiquement après redémarrage du téléphone et rester actif en continu. L’ensemble des messages SMS stockés sur l’appareil est ensuite transmis vers un serveur de commande et de contrôle, souvent abrégé C2.

Ce type d’attaque mobile inquiète les spécialistes depuis plusieurs années. Les codes à usage unique envoyés par SMS servent fréquemment à valider des opérations bancaires ou à confirmer une connexion. Lorsqu’un cybercriminel intercepte ces messages, il peut contourner une grande partie des protections de sécurité.

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes, chaque vendredi midi.

Une architecture technique sophistiquée

Les chercheurs d’Advanced Monitoring ont examiné l’échantillon malveillant et identifié une architecture en plusieurs étapes. Le fichier classes.dex externe agit comme un chargeur fortement obfusqué. Son rôle consiste à extraire une charge utile DEX dissimulée dans le répertoire assets sous le nom NwyavbTt.csz.

Ce module est ensuite chargé dynamiquement grâce à une injection ClassLoader. Cette technique complique l’analyse par les outils de sécurité et retarde la détection automatique.

La seconde étape active la logique principale du malware. Elle gère la communication avec le serveur C2, l’interception des SMS et l’identification détaillée de l’appareil infecté. Des mécanismes de persistance assurent le maintien du logiciel sur le téléphone même après un redémarrage.

Les documents techniques publiés décrivent également un masquage important du trafic réseau. Les paquets de communication, appelés pulsations, transmettent régulièrement au serveur l’état complet de l’appareil compromis. Les informations incluent l’état de l’écran, le niveau de batterie, les autorisations SMS accordées et la configuration du mode Doze d’Android, qui limite l’activité en arrière-plan.

Une configuration initiale permet de récupérer des paramètres supplémentaires depuis un point de terminaison identifié sous la forme /m/{build_id}. Les données renvoyées adoptent une structure de type PEM et sont chiffrées avec l’algorithme AES-256-GCM.

Alexander Rudzik, spécialiste principal de la recherche sur les cybermenaces chez Perspektivny Monitoring, explique que dissimuler des malwares dans des applications liées aux médias devient une stratégie courante. Selon lui, une approche comparable existait déjà dans la famille Mamont. L’échantillon actuel présente toutefois des caractéristiques techniques inédites.

Les chercheurs signalent que l’obfuscation multi-étapes et le camouflage avancé du trafic rendent l’analyse particulièrement complexe. L’absence de ce fichier sur les plateformes publiques de partage de malwares suggère également que la campagne reste à un stade précoce. Les premiers indices indiquent un ciblage d’utilisateurs situés en Russie.

Pour les analystes du renseignement cyber, ce type d’attaque illustre une tendance durable : les opérations financières frauduleuses s’appuient désormais sur l’exploitation directe des mécanismes d’authentification mobile.

Le Parlement européen coupe l’IA des tablettes des élus

Le Parlement européen a désactivé des fonctions d’IA sur les tablettes des députés, faute de garanties sur les données envoyées vers des serveurs d’IA. En toile de fond, la fuite NSW illustre le risque d’usage.

Selon un mail consulté par Politico, l’informatique du Parlement européen avertit que la sécurité des données téléversées vers des serveurs d’IA, comme ceux utilisés par ChatGPT, ne peut pas être garantie. Lundi 16 février, les élus ont été informés que des « fonctions d’intelligence artificielle intégrées » avaient été désactivées sur les tablettes professionnelles. L’équipe IT explique que certaines options s’appuient sur des services cloud et envoient des données hors de l’appareil, alors que des traitements pourraient être réalisés localement.

Pourquoi l’IA intégrée inquiète l’IT du Parlement

Le message interne rapporté par Politico repose sur un constat simple, dès qu’une fonction « intelligente » s’appuie sur le cloud, une partie du contrôle s’éloigne. Le service informatique du Parlement européen prévient que la protection de toute donnée envoyée vers des serveurs d’IA, « such as those used by ChatGPT », ne peut pas être assurée. Il ajoute surtout que la cartographie exacte des flux, autrement dit ce qui part, quand, et vers qui, reste en cours de consolidation.

