Archives de catégorie : Justice

Cybersécurité, Espionnage Spy, IA, Justice, loi

Europol alerte sur le crime autonome à l’horizon 2035

Drones, robots sociaux, véhicules sans pilote : Europol décrit un futur où la machine sert autant à surveiller qu’à frapper. D’ici 2035, la criminalité pourrait devenir plus discrète, plus rapide, plus scalable.

Dans son rapport « L’avenir sans pilote : l’impact de la robotique et des systèmes autonomes sur les forces de l’ordre », Europol avertit que robots, drones et systèmes autonomes peuvent transformer la criminalité d’ici 2035. L’agence estime que l’usage criminel existe déjà et pourrait s’étendre à la contrebande, l’intimidation de masse, la fraude et l’exploitation sexuelle des enfants. Le document identifie quatre tendances motrices : convergence IA-technologies, essor industriel de la robotique, intégration sociale croissante et guerre comme accélérateur d’innovation. Europol envisage des scénarios incluant reconnaissance longue durée, attaques coordonnées contre infrastructures, manipulation via robots sociaux, et défis juridiques sur responsabilité et preuve.

Des machines pour voler, suivre, intimider

Europol ne parle pas d’un gadget de plus, mais d’un changement de décor. Dans « L’avenir sans pilote : l’impact de la robotique et des systèmes autonomes sur les forces de l’ordre », l’agence projette un monde où les machines se glissent partout, dans les rues, les entrepôts, les foyers, et deviennent des outils de crime aussi banals que le smartphone l’a été pour les escrocs. Catherine De Bolle, directrice exécutive d’Europol, pose le cadre : l’intégration des systèmes sans pilote dans des actes illégaux « est déjà une réalité », et la question n’est plus de savoir si ces technologies seront détournées, mais comment criminels et terroristes s’en empareront dans les prochaines années. Son parallèle avec Internet et les téléphones intelligents est un avertissement : les opportunités sont immenses, les angles morts aussi.

Le rapport attribue cette bascule à quatre forces. D’abord la convergence, l’IA mêlée au reste, capteurs, navigation, communications, fabrication. Ensuite l’expansion industrielle de la robotique, qui rend ces objets plus accessibles, plus variés, plus remplaçables. Puis l’intégration sociale, car la machine n’est plus cantonnée à l’usine, elle entre dans la vie quotidienne. Enfin la guerre, décrite comme moteur d’innovation, qui accélère la diffusion de méthodes et d’outils.

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, veille web & dark web, alertes et priorisation des risques pour votre entreprise.

  
DÉCOUVRIR LA VEILLE
A PARTIR DE 0,06€ PAR JOUR

À partir de là, Europol déroule des scénarios. L’un imagine des centres-villes confrontés à davantage d’attaques impliquant des robots, tandis que des travailleurs déplacés manifestent devant des entrepôts automatisés. La tension est double : choc économique et montée de délits, cybercriminalité, vandalisme, vol organisé. Les autorités, elles, doivent concilier l’efficacité d’un monde automatisé avec une exigence qui ne s’automatise pas : la confiance du public.

Europol insiste aussi sur une criminalité plus « fonctionnelle« . Des drones employés pour des vols. Des véhicules autonomes provoquant des blessures à des piétons. Et surtout la reconnaissance longue durée, le renseignement patient, effectué par des systèmes sans pilote capables de surveiller, de suivre, de collecter, au service d’intentions malveillantes comme ce fût le cas pour une tentative d’enlévement d’une professionnelle de la cryptomonnaie. Le fil conducteur est clair : l’autonomie abaisse le coût de la présence. On n’a plus besoin d’un guetteur humain en bas d’un immeuble si une machine observe à sa place.

Le rapport convoque également l’exemple des « drones de garage » popularisés par la guerre menée par la Russie contre l’Ukraine, avec une référence à l’opération « Toile d’araignée« , décrite comme une frappe coordonnée contre cinq bases aériennes russes majeures. L’enseignement, côté criminalité, est inquiétant : si des plans circulent et que des chaînes d’approvisionnement se structurent, des capacités jadis militaires peuvent devenir « assemblables », adaptables, et donc imitables.

Quand la vie privée s’efface, la loi vacille

Le scénario le plus anxiogène est celui d’une quasi-disparition de la vie privée. Europol imagine des systèmes assez puissants pour observer presque tout le monde, presque partout, presque tout le temps. Selon leur configuration, ils pourraient collecter des données à l’insu des personnes, sans consentement explicite. Dans un monde déjà saturé de capteurs, l’autonomie n’ajoute pas seulement des yeux, elle ajoute de la persistance, et donc une mémoire exploitable.

Le rapport pousse la fiction opérationnelle plus loin : de petites cellules extrémistes dotées de quadricoptères de poche guidés par IA et de drones sous-marins chenillés, construits à partir de plans CAO disponibles mondialement, avec blindage composite imprimé en 3D. Il évoque aussi des liaisons, anciennes fibres optiques enroulées ou lasers à impulsions courtes, qui rendraient ces machines presque invisibles jusqu’aux dernières secondes, ouvrant la voie à des attaques coordonnées contre des infrastructures critiques. Le message sous-jacent est une convergence des domaines : innovations militaires, criminalité, maintien de l’ordre, tout se mélange.

Ce brouillage pose des questions que les forces de l’ordre se posent déjà et qui deviendront quotidiennes. Comment « interroger » un robot ? Comment évaluer l’intention d’un humanoïde, ou reconstituer la cause d’un incident impliquant une voiture autonome ? Le problème n’est pas philosophique, il est probatoire. La machine produit des logs, mais qui les détient, qui les altère, qui les comprend, et selon quelles règles ?

Vient alors la question de la responsabilité. Si un système autonome enfreint la loi, qui répond ? Le propriétaire, le fabricant, le développeur, ou le système lui-même ? Europol estime que le droit actuel ne permet pas de trancher avec certitude. Face à ces menaces, les chercheurs recommandent une approche conjointe pour renforcer les capacités des forces de l’ordre, au niveau national et européen. Et le rapport renvoie aussi les entreprises à une obligation simple, mais rarement anticipée : intégrer la sécurité dès l’adoption de l’IA ou de la robotique, identifier les risques avant le déploiement, et les traiter avant qu’ils ne deviennent des usages criminels.

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.
S’abonner à notre NewsLetter

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres
Biométrie, Cybersécurité, double authentification, Justice, Securite informatique, Téléphonie

La Corée du Sud impose la reconnaissance faciale pour les SIM

Après deux fuites massives en 2025, Séoul change de doctrine. Les opérateurs devront vérifier l’identité des acheteurs de cartes SIM par scan du visage, pour freiner le fléau des numéros frauduleux.

