Forum du club des d�veloppeurs et IT Pro - S�curit�

Vous avez oubli� votre mot de passe Google ? D�sormais, un selfie peut suffire pour vous connecter

Eliora — Mon, 27 Jul 2026 07:21:13 GMT

Vous avez oubli� votre mot de passe Google ? D�sormais, un selfie peut suffire pour vous connecter; ces vid�os permettent aussi de cr�er des avatars IA ou de v�rifier votre �ge

Google a pr�sent� une nouvelle option de connexion par selfie pour la r�cup�ration des comptes Google. Elle offre aux utilisateurs de Google un moyen alternatif d'acc�der � leurs comptes, en compl�ment des cl�s d'acc�s, des contacts de r�cup�ration et d'autres m�thodes de connexion. Google recommande aux utilisateurs de configurer plusieurs m�thodes de connexion afin d'�viter de perdre l'acc�s � leur compte. Gr�ce � la vid�o selfie, vous pouvez enregistrer un selfie pour acc�der � votre compte si vous n'avez pas acc�s � votre adresse e-mail ou � un appareil de confiance. Plusieurs niveaux de s�curit� sont mis en place pour emp�cher les tentatives d�usurpation d�identit�, telles que les photos et vid�os g�n�r�es par l�IA. Google pr�cise que les vid�os de selfie sont chiffr�es et stock�es en toute s�curit�, et qu'elles ne sont utilis�es que pour vous aider � vous connecter � votre compte.

Google LLC est une multinationale am�ricaine sp�cialis�e dans les technologies de l'information, la publicit� en ligne, les moteurs de recherche, la messagerie �lectronique, le cloud computing, les logiciels, l'informatique quantique, le commerce �lectronique, l'�lectronique grand public et l'intelligence artificielle (IA). Elle a �t� qualifi�e de � soci�t� la plus puissante au monde � par la BBC, et figure parmi les marques les plus valoris�es au monde. La soci�t� m�re de Google, Alphabet Inc., est souvent d�crite comme une entreprise du secteur des � Big Tech �.

R�cemment, Google a pr�sent� une nouvelle option de connexion par selfie pour la r�cup�ration des comptes Google. Elle offre aux utilisateurs de Google un moyen alternatif d'acc�der � leurs comptes, en compl�ment des cl�s d'acc�s, des contacts de r�cup�ration et d'autres m�thodes de connexion. Pour cr�er une vid�o � selfie �, vous devez regarder l'appareil photo de votre appareil, puis suivre les instructions de Google afin d'effectuer une s�rie de mouvements de t�te permettant de capturer plusieurs angles. La vid�o est enregistr�e sur votre compte et peut �tre utilis�e ult�rieurement si vous en avez besoin.

Google recommande aux utilisateurs de configurer plusieurs m�thodes de connexion afin d��viter de perdre l�acc�s � leur compte. Gr�ce � la vid�o selfie, vous pouvez enregistrer un selfie pour acc�der � votre compte si vous n�avez pas acc�s � votre adresse e-mail ou � un appareil de confiance. Google compare votre nouvelle vid�o selfie � celle enregistr�e sur le compte pour vous accorder l�acc�s. Plusieurs niveaux de s�curit� sont mis en place pour emp�cher les tentatives d�usurpation d�identit�, telles que les photos et vid�os g�n�r�es par l�IA.

Google pr�cise que les vid�os de selfie sont chiffr�es et stock�es en toute s�curit�, et qu�elles ne sont utilis�es que pour vous aider � vous connecter � votre compte, sauf si vous choisissez de � les partager � d�autres fins �. Les vid�os peuvent �tre supprim�es � tout moment. Les vid�os � selfie � ont d�j� fait l'objet de tests au Br�sil. Cette fonctionnalit� est r�serv�e aux comptes Google ; elle ne fonctionne pas avec les comptes Workspace, les comptes enfants ni les comptes inscrits au Programme de protection avanc�e.

Voici la nouvelle m�thode de connexion par selfie de Google :

D�couvrez la connexion par selfie : une nouvelle fa�on simple d'acc�der � votre compte Google

La vid�o � selfie � vous offre davantage d'options pour vous connecter, notamment si vous vous retrouvez bloqu� hors de votre compte ou si vous n'avez pas acc�s � votre t�l�phone ou � votre ordinateur habituel.

Votre compte Google contient de nombreuses informations pr�cieuses, qu�il s�agisse de photos qui vous sont ch�res, d�e-mails importants ou de documents essentiels. Nous veillons en permanence � ce que ces informations restent confidentielles, s�curis�es et facilement accessibles pour vous. C�est pourquoi nous vous recommandons de configurer plusieurs m�thodes de connexion. Aujourd�hui, nous ajoutons un nouveau moyen de vous connecter : la vid�o selfie.

La vid�o de selfie est une nouvelle fa�on d'acc�der � votre compte, qui vous offre davantage d'options si jamais vous vous retrouvez bloqu� ou si vous n'avez pas acc�s � votre t�l�phone ou � votre ordinateur habituel.

Comment configurer et utiliser la vid�o de selfie

La configuration d'une vid�o de selfie est simple : il vous suffit de regarder la cam�ra de votre appareil et d'effectuer quelques brefs mouvements de t�te guid�s pour capturer plusieurs angles. Si vous rencontrez des difficult�s pour vous connecter par la suite, il vous suffit de prendre un autre selfie pour retrouver l'acc�s � votre compte. La vid�o de selfie compare la nouvelle vid�o � celle que vous avez enregistr�e afin de confirmer qu'il s'agit bien de vous et de vous aider � retrouver l'acc�s � votre compte.

Con�u dans le respect de la vie priv�e et de la s�curit�

Votre vid�o de selfie vous appartient et vous en avez le contr�le. Elle est enregistr�e et stock�e en toute s�curit� avec votre consentement, et vous pouvez la supprimer � tout moment depuis votre compte Google. Elle sert uniquement � vous aider � vous connecter, sauf si vous choisissez de la partager � d�autres fins. Votre vid�o de selfie est chiffr�e au repos, ce qui signifie qu�elle est stock�e en toute s�curit� m�me lorsqu�elle n�est pas utilis�e.

Lorsque vous utilisez un selfie pour vous connecter, nous mettons en �uvre plusieurs niveaux de s�curit� afin de pr�venir les tentatives d�usurpation d�identit�, telles que l�utilisation de fausses photos et vid�os (par exemple, les � deepfakes �). Par exemple, nous comparons votre vid�o au selfie que vous avez enregistr� et vous demandons d�effectuer des mouvements simples pour prouver qu�il s�agit d�une vid�o en direct. Nous appliquons �galement nos pratiques de s�curit� standard pour d�tecter et pr�venir les tentatives de connexion suspectes.

Source : D�couvrez la connexion par selfie

Et vous ?

:fleche: Pensez-vous que cette m�thode de connexion est fiable et s�curis�e ?
:fleche: Quel est votre avis sur le sujet ?

Voir aussi :

:fleche: Google pr�sente les nouveaut�s en mati�re de s�curit� et de confidentialit� sur Android 17 en 2026, notamment l'extension de la d�tection des menaces en temps r�el et la confidentialit� de l'IA

:fleche: Google lance l'API Developer Knowledge et le serveur MCP pour un acc�s direct � la documentation officielle de Google, offrant aux d�veloppeurs et aux outils d'IA un acc�s lisible par machine

:fleche: Google AI Studio permet d�sormais � tout le monde de cr�er des applications Android : le vibe coding via des outils en ligne r�duit le processus de codage de plusieurs semaines � quelques minutes

Images attach�es

comment raccorder une application sans SSO � un IAM/PAM

dcrespin — Wed, 22 Jul 2026 12:25:01 GMT

Bonjour � tous

Je dois monter un projet IAM/PAM. La plupart des applications de l'entreprise supportent la connexion SSO.
J'ai 2 applications qui ne supportent pas le SSO (applications web legacy, techno non connu).
Faire �voluer les applications legacy n'est pas une option (techno ancienne, pas document�e)

Savez-vous comment raccorder une application sans SSO � un IAM/PAM (cloud native) ?
Faut-il d�velopper des connecteurs sp�cifiques ?

Je vous remercie.

Un pirate informatique revendique l�effacement de l'int�gralit� de la base de donn�es du cadastre roumain

Patrick Ruiz — Tue, 21 Jul 2026 12:54:34 GMT

Un pirate informatique revendique l�effacement de l'int�gralit� de la base de donn�es du cadastre roumain � la suite d'une attaque par ran�ongiciel infructueuse
L�incident a paralys� les transactions immobili�res du pays

Le 14 juillet 2026, l'Agence nationale du cadastre et de la publicit� immobili�re de Roumanie (ANCPI) a �t� la cible d'une cyberattaque majeure de type ran�ongiciel qui a paralys� le march� immobilier du pays. L'attaque a �t� revendiqu�e par un cybercriminel op�rant sous le pseudonyme de ByteToBreach.

L�auteur et le mode op�ratoire

L'attaquant a r�ussi � s'introduire dans le r�seau interne en utilisant des identifiants de connexion valides. Apr�s une phase de reconnaissance interne, il a d�ploy� un ran�ongiciel. Suite � l'�chec de sa tentative d'extorsion, le pirate informatique affirme avoir compl�tement effac� la base de donn�es centrale du cadastre ainsi que ses copies de sauvegarde.

Le pirate utilise une combinaison de plusieurs approches techniques : il exploite des vuln�rabilit�s connues dans les infrastructures cloud et d'entreprise, r�utilise des identifiants vol�s issus d'infostealers et d'attaques par hame�onnage, et recourt parfois � la force brute ou � des failles de configuration pour s'introduire dans les syst�mes. Une fois � l'int�rieur, il se concentre sur l'exfiltration de donn�es : dossiers des employ�s, bases de donn�es, sauvegardes et documents sensibles qui sont ensuite vendus ou divulgu�s publiquement pour �tayer ses affirmations.

#BREAKING | 🇷🇴 � Cyberattack Wipes Romania�s National Land Registry Database

A hacker has deleted Romania�s entire digital land registry database following a failed extortion attempt against the National Agency for Cadastre and Real Estate Publicity (ANCPI).

The incident,� pic.twitter.com/4l3EzjykZL
— The Global Eye (@TGEThGlobalEye) July 21, 2026

Cons�quences directes

L'application essentielle e-Terra (utilis�e pour l'enregistrement des propri�t�s) est totalement indisponible. Cela emp�che les notaires, les banques et les citoyens de finaliser les transactions immobili�res ou de consulter les registres fonciers.

Le pirate a mis en vente sur des forums criminels les donn�es personnelles des citoyens roumains ainsi que le code source des syst�mes de gestion de l'agence.

Les sites web officiels, les applications de l'ANCPI et leurs serveurs de messagerie �lectronique ont d� �tre mis hors ligne en urgence pour contenir la faille.

R�action des autorit�s

Au d�part, l'ANCPI a �voqu� un � incident technique majeur � avant de devoir confirmer publiquement la cyberattaque. Les �quipes techniques de l'�tat, appuy�es par les institutions comp�tentes en cybers�curit�, tentent actuellement de restaurer la s�curit� des syst�mes. L'agence affirmait initialement que les donn�es administr�es n'�taient pas compromises, bien que les revendications du hacker sur le Dark Web contredisent cette version.

Cette attaque aurait pu �tre �vit�e, d�apr�s des observateurs qui soulignent les n�gligences en mati�re de planification sur les aspects cybers�curit� li�s aux infrastructures informatiques

La passivit� pr�sum�e de l�ANCPI face � cette intrusion fait l�objet de vives critiques en Roumanie. Les d�tracteurs soulignent que l�auteur de la cyberattaque a b�n�fici� de nombreuses failles, l�ANCPI n�ayant en r�alit� pas beaucoup investi dans la cybers�curit�. Un m�dia local, Ziarul Financiar, a m�me qualifi� cet incident de � cons�quence d�un mod�le dans lequel la cyberd�fense est trait�e comme une annexe �.

L'institution aurait d�pens� 135 millions d'euros (154 millions de dollars) pour la num�risation au cours des 20 derni�res ann�es, mais seulement 0,2 % de ce montant, soit environ 305 000 euros (348 000 dollars), a �t� allou� � la cybers�curit�.

L'organisme roumain d�di� � la cybers�curit�, la Direction nationale de la cybers�curit� (DNSC), a �galement d�clar� avoir averti l'ANCPI des probl�mes li�s � ses mauvaises pratiques en mati�re de cybers�curit�. Le directeur de l�agence, Dan C�mpean, a m�me affirm� que la cyberattaque contre l�ANCPI n��tait pas tr�s complexe et aurait tr�s certainement pu �tre �vit�e. De plus, a expliqu� le DNSC, le pirate a exploit� � des vuln�rabilit�s dont nous les avions inform�s tout r�cemment �.

Enfin, le ministre roumain de l'�conomie par int�rim, Irineu Darău, a d�clar� � Digi24 que l'ANCPI aurait pu mener un travail de pr�vention beaucoup plus intensif pour �viter de telles attaques. � Chaque institution et sa direction doivent consid�rer la cybers�curit� comme une priorit� absolue. On ne peut jamais r�duire � z�ro le risque de cyberattaque, mais je pense que de nombreuses institutions, dont l�ANCPI, ont encore du chemin � parcourir en mati�re de pr�vention et de renforcement de la s�curit� de leurs propres logiciels �, a d�clar� M. Darău.

Pour le gouvernement, le moment est particuli�rement d�licat. La cyberattaque a frapp� l�ANCPI pr�cis�ment au cours des derni�res semaines, alors qu�il est encore possible d�acheter un logement avec une TVA de 9 %. La taxe sur les logements neufs passera en effet � 21 % � compter du 1er ao�t.

L'identit� du pirate informatique a �t� r�v�l�e

L'identit� du pirate informatique, dont le compte sur le dark web s'appelle � ByteToBreach � et qui a �galement pirat� le portail de l'administration en ligne su�doise plus t�t cette ann�e, a �t� d�voil�e.

La soci�t� de cybers�curit� KELA affirme d�sormais que l'auteur de la campagne � ByteToBreach � est probablement Zakaria Mahdjoub, un individu bas� � Oran, en Alg�rie.

Les chercheurs le d�crivent comme un � cybercriminel dot� de comp�tences techniques, qui vend des donn�es sensibles provenant du monde entier, issues de compagnies a�riennes, de banques et de gouvernements �.

ByteToBreach pourrait �galement �tre � l'origine de violations de registres gouvernementaux en Europe de l'Est, notamment en Slovaquie, en Ukraine, en Pologne et en Lituanie.

Sources : Communiqu� de presse de l'Agence nationale du cadastre et de la publicit� immobili�re de Roumanie (ANCPI), R�v�lations de KelaCyber sur l�identit� du pirate

Et vous ?

:fleche: Quelle �valuation faites-vous des mesures de protection des infrasctructures informatiques mises en place dans votre entreprise contre les cyberattaques ? Quels sont selon vous les mauvaises pratiques en mati�re de cybers�curit� qui ont cours dans les entreprises et qui ouvrent la voie � des attaques telle que celle subie par l'Agence nationale du cadastre et de la publicit� immobili�re de Roumanie (ANCPI) ?
:fleche: Partagez-vous les avis selon lesquels l'absence de prise en compte en amont des aspects cybers�curit� explique la survenue de telles attaques ?

Voir aussi :

:fleche: 48 % des consommateurs ne consid�rent pas que l'authentification biom�trique contribue � la confiance dans le monde en ligne, selon une enqu�te men�e par Incode Technologies

:fleche: Des chercheurs ont d�couvert comment contourner les verrous � empreintes digitales sur les t�l�phones Android avec une attaque par force brute, l'attaque serait inefficace sur les appareils iOS

:fleche: 74 % des consommateurs pr�f�rent se tourner vers la biom�trie pour �viter de se souvenir des mots de passe, et 51 % d�clarent r�initialiser un mot de passe au moins une fois par mois, selon Entrust

62 % des dirigeants fran�ais veulent durcir la r�glementation cyber, un record en Europe, selon Cohesity

Jade Emy — Fri, 17 Jul 2026 10:06:44 GMT

62 % des dirigeants fran�ais veulent durcir la r�glementation cyber, et la France est championne d'Europe en mati�re de cr�ation de postes de Chief AI Officer, d'apr�s Cohesity

Cohesity d�voile les r�sultats de sa nouvelle �tude europ�enne sur la cyber-r�silience men�e aupr�s de 300 PDG d�entreprises de plus de 500 employ�s en France, Allemagne et Royaume-Uni, dont 100 en France. Les conclusions pour la France r�v�lent une position unique en Europe : 62 % des dirigeants fran�ais estiment que la r�glementation en mati�re de cyberattaques devrait �tre renforc�e, soit pr�s du double du Royaume-Uni (34 %) et de l'Allemagne (34 %). Face aux nouvelles questions de gouvernance li�es � l�IA, plus d�un quart des r�pondants Fran�ais ont d�j� nomm� un Chief AI Officer dans leur comit� d�entreprise.

La directive NIS2 prend du retard dans son impl�mentation en France et le Cyber Resilience act a d�but� son entr�e en application depuis juin dernier. C'est dans ce contexte que Cohesity d�voile une �tude qui met en �vidence une position singuli�re des entreprises fran�aises face � la r�glementation cyber. Cette �tude r�alis�e aupr�s de 300 PDG d'entreprises de plus de 500 employ�s en France, Allemagne et Royaume-Uni, r�v�le un paradoxe fran�ais : 62 % des dirigeants fran�ais r�clament un durcissement de la r�glementation cyber, soit pr�s du double du Royaume-Uni (34 %) et de l'Allemagne (34 %). Pourtant, 36 % estiment que le soutien gouvernemental en mati�re de cyber-r�silience est insuffisant, un taux �galement sup�rieur � leurs voisins europ�ens.

