Peur sur la ville

L’ANSSI vient de publier un rapport sur l’état de la menace contre les opérateurs de transports urbains. Les principaux risques sont détaillés, avec des exemples de compromissions un peu partout dans le monde ces dernières années.

Les transports urbains et en communs représentent un enjeu sensible à cause de leur nature critique : « Certaines infrastructures de transport urbain connaissent une forte pression (plusieurs millions d’usagers par jour pour certains réseaux) ». À cela s’ajoutent de vastes réseaux auxquels s’interconnectent de nombreuses entités externes, augmentant ainsi la surface d’attaque pour les pirates. Un mélange potentiellement détonnant et qu’il faut donc surveiller de près.

32 incidents en 5 ans

Selon le décompte de l’ANSSI, entre janvier 2020 et décembre 2024, l’Agence a traité 123 « événements de sécurité d’origine cyber » sur les transports urbains (ferroviaire, routier, guidé, fluvial). Dans le lot, il y a eu 91 signalements (c’est-à-dire des comportements anormaux ou inattendus) et 32 incidents. Ces derniers signifient qu’un acteur malveillant a réussi sa cyberattaque contre le système d’information, avec des conséquences pouvant être variées.

Les trois principales manifestations des attaques sont le DDoS, des fuites de données et des usurpations d’identité. Elles « représentent plus de la moitié des signalements et incidents portés à la connaissance de l’ANSSI ».

Néanmoins, « aucune conséquence significative sur le fonctionnement des entités concernées
n’a été identifiée à la suite de ces activités ». Les attaques DDoS ont pu « être contenues par les mesures de sécurité en place et ont provoqué, dans les cas les plus graves, des indisponibilités de très courte durée des sites visés », explique l’ANSSI.

Le trio du jour : le gain, la déstabilisation et l’espionnage

L’Agence détaille trois motivations : l’appât du gain, la déstabilisation et l’espionnage. Dans le premier cas, « la majorité des attaques à des fins lucratives observées semble davantage de nature opportuniste qu’orientées spécifiquement contre ces entreprises et services ». Les transports ne sont donc pas spécialement ciblés, mais si l’occasion se présente, les pirates ne s’en privent pas. Les principaux outils des pirates sont l’hameçonnage et l’exploitation de failles.

Dans le second cas (déstabilisation), des attaques peuvent être menées par « des États visant à saboter ces réseaux critiques, ou des acteurs appartenant à la mouvance hacktiviste, qui conduisent des attaques par déni de service distribué ». Comme nous l’avons déjà expliqué, les Jeux Olympiques et Paralympiques de Paris 2024 étaient l’occasion pour les pirates d’essayer de « briller », de faire parler d’eux. Il y a eu 83 incidents de cybersécurité, mais aucun événement majeur, affirme l’ANSSI.

• Cyberattaques pendant les JO : « des gens nous en voulaient vraiment »

Même chose pour l’espionnage (industriel ou individuel) dont des modes opératoires sont réputés liés à des États. Le secteur transports offre des « opportunités intéressantes pour des services de renseignement », mais la discrétion reste de mise.

« Des cyberattaques contre des entités du secteur ont été constatées dans le monde sans que la finalité exacte des attaques comme l’identité de la menace n’aient pu être établies de manière certaine, mais qui pourraient relever de l’espionnage », explique l’ANSSI.

Des compromissions par rançongiciels ont eu lieu

L’Agence détaille néanmoins quatre « compromissions ou tentatives de compromission par rançongiciel ». La première compromission concerne « l’infrastructure de virtualisation du comité d’entreprise d’une entité du secteur », sans plus de détails.

En 2023 puis en 2024, des rançongiciels ont chiffré des données d’une entreprise spécialisée dans les services de mobilité (et une de ses filiales), puis une autre des transports urbains. Une souche de rançongiciel a été observée en 2022 sur l’infrastructure d’un réseau de bus lors d’une tentative de compromission.

L’ANSSI publie un commentaire qui n’est pas nouveau, mais toujours bon à rappeler : « dans le cas d’une attaque par rançongiciel, l’ANSSI recommande de ne jamais payer la rançon qui ne garantit pas l’obtention d’un moyen de déchiffrement, incite les cybercriminels à poursuivre leurs activités et entretient ce système frauduleux […] L’expérience montre par ailleurs que l’obtention de la clé de déchiffrement ne permet pas toujours de reconstituer l’intégralité des fichiers chiffrés ».

Détourner la signalisation

Un chapitre est consacré au détournement d’équipements de signalisation, avec des conséquences potentiellement très importantes. L’ANSSI se fait l’écho de travaux de chercheurs qui, en 2020, ont « démontré la possibilité de manipuler des feux de signalisation  […] Ils sont parvenus à manipuler les temps d’attente entre les changements de feux de signalisation afin d’accélérer le passage au vert pour les cyclistes ». Ils ne semblent pour autant pas avoir pu faire passer au vert plusieurs feux qui ne sont pas sensés l’être en même temps, au risque de créer des accidents.

En 2022, à Hanovre en Allemagne, des chercheurs « sont parvenus à manipuler les systèmes de
feux de signalisation à certaines intersections […] Ils ont exploité une technologie obsolète conçue pour permettre à certains véhicules (voitures de police et de pompiers, ambulances, bus locaux) de circuler plus rapidement sans s’arrêter aux feux ».

Il serait techniquement impossible de causer des accidents, ajoute l’ANSSI, mais il y a de quoi largement perturber le trafic. La communication entre les véhicules et les infrastructures (dont la signalisation) est, pour rappel, une des technologies du V2X (Vehicle-to-everything) sur laquelle des constructeurs travaillent.

Ces preuves de concept permettent de mesurer l’ampleur des dégâts potentiels tout en expliquant que cela ne demande pas de capacités sophistiquées. « Toutefois, l’ANSSI n’a pas connaissance d’exploitation réelle de ces capacités à des fins de nuisance par des acteurs offensifs ».

26 recommandations

La fin du rapport est consacrée à pas moins de 26 recommandations, allant d’actions aussi élémentaires que la sensibilisation du personnel et le cloisonnement des systèmes d’informations, à la limitation des dépendances aux technologies de géolocalisation par satellite GNSS (Global navigation satellite system), aux mises à jour et aux sauvegardes.

Si tu ne viens pas au nuage...

Windows 10 ne sera pas le seul produit de Microsoft à ne plus avoir de support cet automne. Le même 14 octobre, Exchange 2016 et 2019 recevront leur mise à jour finale. Après quoi, les garder sera dangereux. Problème, les solutions de remplacement sont en ligne ou sur abonnement.

Exchange 2016 et 2019 sont actuellement les deux dernières versions sur site (on premise) du serveur e-mail de Microsoft. On parle bien de logiciels que l’on peut installer et configurer sur des serveurs présents dans des locaux. À l’inverse, Exchange Online est l’offre en ligne de Microsoft, sur ses propres serveurs. Ce découpage de gamme est à peu près le même que pour Office, avec une offre Microsoft 365 en ligne et des licences perpétuelles (et locales) tous les trois ans en moyenne.