Le gouvernement sud-coréen lance un programme obligeant les opérateurs télécoms à vérifier l’identité des acheteurs de cartes SIM par reconnaissance faciale. La procédure s’appuiera sur l’application PASS, utilisée par SK Telecom, LG Uplus et Korea Telecom, qui stocke des données numériques des abonnés. Lors de l’activation d’un nouveau numéro, le visage du client sera comparé aux données biométriques disponibles dans PASS. L’objectif est de compliquer l’achat de lignes au nom de tiers, pratique alimentant des escroqueries comme le voice phishing. La mesure intervient après deux grandes fuites en 2025, touchant environ 52 millions de personnes.

Quand une carte SIM devient une arme de fraude

En Corée du Sud, la vente d’une carte SIM ne relève plus d’un simple acte commercial. Le gouvernement annonce une nouvelle étape : obliger les opérateurs à vérifier l’identité des acheteurs en scannant leur visage. La logique est assumée par le ministère des Sciences et des Télécommunications : trop de numéros sont enregistrés sur la base de données volées, puis utilisés dans des arnaques, notamment le voice phishing, cette fraude par appel où l’usurpation d’identité fait le reste.

Jusqu’ici, les vendeurs demandaient des documents. Désormais, ce ne sera « plus suffisant ». Le dispositif vise précisément la faille opérationnelle décrite par les autorités : des criminels parviennent à enregistrer en masse des SIM en utilisant les informations personnelles d’autrui. Une fois la ligne activée, elle devient un outil jetable, dissocié de la vraie identité du fraudeur, mais redoutablement efficace pour appeler, piéger, extorquer ou détourner des comptes.

Le programme s’appuie sur PASS, une application utilisée par les trois principaux opérateurs du pays, SK Telecom, LG Uplus et Korea Telecom. PASS centralise des données numériques des utilisateurs. Dans la nouvelle procédure, l’activation d’un numéro sera liée à ce canal : le visage de l’acheteur, capturé lors de la souscription, sera comparé aux données biométriques stockées dans PASS. L’objectif est clair : réduire l’écart entre l’identité affichée sur un contrat et la personne réelle qui repart avec une ligne active.

Pour le cyber et le renseignement, l’intérêt n’est pas seulement la biométrie. C’est l’idée d’un verrou ajouté au point le plus banal, l’achat d’une SIM, parce que ce geste alimente ensuite une chaîne entière d’abus. Les autorités parient qu’en liant l’activation à une vérification faciale, les fraudeurs auront plus de mal à « consommer » des identités volées, même s’ils disposent de documents ou de données complètes. C’est une réponse de type contrôle d’accès, appliquée non pas à un réseau, mais à l’attribution d’un numéro, c’est-à-dire à la capacité d’entrer en contact avec une victime.

Deux fuites en 2025, une pression politique immédiate

Ce durcissement se comprend à la lumière d’un contexte que le gouvernement décrit comme devenu explosif. En 2025, deux fuites majeures auraient touché plus de la moitié de la population, environ 52 millions de personnes. L’ampleur, citée par les autorités, joue ici le rôle de déclencheur : quand les bases d’identité se diffusent, la fraude à la SIM devient mécaniquement plus simple, parce qu’elle repose sur des pièces « valables » en apparence.

Un premier épisode concerne Coupang. Selon les éléments rapportés, l’enseigne de commerce en ligne aurait exposé plus de 30 millions d’enregistrements. Environ un mois après, le directeur général a perdu son poste. Le message implicite est brutal : l’incident n’est pas traité comme une simple panne de sécurité, mais comme un événement de gouvernance.

L’autre cas touche SK Telecom, déjà cité comme un pilier de l’écosystème PASS. Plus tôt dans l’année, l’opérateur a subi une attaque et des acteurs ont volé des informations concernant 23 millions d’abonnés. La réaction réglementaire a été lourde : une amende de 100 million $ (92,0 millions d’euros) et l’obligation de compenser les victimes. Les autorités justifient cette sanction par des manquements graves en sécurité, dont la divulgation d’identifiants d’infrastructure “en clair” et l’existence d’un serveur accessible depuis Internet.

SK Telecom a aussi été contraint d’indemniser l’ensemble des personnes affectées : 100 000 wons, annoncés comme environ 67 $ (61,6 €), par utilisateur, dont la moitié en crédits sur le compte et l’autre en points utilisables en magasin. Un dernier chiffre nuance la cible réelle de la réforme : près de 92 % des numéros frauduleux détectés en 2024 auraient été enregistrés via des opérateurs virtuels. Dit autrement, le front n’est pas uniquement chez les trois géants, mais dans les circuits de vente et d’activation où l’identité est la plus difficile à verrouiller.

Dans une approche de cyber-renseignement, la reconnaissance faciale n’est qu’un outil : la vraie bataille vise la chaîne d’enrôlement des identités, là où la fraude transforme une fuite de données en capacité d’action.

 

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.
S’abonner à la NewsLetter ZATAZ

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres
Banque, Cybersécurité, Justice

Fuite de données chez un géant de la CB : 192 000 commerçants touchés

Shinhan Card confirme une fuite visant environ 192 000 commerçants affiliés. Pas de cyberattaque, mais un soupçon de faute interne. Les autorités sud-coréennes sont saisies, sur fond de risque accru de phishing.

Shinhan Card, groupe sud-coréen de services financiers, a confirmé une fuite de données concernant environ 192 000 commerçants franchisés, majoritairement des indépendants. Les informations exposées portent surtout sur des numéros de téléphone, avec, dans une partie des cas, des éléments limités d’identité. L’entreprise indique qu’aucun numéro de carte, détail bancaire, numéro d’identification national ou donnée de crédit n’a, à ce stade, été identifié comme compromis.

Fuite interne, pas de piratage

Le scénario tranche avec l’imaginaire d’un assaut venu d’Internet. Shinhan Card affirme que l’incident n’est pas lié à une intrusion externe, mais à un comportement interne jugé déviant. Selon son explication, un employé d’une agence commerciale aurait transmis des données de commerçants à un recruteur de cartes, dans une logique de prospection. La formule choisie par la société est sans ambiguïté : « This was not due to external hacking but an employee’s misconduct » [Ce n’est pas un piratage], a déclaré un responsable de Shinhan Card, en précisant que la chaîne opérationnelle concernée a été bloquée.

Derrière ce vocabulaire, l’enjeu est concret : des indépendants, exploitant des points de vente affiliés, avaient fourni des informations personnelles dans le cadre des contrats standards liant commerçant et émetteur. Shinhan Card resserre le périmètre temporel : les contrats concernés s’échelonnent de mars 2022 à mai 2025. Autrement dit, l’exposition ne viserait pas l’ensemble des partenaires historiques, mais un segment récent, suffisamment vaste pour toucher près de deux cent mille entités.

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, Veille web & dark web, alertes et priorisation des risques.

  
DÉCOUVRIR LA VEILLE

Dédiée aux entreprises, institutions et particuliers.