Cette incertitude déclenche une décision de précaution. Lundi 16 février 2026, les membres de la chambre ont été informés que des « built-in artificial intelligence features » avaient été désactivées sur les tablettes d’entreprise. L’argumentaire technique vise des fonctions qui, selon l’équipe IT, utilisent des services cloud pour exécuter des tâches qui pourraient être traitées localement, et donc envoient des données hors de l’appareil. Au fil des mises à jour, ces fonctionnalités se diffusent et se complexifient, ce qui rend l’évaluation des partages de données plus difficile. Tant que le périmètre n’est pas « fully clarified », la consigne est de les maintenir inactives.

Un responsable de l’UE, cité dans le récit, précise la nature des outils concernés, assistants de rédaction, systèmes de synthèse, résumeurs de pages web, et assistants virtuels renforcés. Le détail est important, car il ne s’agit pas d’une interdiction générale de logiciels, mais d’un gel ciblé des automatismes capables d’aspirer du texte, des pièces jointes, des contenus web ou des extraits de documents, puis de les transmettre à un prestataire. À l’inverse, les applications de base, e-mail, calendriers, documents, et autres outils quotidiens, ne sont pas affectées.

Ce choix s’accompagne d’une communication maîtrisée, voire frustrante. Interrogée par Politico, l’UE refuse de préciser quelles fonctions exactes ont été coupées ou quel système fait tourner les appareils. Le Parlement européen répond qu’il « constantly monitor[s] cyber security threats » et déploie rapidement les mesures nécessaires, tout en jugeant que leur nature est sensible et ne peut pas être détaillée. Ce silence, classique en sécurité, alimente toutefois un autre risque, laisser les utilisateurs deviner, contourner, ou substituer des outils, parfois moins contrôlés.

Le vrai danger, l’exfiltration par usage banal

L’épisode met en lumière un déplacement de la menace. L’IA élargit la surface d’attaque, non seulement via des vulnérabilités techniques, mais aussi par la facilité des erreurs, un copier-coller, un document glissé dans un champ de chat, une synthèse automatique lancée sur un texte interne. Ce n’est pas la sophistication qui rend l’incident probable, c’est la banalité du geste.

L’exemple fourni par l’Australie, survenu fin 2025 selon le récit, cristallise cette logique. La NSW Reconstruction Authority (RA), agence en charge de réduire l’impact des catastrophes naturelles, a annoncé être au courant d’une « data breach » touchant des milliers de personnes ayant candidaté au Northern Rivers Resilient Homes Program (RHP), un dispositif d’aide financière destiné à renforcer la résistance des habitations aux inondations. Le gouvernement de Nouvelle-Galles du Sud explique que la faille provient d’un ancien contractuel, qui a téléversé des données personnelles dans un outil d’IA non sécurisé et non autorisé par le département.

Les autorités ajoutent qu’il n’existe « no evidence » de publication des informations. Le communiqué précise un fait brut, le contractuel aurait copié 10 colonnes et plus de 12 000 lignes d’un tableur Microsoft Excel dans ChatGPT. Sur la base d’une « early forensic analysis », jusqu’à 3 000 personnes pourraient être concernées. Les données exposées incluent noms, adresses, e-mails, numéros de téléphone, ainsi que des informations personnelles et de santé.

La comparaison n’est pas un parallèle technique, mais un parallèle comportemental. Dans les deux cas, la question centrale est le contrôle des flux, ce qui quitte le terminal, ce qui est conservé côté prestataire, et qui peut y accéder. La décision du Parlement européen, désactiver tant que l’évaluation n’est pas achevée, vise précisément à éviter qu’un outil « intégré » banalise l’externalisation de fragments sensibles, au nom du confort.