L'�tude r�v�le aussi que la France est championne d'Europe en mati�re de cr�ation de postes de Chief AI Officer (26 % contre 11 % au UK et 4 % en Allemagne), illustrant une r�organisation profonde de la gouvernance face aux menaces cyber. Pour Olivier Savornin, Vice-Pr�sident Europe chez Cohesity � Cette double demande r�v�le une prise de conscience aigu� des risques, mais aussi un besoin de moyens concrets pour y faire face. La cyber-r�silience ne peut pas reposer uniquement sur des obligations l�gales, elle n�cessite �galement un �cosyst�me de soutien, de formation et de partage de bonnes pratiques. �

Une demande fran�aise de r�glementation deux fois sup�rieure � celle de ses voisins europ�ens

Alors que la directive NIS2 est entr�e en vigueur en janvier 2026, imposant des obligations strictes aux entreprises de plus de 50 salari�s, les organisations fran�aises se distinguent par leur app�tit pour un cadre r�glementaire encore plus contraignant. Seulement 31 % des r�pondants fran�ais jugent la r�glementation actuelle � r�aliste et atteignable � (contre 57 % au Royaume-Uni et 44 % en Allemagne). Un paradoxe, �tant donn� qu�ils sont le double de r�pondants � vouloir renforcer la r�glementation.

Cette demande intervient dans un contexte ou la grande majorit� (81 %) des r�pondants fran�ais d�clarent que la menace constante de cyberattaques impacte leur stress et leur bien-�tre. Par ailleurs, 35 % des r�pondants fran�ais citent la responsabilit� l�gale comme l'une de leurs principales pr�occupations personnelles en cas de cyberattaque, soulignant l'importance d'un cadre juridique clair et protecteur.

Plus de r�glementation, mais un soutien du gouvernement jug� insuffisant

Malgr� cette volont� d'un encadrement renforc�, 36 % des dirigeants estiment que les entreprises ne re�oivent pas un soutien suffisant et facilement accessible de la part du gouvernement ou des organismes publics en mati�re de cyber-r�silience et de restauration apr�s ransomware. Ce taux est sup�rieur � celui du Royaume-Uni (29 %) et de l'Allemagne (24 %).

� Les entreprises fran�aises expriment une attente forte : elles veulent un cadre r�glementaire plus strict, mais aussi un accompagnement renforc� pour �tre � la hauteur de ces exigences �, explique Olivier Savornin, Vice-Pr�sident Europe chez Cohesity. � Cette double demande r�v�le une prise de conscience aigu� des risques, mais aussi un besoin de moyens concrets pour y faire face. La cyber-r�silience ne peut pas reposer uniquement sur des obligations l�gales, elle n�cessite �galement un �cosyst�me de soutien, de formation et de partage de bonnes pratiques. �

Les entreprises fran�aises r�organisent leur gouvernance face � la menace cyber

Face � ces enjeux, les organisations fran�aises se distinguent �galement par leurs choix de gouvernance. La France affiche le taux le plus �lev� d'entreprises ayant confi� la responsabilit� de la politique d'int�gration de l'IA � un Chief AI Officer (CAIO) : 26 %, contre seulement 11 % au Royaume-Uni et 4 % en Allemagne. Cette cr�ation massive de postes d�di�s � l'IA illustre la volont� des entreprises fran�aises de structurer leur r�ponse face � l'�volution rapide des menaces.

De m�me, 35 % des r�pondants fran�ais d�signent le RSSI comme le premier interlocuteur en cas de cyberattaque, le taux le plus �lev� des trois pays europ�ens �tudi�s (21 % au Royaume-Uni et 9 % en Allemagne). Cette centralisation de la responsabilit� cyber rajoute une pression suppl�mentaire autour du RSSI.

Une singularit� fran�aise qui appelle � l'action

� La France se trouve � un moment charni�re �, poursuit Olivier Savornin. � Les entreprises ont compris que la cyber-r�silience est un enjeu strat�gique majeur, elles structurent leurs �quipes en cons�quence et appellent � un cadre plus ambitieux. Mais cette dynamique ne pourra se concr�tiser que si elle s'accompagne d'un soutien public � la hauteur des ambitions affich�es, que ce soit en termes de formation, de partage de renseignements sur les menaces ou de ressources d�di�es aux PME. �

Cohesity recommande aux organisations de mettre en place une plateforme de s�curit� des donn�es unifi�e et aliment�e par l'IA, permettant de prot�ger, d�tecter, r�pondre et se remettre des menaces avec rapidit� et int�grit� dans un cadre Zero Trust, tout en s'appuyant sur un �cosyst�me de soutien public et priv� pour renforcer leur r�silience collective.

� propos de Cohesity

Cohesity prot�ge, s�curise et fournit des informations sur les donn�es mondiales. En tant que leader de la s�curit� des donn�es bas�e sur l'IA, Cohesity aide les organisations � renforcer leur r�silience, � acc�l�rer la r�cup�ration et � r�duire les co�ts informatiques. Gr�ce � la s�curit� Zero Trust et � l'IA/ML avanc�e, Cohesity Data Cloud est approuv�e par des clients dans plus de 140 pays, dont 70 % du Global 500. Cohesity est �galement soutenue par des leaders du secteur tels que NVIDIA, Amazon, Google, IBM, Cisco et HPE.

Source : Cohesity

Et vous ?

:fleche: Pensez-vous que ce rapport est cr�dible ou pertinent ?
:fleche: Quel est votre avis sur le sujet ?

Voir aussi :

:fleche: L'AI Act est en place : les syst�mes d'IA pr�sentant un � risque inacceptable � sont d�sormais interdits dans l'UE, mais la Commission accuse des retards dans la d�finition des r�gles qui l'encadre

:fleche: Seulement 58 % des salari�s fran�ais d�clarent avoir d�j� utilis� l'IA au travail, tout en redoutant l'obsolescence de leur m�tiers, contre 66 � 73 % chez leurs voisins europ�ens

:fleche: Les d�fis de l'IA responsable : les outils d'IA tiers seraient la cause de 55 % des �checs de l'IA dans les entreprises, selon une �tude du MIT Sloan Management Review et le Boston Consulting Group

Images attach�es

Avec le report de NIS2 en France, anticipez-vous une bascule vers l'Open Source / Linux ?

cyber_autopsie — Wed, 15 Jul 2026 22:12:12 GMT

Bonjour � tous,

Avec l'actualit� r�cente et le �ni�me report de la transposition de la directive NIS 2 en France, beaucoup de gestionnaires de parcs et d'administrateurs se retrouvent dans le flou concernant la mise en conformit� de leurs infrastructures.

Pendant ce temps, de l'autre c�t� du Rhin au Schleswig-Holstein, les Allemands passent concr�tement � l'action en migrant 25 000 postes de Windows vers Linux afin de s'affranchir des GAFAM et d'anticiper les exigences de souverainet� europ�enne.

Chez nous, avec la doctrine � Cloud au centre � de l'ANSSI qui commence � bloquer Office 365 sur le public sensible, on sent bien que le vent tourne �galement.

J'ai synth�tis� ce cas d'�cole allemand ainsi que ses impacts directs sur nos infrastructures dans une courte vid�o d'une minute :

➡️ https://youtu.be/3ExMcqpbUBk?si=cGX2lGgcTLIrsuc1

De votre c�t�, commencez-vous d�j� � anticiper une bascule (partielle ou totale) de vos parcs vers l'open source pour anticiper la souverainet� num�rique, ou attendez-vous d'avoir les contraintes l�gales au pied du mur ?

Curieux d'avoir vos retours d'exp�rience et vos avis sur la question.

L'Iran a exploit� les failles de r�seaux mobiles obsol�tes pour localiser des militaires am�ricains

Jade Emy — Wed, 15 Jul 2026 18:10:34 GMT

L'Iran a exploit� les failles de r�seaux mobiles obsol�tes pour localiser des militaires am�ricains au Moyen-Orient, en tirant parti du syst�me SS7, un ensemble de protocoles destin�s aux r�seaux 2G et 3G

L�Iran aurait exploit� des failles dans les r�seaux de t�l�phonie mobile � travers le Moyen-Orient pour surveiller les d�placements du personnel militaire am�ricain et des sous-traitants pendant le r�cent conflit, selon un rapport du Financial Times. Le Financial Times indique que des responsables des services de renseignement et des t�l�communications des pays du Golfe soup�onnent l�Iran ou des groupes align�s sur T�h�ran d�avoir exploit� les accords d�itin�rance entre les op�rateurs de r�seaux mobiles r�gionaux pour identifier et surveiller les d�placements du personnel am�ricain.

Depuis avril 2026, les pirates informatiques iraniens ont intensifi� leurs cyberattaques contre Isra�l et les �tats-Unis, menant des op�rations destin�es � semer la peur, � recueillir des renseignements et � cibler des infrastructures sensibles. lors des r�centes attaques de missiles, des milliers de citoyens isra�liens ont re�u de faux SMS d'urgence les incitant � t�l�charger une application d'alerte factice susceptible d'exfiltrer des donn�es personnelles. D'autres messages laissaient planer la menace d'une destruction imminente. Selon les experts, les cyberop�rations de T�h�ran s'appuient actuellement sur plusieurs niveaux, allant des pirates informatiques contr�l�s par l'�tat � un r�seau de hacktivistes b�n�voles.

R�cemment, l�Iran aurait exploit� des failles dans les r�seaux de t�l�phonie mobile � travers le Moyen-Orient pour surveiller les d�placements du personnel militaire am�ricain et des sous-traitants pendant le r�cent conflit, selon un rapport du Financial Times. Le journal, citant des donn�es de t�l�communications issues du projet de recherche � Mobile Surveillance Monitor � et de multiples sources proches du dossier, rapporte que cette cybercampagne pr�sum�e a suscit� de nouvelles inqui�tudes � Washington quant � la s�curit� du personnel am�ricain d�ploy� dans la r�gion.

Selon cet article, les l�gislateurs am�ricains se sont dits alarm�s par les r�v�lations selon lesquelles des failles dans les syst�mes internationaux d�itin�rance mobile et dans les technologies publicitaires des smartphones auraient pu exposer les positions en temps r�el des troupes et des sous-traitants am�ricains op�rant dans des zones sensibles. Le Financial Times indique que des responsables des services de renseignement et des t�l�communications des pays du Golfe soup�onnent l�Iran ou des groupes align�s sur T�h�ran d�avoir exploit� les accords d�itin�rance entre les op�rateurs de r�seaux mobiles r�gionaux pour identifier et surveiller les d�placements du personnel am�ricain.

Une source proche du dossier a d�clar� au journal que les responsables du Golfe estimaient que des acteurs li�s � l�Iran avaient tir� parti des infrastructures de t�l�communications existantes plut�t que de s�appuyer uniquement sur des m�thodes traditionnelles de cyberespionnage. L�article cite �galement un responsable am�ricain anonyme affirmant que des acteurs li�s � l�Iran ont d�tourn� des bases de donn�es publicitaires pour smartphones disponibles dans le commerce afin de suivre les appareils mobiles appartenant au personnel am�ricain dans la r�gion semi-autonome du Kurdistan irakien.

Cette campagne de surveillance pr�sum�e souligne les inqui�tudes croissantes concernant l�utilisation grandissante de donn�es num�riques disponibles dans le commerce � des fins de collecte de renseignements et de ciblage militaire. Gary Miller, chercheur senior au Citizen Lab, un organisme de surveillance de la cybers�curit�, a d�clar� au Financial Times que l�Iran disposait de capacit�s sophistiqu�es pour obtenir des donn�es de localisation en temps r�el � partir d�appareils mobiles. � L�Iran dispose sans aucun doute des capacit�s n�cessaires pour obtenir des informations de localisation en temps r�el, imm�diates et continues �, aurait d�clar� Miller.

Il a ajout� qu�il serait surpris que T�h�ran n�exploite pas les vuln�rabilit�s du protocole SS7 (Signalling System No. 7) � un r�seau de signalisation des t�l�communications vieux de plusieurs d�cennies, largement consid�r� par les experts en cybers�curit� comme vuln�rable � l�interception et au suivi de localisation. � Je serais tr�s surpris si l�Iran n�utilisait pas le SS7, ou l�acc�s aux r�seaux mobiles de la r�gion, pour suivre les utilisateurs am�ricains �, a d�clar� Miller. Le SS7 est un protocole mondial de t�l�communications qui permet aux r�seaux de t�l�phonie mobile d��changer les informations n�cessaires � l�itin�rance, au routage des appels et � l�envoi de SMS.

Cependant, les experts en cybers�curit� avertissent depuis longtemps que les failles du syst�me peuvent permettre � des acteurs sophistiqu�s d�intercepter les communications, de surveiller la localisation des appareils et de mener des op�rations de surveillance.

Ce rapport intervient dans un contexte d�intensification des hostilit�s cybern�tiques entre l�Iran et les �tats-Unis, � la suite des r�cents affrontements militaires au Moyen-Orient. Cette op�ration pr�sum�e met �galement en �vidence les inqui�tudes croissantes au sein de l�arm�e am�ricaine concernant les risques pos�s par les donn�es de localisation disponibles dans le commerce, g�n�r�es par les applications pour smartphones et les plateformes publicitaires num�riques.

Selon le Financial Times, ces r�v�lations ont incit� les l�gislateurs � r�clamer � nouveau des mesures de protection plus strictes afin de pr�server le personnel militaire am�ricain de la surveillance num�rique et des op�rations de renseignement men�es par des moyens cybern�tiques. Ni les autorit�s iraniennes ni le minist�re am�ricain de la D�fense n�avaient comment� publiquement ces all�gations au moment de la publication du rapport. Le Financial Times a pr�cis� que ces affirmations s�appuyaient sur l�analyse de donn�es de t�l�communications et sur des entretiens avec des responsables et des experts au fait du dossier.

Cependant, en mars 2026, le Corps des gardiens de la r�volution islamique (CGRI) iranien a averti les entreprises technologiques am�ricaines, dont Google, Microsoft et Nvidia, que leurs bureaux et infrastructures pourraient devenir des cibles dans le conflit actuel avec Isra�l. Selon un rapport d'Al Jazeera, les infrastructures de ces entreprises situ�es dans certains pays du Golfe seraient li�es � des fins militaires et aux int�r�ts d'Isra�l. Cette menace survient alors que l'Iran �largit son champ d'action aux infrastructures critiques, en r�ponse � l'escalade du conflit r�gional.

Source : Financial Times

Et vous ?

:fleche: Pensez-vous que ce rapport est cr�dible ou pertinent ?
:fleche: Quel est votre avis sur le sujet ?

Voir aussi :

:fleche: Des pirates informatiques li�s � l'Iran ont r�ussi � cibler et � perturber plusieurs infrastructures critiques am�ricaines dans les secteurs du p�trole, du gaz et de l'eau, selon un avis f�d�ral

:fleche: L'Iran menace d'attaquer les g�ants am�ricains de la tech tels que Google, Apple et Microsoft � partir du 1er avril. T�h�ran leur reproche d'avoir mis leurs outils d'IA au service de la guerre en cours

:fleche: L'Iran menace d'endommager les c�bles Internet sous-marins en mer Rouge, ce qui aurait un impact consid�rable sur la vitesse d'Internet dans de nombreux pays � travers le monde

Microsoft confirme que Windows dispose d'un identifiant global de p�riph�rique impossible � d�sactiver

Patrick Ruiz — Mon, 06 Jul 2026 06:35:15 GMT

Microsoft livre au FBI l'identifiant unique GDID de Windows 11 pour faciliter l'arrestation d'un adolescent de 19 ans soup�onn� d'une s�rie d'attaques par ran�ongiciels

Un membre pr�sum� du groupe criminel d�nomm� � Scattered Spider � a �t� arr�t� en Finlande puis extrad� vers les �tats-Unis o� il doit r�pondre d'accusations f�d�rales de complot criminel devant le tribunal du district nord de l'Illinois. Son arrestation est le fruit d�une collaboration entre Microsoft et les autorit�s du syst�me judiciaire am�ricain (DoJ et FBI). L��diteur de Windows 11 s�est charg� de livrer au FBI l�empreinte num�rique n�cessaire � l�atteinte de cet objectif. D�avis de certains utilisateurs, c�est un brutal rappel de l�implication de Microsoft dans des activit�s de surveillance de masse.

Le minist�re am�ricain de la Justice (DOJ) a annonc� que Peter Stokes, �g� de 19 ans, d�tenteur d�une double nationalit� am�ricaine et estonienne et membre pr�sum� du groupe de cybercriminels � Scattered Spider �, a �t� extrad� de Finlande et inculp� dans le district nord de l�Illinois pour association de malfaiteurs, intrusion informatique et fraude.

Le groupe aurait encaiss� plus de 100 millions de dollars de ran�ons � la suite de plus de 100 intrusions. Le seul fait qui lui est reproch� dans l�acte d�accusation est une intrusion commise en mai 2025 chez un joaillier de luxe, pour laquelle une ran�on de 8 millions de dollars avait �t� exig�e mais n�a pas �t� vers�e.

Stokes se retrouve devant les tribunaux am�ricains gr�ce � la coop�ration internationale, en l�occurrence avec le Bureau national d�enqu�te finlandais et une notice rouge d�Interpol. Cette affaire s�inscrit dans le cadre de l�op�ration Riptide, la campagne du FBI qui, selon le Bureau, vise � r�pondre aux plus de 20 milliards de dollars de pertes li�es � la cybercriminalit� signal�es aux �tats-Unis l�ann�e derni�re.

Today, the FBI and DOJ announced the arrest of Peter Stokes, an alleged member of the criminal cyber hacking group Scattered Spider, who was extradited to the U.S. to face federal conspiracy, cyber intrusion, and fraud offenses. Stokes was arrested by Finnish authorities in April� pic.twitter.com/8XdfFoufFK
— FBI Cyber Division (@FBICyberDiv) July 1, 2026

Microsoft a fourni l�empreinte num�rique (l'identifiant unique GDID de Windows 11) n�cessaire � l�arrestation de l�adolescent soup�onn� d�une s�rie d�attaques par ran�ongiciels

Cela a �t� possible en raison de ce que Peter Stokes faisait usage d�un ordinateur tournant sous Windows 11. L��quipe constitu� d��l�ments de Microsoft et du FBI s�est donc appuy�e sur le Global Device Identifier (GDID) de Windows qui est un code d'identification unique attribu� par le g�ant technologique � une installation sp�cifique du syst�me d'exploitation. Contrairement aux composants physiques, cet identifiant logiciel (qui agit comme une empreinte num�rique) permet de lier une machine aux services cloud et � la t�l�m�trie Microsoft.