A PARTIR DE 0,06€ PAR JOUR

La nature des données divulguées est décrite comme « limitée« , mais elle suffit à alimenter des campagnes de manipulation. L’entreprise indique que la majorité des enregistrements concernent des numéros de téléphone mobile, environ 180 000 cas. Dans près de 8 000 situations, le numéro aurait fuité avec un nom. Un sous-ensemble plus restreint inclurait aussi des informations comme la date de naissance et le genre. Pour clarifier ce que recouvrent ces ordres de grandeur, on peut faire un calcul simple à partir des chiffres fournis : 192 000 au total moins 180 000 numéros seuls, moins 8 000 numéros accompagnés d’un nom, cela laisse environ 4 000 dossiers. Ce reliquat correspond plausiblement aux enregistrements où figurent des détails additionnels, sans que Shinhan Card ne donne de ventilation plus fine.

Sur le point le plus sensible, Shinhan Card martèle l’absence d’indice d’atteinte aux données financières critiques. L’enquête interne n’aurait détecté ni numéro d’enregistrement citoyen, ni numéro de carte, ni données de compte, ni information de crédit exposés. À ce stade, la société ajoute n’avoir reçu aucun signalement confirmé d’usage frauduleux lié à ces fuites.

L’affaire a émergé en fin d’année 2025, après un signalement adressé à la Personal Information Protection Commission (PIPC), autorité sud-coréenne de protection des données. Une fois alertée, la PIPC a demandé des pièces à Shinhan Card pour mesurer l’étendue de la fuite et en établir la cause. Après sa propre revue, l’entreprise indique avoir formellement notifié l’incident à la PIPC le 23 décembre, au titre des obligations de déclaration, et dit coopérer pendant l’examen.

En parallèle, Shinhan Card tente de reprendre la main sur la relation de confiance. Elle a publié des excuses et des consignes sur son site et son application, et mis en ligne une page dédiée permettant aux commerçants de vérifier s’ils figurent dans le périmètre. « We will make every effort to protect our customers and prevent similar incidents from recurring« , a assuré un porte-parole, en insistant sur un renforcement des contrôles internes et une révision des droits d’accès aux données marchands.

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.
S’abonner à notre NewsLetter

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres
Entreprise, Justice, Securite informatique

Aflac : 22,7 millions de personnes touchées après la fuite de juin

En juin, une intrusion informatique chez Aflac a exposé des données sensibles à grande échelle. L’assureur dit avoir stoppé l’attaque en quelques heures, mais confirme un vol de fichiers concernant 22,7 millions d’individus.

Le groupe d’assurance basé en Géorgie confirme qu’une cyberattaque survenue en juin a entraîné le vol d’informations personnelles concernant environ 22,7 millions de personnes, dont plus de 2 millions au Texas. Aflac affirme avoir contenu l’intrusion « en quelques heures » et ne pas avoir subi de rançongiciel, tout en reconnaissant que des documents ont été exfiltrés. Les fichiers dérobés portent sur des demandes d’indemnisation, des données de santé, des numéros de Sécurité sociale et d’autres éléments identifiants, touchant clients, bénéficiaires, salariés, agents et autres personnes liées aux activités américaines. L’enquête s’est achevée le 4 décembre, sept mois aprés la cyber attaque !

Ce que l’enquête interne révèle, et ce qu’elle ne dit pas

Aflac a publié une déclaration marquant la fin d’une enquête ouverte après l’incident annoncé plus tôt dans l’année. Le récit officiel suit une ligne claire : détection rapide, arrêt de l’intrusion « dans les heures », continuité des opérations, puis confirmation d’un vol de données. Autrement dit, la disponibilité des systèmes n’a pas vacillé, mais la confidentialité, elle, a cédé. Pour un assureur, c’est souvent le scénario le plus redouté : la machine continue de tourner, tandis que la fuite, silencieuse, produit ses effets longtemps après.

L’entreprise avait déjà alerté la Securities Exchange Commission (SEC) sur un point central : malgré l’endiguement, certains fichiers ont été emportés par les cybercriminels. Dans sa nouvelle communication, Aflac insiste sur l’absence de rançongiciel. Cette précision compte, parce qu’elle déplace la lecture du risque. Sans chiffrement généralisé ni extorsion affichée, l’attaque s’apparente davantage à une opération de collecte ciblant des dossiers à forte valeur : pièces de sinistres, éléments médicaux, identifiants administratifs, et tout ce qui permet, ensuite, de frauder, d’usurper ou de recouper.

Le périmètre humain est massif. Des responsables au Texas indiquent que plus de 2 millions de résidents ont été affectés. Au total, environ 22,7 millions de personnes voient leurs informations potentiellement compromises. Aflac précise que les documents exfiltrés contiennent des informations liées aux réclamations d’assurance, des données de santé, des numéros de Sécurité sociale et d’autres détails personnels. La liste des populations concernées dépasse les seuls clients : bénéficiaires, employés, agents, et « d’autres individus » associés aux activités américaines de l’assureur.

La chronologie est, elle aussi, un message. Les courriers envoyés aux victimes indiquent que l’enquête a été conclue le 4 décembre. L’entreprise a commencé à notifier les régulateurs d’États et à expédier des lettres de notification de violation de données. Dans ces lettres, Aflac propose deux ans de services de protection d’identité, avec une date limite d’inscription fixée au 18 avril 2026. Ce type de mesure sert autant à réduire l’impact immédiat, qu’à reconnaître implicitement la durée probable du risque : l’exploitation de données d’identité peut survenir des mois, parfois des années, après une fuite.

 

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, Veille web & dark web, alertes et priorisation des risques.

  
DÉCOUVRIR LA VEILLE

Dédiée aux entreprises, institutions et particuliers.

A PARTIR DE 0,06€ PAR JOUR

Dans l’ombre, un signal plus large : l’assurance comme terrain de chasse

L’incident ne survient pas en vase clos. Il s’inscrit dans une vague d’attaques ayant visé le secteur de l’assurance, attribuées à une organisation surnommée Scattered Spider. Le texte décrit un collectif « faiblement affilié », composé de cybercriminels anglophones, connu pour ses accès initiaux obtenus par usurpation, notamment en se faisant passer pour des employés IT. Ce détail est crucial du point de vue renseignement : l’entrée ne dépend pas forcément d’une faille technique sophistiquée, mais d’une capacité à manipuler les procédures internes, le support, l’urgence, la confiance. Quand l’adversaire sait parler le langage des tickets, des mots de passe et des « réinitialisations« , la surface d’attaque devient l’organisation elle-même. Bref, l’entreprise a été piratée par Scattered Spider.

Au même moment, Erie Insurance, Philadelphia Insurance Companies et Scania Financial Services ont également signalé des cyberattaques. Pris ensemble, ces cas dessinent une campagne opportuniste mais structurée : une industrie riche en données, habituée aux échanges documentaires, et contrainte par des obligations de notification, donc prévisible dans sa réponse. Pour les attaquants, c’est un avantage : chaque annonce publique valide que l’accès a eu lieu, et la nature des données laisse entrevoir des usages multiples, de la fraude au chantage individuel, sans qu’il soit nécessaire de bloquer la production par un rançongiciel.

