Téma la taille du RAT !

Une nouvelle attaque sur la supply chain, avec un projet (Axios) téléchargé plus de 100 millions de fois par semaine. Le pirate avait bien préparé son coup avec un effacement automatique des traces et des attaques prêtes pour Windows, macOS et Linux afin de récupérer des secrets et autres données sensibles sur les machines infectées.

Axios est, selon sa propre définition, un client HTTP qui « propose une bibliothèque facile à utiliser et à étendre, le tout dans un tout petit package ». L’installation est des plus simple, avec npm install axios par exemple.

« Aucune ligne de code malveillant à l’intérieur même » d’Axios

La bibliothèque JavaScript est extrêmement populaire, avec plus de 100 000 étoiles et 11 000 forks sur GitHub, et on la retrouve dans de nombreux projets. Axios est téléchargé plus de 100 millions de fois par semaine sur npm.

Problème, le compte d’un des développeurs a été piraté et des versions vérolées d’Axios ont été mises en ligne, les 1.14.1 et 0.30.4 pour être précis, comme l’explique sur X Feross Aboukhadijeh, CEO et fondateur de la plateforme de cybersécurité Socket.dev.

Un billet de blog a aussi été publié, expliquant que cette attaque permet au pirate « d’exécuter des commandes arbitraires, d’exfiltrer les données système et de persister sur les machines infectées ». Le danger est donc bien réel, avec des conséquences potentiellement graves.

StepSecurity, une autre société de cybersécurité, détaille le fonctionnement de l’attaque : « Il n’y a aucune ligne de code malveillant à l’intérieur même de la bibliothèque Axios, et c’est précisément ce qui rend cette attaque si dangereuse. Les deux versions empoisonnées injectent une fausse dépendance, plain-crypto-js version 4.2.1, un paquet qui n’est jamais importé dans le code source Axios, dont le seul but est d’exécuter un script post-installation qui déploie un cheval de Troie d’accès à distance [ou RAT, ndlr] multiplateforme ».

L’attaquant s’était bien préparé avec des charges utiles pour Windows, macOS et Linux, adaptées à chaque système pour être la plus discrète possible.

Plain-crypto-js 4.2.1 et c’est le drame

Pire encore, une fois installé, le logiciel malveillant fait tout pour supprimer ses traces. Il modifie sa version pour passer en plain-crypto-js 4.2.0 (publiée juste avant la 4.2.1 par le pirate, mais sans charge malveillante pour s’acheter une bonne conduite). Ainsi, un simple npm list après une infection indiquera plain-crypto-js 4.2.0 alors que la 4.2.1 vérolée a été en place et a déjà propagé sa charge malveillante dans le système.

Plain-crypto-js 4.2.0 est une copie de la bibliothèque crypto-js 4.2.0 (15 millions de téléchargements par semaine sur npm), un projet qui existe vraiment et tout ce qu’il y a de plus légitime. 18 heures après la mise en ligne de la version 4.2.0 de plain-crypto-js, la version 4.2.1 est mise à jour avec la charge malveillante. Avec cette « astuce », plain-crypto-js n’est plus un « nouveau » paquet sorti de nulle part, il a déjà un historique… certes fabriqué de toutes pièces pour paraitre légitime, mais un historique quand même.

La seule trace de son passage semble être la présence d’un répertoire node_modules/plain-crypto-js (une dépendance qui n’a jamais été ajoutée, officiellement, à Axios). Avec la commande find ~ -path "*/node_modules/plain-crypto-js" 2 >/dev/null vous pouvez faire une recherche automatique. Le serveur de commande et contrôle (C2) utilisé par les pirates est sfrclak[.]com:8000.

Un seul compte piraté et Axios embarque une charge malveillante

Pour arriver à leur fin, les attaquants ont piraté le compte du principal mainteneur du projet, Jason Saayman, et son adresse e-mail a été modifiée. Ils ont ajouté la dépendance vérolée à Axios, qui est passé en 1.14.1 pour l’occasion. 39 minutes plus tard, c’était au tour de la version 0.30.4 d’être mise en ligne avec la même modification, histoire de maximiser la surface d’attaque en ciblant deux branches.

Les deux versions sont publiées sur npm directement avec le compte « officiel » (mais piraté) de Jason Saayman. Elles sont donc validées via un token npm classique, sans avoir à passer par la vérification GitHub. Les deux ne sont d’ailleurs pas apparues sur la plateforme de code de Microsoft.

La charge est restée moins de 3 h en ligne

npm a rapidement retiré les deux versions pour revenir aux précédentes (1.14.0 et 0.30.3). La mouture 1.14.1 « était en ligne depuis environ 2 heures et 53 minutes, la 0.30.4 depuis environ 2 heures et 15 minutes », explique StepSecurity. Plain-crypto-js a également été supprimé. Sur npm, il est désormais indiqué que « ce paquet contenait un code malveillant et a été retiré du registre par l’équipe de sécurité de npm ». La page indique 108 téléchargements pour plain-crypto-js.

Socket.dev a trouvé la trace de plain-crypto-js dans les dépendances de deux autres projets : shadanai/openclaw et qqbrowser/openclaw-qbot. Socket.dev précise qu’il « est probable que ces deux paquets ont été ajoutés et publiés alors qu’Axios 1.14.1 était la version « latest », récupérant la dépendance malveillante de manière transitive plutôt que via une injection délibérée ».

« Une seule dépendance compromise peut se propager en cascade »

Autre conséquence, pour l’entreprise : « Cela rappelle que, à mesure que les outils d’IA et les pipelines de build automatisés accélèrent le rythme de publication des paquets, une seule dépendance compromise peut se propager en cascade à travers l’écosystème en quelques heures ».

Pensez à vérifier ce qu’il en est sur vos machines ! Avec l’IA générative et la génération automatique de code, vous pouvez très bien vous retrouver avec Axios installé sans même le soupçonner. Bien évidemment, il en est de même pour ceux qui utilisent Axios de manière consciente.

Pour Amit Geynis, responsable Malware Research chez JFrog (société spécialisée dans la gestion de la supply chain), « la compromission d’Axios rappelle que les attaques complexes et multi-plateformes de la chaîne d’approvisionnement se multiplient. La menace est à la fois réelle et systémique : l’installation d’un package s’accompagne de l’intégration de nombreuses dépendances associées, que vous ne contrôlez pas mais auxquelles vous devez pourtant accorder votre confiance ».

Cette histoire n’est pas sans rappeler la récente attaque contre Trivy puis LiteLLM, mais sans avoir de lien a priori selon plusieurs experts. Ces attaques rappellent une fois de plus (s’il en était besoin) le risque de la supply chain : les pirates n’attaquent pas directement des infrastructures mais vérolent des briques (open source) pour pénétrer des systèmes, récupérer des secrets et mots de passe, installer des logiciels, etc.

• Trivy, LiteLLM : la folle histoire d’une cyberattaque qui se propage à toute vitesse

Téma la taille du RAT !

Une nouvelle attaque sur la supply chain, avec un projet (Axios) téléchargé plus de 100 millions de fois par semaine. Le pirate avait bien préparé son coup avec un effacement automatique des traces et des attaques prêtes pour Windows, macOS et Linux afin de récupérer des secrets et autres données sensibles sur les machines infectées.

Axios est, selon sa propre définition, un client HTTP qui « propose une bibliothèque facile à utiliser et à étendre, le tout dans un tout petit package ». L’installation est des plus simple, avec npm install axios par exemple.

« Aucune ligne de code malveillant à l’intérieur même » d’Axios

La bibliothèque JavaScript est extrêmement populaire, avec plus de 100 000 étoiles et 11 000 forks sur GitHub, et on la retrouve dans de nombreux projets. Axios est téléchargé plus de 100 millions de fois par semaine sur npm.

Problème, le compte d’un des développeurs a été piraté et des versions vérolées d’Axios ont été mises en ligne, les 1.14.1 et 0.30.4 pour être précis, comme l’explique sur X Feross Aboukhadijeh, CEO et fondateur de la plateforme de cybersécurité Socket.dev.

Un billet de blog a aussi été publié, expliquant que cette attaque permet au pirate « d’exécuter des commandes arbitraires, d’exfiltrer les données système et de persister sur les machines infectées ». Le danger est donc bien réel, avec des conséquences potentiellement graves.

StepSecurity, une autre société de cybersécurité, détaille le fonctionnement de l’attaque : « Il n’y a aucune ligne de code malveillant à l’intérieur même de la bibliothèque Axios, et c’est précisément ce qui rend cette attaque si dangereuse. Les deux versions empoisonnées injectent une fausse dépendance, plain-crypto-js version 4.2.1, un paquet qui n’est jamais importé dans le code source Axios, dont le seul but est d’exécuter un script post-installation qui déploie un cheval de Troie d’accès à distance [ou RAT, ndlr] multiplateforme ».

L’attaquant s’était bien préparé avec des charges utiles pour Windows, macOS et Linux, adaptées à chaque système pour être la plus discrète possible.

