Archives de catégorie : loi

Cybersécurité, Justice, loi

Cyberfraude : Washington prépare un fonds pour les victimes

Laisser un commentaire

La Maison Blanche veut répondre à l’explosion mondiale des escroqueries numériques. Un décret présidentiel prévoit indemnisation des victimes et offensive coordonnée contre les réseaux criminels transnationaux.

La cyberfraude représente désormais une menace économique majeure pour les États-Unis. Chaque année, des escroqueries en ligne dérobent des milliards de dollars aux particuliers américains. Face à cette situation, l’administration Trump a publié un décret présidentiel ordonnant une réponse coordonnée de l’ensemble du gouvernement. Objectif affiché : démanteler les organisations criminelles transnationales à l’origine de ces arnaques et créer un mécanisme d’indemnisation pour les victimes. Le texte prévoit la mobilisation de plusieurs ministères, l’exploitation des capacités du secteur privé de cybersécurité et une pression diplomatique accrue contre les États accusés d’héberger ou de tolérer ces réseaux.

Un plan fédéral contre l’économie mondiale de la cyberfraude

Le décret présidentiel publié vendredi fixe un calendrier précis à plusieurs agences fédérales. Elles disposent de 120 jours pour produire un plan d’action détaillant les mesures destinées à prévenir, perturber, enquêter et démanteler les organisations criminelles transnationales impliquées dans la cybercriminalité.

Ce plan doit notamment viser les réseaux opérant des centres d’escroquerie, souvent situés hors du territoire américain. Ces structures sont spécialisées dans les arnaques financières numériques, allant de faux investissements à des escroqueries sentimentales. Selon le FBI, ces dispositifs criminels soutirent environ 12,5 milliards $ par an aux citoyens américains, soit environ 11,5 milliards d’euros.

Le décret prévoit également la création d’une cellule opérationnelle au sein du National Coordination Center. Cette unité doit centraliser les efforts fédéraux contre ces organisations criminelles. Elle rassemblera plusieurs administrations : Département d’État, Trésor, Défense, Sécurité intérieure et Justice.

La Maison Blanche souligne que l’objectif consiste à améliorer la circulation du renseignement, la coordination opérationnelle et la rapidité de réaction entre institutions. Le dispositif doit également rester aligné sur les cadres juridiques déjà utilisés par les autorités américaines pour lutter contre les cybermenaces provenant de juridictions étrangères.

Le secteur privé pourrait être mobilisé dans ce dispositif. Les entreprises spécialisées en cybersécurité disposent de capacités techniques et de renseignement sur les menaces qui peuvent aider à attribuer les attaques, suivre les infrastructures criminelles et perturber les opérations des acteurs malveillants.

L’administration américaine considère ces activités comme un phénomène structuré et transnational. Rançongiciels, logiciels malveillants, hameçonnage, chantage sexuel, usurpation d’identité ou fraude financière constituent les principales techniques utilisées par ces groupes.

Washington estime que certains régimes étrangers offrent un soutien implicite ou direct à ces réseaux criminels. Selon la Maison Blanche, ces activités alimentent une économie clandestine mêlant fraude numérique, coercition, travail forcé et parfois traite d’êtres humains.

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes, chaque vendredi midi.

YouTube
WhatsApp
Google News
Autres

S’abonner à la NewsLetter

Vers un mécanisme d’indemnisation des victimes

Le décret introduit également un élément inédit dans la stratégie américaine contre la cybercriminalité : un programme d’indemnisation des victimes.

Dans un délai de 90 jours, l’administration devra définir un mécanisme permettant de restituer aux victimes une partie des fonds récupérés lors des opérations judiciaires. Les montants proviendront d’actifs saisis, confisqués ou récupérés auprès des organisations criminelles responsables de ces escroqueries numériques.

Cette approche repose sur un constat simple. Les autorités américaines récupèrent régulièrement des sommes importantes lors d’enquêtes internationales, mais les modalités de redistribution restent souvent floues pour les victimes.

La semaine précédant l’annonce, les autorités ont saisi plus de 2 millions $ (1,84 million d’euros) auprès d’escrocs égyptiens. L’année précédente, le ministère de la Justice avait également annoncé la saisie d’environ 15 milliards $ en bitcoins, soit près de 13,8 milliards d’euros, sur des comptes liés selon l’accusation au dirigeant d’un conglomérat cambodgien suspecté d’avoir dirigé un vaste empire d’escroquerie.

Nicole Tisdale, ancienne responsable du Conseil de sécurité nationale à la Maison Blanche, estime que le décret marque un changement stratégique. Elle souligne que la cybercriminalité ignore les frontières juridiques alors que les réponses institutionnelles restent souvent fragmentées.

Selon elle, le texte impose explicitement une coordination de l’ensemble de l’appareil fédéral autour d’un objectif commun : protéger les victimes et renforcer la réponse opérationnelle.

Le décret prévoit également des mesures de pression diplomatique contre les pays accusés d’abriter ces réseaux criminels. Les outils envisagés incluent la réduction de l’aide étrangère, l’application de sanctions ciblées, des restrictions de visas ou encore des sanctions commerciales. Le texte mentionne aussi l’expulsion immédiate de responsables ou diplomates étrangers considérés comme complices.

Le directeur national de la cybersécurité, Sean Cairncross, a expliqué que la publication du décret coïncidait volontairement avec la nouvelle stratégie nationale de cybersécurité. L’objectif consiste à mobiliser l’ensemble des instruments de puissance américains, y compris la diplomatie.

Le Département d’État devra ainsi développer une stratégie diplomatique pour pousser les gouvernements étrangers à agir contre les centres d’escroquerie présents sur leur territoire.

Dans cette logique, le ministère de la Justice prévoit d’augmenter les arrestations et les procédures d’extradition visant les responsables de ces réseaux criminels.

L’enjeu dépasse la simple cyberdéfense. Pour Washington, il s’agit désormais de s’attaquer à une industrie criminelle mondialisée dont l’infrastructure numérique constitue l’un des piliers.

La bataille contre la cyberfraude devient ainsi un dossier mêlant renseignement, diplomatie et guerre économique numérique.

Cybersécurité, Justice, loi, Securite informatique

Freedom.gov, le portail américain qui défie les lois européennes

À Washington, un projet discret monte en puissance : un portail en ligne destiné aux Européens pour accéder à des contenus interdits chez eux, avec en toile de fond censure, influence et cybersécurité.

Le département d’État américain prépare un site, hébergé sur freedom.gov, pour permettre à des résidents d’Europe et d’autres pays de consulter des contenus interdits par leurs gouvernements. D’après trois sources proches du dossier citées par Reuters, il s’agirait notamment de documents relevant du discours de haine et de la propagande terroriste. Les équipes auraient évoqué l’intégration d’un VPN afin de masquer l’origine du trafic en le faisant apparaître comme américain, sans journaliser l’activité. Le domaine a été enregistré le 12 janvier et affiche un message de mobilisation. L’initiative, supervisée par Sarah Rogers, inquiète déjà pour ses effets diplomatiques.

Un outil d’accès, et un signal de puissance

Le décor est presque vide, mais le message est clair. Sur freedom.gov, un site à peine en ligne n’affiche pour l’instant qu’une phrase de mise en scène : « L’information, c’est le pouvoir. Réaffirmez votre droit à la liberté d’expression. Soyez prêts. » L’absence de contenus visibles ne dit pas l’absence d’intention. Selon trois sources proches du dossier citées par Reuters, le département d’État américain développe un portail pensé pour des résidents d’Europe et d’autres pays, afin qu’ils consultent des contenus interdits par leurs autorités. Dans la liste évoquée, on trouve des documents classés comme discours de haine et propagande terroriste.