Les habituels dangers

En début de semaine, Microsoft a prévenu : Exchange 2016 et 2019 n’en ont plus que pour six mois de support. Après quoi, plus aucune mise à jour de sécurité ne sera publiée. Comme toujours dans le cas d’un produit exposé à internet, il est recommandé de ne plus utiliser de tels produits, puisque les failles ne sont plus corrigées. Certains facteurs peuvent atténuer une partie des risques, mais aucune solution ne peut compenser durablement la présence de failles.

« Les installations clients d’Exchange 2016 et d’Exchange 2019 continueront bien sûr à fonctionner après le 14 octobre 2025 », précise quand même Microsoft. « Cependant, continuer à utiliser ces offres après la date de fin de support invite à des risques de sécurité potentiels, c’est pourquoi nous recommandons fortement de prendre des mesures dès maintenant ».

Rappelons que les risques de sécurité ne sont pas les seuls. En Europe, le RGPD exige par exemple que les données personnelles soient entreposées dans des logiciels à jour. L’utilisation de versions obsolètes peut donc exposer à des amendes. Il n’y aura plus non plus de support technique. En outre, plus les logiciels prennent de l’âge, plus leur maintenance peut coûter cher.

Enfin, cette fin de support s’applique également aux éditions 2016 et 2019 d’Office, Outlook et Skype for Business. Pour Microsoft, ce sera le grand ménage d’automne et une manière de pousser encore un peu plus vers le cloud. Le 14 octobre, ce sera également la fin officielle de Windows 10.

Deux solutions possibles pour Microsoft

Microsoft propose essentiellement deux solutions. La première est de migrer vers une offre totalement hébergée. Exchange Online par exemple si l’on ne veut effectivement gérer que des e-mails, ou Microsoft 365 dans l’une de ses formes pour entreprises pour avoir tout le package productivité.

L’autre est de mettre à niveau l’ancienne installation sur site vers Exchange Server Subscription Edition. Celle-ci sortira en juillet et Microsoft en profite pour recommander la préparation du terrain si le produit intéresse les entreprises.

De quoi parle-t-on exactement ? D’une version fonctionnant, dans les grandes lignes, avec le même code qu’Exchange 2019 Cumulative Update 15, mais légèrement modernisé. Cette édition prendra en charge Windows Server 2025, remplace NTLMv2 par Kerberos pour les communications entre serveurs, l’intégration de l’API Admin, la suppression de Remote PowerShell, d’Outlook Anywhere et de l’API UCMA 4.0. Cette édition sera mise à jour deux fois par an pour entretenir sa compatibilité générale, corriger les bugs et colmater les failles.

Problème bien sûr, ces deux solutions sont sur abonnement. Migrer vers Exchange SE depuis la version 2019 réclamera ainsi de nouvelles licences, qui ne fonctionneront plus en cas d’arrêt des paiements. Migrer depuis la version 2016 est plus complexe. Microsoft recommande de faire d’abord la mise à jour vers Exchange 2019, avant de migrer ensuite vers l’édition SE.

Ou de nouveaux horizons

Qui héberge encore sur site ses e-mails ? La question peut faire sourire, tant le monde semble s’être tourné très rapidement vers les solutions hébergées et plus généralement le cloud. Les entreprises concernées ont peut-être cependant des installations parfaitement fonctionnelles, sans avoir eu besoin de changer. Auquel cas l’installation des correctifs de sécurité était tout ce qui pouvait les intéresser.

Les avantages du cloud sont connus, avec notamment une infogérance beaucoup plus légère et la résilience des gigantesques infrastructures. Ces dernières offrent le plus souvent plusieurs niveaux de redondance, des mécanismes efficaces de reprise sur incident et de solides protections pour de nombreuses menaces. Au contraire, une entreprise peut être intéressée par une gestion de ses courriels à sa manière, sur son matériel et dans son réseau, sans appétence pour des fonctions modernes, dont tout ce qui touche à l’IA.

Pour rester sur Exchange sans prendre le risque d’exposer toutes ses données aux quatre vents, il faut donc préparer une migration et réaliser des analyses bénéfices/risques sur les solutions proposées. À moins que ce soit l’occasion de migrer vers une autre solution. Google Workspace ? L’offre est financièrement compétitive face à Microsoft 365, mais Google ne propose que des solutions hébergées.

Le sujet est plus complexe qu’il n’y parait et va dépendre des besoins de l’entreprise. Car lorsqu’on parle d’Exchange, cela inclut la gestion des contacts et les calendriers, avec tout ce qui touche à la synchronisation. Il y a sinon les solutions de type collaboratif (groupware), mais tous ne proposent pas forcément des installations sur site. Dans tous les cas, la solution ne sera pas simple, car il faudra pouvoir en plus pouvoir migrer les données.

Stop ou encore ?

Depuis ce matin, les tarifs sont en hausse pour les clients français. La plateforme de streaming n’y va pas avec le dos de la cuillère puisqu’il est question de 1,5 à 2 euros de plus par mois suivant les formules. L’annonce a été faite à l’occasion de la publication de son bilan financier, avec des revenus en hausse et des bénéfices de 2,890 milliards de dollars.

De 7,99 à 21,99 euros par mois

La nouvelle grille tarifaire est en ligne, voici sans attendre les trois forfaits avec, entre parenthèses, les anciens prix :

• Standard avec pub : 7,99 euros par mois (au lieu de 5,99 euros)
• Standard : 14,99 € par mois (au lieu de 13,49 euros)
• Premium : 21,99 € par mois (au lieu de 19,99 euros)

Le forfait Standard permet toujours d’ajouter un abonné supplémentaire. Le tarif est de 5,99 euros par mois avec pub ou de 6,99 euros par mois sans. Avec Premium jusqu’à deux abonnés peuvent être ajoutés.

L’offre Essentiel n’existe plus

À 7,99 euros par mois, Netflix Standard avec pub se positionne exactement au tarif de l’offre standard lors du lancement de la plateforme en septembre 2014. « Le second palier à 8,99 euros par mois vous ouvre les portes de la HD sur deux écrans en simultanée, tandis que pour profiter de quatre écrans qui peuvent aller jusqu’à la 4K Ultra HD il faudra débourser 11,99 euros par mois », expliquions-nous à l’époque. De 11,99 euros par mois, la formule en 4K UHD est désormais à 21,99 euros par mois.

Netflix en profite au passage pour indiquer que son « offre Essentiel n’est plus proposée ». C’était la formule d’entrée de gamme, sans publicité, en HD seulement et sur un seul appareil à la fois (elle était à 10,99 euros par mois). Aucun détail supplémentaire n’est donné, si ce n’est que « vous pouvez changer d’offre à tout moment ».

Netflix content de ses récentes hausses

L’annonce a été faite à l’occasion de la publication du bilan financier de Netflix : « Aujourd’hui, nous ajustons les prix en France, qui sont déjà pris en compte dans nos prévisions 2025 », peut-on lire dans le communiqué. « Les récents ajustements tarifaires que nous avons opérés sur les principaux marchés (notamment les États-Unis, le Royaume-Uni et l’Argentine) ont été conformes à nos attentes », affirme Netflix.