La pression policière, elle, apparaît en filigrane. Après ces attaques, un site de fuite utilisé par le groupe a été démantelé, et deux membres ont été arrêtés puis inculpés au Royaume-Uni. Une plainte du Department of Justice, rendue publique en septembre, affirme que l’opération Scattered Spider a pu extorquer au moins 115 millions $ (105,8 millions €) à des dizaines de victimes en trois ans.

Aflac affirme avoir prévenu les forces de l’ordre fédérales et engagé des experts en cybersécurité. Reste une tension, typique des crises modernes : l’entreprise explique avoir évité l’arrêt opérationnel, mais doit maintenant gérer la seconde phase, la plus longue, celle où des millions de personnes deviennent des cibles potentielles de fraudes et d’arnaques alimentées par des données authentiques. La question n’est plus seulement « qui est entré« , mais « qui exploitera ce qui a été pris« , et à quel rythme.

 

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.
S’abonner à notre NewsLetter

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres
Cybersécurité, Entreprise, Justice, Securite informatique

La CNIL sanctionne Nexpubica pour le logiciel PCRM

Une fuite fonctionnelle a exposé des dossiers d’usagers à des tiers dans des portails d’action sociale. Trois ans plus tard, la CNIL inflige 1,7 million d’euros pour défauts de sécurité jugés élémentaires.

Le 22 décembre 2025, la CNIL a condamné NEXPUBLICA FRANCE à 1 700 000 euros d’amende pour insuffisance de mesures de sécurité autour de PCRM, un progiciel de gestion de la relation usagers utilisé dans l’action sociale, notamment par des MDPH. Fin novembre 2022, des clients ont signalé à la CNIL que des utilisateurs accédaient à des documents appartenant à des tiers. Les contrôles ont mis en évidence des faiblesses techniques et organisationnelles, des vulnérabilités connues via des audits, et des corrections tardives, après la violation. La sensibilité des données, dont certaines révèlent un handicap, a pesé lourd.

Le déclencheur : des usagers voient les documents d’autrui

Le dossier démarre par une alerte venue du terrain. Fin novembre 2022, des clients de NEXPUBLICA FRANCE notifient à la CNIL une violation de données personnelles après des signalements d’usagers : sur le portail, certains auraient consulté des documents concernant des tiers. Ce type d’incident est redouté en environnement social, car l’accès indu, même « par erreur », produit un dommage immédiat pour les personnes, et expose l’organisation à une perte de confiance durable.

La CNIL intervient alors par des contrôles auprès de l’éditeur. Le contexte est celui d’un logiciel métier, PCRM, destiné à gérer la relation avec les usagers de l’action sociale et utilisé, selon les éléments fournis, par des maisons départementales des personnes handicapées dans certains départements. Autrement dit, la chaîne de traitement ne se limite pas à un site web : elle relie des collectivités, des agents, des workflows administratifs, et des espaces de dépôt ou de consultation de pièces justificatives.

Dans une lecture cyber, l’incident ressemble à une brèche de cloisonnement. Quand un usager obtient des pièces qui ne lui appartiennent pas, l’hypothèse la plus simple n’est pas un « piratage spectaculaire » mais un défaut de contrôle d’accès, de gestion de session ou de logique applicative. C’est précisément ce que la CNIL sanctionne ici : une sécurité qui n’a pas été pensée au niveau du risque réel, alors que le produit traite des données particulièrement sensibles.

Pourquoi l’article 32 du RGPD pèse si lourd dans ce cas

La CNIL fonde la sanction sur l’obligation de sécurité prévue par l’article 32 du RGPD. Le principe est connu, mais il mérite d’être traduit en termes concrets : le responsable de traitement et le sous-traitant doivent mettre en place des mesures adaptées au risque, en tenant compte de l’état de l’art, du coût de mise en œuvre, et de la nature et des finalités du traitement. Ici, la nature du traitement est déterminante : le dossier concerne l’action sociale et inclut des informations pouvant révéler un handicap. La sensibilité intrinsèque augmente mécaniquement le niveau d’exigence attendu.

La formation restreinte, organe de la CNIL chargé des sanctions, retient une faiblesse « généralisée » du système d’information et une forme de négligence, avec des problèmes structurels laissés en place dans la durée. L’autorité relève aussi que la plupart des vulnérabilités constatées relevaient d’un manque de maîtrise de l’état de l’art et de principes de base en sécurité. C’est un point clé : ce reproche ne vise pas une sophistication technique manquante, mais l’absence de fondamentaux.

Le raisonnement suivi par la CNIL, tel qu’il est décrit, tient en trois étapes. Premièrement, des failles existent dans PCRM et exposent des données. Deuxièmement, ces failles étaient identifiées, notamment au travers de plusieurs audits. Troisièmement, malgré cette connaissance, les corrections n’ont été apportées qu’après les violations. Cette chronologie aggrave l’appréciation, car elle transforme une vulnérabilité en manquement persistant, donc en risque accepté par défaut.

Une sanction calibrée sur la sensibilité, l’ampleur et la posture d’éditeur

Le montant, 1 700 000 euros, est justifié par plusieurs critères mentionnés : capacités financières de la société, non-respect de principes élémentaires, nombre de personnes concernées, et sensibilité des données. L’addition de ces facteurs compose une logique de proportionnalité : plus les données sont intimes et le public vulnérable, plus l’exposition est grave ; plus les failles sont « basiques » et connues, plus l’inaction est difficile à défendre.

Le dossier comprend un élément de contexte qui pèse lourd politiquement : NEXPUBLICA FRANCE est spécialisée dans la conception de systèmes et logiciels informatiques. Pour la CNIL, cette spécialisation rend l’argument de l’ignorance moins crédible. Dans une approche de renseignement économique, cela renvoie aussi à l’enjeu de chaîne d’approvisionnement logicielle : quand un éditeur fournit des briques à des acteurs publics, la faiblesse d’un produit peut se répercuter sur des services essentiels et sur des populations sensibles, sans qu’il y ait besoin d’une attaque sophistiquée.

La formation restreinte n’a pas assorti la sanction d’une injonction de mise en conformité, car l’entreprise a déployé les correctifs nécessaires après les violations. Ce détail compte : il montre que l’autorité a choisi de sanctionner l’insuffisance initiale et la gestion tardive des risques, tout en constatant une remédiation effective. En clair, la conformité obtenue après coup n’efface pas le défaut de sécurité au moment où les données étaient exposées.

Cybersécurité, Entreprise, Justice, loi

La stratégie Trump met le renseignement au service du commerce

Un document de 33 pages publié jeudi soir redéfinit la sécurité nationale américaine. Il demande aux services de renseignement de surveiller les chaînes d’approvisionnement mondiales, avec un objectif assumé de découplage économique.

La nouvelle stratégie de sécurité nationale du président Donald Trump charge les agences de renseignement américaines de suivre les chaînes d’approvisionnement et les avancées technologiques dans le monde. Le texte, long de 33 pages et publié jeudi soir, traite la politique économique comme un volet central de la sécurité nationale, dans un contexte de tensions tarifaires. Il demande d’identifier et réduire les vulnérabilités pesant sur la sécurité et la prospérité des États-Unis, tout en soutenant un découplage vis-à-vis d’adversaires étrangers. La stratégie évoque aussi l’hémisphère occidental comme réservoir de ressources stratégiques, et pousse à une cybersurveillance plus appuyée sur le privé, avec attribution et réponse « en temps réel ».

