Veille

La société de sécurité Darktrace a publié cette semaine l’analyse d’un incident survenu en juillet 2026 sur le réseau d’une entreprise de la zone Europe-Moyen-Orient-Afrique : un salarié a téléchargé et exécuté un fichier présenté comme l’installeur Windows de Gemini, l’assistant d’IA de Google, qui a en réalité déposé Vidar, un logiciel voleur de mots de passe, de cookies et de données de navigateur. Le procédé n’a rien de sophistiqué techniquement, mais son point d’entrée mérite attention : l’attaque n’est pas partie d’un courriel piégé mais d’une simple recherche en ligne, et le fichier était hébergé sur Google Colab, un service légitime de Google destiné aux développeurs et aux chercheurs, ce qui rendait le téléchargement crédible. C’est le même ressort que la fausse page de téléchargement de Claude hébergée sur le domaine d’Anthropic, que nous avons rapportée le 25 juillet, et que les campagnes de mars visant les outils en ligne de commande de Gemini et de Claude : les attaquants n’imitent plus seulement les marques, ils empruntent les plateformes légitimes de ces marques.

Le 20 août 2026, la société néerlandaise ThreatFabric a documenté un logiciel malveillant Android baptisé Manic, actif depuis février et visant des utilisateurs en Ukraine et dans plusieurs pays européens. Il cible plus de 160 applications de banque, de paiement, de portefeuilles de cryptomonnaies, d’identité électronique, de messagerie et d’authentification, et fonctionne en abusant des services d’accessibilité d’Android, ces fonctions conçues pour les personnes handicapées : il superpose un calque transparent sur le clavier numérique d’une application légitime, enregistre les frappes et les rejoue, si bien que l’application continue de fonctionner normalement pendant que le code confidentiel est capturé. Sa particularité tient à son mécanisme de repli : lorsque le téléphone infecté ne peut pas joindre le serveur des attaquants, il chiffre les données volées et cherche un autre appareil contaminé à portée de Wi-Fi Direct ou de Bluetooth pour les faire transiter, en plusieurs sauts si nécessaire. Autrement dit, couper la connexion d’un téléphone compromis ne suffit pas à empêcher la fuite. Les conseils des chercheurs valent pour tout le monde : ne pas installer d’application Android en dehors des boutiques officielles, refuser les autorisations d’accessibilité à toute application qui n’en a pas un besoin évident, et lancer régulièrement une analyse Play Protect.

Le 19 août 2026, cinq agences fédérales américaines, dont la NSA, le FBI, la CISA, le département de l’Énergie et l’agence de l’environnement, ont publié un avis conjoint décrivant une menace active contre les automates programmables Siemens de la série S7, ces petits ordinateurs industriels qui commandent pompes, vannes et machines dans les usines, les stations d’épuration et les centrales. Le point notable est le mode opératoire : selon l’avis, les attaquants combinent des bibliothèques libres d’automatisation industrielle avec des scripts d’exploitation générés par intelligence artificielle, déguisés en outils de supervision légitimes, pour obtenir un accès en lecture et en écriture à la mémoire et aux programmes des automates exposés sur internet, repérés au moyen de services publics de balayage du réseau. Les agences écrivent qu’il ne s’agit pas d’un risque théorique mais d’une menace active, visant en priorité l’industrie, l’énergie, l’eau et l’assainissement, la chimie et l’agroalimentaire, et précisent que le ciblage dépasse la seule marque Siemens. L’avis ne désigne aucun État ni aucun groupe, même si des acteurs liés à l’Iran sont soupçonnés dans les attaques récentes contre des réseaux d’eau américains dont nous parlions les 31 juillet et 11 août.

Le 17 août 2026, la plateforme de messagerie Discord a suspendu au Brésil ses fonctions de diffusion en direct, de partage d’écran et d’appel vidéo, en application d’une décision de l’Autorité nationale de protection des données brésilienne (ANPD) rendue le 12 août. Le régulateur avait estimé disposer d’éléments solides montrant que l’entreprise n’avait pas pris de mesures raisonnables pour empêcher des mineurs d’être exposés à des contenus promouvant la violence et l’automutilation, après le décès en juillet d’une adolescente de 13 ans dans l’État du Mato Grosso do Sul, affaire dans laquelle plusieurs personnes ont été interpellées. Discord n’est pas bloqué dans son ensemble et déclare vouloir rétablir ces fonctions en dialoguant avec l’autorité. Deux points font débat : des juristes brésiliens cités par la presse locale relèvent que la « mesure préventive » prise par l’ANPD s’apparente en pratique à une suspension d’activité, sanction que la loi réserve au pouvoir judiciaire, tandis qu’un fournisseur de VPN a fait état d’une forte hausse des inscriptions brésiliennes dans les heures suivantes.

Le 17 août 2026, la société de sécurité Wordfence a publié le détail d’une vulnérabilité critique dans Forminator Forms, une extension WordPress de création de formulaires installée sur plus de 600 000 sites. Référencée CVE-2026-15748 et notée 9,8 sur 10 sur l’échelle de gravité CVSS, la faille permet à un visiteur non identifié de téléverser un fichier arbitraire, y compris un script PHP exécutable, ce qui ouvre la voie à une prise de contrôle complète du site ; l’exploitation suppose toutefois que le site expose un formulaire combinant un champ de téléversement et un champ de sélection. Le défaut vient d’un contrôle insuffisant du type de fichier, la liste des extensions interdites pouvant être contournée par une manipulation du format déclaré. Découverte par un chercheur sous le pseudonyme « daroo » via le programme de primes de Wordfence, elle a été signalée à l’éditeur le 14 juillet et corrigée dans la version 1.56.2 publiée le 31 juillet.x

Les polices allemande et brésilienne ont annoncé mi-août 2026 le démantèlement d’un réseau international accusé d’avoir détourné environ 30 millions d’euros au préjudice d’un établissement financier allemand. L’opération, baptisée « Klonen » par la police fédérale brésilienne, s’est traduite le 13 août par vingt-et-une perquisitions dans sept villes, dont Rio de Janeiro, Goiânia et Guarulhos, avec quatre interpellations au Brésil et trois autres suspects recherchés en Espagne et en Bulgarie. L’enquête, menée avec l’office criminel fédéral allemand et le parquet de Francfort, remonte à fin 2023 : selon les constatations actuelles, les auteurs auraient exploité une faille introduite par une mise à jour logicielle défectueuse dans le processus de comptabilisation d’un prestataire de paiement allemand. Le détail est éclairant pour comprendre ce type de fraude : l’argent n’a pas été volé en forçant des comptes clients, mais en exploitant une erreur dans la mécanique qui enregistre les opérations. Il aura fallu près de trois ans d’enquête technique et financière transfrontalière pour remonter la chaîne.

Le 13 août 2026, la Direction générale des Finances publiques a confirmé qu’un accès illégitime à son système d’information avait permis la consultation et l’extraction de données concernant 678 000 particuliers et professionnels. Le mode opératoire ne relève pas d’une prouesse technique : l’attaquant a usurpé les identifiants de deux comptes légitimes, celui d’un agent de la DGFiP et celui d’un tiers habilité, pour se servir d’un outil interne de recherche sur les contribuables ; les intrusions remontent à juin et juillet, mais n’ont été revendiquées publiquement que les 12 et 13 août, et la fuite n’a été établie qu’après des investigations lancées à cette date. Les données concernées comprennent le numéro fiscal, le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source, l’adresse électronique et le numéro de téléphone, mais ni les mots de passe ni les comptes du site impots.gouv.fr. Le parquet de Paris a ouvert une enquête le 15 août, confiée à l’Office anti-cybercriminalité, la CNIL a été saisie, et l’administration notifie individuellement les personnes concernées à partir de la semaine du 17 août.

Le 13 août 2026, la société Hudson Rock a annoncé avoir obtenu et analysé une archive de 153 gigaoctets contenant les données volées lors de la compromission, en mars, de LiteLLM, une bibliothèque logicielle qui sert à router les requêtes vers différents modèles d’intelligence artificielle. L’enchaînement mérite d’être détaillé, car il illustre l’effet domino des dépendances logicielles : des attaquants ont d’abord compromis Trivy, un outil d’analyse de sécurité très répandu, que la chaîne de production de LiteLLM installait automatiquement sans en figer la version ; cet accès leur a permis de dérober les jetons de publication de LiteLLM, puis de diffuser deux versions piégées sur le dépôt PyPI, restées en ligne une quarantaine de minutes. Selon l’analyse publiée, l’archive contient 433 909 fichiers et 118 829 relevés d’environnements de compilation rattachés à 2 488 domaines d’entreprises, parmi lesquelles des groupes industriels et technologiques de premier plan. Les chercheurs insistent sur une nuance : le vol d’identifiants ne prouve pas qu’une intrusion a effectivement suivi, mais certains identifiants étaient encore valides des mois après. Cette affaire est précisément celle qui avait motivé le verrouillage des anciennes versions décidé par PyPI en juillet, dont nous parlions le 25 : cinq mois après les faits, les conséquences continuent d’apparaître.

Les cyberattaques visant des réseaux d’eau et d’assainissement aux États-Unis, dont nous rapportions le volet minnesotain fin juillet, ont depuis été signalées dans au moins une douzaine d’États, selon des sources citées par CBS News, parmi lesquels le Michigan, la Géorgie, le New Jersey et le Dakota du Sud. Les conséquences observées restent localisées mais concrètes : dans le comté de Clayton, en Géorgie, une baisse de pression a contraint la régie desservant 300 000 habitants à recommander de faire bouillir l’eau, service rétabli en quelques heures ; ailleurs, des exploitants ont signalé des mots de passe modifiés, des paramètres réseau altérés et un basculement en pilotage manuel. Les autorités fédérales n’ont pas formellement attribué ces intrusions, mais le FBI, la CISA et l’agence de l’environnement ont mis en garde les exploitants du pays entier, et une alerte fédérale antérieure visait des acteurs liés à l’Iran ciblant des automates industriels exposés sur internet. Le mode opératoire décrit est d’une banalité frappante : il ne repose pas sur des failles inconnues mais sur des équipements accessibles depuis internet, souvent avec des identifiants par défaut (ce qui est assez rare). Comme si les caméras de sécurité du Louvre avaient “LOUVRE” comme mot de passe ! Ça n’arriverait jamais, voyons.

Le 10 août 2026, le chercheur James Arnott, fondateur de Bay Area Labs, a rendu publiques des vulnérabilités critiques dans Connective, un logiciel de gestion de l’identité numérique développé par Nitro Software Belgium, utilisé par plus de deux millions de Belges, huit des dix plus grandes banques du pays et plus de soixante administrations. Le défaut principal est une absence de vérification de l’origine des requêtes : n’importe quel site web, voire une publicité intégrée à une page, pouvait dialoguer directement avec l’application installée sur la machine de l’utilisateur, lire les données de sa carte d’identité électronique et de sa carte bancaire, puis afficher une fenêtre d’authentification d’apparence officielle pour lui soutirer son code confidentiel. Avec ce code et la carte insérée dans un lecteur, un attaquant pouvait produire des signatures électroniques juridiquement contraignantes, ce qui touchait par ricochet les portails publics et les fournisseurs d’identité qui s’appuient sur ce mécanisme, sans que ces derniers soient eux-mêmes défaillants. L’éditeur a corrigé les failles fin juillet.

Le 7 août 2026, OpenAI a annoncé suspendre une partie de ses travaux internes sur Astra, un modèle non encore publié, après que des évaluations préliminaires n’ont pas permis d’exclure qu’il atteigne le niveau « critique » de son cadre interne d’évaluation des risques, publié en 2023. Ce niveau désigne un modèle capable de découvrir et d’exploiter seul des failles inconnues dans des systèmes réels bien protégés, ou de mener une cyberattaque de bout en bout à partir d’un simple objectif général. L’entreprise indique renforcer ses mesures de confinement, avec des environnements de test isolés, un accès réseau restreint, une exécution en bac à sable et une surveillance généralisée, et travailler avec des agences publiques et des organismes de sécurité de l’IA ; son dirigeant Sam Altman a précisé vouloir tout de même diffuser largement le modèle, estimant qu’il ne serait pas souhaitable de réserver les systèmes puissants à quelques-uns. Selon Axios, c’est la première fois qu’un laboratoire de pointe s’engage publiquement à ralentir le développement d’un de ses modèles pour un motif de cybersécurité, et la Maison-Blanche indique avoir été informée en amont. Cette annonce s’inscrit dans la série d’incidents que nous suivons depuis fin juillet, où des modèles d’OpenAI, d’Anthropic et de Meta ont accédé à des systèmes tiers pendant des évaluations ; on se rappelle très bien de Mythos jugé “trop performant” il y a quelques semaines, pour au final être mis à disposition du grand public avec un nouveau nom… Coup de marketing ?

Le 6 août 2026, le chercheur Gareth Heyes, de la société PortSwigger, a publié et présenté à la conférence Black Hat une série de techniques exploitant le CSS, le langage qui gère l’apparence des pages web, pour attaquer les messageries en ligne. Le principe : les webmails filtrent le contenu des courriels reçus en supposant que la mise en forme ne peut pas déborder du message, or le chercheur montre qu’un décalage entre ce que le filtre croit autoriser et ce que le navigateur affiche réellement permet à un courriel de manipuler l’interface qui l’entoure. Parmi les démonstrations : une fausse page de connexion Microsoft superposée dans Outlook sous Firefox, capable d’enregistrer le mot de passe saisi, sans une ligne de JavaScript ; le vol d’un jeton de connexion sur Yahoo et AOL ; et le détournement d’un assistant d’IA branché sur une boîte mail, amené par des instructions cachées à recopier un jeton d’accès dans un brouillon. Il s’agit de recherche démontrée en laboratoire, sans exploitation malveillante constatée à ce jour ; certains éditeurs ont corrigé, d’autres non au moment de la publication. Par ailleurs, on ne peut pas désactiver le CSS dans un webmail, et la protection dépend donc entièrement de l’éditeur, ce qui rappelle qu’une part de notre sécurité en ligne n’est tout simplement pas entre nos mains.

Le 6 août 2026, la société d’analyse de chaînes de blocs Chainalysis a publié un rapport sur les violences physiques visant les détenteurs de cryptomonnaies, appelées « attaques à la clé à molette » dans le jargon de la sécurité, en référence à une plaisanterie ancienne : aucun mot de passe ne résiste à une menace physique. La firme documente 46 incidents violents dans le monde au premier semestre, pour plus de 30 millions de dollars effectivement dérobés, un rythme qui dépasserait le record de 58 millions établi en 2025 ; la France y apparaît comme le premier pays concerné, avec 30 cas publiquement connus à la mi-année contre 19 sur toute l’année 2025, la gendarmerie ayant pour sa part recensé 77 enlèvements et séquestrations liés aux cryptomonnaies depuis janvier. Chainalysis avance que la cause la plus probable de cette concentration française serait la circulation de données personnelles compromises permettant d’identifier des détenteurs fortunés, hypothèse qu’elle appuie sur des allégations visant un agent du fisc, à ce jour non jugées. Le rapport relève aussi que les proches des détenteurs représentent désormais un quart à un tiers des cas documentés, contre presque aucun en 2021. Cette étude prolonge ce que décrivait l’enquête de Slate du 1er juillet : une fuite de données n’est pas un incident purement numérique, elle peut fournir la liste de courses d’une criminalité violente.

Le 6 août 2026, Meta a confirmé que l’un de ses modèles d’intelligence artificielle avait exploité une faille de sécurité dans le service d’une entreprise tierce au cours d’une évaluation de capacités offensives, après qu’une erreur de configuration lui eut donné un accès imprévu à internet. C’est la troisième annonce de ce type en quelques semaines, après celle d’OpenAI concernant la plateforme Hugging Face et celle d’Anthropic, qui a reconnu le 30 juillet que trois de ses modèles avaient accédé aux systèmes de trois organisations. Un élément relie plusieurs de ces incidents : ils se sont produits lors d’évaluations menées par la même société indépendante, Irregular, dont une mauvaise configuration de l’environnement de test est en cause ; l’entreprise déclare qu’il ne s’agissait ni d’une évasion de bac à sable ni d’une action sophistiquée, et prépare un document de bonnes pratiques sur le confinement des modèles pendant ce type d’exercice. La Maison-Blanche a réuni les principaux développeurs autour d’un cadre volontaire de tests de cybersécurité, et des procureurs généraux d’États américains ont demandé à OpenAI de conserver les documents relatifs à son incident. La leçon la plus solide à ce stade n’est pas celle d’une IA devenue autonome, mais celle d’un décalage entre des modèles de plus en plus capables et des dispositifs de test qui n’ont pas suivi.

Le 6 août 2026 a été divulguée publiquement une vulnérabilité du noyau Linux baptisée SCTPhantom et référencée CVE-2026-64564, deux jours après l’attribution de son identifiant. Elle affecte le code gérant le protocole réseau SCTP, moins connu que TCP mais présent notamment dans les infrastructures de télécommunications, et relève d’une erreur de gestion de la mémoire permettant à un attaquant d’obtenir les droits les plus élevés sur une machine ; les chercheurs de Tencent qui l’ont trouvée indiquent s’en être servis pour sortir d’un conteneur et atteindre le système hôte. Le défaut serait présent depuis 2008, ce qui en fait un cas d’école : un code libre, lisible par tous et audité depuis des années, peut abriter une faille grave pendant près de deux décennies sans que personne ne la remarque. Les correctifs sont déjà disponibles dans les versions stables publiées le 3 août, et aucun code d’exploitation public n’avait été repéré au moment de la divulgation. La transparence du code source facilite la correction quand un problème est trouvé, mais elle ne garantit pas qu’il le sera vite.

Le 3 août 2026 au soir, l’eurodéputé Raphaël Glucksmann, coprésident de Place publique, a annoncé sur ses réseaux sociaux que le Secrétariat général de la défense et de la sécurité nationale l’avait informé être la cible du groupe Storm-1516, réseau prorusse que les autorités françaises rattachent au renseignement militaire russe ; une source sécuritaire l’a confirmé à l’AFP le lendemain, en précisant que la campagne n’avait obtenu qu’une visibilité relativement faible. Le procédé mérite d’être détaillé, car il est instructif : les auteurs ont recopié à l’identique 181 pages du site du média Blast sur un nom de domaine trompeur activé le 24 juillet, puis y ont inséré un seul faux article, accompagné d’une vidéo reprenant la charte graphique du média et dotée d’une voix synthétisée par intelligence artificielle. Le contenu fabriqué affirmait que la journaliste Léa Salamé, compagne de l’eurodéputé, aurait proposé 50 000 euros à plusieurs rédactions françaises en échange d’articles favorables, avec pour seules preuves une capture d’écran de courriel inventée et un enregistrement vocal attribué à Edwy Plenel ; les médias et journalistes cités ont démenti, Edwy Plenel dès le 1er août. Le même réseau avait visé Édouard Philippe en juillet, et l’entourage de Gabriel Attal a dénoncé début août une opération distincte, attribuée au réseau Matriochka. Ce qui est en jeu dépasse les personnes visées : la fabrication d’un faux média entier, plutôt que d’une simple rumeur, vise à emprunter la crédibilité d’une rédaction existante, et le réflexe utile pour un lecteur est de vérifier que l’adresse du site correspond bien à celle du média avant de partager.

Le 4 août 2026, vers 9 heures UTC, un attaquant ayant pris le contrôle du compte GitHub du développeur qui maintient les bibliothèques keyv et cacheable y a publié des versions piégées. Ces briques logicielles servent à mettre en cache des données et figurent, souvent indirectement, dans les dépendances d’innombrables projets JavaScript : keyv seule est téléchargée environ 127 millions de fois par semaine. Le code ajouté s’exécutait automatiquement avant même la fin de l’installation, dérobait les identifiants présents sur la machine ou le serveur d’intégration, puis se servait des jetons de publication ainsi volés pour infecter les bibliothèques d’autres développeurs, se propageant comme un ver ; les décomptes publiés par les sociétés de sécurité divergent, allant de quelques centaines à plus de huit cents paquets, pour un total dépassant deux milliards d’installations mensuelles cumulées. Un détail rend l’affaire particulièrement inconfortable : les versions malveillantes portaient une attestation d’origine cryptographique valide, signée automatiquement par la chaîne de publication, puisque c’est le code source lui-même qui avait été corrompu en amont.

Depuis le 2 août 2026, l’article 50 du règlement européen sur l’intelligence artificielle s’applique. Il impose des obligations de transparence à ceux qui fournissent ou déploient certains systèmes d’IA : informer clairement une personne qu’elle dialogue avec une machine et non avec un humain, apposer sur les contenus générés ou modifiés par IA une marque lisible par une machine permettant de les détecter, et signaler explicitement les hypertrucages, ces images, sons ou vidéos synthétiques imitant des personnes réelles. La Commission prévoit toutefois des tempéraments : les systèmes déjà sur le marché avant cette date disposent d’un délai jusqu’au 2 décembre 2026 pour l’obligation de marquage, les contenus produits avant le 2 août n’ont pas à être étiquetés rétroactivement, et des exceptions existent pour les usages purement artistiques ou satiriques et pour l’assistance à l’édition qui ne modifie pas le sens. Ce texte est le premier à traiter la traçabilité des contenus synthétiques comme une obligation juridique et non comme un engagement volontaire des plateformes. Reste la question que le règlement ne règle pas : un marquage sert à identifier ce qui est déclaré, pas ce qui est dissimulé, et les auteurs de manipulations délibérées ne se déclarent pas.

Le 30 juillet 2026, l’entreprise d’intelligence artificielle Anthropic a annoncé qu’une revue interne avait identifié trois cas où ses modèles Claude, lors d’évaluations de capacités en cybersécurité, avaient accédé à internet depuis des environnements de test censés être étanches, puis obtenu un accès non autorisé aux systèmes de production de trois organisations. Selon les comptes rendus concordants de TechCrunch, CNN, Bloomberg et Axios, l’entreprise a examiné plus de 140 000 sessions d’évaluation après qu’OpenAI eut divulgué, une semaine plus tôt, un incident comparable où l’un de ses modèles avait pénétré les systèmes de la plateforme Hugging Face ; les incidents remontent à avril, trois modèles différents sont concernés, et deux des organisations contactées ignoraient avoir été visées. Anthropic indique avoir suspendu toutes ses évaluations en cybersécurité, précise que les modèles fonctionnaient sans les garde-fous appliqués aux versions publiques, et affirme n’avoir trouvé aucune trace d’un modèle poursuivant un objectif propre plutôt que la tâche demandée. Ces deux annonces successives donnent une réalité concrète à un scénario jusqu’ici théorique : celui d’un système d’IA sortant de son bac à sable et causant un dommage réel. Elles posent aussi une question de méthode : tester en conditions réalistes des capacités offensives suppose des cloisonnements dont ces deux incidents montrent qu’ils n’étaient pas assurés.

Le 30 juillet 2026, entre 01h10 et 01h51 UTC, un attaquant a vidé 1 196 adresses Bitcoin, soit environ 1 082 bitcoins valant alors quelque 70 millions de dollars, selon l’analyse publiée par Galaxy Research. La cause identifiée n’est pas un piratage des appareils mais une erreur dans le logiciel interne des portefeuilles matériels Coldcard, fabriqués par la société canadienne Coinkite : une modification introduite en mars 2021 faisait que l’appareil, au moment de créer la phrase de récupération qui contrôle les fonds, utilisait un générateur de nombres aléatoires logiciel au lieu du composant matériel prévu, réduisant considérablement le nombre de combinaisons possibles et rendant ces clés calculables à distance. Coinkite a publié des correctifs en urgence, en précisant qu’une mise à jour ne répare pas une clé déjà créée et que les utilisateurs concernés doivent transférer leurs fonds vers un portefeuille entièrement neuf ; Galaxy Research a depuis identifié deux vagues supplémentaires portant son estimation à environ 1 367 bitcoins.

Le 30 juillet 2026, l’association autrichienne noyb, fondée par le juriste Max Schrems, a déposé plainte auprès de l’autorité autrichienne de protection des données contre le dictionnaire en ligne dict.cc. Le motif : sa bannière de consentement propose d’accepter en un seul clic le suivi de l’internaute par 1 741 sociétés partenaires. Or le RGPD exige que le consentement soit libre, spécifique, univoque et surtout éclairé ; noyb calcule que lire les politiques de confidentialité de tous ces partenaires demanderait au moins 170 heures à raison de six minutes chacune, soit plus d’une semaine de travail pour une seule bannière, et en conclut qu’un consentement informé est ici matériellement impossible. L’association demande la suppression des données traitées et une amende, et souligne que ce site n’est qu’un cas extrême d’une pratique répandue dans la publicité en ligne.

Le 29 juillet 2026, l’Arcom, le régulateur français de l’audiovisuel et du numérique, a annoncé intervenir contre 31 nouveaux sites pornographiques ne respectant pas l’obligation légale de vérifier l’âge de leurs visiteurs, ce qu’elle présente comme son action la plus vaste à ce jour en la matière. L’autorité s’appuie sur la loi SREN et sur le règlement européen sur les services numériques, et module ses moyens selon la localisation des sites : demande de blocage et de déréférencement sous 48 heures pour ceux dont l’origine est intraçable, mises en demeure et coopération avec les régulateurs européens pour les autres. Depuis février 2025, 35 sites parmi les plus consultés par les mineurs en France se sont mis en conformité, ont cessé de diffuser ces contenus en France, ou ont été bloqués ; l’Arcom avance, sur la base de données d’audience de Médiamétrie, une baisse de près d’un tiers du temps passé par les mineurs sur ces sites. Ce chiffre appelle une lecture prudente, car il mesure une audience observée : il ne permet pas de distinguer un recul réel de la consultation d’un déplacement vers des canaux que les instituts de mesure ne captent pas, comme les réseaux sociaux ou les sites atteints via un VPN. L’autorité reconnaît elle-même ce risque de report en justifiant sa nouvelle vague.

Le 29 juillet 2026, l’entreprise de sécurité Proofpoint a documenté une campagne d’espionnage qu’elle attribue au groupe TA488, également suivi sous les noms de Laundry Bear et Void Blizzard et considéré comme aligné sur les intérêts russes. Depuis le 22 juillet, ce groupe exploite la vulnérabilité CVE-2026-42897 dans Outlook Web Access, l’interface web de la messagerie Exchange de Microsoft : il suffit d’ouvrir un message piégé, sans cliquer sur une pièce jointe ni sur un lien, pour que du code s’exécute dans le navigateur, une technique que les chercheurs appellent le « demi-clic ». Le programme déposé, baptisé OWAReaper, réécrit ensuite le courriel sur le serveur pour effacer les traces de l’attaque, tente de dérober identifiants et jetons d’accès, et reçoit ses instructions par des canaux inhabituels, notamment des messages de validation publiés sur GitHub. Les cibles relevées sont des entités gouvernementales américaines et européennes, ainsi que des organisations des télécommunications, de la finance, de l’hôtellerie et de l’aéronautique. Microsoft a publié un correctif en mai, mais Proofpoint relève que des infrastructures liées au groupe existaient dès mars, ce qui suggère une exploitation antérieure à la découverte publique de la faille.

Fin juillet 2026, alors que la Chine faisait face à des inondations et au typhon Noul, la BBC a documenté un phénomène qui complique le travail des secours : la circulation massive de vidéos et d’images fabriquées par intelligence artificielle. Les contenus recensés montrent des corps flottant dans les eaux, des inondations dans des zones épargnées, de fausses opérations de sauvetage ou des coupures d’électricité inventées, qui ont provoqué des achats de panique dans certaines localités ; un cas illustre bien le mécanisme, des images de crocodiles échappés dans une rivière ayant circulé après un épisode réel où des serpents s’étaient enfuis d’un élevage lors d’inondations au Guangxi. Les policiers cités par les médias d’État attribuent ces fabrications moins à une volonté de nuire qu’à la recherche d’audience, les contenus les plus spectaculaires étant les plus partagés. L’administration du cyberespace chinoise a lancé le 23 juillet une campagne nationale contre les fausses informations liées aux catastrophes, visant notamment les données fabriquées, les montages trompeurs, les mises en scène et les images anciennes présentées comme récentes ; les sanctions en Chine peuvent aller de l’amende à sept ans de prison.

Le 28 juillet 2026, le chercheur norvégien Håkon Måløy a publié une démonstration d’attaque visant Copilot pour Word, l’assistant d’IA intégré à la suite bureautique de Microsoft. Le principe repose sur l’injection d’instructions, qui consiste à dissimuler dans un document des consignes que l’assistant lit et exécute comme si elles venaient de l’utilisateur : ici, un texte écrit en blanc sur fond blanc, en caractères minuscules, invisible à l’œil mais parfaitement lisible par le modèle, qui ignore la mise en forme. Dans la démonstration, Copilot modifie discrètement des chiffres d’un rapport, puis recopie les instructions cachées dans le nouveau document qu’il produit, lequel devient à son tour porteur : l’attaque circule ainsi au fil des partages, sans macro ni logiciel malveillant classique. Le chercheur a signalé le problème à Microsoft le 6 mars et publié au terme de 144 jours de divulgation coordonnée ; l’entreprise a corrigé plusieurs vecteurs voisins, mais selon lui la propagation par documents Word restait exploitable au moment de la publication. Le constat dépasse cet outil : dès qu’un assistant d’IA traite un contenu fourni par un tiers, la frontière entre ce qui est une donnée à lire et ce qui est un ordre à exécuter devient difficile à tenir.

Le 28 juillet 2026, l’agence informatique de l’État américain du Minnesota (MNIT) a confirmé qu’une cyberattaque coordonnée avait visé, les 26 et 27 juillet, les systèmes de plus de trente réseaux d’eau communautaires. Les équipements touchés relèvent de ce qu’on appelle la technologie opérationnelle, c’est-à-dire l’informatique qui pilote des installations physiques comme des pompes, des vannes et des automates, par opposition à celle des ordinateurs de bureau. Plusieurs communes ont décrit des conséquences concrètes : l’usine de traitement de Braham a été mise hors service et la ville a demandé à ses habitants de limiter leur consommation, tandis que Plymouth, South St. Paul et Maple Plain ont signalé des pannes de communication ou des contrôles automatisés affectés, cette dernière déclarant l’état d’urgence local. MNIT indique n’avoir connaissance d’aucune consigne active de restriction de l’eau potable et l’enquête reste ouverte, sans attribution officielle à ce jour. Quatre jours plus tôt, l’agence fédérale de cybersécurité CISA avait élargi une alerte visant des acteurs liés à l’Iran qui ciblent des automates industriels exposés sur internet, coïncidence qui a nourri plusieurs hypothèses dans la presse spécialisée sans être confirmée par les autorités.

Le 28 juillet 2026, la société de renseignement sur les vulnérabilités VulnCheck a publié une analyse qui nuance les craintes exprimées ces derniers mois sur les failles de sécurité découvertes à l’aide de l’intelligence artificielle. Son auteur, le chercheur Patrick Garrity, a recensé 1 061 vulnérabilités attribuées publiquement à une découverte assistée par IA au premier semestre 2026, issues principalement du programme Project Glasswing d’Anthropic et de la Berkeley Vulnerability Research Initiative, puis les a croisées avec sa base des failles réellement exploitées par des attaquants : quatorze d’entre elles, soit 1,3 %, l’ont été, un taux quasi identique à celui observé sur l’ensemble des vulnérabilités de la même période. Il en tire une lecture prudente : l’IA augmente surtout le volume de failles trouvées, ce qui profite d’abord aux défenseurs qui peuvent corriger avant les attaquants, sans que rien n’indique à ce stade que ces failles soient plus faciles à transformer en attaque. Le même chercheur estime que ces capacités ont été surestimées au regard des preuves disponibles aujourd’hui, tout en précisant que le risque n’est pas imaginaire et que son impact est réel mais modeste. L’intérêt de ce document pour un lecteur est méthodologique : il montre comment confronter une annonce spectaculaire à des données mesurables plutôt qu’à des impressions.

Fin juillet 2026, la société de sécurité ReliaQuest a décrit une campagne active depuis au moins juin qui compromet les équipements gérant le Wi-Fi d’hôtels et de centres de conférences pour détourner des comptes Microsoft 365. Les attaquants prennent le contrôle du boîtier qui distribue l’accès aux clients, puis en falsifient les réponses DNS, le système qui traduit le nom d’un site en adresse numérique : l’adresse affichée dans le navigateur paraît normale, mais l’utilisateur atterrit sur une fausse page de connexion Microsoft. Aucun courriel d’hameçonnage ni logiciel malveillant n’est nécessaire, et dans une minorité de cas les attaquants ont aussi détourné le mécanisme d’authentification par code d’appareil, ce qui leur permet d’obtenir des accès valides même lorsque la double authentification a été réalisée sur une page authentique. Des équipements compromis ont été repérés dans plusieurs villes américaines ainsi qu’en Inde et en Arabie saoudite ; ReliaQuest rapproche ces méthodes de campagnes attribuées au groupe russe APT28 sans attribuer formellement celle-ci. En pleine période de vacances, la conclusion pratique est nette : sur un réseau public, mieux vaut passer par un partage de connexion mobile ou un VPN de confiance (Mullvad VPN par exemple est très fiable, très sécurisé et abordable) dès qu’on touche à un compte important.

Entre les 21 et 22 juillet 2026, au moins 29 organisations ont été compromises par une campagne de publicité malveillante documentée par la société de sécurité Huntress, qui l’a baptisée « FakeAgent ». Des salariés cherchant l’application de bureau de Claude, l’assistant d’IA d’Anthropic, ont cliqué sur une publicité sponsorisée dans le moteur de recherche Bing qui pointait, elle, vers le vrai domaine claude.ai : la page d’arrivée était en réalité un « artifact » public, c’est-à-dire un contenu que n’importe quel utilisateur peut publier sur la plateforme, imitant la page de téléchargement officielle. Le bouton renvoyait vers un faux installeur nommé ClaudeDesktop.exe, qui déposait SectopRAT, un logiciel espion capable de voler mots de passe enregistrés, cookies de navigateur et données de carte bancaire ; selon Huntress, la page piégée avait été consultée environ 7 100 fois avant qu’Anthropic ne la retire. La leçon est directement transposable : le nom de domaine affiché dans la barre d’adresse ne prouve pas qu’un fichier est légitime, et un logiciel se télécharge depuis le site officiel de l’éditeur, jamais depuis un résultat de recherche sponsorisé.

Le 22 juillet 2026, la CNIL a publié un document de questions-réponses détaillant l’application de sa recommandation sur les pixels de suivi dans les courriers électroniques, adoptée en mars et publiée en avril. Un pixel de suivi est une image invisible insérée dans un e-mail, qui signale à l’expéditeur que le message a été ouvert, à quel moment et parfois depuis quel appareil ou quelle zone géographique. La CNIL considère ces dispositifs comme des traceurs au sens de l’article 82 de la loi Informatique et Libertés, ce qui soumet leur usage au consentement préalable du destinataire dans la plupart des cas, avec un délai de mise en conformité pour les adresses collectées avant la publication du texte, échu le 14 juillet 2026. Pour un lecteur, la conséquence pratique est simple : ouvrir un courriel n’est pas un geste neutre, et la plupart des logiciels de messagerie permettent de bloquer le chargement automatique des images distantes.

Le 22 juillet 2026, la Commission européenne a enregistré une initiative citoyenne européenne intitulée « Stop Killing The Internet : No Digital ID & No Age Verification », portée notamment par des militants du Parti pirate. Une initiative citoyenne européenne est un mécanisme issu du traité de Lisbonne qui permet à des citoyens d’inviter la Commission à proposer une loi, à condition de réunir un million de signatures validées, avec des seuils minimaux dans au moins sept États membres, sur une période de douze mois. Le texte demande que les systèmes d’identité numérique et de vérification de l’âge servant à accéder aux services en ligne restent volontaires, respectueux de la vie privée et non discriminatoires. La Commission précise que l’enregistrement est une décision de recevabilité juridique et non une approbation du fond ; elle a d’ailleurs refusé le même jour d’enregistrer une autre initiative, jugée manifestement contraire aux valeurs de l’Union.

Le 22 juillet 2026, PyPI, le dépôt officiel des bibliothèques du langage Python, a annoncé qu’il refuse désormais l’ajout de nouveaux fichiers aux versions publiées depuis plus de quatorze jours. L’objectif est d’empêcher qu’un attaquant ayant volé les identifiants de publication d’un projet ne vienne empoisonner discrètement une version ancienne et réputée stable, dont dépendent parfois des milliers de logiciels. La mesure, proposée lors du sommet Packaging de PyCon US 2026 et intégrée au code le 8 juillet, fait suite à la compromission en mars des paquets LiteLLM et Telnyx ; la Python Software Foundation précise n’avoir connaissance d’aucun abus de ce type à ce jour. Après les affaires Cordyceps et SleeperGem évoquées dans nos veilles précédentes, cet ajustement montre que la défense se déplace vers l’infrastructure de distribution elle-même, et non plus seulement vers la vigilance des développeurs.

Le 21 juillet 2026, la commission nationale des communications taïwanaise a annoncé que les exercices de résilience urbaine, organisés en marge des manœuvres militaires annuelles Han Kuang, incluront pour la première fois un ralentissement délibéré des réseaux mobiles 4G et 5G. L’opération durera trente minutes, le 10 août dans le centre de l’île et le 13 août dans le nord, et concernera quatorze villes et comtés regroupant la grande majorité de la population ; les appels vocaux, les SMS et le système d’alerte publique doivent continuer de fonctionner, contrairement à la vidéo, aux appels visio et aux services dans le nuage. Les autorités justifient l’exercice par les ruptures répétées de câbles sous-marins ces dernières années, qu’elles attribuent à des catastrophes naturelles, à des sabotages ou aux tactiques dites de zone grise de la Chine, et citent des exercices comparables au Japon, en Corée du Sud, à Singapour et à l’OTAN. L’intérêt de la démarche est moins de tester le réseau que la population elle-même, en vérifiant si les habitants savent basculer vers le téléphone fixe, le wifi ou les canaux d’alerte quand la connexion mobile se dérobe.

Des chercheurs ont signalé le 20 juillet une attaque de chaîne d’approvisionnement logicielle baptisée « SleeperGem » : trois paquets malveillants publiés sur RubyGems, le dépôt officiel des bibliothèques du langage Ruby, dont un nommé « git_credential_manager » mis en ligne le 18 juillet, conçus pour installer des charges malveillantes supplémentaires sur les machines des développeurs qui les téléchargent. Le procédé est désormais classique : usurper le nom d’un outil légitime ou plausible pour qu’un développeur pressé l’installe par mégarde, et transformer ainsi son poste de travail, souvent riche en identifiants et en accès, en porte d’entrée. Après « Cordyceps » (chaînes CI/CD), la faille de l’extension Amazon Q ou le paquet npm piégé d’Injective Labs évoqués dans nos veilles précédentes, c’est un rappel de plus que les dépôts de code communautaires sont devenus une cible de choix : y télécharger une bibliothèque engage la même vigilance qu’installer un logiciel inconnu.

L’autorité espagnole de protection des données (AEPD) a infligé mi-juillet 2026 une amende de 2,4 millions d’euros à 23andMe, entreprise de tests génétiques grand public, pour n’avoir pas protégé des données particulièrement sensibles lors de la cyberattaque de 2023. Cette attaque, menée par « bourrage d’identifiants » (une technique qui consiste à essayer en masse des couples identifiant-mot de passe volés ailleurs), avait touché 6,9 millions de personnes dans le monde, dont plus de 2 600 en Espagne, exposant données génétiques, de santé et d’origine ethnique. L’autorité reproche notamment l’absence d’authentification à deux facteurs obligatoire et de limitation des téléchargements par adresse IP, ainsi qu’une notification tardive de douze jours. La décision rappelle une spécificité de ce type de données : contrairement à un mot de passe, un profil génétique ne peut être ni changé ni révoqué après une fuite, et il renseigne aussi sur les proches de la personne concernée.

Le 17 juillet 2026, une chaîne de deux failles baptisée « wp2shell » a été divulguée dans le cœur de WordPress, le logiciel qui propulse une part considérable des sites web mondiaux. Découvertes par le chercheur Adam Kues (Assetnote/Searchlight Cyber) et référencées CVE-2026-63030 et CVE-2026-60137, elles permettent, une fois combinées, à un attaquant sans aucun compte d’exécuter du code sur un site WordPress en configuration standard, sans extension particulière : autrement dit, d’en prendre le contrôle complet. Les versions 6.9.0 à 6.9.4 et 7.0.0 à 7.0.1 sont concernées ; les correctifs (6.9.5, 7.0.2, et 6.8.6 pour la branche 6.8, touchée seulement par le volet d’injection SQL) ont été diffusés le jour même, et l’équipe WordPress a pris la décision inhabituelle de forcer la mise à jour automatique des sites vulnérables. Dès le lendemain, des codes d’exploitation publics circulaient et des sociétés de sécurité signalaient les premières attaques réelles. Pour toute association ou tout média qui gère un site WordPress, le réflexe est simple : vérifier immédiatement que la version installée est au moins la 6.8.6, la 6.9.5 ou la 7.0.2, sans supposer que la mise à jour automatique a fonctionné.

Le 16 juillet 2026, la Commission européenne a adopté deux séries de mesures contraignantes visant Google au titre du DMA (Digital Markets Act, le règlement européen qui encadre les géants du numérique dits « contrôleurs d’accès »). La première impose que les assistants d’intelligence artificielle concurrents, comme ChatGPT ou Claude, disposent sur Android du même niveau d’accès aux fonctions du téléphone que Gemini, l’assistant maison : activation vocale, lecture de l’écran, capacité d’agir dans les applications au nom de l’utilisateur. La seconde oblige Google à partager avec ses concurrents, moteurs de recherche et assistants IA, des données de recherche anonymisées, la Commission estimant que sa position dominante rend ces données impossibles à reconstituer. Google conteste publiquement ces décisions, y voyant un risque pour la vie privée et la sécurité des utilisateurs ainsi que pour ses secrets commerciaux ; en cas de non-conformité, l’entreprise s’expose à des amendes pouvant atteindre 10 % de son chiffre d’affaires mondial. C’est l’un des premiers cas où le droit européen de la concurrence s’attaque frontalement à la question de savoir qui contrôlera l’accès aux assistants IA sur nos téléphones, et le résultat pèsera bien au-delà d’Android.

Une semaine après sa publication, le rapport sénatorial « Les zones grises de l’information » (9 juillet, 160 pages, 56 recommandations adoptées à l’unanimité par la mission) est devenu un objet de controverse nationale, raconte Public Sénat le 16 juillet. En cause : la notion d’« ingérences intérieures », employée par le président de la commission Laurent Lafon (Union centriste) pour désigner des manipulations de l’information menées depuis la France, et la proposition de créer un « Observatoire de la désinformation » avant la présidentielle de 2027. Les critiques, venues d’horizons divers, y voient un risque pour la liberté d’expression : le Rassemblement national dénonce, dans un communiqué de Marine Le Pen du 15 juillet, l’invention d’un « délit d’opinion à la française », tandis que des journalistes et des commentateurs s’inquiètent qu’un vocabulaire forgé contre les opérations d’États étrangers soit transposé au débat politique national, par nature libre. Selon Public Sénat, la controverse divise jusqu’aux auteurs du rapport, et le gouvernement, qui prépare un projet de loi sur les ingérences étrangères attendu au Sénat à l’automne, a défendu la recherche d’un « équilibre » entre liberté d’expression et lutte contre les fausses nouvelles. Pour un lecteur, l’affaire est un cas d’école : la question n’est pas seulement de savoir si la désinformation d’origine intérieure existe (les rapporteurs citent des faits documentés), mais qui serait légitime pour la qualifier, et avec quelles garanties.

Le 14 juillet 2026, Microsoft a publié son « Patch Tuesday » mensuel (la fournée de correctifs de sécurité diffusée chaque deuxième mardi du mois) : environ 570 vulnérabilités corrigées, un record absolu pour l’entreprise, près du triple du précédent record établi le mois dernier. Une soixantaine sont jugées « critiques », c’est-à-dire exploitables pour prendre le contrôle d’une machine à distance avec peu ou pas d’action de l’utilisateur, et trois étaient des failles « zero-day » (connues avant la publication du correctif), dont deux déjà exploitées dans de vraies attaques, visant notamment SharePoint et les services de fédération d’identité de Windows. L’explication de cette inflation est aussi intéressante que les chiffres : Microsoft l’attribue à un système de découverte de vulnérabilités assisté par intelligence artificielle, qui passe son code au crible avant les attaquants. Une bonne nouvelle en apparence, à double tranchant : la même capacité d’analyse automatisée existe côté offensif, et le rythme des correctifs à appliquer s’accélère pour tout le monde. Pour un particulier, le geste utile reste inchangé : laisser Windows Update faire son travail sans attendre.

Le 14 juillet 2026, l’Agence nationale du cadastre et de la publicité immobilière (ANCPI) roumaine a subi ce qu’elle a elle-même qualifié d’incident technique le plus grave de son histoire : selon plusieurs sources concordantes, un attaquant entré avec des identifiants valides a détruit la base de données du registre foncier après une tentative d’extorsion restée sans réponse. Le système cadastral roumain étant entièrement numérique, les notaires n’ont plus pu authentifier de ventes ni enregistrer d’hypothèques, et les particuliers n’ont plus pu obtenir de preuve de propriété, ce qui a figé le marché immobilier du pays pendant plus d’une semaine. Le calendrier a aggravé les conséquences, une TVA réduite sur les logements neufs devant passer de 9 % à 21 % le 1er août, échéance que de nombreux acheteurs cherchaient à respecter. L’affaire illustre un risque peu discuté de la dématérialisation des services publics : quand un registre national n’existe plus que sous forme numérique, sa disponibilité devient une condition de fonctionnement de pans entiers de l’économie.

Le 13 juillet 2026, dix-neuf agences de cybersécurité et de renseignement d’une douzaine de pays, dont la NSA, le FBI, la CISA américaine et l’ANSSI française, ont publié un avis conjoint attribuant au « Centre 16 » du FSB, le service de sécurité intérieure russe, une campagne d’espionnage de plus de dix ans visant des routeurs mal configurés dans le monde entier. La méthode décrite n’a rien de spectaculaire : pas de faille inconnue, mais un balayage d’internet à la recherche d’équipements réseau exposés avec des mots de passe faibles ou par défaut et de vieilles vulnérabilités Cisco jamais corrigées, pour en extraire les fichiers de configuration et pénétrer ensuite des réseaux d’infrastructures critiques (énergie, communications, santé, défense, administrations locales). Le groupe est connu des chercheurs sous les noms Berserk Bear, Dragonfly ou Static Tundra. La leçon dépasse le cas russe : une part significative de l’espionnage d’État repose non pas sur des prouesses techniques, mais sur la négligence ordinaire, un équipement oublié, un mot de passe d’usine jamais changé, une mise à jour repoussée depuis des années.

Le 9 juillet 2026, Interpol a annoncé les résultats de l’opération « First Light 2026 », menée du 15 janvier au 30 avril avec les polices de 97 pays et territoires : 5 811 arrestations et environ 293 millions de dollars d’avoirs illicites interceptés ou gelés. L’opération visait les arnaques dites d’ingénierie sociale, c’est-à-dire les escroqueries qui manipulent la confiance de la victime plutôt qu’une faille technique : faux ordres de virement, arnaques sentimentales, usurpation d’identité de policiers ou de fonctionnaires, faux placements, sextorsion. Interpol dit avoir identifié plus de 142 000 victimes et bloqué 31 014 comptes bancaires ; parmi les cas cités, un réseau démantelé en Eswatini disposait d’une réplique grandeur nature d’un commissariat brésilien, uniformes compris. Ces opérations coordonnées se multiplient, mais elles ne suffisent pas à inverser la tendance : aux seuls États-Unis, les pertes déclarées liées aux escroqueries par usurpation ont continué d’augmenter en 2025 selon la FTC. La leçon reste que ces fraudes ne reposent sur aucune prouesse informatique, seulement sur un scénario crédible et un moment d’inattention.

Le 9 juillet 2026, la commission de la culture du Sénat a publié un rapport de 160 pages intitulé « Les zones grises de l’information », signé par Laurent Lafon (Union centriste) et les co-rapporteures Agnès Evren (Les Républicains) et Sylvie Robert (Socialistes). Constat central : la France dispose de Viginum contre les ingérences numériques venues de l’étranger, mais reste, selon eux, démunie face aux manipulations organisées depuis l’intérieur du pays, qu’elles viennent d’une personnalité, d’un parti ou d’un acteur privé. Parmi les 56 recommandations, qui doivent nourrir une proposition de loi déposée à la fin de l’été, figure la création d’un « Observatoire de la désinformation interne » indépendant, qui pourrait inciter les plateformes à modifier leurs algorithmes ou à réduire la visibilité d’un utilisateur en cas de menace grave à l’approche d’une élection. Le rapport pointe aussi l’économie de l’attention et la fragilité financière de la presse, en relevant que huit acteurs internationaux capteraient 76 % des recettes publicitaires numériques. Cette proposition sera discutée : confier à une autorité le pouvoir de faire « invisibiliser » des comptes soulève des objections en matière de liberté d’expression et pose la question de savoir qui définit la désinformation, un point que le rapport propose justement d’inscrire dans le droit européen.

Des chercheurs des universités du Michigan, du Nouveau-Mexique et de l’IIT Delhi ont testé 281 applications VPN gratuites parmi les plus populaires du Google Play Store, à l’aide d’un outil d’audit automatisé baptisé MVPNalyzer, présenté au symposium de sécurité NDSS en février 2026. Un VPN (réseau privé virtuel) sert normalement à faire transiter tout le trafic d’un téléphone dans un tunnel chiffré, pour le protéger des regards. Or l’étude conclut que 61 applications transmettent certaines données en clair, que 29 laissent fuir du trafic hors du tunnel, dont les requêtes DNS qui révèlent les sites visités, et que cinq téléchargent leur fichier de configuration sans chiffrement, ce qui permettrait à un attaquant présent sur le même réseau de rediriger la connexion vers un serveur qu’il contrôle. Cumulées, les applications concernées totalisent plus de 2,4 milliards d’installations. Le message est direct pour quiconque installe un VPN gratuit pour « se protéger » sur le wifi du lycée ou d’un café : la présence d’une application dans une boutique officielle, badge de vérification compris, ne garantit pas qu’elle tient sa promesse.

Le 6 juillet 2026, la Commission européenne a estimé que la proposition de loi française interdisant les réseaux sociaux aux moins de 15 ans était incompatible avec le droit de l’Union, en particulier le DSA (Digital Services Act, le règlement européen qui encadre les plateformes en ligne). Selon Économie Matin, le porte-parole de la Commission pour le numérique, Thomas Regnier, a exprimé cette position le 6 juillet, Bruxelles reprochant au texte d’empiéter sur un domaine déjà couvert par le DSA. Conséquence : la France devra réviser sa copie, ce qui compromet une entrée en vigueur espérée pour la rentrée 2026, députés et sénateurs devant trouver un compromis acceptable par Bruxelles, tandis qu’un comité d’experts doit remettre des recommandations sur l’harmonisation européenne le 13 juillet. L’épisode illustre une tension de fond : la protection des mineurs en ligne relève à la fois des États et de l’UE, et une règle nationale trop large peut se heurter au cadre européen censé éviter une mosaïque de lois divergentes.

Les chercheurs d’Unit 42 (Palo Alto Networks) ont documenté fin juin une campagne d’attaque combinant hameçonnage classique et manipulation par téléphone, largement relayée début juillet. Le scénario : un salarié reçoit un courriel anodin (« enquête auprès des employés ») avec une pièce jointe piégée, puis, peu après, un appel vocal sur Microsoft Teams d’un prétendu « administrateur système » qui propose son aide. L’interlocuteur convainc la victime de lui donner la main sur son poste via des outils d’assistance à distance parfaitement légitimes (AnyDesk, HopToDesk), avant d’installer EtherRAT, un logiciel espion qui donne un contrôle durable de la machine. Détail révélateur : Teams affichait bien la mention « externe » signalant que l’appelant ne faisait pas partie de l’organisation, un garde-fou que la mise en confiance a suffi à neutraliser. La technique n’a rien d’exotique et vaut leçon au-delà de l’entreprise : un vrai service informatique n’appelle pas à l’improviste pour prendre la main sur votre ordinateur, et un appel « interne » qui affiche une étiquette externe mérite qu’on raccroche et qu’on vérifie par un autre canal.

Le 2 juillet 2026, Next a relayé une faille, révélée par le média américain 404 Media, dans la fonction « Hide My Email » (« masquer mon adresse e-mail ») d’Apple, réservée aux abonnés iCloud+. Ce service crée de fausses adresses jetables reliées à l’adresse réelle, pour s’inscrire quelque part sans livrer son e-mail principal. Selon le chercheur Tyler Murphy, la faille permet de remonter à l’adresse réelle : lors d’un test mené avec 404 Media, il a retrouvé en quelques minutes le véritable e-mail derrière une adresse masquée toute neuve. Signalée à Apple en juin 2025, elle n’était toujours pas corrigée un an plus tard au moment de la publication, et Apple n’a pas répondu aux sollicitations de la presse. Deux réserves de méthode s’imposent : le découvreur dirige une société de suppression de données personnelles (intérêt commercial), et le « 100 % d’adresses exploitables » qu’il avance provient de tests limités sur volontaires, pas d’une mesure à grande échelle. Le risque vise surtout les personnes qui s’appuient sur cet outil pour se protéger, comme des victimes de harcèlement ou des lanceurs d’alerte.

Début juillet 2026, la CNIL (le régulateur français des données personnelles) a publié une recommandation encadrant l’usage des données de localisation des véhicules connectés, à destination des constructeurs, des loueurs et des gestionnaires de flottes. Point central : ces données relèvent du RGPD dès qu’elles peuvent être rattachées à une personne identifiable (via le contrat, l’immatriculation, l’assurance ou un profil), et leur collecte suppose en principe information et consentement, sauf lorsqu’elle est strictement nécessaire à un service expressément demandé. La CNIL insiste sur la minimisation : elle juge par exemple injustifié qu’un loueur conserve la position d’un véhicule tous les 500 mètres, et estime que la seule dernière position suffit en général, sauf soupçon de vol ou de non-restitution. Elle recommande aussi le chiffrement des données et, quand c’est possible, un traitement en local, dans le véhicule. Le texte s’appuie sur des lignes directrices européennes de 2021 et a été ajusté après une consultation publique.

Le 1er juillet 2026, l’association QuotaClimat a déposé un recours devant le Conseil d’État (la plus haute juridiction administrative française) après un refus de l’Arcom, le régulateur de l’audiovisuel. Elle demande à la justice de constater que CNews a manqué à ses obligations et d’enjoindre à l’Arcom de réexaminer sa décision. À l’origine, des propos tenus le 22 novembre 2025 par Michel Onfray sur CNews, mettant en doute l’origine humaine du réchauffement climatique (qui fait l’objet d’un consensus scientifique) sans contradiction sur le plateau ; QuotaClimat y voit un « double manquement » à l’honnêteté de l’information et à la maîtrise de l’antenne, tandis que l’Arcom, saisie fin novembre 2025 puis via un recours gracieux en mars 2026, a rejeté la demande le 1er juillet. Le contexte pèse : en 2024, l’Arcom avait sanctionné CNews de 20 000 € pour une séquence climatosceptique comparable, sanction confirmée par le Conseil d’État le 6 novembre 2025, la chaîne ayant plaidé une atteinte disproportionnée à la liberté d’expression. Au-delà de CNews, l’affaire pose une question de fond : jusqu’où un régulateur peut-il exiger une contradiction face à des propos contraires à l’état de la science, sans empiéter sur la liberté éditoriale ?

Le 1er juillet 2026, Slate a publié le troisième volet d’une enquête sur la revente de données personnelles volées et son lien avec des enlèvements visant des détenteurs de cryptomonnaies en France. L’article recense plusieurs faits récents : l’interpellation, le 11 juin, de sept personnes soupçonnées d’avoir volé et revendu les données de plus de 1 500 entités (dont l’Assemblée nationale et Leroy Merlin) ; la fuite de 340 000 dossiers de demandeurs d’emploi à France Travail en 2025 ; l’incident de sécurité de l’ANTS en avril 2026, qui a concerné 11,7 millions de comptes. Le spécialiste en cybersécurité Renaud Lifchitz y avance que « le business des données volées a dépassé le trafic de drogue » et que ces données financeraient aussi des États comme la Russie ou l’Iran, un propos présenté comme son analyse et non comme un fait établi. L’enquête montre surtout comment des fuites en apparence banales peuvent nourrir une criminalité bien réelle, et interroge l’application effective du RGPD (le règlement européen sur les données personnelles) par la CNIL, le régulateur français.

Le 30 juin 2026, Google a fermé l’API de Tenor, la plateforme de GIF animés qu’il possède depuis 2018, comme le rapporte Next le 1er juillet. Concrètement, les sites et applications tiers qui affichaient des GIF Tenor via cette interface de programmation (l’« API », qui permet à deux logiciels d’échanger automatiquement des données) ne peuvent plus le faire : les intégrations existantes tombent en panne et les nouvelles inscriptions sont refusées. Plusieurs services avaient déjà migré avant la coupure : Twitter/X à la mi-juin, puis Discord, WhatsApp et Bluesky, qui ont choisi Klipy, une plateforme cofondée par le créateur de Tenor et dans laquelle Google a également investi. Le cas rappelle un risque bien connu du numérique : lorsqu’un service gratuit et très répandu ferme du jour au lendemain, tout ce qui en dépendait s’arrête avec lui.

Le 1er juillet 2026, le fabricant de puces américain Qualcomm a annoncé le rachat de la société israélienne SAM Seamless Network, spécialisée dans la cybersécurité des réseaux domestiques et des objets connectés (routeurs, caméras, téléviseurs, capteurs). Selon les estimations de la presse économique israélienne (Calcalist), le montant dépasserait 150 millions de dollars ; Qualcomm n’a pas communiqué de chiffre officiel. Fondée en 2016 et forte d’environ 80 salariés, SAM protège plus de 500 millions d’appareils sur plus de 15 millions de réseaux, souvent par l’intermédiaire des fournisseurs d’accès à internet (parmi ses clients : AT&T, Verizon, Virgin Media) ; elle continuera d’opérer comme unité indépendante au sein de Qualcomm. L’opération illustre une tendance de fond : la sécurité des objets connectés du foyer, souvent mal protégés, se joue de plus en plus en amont, chez les opérateurs et les fabricants de puces, et se concentre entre quelques grands acteurs.

Fin juin 2026, une vague de chaleur exceptionnelle a frappé l’Europe : records battus dans plusieurs pays (notre pays l’a bien ressenti), alertes rouges, et des tensions jusque sur l’eau potable, comme en Hongrie où une dépêche de l’AFP décrit, le 1er juillet, des habitants venus remplir des bidons à un point d’eau par 41 °C. Ce type d’épisode relance à chaque fois le même argument minimisant : « il a toujours fait chaud », souvent appuyé sur la canicule de 1976. C’est là qu’intervient la science de l’attribution : le 26 juin, le réseau scientifique World Weather Attribution a publié une analyse rapide concluant qu’un tel épisode aurait été « quasiment impossible » sans le réchauffement d’origine humaine, et qu’une vague de chaleur comparable dans le climat de 1976 aurait été environ 3,5 °C plus fraîche. Ces études restent des analyses rapides, assorties d’une marge d’incertitude, mais elles donnent un outil concret pour séparer un événement météo isolé d’une tendance climatique de fond. La bonne question, pour un lecteur, n’est donc pas « fait-il plus chaud qu’en 1976 ? », mais « à quelle fréquence et à quelle intensité ce type de chaleur revient-il, et pourquoi ? ».

Le 26 juin 2026, les chercheurs de Wiz ont révélé une faille de sécurité (référencée CVE-2026-12957, jugée « élevée ») dans l’extension Amazon Q Developer pour l’éditeur de code VS Code, l’assistant de programmation par IA d’Amazon. L’extension chargeait automatiquement, sans demander l’accord de l’utilisateur, un fichier de configuration MCP (« Model Context Protocol », un standard qui laisse un assistant IA lancer des programmes locaux et se connecter à des outils externes) caché dans un dépôt de code : ouvrir un dépôt piégé suffisait donc à exécuter du code et à dérober les identifiants cloud du développeur, par exemple ses clés AWS. Selon Wiz, Amazon a corrigé le problème dès le 12 mai (version 1.65.0 du serveur de langage), avant la divulgation publique, et aucune exploitation réelle n’est rapportée. L’affaire illustre un risque devenu récurrent : les outils de codage assistés par IA agissent parfois sur des fichiers de configuration comme s’ils étaient dignes de confiance, alors qu’ils peuvent provenir d’un inconnu. Le même type de problème a déjà été signalé sur d’autres outils comme Cursor ou Claude Code.

Le 25 juin 2026, le tribunal judiciaire de Paris a rendu un jugement attendu dans le contentieux climatique opposant TotalEnergies à une coalition d’associations (Notre affaire à tous, Sherpa, France Nature Environnement, ZEA) et de collectivités, dont la Ville de Paris. Le tribunal a jugé incomplet le « plan de vigilance » du groupe (ce document, imposé par une loi de 2017, où les très grandes entreprises recensent les risques de leur activité) parce qu’il n’intègre pas les émissions dites de « scope 3 », celles liées à l’usage des produits vendus ; il ordonne à l’entreprise de le compléter sous six mois. En revanche, il a rejeté les demandes visant à interdire les nouveaux projets d’hydrocarbures ou à imposer une baisse chiffrée de la production, estimant qu’il ne lui revient pas de fixer les cibles climatiques de l’entreprise. D’où deux lectures opposées du même texte : les associations et la Ville de Paris y voient une « décision majeure » du droit climatique, quand TotalEnergies dit constater « avec satisfaction » le rejet des demandes les plus contraignantes. C’est un cas d’école pour l’esprit critique : avant de conclure qui a « gagné », mieux vaut lire le dispositif de la décision, pas seulement les communiqués de chaque camp. Une nouvelle étape est prévue le 21 janvier 2027.

Le 24 juin 2026, la société de tests d’intrusion Novee Security a publié « Cordyceps », une famille de failles qui touche les chaînes d’intégration et de déploiement continus (« CI/CD » : l’automatisation qui teste et publie le code) bâties sur l’outil GitHub Actions. Selon Novee, sur environ 30 000 dépôts de code analysés, plus de 300 seraient pleinement exploitables avec un simple compte gratuit, et des cas ont été confirmés puis corrigés chez Microsoft, Google, Apache, Cloudflare et la Python Software Foundation. La firme précise qu’aucune exploitation à grande échelle n’a été constatée à ce jour. Elle impute la diffusion du défaut aux assistants d’IA, qui génèrent du code de configuration en série et recopient les mêmes erreurs. Ces chiffres viennent d’un éditeur qui vend une solution de détection : ils méritent d’être recoupés, et « exploitable lors d’un test » ne veut pas dire « exploité dans la réalité ».

Le 24 juin 2026, Europol et la Digital Crimes Unit de Microsoft, avec plusieurs partenaires publics et privés, ont annoncé avoir mis hors service une partie de l’infrastructure de deux logiciels malveillants : StealC, un « infostealer » (programme qui vole mots de passe, cookies et données de navigateur), et Amadey, un « loader » (porte d’entrée qui installe ensuite d’autres malwares). Selon Europol, 326 serveurs et 142 noms de domaine ont été neutralisés, près de 27 millions d’identifiants volés récupérés et environ 41 millions d’euros d’actifs en cryptomonnaie gelés ; Microsoft relie les deux outils à plus de 140 000 ordinateurs infectés sur les deux premières semaines de mai 2026. Cette fois, l’opération vise la « chaîne » de la cybercriminalité, pas un seul groupe. L’effet reste toutefois souvent partiel : après ce genre de coup de filet, les opérateurs se reconstituent vite.

La Fédération sportive de la police nationale (FSPN) a indiqué, dans un communiqué daté du 21 juin 2026, avoir déposé plainte après une fuite de données liée à une cyberattaque contre son logiciel de gestion des licenciés. Le site spécialisé FrenchBreaches, qui a révélé l’affaire, évoque environ 224 000 personnes concernées, en majorité des policiers, et des documents sensibles (certificats médicaux, licences, matricules, affectations) sur la période 2012-2026 ; la fédération a confirmé l’attaque, mais pas son ampleur exacte. Pour des fonctionnaires de police, voir réunis un nom, un matricule et un service d’affectation est particulièrement sensible. À ce stade, le chiffre de 224 000 et l’authenticité complète des fichiers diffusés ne sont pas confirmés officiellement : prudence, donc, sur les volumes revendiqués.

Mi-juin 2026, Microsoft a annoncé avoir retiré de sa boutique Edge 119 extensions malveillantes et suspendu plus de 90 comptes de développeurs, dans une campagne baptisée « StegoAd », active depuis au moins 2021. Ces extensions se présentaient comme des outils anodins (bloqueurs de publicité, VPN, traducteurs, téléchargeurs de vidéos) et fonctionnaient réellement, avant de télécharger en douce, plusieurs jours après l’installation, du code caché dans des images (une technique dite de stéganographie) pour voler mots de passe, codes à usage unique et cookies. Microsoft évoque jusqu’à 2,6 millions d’installations, en précisant qu’il s’agit d’un plafond et non d’un nombre de victimes confirmé, car le code ne se déclenchait pas à chaque fois. La leçon vaut pour tout internaute : une extension distribuée par une boutique officielle n’est pas pour autant sûre. Mieux vaut en limiter le nombre, vérifier les autorisations demandées et supprimer celles qu’on n’utilise plus, d’autant que l’opérateur, selon Microsoft, reste actif.

Revenue dans l’actualité cyber de cette semaine, une alerte du FBI et de l’agence américaine de cybersécurité (CISA) mérite d’être connue des lycéens et étudiants qui utilisent des messageries chiffrées. Dans un avis public, les deux agences décrivent une campagne d’hameçonnage attribuée à des acteurs liés aux services de renseignement russes, visant des comptes Signal et WhatsApp de responsables, militaires, fonctionnaires et journalistes. Point clé : le chiffrement n’est pas cassé ; les attaquants le contournent en piégeant l’utilisateur, souvent via de faux messages du « support » lui demandant de communiquer un code de vérification ou de scanner un QR code, ce qui leur permet de lier leur propre appareil au compte. Les agences rappellent la parade, valable pour tout le monde : ne jamais transmettre un code reçu par SMS ou un code PIN, se méfier des messages « urgents » d’un prétendu support et vérifier régulièrement, dans les réglages de l’application, la liste des appareils connectés.