L’architecture technique envisagée révèle l’angle cyber. Des responsables auraient discuté de l’ajout d’un VPN intégré, conçu pour masquer l’origine du trafic des visiteurs. Concrètement, l’objectif serait de faire passer leur navigation pour une activité américaine. Autre point sensible : aucune activité ne serait enregistrée. Dans un contexte où les États et certaines plateformes multiplient la traçabilité, promettre l’absence de journaux est, en soi, une prise de position. Reuters note toutefois que la supériorité de cette solution par rapport aux outils classiques reste floue. Le texte ne tranche pas : s’agit-il d’un service réellement inédit, ou d’un habillage institutionnel d’une promesse déjà accessible par des moyens ordinaires ?

Le calendrier, lui, confirme qu’il ne s’agit pas d’une simple page de communication. D’après le registre fédéral get.gov, le domaine freedom.gov a été enregistré le 12 janvier. Le projet serait supervisé par la sous-secrétaire d’État à la diplomatie publique et aux affaires publiques, Sarah Rogers. Le portail devait initialement être présenté à la Conférence de Munich sur la sécurité, avant que la présentation ne soit reportée pour une raison inconnue. Ce report nourrit une tension narrative : le chantier avance, mais l’annonce publique se dérobe, comme si le sujet exigeait une préparation politique autant qu’un déploiement technique.

Dans l’ombre, un portail de ce type opère sur deux niveaux. Au premier, il promet un accès : contourner des interdictions nationales. Au second, il envoie un signal d’influence : un État revendique la capacité d’ouvrir, à distance, des espaces informationnels fermés par d’autres. La cybersécurité devient alors un langage diplomatique, où l’anonymat, le routage et l’absence de logs se transforment en arguments de politique étrangère.

Liberté d’expression, régulation et collision juridique

C’est ici que le projet change de nature. Reuters souligne que l’Europe et les États-Unis n’abordent pas la liberté d’expression avec les mêmes fondations. Côté américain, la Constitution protège presque tous les discours. Côté Union européenne, les restrictions sont plus nombreuses, et un corpus de règles existe depuis 2008 pour obliger les grandes plateformes, notamment Meta et X, à retirer rapidement des contenus illégaux. Dans ce récit, X est aussi mentionné comme « extrémiste » et interdit en Russie, signe que les étiquetages politiques varient selon les juridictions, et que l’espace numérique se fragmente.

Les sanctions financières servent d’outil de contrainte. Reuters cite un exemple : en décembre dernier, X a reçu une amende de 140 millions de dollars (montant en euros non calculable ici faute de taux de change fourni) pour non-respect de la réglementation. Dans un tel paysage, un portail américain visant des contenus illégaux en Europe risque d’être lu comme une provocation. Reuters avertit que l’initiative pourrait aggraver des relations déjà tendues entre Washington et l’Europe. Pire, elle placerait de facto les États-Unis dans la posture d’un État encourageant des citoyens étrangers à enfreindre les lois de leurs propres pays.

La dimension politique est explicitée par les éléments attribués à l’administration Trump. Des responsables qualifient la réglementation européenne de « censure d’extrême droite ». Depuis octobre dernier, Sarah Rogers se serait rendue dans plus de dix pays européens et aurait rencontré des représentants d’organisations d’extrême droite présentées comme « opprimées » par Washington. En parallèle, la Stratégie de sécurité nationale de décembre aurait mis en garde contre la « destruction » menaçant l’Europe à cause de sa politique migratoire, et annoncé l’intention de soutenir les opposants à cette politique au sein des pays européens. Dans ce cadre, freedom.gov ressemble moins à un simple portail qu’à un instrument de soutien, de récit et de pression.

Kenneth Propp, ancien fonctionnaire du département d’État spécialisé dans la réglementation numérique européenne, aujourd’hui au Centre européen de l’Atlantic Council, résume l’impact attendu : une « attaque directe » contre la régulation européenne. Selon lui, freedom.gov « sera perçu en Europe comme une tentative des États-Unis de saper le droit national ». En termes de cyber-renseignement, l’enjeu dépasse l’accès à des contenus : il touche à la capacité d’un État à façonner les normes, à contourner les cadres adverses, et à tester, grandeur nature, la résilience juridique et technique des démocraties.

Derrière la promesse de « liberté », freedom.gov pourrait surtout mesurer jusqu’où l’influence américaine peut s’exercer, en ligne, contre des règles européennes, sans déclencher de riposte immédiate.

Cybersécurité, Justice, loi, Mise à jour

La CISA ordonne le retrait des appareils en fin de vie

Washington impose un calendrier serré : inventorier, retirer, puis surveiller en continu. L’objectif est clair, couper l’accès aux périphériques Edge non maintenus, devenus une autoroute pour les intrusions.

La CISA a publié jeudi une directive opérationnelle imposant aux agences civiles fédérales américaines de retirer, sous 12 mois, tout matériel ou logiciel en fin de vie, non pris en charge par le fabricant. L’agence juge ces dispositifs, pare-feu, routeurs, équilibreurs de charge, commutateurs, points d’accès Wi-Fi, appliances de sécurité et IoT, particulièrement vulnérables faute de mises à jour et de correctifs. Les agences ont trois mois pour remettre un inventaire des équipements concernés figurant sur une liste fournie, puis un an pour les mettre hors service. Sous deux ans, elles devront instaurer un processus de détection continue des périphériques arrivant en fin de vie.

Un ultimatum de 12 mois, et le talon d’Achille des réseaux fédéraux

La CISA veut casser une habitude coûteuse : garder en production des appareils que le constructeur ne maintient plus. Jeudi, l’agence américaine de cyberdéfense a publié une directive opérationnelle ordonnant aux agences civiles fédérales de « retirer tout dispositif matériel et logiciel qui n’est plus pris en charge par son fabricant d’origine ». Un calendrier est fixé, avec des étapes obligatoires, et une philosophie simple : ce qui n’est plus patché n’a plus sa place sur un réseau d’entreprise.

Madhu Gottumukkala, directeur par intérim de la CISA, pose le diagnostic sans détour. « Les appareils non pris en charge représentent un risque sérieux pour les systèmes fédéraux et ne devraient jamais rester sur les réseaux d’entreprise », dit-il. Le message vise un inventaire concret : équilibreurs de charge, pare-feu, routeurs, commutateurs, points d’accès sans fil, appliances de sécurité réseau et dispositifs IoT. La CISA explique que ces équipements deviennent des cibles privilégiées dès qu’ils cessent de recevoir des mises à jour de firmware et des correctifs de sécurité. À partir de là, chaque faille, nouvelle ou déjà connue, se transforme en vulnérabilité permanente.

Nick Andersen, directeur adjoint exécutif de la CISA pour la cybersécurité, a ajouté lors d’une conférence de presse que les auteurs de ces attaques visant les périphériques réseau « comprennent des personnes liées à des États ». Il refuse toutefois de citer des pays ou d’identifier les incidents précis ayant conduit à la directive. Surtout, il insiste sur le cadre : « Il ne s’agit pas d’une réponse à un incident ou à une compromission particulière, mais d’une reconnaissance du fait que les appareils non pris en charge représentent un risque très grave pour les systèmes fédéraux. » Autrement dit, la CISA présente cette décision comme un changement structurel, pas comme une réaction à chaud.

Les chiffres de la menace ne sont pas donnés, mais le vocabulaire employé est parlant. La CISA évoque des cybercampagnes « persistantes », « souvent rendues possibles » par des dispositifs non pris en charge, placés à la périphérie du réseau. L’agence ajoute que les campagnes d’exploitation dont elle a connaissance sont « substantielles et constantes », au point de constituer une menace significative pour les actifs fédéraux. Le terme “Edge” résume l’enjeu : ces boîtiers sont au contact d’Internet, voient passer les flux, et s’imbriquent souvent dans l’identité, donc dans l’accès.