Netflix semble satisfait de ses offres avec publicité : « Nous sommes en bonne voie pour atteindre une taille critique de notre base de membres dans tous les pays cette année ». « L’un de nos principaux objectifs pour 2025 est d’améliorer nos capacités avec les annonceurs. Nous avons déployé avec succès Netflix Ads Suite, notre plateforme interne, aux États-Unis le 1ᵉʳ avril. Dans les prochains mois, nous la lancerons sur nos autres marchés publicitaires », ajoute l’entreprise.

10,5 milliards de revenus, 2,9 milliards de bénéfices, en trois mois

Sur le premier trimestre 2025, la plateforme a réalisé 10,5 milliards de dollars de revenus, en hausse de 12,5 % sur un an. Elle prévoit d’arriver à 11 milliards au deuxième trimestre, ce qui serait une hausse de 15,4 % par rapport à 2024. Le bénéfice net sur les trois premiers mois de 2025 est de 2,9 milliards de dollars, contre 2,3 milliards un an auparavant.

With or Without IA

Le nombre de morceaux de musique identifiés par le détecteur de contenus synthétiques développé par la plateforme est passé de 10 000 à 18 000 par jour entre janvier et avril. 7 à 8 % relèveraient de tentatives de fraude. Le patron de Deezer propose de « légiférer pour que les plateformes rémunèrent les artistes et pas ces bruits », mais ne précise pas comment.

« Environ 10 000 pistes totalement générées par IA sont livrées à la plateforme chaque jour, soit environ 10 % du contenu quotidien livré », expliquait Deezer en janvier dernier. La plateforme annonçait alors avoir déployé un « outil de pointe », conçu en interne et testé depuis un an, pour les détecter.

Alexis Lanternier, son CEO, précisait vouloir « développer un système de marquage pour le contenu totalement généré par IA, [pour] l’exclure des recommandations algorithmiques et éditoriales ». L’entreprise se donnait également pour objectif de développer des capacités de détection de voix générées par deepfakes.

Trois mois plus tard seulement, Deezer vient de révéler que « 18% des nouvelles musiques publiées chaque jour sur sa plateforme sont entièrement générés par intelligence artificielle ». « Soit plus de 20 000 chansons sur les quelque 150 000 qui sont versées chaque jour » (contre 25 000 il y a trois ans), souligne à Ouest-France Alexis Lanternier.

« C’est exponentiel », précise-t-il. « En deux mois, ce chiffre a presque doublé et il n’y a aucune raison que ça s’arrête tellement les outils sont faciles d’utilisation. Ça va continuer ! »

Légiférer pour rémunérer les artistes « et pas ces bruits »

« Nous les signalons clairement à l’utilisateur, en IA Generated, afin qu’il sache que ledit titre est produit par une IA générative et nous les sortons de nos algorithmes pour qu’ils ne remontent pas », tempère Alexis Lanternier, qui indique que Deezer a par ailleurs identifié « 7 à 8 % de fraude » :

« On ne voit pas d’explosion de la consommation de titres produits par l’IA. Les auditeurs cherchent des vrais artistes, de la musique incarnée et c’est heureux. Cependant, c’est un très bon outil pour les fraudeurs, qui créent plein de chansons pour générer des écoutes et récupérer des royalties. C’est sur ce point qu’il faut sans doute imaginer de légiférer pour que les plateformes rémunèrent les artistes et pas ces bruits. »

En 2024, Deezer avait déjà supprimé 13 % de son catalogue

La plateforme, qui héberge aujourd’hui 130 millions de titres, fait régulièrement le ménage pour nettoyer son catalogue des titres qui faussent le calcul de la rémunération des artistes professionnels. La plateforme supprime ainsi l’encodage Flac (la meilleure qualité audio, mais très gourmande en stockage, précise Ouest France) des titres qui n’ont pas été écoutés depuis un an, au motif que « C’est très important, car cela génère de la pollution numérique ».

En avril 2024, Deezer avait ainsi annoncé avoir supprimé 13 % de son catalogue global, soit environ 26 millions de titres entre septembre 2023 et mars 2024, relevait alors BFMTech. Y figuraient des pistes composées de bruits blancs, albums ne contenant qu’un seul et unique morceau, titres et mauvaises imitations générés par intelligence artificielle.

10 millions d’utilisateurs dans le monde, dont la moitié en France

La plateforme vient par ailleurs d’annoncer plusieurs fonctionnalités, censées « offrir une expérience musicale encore plus personnalisée à ses utilisateurs et abonnés ». Elles visent, explique Alexis Lanternier, à « permettre aux utilisateurs de mieux comprendre les algorithmes et de prendre un peu plus le contrôle sur leur usage, de personnaliser encore plus leur expérience et de pouvoir partager facilement avec leurs communautés, abonnées ou non à Deezer ».

À compter du 28 avril, Deezer proposera un « lien de partage universel » afin que ses utilisateurs puissent partager leurs titres favoris, « que leurs amis soient sur Spotify, Apple music ou Youtube music ».

Interrogé par Ouest France sur la possibilité de se convertir en « futur réseau social », Alexis Lanternier botte en touche : « C’est tout à fait possible mais c’est trop tôt pour le dire. On va créer des solutions petit à petit. Évidemment, ça ne peut pas être un réseau social comme les autres, mais la musique est un outil de connexion exceptionnel, donc elle doit créer des liens, à nous de les faciliter. Les utilisateurs veulent davantage d’humain et moins d’algorithmes. »

Ouest-France souligne que la plateforme, cotée en Bourse et qui a atteint la rentabilité en 2024, « compte désormais un peu moins de 10 millions d’utilisateurs dans le monde, dont la moitié en France (où ça augmente) et le reste ailleurs (où ça baisse un peu) ».

Pierre de vision

L’Otan vient de s’équiper d’une « plateforme de combat basée sur l’IA », capable de traiter et d’exploiter les innombrables informations nécessaires à la prise de décision sur les terrains opérationnels. La solution, baptisée Maven Smart System, est fournie par Palantir, qui équipe déjà le Pentagone, la Défense américaine ou l’armée israélienne.

L’Otan met officiellement un pied dans la guerre assistée par IA. L’organisation a en effet annoncé très officiellement lundi l’acquisition de la solution d’intégration, de fusion et d’analyse de données Maven Smart System (MSS), éditée par Palantir, le spécialiste américain du secteur cofondé en 2003 par Peter Thiel et Alex Karp.

Objectif affiché ? Améliorer les capacités de prise de décision du Commandement allié Opérations (ACO), responsable de la planification et de l’exécution de toutes les opérations militaires pilotées par l’Otan.

« En fournissant à l’Alliance une capacité de combat commune basée sur les données, grâce à un large éventail d’applications d’IA – des grands modèles de langage (LLM) à l’apprentissage génératif et automatique –, [le système] améliore la fusion et le ciblage du renseignement, la connaissance et la planification de l’espace de combat, et l’accélération de la prise de décision », décrit l’organisation dans un communiqué.