À mesure que l’IA s’invite partout, la fuite la plus probable n’est plus un piratage, mais un téléversement ordinaire devenu irréversible.

Chantage au faux VPN : comment l’iPhone se retrouve piégé

Une appli VPN gratuite, installée en quelques minutes, puis un message qui tombe comme une menace, payez ou votre iPhone sera bloqué. En coulisses, tout se joue ailleurs, sur l’identifiant Apple.

Une escroquerie prend appui sur des applications VPN gratuites téléchargées depuis l’App Store, avant de basculer en chantage. Les victimes reçoivent un message réclamant un transfert d’argent, souvent autour de 10 000 €, sous peine de rendre l’iPhone inutilable. Un VPN ne peut pourtant pas bloquer un iPhone à distance. Le mécanisme réel vise l’identifiant Apple, récupéré par pression, ou via la manipulation qui pousse l’utilisateur à se connecter à un autre compte. Parfois, l’attaque passe aussi par l’installation d’un profil de gestion d’appareil déguisé. Une fois l’accès obtenu, le mode Perdu est activé via Localiser et le verrouillage d’activation se déclenche.

Ce que le VPN ne peut pas faire, et ce que les escrocs exploitent

Tout commence comme une routine numérique. Une personne télécharge un VPN gratuit « pratique » depuis l’App Store, l’utilise tranquillement, puis reçoit un message qui change l’ambiance : transférez de l’argent ou l’iPhone sera bloqué. La somme exigée vise à couper le souffle, souvent autour de 10 000 €. Le scénario laisse croire à un pouvoir direct de l’application sur le téléphone.

Cette idée est trompeuse. Un VPN ne dispose pas d’un bouton secret capable de rendre un iPhone inutilisable à distance. Il ne peut pas, seul, déclencher un verrouillage système. La bascule se produit ailleurs : dans l’identité numérique attachée à l’appareil. Le point crucial est l’accès au compte Apple, obtenu par compromission ou par une manœuvre qui pousse la victime à se connecter à un autre identifiant dans les réglages.

Le VPN sert alors surtout de prétexte et de mise en scène. Il crédibilise un discours d’assistance improvisée, de « restriction » à lever, de configuration à finaliser. L’attaque ne repose pas sur une magie technique, mais sur une capture d’autorisations, par précipitation et par pression, jusqu’à faire entrer l’utilisateur dans un couloir où il donne lui-même la clé.

La mécanique du chantage : compte Apple, profils iOS, verrouillage

Le schéma le plus fréquent repose sur des messages qui promettent un contournement rapide, puis exigent le mot de passe de l’identifiant Apple au nom d’une « vérification », d’une « activation », d’une « synchronisation » ou d’une « configuration ». L’objectif est simple : prendre le contrôle du compte, pas du VPN. Parfois, les escrocs vont jusqu’à convaincre l’utilisateur de saisir l’identifiant Apple d’une autre personne dans les réglages de l’iPhone. Une fois ce pas franchi, l’appareil est lié à une identité qui n’est plus celle du propriétaire.

Dans d’autres histoires, une étape additionnelle aggrave le risque : l’installation d’un profil de gestion d’appareil. Ce type de profil modifie les règles de sécurité de l’iPhone et donne à l’administrateur le pouvoir d’imposer des politiques, y compris un blocage. Les escrocs le camouflent derrière des intitulés rassurants, « configuration réseau » ou « certificat de service ». Là encore, le ressort n’est pas un tour de passe-passe : c’est une autorisation accordée volontairement, souvent sous contrainte psychologique.

Une fois l’accès au compte Apple acquis, le verrou se referme. Les attaquants activent le mode Perdu via Localiser mon iPhone. Le verrouillage d’activation se déclenche alors : l’appareil exige des identifiants, mais ceux-ci restent entre les mains des escrocs. Côté victime, la sensation est celle d’un blocage soudain et inexplicable, alors que la cause est presque toujours la même : un identifiant Apple compromis, ou un appareil rattaché à un compte qui n’est plus maîtrisé.