Inventorier, retirer, puis détecter, une discipline imposée

La directive ne se contente pas d’un principe. Elle impose une cadence. Les agences civiles fédérales ont trois mois pour fournir à la CISA un inventaire de tous les appareils présents sur leurs réseaux qui figurent sur une liste fournie d’équipements en fin de vie. Ensuite, au bout d’un an, tous les dispositifs identifiés devront être mis hors service. Enfin, dans un délai de deux ans, chaque agence devra mettre en place un processus de détection continue afin de repérer, au fil du temps, les périphériques susceptibles d’arriver en fin de vie. La logique est celle d’un contrôle permanent : l’obsolescence n’est pas un projet ponctuel, c’est un flux.

En parallèle, les agences reçoivent l’ordre de mettre à jour tous leurs appareils et de remplacer ceux en fin de vie par des équipements capables de recevoir des mises à jour de sécurité. Cette formulation vise une vulnérabilité organisationnelle autant que technique : acheter un matériel “qui marche” ne suffit plus, il faut acheter une capacité de patch sur la durée, donc une relation de support.

Pour structurer l’effort, la CISA indique avoir créé une liste des périphériques Edge en fin de vie, l’EOS Edge Device List, couvrant les appareils déjà hors service ou qui le seront dans les prochains mois. Mais l’agence précise qu’elle ne publiera pas cette liste. Ce choix illustre une tension classique : aider à la conformité sans fournir aux attaquants un catalogue prêt à l’emploi des équipements à traquer.

Andersen résume la doctrine en une phrase : « Une bonne hygiène informatique commence par l’élimination des périphériques non pris en charge. » La CISA promet aussi un accompagnement des agences qui en ont besoin et un suivi des progrès de conformité. En revanche, elle ne précise pas quels acteurs ni quels incidents ont pesé dans la décision. La directive mentionne seulement des « rapports publics récents faisant état de campagnes ciblant certains fournisseurs », sans que Andersen accepte de dire lesquels.

Le texte rappelle néanmoins un point de contexte : les périphériques Edge sont depuis longtemps des portes d’entrée favorites, et des acteurs étatiques chinois et russes ont mené de multiples campagnes visant des appareils de sociétés comme Barracuda, Ivanti, Fortinet et d’autres. Même sans lier formellement la directive à un cas précis, la mécanique est connue : une faille sur un boîtier exposé, puis l’accès initial, ensuite la persistance, et enfin l’extension latérale au cœur du réseau.

Ce que change vraiment la directive, c’est l’aveu implicite que la bataille ne se gagne pas uniquement avec de la détection. Elle commence avec l’inventaire, et se consolide en fermant les cibles faciles, celles qui ne recevront plus jamais de correctifs, mais qui continuent, trop souvent, à protéger des systèmes critiques.

backdoor, Cybersécurité, Entreprise, IOT, loi, Téléphonie

L’UE durcit la 5G face aux fournisseurs à haut risque

Bruxelles remet la chaîne d’approvisionnement au centre du jeu. Une loi cybersécurité révisée vise les télécoms et 17 secteurs, avec la Chine en ligne de mire.

Depuis janvier 2026, la Commission européenne pousse un paquet cybersécurité pour muscler la résilience de l’UE face aux menaces cyber et hybrides. Le cœur du texte, une loi révisée sur la cybersécurité, étend la logique de la boîte à outils 5G à 18 secteurs critiques, dont les télécommunications. L’objectif est de réduire les dépendances jugées à haut risque dans les chaînes d’approvisionnement TIC, notamment vis-à-vis de fournisseurs de pays tiers. Le périmètre annoncé couvre les 27 États membres, l’EEE (Islande, Liechtenstein, Norvège) et la Suisse. Les opérateurs auraient moins de cinq ans, adoption comprise, pour remplacer des équipements sensibles, avec un coût estimé autour de 7 € par abonné mobile.

Une loi pensée pour la menace hybride

Le texte proposé s’inscrit dans une décennie de crispations, où la cybersécurité n’est plus traitée comme un sujet technique isolé. La Commission place désormais les attaques numériques, la coercition économique et la pression géopolitique dans un même tableau, avec des acteurs étatiques étrangers régulièrement cités, dont ceux associés à la Chine. En arrière-plan, la guerre d’agression de la Russie contre l’Ukraine, entrée dans sa quatrième année, a durci la lecture du risque, en particulier l’idée d’actions coordonnées ou convergentes entre Moscou et Pékin.

Le projet vise la chaîne d’approvisionnement des technologies de l’information et de la communication. Il cherche à empêcher des dépendances considérées comme dangereuses, en imposant une sélection plus stricte des technologies et des fournisseurs critiques. La proposition couvre 18 secteurs, calés sur NIS 2, répartis entre 11 domaines à haute criticité, énergie, transports, banque, infrastructures de marché financier, santé, eau potable, eaux usées, infrastructure numérique, administration publique, spatial et télécommunications, et 7 autres secteurs critiques, services postaux et messagerie, déchets, chimie, agroalimentaire, industrie manufacturière, fournisseurs de services numériques et recherche.

Strand Consult, très présent dans le débat depuis 2018, explique avoir vu venir l’extension du sujet au-delà de la 5G. Le cabinet rappelle l’effet d’entraînement de la boîte à outils 5G lancée en 2020, d’abord centrée sur les réseaux mobiles, puis appelée à toucher le fixe, le satellite, et, désormais, d’autres industries. La proposition, volumineuse, environ 270 pages, prévoit une procédure accélérée pour les réseaux mobiles, fixes et satellitaires, car les télécoms sont déjà encadrés par la 5G Toolbox. Les 17 autres secteurs entreraient, eux, dans un schéma d’évaluation comparable, incluant le risque supply chain et des applications sectorielles.

Le calendrier donne la mesure de la tension. L’adoption pourrait prendre un an à un an et demi. Ensuite, les opérateurs disposeraient de trois ans pour appliquer les règles sur les infrastructures critiques. Ceux qui utilisent encore des fournisseurs à haut risque auraient donc moins de cinq ans pour sortir des équipements concernés, souvent déjà en milieu ou fin de vie. C’est là que le cyber devient renseignement, une dépendance matérielle se transforme en variable stratégique.

Le vrai coût du remplacement et la carte des dépendances

L’argument le plus répété, ces dernières années, affirme que restreindre Huawei ou ZTE ralentit la 5G et renchérit le déploiement. Strand Consult conteste cette narration, en décrivant trois familles d’opérateurs : ceux qui ont basculé vers des fournisseurs chinois en migrerant de la 4G vers la 5G, ceux qui ont corrigé tôt leur trajectoire, ou opèrent dans des pays appliquant la 5G Toolbox, et ceux qui continuent à s’appuyer sur des fournisseurs chinois là où la boîte à outils est absente ou partielle. Le cabinet insiste sur un point, de nombreux opérateurs ont choisi des fournisseurs jugés fiables sans explosion des coûts, ni retard visible.

Le Danemark sert d’exemple narratif. Deux réseaux mobiles 4G sur trois y avaient été construits avec Huawei, mais la bascule vers la 5G s’est faite avec des fournisseurs reconnus. Le pays a lancé la 5G très tôt et affiche aujourd’hui, selon Strand Consult, la meilleure couverture 5G de l’UE. Copenhague applique une approche fondée sur le risque, via une loi imposant le retrait des équipements de fournisseurs à haut risque. En 2023, TDC a reçu l’ordre de remplacer son réseau WDM Huawei avant 2027, dans un cadre où l’évaluation est portée par l’Agence danoise de la résilience.

À l’échelle européenne, Strand Consult décrit une photographie contrastée. Sur environ cent réseaux mobiles dans l’UE, une soixantaine seraient déjà assurés comme « réseaux propres ». Sur les quarante restants, une dizaine auraient une exposition limitée, entre 10 et 30 %, et ne seraient pas forcément ciblés par l’analyse de connectivité des fournisseurs. Reste une trentaine d’opérateurs, avec un RAN composé à 35 % jusqu’à 100 % de composants issus de fournisseurs à haut risque, surtout dans des pays où la 5G Toolbox n’est pas pleinement appliquée. Au début de 2026, l’estimation avancée est claire, environ 30 % des équipements installés dans l’UE, l’EEE et la Suisse proviendraient de fournisseurs à haut risque.