Plain-crypto-js 4.2.1 et c’est le drame

Pire encore, une fois installé, le logiciel malveillant fait tout pour supprimer ses traces. Il modifie sa version pour passer en plain-crypto-js 4.2.0 (publiée juste avant la 4.2.1 par le pirate, mais sans charge malveillante pour s’acheter une bonne conduite). Ainsi, un simple npm list après une infection indiquera plain-crypto-js 4.2.0 alors que la 4.2.1 vérolée a été en place et a déjà propagé sa charge malveillante dans le système.

Plain-crypto-js 4.2.0 est une copie de la bibliothèque crypto-js 4.2.0 (15 millions de téléchargements par semaine sur npm), un projet qui existe vraiment et tout ce qu’il y a de plus légitime. 18 heures après la mise en ligne de la version 4.2.0 de plain-crypto-js, la version 4.2.1 est mise à jour avec la charge malveillante. Avec cette « astuce », plain-crypto-js n’est plus un « nouveau » paquet sorti de nulle part, il a déjà un historique… certes fabriqué de toutes pièces pour paraitre légitime, mais un historique quand même.

La seule trace de son passage semble être la présence d’un répertoire node_modules/plain-crypto-js (une dépendance qui n’a jamais été ajoutée, officiellement, à Axios). Avec la commande find ~ -path "*/node_modules/plain-crypto-js" 2 >/dev/null vous pouvez faire une recherche automatique. Le serveur de commande et contrôle (C2) utilisé par les pirates est sfrclak[.]com:8000.

Un seul compte piraté et Axios embarque une charge malveillante

Pour arriver à leur fin, les attaquants ont piraté le compte du principal mainteneur du projet, Jason Saayman, et son adresse e-mail a été modifiée. Ils ont ajouté la dépendance vérolée à Axios, qui est passé en 1.14.1 pour l’occasion. 39 minutes plus tard, c’était au tour de la version 0.30.4 d’être mise en ligne avec la même modification, histoire de maximiser la surface d’attaque en ciblant deux branches.

Les deux versions sont publiées sur npm directement avec le compte « officiel » (mais piraté) de Jason Saayman. Elles sont donc validées via un token npm classique, sans avoir à passer par la vérification GitHub. Les deux ne sont d’ailleurs pas apparues sur la plateforme de code de Microsoft.

La charge est restée moins de 3 h en ligne

npm a rapidement retiré les deux versions pour revenir aux précédentes (1.14.0 et 0.30.3). La mouture 1.14.1 « était en ligne depuis environ 2 heures et 53 minutes, la 0.30.4 depuis environ 2 heures et 15 minutes », explique StepSecurity. Plain-crypto-js a également été supprimé. Sur npm, il est désormais indiqué que « ce paquet contenait un code malveillant et a été retiré du registre par l’équipe de sécurité de npm ». La page indique 108 téléchargements pour plain-crypto-js.

Socket.dev a trouvé la trace de plain-crypto-js dans les dépendances de deux autres projets : shadanai/openclaw et qqbrowser/openclaw-qbot. Socket.dev précise qu’il « est probable que ces deux paquets ont été ajoutés et publiés alors qu’Axios 1.14.1 était la version « latest », récupérant la dépendance malveillante de manière transitive plutôt que via une injection délibérée ».

« Une seule dépendance compromise peut se propager en cascade »

Autre conséquence, pour l’entreprise : « Cela rappelle que, à mesure que les outils d’IA et les pipelines de build automatisés accélèrent le rythme de publication des paquets, une seule dépendance compromise peut se propager en cascade à travers l’écosystème en quelques heures ».

Pensez à vérifier ce qu’il en est sur vos machines ! Avec l’IA générative et la génération automatique de code, vous pouvez très bien vous retrouver avec Axios installé sans même le soupçonner. Bien évidemment, il en est de même pour ceux qui utilisent Axios de manière consciente.

Pour Amit Geynis, responsable Malware Research chez JFrog (société spécialisée dans la gestion de la supply chain), « la compromission d’Axios rappelle que les attaques complexes et multi-plateformes de la chaîne d’approvisionnement se multiplient. La menace est à la fois réelle et systémique : l’installation d’un package s’accompagne de l’intégration de nombreuses dépendances associées, que vous ne contrôlez pas mais auxquelles vous devez pourtant accorder votre confiance ».

Cette histoire n’est pas sans rappeler la récente attaque contre Trivy puis LiteLLM, mais sans avoir de lien a priori selon plusieurs experts. Ces attaques rappellent une fois de plus (s’il en était besoin) le risque de la supply chain : les pirates n’attaquent pas directement des infrastructures mais vérolent des briques (open source) pour pénétrer des systèmes, récupérer des secrets et mots de passe, installer des logiciels, etc.

• Trivy, LiteLLM : la folle histoire d’une cyberattaque qui se propage à toute vitesse

My(ch)to

Anthropic nouvelle reine de la com’ ? L’entreprise sait en tout cas faire parler d’elle… quitte parfois à embellir plus ou moins la réalité. Une chose est sûre, le marché, les médias et le grand public peinent parfois à bien comprendre les contours d’une annonce, ce qui renforce l’inquiétude et/ou les espoirs face aux possibilités de l’IA.

Anthropic est une société américaine d’intelligence artificielle, fondée en 2021 par d’anciens d’OpenAI, qui commercialise et décline dans plusieurs formats son IA générative maison : Claude. Elle est basée à San Francisco, aux États-Unis.

Comme OpenAI, Anthropic multiplie les annonces dans sa « newsroom », avec plusieurs dizaines de communiqués rien que pour 2026. Dernièrement, Anthropic a fait parler d’elle non pas avec une annonce officielle, mais avec une bourde : un communiqué maison et des milliers de documents mis en ligne… soi-disant trop tôt à cause d’une « erreur humaine ».

Anthropic Mythos, une IA « légendaire » ? En tout cas, elle fait parler !

Free chat dans 135 pays

Un nouveau forfait Free Max à 29,99 euros par mois permet de profiter d’un accès à Internet illimité dans pas moins de 135 pays. Il propose aussi des appels vers les mobiles en Europe et reprend ensuite les options du forfaits Free 5G+ à 19,99 euros par mois.

Free tenait ce matin une conférence de presse pour annoncer un nouveau forfait : Max. Il vient se placer au-dessus des forfaits à 2 euros et Free à 19,99 euros (hors promotions liées à des avantages Freebox). Il est proposé à 29,99 euros par mois et, comme les autres, il est sans engagement. Les anciens abonnés Free 2 € ou 5G+ peuvent évidemment migrer vers la nouvelle offre.

Internet mobile illimité en France et « depuis plus de 135 destinations »

Free Max propose de la 3G, 4G, 5G et 5G+ en illimité en France métropolitaine. 4G et 5G étaient déjà illimitées avec le forfait Free 5G+, mais pour les abonnés Freebox seulement (350 Go pour les autres), mais la 3G était limitée à 350 Go (3 Go seulement avec un smartphone 3G seulement). Cette distinction saute… mais rappelons que les réseaux 3G sont en fin de vie et que Free a éteint le sien fin 2025 et qu’il ne passe désormais que par Orange pour la 3G avec un débit limité à 384 kb/s.

• Free Mobile abandonne officiellement sa 3G

Par contre il est aussi question d’illimité à l’étranger « en 5G ou 4G » dans plus de 135 destinations, dont l’Europe, les DOM, les États-Unis, le Canada, le Maroc, l’Algérie, la Tunisie, la Chine, le Japon, la Thaïlande, le Brésil… Le forfait Free 5G+ ne propose, pour rappel, « que » 35 Go depuis 117 destinations. Les nouvelles destinations ne sont (pour le moment ?) pas répercutées sur le forfait Free 5G+.

Appels illimités en France, mais aussi vers les mobiles en Europe

Comme avec le forfait Free 5G+, les appels vers les mobiles et fixes de France, mobiles aux États-Unis, au Canada, en Alaska, à Hawaï, en Chine et dans les DOM, ainsi que vers les fixes de 100 destinations, sont illimités. Nouveauté de Free Max, c’est aussi le cas des appels vers les mobiles d’Europe, de la Suisse et d’Andorre.

Sont également inclus, comme avec le forfait Free 5G+, l’option eSIM watch pour une montre connectée, le service VPN mVPN et l’appli Free TV+. L’abonnement est à 29,99 euros par mois, sans engagement. La carte SIM est facturée 10 euros.

19,99 euros par mois avec Avantages Free Family

Le forfait est compatible avec Avantages Free Family : « pour les abonnés Freebox et Box 5G, réduction de 10 €/mois sur le Forfait Free Max (soit 19,99 €/mois), dans la limite de quatre forfaits ». Free ajoute : le « nombre de réductions avantages abonné Freebox ou Box 5G et Free Family sur le Forfait Free 5G+ et Free Max [est] valable dans la limite de quatre forfaits ».

Il y a quelques jours, l’opérateur s’est d’ailleurs engagé sur ses tarifs des deux forfaits qui sont « bloqués jusqu’en 2027 ». Seule la Série Free promotionnelle n’est pas concernée. Rien n’est pour le moment précisé pour Max.