L��quipe constitu� d��l�ments de Microsoft et du FBI a obtenu le GDID � partir de l'ordinateur du pr�sum� criminel qui a servi � cr�er un compte sur l'outil de piratage ngrok. Bien que le compte ait �t� cr�� partir d'une adresse IP VPN se terminant par .168, les registres de Microsoft indiquent que ce m�me GDID (6755467234350028) a acc�d� � la page d'inscription de ngrok exactement au moment o� le compte a �t� cr��, ce qui a permis d'�tablir un lien entre ce piratage et ses comptes personnels sur les r�seaux sociaux.

Les enqu�teurs ont utilis� ce GDID pour suivre et recouper toutes les informations de t�l�m�trie associ�es � cet appareil en particulier. En �tablissant des corr�lations entre le GDID et les adresses IP, les connexions � des comptes personnels (tels que Facebook ou Snapchat) et d�autres donn�es relatives � l�activit� sur Internet, le FBI a pu constituer une solide cha�ne de preuves reliant directement le suspect aux activit�s criminelles.

⚠️ UPDATE: New Court Files Reveal How Microsoft Helped the FBI Identify Peter Stokes "Bouquet" (Scattered Spider Member)

The court files reveal that Microsoft helped the FBI track Peter Stokes down using GDID � a Global Device Identifier, which is assigned to every Windows� pic.twitter.com/von0LsUuTy
— Com Feed (@thecomfeed) July 5, 2026

D�avis d�utilisateurs, c�est un rappel brutal de l�implication de Microsoft dans des activit�s de surveillance de masse et ce, dans un contexte o� les l�gislateurs souhaitent �tendre cette emprise en imposant la v�rification d��ge � tous les syst�mes d�exploitation, Linux y compris

the irony is they buried themselves trying to catch one kid

and now everyone knows the whole setup
— Yasu0x.hl🫀 (@yasu0x1) July 4, 2026

D�pos� le 13 avril 2026, H.R. 8250 a �t� introduit par le repr�sentant d�mocrate Josh Gottheimer (New Jersey) et la r�publicaine Elise Stefanik (New York), et renvoy� � la commission de l'�nergie et du commerce de la Chambre. Le texte officiel du projet n'�tait pas encore rendu public au moment de sa pr�sentation, ce qui n'a pas emp�ch� une couverture imm�diate et des r�actions en cascade dans la communaut� technique.

Gottheimer a pr�sent� cette initiative sous le nom de � Parents Decide Act �, la d�crivant comme une l�gislation bipartisane de bon sens destin�e � renforcer les protections en ligne pour les enfants et � donner aux parents un plus grand contr�le sur ce � quoi leurs enfants acc�dent depuis leurs t�l�phones, tablettes et autres appareils. Parmi les mesures annonc�es : obliger les d�veloppeurs d'OS � v�rifier l'�ge des utilisateurs lors de la configuration d'un appareil, permettre aux parents de fixer des contr�les de contenu adapt�s � l'�ge depuis le d�part, et s'assurer que ces param�tres circulent de fa�on s�curis�e vers les applications et plateformes d'intelligence artificielle.

Gottheimer a �galement soulign� que les enfants peuvent actuellement contourner les restrictions en saisissant simplement une fausse date de naissance pour acc�der � des applications qui ne leur sont pas destin�es, comme TikTok ou YouTube avant leur treizi�me anniversaire.

H.R. 8250 ne surgit pas du vide. Il s'inscrit dans une tendance l�gislative �mergente : le Colorado a adopt� SB26-051, qui oblige les OS � collecter des informations sur l'�ge lors de la configuration des comptes et � fournir des signaux relatifs � l'�ge aux applications. La Californie, quant � elle, a adopt� AB 1043, qui impose des syst�mes de segmentation par tranche d'�ge aux syst�mes d'exploitation et aux boutiques d'applications, avec une entr�e en vigueur pr�vue en janvier 2027.

En 2025, la moiti� des �tats am�ricains ont rendu la v�rification d'�ge obligatoire pour acc�der � des contenus pour adultes ou � des plateformes de r�seaux sociaux, et neuf �tats ont vu leurs lois entrer en vigueur au cours de la seule ann�e 2025, avec d'autres � venir en 2026.

H.R. 8250 franchit une �tape suppl�mentaire : l� o� les lois �tatiques cr�aient des mosa�ques d'obligations complexes pour les entreprises op�rant dans plusieurs �tats, un texte f�d�ral pourrait �tablir un cadre unifi� au niveau national. Bien que le projet en soit � ses d�buts et qu'il puisse �tre modifi� ou ne jamais aboutir, son d�p�t signale que la pression en faveur de la v�rification d'�ge a d�sormais atteint le Congr�s et cible directement les syst�mes d'exploitation.

Concr�tement, le dispositif envisag� fonctionne ainsi : les applications et sites web interrogeraient le syst�me d'exploitation pour obtenir des informations sur la tranche d'�ge de l'utilisateur courant. En l'absence de signal d'�ge fourni par l'OS, les applications basculent automatiquement vers les param�tres les plus restrictifs, traitant l'utilisateur comme un enfant quel que soit son �ge r�el.

System76, un fabricant sp�cialis� dans les machines Linux, a averti que les distributions Linux qui ne fournissent pas de signal de tranche d'�ge produiront un internet brid�. Les petites distributions open source, qui ne disposent pas des ressources des grands �diteurs, se retrouveraient face � des charges de mise en conformit� potentiellement insurmontables et expos�es � des amendes pouvant atteindre 7500 dollars par infraction.

Cette architecture soul�ve une question technique fondamentale : qu'est-ce qu'un � fournisseur de syst�me d'exploitation � au sens de la loi ? S'agit-il uniquement d'Apple, Microsoft ou Google ? Ou bien d'un mainteneur b�n�vole d'une distribution Debian ? La r�ponse conditionnera enti�rement la port�e pratique du texte.

Source : DoJ (communiqu� de presse)

Et vous ?

:fleche: Partagez-vous les avis selon lesquels cette affaire illustre beaucoup plus le degr� de surveillance de masse auquel nous sommes expos�s en tant qu�utilisateurs de Windows ?
:fleche: Partagez-vous les avis selon lesquels ce cas n'apporte rien de nouveau quant � l'implication de Microsoft dans des activit�s de surveillance de masse et que ce qui est plut�t �tonnant est que les utilisateurs n'aient pas encore migr� en masse vers des solutions comme Linux qui offrent de meilleures garanties de protection de leurs donn�es ?
:fleche: Pour ou contre la v�rification d'�ge au niveau du syst�me d'exploitation ?

Voir aussi :

:fleche: L'application de v�rification de l'�ge de l'UE fait l'objet de critiques en raison de sa d�pendance � Google, l'utilisation de l'API Play Integrity soul�ve un d�bat sur la souverainet� num�rique de l'UE

:fleche: Le groupe qui milite en faveur de l'obligation de v�rification de l'�ge pour l'IA s'av�re �tre discr�tement soutenu par OpenAI, qui est � l'origine de la coalition � Parents & Kids Safe AI �

:fleche: Google utilisera l'apprentissage automatique pour estimer l'�ge d'un utilisateur � partir de son historique de navigation et d'autres donn�es, mais ces informations peuvent ne pas refl�ter son �ge r�el

Images attach�es

La Fondation Linux lance Akrites, pour prot�ger les logiciels open source contre les cybermenaces li�es � l'IA

Anthony — Fri, 26 Jun 2026 16:12:52 GMT

La Fondation Linux lance l'initiative Akrites, qui vise � coordonner la divulgation et la correction des vuln�rabilit�s des logiciels open source, alors que l'IA acc�l�re consid�rablement la d�couverte de ces vuln�rabilit�s

Alors que l'intelligence artificielle (IA) acc�l�re la d�tection des failles de s�curit�, augmentant ainsi le risque d'une exploitation plus rapide, la Fondation Linux a lanc� Akrites, une nouvelle initiative destin�e � coordonner la divulgation et la correction des vuln�rabilit�s au sein des projets open source. Soutenue par plusieurs grandes entreprises technologiques et organisations open source telles que Google, Anthropic ou l'OpenSSF, Akrites mettra en place un mod�le de r�ponse coordonn� ainsi qu'une �quipe d'intervention en cas d'incident de s�curit�, afin d'am�liorer le d�ploiement des correctifs et la gestion des vuln�rabilit�s avant leur divulgation publique.

La Fondation Linux (LF) est une organisation � but non lucratif cr��e en 2000 afin de soutenir le d�veloppement de Linux et les projets de logiciels libres. Elle a fusionn� avec le Free Standards Group en 2007. Depuis, la fondation a �volu� pour promouvoir des projets open source au-del� du syst�me d'exploitation Linux, en tant que � fondation des fondations � qui h�berge une grande vari�t� de projets couvrant des domaines tels que le cloud, les r�seaux, la blockchain et le mat�riel informatique.

La Fondation Linux, en collaboration avec une large coalition d'entreprises technologiques, d'institutions financi�res et d'organisations open source, lance l'initiative Akrites. Selon les organisateurs, l'IA a acc�l�r� le rythme de d�couverte des vuln�rabilit�s dans les logiciels open source � un point tel que le processus actuel de signalement et de correction des failles de s�curit� n'est plus suffisant.

� l�occasion de ce lancement, les participants ont publi� une lettre ouverte commune intitul�e � Nous d�pendons tous de l�open source. Nous le d�fendrons ensemble �. Ils y affirment que la s�curit� des projets open source largement utilis�s ne peut d�sormais �tre assur�e que par une approche coordonn�e.

Parmi les fondateurs figurent notamment Amazon Web Services, Anthropic, Cisco, Google, IBM, Microsoft, GitHub, NVIDIA, OpenAI, Red Hat, Vodafone et JPMorgan Chase. Des organisations telles que l�OpenSSF, la CNCF, l�OpenInfra Foundation et la Rust Foundation participent �galement � cette initiative.

Coordonner la s�curit� open source face � l'acc�l�ration des vuln�rabilit�s li�es � l'IA

Selon la Fondation Linux, l'open source constitue le fondement des syst�mes dans des secteurs tels que la finance, la sant�, l'�nergie, les t�l�communications, les transports et les services publics. Parall�lement, l'�mergence de mod�les d'IA avanc�s permet de d�tecter les vuln�rabilit�s beaucoup plus rapidement qu'auparavant.

Alors qu�auparavant, les chercheurs en s�curit� avaient besoin de plusieurs semaines pour d�tecter une vuln�rabilit� grave dans un grand projet open source, un mod�le d�IA � selon les organisateurs de l�initiative � est d�sormais capable d�y parvenir en quelques minutes seulement. Cela permet non seulement de r�duire le d�lai entre la d�couverte et l�exploitation de la faille, mais aussi d�abaisser la barri�re technique pour les pirates cherchant � exploiter de telles vuln�rabilit�s.

Avec Akrites, la Fondation Linux vise � �viter que des dizaines d�entreprises n�analysent ind�pendamment le m�me logiciel et n�inondent les �quipes de maintenance de rapports distincts. Selon les initiateurs de cette initiative, cela entra�ne une duplication des efforts, des correctifs contradictoires et des retards inutiles.

L'initiative met donc en place un point de coordination central et une �quipe commune d'intervention en cas d'incident de s�curit� (SIRT). Cette �quipe est destin�e � servir de point de contact unique pour les �quipes de maintenance et � coordonner la gestion des vuln�rabilit�s avant leur divulgation publique.

L'organisation insiste sur sa volont� de collaborer avec les d�veloppeurs d'origine des projets. Les mises � jour de s�curit� doivent, dans la mesure du possible, �tre r�int�gr�es dans le code source du projet d'origine. Lorsqu'un projet open source essentiel ne dispose plus de mainteneurs actifs, Akrites entend jouer temporairement le r�le de � mainteneur de dernier recours � afin de garantir que les mises � jour de s�curit� continuent d'�tre mises � disposition.

Mettre l'accent sur le d�ploiement rapide de correctifs pour lutter contre les failles de s�curit� exploit�es par l'IA

Les initiateurs du projet souhaitent non seulement se concentrer sur le d�veloppement de correctifs, mais aussi sur leur mise en �uvre plus rapide. D�s qu�une mise � jour de s�curit� est rendue publique, les pirates peuvent utiliser l�IA pour analyser rapidement la vuln�rabilit� sous-jacente et d�velopper un code d�exploitation. C�est pourquoi Akrites souhaite collaborer plus �troitement avec les administrateurs d�infrastructures critiques afin de d�ployer les mises � jour de s�curit� aussi rapidement que possible.

Le financement initial de cette initiative provient d�Alpha-Omega, un fonds de la Fondation Linux d�di� � la s�curit� des projets open source critiques. Par ailleurs, les organisations participantes apportent leur contribution sous forme de d�veloppeurs, de sp�cialistes de la s�curit� et de ressources financi�res. La Fondation Linux invite �galement d�autres organisations � rejoindre Akrites.

L'annonce de l'initiative Akrites intervient alors que la Fondation Linux poursuit la structuration de nouveaux cadres de collaboration technologique. En mars 2026, l'organisation a annonc� le lancement de l'OCUDU Ecosystem Foundation, destin�e � acc�l�rer l'innovation open source dans le domaine de l'AI-RAN. Cette initiative vise � mettre en place un centre de collaboration d�di� � la cr�ation, � la mise � l'�chelle et au maintien des actifs techniques du projet OCUDU, ainsi qu'� leur exploitation, afin d'�tablir une plateforme de r�f�rence pour les r�seaux d'acc�s radio (RAN), y compris les algorithmes et solutions bas�s sur l'IA.

Annonce de l'initiative Akrites par la Fondation Linux

Le 25 juin 2026, la Fondation Linux a annonc� sur son site le lancement d'une nouvelle initiative, Akrites, qui permet de coordonner la divulgation et la correction des vuln�rabilit�s des logiciels open source. L'annonce est pr�sent�e ci-dessous :

� La Fondation Linux, organisation � but non lucratif qui favorise l�innovation � grande �chelle gr�ce � l�open source, a annonc� aujourd�hui le lancement d�Akrites, une initiative sectorielle coordonn�e visant � renforcer la s�curit� des logiciels open source les plus critiques au monde � l��re de la d�tection des vuln�rabilit�s assist�e par l�IA. Soutenue par l�engagement de ses membres fondateurs � Amazon Web Services, Anthropic, Chainguard, Cisco, Citi, Endor Labs, Ericsson, Google, IBM, JPMorgan Chase, Microsoft, GitHub et NVIDIA, OpenAI, RapidFort, Red Hat, la Rust Foundation, Sonatype, Vodafone et Zscaler, cette initiative rassemble de grandes entreprises technologiques, des laboratoires d�IA, des institutions financi�res et des �diteurs de solutions de s�curit� autour d�une mission commune : coordonner la correction des vuln�rabilit�s dans les projets open source largement utilis�s avec les mainteneurs en amont, avant que ces vuln�rabilit�s ne puissent �tre exploit�es.

Les logiciels open source sont au c�ur de pratiquement toutes les composantes de l��conomie num�rique moderne, du secteur bancaire � la sant�, en passant par l��nergie, les transports, les t�l�communications et les administrations publiques. Akrites facilite la coordination entre les acteurs du secteur afin de soutenir et de prot�ger les utilisateurs d�infrastructures critiques et les consommateurs de l'open source. Auparavant, la d�tection et la correction de failles graves dans les logiciels open source exigeaient un niveau d�expertise comparable tant de la part des attaquants que des d�fenseurs. Aujourd�hui, des mod�les d�IA de pointe peuvent analyser un projet open source majeur et mettre en �vidence ses vuln�rabilit�s en quelques minutes. Une fois que ces capacit�s seront largement accessibles, les acteurs malveillants qui ne disposaient pas auparavant de l�expertise technique n�cessaire pour mener des attaques sophistiqu�es disposeront des outils dont ils ont besoin pour le faire rapidement.

Pour marquer ce lancement, les signataires fondateurs ont publi� une lettre ouverte commune adress�e au secteur des technologies, intitul�e � Nous d�pendons tous de l�open source. Nous le d�fendrons ensemble �.

Par le pass�, la r�ponse en mati�re de s�curit� reposait sur un ensemble disparate d�organisations travaillant souvent de mani�re ind�pendante sur les m�mes probl�mes, diffusant parfois des correctifs contradictoires ou submergeant les mainteneurs de signalements redondants. Akrites change ce mod�le. Cette initiative offre un espace unique et fiable pour la coordination, la correction et la divulgation, avec une �quipe SIRT commune qui sert de partenaire fiable aux mainteneurs, plut�t qu�un d�luge de rapports non coordonn�s. Akrites s�engage � collaborer avec les infrastructures critiques pour faciliter le d�ploiement des correctifs avant que les syst�mes vuln�rables ne puissent �tre cibl�s.

La confidentialit� est au c�ur de cette initiative. Les corrections de bogues sont r�int�gr�es dans le d�p�t d�origine de chaque projet, selon les conditions fix�es par les mainteneurs. Lorsqu�un paquet critique n�a pas de mainteneur actif, Akrites fera office de mainteneur de dernier recours afin que les corrections apport�es � la derni�re version parviennent � tous en temps utile. L�initiative assurera �galement la coordination avec les efforts men�s par les pouvoirs publics, afin que les acteurs publics et priv�s agissent de concert.