À ce stade, l’Alliance ne précise pas le périmètre opérationnel de ce Maven Smart System. Elle souligne en revanche à quel point le dossier a été rapidement bouclé. « L’acquisition du MSS Otan a été l’une des plus rapides de l’histoire de l’Otan, six mois seulement s’étant écoulés entre la définition du besoin et l’acquisition du système », déclare-t-elle, avant d’annoncer une mise en œuvre sur le terrain sous seulement trente jours.

Ce déploiement express risque d’interroger à plus d’un titre. D’abord, parce qu’il intervient dans un contexte de fortes tensions géopolitiques au sein de l’Alliance. Le choix de Palantir comme prestataire pourrait dans ce contexte être perçu comme un risque d’interférences avec les velléités de souveraineté des états membres européens comme la France – sans même parler de la réputation sulfureuse de l’entreprise et des multiples accusations de violations des droits de l’homme dont elle fait l’objet. Ensuite, parce que Maven sera mis en œuvre alors même qu’une guerre fait rage sur le continent européen. Enfin, parce que le débat éthique soulevé par la question de la guerre assistée par IA est encore loin d’être tranché…

Terra what ?

En France, les datacenters ont consommé 2,4 TWh d’électricité en 2023 et 681 000 m³ d’eau en direct… car on passe à 6 millions de m³ en comptant la consommation indirecte. Sans surprise, des chiffres en hausse par rapport aux années précédentes.

L’Arcep vient de publier la quatrième édition de son enquête annuelle « Pour un numérique soutenable » avec une évaluation de l’empreinte environnementale des acteurs du numérique en France sur l’année 2023. Il s’agit bien de 2023 ; un décalage « du fait du grand nombre d’acteurs concernés par la collecte de données environnementales ».

Consommation des datacenters en France : 2,4 TWh en 2023

La consommation électrique totale des datacenters en France est de 2,4 TWh sur l’année 2023, en hausse de 8 % sur un an. À titre de comparaison, cela correspond à la consommation annuelle moyenne d’environ 500 000 foyers français, selon les données d’Engie.

« La croissance de cette consommation reste soutenue malgré un ralentissement en 2023. Elle s’établit à+ 8 % après + 14°% en 2022 », explique le régulateur. Notez que les données de 2022 et 2021 ont été ajustés depuis le précédent observatoire.

À titre de comparaison, l’Agence internationale de l’énergie atomique (sous l’égide de l’ONU) expliquait que « les datacenters avaient consommé environ 460 TWh d’électricité en 2022 », et prévoyait que cette consommation pourrait dépasser les 1 000 TWh d’ici à 2026. La France représente donc moins de 0,5 % de la consommation mondiale

• Numérique soutenable : l’Arcep détaille la consommation des box, décodeurs et répéteurs

Île-de-France en force

Dans le détail des 2,4 TWh, 1,6 TWh provient directement des équipements informatiques, tandis que les 0,8 TWh sont attribués aux autres postes de consommations tels que le refroidissement et le tertiaire.

Le régulateur donne aussi quelques indications géographiques : « les centres de données mis en service entre 2021 et 2023 sont majoritairement situés en Ile-de-France ». Ils sont responsables de plus de 70 % de l’augmentation de la consommation.

PUE de 1,46, en baisse grâce aux « nouveaux » datacenters

L’Arcep donne également le PUE moyen de l’ensemble des datacenters en France : 1,46 en 2023. Pour rappel, cela signifie que chaque kWh consommé par les équipements informatiques, le datacenter dans sa globalité, consomme 1,46 kWh. Il s’améliore doucement avec l’arrivée de nouveaux datacenters plus économes. Le PUE était de 1,51 en 2022.

L’Arcep le confirme dans son analyse : le PUE moyen est de 1,34 pour les datacenters de moins de 10 ans, « soit un peu plus d’un tiers des centres de données étudiés », contre 1,54 pour ceux mis en avant 2013. Sur le graphique ci-dessous, on voit bien la différence en fonction de l’âge.

681 000 m³ d’eau en consommation directe…

Autre élément analysé, la consommation en eau. Quelques bases d’abord : « La quasi-totalité du volume d’eau prélevé par les centres de données en 2023 est de l’eau potable ». En 2023, il était question de 681 000 m³, soit 19 % de plus qu’en 2022. À mettre en balance avec les 755 000 m³ d’eau prévus pour les trois prochains datacenters qu’Amazon prévoit d’installer en Aragon, au nord de l’Espagne.

• Big Tech : la multiplication des datacenters pèse sur les zones les plus arides du globe

Deux raisons à cette hausse importante (quasiment identique en 2022, pour les mêmes raisons) : « les vagues de chaleur et les températures records des dernières années qui ont accru les besoins en eau de certains centres de données ». Le réchauffement climatique pourrait accentuer ce phénomène. « D’autre part, des facteurs externes à l’activité de centres de données, tels que des travaux d’aménagements des sites anciens, ont également contribué à cette hausse », ajoute le régulateur.

6 000 000 m³ d’eau en consommation indirecte

L’Arcep relève un point intéressant : il faut aussi compter le volume d’eau consommé indirectement (c’est-à-dire la consommation nécessaire au fonctionnement) : « Ce dernier dépend du mix énergétique français (par exemple, un peu plus de 2 litres d’eau pour 1 kWh d’origine nucléaire) ».

On change alors complétement de registre : « le volume d’eau prélevé directement par les centres de données (681 000 m³ en 2023) est faible au regard du volume d’eau consommé indirectement par les centres de données ». Le régulateur annonce ainsi un volume total (direct + indirect) « estimé à près de 6 millions de m³, soit la consommation annuelle moyenne d’eau en France d’environ 100 000 personnes ».

La liste des 21 opérateurs analysés

Pour rappel, l’Arcep considère pour ses analyses les opérateurs de colocation et de co-hébergement dont le chiffre d’affaires en France est égal ou supérieur à 10 millions d’euros hors taxes. « Ils représentent environ 50 % des centres de données de colocation en service en 2020 », selon une étude ADEME-Arcep.

Dans son annexe 5, l’Arcep donne la liste des 21 opérateurs qui doivent lui envoyer des données : Adista, Amazon Data Services France SAS, Ato, Celeste, Ciril Group, Cogent Communications France SAS, Colt technology Services, Data4 Services, Digital Realty, Equinix France, Free pro, Foliateam Opérateur, Global Switch, Hexanet, Kyndryl France, Orange, OVHcloud, Opcore, SFR, Sigma informatique et Telehouse.

Le bilan du régulateur comporte bien d’autres informations, que nous détaillerons dans une prochaine actualité.

Portes ouvertes pour le DOGE

L’architecte DevSecOps de l’agence du droit du travail américaine accuse l’équipe du DOGE d’Elon Musk d’être responsable d’une fuite de données personnelles de plaignants et d’accusés, ainsi que des données commerciales confidentielles. Le lanceur d’alerte a reçu une lettre de menaces ainsi que des photos de lui prise via un drone.

10 Go de données ont été exfiltrées d’un système de gestion de données du National Labor Relations Board (NLRB), l’agence américaine du droit du travail, selon l’architecte DevSecOps de l’agence, Daniel Berulis. Cette fuite se serait passée alors que l’équipe du DOGE d’Elon Musk a créé des comptes dans différents systèmes informatiques du NLRB.