La protection tient pourtant à quelques réflexes simples. Ne partagez jamais le mot de passe de votre identifiant Apple, y compris avec un « support » par chat ou un prétendu configurateur VPN. Saisissez votre identifiant Apple uniquement dans les réglages système, et uniquement le vôtre. Avant d’installer un profil iOS, il est conseillé de vérifier qui vous le demande et pour quel motif. En cas de doute, fermez la page et n’installez rien.

Si des escrocs ont déjà accédé à votre compte Apple, il faut agir vite. Changez le mot de passe de l’identifiant Apple, contrôlez la liste des appareils associés, activez l’authentification à deux facteurs et supprimez les appareils inconnus. Si l’iPhone est bloqué par le verrouillage d’activation, la voie de sortie consiste à rétablir l’accès au compte Apple ou à contacter l’assistance officielle en fournissant une preuve de propriété. Le transfert d’argent ne permet généralement pas de reprendre le contrôle et ouvre souvent la porte à de nouvelles demandes.

Dans cette affaire, le signal cyber à retenir est net : l’attaque vise d’abord l’identité et les permissions, puis transforme l’écosystème en levier d’extorsion.

Bug Copilot Chat expose des e-mails confidentiels

Depuis fin janvier 2026, un bug dans Microsoft 365 Copilot permettrait de lire et résumer des mails pourtant marqués confidentiels, en contournant des politiques censées empêcher l’IA d’analyser ces contenus.

Des développeurs de Microsoft ont signalé un dysfonctionnement de Microsoft 365 Copilot : Copilot Chat peut accéder à des courriels confidentiels et les résumer, malgré des politiques de protection contre les fuites de données prévues pour bloquer l’analyse automatisée. Le bug touche le chat de l’onglet « Travail ». Le problème concerne surtout les dossiers « Éléments envoyés » et « Brouillons », y compris des messages avec balises de confidentialité.

Un contournement silencieux des garde-fous DLP

Le point de départ ressemble à un scénario que redoutent toutes les équipes sécurité : l’outil est autorisé, l’usage est légitime, mais la barrière de protection ne joue plus son rôle. Dans ce cas précis, Microsoft 365 Copilot, via Copilot Chat, se serait mis à lire et à résumer des courriels confidentiels, alors même que des politiques de prévention des fuites de données devraient limiter l’accès des outils automatisés à ces messages.

Copilot Chat est décrit comme un chatbot contextuel, intégré à Word, Excel, PowerPoint, Outlook et OneNote, et conçu pour permettre des échanges avec des agents IA à partir du contenu de travail. L’outil est disponible pour les abonnés Microsoft 365 Entreprise depuis septembre 2025, ce qui le place au cœur des flux bureautiques et, par extension, au contact direct d’informations sensibles.

Le bug signalé ne porte pas sur un détail d’interface mais sur un principe de gouvernance : les balises de confidentialité servent précisément à empêcher des systèmes automatisés, dont Copilot, d’analyser le contenu de certains messages. Or, selon les éléments rapportés, l’assistant aurait ignoré cette contrainte dans une zone très utilisée, la fonction de chat accessible dans l’onglet « Travail ». Le risque, dans un environnement où les utilisateurs sollicitent l’IA pour gagner du temps, est mécanique : une demande anodine de synthèse peut faire remonter des informations qui n’auraient jamais dû être prises en compte par un système automatisé.

D’après Bleeping Computer, le bug est référencé CW1226324 et a été signalé pour la première fois le 21 janvier. La chronologie compte, car elle suggère une fenêtre d’exposition depuis fin janvier, période durant laquelle l’outil a pu traiter des messages censés rester hors périmètre. Dans un cadre cyber, cette temporalité est un indicateur opérationnel : plus la fenêtre est longue, plus la probabilité d’un usage involontaire, puis d’une propagation secondaire, augmente.