Alpha-Omega, un fonds g�r� par la Fondation Linux, apportera un financement de d�marrage pour soutenir Akrites. Les autres organisations qui apportent des ressources techniques ou un financement en faveur de la s�curit� des logiciels open source critiques sont invit�es � participer. Pour en savoir plus ou pour rejoindre l'initiative, rendez-vous sur https://akrites.org. �

Lettre ouverte adress�e au secteur des technologies

Le texte int�gral de la lettre ouverte adress�e par les fondateurs de l'initiative Akrites au secteur des technologies est pr�sent� ci-dessous :

� Depuis des d�cennies, l�open source est l�une des grandes r�ussites de la technologie : des logiciels que nous avons cr��s ensemble et dont nous sommes devenus totalement d�pendants. Aujourd�hui, ce code est � la base des infrastructures et des services essentiels mondiaux dont les gens d�pendent au quotidien : le secteur bancaire, les t�l�communications, les services publics et bien d�autres encore fonctionnent gr�ce aux m�mes biblioth�ques open source. Au fil des ans, le secteur a int�gr� l�open source dans l�ensemble de ses piles technologiques.

Mais le monde qui l�entoure a chang�. L�intelligence artificielle a boulevers� l��quilibre qui existait auparavant entre attaquants et d�fenseurs, modifiant ainsi les enjeux li�s � la facilit� d�utilisation et � la r�utilisation des logiciels. Auparavant, il fallait plusieurs semaines � un expert pour d�tecter une vuln�rabilit� grave dans un grand projet open source. Aujourd�hui, une machine y parvient en quelques minutes, et souvent, le mod�le d�IA identifie plusieurs vuln�rabilit�s en un seul passage. Cette m�me capacit� d�IA qui peut contribuer � renforcer la s�curit� de nos logiciels risque, entre de mauvaises mains, de transformer la d�couverte de vuln�rabilit�s en un v�ritable flux continu. En cons�quence, cela a d�j� acc�l�r� le cycle � un rythme qui d�passe rapidement la capacit� des mainteneurs � corriger ces vuln�rabilit�s. Il ne s�agit pas d�un risque futur th�orique. C�est la r�alit� actuelle de chaque syst�me dont nous sommes responsables.

Nous annon�ons aujourd�hui un plan visant � rem�dier � ce probl�me dans les logiciels open source critiques : Akrites est la plus grande initiative coordonn�e de l�histoire visant � cr�er des syst�mes et � d�ployer des outils qui tirent parti de la force collective de la communaut� pour renforcer la s�curit� de tous. Nous sommes rejoints par Amazon Web Services, Anthropic, Chainguard, Cisco, Citi, Endor Labs, Ericsson, Google, IBM, JPMorgan Chase, Microsoft, GitHub, NVIDIA, OpenAI, RapidFort, Red Hat, la Rust Foundation, Sonatype, Vodafone et Zscaler afin d�identifier, de corriger et de divulguer de mani�re responsable les vuln�rabilit�s des logiciels open source critiques, et de renforcer la s�curit� des infrastructures critiques qui en d�pendent.

Une part importante et croissante des technologies et des logiciels open source mondiaux dont nous d�pendons est construite � partir des m�mes composants, comporte les m�mes d�fauts latents et est d�sormais expos�e � une d�tection de plus en plus rapide. Aucun fournisseur ne dispose de remparts suffisamment hauts pour faire de ce probl�me celui de quelqu�un d�autre.

Auparavant, la gestion des incidents de s�curit� et la divulgation des failles impliquaient un ensemble disparate d�organisations et d��quipes, travaillant souvent sur les m�mes probl�mes et publiant parfois des correctifs contradictoires ou des rapports multiples. Dans ce nouvel environnement, agir sans coordination ne fera qu�aggraver le probl�me et faire perdre un temps pr�cieux.

Lorsque des dizaines d�entreprises analysent ind�pendamment la m�me biblioth�que et soumettent chacune un rapport, nous submergeons les mainteneurs sous un d�luge d�informations. Chaque acteur suppl�mentaire d�tenant une vuln�rabilit� non corrig�e augmente le risque qu�elle soit divulgu�e avant qu�un correctif ne soit disponible, ce qui accro�t le risque pour nous tous. Nous l�affirmons donc clairement : nous d�pendons tous de l�open source, et nous le d�fendrons tous ensemble.

Akrites incarne notre engagement � agir diff�remment et en amont, l� o� se trouvent les mainteneurs et o� nous pouvons r�pondre de mani�re proactive � cette nouvelle r�alit�. Cette approche offre un espace unique, confidentiel et fiable pour coordonner la d�tection, la correction et la divulgation, en �galant, voire en surpassant, la rapidit� des attaquants aid�s par l�IA. Une �quipe d�di�e et partag�e de r�ponse aux incidents de s�curit� offre aux mainteneurs un partenaire unique et pr�visible, au lieu d�une centaine de rapports disparates.

Alors qu�Akrites intervient en amont pour corriger les projets � la source, nous nous engageons � soutenir les efforts en aval visant � s�curiser les infrastructures critiques avant qu�elles ne puissent �tre exploit�es. Lorsque des correctifs sont rendus publics, les adversaires sont capables d�utiliser l�IA pour proc�der rapidement � une ing�nierie inverse des vuln�rabilit�s sous-jacentes, d�velopper des exploits et lancer des attaques. Le succ�s de nos efforts se mesurera donc au d�ploiement des correctifs, et non � leur publication. Nous travaillerons en partenariat avec les propri�taires et les op�rateurs d�infrastructures critiques, les initiatives de la soci�t� civile et les gouvernements, � mesure qu�ils renforcent leur coordination pour atteindre ces objectifs.

La confidentialit� n�est pas n�gociable : une faille non divulgu�e dans un paquet largement d�ploy� constitue, en effet, une arme, et le programme est con�u avant tout pour emp�cher les fuites. Les correctifs sont r�int�gr�s dans chaque projet, en collaboration avec les mainteneurs. Les ressources techniques et autres capacit�s fournies par les participants � Akrites contribuent � cet effort. De plus, lorsqu�un logiciel critique n�a plus de mainteneur, Akrites interviendra en tant que mainteneur de dernier recours afin qu�un correctif puisse tout de m�me parvenir � tous en temps voulu. Nous nous alignerons �galement sur les efforts du gouvernement afin que les acteurs publics et priv�s agissent de concert, plut�t que de mani�re disparate.

Les participants � Akrites apporteront des ressources d�ing�nierie, travailleront � l��laboration et � la diffusion des correctifs, ou financeront les ing�nieurs qui s�en chargent. Certaines entreprises ont d�j� apport� une contribution consid�rable. La r�alit� est que, collectivement, nous devons contribuer davantage.

Aujourd�hui, les signataires s�engagent � mobiliser des ressources concr�tes � des comp�tences en ing�nierie, une expertise en mati�re de s�curit� et des moyens financiers � afin de renforcer la s�curit� des logiciels que nous partageons. Nous avons b�n�fici� du travail remarquable accompli par les mainteneurs au fil des d�cennies. Dans le cadre de notre responsabilit� et de notre engagement envers l�open source, nous allons relever ce d�fi ensemble, en tant que partenaires, afin d�assurer la s�curit� de chacun d�entre nous.

Nous avons aujourd�hui l�occasion de prendre les devants face � la nouvelle r�alit� des risques de s�curit� li�s � l�open source, mais cette occasion ne durera pas �ternellement. Ensemble, nous pouvons faire face � ces nouveaux risques tout en laissant derri�re nous un h�ritage de soutien et d�engagement envers l�open source qui garantira la s�curit� des syst�mes technologiques mondiaux pour les ann�es � venir.

Corrigeons ensemble les failles du patrimoine commun. �

T�moignages de soutien � l�initiative Akrites

� Les mod�les d�IA de pointe ont permis aux responsables de la s�curit� de d�tecter et de corriger les vuln�rabilit�s des logiciels open source � une vitesse et � une �chelle jusqu�alors inimaginables. Il s�agit l� d�une opportunit� consid�rable pour les responsables de la s�curit�, et Akrites nous permet de la saisir ensemble. Les mainteneurs m�ritent un partenariat coordonn�, et non un d�luge de rapports. AWS s�engage � s�curiser les projets dont d�pendent nos clients et � construire cette infrastructure partag�e aux c�t�s de la communaut�. � � Matt Wilson, vice-pr�sident et ing�nieur �m�rite, Amazon Web Services

� Les projets open source constituent, dans leur ensemble, le fondement d�une grande partie d�Internet, et le mod�le actuel de divulgation coordonn�e n�est plus � la hauteur de la rapidit� avec laquelle l�IA est d�sormais capable de d�tecter les vuln�rabilit�s. Pour prendre les devants, le secteur doit coordonner ses efforts en mati�re de d�couverte des failles et mettre en place des correctifs en amont, avant que celles-ci ne soient divulgu�es et exploit�es. Des initiatives telles qu�Akrites favorisent ce niveau de coordination � l��chelle et � la vitesse qu�exige la situation actuelle. � � Jason Clinton, directeur adjoint de la s�curit� de l�information, Anthropic

� La solidit� de la cha�ne d�approvisionnement logicielle d�pend enti�rement de la qualit� de ses sources en amont, et nous constatons � quel point cette couche est en r�alit� fragile. � mesure que l�IA d�tectera davantage de vuln�rabilit�s, le secteur s�empressera de les corriger. Sans coordination, ces correctifs se disperseront entre diff�rents correctifs et branches, et les mainteneurs seront d�bord�s, injoignables ou n�auront pas touch� � un projet depuis des ann�es. Akrites offre au secteur un moyen coordonn� de corriger les vuln�rabilit�s en amont avant qu�elles ne soient exploit�es, tout en laissant le contr�le aux mainteneurs. Il s�agit d�sormais de s�assurer qu�il y ait toujours quelqu�un � l�autre bout pour les rep�rer. � � Dan Lorenc, PDG et cofondateur de Chainguard

� Autrefois, il fallait des semaines � un expert pour d�tecter une vuln�rabilit� grave dans un logiciel open source. Aujourd�hui, une machine y parvient en quelques minutes. Lorsque les mainteneurs perdent cette course, tout le monde en p�tit. Aucune entreprise, aucun mainteneur et aucun gouvernement ne peut combler cette lacune � lui seul. C�est pourquoi Cisco met � la disposition d�Akrites son infrastructure r�seau, son expertise en mati�re de s�curit� et ses d�cennies de contribution � l�open source : car les d�fenseurs ne peuvent pas se permettre de perdre, et on ne peut pas laisser les mainteneurs se d�brouiller seuls. � � Vijoy Pandey, vice-pr�sident senior et directeur g�n�ral d�Outshift by Cisco

� Les progr�s r�alis�s dans le domaine des mod�les d�IA ont consid�rablement r�duit les efforts n�cessaires pour d�tecter et exploiter les vuln�rabilit�s. En partenariat avec la Fondation Linux et le projet Akrites, Citi s�engage � soutenir l��cosyst�me open source en contribuant � la mise en place d�un cadre permettant d�identifier et de corriger les vuln�rabilit�s, ainsi que de partager les correctifs propos�s. Ax�e sur la s�curisation des infrastructures critiques, cette initiative constitue un �l�ment cl� de nos efforts visant � aider le secteur � att�nuer les menaces �mergentes. � � Al Tarasiuk, directeur de la s�curit� des syst�mes d�information, Citi

� Depuis des ann�es, nous sommes convaincus que la difficult� ne r�side pas dans la d�tection des vuln�rabilit�s, mais bien dans leur correction. L�intelligence artificielle a rendu cet �cart impossible � ignorer. Sur les milliers de vuln�rabilit�s open source valid�es qui ont �t� mises au jour ces derniers mois, moins de 5 % ont fait l�objet d�un correctif. Endor Labs est membre fondateur d�Akrites, car cette initiative est con�ue pour apporter la r�ponse dont nous avons besoin aujourd�hui : une correction coordonn�e en amont, g�r�e en toute confidentialit�, sous le contr�le des mainteneurs, afin qu�un correctif fiable parvienne � tous ceux qui d�pendent de ce code. � � Varun Badhwar, PDG et cofondateur d�Endor Labs

� La d�couverte des vuln�rabilit�s s'effectue d�sormais � un rythme qui submerge tant les mainteneurs des projets open source que les utilisateurs qui s'appuient sur eux. Le manque de coordination dans le signalement, la correction et la divulgation de ces vuln�rabilit�s cr�e des frictions, mettant ainsi en p�ril l'ensemble de l'�cosyst�me. Aucune organisation ne peut r�soudre ce probl�me � elle seule. C'est pourquoi Ericsson rejoint Akrites en tant que membre � Premier �, apportant des moyens financiers et des comp�tences � un effort commun visant � garantir la s�curit� et la p�rennit� des logiciels open source. � � Mikko Karikyt�, directeur de la s�curit� des produits chez Ericsson

� Alors que l�IA acc�l�re � la fois l�ampleur et la rapidit� de la d�tection des vuln�rabilit�s, la protection de l��cosyst�me open source n�cessite une r�ponse tout aussi rapide et coordonn�e. En rejoignant Akrites, nous associons l�engagement de longue date de Google en faveur de la s�curit� open source � une expertise � l��chelle du secteur afin de garantir que les vuln�rabilit�s soient d�tect�es, corrig�es et divulgu�es de mani�re responsable avant qu�elles ne puissent �tre exploit�es. Prot�ger les logiciels qui font fonctionner les infrastructures critiques mondiales est essentiel pour pr�server la confiance dans notre avenir num�rique. � � Heather Adkins, vice-pr�sidente de l�ing�nierie de la s�curit� chez Google

� L�open source est au c�ur des syst�mes sur lesquels nous comptons au quotidien : il fait fonctionner tout, des banques aux h�pitaux, en passant par les r�seaux �lectriques et les plateformes d�IA. Alors que les avanc�es de pointe en mati�re d�IA acc�l�rent la d�couverte des vuln�rabilit�s, le risque est devenu trop important pour qu�une seule organisation puisse y faire face seule. C�est pourquoi une approche �cosyst�mique est essentielle : elle rassemble la communaut�, les fournisseurs de technologies et les entreprises afin de garantir que les vuln�rabilit�s soient corrig�es � la vitesse requise aujourd�hui. � � Jamie Thomas, responsable de la s�curit� d�entreprise chez IBM

� L�IA a consid�rablement r�duit le d�lai entre la d�couverte d�une vuln�rabilit� et son exploitation, le ramenant quasi en temps r�el, ce qui signifie que nous devons �galement r�duire le d�lai entre la correction et le d�ploiement. C�est pourquoi, chez JPMorgan Chase, nous contribuons � mettre en place cette initiative visant � mesurer le succ�s du d�ploiement des correctifs, et non celui de leur publication. Nous soutenons un m�canisme qui permet aux op�rateurs en aval des infrastructures critiques de s�assurer que les correctifs parviennent aux syst�mes r�els avant que les attaquants ne puissent transformer les divulgations en exploits. Et en amont, nous devons aux mainteneurs un signal unique et fiable : des vuln�rabilit�s confirm�es, des correctifs propos�s et rigoureusement test�s, ainsi qu�un partenaire pr�visible en qui ils peuvent avoir confiance, plut�t qu�un d�luge de rapports redondants et contradictoires. � � Pat Opet, directeur de la s�curit� de l�information, JPMorganChase

� OpenSSF et Alpha-Omega ont d�montr� ce qu�il est possible de r�aliser lorsque le secteur s�unit pour renforcer la s�curit� de l�open source. Fort de notre exp�rience en tant que cofondateurs de ces organisations, nous avons cr�� Akrites afin de r�pondre au tournant d�cisif que repr�sente la d�tection et la d�fense contre les vuln�rabilit�s aliment�es par l�IA. En tant que membres fondateurs, Microsoft et GitHub apporteront leur expertise, leurs ressources et leurs technologies d�IA pour aider � identifier et � corriger de mani�re responsable les vuln�rabilit�s au sein de l��cosyst�me des logiciels open source dont d�pendent les clients et les organisations. � � Mark Russinovich, directeur technique d�Azure, directeur adjoint de la s�curit� de l�information et Technical Fellow chez Microsoft

� La transparence et la collaboration ouverte sont les principes qui permettent � la communaut� de la cybers�curit� d�assurer la s�curit� des infrastructures depuis des d�cennies. � l��re de l�IA, ces fondements open source n�ont jamais �t� aussi essentiels. L�IA open source est le moteur de l�innovation am�ricaine � et l�un de nos outils les plus puissants pour d�ployer l�IA avec la s�curit�, la confiance et la transparence n�cessaires pour alimenter cette r�volution industrielle. � � David Reber, directeur de la s�curit�, NVIDIA

� Le monde fonctionne gr�ce � l�open source, et assurer sa s�curit� est pour nous, chez OpenAI, un engagement � long terme. � travers Patch the Planet, nous mettons nos mod�les et nos ressources au service d�initiatives men�es par des experts qui aident les mainteneurs � valider les probl�mes et � mettre en place des correctifs. Nous sommes fiers de participer � Akrites afin de renforcer la coordination au sein du secteur et de contribuer � la protection des logiciels dont nous d�pendons tous. � � Clint Gibler, responsable de la cybers�curit�, OpenAI

� L�open source ne fonctionne que si nous veillons � ce que le travail reste ouvert, en amont, et accessible � tous ceux qui en d�pendent. La r�ponse � la crise des vuln�rabilit�s li�e � l�IA ne consiste pas � fragmenter l��cosyst�me derri�re des barri�res propri�taires ni � transformer les fondations communautaires en produits ferm�s. Il faut une rem�diation coordonn�e qui pr�serve l�int�grit� du logiciel d�origine, collabore avec les mainteneurs et restitue les correctifs au bien commun. Nous sommes fiers de soutenir l�initiative Akrites, qui correspond � notre conviction de renforcer l��cosyst�me open source de l�int�rieur, d�aider les organisations � r�duire les risques sans modifications inutiles du code, et de rendre les logiciels que nous partageons tous plus s�rs pour chacun. � � Mehran Farimani, PDG, RapidFort

� L�open source est le fondement de l�innovation logicielle moderne. La d�fense de ce fondement n�cessite une r�ponse coordonn�e de la communaut� en amont, capable de faire face aux menaces � grande �chelle. La participation de Red Hat � Akrites vise � renforcer cet �cosyst�me en amont. En collaborant ouvertement pour identifier et corriger les vuln�rabilit�s � la source, nous contribuons � b�tir une cha�ne d�approvisionnement logicielle plus r�siliente pour l�ensemble du secteur. � � Chris Wright, directeur technique et vice-pr�sident senior de l�ing�nierie mondiale chez Red Hat