Daniel Berulis est sous la protection officielle du statut de lanceur d’alerte. Une lettre [PDF] adressée par l’association d’avocats « Whistleblower Aid » à une commission du Sénat américain soutient sa démarche, explique ArsTechnica. Dans celle-ci, l’association affirme qu’ « il craint que les activités récentes des membres du Department of Government Efficiency (« DOGE ») aient entraîné une violation importante de la cybersécurité qui a probablement exposé et continue d’exposer notre gouvernement aux services de renseignement étrangers et aux adversaires de notre nation ».

Interrogé par le média public étasunien NPR, Daniel Berulis explique qu »il ne peut pas « attester de leur objectif final ni de ce qu’ils font avec les données. Mais je peux vous dire que les éléments du puzzle que je peux quantifier sont effrayants. … C’est une très mauvaise image que nous avons sous les yeux ».

Accès illimités du DOGE et sans logs

La lettre de Whistleblower Aid, accompagnée d’une déclaration sur l’honneur du lanceur d’alerte, décrit dans les détails les agissements du DOGE et les problèmes qu’il a constatés au sein du système informatique de l’agence.

Il y explique notamment la préparation de l’arrivée des membres du DOGE début mars. Selon lui, sa hiérarchie lui a demandé de ne pas passer par des procédures standard pour créer leurs comptes. Aucun journal et aucun enregistrement de leurs actions ne devaient avoir lieu.

Ses responsables lui auraient demandé de créer, pour les membres du DOGE, des comptes « du plus haut niveau d’accès et d’un accès illimité aux systèmes internes ». Sur le serveur Azure de l’agence, leurs droits devaient être réglés en « tenant owner ». Comme l’explique Daniel Berulis, c’est l’équivalent d’ « une autorisation pratiquement illimitée de lire, copier et modifier les données ».

Il ajoute que « cet accès s’apparente à celui du propriétaire de l’ensemble du bâtiment dans lequel l’entreprise travaille. Il s’agit notamment des clés du centre de données et de toutes les portes verrouillées, des registres d’entrée dans le bâtiment, de la plomberie et des caméras de sécurité ».

Daniel Berulis fait remarquer que Microsoft déconseille d’utiliser le niveau « tenant » pour créer des comptes d’audit, « car ça peut masquer des actions comme la création ou la suppression de comptes, le changement de rôle ou modifier les règles et dépasse de loin tout besoin légitime pour ce travail ».

L’architecte DevSecOps explique qu’au sein de l’agence, des rôles spéciaux pour les auditeurs avaient déjà été créés. Mais il n’était pas question d’utiliser ce genre de comptes.

« C’était un signal d’alarme énorme » a souligné Daniel Berulis à la NPR, ajoutant que « c’est quelque chose qu’on ne fait pas. Cela va à l’encontre de tous les concepts fondamentaux de la sécurité et des meilleures pratiques ».

Le lanceur d’alerte explique que la structure d’au moins un compte suggère qu’il a été créé puis supprimé par le DOGE pour utiliser le système de cloud du NLRB.

Des tentatives de connexion extérieures et une fuite de 10 Go de données

Il affirme aussi que quelqu’un a essayé de se connecter au système de l’extérieur du NLRB avec un compte nouvellement créé : « dans les jours qui ont suivi l’accès du DOGE aux systèmes du NLRB, nous avons remarqué qu’un utilisateur ayant une adresse IP dans la région du Primorié, en Russie, a tenté de se connecter. Ces tentatives ont été bloquées, mais elles étaient particulièrement alarmantes ».

Le problème n’est pas une énième tentative de connexion d’un bot utilisant la force brute pour essayer de se connecter. « La personne qui tentait de se connecter utilisait l’un des comptes nouvellement créés et utilisés pour d’autres activités liées au DOGE, et il semblait qu’elle disposait du nom d’utilisateur et du mot de passe corrects puisque le flux d’authentification ne l’arrêtait qu’en raison de l’activation de notre politique d’interdiction des connexions en dehors du pays », décrit-il.

Il affirme qu’ « Il y a eu plus de 20 tentatives de ce type et, ce qui est particulièrement inquiétant, c’est que beaucoup d’entre elles se sont produites dans les 15 minutes qui ont suivi la création des comptes par les ingénieurs du DOGE ».

Dans sa déclaration, Daniel Berulis explique avoir constaté la suppression de divers paramètres de sécurité dans le système du NLRB. Enfin, il explique avoir commencé à suivre le 7 mars « ce qui semblait être des données sensibles quittant l’endroit sécurisé où elles sont censées être stockées » sur le système de gestion des dossiers NxGen de l’agence.

Au moins 10 Go de données ont été exfiltrées, mais le lanceur d’alerte n’a pas réussi à savoir quels fichiers ont été copiés ou supprimés. Si les données ont été compressées avant envoi, la fuite pourrait être plus importante. Daniel Berulis explique avoir essayé d’éliminer l’hypothèse d’une exfiltration, « mais aucune piste n’a porté ses fruits et certaines ont été arrêtées net ».

Comme l’explique sa déposition, le NLRB garde des données sensibles qui doivent rester confidentielles, notamment « sur les syndicats, sur des affaires juridiques et des informations concernant le secret des affaires d’entreprises ». Elle stocke également des « informations personnelles identifiables de plaignants et d’accusés ayant des affaires en cours » ainsi que des informations commerciales confidentielles « recueillies ou fournies au cours d’enquêtes et de litiges qui n’étaient pas destinées à être rendues publiques ».

Enfin, la lettre évoque le fait que Daniel Berulis a trouvé des menaces scotchées sur sa porte, le 7 avril alors qu’il était en train de préparer sa déclaration. Des photos de lui prises par drone le montrant en train de promener son chien dans son quartier accompagnaient le message.

Interrogée par la NPR, le NLRB nie que l’agence ait accordé l’accès à ses systèmes au DOGE et même que le service d’Elon Musk l’ait demandé. L’agence assure avoir mené une enquête après des signalements de Daniel Berulis mais « a déterminé qu’il n’y avait pas eu de violation des systèmes de l’agence ». Le média explique pourtant avoir eu la confirmation de 11 sources internes à l’agence qui partagent les préoccupations de l’architecte DevSecOps.

La NPR a mis à jour son article après que la Maison-Blanche, en réponse à son enquête, a déclaré : « cela fait des mois que le président Trump a signé un décret pour embaucher des employés du DOGE dans les agences et coordonner le partage des données. Leur équipe hautement qualifiée a été extrêmement publique et transparente dans ses efforts pour éliminer le gaspillage, la fraude et les abus dans l’ensemble de la branche exécutive, y compris le NLRB ».

Sur CNN, l’avocat Andrew Bakaj qui a signé la lettre de Whistleblower Aid, a évoqué le fait que le DOGE aurait utilisé Starlink pour exfiltrer les données. « Ce qui veut dire, de ce que nous comprenons, que la Russie a un pipeline direct d’information via Starlink et que tout ce qui passe par Starlink va vers la Russie », affirme-t-il.