La géographie du remplacement concentre le risque, et donc la bataille politique. L’Allemagne, l’Italie et l’Espagne compteraient, à elles trois, plus de 55 % des équipements à remplacer sur cinq ans. Vodafone et Deutsche Telekom apparaissent comme nœuds critiques. DT serait fournie par Huawei à 58 % en Allemagne, et à 100 % en Grèce, Autriche et République tchèque, avec des niveaux élevés en Croatie et Pologne, tandis que sa filiale T-Systems revend des solutions cloud conçues et opérées par Huawei. Vodafone, de son côté, dépendrait entièrement de Huawei en République tchèque, Grèce, Hongrie et Roumanie, avec 67 % en Espagne et 53 % en Allemagne. Le sujet bascule alors du régulateur vers la défense, les forces armées européennes utiliseront la 5G des opérateurs, et l’exposition à des équipements chinois devient un paramètre de résilience collective.

Reste la facture, nerf de la guerre et angle d’influence. Strand Consult rappelait qu’en 2020, avec 86 % de la population européenne abonnée au mobile, le remplacement des équipements évolutifs représentait 3,5 milliards d’euros, soit 7,40 € par abonné, en investissement unique. La Commission, sur la base de données de l’Observatoire 5G et d’une transition de trois ans, estime 3,4 à 4,3 milliards d’euros pour les équipements non évolutifs, et un maximum de 6,5 à 8,3 € par abonné si la charge est répercutée. La Commission affirme aussi que la simplification des obligations pourrait générer jusqu’à 15,3 milliards d’euros d’économies sur cinq ans, de quoi neutraliser une partie du choc initial.

Dans le récit de Strand Consult, les opérateurs les plus exposés pourraient tenter d’amplifier les coûts, comme au Royaume-Uni en 2019, mais les échanges investisseurs cités contredisent l’idée d’un blocage automatique. BT évoquait 100 millions de livres sterling par an pendant cinq ans, et Vodafone parlait d’environ 200 millions d’euros pour une trajectoire de retrait du cœur de réseau, en alertant surtout sur le risque d’accélérations irréalistes. Au final, la proposition européenne impose une question de renseignement économique autant que de cyber, qui paie, le contribuable ou l’actionnaire, quand une dépendance technique devient un risque stratégique.

La bataille se jouera sur un terrain discret, cartographie des dépendances, arbitrages d’investissement, et capacité des États à traduire le risque cyber en décisions industrielles.

Justice, loi

Conformité DORA et NIS2 : le choc opérationnel des SGP

Dans les SGP, la conformité cyber n’est plus un dossier annexe. DORA et NIS2 imposent une mécanique vérifiable : risques cartographiés, fournisseurs tenus, incidents tracés, tests menés, preuves prêtes.

Pour les sociétés de gestion de portefeuille (SGP), DORA et NIS2 transforment la cybersécurité en obligation démontrable, au-delà des politiques écrites. Ce qui change concrètement tient à cinq piliers : cartographier les risques et les actifs critiques, encadrer les prestataires et la chaîne de sous-traitance, structurer la gestion des incidents avec des preuves exploitables, organiser des tests réguliers et réalistes, et conserver des éléments probants en continu. L’enjeu n’est pas seulement de “faire”, mais de pouvoir prouver, à tout moment, qui décide, qui exécute, ce qui est mesuré, et ce qui est corrigé.

Ce qui change : d’une cyber “raisonnable” à une cyber prouvable

Dans une SGP, le quotidien est fait d’arbitrages, d’outils spécialisés et de dépendances invisibles. Jusqu’ici, la cybersécurité pouvait rester une discipline de bon sens, solide sur le papier, inégale dans l’exécution. DORA et NIS2 déplacent le centre de gravité : le sujet n’est plus la conformité déclarative, mais la conformité observable. Ce basculement se lit dans un mot qui revient partout, même quand il n’est pas prononcé : la preuve.

La première marche, c’est la cartographie des risques. Pas une liste générique, mais une vision qui relie processus, données, applications, accès et scénarios de défaillance. Une SGP doit pouvoir expliquer, sans hésiter, ce qui est critique, pourquoi, et ce que cela implique en termes de mesures. La tension naît ici : cartographier, c’est aussi admettre ses angles morts. Et une fois l’inventaire posé, chaque exception devient une dette. Dans un univers où un incident se joue souvent sur un compte trop large ou un flux mal compris, l’exercice n’est pas administratif, il est tactique.

Deuxième déplacement, la gestion des fournisseurs. Les SGP fonctionnent avec des briques externes, hébergement, logiciels, données, support, infogérance, parfois en cascade. DORA et NIS2 rendent cette chaîne impossible à ignorer. Il ne suffit plus de “faire confiance” à un prestataire : il faut encadrer, suivre, et réagir. Concrètement, cela pousse à clarifier qui fait quoi, qui accède à quoi, comment les accès sont retirés, et comment la sécurité est contrôlée dans la durée. La relation change de nature : un contrat devient un mécanisme de contrôle. La vigilance se joue aussi dans la capacité à challenger des réponses standardisées et à refuser les zones floues. C’est dans ces interstices que se cachent les incidents les plus coûteux, et les plus difficiles à attribuer.

Troisième point, la gestion des incidents. Là encore, la nouveauté n’est pas l’existence d’un plan, mais son opérabilité et sa traçabilité. Un incident n’est plus seulement une panne à réparer, c’est une séquence à documenter. Qui a détecté, à quelle heure, avec quel signal. Quelles décisions ont été prises, par qui, sur la base de quels éléments. Quels impacts ont été mesurés, quelles mesures de confinement ont été appliquées, et comment le retour à la normale a été contrôlé. Dans une logique cyber-renseignement, cette chronologie est capitale : elle permet d’identifier un mode opératoire, de comprendre une propagation, et de réduire le risque de récidive. Sans traces, on reconstruit une histoire. Avec des traces, on produit des faits.

Pour mettre ces exigences en musique, certaines SGP s’appuient sur une entreprise de sécurité informatique, afin de structurer méthode, tests et documentation, sans confondre vitesse et précipitation.

Comment s’y préparer : tests, evidences, et gouvernance sans fiction

La préparation se joue dans la répétition et le réalisme. Les tests ne sont pas un exercice de communication, ils doivent créer des frottements. Tester un incident, ce n’est pas lire un scénario, c’est éprouver des délais, des rôles, des décisions, et la qualité des informations disponibles. L’objectif est double : trouver ce qui casse, et générer des preuves. Une SGP doit être capable de montrer ce qui a été testé, ce qui a été observé, et ce qui a été corrigé. Le correctif compte autant que le test, car il montre une boucle de maîtrise, pas un théâtre de conformité.

Cette logique oblige à revoir la production de preuves. Les éléments probants ne se fabriquent pas à la veille d’un contrôle. Ils s’accumulent, comme des journaux de bord : comptes rendus, validations, tickets, journaux techniques, plans de remédiation, décisions de gouvernance. La difficulté est de rester simple : trop de documents tue la lisibilité, pas assez tue la crédibilité. La bonne cible est une preuve utile, reliée à un risque identifié et à une mesure effective.

Reste la gouvernance. DORA et NIS2 imposent une clarté sans échappatoire : qui porte le risque, qui arbitre, qui accepte une exception, qui finance une correction. Une organisation peut survivre avec des zones grises, mais elle ne peut pas démontrer sa maîtrise avec des responsabilités floues. La préparation passe donc par des rôles explicites, des circuits de décision courts, et une capacité à prioriser. Car le piège, dans les SGP, est connu : traiter l’urgence technique sans traiter la cause structurelle, puis découvrir que la même faille se déplace chez un fournisseur, un outil ou un processus voisin.