� Depuis trop longtemps, la bonne volont� et le sens des responsabilit�s des mainteneurs en amont sont consid�r�s comme acquis dans les processus de r�ponse aux incidents de s�curit�. Akrites promet une coordination efficace avec ces mainteneurs, un soutien financier et une assistance � temps plein pour identifier, corriger et divulguer les failles de s�curit� de mani�re responsable, ainsi qu�un engagement sinc�re de la part des entreprises les plus influentes des secteurs de la technologie et de la finance pour r�soudre ce probl�me. La Fondation Rust se r�jouit de collaborer avec Akrites afin de d�velopper une s�curit� adapt�e � l�avenir. � � Rebecca Rumbul, directrice g�n�rale et PDG de la Rust Foundation

� Sonatype observe chaque jour le graphe des d�pendances du monde moderne. Un seul composant vuln�rable peut se retrouver au c�ur des syst�mes de milliers d�organisations, ce qui signifie qu�un seul correctif en amont peut r�duire le risque dans tout un �cosyst�me. L�IA peut certes faciliter consid�rablement la d�tection des vuln�rabilit�s, mais elle ne rend pas automatique la correction coordonn�e. Akrites est important car il offre au secteur un moyen confidentiel de mener ce travail en collaboration, en amont, avant que la m�me faille ne se traduise par des milliers d�incidents distincts. � � Brian Fox, cofondateur et directeur technique de Sonatype, et responsable de Maven Central

� Compte tenu de la capacit� croissante de l�IA � acc�l�rer la d�tection des vuln�rabilit�s, le moment est venu de nous unir et d�investir des ressources pour prot�ger les logiciels open source critiques dont d�pendent les t�l�communications et de nombreux autres secteurs. En tant que membre fondateur, Vodafone s�est engag� � apporter � la fois son expertise et son soutien financier � Akrites. Cette initiative commune permettra de mettre en place une approche coordonn�e � l��chelle du secteur afin d�identifier et de corriger de mani�re responsable les vuln�rabilit�s des logiciels qui font fonctionner les syst�mes dont d�pend le monde entier. � � Paul Hopkins, directeur de la strat�gie et de l�architecture cyber et informatique, Vodafone

� L�IA a boulevers� la vitesse des attaques et des d�fenses. Les vuln�rabilit�s peuvent d�sormais �tre d�tect�es � la vitesse des machines, ce qui signifie que les d�fenseurs doivent agir tout aussi rapidement. Akrites contribue � transformer cette vitesse en un avantage pour l��cosyst�me open source en identifiant les probl�mes plus t�t, en coordonnant les mesures correctives de mani�re responsable et en diffusant les correctifs en amont. Zscaler est fier d�en faire partie. � � Deepen Desai, vice-pr�sident ex�cutif et directeur de la s�curit� chez Zscaler

Sources : Fondation Linux, Lettre ouverte adress�e au secteur technologique

Et vous ?

:fleche: Quel est votre avis sur le sujet ?
:fleche: Trouvez-vous cette initiative de la Fondation Linux cr�dible ou pertinente ?

Voir aussi :

:fleche: La Fondation Linux annonce DNS-AID, un nouveau projet open source con�u pour permettre aux agents IA de communiquer entre eux et de se d�couvrir de mani�re standardis�e � l'aide du DNS

:fleche: La Fondation Linux lance le projet "Protocole Agent2Agent" afin de permettre une communication s�curis�e et intelligente entre les agents d'IA

:fleche: La Fondation Linux lance une division europ�enne pour encourager la collaboration et l'innovation dans le domaine des logiciels open source en Europe

Images attach�es

Les fonctionnaires US disposent d�sormais d'une appli mobile White House pour la propagande de Trump

Patrick Ruiz — Thu, 25 Jun 2026 09:19:33 GMT

Les fonctionnaires US disposent d�sormais d'une appli mobile White House qui s�installe automatiquement, qu'ils ne peuvent supprimer, qui traque leurs mouvements et qui sert d�outil de propagande � Trump

Les fonctionnaires am�ricains disposent d�sormais d�une application mobile White House qui s�installe automatiquement, qu�ils ne peuvent supprimer, qui traque leurs mouvements et qui sert d�outil de propagande � Donald Trump. C�est surtout sur ce dernier point qu�elle fait le plus l�objet de controverse �tant donn� l�installation obligatoire sur les appareils des fonctionnaires f�d�raux (non partisans) d�une application diffusant des messages � forte connotation politique et donc qui constituent une violation du principe de neutralit� politique au sein de la fonction publique f�d�rale.

En effet, des observateurs, parmi lesquels figurent d'anciens responsables du secteur technologique, affirment que la promotion de contenus partisans � comme la fonctionnalit� permettant de remplir automatiquement un message adress� au pr�sident avec la mention � Le plus grand pr�sident de tous les temps ! � � sur les appareils officiels du gouvernement f�d�ral constitue une violation de la loi Hatch, qui impose aux fonctionnaires de rester politiquement neutres.

L'application lanc�e en mars a �t� automatiquement install�e en mai sur les t�l�phones professionnels des employ�s du minist�re am�ricain de l'Agriculture, du d�partement d'�tat et du minist�re du Travail. Les fonctionnaires f�d�raux signalent qu'il est impossible de la d�sinstaller.

L�application comprend les publications du compte Truth Social de Trump, une rubrique � Actualit�s � regroupant des articles de Fox, Breitbart, Reuters, du New York Post et d�autres m�dias, ainsi qu�un bouton permettant d�� envoyer un SMS au pr�sident Trump � (avec la mention � Le plus grand pr�sident de tous les temps � pr� remplie).

Un rapport de d�compilation de cette application mobile fait �tat de ce qu�elle traque les mouvements des utilisateurs

Des captures d'�cran et le code d�compil� de l'application ont confirm� que celle-ci demande les autorisations de localisation Android pour acc�der � la localisation en avant-plan et en arri�re-plan, avec des intervalles de mise � jour de 4,5 minutes et 10 minutes, respectivement. L'application utilise One Signal, un service de notifications push bien connu qui collecte �galement des donn�es GPS toutes les 5 minutes afin de permettre l'envoi de messages cibl�s.

La liste des autorisations de l'application comprend :

Acc�s � la localisation pr�cise et approximative (uniquement en arri�re-plan)
Possibilit� de modifier le stockage partag�
Emp�cher la mise en veille du t�l�phone
Lire les notifications de badge
Afficher les connexions r�seau et le Wi-Fi
Utiliser le capteur d'empreintes digitales
Acc�s au microphone (utilisation active non pr�cis�e)

Le fait d'emp�cher le t�l�phone de passer en mode veille laisse supposer une volont� d�lib�r�e de maintenir un suivi continu de la localisation, ind�pendamment de l'activit� de l'utilisateur ou de l'�tat d'utilisation de l'application.

Des experts et des personnalit�s publiques pointent du doigt une surveillance de masse � la Chinoise via l�application qui est disponible en t�l�chargement sur les boutiques d�application Google et Apple

Plusieurs analystes ind�pendants ont soulign� que l'application du gouvernement disposait d�autorisations Big Brother � la Chinoise, laissant entendre une surveillance �tatique accrue, comparable � celle des r�gimes autoritaires.

De nombreux utilisateurs et commentateurs ont fait part de leurs r�serves et de leur indignation, notamment parce que ce niveau de surveillance �mane directement du gouvernement et non d'entreprises technologiques priv�es.

Certains consid�rent cette application comme une forme de logiciel espion gouvernemental plut�t que comme une simple application d'actualit�s, en raison de ses autorisations tr�s intrusives et de son suivi permanent. Sans d�tour, certains affirment que cette application ne diff�re en rien de MAX � l�application russe de surveillance de type � Big Brother �, pr�sent�e comme une alternative � WhatsApp, dans l'Ukraine occup�e.

White House : application mobile vibe-cod�e ?

Certains s�interrogent sur la capacit� des d�veloppeurs travaillant avec la Maison Blanche sur cette application � mener � bien une telle t�che.

Plusieurs rapports font �tat de ce qu�il semblait que le d�veloppeur de l�application manquait d�exp�rience en mati�re de programmation d�applications mobiles, compte tenu de ses mesures de cybers�curit� insuffisantes pour une application gouvernementale aussi m�diatis�e. L�application n�utilise ni obfuscation de code ni �pinglage de certificat, ce qui facilite la r�tro-ing�nierie de son code et de son trafic r�seau, et permet de d�tecter plus facilement ses vuln�rabilit�s.

D�apr�s les fichiers internes de l�application, le code indique qu�elle a �t� d�velopp�e par 45Press, une soci�t� de d�veloppement de sites web bas�e dans l�Ohio. Selon les informations relatives aux march�s publics, cette soci�t� s�est vu attribuer, le 6 f�vrier, un contrat de plus de 1,4 million de dollars pour soutenir les services en ligne de la Maison Blanche.

La biographie de l�entreprise sur X indique qu�elle propose � des services experts en d�veloppement WordPress, conception, h�bergement, e-commerce et bien plus encore ! � Mais elle ne mentionne aucun travail ant�rieur de d�veloppement d�applications.

Sources : White House (Communique de lancement), TheReallo Blog (notes technique sur la d�compilation de l�appli mobile White House)

Et vous ?

:fleche: Que pensez-vous de la mise � contribution de logiciels pour faire de la propagande personnelle ? Comment l�appliquez-vous au cas Donald Trump compte tenu de la fonction qu�il occupe et des lois pour lesquelles il est cens� montrer l�exemple en termes d�application ?
:fleche: Application White House : Surveillance de masse d�lib�r�e ou application vibe-cod�e ?

Voir aussi :

:fleche: L'IA peut �crire du code mais ne parvient pas � le comprendre, selon une �tude d'OpenAI. Test�s sur des t�ches r�elles de programmation, les mod�les les plus avanc�s n'ont pu r�soudre qu'un quart des d�fis

:fleche: � Jusqu'� 90 % de mon code est d�sormais g�n�r� par l'IA �, d'apr�s Adam Gospodarczyk, qui ravive le d�bat sur l'impact de l'IA et son aptitude � remplacer les humains dans la fili�re du g�nie logiciel

:fleche: Le � premier ing�nieur logiciel IA � loin d'�tre � la hauteur : Devin a un taux de r�ussite de 15 %. Des chercheurs notent que l'IA prend des jours pour faire des t�ches simples qui auraient pris des heures

Images attach�es

Les donn�es des utilisateurs du gestionnaire de mots de passe LastPass ont de nouveau �t� vol�es

Alex — Wed, 24 Jun 2026 19:06:19 GMT

Les donn�es des utilisateurs du gestionnaire de mots de passe LastPass ont de nouveau �t� vol�es par des pirates informatiques, notamment des informations sur les noms, les num�ros de t�l�phone et les e-mails

LastPass a r�v�l� une nouvelle fuite de donn�es r�sultant d�un incident de s�curit� chez Klue, un fournisseur tiers d�informations sur le march� int�gr� aux plateformes Salesforce et Gong de LastPass. L�incident, qui s�est produit d�but juin, a touch� plusieurs entreprises, dont LastPass. � ce stade, les donn�es consult�es se limitaient aux coordonn�es professionnelles et aux enregistrements de base de gestion de la relation client, tels que les noms des clients, leurs num�ros de t�l�phone, leurs adresses e-mail, leurs adresses postales, ainsi que des informations relatives aux dossiers d�assistance et de vente. Un jour de plus, une nouvelle fuite de donn�es pour le c�l�bre gestionnaire de mots de passe.

LastPass est une application de gestion de mots de passe. La version standard de LastPass est dot�e d�une interface web, mais comprend �galement une extension de navigateur, une application mobile et la prise en charge des bookmarklets. Fond� en 2008 par quatre d�veloppeurs, LastPass a �t� rachet� par GoTo (anciennement LogMeIn Inc.) pour 110 millions de dollars en 2015. LastPass s'est s�par� de GoTo pour devenir une entreprise ind�pendante en 2024.

LastPass est connu pour avoir subi d�importants incidents de s�curit� entre 2011 et 2022. Notamment, fin 2022, des donn�es d�utilisateurs, des informations de facturation et des coffres-forts (certains champs �tant chiffr�s et d�autres non) ont �t� compromis, ce qui a conduit de nombreux professionnels de la s�curit� � recommander aux utilisateurs de changer tous leurs mots de passe et de se tourner vers d�autres gestionnaires de mots de passe.

En d�cembre 2025, l'Information Commissioner's Office (ICO) du Royaume-Uni a inflig� une amende de 1,2 million de livres sterling � LastPass UK Ltd, apr�s avoir conclu qu'une double faille de s�curit� survenue en 2022 avait conduit � une violation majeure de donn�es exposant les informations personnelles de pr�s de 1,6 million d'utilisateurs britanniques. Bien que le chiffrement z�ro connaissance de l'entreprise ait permis de s�curiser les coffres-forts de mots de passe, les enqu�teurs ont d�couvert que des faiblesses dans les contr�les internes avaient permis � des pirates d'acc�der � des donn�es sensibles concernant les clients, telles que les noms, les adresses e-mail, les URL et les num�ros de t�l�phone stock�s. L'autorit� britannique a invit� toutes les entreprises du pays � � examiner leurs propres syst�mes afin de s'assurer qu'elles n'exposent pas leurs clients � des risques similaires �.

Un jour de plus, une nouvelle fuite de donn�es pour le c�l�bre gestionnaire de mots de passe. R�cemment, LastPass a r�v�l� une nouvelle fuite de donn�es r�sultant d�un incident de s�curit� chez Klue, un fournisseur tiers d�informations sur le march� int�gr� aux plateformes Salesforce et Gong de LastPass. L�incident, qui s�est produit d�but juin, a touch� plusieurs entreprises, dont LastPass. Au cours de son enqu�te, LastPass a d�couvert qu�une partie non autoris�e avait obtenu des jetons d�autorisation OAuth g�r�s par Klue pour plusieurs clients. � l�aide de ces jetons, l�acteur malveillant a pu acc�der aux donn�es clients que LastPass conservait au sein de son environnement Salesforce.

� ce stade, les donn�es consult�es se limitaient aux coordonn�es professionnelles et aux enregistrements de base de gestion de la relation client, tels que les noms des clients, leurs num�ros de t�l�phone, leurs adresses e-mail, leurs adresses postales, ainsi que des informations relatives aux dossiers d�assistance et de vente. LastPass a d�clar� qu�aucun �l�ment n�indiquait que les coffres-forts des clients, les principaux produits de l�entreprise ou son infrastructure aient �t� affect�s. De plus, aucune donn�e li�e � Gong n�a �t� consult�e lors de cette violation.

D�s qu�elle en a �t� inform�e, LastPass a mis en �uvre ses mesures correctives, notamment en renouvelant tous les jetons OAuth Klue expos�s et en restreignant tout nouvel acc�s. � la suite de ces mesures, LastPass conseille � ses clients de rester vigilants face � d��ventuelles tentatives d�hame�onnage ou d�ing�nierie sociale qui pourraient utiliser les coordonn�es divulgu�es.

Depuis l'incident de s�curit� de 2022, une question se posait : Est-il recommand� d'abandonner LastPass au profit d'une autre application de gestion de mots de passe ? Pour Jeremi Gosney, chercheur en s�curit�, il faut s'�loigner du gestionnaire � en raison de sa longue histoire d'incomp�tence �. M�me s'il avait l'habitude de d�fendre LastPass, il a d�clar� : � Ces derni�res ann�es, je me suis retrouv� incapable de d�fendre LastPass. Je ne me souviens pas s'il y a eu une faille particuli�re qui a fait d�border le vase, mais je sais que j'ai cess� de le recommander en 2017 et que j'ai totalement effectu� la migration en 2019. � Il affirme notamment que l'affirmation de LastPass de "z�ro connaissance" est un mensonge �hont�, et que LastPass a l'habitude d'ignorer les chercheurs en s�curit� et les rapports de vuln�rabilit�s.

Cette nouvelle r�v�lation rappelle un rapport de f�vrier 2026. Des chercheurs de l'ETH Zurich et de l'Universit� della Svizzera italiana ont notamment r�v�l� 27 vuln�rabilit�s dans quatre gestionnaires de mots de passe bas�s sur le cloud largement utilis�s qui pourraient permettre � des pirates d'acc�der aux coffres-forts contenant les identifiants ou de modifier les mots de passe stock�s. Les produits concern�s et le nombre de sc�narios d'attaque identifi�s dans la recherche comprennent Bitwarden, LastPass, Dashlane et 1Password. Les vuln�rabilit�s sont regroup�es en quatre domaines principaux : le d�p�t de cl�s, le chiffrement des coffres-forts, le partage et la r�trocompatibilit�.

Source : Rapport de LastPass

Et vous ?

:fleche: Pensez-vous que ce rapport est cr�dible ou pertinent ?
:fleche: Quel est votre avis sur le sujet ?

Voir aussi :

:fleche: LastPass, le gestionnaire de mots de passe, confirme que les pirates ont eu un acc�s interne � son syst�me, pendant quatre jours

:fleche: La derni�re violation de donn�es de LastPass a expos� certaines informations sur les clients. Le PDG Karim r�v�le que cette violation a eu lieu � partir d'informations recueillies en ao�t

:fleche: Les gestionnaires de mots de passe sont les nouvelles cibles des hackers : 25 % des logiciels malveillants ciblent d�sormais ces magasins de mots de passe, selon une nouvelle �tude de Picus Security

Images attach�es

Kaspersky alerte que Wallpaper Engine est utilis� pour diffuser des malwares aupr�s de millions d'utilisateurs

Anthony — Tue, 23 Jun 2026 12:13:13 GMT

Kaspersky avertit que l'application Wallpaper Engine a �t� utilis�e pour diffuser des malwares aupr�s de millions d'utilisateurs : des dizaines de fonds d'�cran malveillants ont �t� d�couverts sur Steam Workshop

Les chercheurs de Kaspersky ont mis au jour une campagne de logiciels malveillants ciblant des millions d�utilisateurs de Wallpaper Engine par le biais de fonds d��cran malveillants diffus�s sur Steam Workshop. Les pirates informatiques ont exploit� la fonctionnalit� de partage via Workshop de l�application pour dissimuler des malwares, notamment des portes d�rob�es, des infostealers, des ransomwares et des mineurs de cryptomonnaie, au sein des paquets de fonds d��cran. Cette campagne touche des utilisateurs du monde entier, la plupart des t�l�chargements ayant �t� enregistr�s en Chine. Bien que Steam ait supprim� les menaces connues, de nouveaux fichiers malveillants continuent d�appara�tre, mettant ainsi en danger les comptes et les syst�mes des joueurs.