Sans autre information, il est difficile de s’appuyer sur cette déclaration pour en conclure quoi que ce soit sur les liens de cette affaire avec la Russie. En effet, même si l’IP utilisée pour essayer de se connecter au système du NLRB indique la région du Primorié, dont la capitale est Vladivostok, à l’extrême est de la Russie, celle-ci n’est pas une source sûre de localisation d’un attaquant. Celui-ci peut, entre autres, avoir utilisé un VPN pour obfusquer sa réelle localisation.

La voie du milieu

OpenAI a finalement lancé ses deux nouveaux modèles de raisonnement o3 et o4-mini, destinés à remplacer o1. Les scores affichés par l’entreprise sont particulièrement bons. Pour la première fois, OpenAI a aussi ajouté des protections spécifiques pour empêcher ses modèles d’être utilisés pour créer des armes chimiques et biologiques.

Il était temps de briller un peu. Entre la sortie d’un GPT-4.1, le départ en pré-retraite de GPT-4.5 et le report de GPT-5, l’actualité n’était pas brillante pour OpenAI, dans un domaine où tout va très vite. La société avait cependant prévenu que deux nouveaux modèles de raisonnement allaient arriver.

o3 et o4-mini ont donc été présentés hier. Il s’agit de deux modèles multimodaux, capables de traiter du texte et des images en entrée. La nouvelle « star » est en théorie o3, mais o4-mini pourrait lui voler la vedette, avec des scores équivalents – voire meilleurs – sur certaines tâches. Un modèle plus petit, donc moins cher à faire fonctionner.

Encore des modèles orientés vers « les tâches réelles »

Sans trop de surprise, OpenAI reprend les mêmes éléments de langage que pour son récent GPT-4.1. Les deux nouveaux modèles sont ainsi conçus pour des « tâches réelles » et seraient particulièrement performants pour des activités comme la programmation. Plus question de laisser prendre du terrain aux trois principaux concurrents que sont Gemini 2.5 Pro de Google, Claude Sonnet 3.7 d’Anthropic et DeepSeek V3 dans sa version améliorée.

Selon OpenAI, o3 atteint ainsi un score de 69,1 % sur la version vérifiée du test SWE-bench. o4-mini fait à peine moins bien avec 68,1 %. On est loin devant les 48,9 % d’o1 et les nouveaux venus se permettent une marge confortable sur Claude Sonnet 3.7 et ses 62,3 %. Bien que nous mentionnions le score de Claude, la communication d’OpenAI n’établit aucune comparaison directe avec des modèles concurrents. Les tableaux affichés – ils sont nombreux – ne montrent que les gains conséquents sur o1 et o3-mini.

Les deux modèles sont présentés comme idéaux pour des tâches telles que le développement logiciel, la navigation web, l’exécution de scripts Python dans le navigateur (via Canvas), ainsi que le traitement et la génération d’images. OpenAI annonce d’ailleurs qu’o3 et o4-mini sont les premiers modèles de l’entreprise capables de « penser avec des images » (sic). Ils peuvent par exemple exploiter des photos flous de tableaux blancs pour en extraire les données, diagrammes et ainsi de suite.

De manière générale, o4-mini montre tout le potentiel du futur modèle o4, si OpenAI le lance un jour en version complète. Il se révèle aussi performant, voire légèrement meilleur qu’o3-mini sur des tâches comme la programmation, l’analyse d’images et les mathématiques. Sur le test mathématique AIME 2024, il atteint même 92,7 %, soit légèrement plus que le plus gros modèle de Google, Gemini 2.5 Pro.

OpenAI a ses nouvelles stars du raisonnement

Les modèles de raisonnement devenant dominants dans le secteur de l’IA générative, il est probable qu’OpenAI soit revenue sur ses plans de ne pas s’attarder sur o3 et o4 pour passer directement à la suite, malgré ses annonces en fin d’année dernière. C’est bien ce qui avait été annoncé, de la même manière que GPT-4.5 est écarté pour laisser de la place au développement des futurs modèles.

Ils sont donc là pour occuper le terrain. Les deux sont déjà disponibles dans les forfaits Pro, Plus et Team de ChatGPT. On note également une variante o4-mini-high, qui doit fournir des réponses plus précises, au prix bien sûr d’un temps de calcul plus long.

En outre, une version o3-pro sera fournie dans les semaines qui viennent, là encore pour des réponses plus précises, mais uniquement pour les personnes abonnées à ChatGPT Pro, la formule à 200 dollars par mois. o3, o4-mini et o4-mini-high seront également disponibles pour les développeurs via les API Chat Completions et Responses.

Les prix annoncés sont relativement modestes au vu des performances. Pour o3, le tarif est ainsi de 10 dollars par million de jetons en entrée et 40 dollars par million de jetons en sortie. La tarification d’o4-mini est la même qu’o3-mini : 1,10 dollar en entrée et 4,40 dollars en sortie.

Enfin, OpenAI annonce le lancement de Codex CLI, un agent de développement conçu pour la ligne de commande dans un terminal. Il exploite pour l’instant o3 et o4-mini, mais prendra bientôt en charge des modèles supplémentaires, dont GPT-4.1. L’outil est open source, sous licence Apache 2.0.

Des protections contre les menaces biochimiques

En même temps que ses annonces sur o3 et o4-mini, OpenAI a publié un document (pdf) reflétant l’analyse de sécurité de ses nouveaux modèles. On peut y lire notamment que les risques d’hallucinations ou de biais sont toujours présents, de même que l’utilisation à des fins malveillantes.

Parmi ces fins, la préparation de menaces biologiques ou chimiques. OpenAI indique donc avoir intégré des protections spécifiques, dont un « moniteur de raisonnement axé sur la sécurité ». Il a lui-même été formé pour raisonner sur les politiques de contenu, identifier les messages pouvant correspondre à l’élaboration d’une menace et bloquer les réponses.

L’entreprise dit demander à sa « red team » de consacrer environ 1 000 heures à étiqueter des conversations « dangereuses » sur les risques biochimiques, pour intégrer la logique dans le moniteur. Selon les informations du document, o3 et o4-mini bloqueraient les demandes liées au développement de menaces à hauteur de 98,7 %.

Ces informations sont cependant à nuancer. Dans son propre document, OpenAI admet ne pas savoir si cette protection tiendra devant l’originalité renouvelée des invites (prompts), que l’on peut adapter à chaque refus pour tenter de contourner la difficulté. De plus, OpenAI ne présente pas vraiment son moniteur comme un apport clair sur la sécurité. Il vient surtout compenser la hausse des capacités de raisonnement qui, elles, ouvrent de nouveaux champs.

o3 et o4-mini peuvent tricher… comme les autres

En outre, le même rapport mentionne les tests de la société Apollo Research, habituée de la red team d’OpenAI. Ses tests ont montré que les deux modèles pouvaient tricher dans les demandes comme dans les benchmarks. Par exemple, un test visant à effectuer certaines tâches avec 100 crédits de calcul ont finalement été réalisées avec 500. Il avait été spécifiquement demandé aux IA de ne pas augmenter le quota, ordre ignoré par les deux modèles, qui ont affirmé ensuite que les 100 crédits avaient été respectés.