Renseignement mis au service du découplage économique

Le message politique est clair : l’administration Trump inscrit l’économie au cœur du périmètre « sécurité nationale » et en fait une mission explicite pour la communauté du renseignement. La stratégie affirme que les agences américaines « surveilleront les principales chaînes d’approvisionnement et les avancées technologiques dans le monde entier » afin de comprendre, puis d’atténuer, les vulnérabilités et menaces pesant sur la sécurité et la prospérité nationales. Ce glissement est important, car il place l’analyse industrielle, logistique et commerciale dans le même registre que la contre-ingérence ou la lutte antiterroriste : collecte, cartographie, anticipation, et production d’alertes au décideur.

Le document insiste sur une finalité : réduire la dépendance de l’économie américaine à des adversaires étrangers, dans une logique de découplage. Les autorités américaines martèlent depuis des années que des acteurs comme la Chine et la Russie doivent être écartés des chaînes d’approvisionnement liées aux intérêts américains. La stratégie reprend cette idée, tout en reconnaissant une difficulté structurelle : l’économie est mondialisée, et séparer des filières imbriquées est à la fois complexe et coûteux. Le texte souligne en outre que la numérisation des chaînes d’approvisionnement rend l’objectif encore plus difficile, car les flux matériels se doublent désormais de flux de données, d’outils de pilotage et de services numériques partagés.

Cette orientation éclaire aussi le contexte mentionné : des mois de conflits tarifaires devenus un marqueur du programme économique du président. La stratégie apparaît comme une tentative de “tenir” une ligne politique dans la durée en la convertissant en exigences opérationnelles pour les agences fédérales. En pratique, la mission annoncée, surveiller où les entreprises expédient, produisent et stockent, implique une observation fine des trajectoires logistiques, des dépendances technologiques et des points d’étranglement, donc un effort massif d’analyse et de priorisation.

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, Veille web & dark web, alertes et priorisation des risques.

  
DÉCOUVRIR LA VEILLE

Dédiée aux entreprises, institutions et particuliers.

A PARTIR DE 0,06€ PAR JOUR

 

Chaînes d’approvisionnement numérisées, un terrain cyber

L’angle cyber du document ne se limite pas à la protection classique des réseaux. Il relie directement l’effort de souveraineté économique à la réalité technique de chaînes d’approvisionnement devenues pilotées par des plateformes. La stratégie appelle les agences fédérales à s’appuyer davantage sur les opérateurs privés et des partenaires régionaux pour détecter des intrusions sur les réseaux américains. Autrement dit, le privé n’est plus seulement “une victime à protéger”, mais un capteur et un partenaire de détection, car c’est lui qui administre une large part des infrastructures, des logiciels et des données utiles à l’alerte.

Le texte va plus loin en évoquant une évolution vers une attribution et une réponse « en temps réel ». Cette formule dit deux choses. D’abord, la volonté d’accélérer le cycle, détection, qualification, attribution, action, afin de réduire le temps laissé à l’attaquant. Ensuite, l’idée que l’attribution, souvent longue et juridiquement délicate, doit devenir plus opérationnelle, au risque de se heurter aux zones grises : sources incomplètes, attaques via des relais, faux drapeaux, et dépendance à des données détenues par des prestataires. Dans une chaîne d’approvisionnement numérisée, un incident n’est pas seulement un accès illégitime à un réseau. C’est potentiellement une altération de données logistiques, une perturbation de services, une manipulation de l’information, ou une dégradation de confiance entre partenaires.

La stratégie met donc en scène un triangle de sécurité : l’État, les entreprises, et les partenaires régionaux. Ce choix suggère que l’administration accepte un fait technique : l’État ne voit pas tout, en temps réel, sur des infrastructures majoritairement privées. Pour compenser, elle cherche à institutionnaliser le partage de signaux et la coordination, avec une doctrine plus rapide de réponse. Le document ne détaille pas les garde-fous, mais il fixe une direction : la cybersécurité devient un outil de continuité économique, pas seulement un sujet de conformité.

Hémisphère occidental, ressources et infrastructures sous surveillance

Autre axe structurant : l’hémisphère occidental est présenté comme un espace fournissant des ressources précieuses aux intérêts américains. La stratégie indique que des analystes du renseignement appuieront les efforts visant à « identifier les points et les ressources stratégiques » de la région, afin de les protéger et de les mobiliser dans des développements avec des partenaires. L’objectif combine défense et opportunité : sécuriser des nœuds jugés critiques et soutenir des projets économiques alignés.

Le texte parle aussi d’opportunités d’investissement « stratégiques » pour des entreprises américaines dans la région. Il propose de nouer des partenariats publics-privés afin de bâtir une infrastructure énergétique “évolutive et résiliente”, d’investir dans l’accès aux minerais critiques, et de renforcer les réseaux de cybercommunications existants et futurs. La phrase insiste sur un avantage américain en matière de chiffrement et de sécurité. Le lien cyber est direct : sécuriser l’énergie, les minerais et les télécoms, c’est sécuriser les dépendances matérielles et les réseaux qui les orchestrent.

Ce passage révèle une conception du renseignement comme outil de préparation économique. Identifier des « points stratégiques », ce n’est pas seulement repérer des risques, c’est aussi cartographier des leviers : infrastructures, ressources, routes et partenaires. Dans ce cadre, la cybersécurité devient une condition de confiance pour les investissements, et la surveillance des chaînes d’approvisionnement devient un moyen de réduire l’incertitude.

Le document de 33 pages trace une doctrine : traiter l’économie comme un théâtre de sécurité nationale, avec une communauté du renseignement mobilisée sur les chaînes d’approvisionnement, les technologies et les ressources de l’hémisphère occidental. Sur le plan cyber, l’ambition d’attribution et de réponse « en temps réel » s’appuie explicitement sur le secteur privé. Une stratégie nationale de cybersécurité est par ailleurs annoncée pour début janvier, selon une personne citée par Nextgov/FCW, avec un accent sur les cyberattaques et un rôle accru des partenaires privés. La question de fond est désormais opérationnelle : jusqu’où peut-on accélérer l’attribution et la riposte, sans fragiliser la preuve, la coordination et la confiance entre l’État et les entreprises ?

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.
S’abonner à la NewsLetter ZATAZ

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres
Cybersécurité, Entreprise, Espionnage Spy, Justice

CrowdStrike sanctionne un « initié » après business pirate

CrowdStrike a licencié un employé accusé d’avoir transmis des informations internes à un collectif de hackers. L’affaire illustre une menace difficile à neutraliser : l’abus de confiance, parfois plus simple qu’une intrusion technique.

CrowdStrike a confirmé le licenciement d’un employé ayant divulgué des informations internes à un groupe baptisé Scattered Lapsus Hunters, présenté comme une alliance mêlant des profils liés à Scattered Spider, LAPSUS$ et ShinyHunters. Des captures d’écran publiées sur un canal Telegram public montraient un tableau de bord interne de CrowdStrike, avec des liens vers des systèmes d’entreprise, dont l’authentification unique Okta. Les attaquants ont d’abord évoqué une compromission via le prestataire Gainsight et des cookies d’authentification. CrowdStrike nie toute intrusion externe et affirme qu’il s’agissait de photos prises par l’employé. ShinyHunters aurait proposé 25 000 $ (23 000 €) pour obtenir un accès.

Une fuite « par l’intérieur » plutôt qu’une brèche technique

Le cœur du dossier est une clarification d’attribution. Le groupe a, dans un premier temps, revendiqué une compromission de CrowdStrike via une plateforme tierce, Gainsight, en affirmant avoir récupéré des cookies d’authentification. CrowdStrike répond en niant catégoriquement toute attaque externe réussie. Selon l’entreprise, les images ne démontrent pas une intrusion : ce sont des captures prises par un employé depuis son propre écran, puis divulguées.

Les captures publiées sur Telegram auraient montré l’interface d’un tableau de bord interne, avec des liens vers des systèmes de l’entreprise, dont la page d’authentification unique Okta. Même sans accès direct, ce type d’éléments peut alimenter un repérage : cartographie des outils, vocabulaire interne, chemins d’accès, et indices sur la manière dont l’organisation structure ses contrôles.

Le récit insiste sur le risque interne. CrowdStrike place ce danger au même niveau que les vulnérabilités techniques, parce qu’un initié n’a pas besoin de “casser” la sécurité pour faire sortir de l’information. Il peut simplement la copier, la photographier ou la raconter, en profitant d’un accès déjà légitime.

L’offre financière et la tactique de « super alliance »

Une enquête plus poussée, selon CrowdStrike, a établi que ShinyHunters avait offert 25 000 $ (23 000 €). Cette somme suggère une logique de recrutement : payer pour accélérer l’accès, réduire les risques d’attaque directe, et contourner des défenses techniques coûteuses à franchir.

Le groupe cité, Scattered Lapsus Hunters, est décrit comme une « super alliance » rassemblant des membres de plusieurs collectifs connus. L’intérêt de ce type de bannière, dans une opération, est d’agréger des compétences et de maximiser l’impact psychologique, tout en brouillant les responsabilités. En prétendant à une intrusion via un tiers, l’attaquant peut aussi tester la réaction publique et pousser la cible à se défendre, ce qui révèle parfois des informations supplémentaires.

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, Veille web & dark web, alertes et priorisation des risques.

  
DÉCOUVRIR LA VEILLE

Dédiée aux entreprises, institutions et particuliers.

A PARTIR DE 0,06€ PAR JOUR

 

CrowdStrike affirme que son centre de sécurité a détecté l’anomalie à temps, que les attaquants n’ont pas réussi à établir un accès valide, et que l’événement a été rapidement contenu. L’entreprise indique que ses systèmes n’ont pas été compromis et que ses clients sont restés protégés. L’employé mis en cause a été licencié, et l’affaire a été transmise aux forces de l’ordre.

Ce passage met en avant une distinction essentielle : fuite d’information ne veut pas dire prise de contrôle. Ici, CrowdStrike sépare l’exposition, captures et éléments de connexion, d’une compromission effective de ses systèmes. Cette nuance compte, car les récits d’attaque jouent souvent sur l’ambiguïté entre “preuve de présence” et “preuve d’accès”, surtout lorsqu’une publication sur un canal public vise à créer une perception de défaillance.

Une leçon de chaîne d’approvisionnement, mais aussi de gestion RH

L’incident est rattaché à une série d’attaques récentes attribuées à ce même ensemble d’acteurs contre de grandes entreprises. Le texte souligne leur appétit pour les fournisseurs externes et prestataires, citant Salesforce et Gainsight comme exemples de surfaces privilégiées. Mais l’épisode CrowdStrike rappelle qu’un prestataire n’est pas la seule porte d’entrée : un employé peut jouer ce rôle, volontairement, sous contrainte ou contre rémunération.

Pour les organisations, le message est concret. Renforcer les défenses techniques reste indispensable, mais l’angle mort se situe souvent dans la gouvernance des accès : qui voit quoi, à quel moment, avec quelles traces, et avec quelles barrières contre l’exfiltration “banale”, photo d’écran, export, copie. La prévention passe aussi par la détection comportementale interne et par une politique claire sur les dispositifs personnels, les canaux de messagerie, et la gestion des alertes quand un salarié devient un point de risque.

Cette affaire illustre une réalité opérationnelle : l’attaquant n’a pas toujours besoin d’exploiter une faille, il peut acheter ou manipuler un accès humain, puis fabriquer un récit d’intrusion externe pour amplifier l’effet. La question, côté cyber et renseignement, est désormais de savoir comment mesurer et réduire la probabilité de trahison opportuniste, sans bloquer le travail quotidien : quelles combinaisons de contrôle d’accès, de traçabilité et de signaux RH permettent de détecter un initié avant la fuite publique ?

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.
S’abonner à la NewsLetter ZATAZ

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres
Cybersécurité, Entreprise, Justice

Prospection politique : la CNIL sanctionne cinq candidats

En décembre 2025, la CNIL frappe cinq candidats des scrutins européens et législatifs 2024. Motif : des messages de campagne envoyés à des électeurs, sans respecter plusieurs exigences de protection des données.

La CNIL a prononcé en décembre 2025 cinq sanctions simplifiées contre des candidats aux élections européennes et aux législatives anticipées de 2024. Les contrôles, déclenchés après des signalements via un téléservice dédié, ont mis au jour des manquements liés à l’envoi de SMS, courriels ou courriers de prospection politique. Au total, 23 500 € d’amendes ont été infligés. La CNIL relève notamment l’incapacité à prouver la base légale du traitement, l’utilisation de données collectées pour d’autres finalités, une information incomplète des personnes, l’absence de mécanisme d’opposition, le défaut de réponse à des demandes de droits, et une faille de confidentialité par envoi sans « cci ».

Un observatoire des élections pour capter les dérives

L’épisode démarre pendant la séquence électorale de 2024, marquée par les européennes et des législatives anticipées. Pour canaliser les remontées du public, la CNIL a ouvert un téléservice, pensé comme un point d’entrée unique pour signaler des situations problématiques, dont la réception de messages de prospection politique. Le dispositif, présenté comme un « observatoire des élections », a servi de déclencheur opérationnel. Des citoyens y ont rapporté des SMS, des courriels ou des courriers perçus comme intrusifs, ou envoyés dans des conditions jugées irrégulières.

À partir de ces alertes, l’autorité a interrogé les candidats mis en cause sur la manière dont ils avaient géré les traitements de données liés à leurs envois. Le cœur du sujet n’est pas la communication politique en elle-même, mais la façon dont des informations personnelles ont été utilisées, et sécurisées, pour toucher des électeurs. Dans une campagne, la tentation est forte d’aller vite, d’externaliser, de réutiliser des fichiers existants ou de s’appuyer sur des circuits déjà prêts. C’est précisément là que la CNIL place son curseur : une campagne électorale n’est pas une zone de non-droit, et la mécanique de prospection doit rester compatible avec les règles de protection des données.