Les chercheurs de Kaspersky ont identifi� une campagne de logiciels malveillants exploitant le contenu de Steam Workshop pour Wallpaper Engine, la c�l�bre application de fonds d��cran anim�s et vid�o, qui est �galement l�application non ludique la plus populaire de Steam, avec un nombre d�installations estim� entre 20 et 50 millions. Les pirates ont exploit� la fonctionnalit� � fond d'�cran d'application � de l'application, qui permet aux fonds d'�cran de s'ex�cuter comme des programmes Windows autonomes, afin de diffuser des paquets malveillants contenant des fichiers EXE, des DLL et des scripts dissimul�s parmi des fichiers de fonds d'�cran l�gitimes.

Certains paquets dissimulaient �galement des logiciels malveillants dans des archives prot�g�es par mot de passe, les mots de passe �tant inclus dans les noms des archives ou dans des fichiers de configuration JSON afin que des scripts puissent extraire automatiquement les charges utiles. Parmi les charges utiles signal�es figurent la porte d�rob�e DarkKomet, les infostealers Lumma et Vidar, le chargeur RenEngine, des mineurs de cryptomonnaie et des ransomwares.

Kaspersky indique que cette activit� semble impliquer plusieurs groupes criminels ind�pendants utilisant des m�thodes similaires, plut�t qu�un seul acteur malveillant. Il est � noter que bon nombre des exemples partag�s par la soci�t� semblaient comporter des fonds d'�cran repr�sentant des personnages f�minins de style anime. Les utilisateurs qui appr�cient cet univers ont donc tout int�r�t � v�rifier leur syst�me.

� Depuis fin 2025, un logiciel malveillant se propage rapidement via Steam Workshop, le service int�gr� � la plateforme de jeux vid�o permettant aux joueurs de cr�er et de partager du contenu personnalis� �, ont d�clar� les chercheurs de Kaspersky. � Les pirates ciblent principalement les joueurs en Chine et en Russie, dans le but de pirater leurs comptes. Pour y parvenir, ils exploitent Wallpaper Engine en tirant sp�cifiquement parti de sa fonctionnalit� de partage via Workshop. Le logiciel malveillant est dissimul� dans les packs de fonds d��cran que les utilisateurs se partagent entre eux. L'ex�cution de l'un de ces fonds d'�cran compromis peut entra�ner le vol du compte Steam ou infecter le syst�me de la victime avec des portes d�rob�es ou des mineurs de cryptomonnaie. �

Qu'est-ce que Wallpaper Engine ?

Wallpaper Engine est une application qui permet aux utilisateurs d�afficher des fonds d��cran anim�s sur leur bureau. Elle est disponible � la fois sur Windows et Android, bien que l'�tude de Kaspersky se soit strictement concentr�e sur la version Windows. Gr�ce � une immense communaut� Steam, l�application est tr�s populaire, avec environ 100 000 utilisateurs actifs quotidiens et pr�s d�un million d�avis. Elle int�gre un �diteur permettant aux utilisateurs de cr�er leurs propres designs, et prend en charge plusieurs types de fonds d��cran :

Vid�os : MP4, WebM et autres formats vid�o courants,
Sc�nes : fonds d��cran interactifs cr��s � l�aide de l��diteur int�gr� � l�application,
Pages Web : pages HTML utilisant JavaScript et CSS, pouvant �galement inclure des �l�ments audio et vid�o,
Applications : fen�tres actives issues de logiciels tiers compatibles avec Windows que Wallpaper Engine d�finit comme fond d��cran de l�utilisateur.

Selon Kaspersky, c'est avec ce dernier type, les fonds d'�cran applicatifs, que les choses deviennent risqu�es, car il s'agit essentiellement de programmes autonomes. Il peut s'agir aussi bien de mini-jeux auxquels les utilisateurs peuvent jouer directement sur leur bureau que d'agendas, de calendriers, d'outils de surveillance du syst�me ou de widgets permettant de suivre l'utilisation du processeur ou de la carte graphique.

Fonds d'�cran applicatifs : un risque de s�curit� inh�rent

Le concept m�me des � fonds d��cran applicatifs � permet, en substance, d�ex�cuter du code externe directement sur l'ordinateur d'un utilisateur. Les cybercriminels ont rep�r� cette fonctionnalit� et ont commenc� � int�grer des logiciels malveillants directement dans ce type de fonds d��cran. Comme Wallpaper Engine s�appuie sur Steam Workshop pour le partage de contenu, n�importe qui peut cr�er un fond d��cran et le publier afin que la communaut� puisse le t�l�charger et l�installer gratuitement. Naturellement, ce syst�me attire comme un aimant les acteurs malveillants.

Les chercheurs de Kaspersky ont d�couvert des dizaines de ces fonds d'�cran malveillants sur Steam Workshop, et chacun d'entre eux avait d�j� �t� t�l�charg� des milliers, voire des dizaines de milliers de fois.

Lorsque l'�quipe de Kaspersky les a analys�s, elle a identifi� deux m�thodes diff�rentes utilis�es par les pirates pour propager leur logiciel malveillant :

Une archive contenant le fond d'�cran ex�cutable ainsi que les fichiers malveillants. Cette charge utile se composait g�n�ralement de fichiers EXE compromis, de DLL ou de scripts malveillants.
Dans d�autres cas, les attaquants ont surpris leurs victimes en dissimulant le logiciel malveillant dans une archive prot�g�e par mot de passe. Soit la victime �tait amen�e � saisir le mot de passe, soit un script s�en chargeait automatiquement. Les attaquants cachaient le mot de passe � la vue de tous, soit directement dans le nom de l�archive, soit dans un fichier de configuration JSON install� en m�me temps que d�autres fichiers de fond d��cran. Pour toutes les autres variantes, la charge utile se d�clenchait automatiquement lorsque l�utilisateur s�lectionnait et appliquait le fond d��cran.

int�rieur d'un fond d'�cran de jeu infect�

Kaspersky a indiqu� qu'� premi�re vue, l'�chantillon de fond d'�cran ci-dessous, d�couvert en d�cembre 2025, semblait tout � fait inoffensif. Une fois lanc�, rien ne laisse pr�sager quoi que ce soit de suspect. Le jeu int�gr� d�marre sans probl�me, fonctionne sans accroc et les commandes du bureau r�pondent parfaitement.

�cran principal du fond d'�cran applicatif

Cependant, une infection � grande �chelle est en cours en coulisses. En l�espace de quelques minutes seulement, un utilisateur peut soudainement se rendre compte que son compte Steam a �t� pirat�, que son ordinateur est paralys� par un logiciel malveillant, que ses fichiers ont �t� chiffr�s par un ran�ongiciel ou que les performances de son syst�me sont en chute libre � cause d�un mineur de cryptomonnaie cach�.

Comment le logiciel malveillant s'installe

Selon les chercheurs de Kaspersky, une fois que le fond d'�cran du jeu s'ouvre, il installe directement dans le syst�me de la victime un fichier de porte d�rob�e appel� Synaptics.exe (appartenant � la famille de logiciels malveillants DarkKomet). Parall�lement, un fichier ex�cutable nomm� ._cache_GAME1.exe se lance pour d�marrer le jeu proprement dit, NTRaholic.

Mais ce module ._cache_GAME1.exe remplit une double fonction. Il installe simultan�ment une version personnalis�e d'une biblioth�que syst�me appel�e AggregatorHost.dll, qui contient une charge utile. Cette biblioth�que modifi�e a un objectif principal : localiser l'application Steam sur l'ordinateur et rechercher les identifiants de compte.

Recherche de l'application Steam

Ensuite, la biblioth�que modifi�e prend le contr�le de la session Steam en cours de l'utilisateur.

D�tournement de la session Steam

Par la suite, le fichier AggregatorHost.dll compromis envoie toutes les donn�es collect�es vers un serveur contr�l� par les pirates � l'adresse hxxp://120.48.156[.]17/ey.php. Une fois que les attaquants ont pris le contr�le de cette session active, ils peuvent utiliser le compte de la victime pour publier encore davantage de fonds d'�cran malveillants sur Steam Workshop.

Attribution et victimes

Le fond d��cran de jeu d�crit plus haut n�est qu�un exemple parmi les nombreuses variantes que l'�quipe de Kaspersky a d�couvert au cours de ses recherches. En d�tournant la fonctionnalit� de fond d��cran applicatifs, les cybercriminels ont r�ussi � diffuser pratiquement tous les types de logiciels malveillants existants, des infostealers et portes d�rob�es les plus courants aux mineurs de cryptomonnaie et chargeurs de botnets.

Kaspersky estime qu'il ne s'agit pas de l��uvre d�un seul cerveau, �tant donn� la grande diversit� des outils utilis�s. Selon la soci�t�, plusieurs groupes de pirates informatiques ind�pendants et dispers�s surfent tous sur la m�me vague.

T�l�chargements de fonds d'�cran malveillants par r�gion

L'�tude de Kaspersky indique que les principales cibles sont les joueurs chinois, car les styles graphiques et les titres des fonds d��cran sont sp�cialement adapt�s � ce public. Les donn�es confirment �galement que pas moins de 89 % des tentatives de t�l�chargement malveillantes proviennent de ce pays, bien que rien n�emp�che les attaquants de changer de cible et de lancer une campagne similaire dans n�importe quelle autre partie du monde. Selon Kaspersky, la Russie arrive en deuxi�me position en termes de nombre total de t�l�chargements avec 5,5 %, suivie d�une poign�e d�autres pays et territoires : Singapour (1,4 %), Hong Kong (0,9 %), l�Allemagne (0,9 %), le Vietnam (0,9 %), l�Inde (0,5 %) et le Canada (0,5 %).

L'�quipe de Steam a d�j� supprim� les fonds d'�cran et les liens malveillants identifi�s. Mais de nouveaux packs infect�s continuent d'appara�tre sur le Steam Workshop. Kaspersky recommande fortement d'effectuer une analyse antivirus sur ce type de fonds d'�cran avant de les appliquer.

Source : Kaspersky

Et vous ?

:fleche: Quel est votre avis sur le sujet ?
:fleche: Trouvez-vous les conclusions de cette recherche de Kaspersky cr�dibles ou pertinentes ?

Voir aussi :

:fleche: � R�fl�chissez avant de poser en faisant des signes de la main � : des experts en cybers�curit� mettent en garde contre le vol d'empreintes digitales � partir de photos o� l'on fait le signe � V �

:fleche: Le c�l�bre logiciel DAEMON Tools a �t� infect� : une attaque de la cha�ne d'approvisionnement est en cours depuis avril 2026 via les programmes d'installation distribu�s depuis le site officiel

:fleche: 60 % des mots de passe hach�s en MD5 pourraient �tre pirat�s en moins d'une heure � l'aide d'une seule carte graphique Nvidia RTX 5090, et 48 % en moins d'une minute, d'apr�s Kaspersky

Images attach�es

Ne leur montrez jamais votre visage : Une mise en garde sur la v�rification de l��ge et la surveillance

Alex — Tue, 23 Jun 2026 11:26:14 GMT

Ne leur montrez jamais votre visage, pourquoi la reconnaissance faciale impos�e au pr�texte de la v�rification de votre �ge repr�sente un �norme risque de s�curit�

Ils parleront de � s�curit� �. De � v�rification �. De � garantie d��ge �. D�un petit pas pour prot�ger les enfants. Mais si l�on va au-del� des mots, la demande est claire : avant de pouvoir parler, publier ou lire, vous devez d�abord prouver qui vous �tes. Et la seule fa�on qu�ils ont trouv�e pour y parvenir, c�est gr�ce � votre pi�ce d�identit� officielle, ou en pr�sentant votre visage devant une cam�ra qui d�cidera si vous �tes assez �g� pour �tre consid�r� comme digne de confiance.

Ces syst�mes fonctionnent gr�ce � la docilit�. Ils partent du principe que vous allez soupirer, t�l�charger la photo, puis passer � autre chose. Tout leur mod�le �conomique repose l�-dessus. C�est aussi leur point faible. Un mur de v�rification que personne ne v�rifie est un mur devant lequel personne ne se tient. Alors refusez. Refusez le scan. Refusez le t�l�chargement. Fermez les comptes qui l�exigent et expliquez-leur, par �crit, exactement pourquoi vous partez. Les plateformes ont bien plus besoin de vous que vous n�avez besoin d�elles. Vous pouvez vous passer du fil d�actualit�, elles ne peuvent pas se passer de leur communaut�. Ne vous soumettez pas d�avance. Le visage sur votre pi�ce d�identit� est la chose la plus immuable que vous poss�dez.

En avril 2026, des documents budg�taires confidentiels ont r�v�l� que le Department of Homeland Security d�veloppe des lunettes intelligentes destin�es � permettre aux agents f�d�raux d'identifier en temps r�el, dans la rue, toute personne figurant dans ses bases de donn�es biom�triques. Les ICE Glasses combineront reconnaissance faciale, analyse de la d�marche, et acc�s en temps r�el � des listes de surveillance. Le syst�me est d�crit comme une forme de mat�riel de r�alit� augment�e qui permettrait aux agents d'acc�der � des donn�es li�es � l'identit� tout en �tant sur le terrain.

Un projet qui s'inscrit dans une escalade de surveillance sans pr�c�dent aux �tats-Unis, o� des agents portent d�j� des Ray-Ban Meta lors d'op�rations d'immigration sans cadre l�gal explicite, sans consentement des personnes film�es, et presque sans r�action du Congr�s. La m�me technologie de reconnaissance faciale est utilis� par les plateformes en ligne pour la v�rification de l'�ge des enfants. Les syst�mes actuellement d�ploy�s par les plateformes sont, pour la grande majorit�, des mod�les d'estimation probabiliste. Ils estiment une tranche d'�ge � partir de caract�ristiques morphologiques captur�es en temps r�el, mais est beaucoup plus fragile. Les alternatives plus robustes sont la v�rification par document d'identit�, croisement avec une base de donn�es gouvernementale, authentification via un tiers de confiance)

Ces rapports montrent qu'ils veulent votre visage. Ils parleront de � s�curit� �. De � v�rification �. De � garantie d��ge �. D�un petit pas pour prot�ger les enfants. Mais si l�on va au-del� des mots, la demande est claire : avant de pouvoir parler, publier ou lire, vous devez d�abord prouver qui vous �tes. Et la seule fa�on qu�ils ont trouv�e pour y parvenir, c�est gr�ce � votre pi�ce d�identit� officielle, ou en pr�sentant votre visage devant une cam�ra qui d�cidera si vous �tes assez �g� pour �tre consid�r� comme digne de confiance. C�est ce dispositif qui est actuellement inscrit dans la loi sur trois continents, et vous �tes cens� l�accepter sans broncher. Ne le faites pas.

C�est toujours la m�me rengaine : � Mais personne ne pense aux enfants ?! �. Pourtant, cela concerne tout le monde.

Personne ne conteste qu�Internet puisse nuire aux enfants. Ce probl�me est bien r�el, mais il est exploit�. Voici le pi�ge : pour s�assurer qu�aucun enfant n�est pr�sent, un service doit contr�ler tout le monde. Chaque adulte passe par ce contr�le. Une loi r�dig�e � l�intention des jeunes de seize ans devient discr�tement une obligation d�identification pour l�ensemble d�Internet. On ne vous demande pas vos papiers parce qu�on vous soup�onne de quoi que ce soit. On vous demande vos papiers parce que cette v�rification est devenue le prix � payer pour acc�der � la vie sur le web.

Nous effectuons des v�rifications d�ant�c�dents sur les personnes qui souhaitent acheter une arme � feu, mais nous ne v�rifions pas les ant�c�dents de tout le monde � tout moment, juste au cas o�. Or, c�est exactement ce qui est pr�vu ici. Il s�agit d�un contr�le d�autorisation � l�entr�e de chaque conversation, appliqu� � tous, justifi� par une minorit�.

Ce n�est pas une v�rification d��ge. C�est une v�rification d�identit�.

Observez comment les mots d�rivent. Tout ce syst�me a �t� pr�sent� comme une garantie d��ge, ce qui est une question binaire : avez-vous plus de dix-huit ans ? Mais presque aucun de ces syst�mes n�est con�u pour r�pondre uniquement � cela. Ils sont con�us pour savoir qui vous �tes : votre nom, votre date de naissance, votre num�ro de pi�ce d�identit�, votre visage. Ce n�est pas du tout une v�rification d��ge. C�est un suivi d�identit� impos�. Votre identit� dans le monde r�el est non seulement captur�e par Meta, Facebook, Twitter, Instagram, etc., mais aussi largement partag�e avec toutes ces agences louches dont vous craignez d�j� qu�elles � d�tiennent toutes vos donn�es �.

Citation:

Citez les sites qui exigent d�sormais une � v�rification d��ge � et voyez combien d�entre eux accepteront un simple document officiel indiquant uniquement que vous avez plus de dix-huit ans � et rien d�autre. Presque aucun ne le fera. Parce que l��ge n�a jamais �t� le v�ritable enjeu.

Nous avons pass� une g�n�ration � enseigner aux gens la premi�re r�gle d�Internet : ne jamais r�v�ler sa v�ritable identit� � des inconnus. Nous avons m�me un terme, le � doxxing �, pour d�signer le fait d�imposer cette exposition � quelqu�un contre son gr�. Et aujourd�hui, ces m�mes gouvernements et plateformes demandent � chaque citoyen de le faire lui-m�me, volontairement, comme condition pour se connecter.