Même son de cloche globalement chez la société Metr, autre habituée de la red team d’OpenAI. Dans un billet publié hier et soir et repéré notamment par TechCrunch, la société note que les deux modèles peuvent effectivement tricher. Dans les deux, le risque n’est pas jugé significatif, OpenAI reconnaissant elle-même que ses modèles peuvent entrainer de « petits préjudices », quand les résultats ne sont pas supervisés.

Une conclusion que l’on peut rappeler pour chaque nouveau modèle. Mais l’envolée des capacités de raisonnement rend le problème plus visible. Les protections mises en place permettent à OpenAI de rester dans une marge acceptable.

Qualif à la place de Qualif

Après S3ns (Thales et Google), c’est au tour d’un autre « cloud de confiance » basé sur des services étasuniens de passer le jalon J0 de la qualification SecNumCloud : Bleu (Orange, Capgemini et Microsoft). Le processus doit encore durer une année.

L’annonce de Bleu, un « cloud de confiance » d’Orange et Capgemini, a été faite en 2021, avec Microsoft (Azure et 365) comme partenaire technologique. Les activités commerciales ont pour leur part débuté en janvier 2024. En septembre, Bleu présentait ses « 12 premiers partenaires de services » et visait un dépôt de son dossier de la qualification SecNumCloud par l’ANSSI pour la fin de l’année.

• Bleu annonce 12 partenaires et devrait déposer son dossier SecNumCloud à la fin de l’année

SecNumCloud : Bleu valide le jalon J0, la route est encore longue

Aujourd’hui, Bleu (détenue à 100 % par Capgemini et Orange) vient de passer une étape importante, même si la route est encore longue : « le franchissement du jalon J0 ». La co-entreprise en profite pour en faire des tonnes.

« Ce jalon atteste de la maturité de la solution cloud que nous développons. Nos équipes et nos partenaires sont pleinement mobilisés pour mettre à disposition nos services et atteindre la qualification SecNumCloud dans les meilleurs délais », affirme ainsi Jean Coumaros, président de Bleu.

Bleu « vise la qualification de ces services pour le premier semestre 2026 ».

C’est quoi ce jalon J0 ?

L’AFNOR rappelle de son côté que le jalon préalable J0 ne concerne que « la validation par l’ANSSI d’un dossier de candidature. La phase d’évaluation avec audit sur site a lieu après la validation de ce jalon 0 ». Il y a ensuite J1, J2 et J3 à passer.

L’ANSSI ajoute néanmoins que « dès son entrée officielle dans le processus de qualification SecNumCloud (reconnue par un courrier de l’ANSSI à l’entreprise annonçant « le jalon J0 »), toute entreprise pourra évoquer publiquement la démarche en cours ». Et, si elle le souhaite, elle peut apparaitre sur la liste de l’ANSSI des prestataires en cours de qualification. Pour le moment, ce n’est pas encore le cas.

Bien évidemment, le jalon J0 n’est pas suffisant pour « utiliser le logo du Visa de sécurité ANSSI ni afficher la qualification SecNumCloud tant qu’elle n’aura pas officiellement obtenu la qualification SecNumCloud ». L’Agence de cybersécurité ajoute que « tout communiqué de presse évoquant le processus de qualification SecNumCloud de l’ANSSI devra préalablement être partagé à [ses services] pour validation ».

Datacenters en France, 130 employés pour l’instant

Bleu en profite pour rappeler que ses services « sont hébergés dans ses datacenters, en Ile-de-France et dans le sud de la France. Ces services sont pilotés par du personnel de Bleu, depuis ses centres opérationnels ouverts à Paris et Rennes ».

130 personnes sont actuellement employées, avec l’objectif d’atteindre les 200 à la fin de l’année.

S3ns a passé le J0 en juillet 2024 « sans réserve »

Son concurrent S3ns, avec Thales et Google à la manœuvre, a passé le « jalon 0 » de la qualification ANSSI en juillet dernier, avec une finalisation espérée durant l’été 2025. C’est dans le délai moyen d’un an après un jalon J0.

Le service presse de Thales nous avait alors confirmé que, « à ce stade, il n’y a pas de réserve à avoir de la part de l’ANSSI et l’agence n’en a pas émise ». Bleu ne donne pas de précision sur ce point. Nous avons posé la question à son service presse.

La différence peut avoir son importance, comme le rappelle l’ANSSI. Franchir le jalon J0 avec des réserves signifie que « l’ensemble des critères d’acceptation […] sont respectés, mais l’ANSSI estime qu’un jalon de la qualification ne peut a priori pas être franchi ou que les coûts et délais nécessaires pour atteindre la qualification sont très importants ».

Nous mettrons à jour cette actualité dès que nous aurons une réponse de Bleu.

Alain Afflelou envoie actuellement des emails à ses clients et prospects, avec un objet laissant peu de place au doute : « Informations sur vos données personnelles ».

Il est évidemment question d’une fuite de données personnelles : « Une faille dans le système de l’un de nos prestataires a entraîné un accès non autorisé à notre outil de gestion des relations clients ». Le nom du prestataire n’est pas communiqué, comme c’est très (trop) souvent le cas durant les derniers mois.

Dans le lot des données piratées, on retrouve l’état civil (nom, prénom, date de naissance), les coordonnées (adresse postale, e-mail, numéros de téléphone) et des informations commerciales : date et montant total des derniers achats, date du dernier devis, nom de la dernière mutuelle et/ou OCAM, date du dernier rendez-vous, enseigne de rattachement des achats (opticien ou acousticien) et information selon laquelle vous êtes parent d’enfant(s) client(s) mineur(s).

« Aucune donnée bancaire, aucun numéro de Sécurité sociale, aucune donnée de correction visuelle ou d’audition, ni aucun mot de passe n’a été compromis », affirme l’entreprise. Le nombre de clients et/ou prospects touchés n’est pas précisé.

Le risque est toujours le même en pareille situation : une attaque par phishing en utilisant les données récupérées. Des pirates peuvent ainsi tenter de se faire passer pour Alain Afflelou et essayer de récupérer d’autres données.

Papa don't preach

Elon Musk a 14 enfants publiquement connus, et « certainement beaucoup plus » selon ses proches. Plongée dans une réflexion tout à fait liée à ses projets entrepreneuriaux.

Elon Musk a 14 enfants connus de 4 mères différentes. La dernière à s’être fait connaître publiquement : l’influenceuse pro-Trump Ashley St. Clair. En février, la jeune femme de 26 ans a publié un message sur X dans lequel elle déclarait être la mère d’un enfant de 5 mois, conçu avec Elon Musk. Elle expliquait au passage publier cette déclaration pour prendre de vitesse des tabloïds qui s’apprêtaient à révéler l’affaire.

Outre les médias à l’affut du scoop, l’autre victime de cette publication semble être Ashley St. Clair elle-même. Dans une longue enquête sur la manière dont Elon Musk gère ses relations avec les mères de ses multiples enfants, le Wall Street Journal revient en effet sur l’imbroglio judiciaire dans lequel l’influenceuse a été propulsée après avoir refusé de signer un accord liant confidentialité et soutien financier.