Voici enfin la liste complète des destinations comprises dans l’Internet mobile illimité, selon la brochure tarifaire du 31 mars 2026 : Açores (Les), Afrique du Sud, Aland (Iles), Alaska, Algérie, Allemagne, Angleterre, Argentine, Arménie, Australie, Autriche, Azerbaïdjan, Baléares (Les), Bangladesh, Bahreïn, Belgique, Biélorussie, Bolivie, Brésil, Bulgarie, Canada, Canaries (Les), Chatham (Ile), Chine, Chypre, Chypre du Nord, Colombie, Comores, Corée du Sud, Corfou (Ile), Costa Rica, Crète (Ile), Croatie, Cyclades (Les), Danemark, Écosse, Égypte, Émirats arabes unis, Équateur, Espagne, Estonie, États-Unis, Féroé (Iles), Fidji, Finlande, Géorgie, Gibraltar, Grèce, Guadeloupe, Guatemala, Guernesey, Guyane Française, Hawaï, Honduras, Hong-Kong, Hongrie, Île de Man, Îles Vierges américaines, Inde, Indonésie, Irlande, Irlande du Nord, Islande, Israël, Italie, Japon, Jersey, Kazakhstan, Kiribati, Koweït, Laos, Lettonie, Liechtenstein, Lituanie, Luxembourg, Macao, Macédoine, Madagascar, Madère, Malaisie, Mali, Malte, Maroc, Martinique, Maurice (Ile), Mayotte, Mexique, Moldavie, Monaco, Monténégro, Nicaragua, Norvège, Nouvelle-Zélande, Oman, Ouzbékistan, Pakistan, Palaos, Panama, Papouasie-Nouvelle-Guinée, Paraguay, Pays de Galles, Pays-Bas, Pologne, Porto Rico, Portugal, République Tchèque, Réunion (Ile de La), Rhodes (Ile), Roumanie, Russie, Saint-Barthélemy, Saint-Marin, Saint-Martin (Antilles françaises), Salvador, Samoa, Sardaigne, Sénégal, Serbie, Sicile, Singapour, Slovaquie, Slovénie, Sri Lanka, Suède, Suisse, Tanzanie, Tasmanie, Thaïlande, Tibet, Tunisie, Turquie, Ukraine, Uruguay, Vanuatu, Vatican, Vietnam, Wight (Ile de), Zanzibar (Ile).

Free chat dans 135 pays

Un nouveau forfait Free Max à 29,99 euros par mois permet de profiter d’un accès à Internet illimité dans pas moins de 135 pays. Il propose aussi des appels vers les mobiles en Europe et reprend ensuite les options du forfaits Free 5G+ à 19,99 euros par mois.

Free tenait ce matin une conférence de presse pour annoncer un nouveau forfait : Max. Il vient se placer au-dessus des forfaits à 2 euros et Free à 19,99 euros (hors promotions liées à des avantages Freebox). Il est proposé à 29,99 euros par mois et, comme les autres, il est sans engagement. Les anciens abonnés Free 2 € ou 5G+ peuvent évidemment migrer vers la nouvelle offre.

Internet mobile illimité en France et « depuis plus de 135 destinations »

Free Max propose de la 3G, 4G, 5G et 5G+ en illimité en France métropolitaine. 4G et 5G étaient déjà illimitées avec le forfait Free 5G+, mais pour les abonnés Freebox seulement (350 Go pour les autres), mais la 3G était limitée à 350 Go (3 Go seulement avec un smartphone 3G seulement). Cette distinction saute… mais rappelons que les réseaux 3G sont en fin de vie et que Free a éteint le sien fin 2025 et qu’il ne passe désormais que par Orange pour la 3G avec un débit limité à 384 kb/s.

• Free Mobile abandonne officiellement sa 3G

Par contre il est aussi question d’illimité à l’étranger « en 5G ou 4G » dans plus de 135 destinations, dont l’Europe, les DOM, les États-Unis, le Canada, le Maroc, l’Algérie, la Tunisie, la Chine, le Japon, la Thaïlande, le Brésil… Le forfait Free 5G+ ne propose, pour rappel, « que » 35 Go depuis 117 destinations. Les nouvelles destinations ne sont (pour le moment ?) pas répercutées sur le forfait Free 5G+.

Appels illimités en France, mais aussi vers les mobiles en Europe

Comme avec le forfait Free 5G+, les appels vers les mobiles et fixes de France, mobiles aux États-Unis, au Canada, en Alaska, à Hawaï, en Chine et dans les DOM, ainsi que vers les fixes de 100 destinations, sont illimités. Nouveauté de Free Max, c’est aussi le cas des appels vers les mobiles d’Europe, de la Suisse et d’Andorre.

Sont également inclus, comme avec le forfait Free 5G+, l’option eSIM watch pour une montre connectée, le service VPN mVPN et l’appli Free TV+. L’abonnement est à 29,99 euros par mois, sans engagement. La carte SIM est facturée 10 euros.

19,99 euros par mois avec Avantages Free Family

Le forfait est compatible avec Avantages Free Family : « pour les abonnés Freebox et Box 5G, réduction de 10 €/mois sur le Forfait Free Max (soit 19,99 €/mois), dans la limite de quatre forfaits ». Free ajoute : le « nombre de réductions avantages abonné Freebox ou Box 5G et Free Family sur le Forfait Free 5G+ et Free Max [est] valable dans la limite de quatre forfaits ».

Il y a quelques jours, l’opérateur s’est d’ailleurs engagé sur ses tarifs des deux forfaits qui sont « bloqués jusqu’en 2027 ». Seule la Série Free promotionnelle n’est pas concernée. Rien n’est pour le moment précisé pour Max.

Voici enfin la liste complète des destinations comprises dans l’Internet mobile illimité, selon la brochure tarifaire du 31 mars 2026 : Açores (Les), Afrique du Sud, Aland (Iles), Alaska, Algérie, Allemagne, Angleterre, Argentine, Arménie, Australie, Autriche, Azerbaïdjan, Baléares (Les), Bangladesh, Bahreïn, Belgique, Biélorussie, Bolivie, Brésil, Bulgarie, Canada, Canaries (Les), Chatham (Ile), Chine, Chypre, Chypre du Nord, Colombie, Comores, Corée du Sud, Corfou (Ile), Costa Rica, Crète (Ile), Croatie, Cyclades (Les), Danemark, Écosse, Égypte, Émirats arabes unis, Équateur, Espagne, Estonie, États-Unis, Féroé (Iles), Fidji, Finlande, Géorgie, Gibraltar, Grèce, Guadeloupe, Guatemala, Guernesey, Guyane Française, Hawaï, Honduras, Hong-Kong, Hongrie, Île de Man, Îles Vierges américaines, Inde, Indonésie, Irlande, Irlande du Nord, Islande, Israël, Italie, Japon, Jersey, Kazakhstan, Kiribati, Koweït, Laos, Lettonie, Liechtenstein, Lituanie, Luxembourg, Macao, Macédoine, Madagascar, Madère, Malaisie, Mali, Malte, Maroc, Martinique, Maurice (Ile), Mayotte, Mexique, Moldavie, Monaco, Monténégro, Nicaragua, Norvège, Nouvelle-Zélande, Oman, Ouzbékistan, Pakistan, Palaos, Panama, Papouasie-Nouvelle-Guinée, Paraguay, Pays de Galles, Pays-Bas, Pologne, Porto Rico, Portugal, République Tchèque, Réunion (Ile de La), Rhodes (Ile), Roumanie, Russie, Saint-Barthélemy, Saint-Marin, Saint-Martin (Antilles françaises), Salvador, Samoa, Sardaigne, Sénégal, Serbie, Sicile, Singapour, Slovaquie, Slovénie, Sri Lanka, Suède, Suisse, Tanzanie, Tasmanie, Thaïlande, Tibet, Tunisie, Turquie, Ukraine, Uruguay, Vanuatu, Vatican, Vietnam, Wight (Ile de), Zanzibar (Ile).

La 2G c’est comme Capri

C’est le jour J : Orange commence à éteindre sa 2G en France métropolitaine. Un changement majeur qui va se dérouler sur toute l’année chez tous les opérateurs. L’Arcep fait les comptes : il reste encore 2,41 millions de SIM en circulation, qui représentent moins de 1 % du trafic.

Adieu la 2G Orange sur le « BAB »

C’est aujourd’hui, mardi 31 mars 2026, qu’Orange commence à éteindre sa 2G dans une zone très limitée pour le moment : « dans l’unité urbaine de Biarritz, Anglet, Bayonne (Côte basque 64) », soit une trentaine de communes selon l’Insee. Le 12 mai 2026, ce sera au tour du reste du département des Pyrénées-Atlantiques (64) et de celui des Landes (40).

En conséquence, « tous les téléphones mobiles limités à la 2G ne pourront plus accéder au réseau mobile Orange dans la zone concernée à partir du 31 mars 2026. Tous les équipements (IoT) utilisant exclusivement la 2G (alarmes, ascenseurs connectés, équipements industriels, solution de télémétrie, …) devront être remplacés ou mis à niveau pour rester opérationnels ».

En juin, Orange passera la seconde avec l’Ariège (09), la Haute-Garonne (31), le Gers (32), le Lot (46), le Lot-et-Garonne (47), les Hautes-Pyrénées (65) et le Tarn-et-Garonne (82). À partir de fin septembre, « la 2G sera définitivement arrêtée dans le reste de la France métropolitaine ». À la fin de l’année 2026, « la technologie 2G devrait donc avoir totalement disparu de l’ensemble du réseau mobile d’Orange en France métropolitaine ».