Dans ce cadre, la conformité devient un avantage de renseignement interne : mieux voir son système, ses dépendances et ses signaux faibles, c’est réduire l’espace où un adversaire peut se dissimuler.

Cybersécurité, Entreprise, Justice, loi

La CNIL durcit le ton en 2025, amendes record

En 2025, la CNIL a tranché 259 fois, avec 83 sanctions et près de 486,8 millions d’euros d’amendes. Derrière ces chiffres, une pression nette sur les traceurs, la surveillance au travail et la sécurité.

La CNIL dresse un bilan 2025 marqué par 259 décisions, dont 83 sanctions, 143 mises en demeure, 31 rappels aux obligations légales et 2 avertissements. Les sanctions totalisent 486 839 500 euros, réparties entre 78 amendes, des injonctions sous astreinte, trois liquidations d’astreinte et deux rappels à l’ordre, avec dix décisions rendues publiques. Les cookies et traceurs restent un front prioritaire, avec 21 sanctions et deux amendes majeures à 325 millions et 150 millions d’euros. La CNIL cible aussi la vidéosurveillance des salariés, les sous-traitants et, via les mises en demeure, l’aide sociale à l’enfance et les services en ligne utilisés par des mineurs.

Cookies, traceurs, et l’illusion du consentement

Le chiffre frappe d’emblée : 486 839 500 euros d’amendes cumulées pour 83 sanctions en 2025. Ce total n’est pas qu’un record comptable, il raconte une ligne de conduite. La CNIL veut faire comprendre qu’un bandeau de cookies mal conçu n’est plus une “erreur de paramétrage”, mais un dispositif qui peut priver l’internaute d’un choix réel. Sur l’année, 16 sanctions ont été rendues par la formation restreinte, dans la procédure dite ordinaire, tandis que 67 ont été décidées dans le cadre simplifié instauré en 2022, par le président de la CNIL ou un membre de cette formation. Le message est simple : l’arsenal existe, il est utilisé, et il va vite.

Dans le détail, le paquet de sanctions comprend 78 amendes, dont 27 assorties d’injonctions sous astreinte. À cela s’ajoutent trois décisions de liquidation d’astreinte, autrement dit le paiement exigé quand un organisme n’exécute pas l’ordre donné dans une sanction précédente, et deux rappels à l’ordre. Dix décisions ont été rendues publiques, un levier de réputation que l’autorité active quand l’exemplarité devient un outil de conformité.

La bataille la plus lisible reste celle des cookies et autres traceurs. Cinq ans après ses lignes directrices et ses recommandations, la CNIL a poursuivi son plan d’action et ses contrôles ont mis au jour des non-conformités. Vingt-et-un acteurs ont été sanctionnés pour des manquements variés : dépôt de traceurs sans consentement, informations trop pauvres pour permettre un accord éclairé, refus de l’utilisateur ignoré, ou retrait du consentement rendu inopérant. L’enjeu, souligné par les décisions, tient à l’asymétrie : des données peuvent être collectées et exploitées sans que la personne s’en rende compte, ou sans qu’elle puisse réellement s’y opposer.

Le durcissement s’incarne surtout dans deux amendes massives, à 325 millions et 150 millions d’euros. L’argument de l’autorité est frontal : les règles ne sont plus nouvelles, la CNIL dit avoir largement communiqué dessus depuis des années, et les acteurs concernés ne pouvaient pas prétendre les découvrir. Derrière la conformité juridique, c’est un sujet de renseignement économique et d’influence qui affleure : maîtriser les traceurs, c’est maîtriser les flux de données qui alimentent le profilage, la mesure d’audience, le ciblage et, parfois, des chaînes de sous-traitance difficiles à cartographier.

Surveillance au travail, sous-traitants et sécurité des données

Un autre terrain révèle la même tension entre sécurité et contrôle : la vidéosurveillance des salariés. En 2025, 16 organismes ont été sanctionnés pour non-respect du cadre applicable. La CNIL rappelle une limite : en dehors de circonstances exceptionnelles, par exemple liées à des exigences particulières de sûreté ou à la lutte contre le vol, une captation vidéo permanente constitue une atteinte aux données personnelles. Filmer en continu des caissiers ou des bureaux, c’est transformer l’outil de protection en instrument de suivi. Plus sensible encore, les caméras dissimulées ne peuvent être tolérées qu’à titre exceptionnel, et seulement si l’équilibre est respecté entre l’objectif poursuivi, protéger biens et personnes, et la vie privée des salariés.

La CNIL insiste aussi sur un point souvent sous-estimé dans les organisations : la responsabilité des sous-traitants. Au-delà des dossiers cookies et vidéosurveillance, la formation restreinte a sanctionné des manquements aux obligations liées aux données confiées. Le rappel est net : mettre en place des mesures techniques et organisationnelles adaptées au niveau de risque, n’agir que sur instruction du responsable de traitement, et effacer les données à la fin de la relation contractuelle. Ici, la dimension cyber est immédiate : une chaîne de sous-traitance mal gouvernée élargit la surface d’attaque, multiplie les comptes, les accès, les copies, et rend l’incident plus probable comme plus opaque.

La procédure simplifiée, elle, dessine une typologie des fautes répétées. Trois motifs dominent en 2025 : sécurité insuffisante, absence de coopération avec la CNIL, et non-respect des droits des personnes. Quatorze organismes ont été épinglés pour ne pas avoir déployé toutes les mesures nécessaires à la confidentialité, avec des exemples concrets comme des mots de passe trop faibles ou des comptes partagés entre utilisateurs. Quatorze autres ont été sanctionnés pour n’avoir pas répondu aux sollicitations de la CNIL. Enfin, quatorze décisions visent la mauvaise prise en compte de demandes d’effacement, d’opposition ou d’accès, là où le RGPD impose une mécanique de réponse traçable.

La prospection, commerciale comme politique, n’échappe pas au contrôle : dix sanctions concernent des opérations de démarchage. La CNIL rappelle que la prospection électronique requiert le consentement, qu’il s’agisse d’envoi direct ou de transmission des données à des partenaires. Elle a aussi sanctionné cinq candidats aux élections européennes et législatives de 2024, en soulignant l’obligation de pouvoir prouver la licéité des messages envoyés.

À côté des sanctions, 143 mises en demeure structurent la prévention sous contrainte. Plusieurs concernent l’aide sociale à l’enfance, avec des manques sur la conservation des dossiers de mineurs, l’information des personnes, la gestion des habilitations et des mots de passe, la tenue du registre des traitements, ou encore la réalisation d’une analyse d’impact. D’autres visent des sites qui déposaient des traceurs sans offrir un refus simple, ou sans respecter le retrait du consentement. Enfin, des applications mobiles et des jeux en ligne, dont une part importante des usagers sont mineurs, ont été mis en demeure de renforcer le contrôle de l’âge et d’améliorer la transparence.

Dans tous les cas, la CNIL verrouille un principe souvent oublié : les amendes, qu’elles touchent le public ou le privé, sont recouvrées par le Trésor public et versées au budget de l’État.

Au fond, ce bilan 2025 décrit une même logique de cyber-renseignement : réduire les angles morts de la donnée, là où se nichent à la fois le risque d’attaque et la tentation de surveiller.

Cybersécurité, loi, Securite informatique

Cybersécurité : la stratégie nationale 2026-2030 dévoilée

Jeudi 29 janvier, au Campus Cyber de Nouvelle-Aquitaine à Bordeaux, le Gouvernement a rendu public son cap cybersécurité 2026-2030, sur fond d’attaques plus fréquentes et d’enjeux de souveraineté.