Les investigations ont débouché sur cinq sanctions financières prononcées via la procédure simplifiée. La somme totale des amendes atteint 23 500 €. Dit autrement, le dossier met en scène un volume limité de décisions, mais une diversité de défaillances. Et, en filigrane, une même question de gouvernance : qui maîtrise réellement la chaîne, depuis la collecte des données jusqu’au clic sur « envoyer » ?

Des manquements répétés, du consentement à la sécurité

Premier reproche, la difficulté, pour certains candidats, de démontrer que le traitement reposait sur une base légale. La CNIL rappelle que le candidat reste responsable, y compris s’il confie l’envoi à une société spécialisée. Externaliser l’exécution ne transfère pas l’obligation de conformité. Concrètement, les candidats doivent pouvoir établir soit que les destinataires ont accepté de recevoir ces messages, soit que les conditions permettant d’invoquer un intérêt légitime sont réunies, notamment en montrant que les personnes pouvaient raisonnablement s’attendre à être contactées. Or, les contrôles indiquent que certains n’ont pas été capables de fournir ces éléments, ce qui constitue un manquement à l’article 5-2 du RGPD. Sur le plan cyber, l’enjeu est simple : sans traçabilité, pas de preuve, et sans preuve, la conformité s’effondre au premier contrôle.

Deuxième manquement, l’usage de données pour un objectif différent de celui annoncé au départ. Un cas ressort nettement : l’un des candidats, professionnel de santé, a utilisé les numéros de téléphone de ses patients, collectés pour organiser les consultations et assurer le suivi médical, afin d’envoyer un SMS vantant sa candidature. La CNIL juge cet emploi incompatible avec la finalité initiale (article 5-1-b du RGPD). L’affaire illustre une dérive classique dans les environnements riches en données : la réutilisation opportuniste d’un fichier « disponible », sans reposer la question du pourquoi et du cadre. Dans une logique de renseignement, le point d’alerte est évident : lorsqu’une même personne cumule des rôles, l’accès à des données sensibles au travail peut devenir un levier d’influence en dehors de ce contexte.

Troisième reproche, l’information insuffisante des personnes. En prospection politique, la CNIL rappelle l’obligation de fournir l’ensemble des informations prévues par les articles 13 et 14 du RGPD. Le moment dépend de l’origine des données : à la collecte, ou dès le premier message si les données proviennent d’un tiers, par exemple des listes électorales, de sociétés spécialisées dans la revente de données, d’un listing de parti politique, ou d’autres canaux cités par l’autorité. Or, dans quatre cas sur cinq, les messages ou courriers contrôlés n’incluaient pas ces informations, ou seulement une partie. Cette lacune n’est pas un détail rédactionnel. Elle empêche l’électeur de comprendre pourquoi il est ciblé, par qui, et sur quel fondement. Pour une campagne, c’est aussi une erreur stratégique : l’opacité alimente la défiance et transforme un message de mobilisation en signal d’intrusion.

Quatrième manquement, l’absence de mécanisme d’opposition réellement utilisable. Deux candidats n’avaient prévu aucun dispositif permettant aux personnes de refuser la réception de nouveaux messages. La CNIL cite, à titre d’exemples, un « STOP SMS » ou un lien de désinscription. Ici, la logique est binaire : si l’opposition n’est pas simple, elle n’est pas effective, et le droit devient théorique. Dans une lecture cyber, c’est aussi une question de contrôle des flux : une campagne qui ne sait pas traiter les demandes d’opposition est une campagne qui perd la maîtrise de sa propre base, et augmente mécaniquement le risque de plaintes, de blocages et d’escalade contentieuse.

Cinquième point, le défaut de réponse à une demande d’exercice de droits. Un plaignant, destinataire d’un SMS de prospection, a demandé des explications, notamment sur la source de ses données et sur la base légale du traitement, et a également demandé l’effacement. Le candidat n’a pas répondu. La CNIL a sanctionné ce silence et a ajouté une injonction : répondre aux demandes. Ce volet, souvent traité comme un irritant administratif, est en réalité un test de maturité organisationnelle. Répondre suppose d’avoir documenté les entrées de données, les échanges avec d’éventuels prestataires, et la logique de conservation. Là encore, sans journalisation et sans chaîne de responsabilité, la réponse devient impossible.

Enfin, la CNIL relève un manquement à la confidentialité (article 32 du RGPD) dans un envoi par courriel à plusieurs centaines de destinataires, tous adhérents d’un même parti, sans utiliser le champ « cci ». Résultat : les adresses électroniques ont été exposées à l’ensemble des destinataires. L’autorité insiste sur la gravité du risque, car ces données peuvent révéler des opinions politiques réelles ou supposées. Elle rappelle qu’il s’agit de données sensibles au sens de l’article 9 du RGPD. Pour l’angle cybersécurité, c’est le point le plus immédiatement tangible : une simple erreur de paramétrage, ou un geste mal maîtrisé, suffit à créer une fuite de données, avec un impact potentiel sur la sécurité des personnes et sur la confiance dans l’organisation politique.

Ce que la CNIL rappelle aux candidats, et aux prestataires

Pris ensemble, ces manquements dessinent une cartographie très concrète des fragilités des campagnes. D’abord, la gouvernance. La CNIL répète un principe clé : même si une entreprise est sollicitée pour envoyer les messages, le candidat demeure comptable de la conformité. Dans les faits, cela signifie que la délégation ne peut pas se limiter à « faire partir » un volume de messages. Elle doit inclure la capacité à démontrer la licéité, à expliquer l’origine des données, et à garantir les droits. Ce n’est pas une formalité, c’est une obligation de preuve.

Ensuite, la discipline des finalités. Le cas du professionnel de santé résume l’écueil : une donnée collectée dans un contexte relationnel asymétrique, ici le soin, ne peut pas être recyclée pour un objectif électoral. Au-delà du cadre juridique rappelé par la CNIL, l’effet de renseignement est évident : des bases constituées pour des usages de confiance, lorsqu’elles sont détournées, deviennent des outils de pression ou d’influence, même si l’intention initiale se veut « seulement » politique. La frontière, pour le public, se brouille immédiatement.

Troisième enseignement, la transparence n’est pas optionnelle. La CNIL insiste sur l’information complète : dire ce qui est fait, avec quelles données, et comment exercer ses droits. Ce point est crucial dans un environnement où les données circulent par listes, par prestataires, par réutilisations successives. Le texte de l’autorité cite explicitement des sources possibles de données, comme les listes électorales ou la revente, ce qui suffit à comprendre le risque : dès que l’origine n’est plus directe, la charge de clarté augmente.

Quatrième leçon, l’opposition et la gestion des droits doivent être conçues comme un circuit. Un « STOP » absent, une demande ignorée, et la campagne se retrouve à la fois en infraction et dans l’incapacité de corriger. Ce n’est pas seulement une faute, c’est une perte de contrôle. Les campagnes modernes fonctionnent avec des outils, des envois en masse, parfois des fichiers multiples. Sans procédure, l’organisation ne sait plus où se trouvent les données, qui les a, ni comment arrêter l’usage.

Cinquième rappel, la sécurité opérationnelle la plus basique compte. L’épisode du courriel sans « cci » montre qu’une fuite peut naître d’un acte banal. Dans le champ politique, où l’exposition peut être sensible, divulguer une appartenance ou une proximité partisane, même indirectement, peut entraîner des conséquences disproportionnées. La CNIL qualifie ces informations de sensibles, et souligne la gravité de leur révélation. Ce rappel vaut comme message plus large : la conformité n’est pas qu’une affaire de formulaires, elle touche à la protection effective des personnes, et donc à la sécurité.

Entreprise, Justice

New York encadre la tarification algorithmique

New York devient le premier État américain à réglementer l’usage des algorithmes dans la fixation des prix.

Depuis lundi, la loi new-yorkaise sur la tarification algorithmique impose aux entreprises de déclarer si elles exploitent les données personnelles des consommateurs pour ajuster leurs tarifs. Cette obligation marque une première nationale, la loi californienne équivalente n’étant pas encore entrée en vigueur.

Des prix calculés à partir des données personnelles

La tarification algorithmique repose sur des modèles capables de modifier automatiquement les prix en fonction de variables comme le revenu, l’historique d’achats ou la géolocalisation. Cette pratique, utilisée dans le commerce en ligne ou les services de transport, permet d’optimiser les marges, mais soulève de fortes inquiétudes éthiques.

Selon les défenseurs de la vie privée, cette « tarification de la surveillance » risque d’amplifier les discriminations économiques, en facturant davantage certaines catégories de consommateurs jugées plus solvables. La Federal Trade Commission (FTC) a d’ailleurs publié en janvier un rapport analysant ces risques et les dérives possibles de l’IA dans la fixation des prix.

La procureure générale durcit le ton

La procureure générale Letitia James a publié une alerte aux consommateurs, appelant les New-Yorkais à signaler tout cas d’utilisation non divulguée de données personnelles dans la tarification.
Elle a rappelé dans un communiqué : « Les New-Yorkais méritent de savoir si leurs informations personnelles servent à fixer les prix qu’ils paient. Je n’hésiterai pas à agir contre ceux qui tentent d’induire les consommateurs en erreur. »

Le bureau de la procureure entend renforcer la transparence et la responsabilité des entreprises, notamment celles qui emploient des outils d’intelligence artificielle ou d’apprentissage automatique pour personnaliser les prix.

Vers une régulation nationale de la tarification automatisée ?

L’entrée en vigueur de la loi new-yorkaise pourrait faire école. En Californie, le texte équivalent, encore en attente d’application, devrait s’inspirer du modèle new-yorkais pour encadrer la collecte, le traitement et l’usage des données de consommation dans la tarification.

Cette régulation s’inscrit dans un mouvement plus large aux États-Unis visant à limiter les effets opaques de l’IA dans la sphère économique. La question centrale demeure : comment concilier innovation algorithmique et respect des droits des consommateurs ?

L’ère des algorithmes régissant les prix touche à sa première grande régulation. Entre transparence et surveillance, New York teste le futur du commerce automatisé. La loi suffira-t-elle à freiner les dérives de l’intelligence économique ?

Cybersécurité, Justice, Mise à jour, Propriété Industrielle, RGPD

La faillite de Near relance le débat sur la revente des données de géolocalisation

La société Near, autrefois valorisée à un milliard de dollars, a fait faillite. Son immense base de données de géolocalisation suscite aujourd’hui de vives inquiétudes politiques et juridiques.

Near, courtier en données basé en Inde, s’était imposé en 2021 comme un acteur majeur de la collecte de données de localisation. Elle affirmait alors détenir des informations sur « 1,6 milliard de personnes dans 44 pays ». Introduite en bourse en 2023 via une SPAC, l’entreprise a pourtant déposé le bilan sept mois plus tard. Sa liquidation pose une question cruciale : que deviendront les données personnelles qu’elle détient, notamment celles liées à des lieux sensibles aux États-Unis ?

Des données de géolocalisation au cœur d’une tempête politique

La faillite de Near a rapidement attiré l’attention du Congrès américain. Le sénateur Ron Wyden a demandé à la Federal Trade Commission (FTC) d’empêcher toute revente des bases de données de géolocalisation, en particulier celles collectées autour des cliniques d’avortement. Son bureau avait ouvert une enquête après un article du Wall Street Journal de mai 2023 révélant que Near avait vendu des licences de données à l’organisation anti-avortement Veritas Society. Cette dernière aurait ciblé des publicités vers les visiteuses de 600 cliniques Planned Parenthood dans 48 États.

L’enquête a également montré que Near fournissait des données de géolocalisation au département de la Défense et à des services de renseignement américains. Dans sa lettre à la FTC, Wyden a dénoncé des pratiques « scandaleuses » et exigé la destruction ou l’anonymisation des données américaines sensibles.

Une ordonnance de faillite sous haute surveillance

Les demandes de Wyden ont été entendues. Un document judiciaire publié cette semaine impose de strictes restrictions sur la gestion et la revente des données collectées par Near. Toute entreprise reprenant ces actifs devra instaurer un « programme de gestion des données de géolocalisation sensibles », incluant une surveillance continue, des politiques de conformité et une liste de lieux interdits.

Parmi ces lieux figurent les établissements de santé reproductive, les cabinets médicaux, les églises, les prisons, les centres d’hébergement et les établissements psychiatriques. L’ordonnance interdit toute collecte, utilisation ou transfert de données sans le consentement explicite des personnes concernées.
Dans un communiqué transmis à The Markup, Ron Wyden a salué la décision de la FTC, estimant qu’elle « empêchera l’utilisation abusive du stock de données de géolocalisation des Américains ».

Les pratiques du marché de la donnée mises à nu

Les documents de faillite de Near offrent un rare aperçu du fonctionnement du marché des données de géolocalisation. Ils révèlent des accords de monétisation conclus avec plusieurs courtiers et annonceurs : X-Mode, Tamoco, Irys, Digital Origin, ainsi que des institutions universitaires et des administrations locales.

Un contrat de 2023 liait Near à Digital Origin (maison mère de X-Mode) pour 122 706 $ (112 000 euros). La FTC a depuis interdit à X-Mode de vendre des données de géolocalisation sensibles après un règlement amiable. D’autres contrats montrent que Tamoco et Irys, identifiés parmi 47 acteurs majeurs de ce marché évalué à plusieurs milliards de dollars, avaient conclu des partenariats similaires avec Near.

Selon la politique de confidentialité de l’entreprise, les données pouvaient être « transférées aux acheteurs potentiels » en cas de vente. Une clause devenue critique maintenant que Near cherche un repreneur.