• 2G, 3G, cuivre (xDSL) : comment Orange va tirer un trait sur le passé

Techniquement, la 2G a déjà été arrêtée par Orange dans une zone en France : fin 2025, à la Réunion. Les autres territoires ultramarins seront aussi coupés progressivement cette année. La prochaine grosse échéance sera pour fin 2028 avec l’arrêt de la 3G, aussi bien en France métropolitaine que dans les outre-mer.

Bouygues Telecom et SFR aussi arrêteront la 2G d’ici à la fin de l’année. Chez Free Mobile, cela fait trois ans que la 2G est éteinte après une mise en service pendant… cinq mois seulement. Pour la 3G, SFR vise aussi fin 2028, tandis que Bouygues Telecom joue les prolongations jusqu’à fin 2029. Chez Free Mobile, la 3G est déjà éteinte depuis fin 2025, les clients passent forcément en itinérance chez Orange pour la 2G et la 3G.

• Free Mobile abandonne officiellement sa 3G
• Cinq mois après avoir mis en service sa 2G, Free Mobile coupe l’ensemble de ses sites

Encore 2,41 millions de cartes SIM 2G seulement en circulation

L’Arcep profite de cette journée symbolique pour mettre à jour son observatoire trimestriel des cartes SIM utilisées dans les terminaux compatibles uniquement avec la 2G et la 3G.

Pour des usages voix, SMS et Internet mobile, il reste encore 2,4 millions de cartes SIM 2G/3G (3 % du parc) dans les smartphones des utilisateurs, dont 1,42 million en 2G seulement. « Entre fin septembre 2025 et fin décembre 2025, une baisse de 9,5 % est constatée sur le parc des terminaux compatibles avec la 2G uniquement », note l’Arcep.

Pour les services Machine to Machine (M-to-M), il reste 2,82 millions de cartes SIM 2G/3G, dont 0,99 million en 2G seulement. Cette fois-ci, la baisse sur trois mois est de 9,2 %, quasi stable par rapport au précédent relevé.

Quoi qu’il en soit, cela fait un total de 2,41 millions de cartes SIM 2G (clients classiques et M-to-M). C’est moins que fin juin 2025 où il était question de 2,85 millions de cartes SIM et de 2,66 millions fin septembre 2025. Si on prend en compte les cartes 2G/3G, on arrive à 5,22 millions de SIM encore dans des terminaux fin 2025. Elles étaient 5,89 millions fin juin 2025.

Pour l’Arcep, « la décroissance du parc des cartes SIM « 2G » est appelée à s’intensifier davantage à mesure que se rapproche l’extinction complète des réseaux 2G ».

Moins de 1 % du trafic passe en 2G/3G

Dans le même temps, le régulateur des télécoms publie un rapport sur l’impact de l’extinction des technologies 2G et 3G sur la couverture des réseaux mobiles : « Aujourd’hui la part du trafic en 2G/3G est estimée à moins de 1 % selon les experts du Comité et la majorité du trafic voix passe par la 4G […] Au regard de ces éléments, il n’apparait pas que l’arrêt des réseaux 2G puis 3G puisse se traduire par des variations substantielles du niveau de couverture du territoire par les réseaux mobiles ».

De plus, le comité d’experts de l’Arcep « estime que les opérateurs ont les moyens de gérer l’extinction de la 2G puis de la 3G sans une régression de la couverture mobile ».

L’Arcep fait aussi le point sur la situation chez nos voisins. En Europe, « 9 pays n’ont pas relevé d’impact sur la couverture des services voix à la suite de l’extinction des réseaux 2G/3G et leur « refarming » de leur spectre en 4G/5G ». Dans un seul pays, « l’impact de l’arrêt de la 3G sur les services voix a été adressé par des changements de terminaux dans les régions rurales concernées et la souscription d’abonnements en 4G pour bénéficier de la VoLTE ».

99,8 % des sites d’émission 2G et 3G sont équipés de 4G

L’Arcep enfin a mis à jour sa foire aux questions sur la fermeture de la 2G et de la 3G. Elle explique notamment que, du côté des réseaux mobiles, « aujourd’hui, plus de 99,8 % des sites d’émission 2G et 3G sont équipés de 4G ». Le régulateur rappelle que les quatre principaux opérateurs français « participent à la collecte, au recyclage et au reconditionnement des téléphones mobiles, en mettant notamment en place des offres de reprise avantageuses pour les consommateurs ».

Quoi qu’il en soit, la fin de la 2G n’est pas sans soulever des questions dans certains secteurs, notamment la santé connectée, les alarmes, les voitures, les ascenseurs… Pour ce dernier cas, le gouvernement a publié un décret afin de « garantir la sécurité des ascenseurs ».

• Fin de la 2G, 3G et xDSL : un décret pour « garantir la sécurité des ascenseurs »
• Santé, ascenseurs, alarmes, voitures… pas simple d’éteindre la 2G et la 3G
• Fin des réseaux 2G et 3G : la tension monte entre opérateurs et entreprises utilisatrices
• Deux ans d’évolution des sites 2G et 3G, bientôt la fin !

La 2G c’est comme Capri

C’est le jour J : Orange commence à éteindre sa 2G en France métropolitaine. Un changement majeur qui va se dérouler sur toute l’année chez tous les opérateurs. L’Arcep fait les comptes : il reste encore 2,41 millions de SIM en circulation, qui représentent moins de 1 % du trafic.

Adieu la 2G Orange sur le « BAB »

C’est aujourd’hui, mardi 31 mars 2026, qu’Orange commence à éteindre sa 2G dans une zone très limitée pour le moment : « dans l’unité urbaine de Biarritz, Anglet, Bayonne (Côte basque 64) », soit une trentaine de communes selon l’Insee. Le 12 mai 2026, ce sera au tour du reste du département des Pyrénées-Atlantiques (64) et de celui des Landes (40).

En conséquence, « tous les téléphones mobiles limités à la 2G ne pourront plus accéder au réseau mobile Orange dans la zone concernée à partir du 31 mars 2026. Tous les équipements (IoT) utilisant exclusivement la 2G (alarmes, ascenseurs connectés, équipements industriels, solution de télémétrie, …) devront être remplacés ou mis à niveau pour rester opérationnels ».

En juin, Orange passera la seconde avec l’Ariège (09), la Haute-Garonne (31), le Gers (32), le Lot (46), le Lot-et-Garonne (47), les Hautes-Pyrénées (65) et le Tarn-et-Garonne (82). À partir de fin septembre, « la 2G sera définitivement arrêtée dans le reste de la France métropolitaine ». À la fin de l’année 2026, « la technologie 2G devrait donc avoir totalement disparu de l’ensemble du réseau mobile d’Orange en France métropolitaine ».

• 2G, 3G, cuivre (xDSL) : comment Orange va tirer un trait sur le passé

Techniquement, la 2G a déjà été arrêtée par Orange dans une zone en France : fin 2025, à la Réunion. Les autres territoires ultramarins seront aussi coupés progressivement cette année. La prochaine grosse échéance sera pour fin 2028 avec l’arrêt de la 3G, aussi bien en France métropolitaine que dans les outre-mer.

Bouygues Telecom et SFR aussi arrêteront la 2G d’ici à la fin de l’année. Chez Free Mobile, cela fait trois ans que la 2G est éteinte après une mise en service pendant… cinq mois seulement. Pour la 3G, SFR vise aussi fin 2028, tandis que Bouygues Telecom joue les prolongations jusqu’à fin 2029. Chez Free Mobile, la 3G est déjà éteinte depuis fin 2025, les clients passent forcément en itinérance chez Orange pour la 2G et la 3G.

• Free Mobile abandonne officiellement sa 3G
• Cinq mois après avoir mis en service sa 2G, Free Mobile coupe l’ensemble de ses sites

Encore 2,41 millions de cartes SIM 2G seulement en circulation

L’Arcep profite de cette journée symbolique pour mettre à jour son observatoire trimestriel des cartes SIM utilisées dans les terminaux compatibles uniquement avec la 2G et la 3G.

Pour des usages voix, SMS et Internet mobile, il reste encore 2,4 millions de cartes SIM 2G/3G (3 % du parc) dans les smartphones des utilisateurs, dont 1,42 million en 2G seulement. « Entre fin septembre 2025 et fin décembre 2025, une baisse de 9,5 % est constatée sur le parc des terminaux compatibles avec la 2G uniquement », note l’Arcep.

Pour les services Machine to Machine (M-to-M), il reste 2,82 millions de cartes SIM 2G/3G, dont 0,99 million en 2G seulement. Cette fois-ci, la baisse sur trois mois est de 9,2 %, quasi stable par rapport au précédent relevé.

Quoi qu’il en soit, cela fait un total de 2,41 millions de cartes SIM 2G (clients classiques et M-to-M). C’est moins que fin juin 2025 où il était question de 2,85 millions de cartes SIM et de 2,66 millions fin septembre 2025. Si on prend en compte les cartes 2G/3G, on arrive à 5,22 millions de SIM encore dans des terminaux fin 2025. Elles étaient 5,89 millions fin juin 2025.