La ministre déléguée chargée de l’Intelligence artificielle et du Numérique, Anne Le Hénanff, a présenté le 29 janvier la Stratégie nationale de cybersécurité 2026-2030, aux côtés du directeur général de l’ANSSI, à Bordeaux. Le texte fixe la trajectoire de l’action publique face à l’intensification des menaces numériques et réaffirme la priorité donnée par le Premier ministre à la souveraineté, à la sécurité nationale et à la protection de la démocratie. Dans le prolongement de la Revue nationale stratégique de 2025, et d’une dynamique engagée dès 2018, la stratégie s’articule autour de cinq piliers et quatorze objectifs opérationnels.

Un cap 2026-2030 pour une menace qui monte

La scène choisie n’est pas neutre : un Campus Cyber, à Bordeaux, et une annonce portée à deux voix, celle d’Anne Le Hénanff et celle du directeur général de l’ANSSI. Jeudi 29 janvier, le Gouvernement a officialisé sa Stratégie nationale de cybersécurité 2026-2030 dans un climat décrit comme une intensification continue des menaces numériques. Le document, présenté comme structurant, cherche à transformer un constat anxiogène en plan d’action, en fixant le cap de l’État pour cinq ans.

L’axe politique est assumé : faire de la cybersécurité une priorité stratégique, au service de la souveraineté, de la sécurité nationale et de la protection de la démocratie. L’objectif affiché, sans détour, est de positionner la France comme une puissance cyber de premier plan, capable de protéger dans la durée citoyens, institutions, économie et infrastructures critiques face aux attaques. Dans cette formulation, on lit une double exigence : tenir sur la durée, et couvrir tout le spectre, du quotidien numérique des particuliers aux fondations vitales de l’État.

Le texte se place dans une continuité revendiquée. Il prolonge la Revue nationale stratégique de 2025, qui a fait de la cyber-résilience de la Nation un objectif stratégique, et promet d’en traduire les orientations en actions opérationnelles. L’exécutif inscrit aussi cette trajectoire dans une histoire plus longue, amorcée dès 2018 avec la Revue stratégique de cyberdéfense impulsée par le président de la République. Autrement dit, la stratégie 2026-2030 ne se présente pas comme un virage, mais comme une accélération, avec une ambition de mise en œuvre élargie, au-delà du seul cercle des spécialistes.

SERVICE DE VEILLE ZATAZ
Alerte piratage : savoir si vos données personnelles ont fuité.

Découvrir la veille
À partir de 0,06 € / jour
Activation rapide • Alertes prioritaires • Veille web, dark web et réseaux sociaux
Sans prestataire extérieur • 100 % souverain

Cinq piliers, quatorze objectifs, une logique de souveraineté

La charpente annoncée repose sur cinq piliers, déclinés en quatorze objectifs, tous orientés vers la résilience cyber de la Nation. Le premier pilier mise sur le facteur humain : faire de la France le plus grand vivier de talents cyber d’Europe. Cela passe par une culture de la cybersécurité installée dès le plus jeune âge et pensée comme inclusive, par des investissements dans l’ensemble de la formation en cybersécurité, et par un soutien à la dynamique des ressources humaines au niveau européen. Derrière ces formules, une réalité implicite : sans effectifs formés, la réponse technique et la défense collective restent fragiles.

Le deuxième pilier s’attaque au nerf de la guerre, la capacité à encaisser et à continuer : renforcer la résilience cyber de la Nation. Il est question de préparer le pays aux crises liées aux cyberattaques, de relever le niveau général de cyber-protection, et de simplifier les trajectoires permettant d’améliorer sa cybersécurité. L’idée est d’éviter une France à deux vitesses, entre structures capables d’investir et organisations laissées à elles-mêmes, avec des parcours plus lisibles pour progresser.

Le troisième pilier vise la menace elle-même : entraver l’expansion de la cybermenace. Le Gouvernement affirme vouloir activer tous les leviers pour décourager les agressions cyber et intégrer davantage les acteurs privés dans la cyberdéfense de la Nation. Ici, le message est autant opérationnel que dissuasif : réduire l’espace de manœuvre des attaquants, sans isoler l’État du tissu économique, souvent en première ligne.

Le quatrième pilier touche aux dépendances et au contrôle : garder la maîtrise de la sécurité des fondements numériques. La stratégie prévoit d’investir dans la sécurité des technologies numériques, de soutenir la structuration d’un marché européen des produits et services de cybersécurité, et de maîtriser les dépendances technologiques dans le champ de la sécurité numérique. Ce triptyque signale une volonté de cohérence : protéger, produire, et réduire les points de fragilité liés à des choix technologiques subis.

Enfin, le cinquième pilier projette cette ambition au-delà des frontières : soutenir la sécurité et la stabilité du cyberespace en Europe et à l’international. Il s’agit de promouvoir un cadre et une gouvernance internationale, d’agir en allié fiable au sein d’une communauté d’intérêt cyber, et de développer une capacité de cyber-solidarité. La logique est claire : la menace circule, la réponse doit coopérer.

Deux prises de parole encadrent le récit. Roland Lescure, ministre de l’Économie, des Finances, et de la Souveraineté industrielle, énergétique et numérique, relie cyber et compétitivité : « La cybersécurité est un enjeu déterminant pour l’avenir des entreprises et la souveraineté économique de notre pays. Je salue le travail mené par Anne Le Hénanff pour déployer une stratégie qui accompagne nos entreprises pour renforcer leur résilience face aux menaces, et leur offre un cadre qui leur permet d’innover pour devenir les leaders cyber de demain. » Anne Le Hénanff, elle, insiste sur la continuité politique et l’élargissement du cercle des acteurs : « Cette Stratégie nationale cybersécurité fixe un cap et prolonge l’engagement de la France sous l’impulsion du président de la République depuis 2018. Sous l’autorité du Premier ministre Sébastien Lecornu et avec Roland Lescure, j’ai à cœur de le mettre en œuvre en associant le Gouvernement mais aussi les entreprises, les collectivités territoriales et tous les citoyens. La cybersécurité ne doit plus être un sujet d’experts mais l’affaire de tous. »

Dans le champ cyber et renseignement, cette stratégie acte une évidence : la résilience se construit autant par l’anticipation collective que par la capacité à lire l’adversaire et à réduire ses marges d’action.

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes, chaque vendredi midi.

YouTube
WhatsApp
Google News
Autres

S’abonner à la NewsLetter ZATAZ
Cybersécurité, Entreprise, Fuite de données, Justice, loi, RGPD

La CNIL sanctionne une publicité ciblée sans consentement valable

Données de fidélité détournées, information défaillante et sécurité insuffisante, la CNIL inflige une lourde sanction financière pour rappeler les règles encadrant la publicité ciblée sur les réseaux sociaux.

En janvier 2023, la CNIL a mené plusieurs contrôles auprès d’une société utilisant les données de son programme de fidélité à des fins de publicité ciblée sur un réseau social. Depuis février 2018, les adresses électroniques et numéros de téléphone de plus de 10,5 millions de personnes avaient été transmis afin d’afficher des publicités personnalisées. À l’issue de l’enquête, la formation restreinte de la CNIL a prononcé une amende de 3,5 millions d’euros pour plusieurs manquements au RGPD et à la loi Informatique et Libertés. La décision, adoptée en coopération avec 16 autorités européennes, met en lumière les risques juridiques et cyber liés à l’exploitation des données marketing à grande échelle.

Une exploitation massive des données de fidélité

Les contrôles réalisés par la CNIL ont mis en évidence une pratique installée dans la durée. Depuis février 2018, la société concernée transmettait les coordonnées électroniques des membres de son programme de fidélité à un réseau social. Ces informations permettaient d’afficher des publicités ciblées visant à promouvoir les produits vendus par l’entreprise. Le traitement portait sur un volume très important de données, concernant plus de 10,5 millions de personnes.