Vous pouvez changer un mot de passe. Vous ne pouvez pas changer votre visage.

Un mot de passe divulgu� est un d�sagr�ment. Vous le r�initialisez et passez � autre chose. Votre visage, votre permis de conduire, cette g�om�trie unique qu�un scanner r�duit � un num�ro, ne peuvent pas �tre r�initialis�s. Un scan facial n�est pas une photographie. C�est une carte en trois dimensions de vous-m�me, un mod�le biom�trique suffisamment pr�cis pour �tre recoup� plus tard avec l�image d�une cam�ra de surveillance install�e � un coin de rue. Lorsque vous le communiquez et qu�il est stock� sur le serveur de quelqu�un d�autre, souvent un prestataire tiers que vous n�avez jamais choisi, que vous ne pouvez pas nommer et auquel vous ne pouvez pas demander de rendre des comptes.

Chacune de ces bases de donn�es est un � honeypot �. Le service de v�rification promet que vos documents sont supprim�s d�s qu�ils ont �t� contr�l�s. Ils ne le sont pas toujours, et cette promesse ne vaut plus rien d�s le jour o� l�entreprise est victime d�une fuite de donn�es. Vous vous souvenez des cr�dits � IdentityGuard+ � d�Equifax, d�une valeur de 17,99 $, qui ne servaient � rien depuis vingt ans � cause de toutes ces fuites de donn�es ? Cela s�est d�j� produit, cela se reproduira, sauf que cette fois-ci, ce n�est pas votre e-mail, votre mot de passe hach�, ni m�me votre num�ro de s�curit� sociale. Ce sont votre visage et votre passeport qui sont � vendre sur le dark web.

Cela ne fonctionne pas � et cela aggrave le danger.

Et pour couronner le tout : ce syst�me �choue l� o� il fait la seule promesse qu�il tient. Les adolescents d�termin�s contournent les contr�les d��ge avec la m�me facilit� qu�ils respirent : un identifiant emprunt�, un VPN, une case � cocher, un compte v�rifi� achet� pour le prix d�un caf�. Quelques heures � peine apr�s le d�ploiement des tranches d��ge par une plateforme, des comptes pr�-v�rifi�s pour tous les �ges �taient d�j� en vente sur eBay. Les adolescents se frayent un chemin � coups de machette � travers les technologies con�ues pour les � prot�ger � ou les limiter, de la m�me mani�re que l�eau trouve les fissures dans un mur. Ils ont tout le temps du monde, toutes les motivations, ainsi que toute la structure sociale et les canaux de discussion obscurcis n�cessaires pour y parvenir.

Pire encore, l�architecture mise en place pour � prot�ger � les enfants peut les mettre en danger. En classant les utilisateurs dans des enclos �tiquet�s par �ge, non seulement on n�a pas r�ussi � arr�ter un pr�dateur, mais on a cr�� un r�pertoire d�enfants, un annuaire, un moyen de filtrer directement les enfants. Les adolescents �cart�s des plateformes grand public ne cessent pas de se connecter (voir le point sur l�eau ci-dessus). Ils se r�fugient dans des recoins plus petits, plus sombres et non mod�r�s, loin de la surveillance m�me qui �tait cens�e les prot�ger. Les enfants ne sont pas sauv�s. La surveillance est la seule chose qui reste intacte.

En s�curit� aujourd�hui, ??? plus tard

La base de donn�es que vous contribuez � constituer pour un gouvernement digne de confiance ne reste pas entre des mains dignes de confiance. Les gouvernements changent. Un registre qui se contente de r�pertorier qui vous �tes aujourd�hui devient, sous un futur gouvernement, une carte indiquant qui rechercher. Nous savons d�j� que les agences f�d�rales am�ricaines espionnent les citoyens � grande �chelle : qui a particip� � quelle manifestation, qui a lu quel forum, qui appartient � quel groupe. Les gens ont raison de craindre ce qu�un r�gime hostile ferait d�une liste toute pr�te. Les donn�es n�oublient pas, et elles ne prennent pas parti. Elles attendent simplement celui qui les d�tiendra ensuite.

Citation:

Internet dans son ensemble commence � ressembler � un lieu de travail : tout le monde a trop peur pour dire autre chose que des propos sans risque, de crainte qu�un vrai nom associ� � une opinion sinc�re ne leur co�te un v�ritable emploi.

Une position de principe

La plupart des gens s�en accommodent, en se basant sur les m�mes arguments fallacieux et maintes fois r�fut�s du type � je n�ai rien � cacher �, qui sont toujours ressortis dans ce genre de discussions. Les sondages r�v�lent qu�une majorit� �crasante souhaite que les enfants soient prot�g�s en ligne, et qu�une large majorit� se dit favorable � la v�rification de l��ge en th�orie.

Ce n�est pas un concours de popularit�, et le refus n�est pas un vote que vous essayez de remporter. Un syst�me de v�rification n�a pas besoin de votre approbation � il a besoin de votre participation. Il ne fonctionne que si presque tout le monde s�y conforme. Le but du refus n�est pas de persuader une majorit� avant d�agir ; il s�agit de priver le syst�me de la coop�ration universelle dont il a besoin pour fonctionner. Vous n�avez pas besoin de remporter le scrutin. Contentez-vous de ne pas t�l�charger la photo. Ne leur donnez jamais votre visage.

Si Starbucks vous demandait de scanner votre pi�ce d�identit� et de l�enregistrer dans une base de donn�es nationale pour vous vendre un latte, le leur donneriez-vous ? Non, car vous accordez plus d�importance � votre identit� qu�� votre latte. N�accordez-vous pas plus d�importance � votre identit� qu�� votre capacit� � voir un cousin quelconque publier ses opinions politiques r�pugnantes ou la photo du chien de quelqu�un ?

Je ne suis qu�un individu parmi d�autres

En th�orie, nous, simples internautes, pouvons mettre fin � tout ce syst�me en nous d�sengageant, en boycottant le processus. Imaginez un � Mois national du libre choix de l�identit� �, durant lequel personne n�utiliserait aucune plateforme exigeant de montrer son visage, personne ne se connecterait, personne ne verrait de publicit�s, personne n�ach�terait de projets sponsoris�s. Les plateformes subiraient des baisses massives de leurs revenus, et un lobbying intense s�exercerait pour faire abroger ces lois odieuses. Nous en sommes capables.

Le seul mot qu�ils ne peuvent pas contourner, c�est � non �.

Ces syst�mes fonctionnent gr�ce � la docilit�. Ils partent du principe que vous allez soupirer, t�l�charger la photo, puis passer � autre chose. Tout leur mod�le �conomique repose l�-dessus. C�est aussi leur point faible. Un mur de v�rification que personne ne v�rifie est un mur devant lequel personne ne se tient.

Alors refusez. Refusez le scan. Refusez le t�l�chargement. Fermez les comptes qui l�exigent et expliquez-leur, par �crit, exactement pourquoi vous partez. Les plateformes ont bien plus besoin de vous que vous n�avez besoin d�elles. Vous pouvez vous passer du fil d�actualit�, elles ne peuvent pas se passer de leur communaut�. Ne vous soumettez pas d�avance. Le visage sur votre pi�ce d�identit� est la chose la plus immuable que vous poss�dez.

Ne leur donnez jamais votre visage.

Citation:

� Je ne c�derai ni mon visage ni ma pi�ce d�identit� pour utiliser Internet. Je ne me soumettrai pas d�avance. �

En mars 2026, un rapport a confirm� ces craintes. Angela Lipps, 50 ans, n'avait jamais mis les pieds dans le Dakota du Nord. Elle n'avait jamais pris l'avion de sa vie. Pourtant, en juillet 2025, une �quipe de marshals am�ricains l'a arr�t�e � son domicile du Tennessee, pistolet au poing, pendant qu'elle gardait quatre jeunes enfants. La cause : un logiciel de reconnaissance faciale d�ploy� par la police de Fargo avait d�sign� cette grand-m�re de cinq petits-enfants comme la principale suspecte d'une s�rie de fraudes bancaires. Six mois de d�tention, une maison perdue, une voiture saisie, un chien abandonn�... et toujours aucune excuse de la part des autorit�s. L'affaire Lipps est devenue en quelques jours le symbole mondial des d�rives de l'intelligence artificielle (IA) et la reconnaissance faciale dans la justice p�nale.

Sources :

- Never Give Them Your Face
- EFF � 10 Not-So-Hidden Dangers of Age Verification (2025-12-10)
- Bloomberg � California Weighs Crackdown on Social Media for Kids Under 16 (2026-03-18)
- CNBC � Social media, child safety, and AI surveillance (2026-03-08)

Mis � disposition dans le domaine public sous licence CC0 1.0. N'h�sitez pas � le copier, l'imprimer, le r�imprimer et le distribuer.

Et vous ?

:fleche: Quel est votre avis sur le sujet ?

Voir aussi :

:fleche: Premi�re utilisation massive de la reconnaissance faciale pour distinguer citoyens et non-citoyens dans l'espace public : les agents am�ricains scannent les visages des passants pour v�rifier leur citoyennet�

:fleche: Identit�s num�riques et avenir de la v�rification de l'�ge en Europe : l'EFF lutte contre les mandats de v�rification de l'�ge parce qu'ils sapent les droits � la libert� d'expression des adultes et des jeunes

:fleche: Des enfants se dessinent de fausses moustaches pour tromper la reconnaissance faciale des r�seaux sociaux, et �a marche : un tiers des enfants britanniques contournent les v�rifications d'�ge en ligne

Images attach�es

La France va cesser de certifier les produits de s�curit� ne disposant pas d'un chiffrement quantique

Alex — Thu, 18 Jun 2026 07:52:08 GMT

L'ANSSI, l'agence fran�aise charg�e de la cybers�curit�, cessera de certifier les produits de s�curit� qui ne disposent pas d'un chiffrement r�sistant � l'informatique quantique

L'agence fran�aise de cybers�curit� cessera de certifier les produits de s�curit� ne disposant pas d'un chiffrement r�sistant � l'informatique quantique, une mesure qui devrait acc�l�rer l'abandon des anciens syst�mes de chiffrement au sein de l'administration et des infrastructures critiques. L�ANSSI, l�agence nationale fran�aise de cybers�curit�, a indiqu� que ce changement entrera en vigueur en 2027. Cette d�cision �tablit de fait un calendrier de retrait progressif des anciennes technologies de chiffrement dans certains des syst�mes les plus sensibles du pays. La d�cision de la France devrait �tre suivie de pr�s par d�autres gouvernements et r�gulateurs.

Les algorithmes de chiffrement prot�gent les informations �lectroniques confidentielles, qu'il s'agisse de messages �lectroniques, de dossiers m�dicaux ou d'�tats financiers, des personnes non autoris�es. Pendant des d�cennies, ces algorithmes se sont av�r�s suffisamment puissants pour se d�fendre contre les attaques utilisant des ordinateurs conventionnels qui tentent de d�jouer le chiffrement.

Cependant, un nouveau type d'appareil en cours de d�veloppement, appel� ordinateur quantique, pourrait casser ces algorithmes, rendant les secrets �lectroniques vuln�rables � la d�couverte. Pour contrer cette menace imminente, nous avons besoin de m�thodes de chiffrement capables de repousser les cyberattaques des ordinateurs classiques que nous connaissons aujourd'hui et des ordinateurs quantiques de demain. Ces nouvelles m�thodes sont appel�es algorithmes de chiffrement post-quantique.

Dans ce contexte, l'agence fran�aise de cybers�curit� cessera de certifier les produits de s�curit� ne disposant pas d'un chiffrement r�sistant � l'informatique quantique, une mesure qui devrait acc�l�rer l'abandon des anciens syst�mes de chiffrement au sein de l'administration et des infrastructures critiques. L�ANSSI, l�agence nationale fran�aise de cybers�curit�, a indiqu� que ce changement entrera en vigueur en 2027. Cette mesure signifie que les produits de s�curit� ne disposant pas d�un chiffrement r�sistant � l�informatique quantique ne recevront plus l�agr�ment de l�agence, indispensable � leur utilisation au sein des administrations fran�aises et des op�rateurs d�infrastructures critiques.

Cette d�cision �tablit de fait un calendrier de retrait progressif des anciennes technologies de chiffrement dans certains des syst�mes les plus sensibles du pays. Les entreprises sont �galement invit�es � n�acheter que des produits r�sistants � l�informatique quantique d�ici 2030, ce qui donne aux fournisseurs de technologies et aux grandes organisations une �ch�ance claire pour pr�parer leurs syst�mes.

Cette mesure refl�te les inqui�tudes croissantes concernant les risques de s�curit� � long terme pos�s par l�informatique quantique. Bien que les ordinateurs quantiques actuels ne soient pas encore assez puissants pour d�chiffrer � grande �chelle les syst�mes de chiffrement largement utilis�s, les agences de s�curit� se concentrent de plus en plus sur la menace que repr�sentent les futures machines, susceptibles de compromettre les protections actuelles.

L�une des principales pr�occupations est ce qu�on appelle le sc�nario � r�colter maintenant, d�chiffrer plus tard �. Dans ce sc�nario, les attaquants volent et stockent aujourd�hui des donn�es chiffr�es, puis attendent que les ordinateurs quantiques soient capables de briser le chiffrement utilis� pour les prot�ger. Cela est particuli�rement pr�occupant pour les dossiers gouvernementaux, les donn�es de sant�, le mat�riel de d�fense, les informations financi�res et autres donn�es sensibles qui doivent rester confidentielles pendant de nombreuses ann�es.

Le chiffrement post-quantique est con�ue pour prot�ger les syst�mes contre ce risque futur. Au lieu de s�appuyer sur des probl�mes math�matiques qui pourraient devenir vuln�rables face � de puissants ordinateurs quantiques, le chiffrement quantique utilise des algorithmes consid�r�s comme r�sistants aux attaques tant classiques que quantiques.

La politique fran�aise devrait avoir un impact significatif sur les fournisseurs pr�sents sur les march�s de l�administration, de la d�fense, des services publics, de la banque, des t�l�communications et des infrastructures critiques. Les fournisseurs souhaitant obtenir la certification de l�ANSSI devront d�montrer que leurs produits sont pr�ts pour l��re post-quantique, sous peine d��tre exclus des d�ploiements sensibles.

Cela incite �galement les organisations � commencer � recenser les utilisations du chiffrement au sein de leurs syst�mes. Pour les grandes entreprises et les administrations publiques, le d�fi ne consiste pas simplement � remplacer une technologie par une autre. Le chiffrement est int�gr� dans les r�seaux, les syst�mes d�identit�, les logiciels, les bases de donn�es, les plateformes de paiement, les services cloud, les appareils connect�s et les applications internes.

Cela signifie que la transition vers des syst�mes r�sistants � l�informatique quantique pourrait prendre des ann�es. Les organisations devront identifier les donn�es sensibles � long terme, examiner les d�pendances de chiffrement, mettre � jour leurs politiques d�achat, tester les nouvelles normes et s�assurer que les nouveaux syst�mes pourront s�adapter � mesure que la technologie post-quantique m�rira.

Le march� des produits de s�curit� r�sistants � l�informatique quantique est d�j� en pleine croissance. Les banques, les services publics et les grandes entreprises commencent � �valuer les changements n�cessaires, cr�ant ainsi une nouvelle demande en mati�re de conseil, de logiciels, de modules de s�curit� mat�riels, de services cloud et d�outils de migration cryptographique.

La France positionne �galement cette transition comme une question de souverainet� et de planification industrielle, et pas seulement de s�curit� technique. En fixant des exigences de certification, le pays utilise la r�glementation en mati�re de cybers�curit� pour fa�onner le march� et encourager les fournisseurs � mettre au point des syst�mes r�sistants � l�informatique quantique avant que la menace ne devienne urgente.

Cette politique s�inscrit dans une initiative europ�enne plus large visant � pr�parer le chiffrement post-quantique. Les �tats membres de l�UE ont d�j� �t� invit�s � entamer la transition d�ici fin 2026 et � veiller � ce que les infrastructures critiques adoptent des protections post-quantiques d�ici 2030. Sur le plan international, les �tats-Unis ont �galement fait avancer les normes post-quantiques, offrant ainsi aux organisations des options de d�ploiement plus claires.

Pour les entreprises, le message est de plus en plus clair. Attendre que les ordinateurs quantiques puissent d�chiffrer les syst�mes de chiffrement existants serait trop tard, en particulier pour les donn�es qui ont d�j� �t� vol�es et stock�es. La transition doit commencer avant que la menace ne se concr�tise pleinement. Brian Witten, vice-pr�sident et directeur de la s�curit� des produits chez Aptiv, a estim� en 2025 qu'il �tait temps d'investir dans la cybers�curit� quantique.

Il a notamment d�clar� : � M�me si sept � dix ans peuvent sembler loin, la pr�paration aux menaces quantiques doit commencer d�s maintenant, et non une fois qu'elles se seront concr�tis�es. Les organisations ont besoin de temps pour mettre en �uvre m�thodiquement des plans de transition vers le chiffrement post-quantique (PQC), et cela s'applique aussi bien � ceux qui disposent d'une infrastructure informatique qu'� ceux qui d�veloppent des syst�mes d�finis par logiciel. La rem�diation n�cessite une planification � long terme. Les organisations qui attendent que les ordinateurs quantiques aient bris� le chiffrement pour faire face � la menace constateront qu'il est trop tard. �

La d�cision de la France devrait �tre suivie de pr�s par d�autres gouvernements et r�gulateurs. Si davantage de pays adoptent des r�gles de certification similaires, le chiffrement r�sistant � l�informatique quantique pourrait rapidement passer d�une pr�occupation sp�cifique � la cybers�curit� � une exigence standard pour toute relation commerciale avec les pouvoirs publics et les secteurs critiques.

Les cons�quences imm�diates se feront sentir chez les �diteurs de solutions de s�curit�, les organismes publics et les op�rateurs de services essentiels en France. � plus long terme, l�impact pourrait �tre bien plus large. En liant la certification � la pr�paration � l��re quantique, l�ANSSI a clairement fait savoir que la transition vers l��re post-quantique n�est plus un probl�me de recherche lointain. Elle devient d�sormais une priorit� en mati�re de march�s publics, de conformit� et de s�curit� nationale.

Source : ANSSI

Et vous ?

:fleche: Pensez-vous que cette d�cision est cr�dible ou pertinente ?
:fleche: Quel est votre avis sur le sujet ?

Voir aussi :

:fleche: Les avanc�es r�centes dans le domaine quantique rapprochent les Big Tech de la zone de danger du � Q-Day �, le moment critique o� un ordinateur quantique brisera les syst�mes de chiffrement actuels

:fleche: Google annonce une nouvelle �ch�ance pour se pr�munir contre les menaces li�es � l'informatique quantique, exhortant le secteur � passer au chiffrement post-quantique d'ici 2029

:fleche: Europol : Les institutions financi�res devraient passer � un chiffrement � s�curit� quantique, avec les progr�s de l'informatique quantique, la s�curit� du chiffrement est menac�e de fa�on imminente

Images attach�es

Une vuln�rabilit� critique de Microsoft 365 Copilot permet aux pirates de voler des donn�es en un seul clic

Anthony — Wed, 17 Jun 2026 12:39:27 GMT

Une vuln�rabilit� critique de Microsoft 365 Copilot permet aux pirates de voler des donn�es en un seul clic : codes d'authentification MFA, contenu des e-mails, d�tails de l'agenda et fichiers confidentiels

L'�quipe de chercheurs en cybers�curit� Varonis Threat Labs a d�couvert une vuln�rabilit� critique dans Microsoft 365 Copilot Enterprise, r�f�renc�e sous le num�ro CVE-2026-42824 et baptis�e � SearchLeak �, qui permettait aux pirates de d�rober des donn�es d'entreprise sensibles en un seul clic. Cette cha�ne d'exploitation cible Copilot Enterprise Search en combinant une injection de prompts d'intelligence artificielle (IA), une condition de concurrence lors du rendu HTML et une falsification de requ�te c�t� serveur (SSRF) via Bing, permettant ainsi un acc�s non autoris� aux e-mails, aux codes d'authentification multifactorielle (MFA), aux agendas et aux fichiers confidentiels des victimes. Microsoft a corrig� la vuln�rabilit� SearchLeak c�t� serveur. Toutefois, Varonis recommande aux �quipes de s�curit� de surveiller les URL de Copilot Search comportant de longs param�tres de requ�te encod�s, et de consid�rer les flux de donn�es g�n�r�s par l'IA comme non fiables.

Microsoft 365 Copilot, anciennement Office 365 puis Microsoft 365 jusqu'en janvier 2025, est une marque d�signant un abonnement logiciel en tant que service de la derni�re version de Microsoft Office, d'un ensemble de services cloud et un service d'IA.

La d�couverte de � SearchLeak � survient alors que plusieurs chercheurs alertent depuis des mois sur les nouvelles surfaces d�attaque cr��es par les assistants IA en entreprise. Lors de la conf�rence Black Hat USA 2024, le chercheur Michael Bargury avait d�j� averti que Microsoft Copilot pouvait �tre d�tourn� � des fins malveillantes. Selon ses travaux, cet assistant IA pourrait �tre transform� en outil d�exfiltration de donn�es sensibles des entreprises qui l�utilisent.

Ces avertissements ont �t� suivis par la d�couverte d�une autre faille majeure affectant l�assistant IA de Microsoft. En juin 2025, les chercheurs d'Aim Security ont r�v�l� l'existence de la vuln�rabilit� � EchoLeak �, une faille critique qui aurait permis � un pirate informatique distant d'acc�der � des donn�es sensibles en envoyant simplement un courriel � sa cible. Pr�sent�e comme la premi�re attaque � z�ro clic � connue contre un assistant IA, EchoLeak aurait permis d'exfiltrer automatiquement les informations les plus sensibles du contexte de Microsoft 365 Copilot, sans n�cessiter d'interaction de la part de l'utilisateur.

Selon une nouvelle recherche, une cha�ne de vuln�rabilit�s critiques dans Microsoft 365 Copilot Enterprise permettait � des pirates de d�rober des donn�es d'entreprise sensibles, des codes MFA, le contenu d'e-mails, des informations d'agenda et des fichiers confidentiels, d'un simple clic sur un lien redirigeant vers un domaine Microsoft l�gitime.

Baptis�e � SearchLeak �, d�couverte par Varonis Threat Labs et r�f�renc�e sous le num�ro CVE-2026-42824, cette faille s�est vu attribuer le niveau de gravit� maximal par Microsoft avant d��tre corrig�e. Son importance r�side moins dans le bug lui-m�me que dans la mani�re dont elle combine une nouvelle vuln�rabilit� sp�cifique � l�IA avec deux failles de s�curit� Web bien connues, transformant ainsi Copilot Enterprise Search en un canal d�exfiltration silencieux.

SearchLeak n'est pas une simple faille ; il s'agit d'une cha�ne d'exploitation qui transforme Microsoft 365 Copilot Enterprise Search en un moteur d'exfiltration silencieuse de donn�es.

Comme l�explique en d�tail Dolev Taler, chercheur chez Varonis, cette attaque combine trois failles distinctes : une injection � Parameter-to-Prompt � (P2P), une condition de concurrence lors du rendu HTML et une falsification de requ�te c�t� serveur (SSRF) via le point de terminaison de recherche d�images de Bing.

Prise isol�ment, chaque vuln�rabilit� est g�rable. Combin�es entre elles, elles permettent de mener une attaque en un seul clic capable de voler pratiquement toutes les donn�es auxquelles la victime a acc�s au sein de son tenant Microsoft 365, sans n�cessiter de privil�ges particuliers, de plug-ins ou d'interactions suppl�mentaires.

Cha�ne de vuln�rabilit�s de Microsoft 365 Copilot

�tape 1 � Injection P2P : Microsoft 365 Copilot Search accepte un param�tre d'URL q destin� aux requ�tes de recherche en langage naturel. La faille r�side dans le fait que, quelle que soit la valeur attribu�e au param�tre q, celle-ci est interpr�t�e par le moteur d'IA de Copilot non seulement comme une cha�ne de recherche, mais aussi comme des instructions ex�cutables.

Un pirate cr�e une URL malveillante qui pointe vers un domaine microsoft.com de confiance et ordonne � Copilot d'effectuer une recherche dans la bo�te mail de la victime et d'int�grer les donn�es extraites dans l'URL d'une image. Comme ce lien redirige vers un domaine Microsoft l�gitime, les outils traditionnels de lutte contre le phishing et de protection des URL ne le signalent pas.

�tape 2 � Contourner la barri�re de s�curit� : pour limiter les risques li�s au code HTML dangereux g�n�r� par l'IA, Microsoft encadre les r�sultats de Copilot dans des balises

, emp�chant ainsi le navigateur de les afficher comme du code de mise en page.



Cependant, cet encapsulage n'intervient qu'une fois que Copilot a termin� sa phase de g�n�ration. Pendant la phase de streaming, le code HTML brut, y compris les balises  inject�es par un attaquant, est temporairement affich� en temps r�el dans le DOM. Le navigateur envoie la requ�te HTTP avant m�me que le syst�me de nettoyage ne s'active, ce qui en fait un contournement classique d'une condition de concurrence.



�tape 3 � SSRF via Bing : le navigateur de la victime ne peut pas contacter directement un serveur contr�l� par l�attaquant en raison de la politique de s�curit� du contenu (CSP) en vigueur sur m365.cloud.microsoft. Cependant, *.bing.com figure sur la liste blanche de la CSP. La fonctionnalit� � Recherche par image � de Bing accepte un param�tre imgurl et effectue une requ�te c�t� serveur vers l�URL fournie afin de l�analyser.



L'attaquant int�gre les donn�es vol�es directement dans le chemin d'acc�s de cette URL de recherche d'images Bing. Le backend de Bing transmet alors, � son insu, les donn�es vol�es au serveur de l'attaquant, contournant ainsi compl�tement le CSP.



Pour que l'attaque aboutisse, il suffit d'un lien sp�cialement con�u, envoy� par e-mail, via Teams, Slack ou tout autre canal de messagerie. Lorsque la victime clique sur ce lien, Copilot effectue discr�tement une recherche dans sa bo�te de r�ception, g�n�re une r�ponse contenant les donn�es vol�es int�gr�es dans une URL d'image Bing, et le serveur de l'attaquant enregistre les informations exfiltr�es, le tout en quelques secondes, sans qu'un deuxi�me clic soit n�cessaire. 





Recommandations de d�fense



Microsoft a enti�rement corrig� la vuln�rabilit� SearchLeak c�t� serveur ; aucune intervention de la part des utilisateurs n'est n�cessaire pour b�n�ficier de ce correctif. Toutefois, Varonis recommande aux �quipes de s�curit� :



 de surveiller les URL de Copilot Search afin de d�tecter la pr�sence de charges utiles encod�es dans le param�tre q contenant du code HTML ou des instructions d'int�gration d'images ;
 de v�rifier les listes d'autorisation CSP afin d'identifier tout domaine effectuant des requ�tes c�t� serveur sur des URL fournies par les utilisateurs.
 de consid�rer les flux de donn�es g�n�r�s par l'IA comme non fiables ; leur validation doit avoir lieu au moment du rendu, et non lors d'une �tape de post-traitement ;
 d'alerter les utilisateurs afin qu'ils v�rifient les liens Microsoft 365 comportant des cha�nes de requ�te longues et encod�es avant de cliquer dessus.


SearchLeak fait suite � la d�couverte, par Varonis, de � Reprompt �, une cha�ne d'exfiltration de donn�es similaire, activable d'un simple clic, qui affecte Copilot Personal.



Dans leur ensemble, ces r�sultats soulignent � quel point les assistants IA cr�ent de nouvelles surfaces d'attaque difficiles � d�tecter en r�activant, dans de nouveaux contextes, des vuln�rabilit�s classiques qui �taient auparavant inexploitables.



Alors que SearchLeak met en lumi�re les nouveaux risques introduits par les outils d�IA dans les environnements professionnels, Microsoft Copilot avait d�j� fait l'objet de controverses concernant la gestion des donn�es sensibles en entreprise. Peu apr�s son d�ploiement, certains utilisateurs ont d�couvert que l�assistant IA permettait d'acc�der � des informations sensibles, telles que des documents de ressources humaines ou des e-mails de dirigeants. Si ces outils sont cens�s am�liorer la productivit�, cette r�v�lation a �galement mis en lumi�re les d�fis en mati�re de s�curit� des donn�es pos�s par l'IA.



Sources : Varonis, Microsoft



Et vous ?



:fleche: Quel est votre avis sur le sujet ?

:fleche: Trouvez-vous les conclusions de cette recherche de Varonis cr�dibles ou pertinentes ?



Voir aussi :



:fleche: Microsoft affirme qu'un bug pousse Copilot � r�sumer des e-mails confidentiels : un incident qui d�montre que l'IA d'entreprise et le principe de moindre privil�ge sont encore loin d'�tre r�concili�s



:fleche: L'exploitation de Microsoft Copilot Studio permet d'acc�der � des donn�es sensibles du cloud, un bug SSRF dans l'outil de cr�ation de Copilot personnalis�e a potentiellement expos� des informations critiques




	

	

	
		
			Images attach�es



Une campagne de logiciels malveillants sur l'AUR d'Arch Linux touche plusieurs paquets
Jade Emy — Mon, 15 Jun 2026 15:14:20 GMT
Plus de 1 900 paquets fournis par les utilisateurs dans le r�pertoire Arch Linux User Repository � AUR � de la distribution Linux open source Arch Linux ont �t� infect�s par des logiciels malveillants



L'AUR d'Arch Linux est confront� � un incident de logiciels malveillants impliquant des paquets fournis par les utilisateurs et contenant des commits malveillants qui tentent de t�l�charger des charges utiles bas�es sur npm lors de l'installation. Il est important de noter que cet incident n'affecte que l'Arch User Repository, et non les d�p�ts de paquets officiels d'Arch Linux. Dans ce cas pr�cis, des modifications suspectes apport�es aux paquets de l'AUR ont ajout� des commandes npm sans rapport avec le logiciel d'origine. La communaut� Arch �value toujours l'ampleur totale de l'incident, et la liste des paquets affect�s est susceptible d'�voluer.



Arch Linux est une distribution Linux open source � mise � jour continue. Arch Linux est maintenue � jour gr�ce � la mise � jour r�guli�re des diff�rents logiciels qui la composent. Elle fournit des � instantan�s � mensuels qui servent de supports d'installation. Arch Linux est volontairement minimaliste et est con�ue pour �tre configur�e par l'utilisateur lors de l'installation, afin qu'il ne puisse ajouter que ce dont il a besoin.



Pacman, un gestionnaire de paquets sp�cialement con�u pour Arch Linux, est utilis� pour installer, supprimer et mettre � jour les paquets logiciels. L'Arch User Repository (AUR) sert de d�p�t de logiciels g�r� par la communaut� pour Arch Linux et fournit des paquets non inclus dans les d�p�ts officiels ainsi que des versions alternatives de paquets ; les paquets AUR peuvent �tre t�l�charg�s et compil�s manuellement, ou install�s via un � assistant � AUR. 



R�cemment, l'AUR d'Arch Linux est confront� � un incident de logiciels malveillants impliquant des paquets fournis par les utilisateurs et contenant des commits malveillants qui tentent de t�l�charger des charges utiles bas�es sur npm lors de l'installation. Le probl�me a d'abord �t� signal� sur la liste de diffusion aur-general d'Arch Linux, o� les contributeurs suivent les paquets affect�s dans un fil de discussion d�di�. Les efforts de nettoyage sont en cours, les commits malveillants �tant supprim�s et les comptes associ�s bannis.



Il est important de noter que cet incident n'affecte que l'Arch User Repository, et non les d�p�ts de paquets officiels d'Arch Linux. Dans ce cas pr�cis, des modifications suspectes apport�es aux paquets de l'AUR ont ajout� des commandes npm sans rapport avec le logiciel d'origine. Les rapports de la communaut� indiquent que la logique malveillante est d�clench�e lors de l'installation, impliquant fr�quemment des paquets npm tels que atomic-lockfile.







Un exemple clair est le paquet AUR alvr, o� une mise � jour suspecte a ajout� un comportement li� � npm � un logiciel qui n'utilise g�n�ralement pas npm. D'autres rapports soulignent des modifications similaires dans d'autres paquets, et les contributeurs d'Arch demandent aux utilisateurs de signaler d'autres commits malveillants dans le fil de discussion central. Cela dit, les utilisateurs d'Arch ne devraient pas mettre � jour les paquets AUR sans les examiner au pr�alable. Examinez les diff�rences PKGBUILD, v�rifiez les nouveaux fichiers .install et soyez prudents si les mises � jour introduisent des commandes npm ou des d�pendances sans rapport avec le logiciel.



Les utilisateurs ayant r�cemment mis � jour des paquets AUR concern�s devraient consulter l'historique des paquets, examiner les scripts d'installation suspects ex�cut�s et consid�rer tout comportement d'installation inattendu bas� sur npm comme une possible compromission. La communaut� Arch �value toujours l'ampleur totale de l'incident, et la liste des paquets affect�s est susceptible d'�voluer. Actuellement, plusieurs paquets AUR ont fait l'objet de commits malveillants ; les contributeurs sont en train de les supprimer, et il est rappel� aux utilisateurs de v�rifier les paquets AUR avant leur installation.



Cet incident intervient alors que Valve s'est � nouveau engag� � lancer la Steam Machine avec Arch Linux SteamOS au cours de l'ann�e 2026, apr�s avoir craint que la crise de la m�moire vive ne provoque un retard. � Rien n'a chang� de notre c�t� �, a d�clar� Kaci Aitchison Boyle, responsable des relations publiques chez Valve. � D'autres informations seront communiqu�es lorsque nous aurons finalis� nos plans �, explique Valve. Cet incident retardera-t-il encore le lancement de la Steam Machine ?

 

Voici le communiqu� concernant l'incident :



Incident en cours concernant des paquets malveillants dans l'AUR



Nous constatons actuellement un volume �lev� d'adoptions et de mises � jour de paquets malveillants dans l'Arch User Repository.



Nous travaillons activement � la d�tection des commits malveillants existants et tentons d'emp�cher la publication de nouveaux commits malveillants. Pendant ce temps, et tandis que nous travaillons � la mise en place d'une solution plus permanente, les utilisateurs peuvent rencontrer des probl�mes avec les op�rations suivantes :



- Cr�ation de nouveaux comptes sur l'AUR

- Pouss�e de mises � jour de paquets

- Adoption ou cr�ation de nouveaux paquets



Nous continuons d'encourager tous les utilisateurs de paquets AUR � v�rifier toutes les modifications apport�es aux fichiers PKGBUILD et aux scripts d'installation lors des mises � jour, en particulier pendant cette p�riode. Si vous remarquez des commits suspects sur un paquet que vous utilisez, veuillez contacter l'�quipe Arch via la liste de diffusion aur-general en fournissant plus d'informations.



Sources : Rapport de l'�quipe Arch Linux, Rapport sur GitHub, Analyse pr�liminaire du logiciel malveillant AUR



Et vous ?



:fleche: Pensez-vous que ces rapports sont cr�dibles ou pertinents ?

:fleche: Quel est votre avis sur le sujet ?



Voir aussi :



:fleche: Des milliers de syst�mes Linux infect�s par le logiciel malveillant furtif Perfctl depuis 2021, illustrant les d�fis de s�curit� auxquels Linux fait face



:fleche: Pourquoi Valve soutient Arch Linux, apr�s son annonce d'aider Arch Linux � construire une infrastructure de services et une enclave de signature s�curis�e, SteamOS �tant construit sur Arch Linux



:fleche: Les paquets npm malveillants font partie d'un "d�ferlement" de logiciels malveillants qui frappent les r�f�rentiels. La popularit� des paquets en fait de parfaits vecteurs d'attaques