Pour l’Arcep, « la décroissance du parc des cartes SIM « 2G » est appelée à s’intensifier davantage à mesure que se rapproche l’extinction complète des réseaux 2G ».

Moins de 1 % du trafic passe en 2G/3G

Dans le même temps, le régulateur des télécoms publie un rapport sur l’impact de l’extinction des technologies 2G et 3G sur la couverture des réseaux mobiles : « Aujourd’hui la part du trafic en 2G/3G est estimée à moins de 1 % selon les experts du Comité et la majorité du trafic voix passe par la 4G […] Au regard de ces éléments, il n’apparait pas que l’arrêt des réseaux 2G puis 3G puisse se traduire par des variations substantielles du niveau de couverture du territoire par les réseaux mobiles ».

De plus, le comité d’experts de l’Arcep « estime que les opérateurs ont les moyens de gérer l’extinction de la 2G puis de la 3G sans une régression de la couverture mobile ».

L’Arcep fait aussi le point sur la situation chez nos voisins. En Europe, « 9 pays n’ont pas relevé d’impact sur la couverture des services voix à la suite de l’extinction des réseaux 2G/3G et leur « refarming » de leur spectre en 4G/5G ». Dans un seul pays, « l’impact de l’arrêt de la 3G sur les services voix a été adressé par des changements de terminaux dans les régions rurales concernées et la souscription d’abonnements en 4G pour bénéficier de la VoLTE ».

99,8 % des sites d’émission 2G et 3G sont équipés de 4G

L’Arcep enfin a mis à jour sa foire aux questions sur la fermeture de la 2G et de la 3G. Elle explique notamment que, du côté des réseaux mobiles, « aujourd’hui, plus de 99,8 % des sites d’émission 2G et 3G sont équipés de 4G ». Le régulateur rappelle que les quatre principaux opérateurs français « participent à la collecte, au recyclage et au reconditionnement des téléphones mobiles, en mettant notamment en place des offres de reprise avantageuses pour les consommateurs ».

Quoi qu’il en soit, la fin de la 2G n’est pas sans soulever des questions dans certains secteurs, notamment la santé connectée, les alarmes, les voitures, les ascenseurs… Pour ce dernier cas, le gouvernement a publié un décret afin de « garantir la sécurité des ascenseurs ».

• Fin de la 2G, 3G et xDSL : un décret pour « garantir la sécurité des ascenseurs »
• Santé, ascenseurs, alarmes, voitures… pas simple d’éteindre la 2G et la 3G
• Fin des réseaux 2G et 3G : la tension monte entre opérateurs et entreprises utilisatrices
• Deux ans d’évolution des sites 2G et 3G, bientôt la fin !

Arme à Geddon

Après des revendications la semaine dernière, c’est désormais officiel : un pirate a récupéré des données du système d’information sur les armes du ministère de l’Intérieur. En plus du type d’arme, il dispose aussi de l’adresse des propriétaires.

Le système d’information sur les armes (alias SIA) est un service du ministère de l’Intérieur. « La création d’un compte dans le SIA est obligatoire pour les détenteurs d’armes particuliers majeurs ». Comme le rapporte l’Union Française des amateurs d’Armes, le ministère prévient d’une fuite de données (copie du courier, en pdf). L’information a également été confirmée au Parisien.

« Nous avons le regret de vous informer qu’il a été constaté l’accès, par action malveillante, à un des comptes d’une entreprise utilisatrice du système d’information sur les armes (SIA), entraînant l’extraction de données commerciales présentes dans ce compte, dont certaines sont susceptibles de contenir une ou plusieurs de vos données personnelles ».

Armes et adresses du propriétaire… un combo dangereux !

Cela comprend des informations « relatives à l’arme détenue ou acquise (type, classement, marque, modèle) », mais aussi des données sur leur propriétaire avec le nom et prénom, l’adresse électronique et enfin l’adresse postale. Comme avec la fuite de données de la Fédération française de tir (FFTir), le risque est de voir des personnes malintentionnées tenter de récupérer des armes.

• Quels sont les risques liés aux multiples fuites de vos données personnelles ?

En novembre dernier, la préfecture de police expliquait que « des tentatives de renseignement en vue de commettre des vols par ruse ou par effraction ont déjà été signalées ». Cybermalveillance ajoutait que ce n’était pas qu’une hypothèse : « des repérages suspects ont déjà été signalés aux forces de l’ordre ».

Rappel de l’époque : « la police, la gendarmerie ou la douane ne vous appelleront jamais pour venir chez vous récupérer vos armes suite à la fuite des données de licenciés de la FFTir ». La prudence est de mise face à de possibles sollicitations, d’autant que les attaques cyber ont de plus en plus d’incidences dans le monde physique avec des cybercriminels qui « recrutent des équipes sous-traitantes sur le terrain », rappelait Cybermalveillance la semaine dernière.

• Alimentée par les données personnelles, la menace cyber est « plus diverse et diffuse »

Plainte déposée, les investigations continuent

Bien évidemment, comme la loi l’y oblige, cet incident a été notifié à la CNIL. De plus, « le ministère de l’Intérieur a déposé plainte et les services techniques poursuivent les investigations afin de déterminer précisément l’origine de l’incident », précise le communiqué. Ce dernier ajoute que les vérifications du ministère permettent de confirmer que « si l’accès à un compte tiers utilisateur contenant des données relatives à des transactions commerciales a été possible, le système d’information sur les armes n’a pas été atteint ».

Le ministère rappelle les bonnes pratiques : « changer régulièrement de mot de passe » et « ne jamais communiquer ses identifiants et mots de passe ». Cela n’aurait rien changé dans ce cas… et cela ne change rien au fait que des pirates disposent désormais d’adresses de personnes ayant des armes à leur domicile.

L’ampleur de la fuite n’est pas précisée. Selon l’Union Française des amateurs d’Armes, un pirate revendiquait la semaine dernière avoir dérobé des informations sur plus de 62 000 armes. Dans le lot, il y aurait 46 % de carabines, 29 % de fusils de chasse, 11 % de fusils à pompe et 8 % d’armes de poing. « Des chiffres, bien inférieurs au nombre d’armes détenues et référencées dans le SIA (plusieurs millions d’armes), tendent à faire penser que la fuite ne concerne pas l’ensemble du système », expliquait l’Union. Le ministère ne donne aucun chiffre.

Pour rappel, le SIA concerne les personnes « ayant un permis de chasser, détentrice d’une arme, ou souhaitant acquérir et détenir une arme », mais aussi celles titulaires « d’une licence de la Fédération française de tir pour la pratique du tir, du ball-trap ou du biathlon, détentrice d’une arme, ou souhaitant acquérir et détenir une arme », celles avec une « arme héritée ou trouvée », ainsi que les personne « détentrice ou souhaitant acquérir certaines armes de catégorie C » qui ne sont dans aucune des catégories précédentes.

Arme à Geddon

Après des revendications la semaine dernière, c’est désormais officiel : un pirate a récupéré des données du système d’information sur les armes du ministère de l’Intérieur. En plus du type d’arme, il dispose aussi de l’adresse des propriétaires.

Le système d’information sur les armes (alias SIA) est un service du ministère de l’Intérieur. « La création d’un compte dans le SIA est obligatoire pour les détenteurs d’armes particuliers majeurs ». Comme le rapporte l’Union Française des amateurs d’Armes, le ministère prévient d’une fuite de données (copie du courier, en pdf). L’information a également été confirmée au Parisien.

« Nous avons le regret de vous informer qu’il a été constaté l’accès, par action malveillante, à un des comptes d’une entreprise utilisatrice du système d’information sur les armes (SIA), entraînant l’extraction de données commerciales présentes dans ce compte, dont certaines sont susceptibles de contenir une ou plusieurs de vos données personnelles ».

Armes et adresses du propriétaire… un combo dangereux !

Cela comprend des informations « relatives à l’arme détenue ou acquise (type, classement, marque, modèle) », mais aussi des données sur leur propriétaire avec le nom et prénom, l’adresse électronique et enfin l’adresse postale. Comme avec la fuite de données de la Fédération française de tir (FFTir), le risque est de voir des personnes malintentionnées tenter de récupérer des armes.

• Quels sont les risques liés aux multiples fuites de vos données personnelles ?

En novembre dernier, la préfecture de police expliquait que « des tentatives de renseignement en vue de commettre des vols par ruse ou par effraction ont déjà été signalées ». Cybermalveillance ajoutait que ce n’était pas qu’une hypothèse : « des repérages suspects ont déjà été signalés aux forces de l’ordre ».

Rappel de l’époque : « la police, la gendarmerie ou la douane ne vous appelleront jamais pour venir chez vous récupérer vos armes suite à la fuite des données de licenciés de la FFTir ». La prudence est de mise face à de possibles sollicitations, d’autant que les attaques cyber ont de plus en plus d’incidences dans le monde physique avec des cybercriminels qui « recrutent des équipes sous-traitantes sur le terrain », rappelait Cybermalveillance la semaine dernière.