À l’issue de l’enquête, la formation restreinte, organe chargé des sanctions, a estimé que plusieurs obligations essentielles n’étaient pas respectées. Elle a prononcé une amende de 3,5 millions d’euros, un montant justifié par la gravité des manquements et l’ampleur du public concerné. La décision a été prise en coopération avec 16 homologues européens, les données de résidents de ces pays étant impliquées.

La CNIL a également choisi de rendre publique sa délibération. Elle a considéré que la publicité ciblée sur les réseaux sociaux étant largement répandue, il était nécessaire de rappeler les règles applicables. L’autorité a toutefois estimé qu’il n’était pas utile de nommer la société, privilégiant une démarche pédagogique plutôt qu’exemplaire sur le plan réputationnel.

Consentement et information, des fondements fragilisés

Le premier manquement concerne l’absence de base légale au sens de l’article 6 du RGPD. La société invoquait le consentement recueilli lors de l’adhésion au programme de fidélité, lorsque les clients acceptaient de recevoir de la prospection par SMS ou par courrier électronique. Pour la CNIL, cet argument ne tient pas.

Le formulaire d’adhésion ne mentionnait pas la transmission des données à un réseau social à des fins de publicité ciblée. Les documents accessibles depuis le site web, notamment la politique de protection des données, étaient soit silencieux sur cette transmission, soit insuffisamment clairs quant à sa finalité. Le parcours d’accès à l’information était jugé complexe, empêchant toute compréhension réelle du traitement. Dans ces conditions, le consentement ne pouvait être ni explicite ni éclairé, contrairement aux exigences du RGPD.

L’autorité a également relevé un manquement aux obligations d’information prévues aux articles 12 et 13 du règlement. Les finalités des traitements n’étaient pas clairement associées à leurs bases légales. Certaines informations manquaient, comme la finalité précise de la publicité ciblée ou la durée de conservation des données. D’autres étaient erronées, notamment les mentions relatives aux transferts internationaux, encore fondées sur le Privacy Shield, pourtant invalidé.

Failles de sécurité et gouvernance défaillante

Au-delà des aspects juridiques, la CNIL a pointé des insuffisances techniques. Les règles de complexité des mots de passe des comptes utilisateurs ont été jugées trop faibles. L’autorité a rappelé que l’utilisation de la fonction de hachage SHA-256 ne garantit pas, à elle seule, un stockage sécurisé des mots de passe, exposant les comptes à des risques accrus en cas de compromission.

Un autre manquement majeur concerne l’absence d’analyse d’impact relative à la protection des données. Aucun AIPD n’avait été réalisée avant la mise en œuvre du ciblage publicitaire. Or, le traitement combinait un volume élevé de données et des opérations de croisement, susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes. Une analyse préalable aurait dû être conduite.

L’AIPD est un outil clé de conformité RGPD, à la fois juridique, organisationnel et technique, indispensable pour sécuriser les traitements de données à risque élevé. Il comprend la description détaillée du traitement et de ses finalités ; Analyse de la nécessité et de la proportionnalité ; Évaluation des risques pour les personnes et des Mesures prévues pour réduire ces risques (sécurité, gouvernance, procédures). Testez notre outil en ligne GRATUIT qui vous explique l’AIPD.

Enfin, la CNIL a relevé des violations des règles encadrant les cookies. Lors de la visite du site, onze cookies soumis à consentement étaient déposés avant tout choix de l’utilisateur. Même en cas de refus explicite, ces traceurs n’étaient ni supprimés ni désactivés, continuant à être lus en violation de la loi Informatique et Libertés.

Cette décision illustre une réalité du renseignement cyber, la conformité juridique, la sécurité technique et la transparence constituent un tout indissociable face aux usages intensifs des données personnelles.

CNIL, Transmission de données à un réseau social à des fins publicitaires, 2026 : https://www.cnil.fr/fr/transmission-de-donnees-un-reseau-social-des-fins-publicitaires-sanction

Cybersécurité, Entreprise, IA, loi

Force technologique américaine, l’État recrute ses remplaçants

Après des coupes massives dans les équipes numériques fédérales, Washington lance une « Force technologique américaine ». L’initiative promet l’efficacité, mais déplace le risque cyber vers la dépendance, l’accès et les conflits d’intérêts.

Une note de l’Office américain de gestion du personnel (OPM) annonce la création de la « Force technologique américaine », après des réductions drastiques menées début 2025 par le DOGE d’Elon Musk. Selon le récit, des entités comme l’USDS, 18F et des équipes de la CISA ont été dissoutes ou amputées, dont une équipe « cyber » d’environ 100 personnes, tandis que l’IRS aurait perdu 2 000 professionnels IT et la SSA fermé son bureau de modernisation. Le nouveau programme recruterait des « chercheurs » pour deux ans, encadrés par des cadres issus du secteur privé, avec des partenaires cités comme Anduril, Palantir, OpenAI, Google, Microsoft et xAI. La bascule soulève des enjeux de gouvernance, d’audit et de souveraineté numérique.

Services numériques démantelés, sécurité fragilisée

Le fil rouge est celui d’une politique de rupture, puis d’un retour contraint à la réalité. Début 2025, le Département de l’efficacité gouvernementale (DOGE), dirigé à l’époque par Elon Musk, mène une campagne de réduction des effectifs dits « redondants » au sein du gouvernement fédéral. Le texte affirme que l’unité d’élite de transformation numérique, le Service numérique des États-Unis, a été particulièrement visée, avec la dissolution de l’USDS et de l’équipe 18F de la GSA. Même la CISA, pivot de la cybersécurité nationale, est touchée, avec le départ de centaines d’experts et la perte d’une équipe rouge (red team) de haut niveau composée d’environ 100 personnes.

L’impact décrit est celui d’une mécanique qui ne pardonne pas : licencier ne modernise pas un système, et renommer une structure ne maintient pas des serveurs. Le texte évoque des « données publiques » selon lesquelles l’IRS aurait perdu environ 2 000 professionnels IT durant cette période, tandis que la Social Security Administration aurait fermé son bureau de modernisation technologique, jugé comme un outil de « gaspillage« . La conséquence, telle qu’elle est racontée, est une inertie opérationnelle : projets stoppés, défenses affaiblies, et une capacité de simulation d’attaque réduite, précisément au moment où les systèmes fédéraux sont décrits comme obsolètes.

Un détail de gouvernance renforce ce constat : Elon Musk aurait reconnu que les actions de DOGE n’ont été que « partiellement fructueuses » et aurait indiqué qu’il y a des choses qu’il ne referait pas. Même sans chiffres supplémentaires, l’aveu vaut signal. Dans le renseignement cyber, la perte de compétences internes ne se mesure pas seulement en postes supprimés, mais en routines cassées : analyses, audits, exercices, et gestion fine des accès. Une « Red Team » n’est pas un luxe. C’est un dispositif de prévention, qui teste les angles morts avant qu’un adversaire ne les transforme en incident.

C’est dans ce contexte qu’intervient l’annonce de l’OPM sur la création de la « Force technologique américaine ». Le message implicite, presque ironique, est que l’administration a découvert un manque : après les coupes, « personne ne faisait le travail » (Sic!). La note attribuée à Scott Kupor, directeur de l’OPM, insiste sur une « qualité essentielle » qui aurait manqué aux structures précédentes. Vu de l’extérieur, la séquence ressemble à un effet boomerang : supprimer, rebaptiser, recruter.

Silicon Valley intégrée, dépendance et risque d’accès

La rupture la plus sensible n’est pas le retour du recrutement, mais la manière. Le programme décrit ne se contente pas de réembaucher des fonctionnaires. Il formalise une intégration profonde du secteur privé dans la conduite des projets. Les participants sont appelés « chercheurs« , pour un mandat de deux ans. Le texte précise que le recrutement s’affranchit d’exigences scolaires ou professionnelles traditionnelles, au profit d’une logique de « talent » plus large.