Éléments envoyés, brouillons, et la surface d’exposition interne

Le dysfonctionnement serait concentré sur la manière dont Copilot Chat traite les dossiers « Éléments envoyés » et « Brouillons ». C’est un détail qui pèse lourd. Les brouillons, par définition, contiennent souvent des formulations non stabilisées, des négociations en cours, des éléments juridiques avant validation, ou des fragments d’informations qui ne sont pas encore destinés à circuler. Les éléments envoyés, eux, constituent une mémoire fidèle des décisions, des engagements et des échanges sensibles avec l’extérieur. Si ces deux répertoires sont mal gérés par la logique de protection, l’IA peut devenir une interface de recherche et de synthèse sur des contenus que l’organisation a explicitement tenté de verrouiller.

Microsoft aurait attribué le bug à une erreur de code, sans fournir de détails. Ce silence technique est classique dans les incidents qui touchent à des mécanismes de sécurité internes : trop d’informations aideraient aussi les attaquants à comprendre précisément le contournement. Mais l’absence de précisions laisse les responsables sécurité dans une zone inconfortable, car ils doivent estimer l’impact sans connaître le scénario exact, ni les conditions de déclenchement.

Le correctif aurait commencé à être déployé début février. Là encore, la formulation est importante : un déploiement n’est pas une résolution instantanée. En entreprise, la réalité est faite d’environnements hétérogènes, de délais de propagation, de dépendances et de configurations spécifiques. Microsoft n’a pas communiqué de date de résolution complète, ni le nombre d’utilisateurs ou d’organisations concernés. L’entreprise a aussi précisé que l’étendue du problème pourrait évoluer au fil de l’enquête, ce qui suggère un périmètre encore en consolidation.

Sur le plan renseignement et gestion du risque, l’incident rappelle une règle dure : lorsque l’IA est imbriquée dans les outils de travail, la moindre défaillance de segmentation transforme un assistant de productivité en amplificateur de visibilité interne. Le danger n’est pas uniquement l’exfiltration externe, il est aussi l’exposition latérale, celle qui permet à une information de franchir des frontières de confidentialité à l’intérieur même de l’organisation, via des résumés, des reformulations et des requêtes contextuelles.

Ce bug met en tension deux promesses opposées : la fluidité du travail assisté par IA et la granularité des contrôles de confidentialité. Pour les défenseurs, l’enjeu n’est pas de diaboliser l’outil, mais de traiter l’IA comme un composant à privilèges, soumis aux mêmes exigences d’audit, de traçabilité et de cloisonnement que n’importe quel système sensible.

Quand l’IA sait lire, le vrai enjeu de cyber-renseignement devient de contrôler précisément ce qu’elle a le droit de comprendre.

Europol alerte sur le crime autonome à l’horizon 2035

Drones, robots sociaux, véhicules sans pilote : Europol décrit un futur où la machine sert autant à surveiller qu’à frapper. D’ici 2035, la criminalité pourrait devenir plus discrète, plus rapide, plus scalable.

Dans son rapport « L’avenir sans pilote : l’impact de la robotique et des systèmes autonomes sur les forces de l’ordre », Europol avertit que robots, drones et systèmes autonomes peuvent transformer la criminalité d’ici 2035. L’agence estime que l’usage criminel existe déjà et pourrait s’étendre à la contrebande, l’intimidation de masse, la fraude et l’exploitation sexuelle des enfants. Le document identifie quatre tendances motrices : convergence IA-technologies, essor industriel de la robotique, intégration sociale croissante et guerre comme accélérateur d’innovation. Europol envisage des scénarios incluant reconnaissance longue durée, attaques coordonnées contre infrastructures, manipulation via robots sociaux, et défis juridiques sur responsabilité et preuve.

Des machines pour voler, suivre, intimider

Europol ne parle pas d’un gadget de plus, mais d’un changement de décor. Dans « L’avenir sans pilote : l’impact de la robotique et des systèmes autonomes sur les forces de l’ordre », l’agence projette un monde où les machines se glissent partout, dans les rues, les entrepôts, les foyers, et deviennent des outils de crime aussi banals que le smartphone l’a été pour les escrocs. Catherine De Bolle, directrice exécutive d’Europol, pose le cadre : l’intégration des systèmes sans pilote dans des actes illégaux « est déjà une réalité », et la question n’est plus de savoir si ces technologies seront détournées, mais comment criminels et terroristes s’en empareront dans les prochaines années. Son parallèle avec Internet et les téléphones intelligents est un avertissement : les opportunités sont immenses, les angles morts aussi.

Le rapport attribue cette bascule à quatre forces. D’abord la convergence, l’IA mêlée au reste, capteurs, navigation, communications, fabrication. Ensuite l’expansion industrielle de la robotique, qui rend ces objets plus accessibles, plus variés, plus remplaçables. Puis l’intégration sociale, car la machine n’est plus cantonnée à l’usine, elle entre dans la vie quotidienne. Enfin la guerre, décrite comme moteur d’innovation, qui accélère la diffusion de méthodes et d’outils.

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, veille web & dark web, alertes et priorisation des risques pour votre entreprise.

 
DÉCOUVRIR LA VEILLE
A PARTIR DE 0,06€ PAR JOUR

À partir de là, Europol déroule des scénarios. L’un imagine des centres-villes confrontés à davantage d’attaques impliquant des robots, tandis que des travailleurs déplacés manifestent devant des entrepôts automatisés. La tension est double : choc économique et montée de délits, cybercriminalité, vandalisme, vol organisé. Les autorités, elles, doivent concilier l’efficacité d’un monde automatisé avec une exigence qui ne s’automatise pas : la confiance du public.

Europol insiste aussi sur une criminalité plus « fonctionnelle« . Des drones employés pour des vols. Des véhicules autonomes provoquant des blessures à des piétons. Et surtout la reconnaissance longue durée, le renseignement patient, effectué par des systèmes sans pilote capables de surveiller, de suivre, de collecter, au service d’intentions malveillantes comme ce fût le cas pour une tentative d’enlévement d’une professionnelle de la cryptomonnaie. Le fil conducteur est clair : l’autonomie abaisse le coût de la présence. On n’a plus besoin d’un guetteur humain en bas d’un immeuble si une machine observe à sa place.

Le rapport convoque également l’exemple des « drones de garage » popularisés par la guerre menée par la Russie contre l’Ukraine, avec une référence à l’opération « Toile d’araignée« , décrite comme une frappe coordonnée contre cinq bases aériennes russes majeures. L’enseignement, côté criminalité, est inquiétant : si des plans circulent et que des chaînes d’approvisionnement se structurent, des capacités jadis militaires peuvent devenir « assemblables », adaptables, et donc imitables.

Quand la vie privée s’efface, la loi vacille

Le scénario le plus anxiogène est celui d’une quasi-disparition de la vie privée. Europol imagine des systèmes assez puissants pour observer presque tout le monde, presque partout, presque tout le temps. Selon leur configuration, ils pourraient collecter des données à l’insu des personnes, sans consentement explicite. Dans un monde déjà saturé de capteurs, l’autonomie n’ajoute pas seulement des yeux, elle ajoute de la persistance, et donc une mémoire exploitable.

Le rapport pousse la fiction opérationnelle plus loin : de petites cellules extrémistes dotées de quadricoptères de poche guidés par IA et de drones sous-marins chenillés, construits à partir de plans CAO disponibles mondialement, avec blindage composite imprimé en 3D. Il évoque aussi des liaisons, anciennes fibres optiques enroulées ou lasers à impulsions courtes, qui rendraient ces machines presque invisibles jusqu’aux dernières secondes, ouvrant la voie à des attaques coordonnées contre des infrastructures critiques. Le message sous-jacent est une convergence des domaines : innovations militaires, criminalité, maintien de l’ordre, tout se mélange.