• Alimentée par les données personnelles, la menace cyber est « plus diverse et diffuse »

Plainte déposée, les investigations continuent

Bien évidemment, comme la loi l’y oblige, cet incident a été notifié à la CNIL. De plus, « le ministère de l’Intérieur a déposé plainte et les services techniques poursuivent les investigations afin de déterminer précisément l’origine de l’incident », précise le communiqué. Ce dernier ajoute que les vérifications du ministère permettent de confirmer que « si l’accès à un compte tiers utilisateur contenant des données relatives à des transactions commerciales a été possible, le système d’information sur les armes n’a pas été atteint ».

Le ministère rappelle les bonnes pratiques : « changer régulièrement de mot de passe » et « ne jamais communiquer ses identifiants et mots de passe ». Cela n’aurait rien changé dans ce cas… et cela ne change rien au fait que des pirates disposent désormais d’adresses de personnes ayant des armes à leur domicile.

L’ampleur de la fuite n’est pas précisée. Selon l’Union Française des amateurs d’Armes, un pirate revendiquait la semaine dernière avoir dérobé des informations sur plus de 62 000 armes. Dans le lot, il y aurait 46 % de carabines, 29 % de fusils de chasse, 11 % de fusils à pompe et 8 % d’armes de poing. « Des chiffres, bien inférieurs au nombre d’armes détenues et référencées dans le SIA (plusieurs millions d’armes), tendent à faire penser que la fuite ne concerne pas l’ensemble du système », expliquait l’Union. Le ministère ne donne aucun chiffre.

Pour rappel, le SIA concerne les personnes « ayant un permis de chasser, détentrice d’une arme, ou souhaitant acquérir et détenir une arme », mais aussi celles titulaires « d’une licence de la Fédération française de tir pour la pratique du tir, du ball-trap ou du biathlon, détentrice d’une arme, ou souhaitant acquérir et détenir une arme », celles avec une « arme héritée ou trouvée », ainsi que les personne « détentrice ou souhaitant acquérir certaines armes de catégorie C » qui ne sont dans aucune des catégories précédentes.

C’est quantique, tu peux pas test

Les capteurs quantiques sont une « révolution » dont parlent les scientifiques depuis des années. Une piste prometteuse était de se repérer sans GPS. Une « première mondiale » vient d’être réalisée dans ce sens sur les chemins de fer nationaux britanniques. D’autres expériences ont également lieu ailleurs dans le monde.

Il y a déjà plus de cinq ans, le Centre National pour la Recherche Scientifique (CNRS) donnait les grandes lignes de la « révolution » des capteurs quantiques : « Médecine, génie civil, télécommunications, gestion des ressources naturelles… ». Leurs avantages par rapport aux capteurs traditionnels sont la sensibilité et la précision (deux points très importants quand on parle de capteur).

Des mesures ultrasensibles, mais avec des « temps morts »

Au cœur des dispositifs, des objets et des propriétés quantiques que les physiciens ont domptés depuis longtemps. Le CNRS explique le cœur du fonctionnement : les états quantiques des particules « sont extrêmement sensibles à la moindre perturbation de l’environnement ». Le Centre de recherche donne plusieurs exemples : interféromètres, microscopes magnétiques, accéléromètres…

Fin 2022, le CNRS revenait à la charge avec une application concrète : des capteurs quantiques pour se repérer sans GPS : « Basés sur une technologie quantique, ils peuvent effectuer des mesures ultrasensibles de l’accélération dans les trois dimensions quelle que soit leur orientation ». Avec un point de départ connu, il est donc possible de savoir avec précision où se trouve le capteur une fois qu’il a été déplacé. Des capteurs parfaits ? Pas si vite…

Sinon, vivement un 18Cyber pour les urgences

Cybermalveillance.gouv.fr dresse le bilan des tendances de la menace cyber. Sans surprise, le trio de tête comprend l’hameçonnage, le piratage de compte et la violation de données personnelles. 2025 était aussi marquée par une recrudescence de spams téléphoniques et un passage des attaques dans le monde physique… des tendances qui devraient malheureusement perdurer cette année.

Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes d’actes de cybermalveillance, vient de publier son rapport d’activité 2025. La plateforme revendique pour la deuxième année consécutive plus de 5 millions de visiteurs, en légère baisse tout de même par rapport à 2024, année des Jeux olympiques.

Au fil des années, des types de menaces toujours plus vastes

La plateforme note toutefois une hausse de 20 % des demandes d’assistance, avec 504 810 demandes en 2025, contre 423 021 en 2024 et moins de 300 000 les années précédentes. La très grande majorité (93 %) des demandes émanaient de particuliers. Pour Cybermalveillance, « le lancement du 17Cyber (déc. 2024) a permis de simplifier les parcours des usagers en réduisant l’orientation vers des pages Internet externes ».

Et sur Mars ?

Une seconde, c’est une seconde non ? En théorie oui, mais en pratique cela dépend de l’endroit où l’on se trouve. Une seconde sur la Terre, ce n’est pas exactement une seconde sur la Lune. Avec les volontés de retourner sur la Lune et surtout de s’y installer, le sujet prend de l’importance. Des chercheurs proposent trois propositions de définition de la seconde, et expliquent leur préférence.

À cause de la différence d’attraction gravitationnelle, le temps ne s’écoule pas de la même manière entre les deux astres (merci la relativité générale d’Einstein) : une horloge sur la Lune gagne 56 microsecondes par jour par rapport à une horloge sur la Terre.

L’importance de la précision de la seconde

Avec les programmes Artemis (NASA), LunaNET (NASA/ESA) et Moonlight (ESA), l’objectif des agences spatiales est clair : retourner sur la Lune et y établir des bases avec une présence à long terme. Cela « nécessite la mise en place d’une infrastructure dédiée à la navigation, au positionnement et aux télécommunications aux abords de notre satellite » naturel, explique l’Observatoire de Paris.

Sur Terre, pour rappel, il faut des horloges atomiques pour les systèmes de guidage par satellite (la précision du temps est indispensable pour avoir une précision sur la localisation). La constellation européenne Galileo en a fait les frais avec des pannes à répétition sur les horloges atomiques des satellites. Heureusement, chaque satellite en embarque quatre : deux au rubidium et deux autres à l’hydrogène, ce qui a permis de fortement limiter les dégâts.

• Galileo : la cause des pannes identifiée, la Commission européenne se veut rassurante

Sur la Lune, « il est nécessaire de s’accorder au préalable sur l’utilisation d’une échelle de temps coordonné, jouant le même rôle que le temps universel coordonné (UTC) sur Terre, et permettant aux différents acteurs lunaires d’échanger des informations et de comparer leurs mesures ».

Trois propositions différentes pour une « seconde »

La semaine dernière, le 24 mars précisément, la Commission européenne « a découvert une cyberattaque qui a affecté » sa plateforme Europa.eu, le site web de l’Union européenne. Elle affirme avoir réagi rapidement, mais reconnait tout de même que « les premières conclusions de l’enquête suggèrent que des données ont été extraites ». Les entités concernées sont contactées et informées.

« Les systèmes internes de la Commission n’ont pas été affectés par la cyberattaque. La Commission continuera à suivre la situation et à prendre toutes les mesures nécessaires pour assurer la sécurité de ses systèmes et données internes », ajoute l’institution.

Selon Bleeping Computer, la fuite viendrait d’un compte Amazon Web Services (AWS) compromis. « L’auteur de la menace qui a revendiqué l’attaque a contacté BleepingComputer en début de semaine, déclarant avoir volé plus de 350 Go de données (dont plusieurs bases de données) », ajoutent nos confrères.

Afin d’appuyer ses dires, le pirate a fourni à Bleeping Computer des « captures d’écran comme preuve qu’il avait accès à des informations appartenant à des employés de la Commission européenne ainsi qu’à un serveur de messagerie utilisé par des employés ». Il ajoutait « qu’il ne tenterait pas d’extorquer la Commission en utilisant les données prétendument volées comme levier, mais qu’il avait l’intention de divulguer les données en ligne ultérieurement ».

La Commission avait déjà été victime d’une cyberattaque le 30 janvier, « qui a peut-être permis d’accéder aux noms et aux numéros de téléphone portable de certains membres de son personnel ». La brèche avait été colmatée dans les 9 heures, selon la Commission. Cette dernière précisait qu‘« aucune compromission des appareils mobiles n’a été détectée ».

La semaine dernière, le 24 mars précisément, la Commission européenne « a découvert une cyberattaque qui a affecté » sa plateforme Europa.eu, le site web de l’Union européenne. Elle affirme avoir réagi rapidement, mais reconnait tout de même que « les premières conclusions de l’enquête suggèrent que des données ont été extraites ». Les entités concernées sont contactées et informées.

« Les systèmes internes de la Commission n’ont pas été affectés par la cyberattaque. La Commission continuera à suivre la situation et à prendre toutes les mesures nécessaires pour assurer la sécurité de ses systèmes et données internes », ajoute l’institution.

Selon Bleeping Computer, la fuite viendrait d’un compte Amazon Web Services (AWS) compromis. « L’auteur de la menace qui a revendiqué l’attaque a contacté BleepingComputer en début de semaine, déclarant avoir volé plus de 350 Go de données (dont plusieurs bases de données) », ajoutent nos confrères.

Afin d’appuyer ses dires, le pirate a fourni à Bleeping Computer des « captures d’écran comme preuve qu’il avait accès à des informations appartenant à des employés de la Commission européenne ainsi qu’à un serveur de messagerie utilisé par des employés ». Il ajoutait « qu’il ne tenterait pas d’extorquer la Commission en utilisant les données prétendument volées comme levier, mais qu’il avait l’intention de divulguer les données en ligne ultérieurement ».

La Commission avait déjà été victime d’une cyberattaque le 30 janvier, « qui a peut-être permis d’accéder aux noms et aux numéros de téléphone portable de certains membres de son personnel ». La brèche avait été colmatée dans les 9 heures, selon la Commission. Cette dernière précisait qu‘« aucune compromission des appareils mobiles n’a été détectée ».

De toutes les matières, c’est les watts qu’ils préférent

Pour avoir des données fiables et globales sur la consommation des datacenters, deux sénateurs font appel à l’U.S. Energy Information Administration (EIA). L’Arcep le fait, mais cela se limite à la France et on manque cruellement de données au niveau mondial.

La consommation des datacenters est un sujet qui revient régulièrement sur le devant de la scène, mais sur lequel il est difficile d’avoir des chiffres précis et fiables. Certains opérateurs de datacenters et géants du numérique détaillent leurs consommations, mais de manière disparate.

Des rapports oui, des données fiables… c’est plus compliqué

On retrouve parfois le détail datacenter par datacenter, parfois par pays, continent ou au global, mais d’autres ne donnent aucune information chiffrée et se contentent de grands discours. C’est le cas d’Amazon dans les GAFAM par exemple. Mais, même quand il y a de nombreuses informations, les rapports sont parfois truffés d’erreurs… à se demander s’ils sont réellement lus.

• Datacenters : petits et gros arrangements des rapports environnementaux

Il n’y a qu’à voir le numéro d’équilibriste de l’ADEME sur le sujet en janvier, qui voulait prévoir la consommation à l’horizon 2035 et 2060. Comme nous l’expliquions alors, ce rapport a le mérite d’exister et d’essayer de faire avancer les choses, mais il doit s’apprécier avec toutes ses imperfections et ses manques, à cause de la transparence très limitée de certains acteurs. Difficile de se projeter sans avoir de chiffres solides à la base.

• Consommations des datacenters d’ici 2035 et 2060 : le numéro d’équilibriste de l’ADEME

Et si c’était l’Energy Information Administration qui récoltait les données ?

Aux États-Unis, deux sénateurs (Josh Hawley et Elizabeth Warren) tentent une approche plus directe pour avoir des données fiables : ils « ont envoyé une lettre à la U.S. Energy Information Administration (EIA) pour lui demander de recueillir des détails sur la consommation d’énergie auprès des centres de données – et sur l’impact de cette utilisation sur le réseau », comme le rapporte Techcrunch.

Ils veulent obtenir des « déclarations annuelles complètes sur la consommation d’énergie », indique Wired, qui était le premier à en parler. Ses informations sont « essentielles pour une planification précise du réseau [électrique] et contribueront à l’élaboration de politiques visant à empêcher les grandes entreprises d’augmenter les coûts de l’électricité pour les familles américaines ». Google, par exemple, a multiplié par deux sa consommation électrique entre 2020 et 2024.

• PUE, WUE et CUE : comprendre l’empreinte environnementale des datacenters

« Ce n’est pas la seule information dont tu as besoin, mais c’est certainement un morceau du puzzle », explique Ari Peskoe (directeur du programme de droit de l’environnement et de l’énergie de la Harvard Law School) à nos confrères. La consommation en eau est aussi une donnée importante à prendre en compte.

En France, l’Arcep collecte des données et publie des bilans

Que ce soit pour l’électricité ou l’eau, il faut des informations détaillées en fonction des emplacements géographiques. Cela n’a pas les mêmes conséquences de consommer de l’eau dans des zones avec un fort stress hydrique et/ou une électricité fortement carbonée.

En France, l’Arcep collecte des données, y compris pour les datacenters avec la consommation électrique, en eau, la surface utilisée… Récemment, elle s’est aussi intéressée à l’IA générative et a élargi son rayon d’action sur la collecte de données.

Dans son dernier rapport pour un numérique soutenable, l’Arcep détaillait la consommation en France, au global pour l’année 2023 (avec 21 opérateurs analysés) : 2,4 TWh d’électricité (en hausse de 8 % sur un an), 681 000 m³ d’eau en consommation directe, mais 6 millions de m³ en consommation indirecte. À titre de comparaison, l’Agence internationale de l’énergie atomique (sous l’égide de l’ONU) expliquait que « les datacenters avaient consommé environ 460 TWh d’électricité en 2022 ».

• Consommation des datacenters en France : 2,4 TWh d’électricité et 6 millions de m³ d’eau
• L’Arcep veut mesurer l’impact environnemental de l’IA (générative)

De toutes les matières, c’est les watts qu’ils préférent

Pour avoir des données fiables et globales sur la consommation des datacenters, deux sénateurs font appel à l’U.S. Energy Information Administration (EIA). L’Arcep le fait, mais cela se limite à la France et on manque cruellement de données au niveau mondial.

La consommation des datacenters est un sujet qui revient régulièrement sur le devant de la scène, mais sur lequel il est difficile d’avoir des chiffres précis et fiables. Certains opérateurs de datacenters et géants du numérique détaillent leurs consommations, mais de manière disparate.

Des rapports oui, des données fiables… c’est plus compliqué

On retrouve parfois le détail datacenter par datacenter, parfois par pays, continent ou au global, mais d’autres ne donnent aucune information chiffrée et se contentent de grands discours. C’est le cas d’Amazon dans les GAFAM par exemple. Mais, même quand il y a de nombreuses informations, les rapports sont parfois truffés d’erreurs… à se demander s’ils sont réellement lus.

• Datacenters : petits et gros arrangements des rapports environnementaux

Il n’y a qu’à voir le numéro d’équilibriste de l’ADEME sur le sujet en janvier, qui voulait prévoir la consommation à l’horizon 2035 et 2060. Comme nous l’expliquions alors, ce rapport a le mérite d’exister et d’essayer de faire avancer les choses, mais il doit s’apprécier avec toutes ses imperfections et ses manques, à cause de la transparence très limitée de certains acteurs. Difficile de se projeter sans avoir de chiffres solides à la base.

• Consommations des datacenters d’ici 2035 et 2060 : le numéro d’équilibriste de l’ADEME

Et si c’était l’Energy Information Administration qui récoltait les données ?

Aux États-Unis, deux sénateurs (Josh Hawley et Elizabeth Warren) tentent une approche plus directe pour avoir des données fiables : ils « ont envoyé une lettre à la U.S. Energy Information Administration (EIA) pour lui demander de recueillir des détails sur la consommation d’énergie auprès des centres de données – et sur l’impact de cette utilisation sur le réseau », comme le rapporte Techcrunch.

Ils veulent obtenir des « déclarations annuelles complètes sur la consommation d’énergie », indique Wired, qui était le premier à en parler. Ses informations sont « essentielles pour une planification précise du réseau [électrique] et contribueront à l’élaboration de politiques visant à empêcher les grandes entreprises d’augmenter les coûts de l’électricité pour les familles américaines ». Google, par exemple, a multiplié par deux sa consommation électrique entre 2020 et 2024.

• PUE, WUE et CUE : comprendre l’empreinte environnementale des datacenters

« Ce n’est pas la seule information dont tu as besoin, mais c’est certainement un morceau du puzzle », explique Ari Peskoe (directeur du programme de droit de l’environnement et de l’énergie de la Harvard Law School) à nos confrères. La consommation en eau est aussi une donnée importante à prendre en compte.

En France, l’Arcep collecte des données et publie des bilans

Que ce soit pour l’électricité ou l’eau, il faut des informations détaillées en fonction des emplacements géographiques. Cela n’a pas les mêmes conséquences de consommer de l’eau dans des zones avec un fort stress hydrique et/ou une électricité fortement carbonée.

En France, l’Arcep collecte des données, y compris pour les datacenters avec la consommation électrique, en eau, la surface utilisée… Récemment, elle s’est aussi intéressée à l’IA générative et a élargi son rayon d’action sur la collecte de données.

Dans son dernier rapport pour un numérique soutenable, l’Arcep détaillait la consommation en France, au global pour l’année 2023 (avec 21 opérateurs analysés) : 2,4 TWh d’électricité (en hausse de 8 % sur un an), 681 000 m³ d’eau en consommation directe, mais 6 millions de m³ en consommation indirecte. À titre de comparaison, l’Agence internationale de l’énergie atomique (sous l’égide de l’ONU) expliquait que « les datacenters avaient consommé environ 460 TWh d’électricité en 2022 ».

• Consommation des datacenters en France : 2,4 TWh d’électricité et 6 millions de m³ d’eau
• L’Arcep veut mesurer l’impact environnemental de l’IA (générative)

Dans un communiqué, le ministère de l’Éducation nationale explique que, « dans le cadre de la procédure d’enquête en cours depuis le 4 novembre 2025 au sujet des agissements du réseau social TikTok, le ministère de l’Éducation nationale vient de transmettre au parquet de Paris un signalement ».