Surtout, la gouvernance projetée change de nature : l’équipe dirigeante serait composée de personnes issues du secteur technologique. Des partenaires sont cités, Anduril et Palantir, et des géants comme OpenAI, Google, Microsoft et xAI seraient appelés à détacher des employés auprès d’agences fédérales pour piloter des chantiers d’IA, de modernisation des données et de développement d’applications. Le mécanisme décrit crée deux effets. D’abord, un circuit de mobilité : après deux ans au gouvernement, les entreprises participantes seraient incitées à recruter en priorité ces chercheurs, transformant l’État en vivier. Ensuite, une dépendance technique : quand des cadres d’un fournisseur guident un projet, les choix d’outils et d’architectures ont tendance à suivre la trajectoire du fournisseur.

Les inquiétudes évoquées se concentrent sur deux axes. Le premier est le conflit d’intérêts, lorsque des décisions de réduction d’effectifs et des choix technologiques peuvent se répondre. Le second est la cybersécurité, plus structurelle : peut-on bâtir une défense durable en s’appuyant sur des détachements courts, renouvelés tous les deux ans, alors que les équipes licenciées étaient décrites comme chevronnées ? Dans une administration, la sécurité tient à la mémoire : qui a accès à quoi, pourquoi, depuis quand, et comment on le retire sans casser l’opérationnel. Une rotation rapide complique l’audit, l’imputabilité et la maîtrise des privilèges.

Bref, passer d’un modèle d’ »ADN numérique » interne, incarné par USDS et 18F, à une reliance assumée aux géants technologiques. Pour le cyber-renseignement, le point critique est simple : plus l’accès et la gouvernance se privatisent, plus l’État doit durcir ses garde-fous, sinon la modernisation devient une surface d’attaque.

Cybersécurité, Espionnage Spy, IA, Justice, loi

Europol alerte sur le crime autonome à l’horizon 2035

Drones, robots sociaux, véhicules sans pilote : Europol décrit un futur où la machine sert autant à surveiller qu’à frapper. D’ici 2035, la criminalité pourrait devenir plus discrète, plus rapide, plus scalable.

Dans son rapport « L’avenir sans pilote : l’impact de la robotique et des systèmes autonomes sur les forces de l’ordre », Europol avertit que robots, drones et systèmes autonomes peuvent transformer la criminalité d’ici 2035. L’agence estime que l’usage criminel existe déjà et pourrait s’étendre à la contrebande, l’intimidation de masse, la fraude et l’exploitation sexuelle des enfants. Le document identifie quatre tendances motrices : convergence IA-technologies, essor industriel de la robotique, intégration sociale croissante et guerre comme accélérateur d’innovation. Europol envisage des scénarios incluant reconnaissance longue durée, attaques coordonnées contre infrastructures, manipulation via robots sociaux, et défis juridiques sur responsabilité et preuve.

Des machines pour voler, suivre, intimider

Europol ne parle pas d’un gadget de plus, mais d’un changement de décor. Dans « L’avenir sans pilote : l’impact de la robotique et des systèmes autonomes sur les forces de l’ordre », l’agence projette un monde où les machines se glissent partout, dans les rues, les entrepôts, les foyers, et deviennent des outils de crime aussi banals que le smartphone l’a été pour les escrocs. Catherine De Bolle, directrice exécutive d’Europol, pose le cadre : l’intégration des systèmes sans pilote dans des actes illégaux « est déjà une réalité », et la question n’est plus de savoir si ces technologies seront détournées, mais comment criminels et terroristes s’en empareront dans les prochaines années. Son parallèle avec Internet et les téléphones intelligents est un avertissement : les opportunités sont immenses, les angles morts aussi.

Le rapport attribue cette bascule à quatre forces. D’abord la convergence, l’IA mêlée au reste, capteurs, navigation, communications, fabrication. Ensuite l’expansion industrielle de la robotique, qui rend ces objets plus accessibles, plus variés, plus remplaçables. Puis l’intégration sociale, car la machine n’est plus cantonnée à l’usine, elle entre dans la vie quotidienne. Enfin la guerre, décrite comme moteur d’innovation, qui accélère la diffusion de méthodes et d’outils.

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, veille web & dark web, alertes et priorisation des risques pour votre entreprise.

  
DÉCOUVRIR LA VEILLE
A PARTIR DE 0,06€ PAR JOUR

À partir de là, Europol déroule des scénarios. L’un imagine des centres-villes confrontés à davantage d’attaques impliquant des robots, tandis que des travailleurs déplacés manifestent devant des entrepôts automatisés. La tension est double : choc économique et montée de délits, cybercriminalité, vandalisme, vol organisé. Les autorités, elles, doivent concilier l’efficacité d’un monde automatisé avec une exigence qui ne s’automatise pas : la confiance du public.

Europol insiste aussi sur une criminalité plus « fonctionnelle« . Des drones employés pour des vols. Des véhicules autonomes provoquant des blessures à des piétons. Et surtout la reconnaissance longue durée, le renseignement patient, effectué par des systèmes sans pilote capables de surveiller, de suivre, de collecter, au service d’intentions malveillantes comme ce fût le cas pour une tentative d’enlévement d’une professionnelle de la cryptomonnaie. Le fil conducteur est clair : l’autonomie abaisse le coût de la présence. On n’a plus besoin d’un guetteur humain en bas d’un immeuble si une machine observe à sa place.

Le rapport convoque également l’exemple des « drones de garage » popularisés par la guerre menée par la Russie contre l’Ukraine, avec une référence à l’opération « Toile d’araignée« , décrite comme une frappe coordonnée contre cinq bases aériennes russes majeures. L’enseignement, côté criminalité, est inquiétant : si des plans circulent et que des chaînes d’approvisionnement se structurent, des capacités jadis militaires peuvent devenir « assemblables », adaptables, et donc imitables.

Quand la vie privée s’efface, la loi vacille

Le scénario le plus anxiogène est celui d’une quasi-disparition de la vie privée. Europol imagine des systèmes assez puissants pour observer presque tout le monde, presque partout, presque tout le temps. Selon leur configuration, ils pourraient collecter des données à l’insu des personnes, sans consentement explicite. Dans un monde déjà saturé de capteurs, l’autonomie n’ajoute pas seulement des yeux, elle ajoute de la persistance, et donc une mémoire exploitable.

Le rapport pousse la fiction opérationnelle plus loin : de petites cellules extrémistes dotées de quadricoptères de poche guidés par IA et de drones sous-marins chenillés, construits à partir de plans CAO disponibles mondialement, avec blindage composite imprimé en 3D. Il évoque aussi des liaisons, anciennes fibres optiques enroulées ou lasers à impulsions courtes, qui rendraient ces machines presque invisibles jusqu’aux dernières secondes, ouvrant la voie à des attaques coordonnées contre des infrastructures critiques. Le message sous-jacent est une convergence des domaines : innovations militaires, criminalité, maintien de l’ordre, tout se mélange.

Ce brouillage pose des questions que les forces de l’ordre se posent déjà et qui deviendront quotidiennes. Comment « interroger » un robot ? Comment évaluer l’intention d’un humanoïde, ou reconstituer la cause d’un incident impliquant une voiture autonome ? Le problème n’est pas philosophique, il est probatoire. La machine produit des logs, mais qui les détient, qui les altère, qui les comprend, et selon quelles règles ?

Vient alors la question de la responsabilité. Si un système autonome enfreint la loi, qui répond ? Le propriétaire, le fabricant, le développeur, ou le système lui-même ? Europol estime que le droit actuel ne permet pas de trancher avec certitude. Face à ces menaces, les chercheurs recommandent une approche conjointe pour renforcer les capacités des forces de l’ordre, au niveau national et européen. Et le rapport renvoie aussi les entreprises à une obligation simple, mais rarement anticipée : intégrer la sécurité dès l’adoption de l’IA ou de la robotique, identifier les risques avant le déploiement, et les traiter avant qu’ils ne deviennent des usages criminels.

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.
S’abonner à notre NewsLetter

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres