Menaces

Introduction : Ils ne pensaient pas que cela pouvait aller aussi loin. Deux adolescents ont été arrêtés par la police après avoir été dénoncés par un taxi autonome Waymo. Les jeunes buvaient et aspergeaient les passants avec des pistolets à eau… Il faut en effet savoir que les Waymo embarquent une flopée de caméras permettant de surveiller les ceintures non bouclées, les fumeurs, les objets perdus et la propreté des véhicules. Les enregistrements peuvent être visionnés par les opérateurs après un incident. Aucune reconnaissance faciale n’est cependant employée selon l’entreprise. Faut-il se réjouir de cette intelligence artificielle protectrice ou s’inquiéter de cette nouvelle forme de surveillance embarquée ?

Introduction : Doctolib, le service de réservation de rendez-vous médicaux, souhaite utiliser les données personnelles de ses utilisateurs pour alimenter un projet de recherche fondé sur l’intelligence artificielle. Il est possible de s’y opposer, à condition d’effectuer soi-même la démarche.

Introduction : Alors que les Ray-Ban Meta cartonnent, une vague de méfiance inédite s’abat sur les lunettes connectées, désormais totalement bannies des tribunaux de l’État de New York. Voici pourquoi le vent est brutalement en train de tourner pour l’appareil phare de Mark Zuckerberg.

Introduction : Le journal néerlandais “Trouw” s’est penché sur une tendance récente : la multiplication, sur Instagram et TikTok, de profils de jeunes femmes soi-disant membres des forces de l’ordre et qui multiplient les selfies séduisants. Derrière ces personnages générés par intelligence artificielle se cachent des intentions mercantiles et, parfois, une propagande haineuse.

Introduction : Les attaques Adversary-in-the-Middle contournent la 2FA en usurpant activement les deux côtés de la conversation : l’attaquant crée un faux site bancaire, relaie le code SMS en temps réel au serveur légitime, et capture ainsi la session sans que la victime ne s’en rende compte. Des outils comme Evilginx2 disponibles depuis 2018 permettent à n’importe quel utilisateur de mettre en place ces attaques en 10 minutes, et Microsoft a documenté une campagne ciblant plus de 10 000 organisations depuis 2021. Un VPN avec chiffrement AES-256-GCM protège contre l’interception active et passive sur WiFi public en rendant le trafic illisible, même si l’attaquant contrôle le routeur ou pratique l’ARP spoofing…. Les attaques AiTM ont un super-pouvoir de merde : elles contournent la 2FA. Comment ? Le mec crée un site parfaitement identique à celui de votre banque. Vous cliquez sur le lien du mail de phishing et vous arrivez sur sa copie. Login, mot de passe, et PAF, le code SMS arrive. Vous le rentrez. Sauf que le code passe par le serveur du mec au milieu, qui le relaie en temps réel à la vraie banque. Résultat ? Il a votre session, vos cookies, et il peut se connecter à votre compte pendant des heures sans que vous vous en rendiez compte.

Introduction : Un carré blanc d’un pixel suffit à suivre vos lectures. Face à cette collecte discrète, la CNIL impose à présent des règles plus strictes. ZATAZ vous montre comment vous protéger des pixels blancs.

Introduction : Cette semaine, on parle de la loi RIPOST qui est en discussion aujourd’hui à l’Assemblé nationale. Parmi toutes les mesures sécuritaires entassées dans ce grand fourre-tout, attardons-nous sur la lecture automatique des plaques d’immatriculation, qui génère une cartographie des déplacements de tous les véhicules sur le territoire. .. Jusqu’alors réservée aux enquêtes liées au terrorisme et au crime organisé, la consultation du fichier central des LAPI, qui contiendrait plus de 60 millions de véhicules se retrouverait étendue à des délits mineurs et politisés : l’aide au migrants, par exemple. Par ailleurs, la loi envisage d’étendre la centralisation des données aux nombreux LAPI municipaux, et la conservation des données jusqu’à un an, rendant ainsi possible la surveillance massive des déplacements sur une année entière.

Introduction : OpenAI vient de lancer ChatGPT Work, un nouvel outil qui s’appuie sur ses modèles GPT-5.6 pour automatiser les tâches administratives.

Introduction : Doctolib va utiliser par défaut les données de ses utilisateurs pour des projets de R&D. Considérant le faire dans son intérêt légitime, l’entreprise a seulement mis en place un formulaire permettant de s’y opposer (procédure d’opt-out). Ce mercredi 8 juillet, Doctolib a envoyé à certains de ses utilisateurs un email concernant l’utilisation des données de ses utilisateurs pour des projets R&D. L’entreprise, qui revendique quasiment autant de comptes (60 millions en 2021) que la taille de la population française, a décidé de s’appuyer sur les données de ses utilisateurs, sans demander de consentement explicite.

Introduction : L’intrusion fait suite à un modèle d’attaque cloud familier, mais les experts affirment que la plus grande préoccupation est que les passerelles IA servent de plus en plus de centres centraux pour les identités, les autorisations et l’accès aux modèles.

Introduction : Avec le consortium de journalistes européens Investigate Europe, franceinfo et “L’Œil du 20 heures” détaillent la stratégie de ces sites de jeux d’argent qui opèrent en France sans aucune autorisation.

Introduction : L’arrivée de Muse Image, le nouveau modèle de génération visuelle de Meta AI change radicalement les conditions d’utilisation d’Instagram. Désormais, les photos et vidéos des comptes publics pourront être utilisés par les autres utilisateurs pour créer du contenu avec l’IA…. Muse Image, le nouveau modèle de génération d’images de Meta, est intégré nativement sur Meta AI, WhatsApp, mais aussi sur Instagram. Et le principal problème, c’est que Meta autorise désormais par défaut n’importe quel utilisateur du réseau social à utiliser vos photos et vidéos accessibles publiquement, pour générer du contenu via Meta AI. Il suffit pour cela de mentionner le @nom d’utilisateur pour pouvoir emprunter sans encombre du contenu posté sur un profil public.

Introduction : Stelios Kouloglou, eurodéputé grec enquêtant sur Pegasus à la commission PEGA, a eu son iPhone infecté par Pegasus lui-même en octobre 2022 et mars 2023, découvert par Citizen Lab. La commission PEGA a rendu ses recommandations en mai 2023 pour encadrer les spywares, mais la Commission européenne les a rangées dans un tiroir depuis 3 ans sans les appliquer. Le marché du spyware prospère avec d’autres acteurs comme Candiru, Paragon et Intellexa qui comblent le vide laissé par les déboires judiciaires de NSO Group.

Introduction : La fin du permis de conduire valable à vie a fait les gros titres, et un peu paniquer au passage. Pourtant, se focaliser sur la validité ramenée à quinze ans, c’est passer à côté de la transformation que la nouvelle directive européenne enclenche vraiment…. C’est là que le sujet devient une affaire de technologie autant que de code de la route. La directive prévoit la généralisation d’un permis dématérialisé d’ici 2030, adossé au portefeuille d’identité numérique que chaque État membre doit proposer à ses citoyens avant la fin 2026, dans le cadre du règlement européen eIDAS 2.0 (UE 2024/1183). Concrètement, présenter son permis lors d’un contrôle se fera depuis une application officielle reconnue dans les vingt-sept pays, la version physique restant disponible sur demande, avec un code QR pour compliquer les falsifications et un délai de délivrance plafonné à trois semaines…. La centralisation du permis dans un portefeuille d’identité numérique nourrit une inquiétude sur le contrôle des citoyens et sur la dépendance à un système qui, en cas de panne ou de piratage, laisserait l’usager démuni, le blocage récent de l’ANTS ayant rappelé cette fragilité.

Introduction : SFR communique en direction de ses clients pour annoncer la mise en place d’un nouveau service de « navigation protégée », censé bloquer l’accès aux sites problématiques. Il prend la forme d’un filtrage DNS, opéré à partir des données d’un prestataire français, EfficientIP, en passe d’être racheté par un fonds américain. Le dispositif est activé par défaut, alors même que l’opérateur ne donne aucune information précise sur son fonctionnement.

Introduction : Pour quelques milliers d’euros, des cliniques promettent de transformer définitivement la teinte de votre regard, du marron au vert fluo. Derrière les avant/après spectaculaires, les autorités médicales, elles, alertent jusqu’au risque de cécité.

Introduction : Sony a annoncé mercredi 1ᵉʳ juillet que les jeux PlayStation ne seraient plus distribués sur des supports physiques à compter de janvier 2028. Après cette date, les jeux ne seront donc disponibles qu’en version numérique, que ce soit sur le PlayStation Store ou les revendeurs tiers.

Introduction : Bientôt, la fonctionnalité Conversation Focus des lunettes connectées de Meta sera limitée à 3 heures par mois. Ceux qui disposent d’un abonnement premium auront quant à eux une limitation à 15 heures par mois. Pour un accès sans limite, il faudra souscrire à l’abonnement Meta One Premium, facturé 19,99 $ par mois. Mais comment la facturation d’une fonctionnalité qui fonctionne en local peut-elle être justifiée ?

Introduction : Fin 2024, les trajets de 800 000 voitures électriques se sont retrouvés en libre accès sur Internet. Dix-huit mois plus tard, la CNIL encadre ce que les constructeurs ont le droit de savoir de vos déplacements… L’affaire remonte à fin 2024 : Cariad, la filiale logicielle de Volkswagen, avait laissé un espace de stockage en ligne mal configuré pendant des mois. Résultat, les données de localisation de quelque 800 000 véhicules électriques Volkswagen, Audi, Seat et Skoda se sont retrouvées exposées. Pour 460 000 d’entre eux, la position était précise à une dizaine de centimètres.