Ce brouillage pose des questions que les forces de l’ordre se posent déjà et qui deviendront quotidiennes. Comment « interroger » un robot ? Comment évaluer l’intention d’un humanoïde, ou reconstituer la cause d’un incident impliquant une voiture autonome ? Le problème n’est pas philosophique, il est probatoire. La machine produit des logs, mais qui les détient, qui les altère, qui les comprend, et selon quelles règles ?

Vient alors la question de la responsabilité. Si un système autonome enfreint la loi, qui répond ? Le propriétaire, le fabricant, le développeur, ou le système lui-même ? Europol estime que le droit actuel ne permet pas de trancher avec certitude. Face à ces menaces, les chercheurs recommandent une approche conjointe pour renforcer les capacités des forces de l’ordre, au niveau national et européen. Et le rapport renvoie aussi les entreprises à une obligation simple, mais rarement anticipée : intégrer la sécurité dès l’adoption de l’IA ou de la robotique, identifier les risques avant le déploiement, et les traiter avant qu’ils ne deviennent des usages criminels.

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.

S’abonner à notre NewsLetter

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres

Caméras de vidéosurveillance : une base de plaques d’immatriculation ouverte à tous.

En Ouzbékistan, une base liée à la lecture automatique des plaques a été trouvée accessible sans protection. Derrière l’incident, un risque massif de traçage des déplacements et d’abus de données.

Le chercheur en sécurité Anurag Sen a identifié une exposition majeure : la base de données d’un système ouzbek de reconnaissance de plaques d’immatriculation était consultable en ligne sans contrôle d’accès. Selon TechCrunch, des centaines d’ensembles de caméras routières scannent en continu véhicules et occupants, enregistrant quotidiennement des milliers d’infractions. La base exposée donnerait accès à une interface web, aux coordonnées des caméras, ainsi qu’à des millions de photos et vidéos en 4K. Le dispositif est rattaché au ministère de l’Intérieur, via son Département de la sécurité publique, sans réponse officielle. Le système serait présenté comme une solution “intelligente” de trafic, fournie par Maxvision.

Une base ouverte, un pays cartographié

L’alerte part d’un constat simple, et glaçant : une base de données nationale, pensée pour surveiller la route, se retrouvait ouverte comme un dossier public. Le spécialiste en sécurité informatique Anurag Sen dit avoir découvert que le système ouzbek de reconnaissance des plaques d’immatriculation exposait librement ses informations en ligne. N’importe quel internaute pouvait, selon lui, consulter l’ensemble des données, sans authentification. Personne ne sait depuis quand l’accès était ainsi possible. En revanche, le calendrier du dispositif est connu : la base aurait été mise en service en septembre 2024, tandis que la surveillance du trafic aurait commencé au milieu de l’année 2024.

Selon TechCrunch, l’Ouzbékistan s’appuie sur une centaine de groupes de caméras de circulation, capables de scanner en continu plaques et occupants. L’infrastructure ne se contente pas de constater un excès de vitesse. Elle consignerait chaque jour des milliers d’infractions très diverses : feux rouges franchis, ceinture non bouclée, circulation de véhicules non immatriculés. L’industrialisation est visible dans le déploiement : une analyse évoque au moins une centaine d’ensembles installés dans les grandes villes, aux carrefours les plus fréquentés et près des nœuds de transport.

La géographie citée dessine un maillage précis. Des dispositifs seraient présents à Tachkent, mais aussi à Jizzakh et Karshi au sud, à Namangan à l’est. Certains se trouveraient hors des centres urbains, le long de routes proches de l’ancienne frontière contestée entre l’Ouzbékistan et le Tadjikistan. Ce détail compte : placer des lecteurs de plaques dans des zones rurales ou frontalières transforme un outil de “gestion du trafic” en instrument de suivi des flux, donc de repérage des itinéraires.