Le parquet de Paris avait en effet ouvert une enquête préliminaire « sur les effets psychologiques de TikTok sur les mineurs » suite au signalement du député (socialiste) Arthur Delaporte, pour qui « le constat est sans appel : TikTok a délibérément mis en danger la santé, la vie de ses utilisateurs ».

• TikTok : enquête ouverte en France sur la mise en avant de contenus poussant au suicide

Le ministère explique de son côté que « les réseaux sociaux, considérés de manière générale, sont impliqués dans plusieurs suicides d’élèves de collège et de lycée, ainsi que l’ont montré les enquêtes administratives diligentées à ce propos par l’inspection générale du ministère ».

C’est dans ce contexte que le ministre Édouard Geffray « a décidé d’informer la procureure de la République de Paris de faits susceptibles de caractériser plusieurs infractions pénales, liés aux bulles informationnelles dans lesquelles l’algorithme de TikTok enferme ce public vulnérable ».

Le communiqué revient sur « la capacité addictive de la plateforme et la formation de « spirales » de contenus dangereux, notamment liés aux troubles du comportement alimentaire (TCA), à la dépression, à l’automutilation et au suicide ». Il précise que « le seul visionnage de vidéos suffit à déclencher l’engrenage ».

D’autres griefs sont indiqués : favoriser l’exposition des mineurs à des contenus à caractère pornographique ainsi que le système de recommandation de TikTok avec « l’extraction massive de données personnelles des utilisateurs, en violation probable de la législation en vigueur ».

Le ministre explique à Radio France avoir fait un test avec un nouveau compte où il disait avoir 14 ans : « En moins de 20 minutes, sans avoir liké quoi que ce soit […] on s’est retrouvé avec des vidéos dépressives […], des véritables tutoriels de scarifications […], des vidéos d’incitation au suicide ».

Dans un communiqué, le ministère de l’Éducation nationale explique que, « dans le cadre de la procédure d’enquête en cours depuis le 4 novembre 2025 au sujet des agissements du réseau social TikTok, le ministère de l’Éducation nationale vient de transmettre au parquet de Paris un signalement ».

Le parquet de Paris avait en effet ouvert une enquête préliminaire « sur les effets psychologiques de TikTok sur les mineurs » suite au signalement du député (socialiste) Arthur Delaporte, pour qui « le constat est sans appel : TikTok a délibérément mis en danger la santé, la vie de ses utilisateurs ».

• TikTok : enquête ouverte en France sur la mise en avant de contenus poussant au suicide

Le ministère explique de son côté que « les réseaux sociaux, considérés de manière générale, sont impliqués dans plusieurs suicides d’élèves de collège et de lycée, ainsi que l’ont montré les enquêtes administratives diligentées à ce propos par l’inspection générale du ministère ».

C’est dans ce contexte que le ministre Édouard Geffray « a décidé d’informer la procureure de la République de Paris de faits susceptibles de caractériser plusieurs infractions pénales, liés aux bulles informationnelles dans lesquelles l’algorithme de TikTok enferme ce public vulnérable ».

Le communiqué revient sur « la capacité addictive de la plateforme et la formation de « spirales » de contenus dangereux, notamment liés aux troubles du comportement alimentaire (TCA), à la dépression, à l’automutilation et au suicide ». Il précise que « le seul visionnage de vidéos suffit à déclencher l’engrenage ».

D’autres griefs sont indiqués : favoriser l’exposition des mineurs à des contenus à caractère pornographique ainsi que le système de recommandation de TikTok avec « l’extraction massive de données personnelles des utilisateurs, en violation probable de la législation en vigueur ».

Le ministre explique à Radio France avoir fait un test avec un nouveau compte où il disait avoir 14 ans : « En moins de 20 minutes, sans avoir liké quoi que ce soit […] on s’est retrouvé avec des vidéos dépressives […], des véritables tutoriels de scarifications […], des vidéos d’incitation au suicide ».

La Commission européenne a visiblement pris son temps, mais les résultats d’un « balayage » sur les promotions pendant le Black Friday et le Cyber Monday vient d’être mis en ligne. C’est la conclusion d’une enquête menée par les autorités de protection des consommateurs de 23 États membres (dont la France), ainsi que d’Islande et de Norvège.

• [Édito] Black Friday, Black Week, Black Month… ça ne s’arrête donc jamais ?

Le bilan est sans appel : « Les autorités de protection des consommateurs ont vérifié 314 commerçants en ligne et ont constaté que 30 % faisaient référence à des remises de manière incorrecte lors de ces ventes ». Cela ne devrait surprendre personne, l’UFC-Que Choisir a déjà tiré la sonnette d’alarme à plusieurs reprises. au sujet de ces fausses promotions.

La Commission rappelle que, pour afficher une réduction (en pourcentage ou en euros), « le prix de référence doit être le prix le plus bas appliqué au cours des 30 derniers jours ». Cette règle a été sacralisée par la Cour de justice de l’Union européenne fin 2024 ; elle avait été saisie par une juridiction allemande.

• Soldes, Prime Day : le grand n’importe quoi des fausses promotions
• Promotions bidons, remises farfelues : la CJUE sacralise la règle des « 30 derniers jours »

D’autres griefs sont également indiqués par la Commission européenne, à savoir que « 36 % ont tenté d’ajouter des articles facultatifs aux paniers des consommateurs. Parmi ceux-ci, quatre sur dix l’ont fait sans demander clairement leur consentement ».

18 % des enseignes « ont utilisé des techniques de vente sous pression, telles que l’affirmation qu’un produit est épuisé ou l’utilisation de compte à rebours », or d’après les constatations de la Consumer Protection Cooperation, « plus de la moitié de ces cas étaient trompeurs ». La Commission rappelle qu’une « technique de vente sous pression peut être considérée comme trompeuse, par exemple, lorsque son affirmation de rareté est fausse ».

Dans 10 % des cas, une « tarification progressive » était mise en place, avec des « frais supplémentaires ajoutés tardivement dans le processus d’achat, tels que des frais d’expédition ou de service ».

La Commission rappelle enfin qu’ajouter des articles sans consentement, afficher des prix de manière trompeuse, prétendre qu’un produit est épuisé ou cacher des frais « sont des pratiques illégales en vertu du droit de la consommation de l’UE ». Après ce balayage, « les autorités nationales de protection des consommateurs peuvent prendre des mesures à l’encontre des entreprises concernées ». À voir maintenant s’il se passera quelque chose du côté de la répression des fraudes, ou autres.

La Commission européenne a visiblement pris son temps, mais les résultats d’un « balayage » sur les promotions pendant le Black Friday et le Cyber Monday vient d’être mis en ligne. C’est la conclusion d’une enquête menée par les autorités de protection des consommateurs de 23 États membres (dont la France), ainsi que d’Islande et de Norvège.

• [Édito] Black Friday, Black Week, Black Month… ça ne s’arrête donc jamais ?

Le bilan est sans appel : « Les autorités de protection des consommateurs ont vérifié 314 commerçants en ligne et ont constaté que 30 % faisaient référence à des remises de manière incorrecte lors de ces ventes ». Cela ne devrait surprendre personne, l’UFC-Que Choisir a déjà tiré la sonnette d’alarme à plusieurs reprises. au sujet de ces fausses promotions.

La Commission rappelle que, pour afficher une réduction (en pourcentage ou en euros), « le prix de référence doit être le prix le plus bas appliqué au cours des 30 derniers jours ». Cette règle a été sacralisée par la Cour de justice de l’Union européenne fin 2024 ; elle avait été saisie par une juridiction allemande.

• Soldes, Prime Day : le grand n’importe quoi des fausses promotions
• Promotions bidons, remises farfelues : la CJUE sacralise la règle des « 30 derniers jours »

D’autres griefs sont également indiqués par la Commission européenne, à savoir que « 36 % ont tenté d’ajouter des articles facultatifs aux paniers des consommateurs. Parmi ceux-ci, quatre sur dix l’ont fait sans demander clairement leur consentement ».

18 % des enseignes « ont utilisé des techniques de vente sous pression, telles que l’affirmation qu’un produit est épuisé ou l’utilisation de compte à rebours », or d’après les constatations de la Consumer Protection Cooperation, « plus de la moitié de ces cas étaient trompeurs ». La Commission rappelle qu’une « technique de vente sous pression peut être considérée comme trompeuse, par exemple, lorsque son affirmation de rareté est fausse ».

Dans 10 % des cas, une « tarification progressive » était mise en place, avec des « frais supplémentaires ajoutés tardivement dans le processus d’achat, tels que des frais d’expédition ou de service ».

La Commission rappelle enfin qu’ajouter des articles sans consentement, afficher des prix de manière trompeuse, prétendre qu’un produit est épuisé ou cacher des frais « sont des pratiques illégales en vertu du droit de la consommation de l’UE ». Après ce balayage, « les autorités nationales de protection des consommateurs peuvent prendre des mesures à l’encontre des entreprises concernées ». À voir maintenant s’il se passera quelque chose du côté de la répression des fraudes, ou autres.