Introduction : Renault déploie progressivement Gemini sur les véhicules équipés de son système multimédia openR link. L’assistant IA de Google succède à Google Assistant, mais qu’est-ce que ça va changer concrètement pour les possesseurs de R4, R5, Mégane et autres Scénic électriques ?

Introduction : L’augmentation du prix des tokens va faire que d’ici 2028 l’IA sera plus coûteuse qu’un salaire moyen de développeur. C’est ce qu’estime un nouveau rapport du Gartner. Cette bascule est la conséquence de la généralisation à venir de la tarification à la consommation (tokeninsation) qui remplace petit à petit le modèle de tarification par abonnement chez les principaux acteurs de l’IA… « Le DAF ne le voit pas. Le DSI non plus parfois », observe Rahsaan Shears. « C’est ce qui se passe dans l’IA aujourd’hui : des coûts qui s’accumulent avec des workflows que personne ne maîtrise entièrement. »

Introduction : Annoncée au mois de mai, la fonctionnalité Gmail Live arrive chez certains utilisateurs d’Android et d’iOS. Cette nouveauté permet d’utiliser un assistant conversationnel pour obtenir directement des informations provenant de Gmail, au lieu de faire une recherche classique.

Introduction : Le véritable risque de l’IA n’est pas de moins réfléchir, mais de devenir dépendant des plateformes. Prompts, méthodes et GPTs doivent rester vos actifs, pas ceux de votre fournisseur…. L’utilisateur occasionnel peut facilement changer d’outil. Le professionnel avancé, beaucoup moins. Lorsque plusieurs centaines d’heures ont été investies dans la construction de prompts, de méthodes, de workflows ou d’assistants spécialisés, la plateforme cesse d’être un simple outil. Elle devient une infrastructure.

Introduction : L’application d’authentification Microsoft Authenticator ne fonctionne plus sur certains appareils jailbreakés. Microsoft a mis en place un système de détection pour améliorer la sécurité de son appli dans certaines conditions.

Introduction : Une campagne découverte par Push Security illustre une technique d’attaque simple : usurper l’identité d’une entreprise sur OpenAI pour accéder aux données saisies par ses employés.

Introduction : Depuis le début de la Coupe du monde, les réseaux sociaux débordent de vidéos de supportrices “au visage parfait” filmées dans les tribunes. La plupart n’existent pas, elles sont fabriquées par intelligence artificielle, dans un but souvent très lucratif. ..

Visage lisse, décolleté plongeant, regard caméra… Depuis le début du Mondial de football, on voit sur les réseaux sociaux des vidéos de supportrices sublimes qui encouragent leur équipe en tribune et cumulent des millions de vues. Sauf qu’elles n’existent pas : elles sont générées ou trafiquées par intelligence artificielle, et leur prolifération a été documentée par plusieurs cellules de fact-checking européennes, dont l’Observatoire européen des médias numériques (EDMO - page web en anglais)(Nouvelle fenêtre) et sa branche belge EDMO BeLux(Nouvelle fenêtre).

Introduction : Le couperet statistique de la Commission nationale de l’informatique et des libertés vient de tomber. Avec plus de 6 100 violations de données officiellement notifiées, le dernier rapport annuel de la CNIL met en lumière une transformation profonde des menaces informatiques. Pour décrypter les dynamiques de cette criminalité de masse, Gaëlle Tilloy, Avocate à la Cour et spécialiste des données personnelles, et Jérôme Beaufils, président de SASETY, croisent leurs expertises.

Introduction : Au-delà de la décharge émotionnelle que représente le fait de confier un événement aussi personnel à une intelligence artificielle, elle insiste sur les implications en matière de données personnelles. Cette situation nécessiterait de donner à une entreprise « l’accès à ma carte de crédit, à mon navigateur, à mon compte Signal, la possibilité d’envoyer des messages à mes frères et sœurs en mon nom, à mon adresse personnelle et à mon agenda ». De son point de vue, cette évolution s’apparenterait, pour Signal, à la création d’une véritable porte dérobée dans les systèmes de communication. Un sujet sur lequel la dirigeante se montre intransigeante, au nom de la sécurité des conversations privées.

Introduction : Le scénario ressemble à une mule bancaire organisée. Une personne est recrutée pour prêter son identité, ouvrir des comptes, servir d’écran humain. Elle croit participer à un projet. En réalité, elle offre à un tiers des accès financiers présentables, bancarisés, dotés d’une identité réelle. Le cyber n’est pas seulement dans l’ordinateur. Il se loge dans la combinaison entre réseau social, persuasion, banque mobile et exploitation administrative.

Introduction : Alors que la technologie de tracking publicitaire Utiq fait l’objet de nombreuses critiques sur les réseaux sociaux et est suivie de près par la CNIL, Free confirme désormais officiellement sa participation au dispositif au même titre qu’Orange, SFR et Bouygues Telecom. L’opérateur de Xavier Niel explique comment sont générés les identifiants utilisés à des fins publicitaires et rappelle que le système n’est activé qu’avec le consentement de l’utilisateur.