 

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, Veille web & dark web, alertes et priorisation des risques.

 
DÉCOUVRIR LA VEILLE

Dédiée aux entreprises, institutions et particuliers.

A PARTIR DE 0,06€ PAR JOUR

L’autre élément aggravant tient à la qualité des preuves collectées. Ces équipements enregistreraient de la vidéo et prendraient des photos en 4K. Le système exposé donnerait accès à une interface web, avec tableau de bord, permettant à des opérateurs de consulter les dossiers d’infractions. Dans ce contexte, l’ouverture de la base ne signifie pas seulement fuite de texte. Elle implique l’accès à des images exploitables, à des séquences, à des plaques lisibles, et potentiellement à des scènes de vie saisies sur la voie publique.

Sen explique que cette exposition offrirait une occasion unique d’observer comment fonctionnent les systèmes nationaux de lecture de plaques, quels champs sont collectés, et comment ces données peuvent servir à suivre les déplacements de millions de personnes. Sur le plan cyber, l’argument est double : comprendre l’outil, mais aussi mesurer l’impact lorsqu’il tombe entre de mauvaises mains. Une base de plaques et de vidéos n’est pas une simple archive. C’est une mémoire des mouvements, des routines, des rencontres, et parfois des vulnérabilités.

Silence institutionnel et effet miroir international

L’administration responsable est identifiée : le système dépendrait du Département de la sécurité publique du ministère de l’Intérieur ouzbek. Pourtant, selon TechCrunch, aucune réponse n’aurait été apportée aux demandes de commentaire. Même scénario côté réponse aux incidents : l’UZCERT aurait seulement renvoyé un accusé de réception automatique. Dans les affaires d’exposition de données, ce silence a un coût opérationnel. Il prolonge l’incertitude sur la période d’ouverture, donc sur le nombre de consultations possibles, et il retarde la communication de mesures de réduction du risque pour les personnes potentiellement traquées.

Le dossier comporte aussi une dimension industrielle. La plateforme déployée en Ouzbékistan est présentée comme un “système intelligent de gestion du trafic” attribué à l’entreprise chinoise Maxvision. D’après des documents publics cités, Maxvision exporterait des solutions de sécurité et de surveillance vers plusieurs pays, dont le Burkina Faso, le Koweït, Oman, le Mexique, l’Arabie saoudite et l’Ouzbékistan. Cette circulation des technologies compte autant que la faille elle-même : quand une solution est déployée à grande échelle, une faiblesse de conception, une mauvaise configuration ou un défaut de durcissement peut se reproduire, d’un site à l’autre, avec des conséquences transfrontalières.

L’incident ouzbek n’est pas présenté comme isolé. Wired aurait révélé plus tôt dans l’année que plus de 150 caméras de lecture de plaques aux États-Unis étaient accessibles en ligne sans protection. 404 Media aurait, de son côté, décrit des caméras Flock exposées publiquement, permettant d’observer en temps réel des usages de traçage. Ces rappels ne servent pas à relativiser, mais à caractériser un phénomène : l’infrastructure de surveillance, quand elle est connectée, devient une surface d’attaque. Et lorsqu’elle est mal protégée, la surveillance bascule en fuite de renseignement sur la population.

Dans une logique de cyber-renseignement, l’enjeu n’est pas la caméra, mais l’index central qui transforme des images en trajectoires exploitables.

 

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.

S’abonner à la NewsLetter ZATAZ

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres

Sources :

Inside Uzbekistan’s nationwide license plate surveillance system


https://www.wired.com/story/license-plate-reader-live-video-data-exposed/
https://www.404media.co/flock-exposed-its-ai-powered-cameras-to-the-internet-we-tracked-ourselves/