La reproduction, partie intégrante du projet de Musk

Car dans le parcours de l’homme le plus riche du monde et actuelle tête du « ministère de l’efficacité gouvernementale » (DOGE) des États-Unis, la reproduction est une entreprise à part entière. Proche du courant de pensée long-termiste, adepte de thèses complotistes comme celle du grand remplacement, Elon Musk encourage les personnes de son milieu social à se reproduire pour peupler la planète de ce qu’il considère être des personnes d’intelligence supérieure.

Ceci explique les débats récurrents en ligne sur le quotient intellectuel (QI) de l’entrepreneur – comme nous le rappelions dans notre article sur les idéologies TESCREAL, auxquelles appartient le long-termisme, la validité scientifique de la notion de QI est largement débattue.

• Transhumanisme, long-termisme… comment les courants « TESCREAL » influent sur le développement de l’IA

Ouvertement pronataliste, Musk se déclare en effet inquiet devant les taux de natalité plus élevés dans les pays du Sud mondial que dans les pays du Nord. À de multiples reprises, il a qualifié la question de la natalité de priorité absolue pour la « survie de l’humanité au long-terme », un projet qu’il prévoit par ailleurs d’aider en envoyant des fusées Space X vers la planète Mars, qu’il souhaite coloniser (lors d’un meeting politique, il a récemment déclaré la planète comme faisant partie des États-Unis, au mépris du traité de l’espace de 1967 interdisant l’appropriation nationale des corps célestes).

Musk se réfère enfin à sa progéniture en évoquant une « légion », en référence à l’unité militaire utilisée pour évoquer les milliers de soldats nécessaires à l’extension de l’Empire romain. Lors de sa relation avec Ashley St. Clair, Musk a notamment souligné le besoin « de recourir à des mères porteuses » pour avoir des enfants plus rapidement et « atteindre le niveau de la légion avant l’apocalypse ».

Rapports financiers

La question de la reproduction occupe Musk au point qu’il aborde des utilisatrices de X par message privé, jusqu’à leur proposer d’avoir des enfants. Dans le cas de l’influenceuse crypto Tiffany Fong, la proposition a été formulée après plusieurs semaines de discussions en ligne, mais sans que Musk et Fong ne se soient rencontrés, rapporte le Wall Street Journal.

Vu la position publique et politique d’Elon Musk, le procédé se met en place dans un évident contexte de rapport de pouvoir. La place qu’il occupe sur son propre réseau social et l’audience qu’il y accumule fait par ailleurs mécaniquement monter l’audience des internautes avec lesquels il interagit, donc leurs revenus. Tiffany Fong explique ainsi avoir enregistré une nette hausse de revenus et gagné 21 000 dollars pendant deux semaines d’interactions avec Elon Musk.

Lorsque l’entrepreneur lui a proposé de se reproduire, cela l’a obligée à s’interroger sur les conséquences financières de son refus. Dès que le milliardaire a appris que Tiffany Fong avait demandé l’avis de ses proches, il a arrêté de suivre la jeune femme et cessé de communiquer avec elle.

Les rapports financiers s’installent aussi avec celles qui acceptent les propositions de Musk, d’après Ashley St. Clair. Au Wall Street Journal, elle explique s’être vue proposer 15 millions de dollars et 100 000 $ de soutien mensuel jusqu’aux 21 ans de leur fils Romulus en échange de son silence sur l’identité du père. Jared Birchall, l’analyste financier à la tête du family office d’Elon Musk depuis 2016, lui aurait expliqué que des accords similaires avaient été signés avec les mères d’autres enfants. Leur nombre n’est pas connu – Jenna Wilson, fille de Musk ayant rompu tout contact avec son père après que celui-ci a refusé d’accepter sa transition, indique ainsi ne pas connaître le nombre exact de ses frères et sœurs.

Ashley St. Clair a refusé l’accord, car celui-ci lui interdisait d’évoquer le lien entre Musk et son fils, mais n’empêchait pas le milliardaire de parler mal d’elle s’il le souhaitait. La jeune femme indique ne pas vouloir que son fils se sente illégitime, et que le contrat ne prévoyait aucune sécurité en cas de maladie de l’enfant, ou de décès de Musk avant les 21 ans du petit garçon.

Quatre jours après sa publication sur X, l’influenceuse indique que Musk a mis fin à l’offre de 15 millions de dollars. Alors que St. Clair demandait un test de paternité – depuis revenu avec une probabilité de 99, 9999 % sur le fait que Musk soit le père –, celui-ci a réduit l’allocation mensuelle à 40 000, puis 20 000 dollars. Les dates des réductions de paiement coïncident avec des désaccords juridiques, explique l’un des avocats de la mère de famille : « La seule conclusion que nous puissions en tirer est que l’argent est utilisé comme une arme ».

Avant Ashley St. Clair, la chanteuse Grimes (Claire Boucher à la ville) a, elle aussi, eu à se battre contre l’entrepreneur politique. Après avoir fréquenté Musk à partir de 2018, l’artiste a eu avec lui trois enfants, puis s’est battue dans les tribunaux pour obtenir leur garde – la chanteuse accuse le chef d’entreprises de l’avoir empêchée de voir l’un de leurs enfants pendant cinq mois. Elle déclare en outre avoir été ruinée par la bataille judiciaire.

Obsession partagée

Outre Ashley St. Clair et Grimes, les deux autres mères connues d’enfants de Musk sont son ex-femme Justine Musk et l’investisseuse Shivon Zilis. Cette dernière vit dans un complexe fermé dont l’acquisition a été gérée par Jared Birchall, qui supervise l’essentiel des négociations liées aux grossesses et au soutien financier post-naissance des femmes liées à Musk. Dans l’idée initiale de Musk, le complexe aurait accueilli tous ses enfants – il a tenté de convaincre Grimes de s’y installer, puis St. Clair de venir y passer du temps.

Aussi étranges que puissent sonner ces récits, ils ne sont pas propres à Elon Musk.

Dans l’univers de la tech, ils s’intègrent dans un courant plus large de promotion d’une forme d’eugénisme « positif », qui permettrait de faire naître des enfants « plus intelligents » que la moyenne. Le fondateur de Telegram Pavel Durov s’est ainsi félicité que ses dons de spermes aient aidé plus de 100 couples dans 12 pays différents à concevoir des enfants. Si le projet peut sembler philanthropique (en France, les dons de sperme sont très insuffisants), ils prennent un tour plus sujet à débat lorsqu’on lit l’entrepreneur décrire ses dons comme du « matériel de haute qualité » et vouloir rendre son ADN « open source ».

D’un point de vue plus entrepreneurial, le patron d’OpenAI Sam Altman a notamment investi dans la start-up Conception, qui cherche à rendre possible la conception biologique entre personnes de même sexe.

Le cas de Musk s’inscrit, aussi, dans un contexte politique. Fin mars, des influenceurs d’extrême-droite organisaient par exemple un événement d’un week-end au Texas pour permettre à des personnes fortunées de se rencontrer, dans le but de leur faire concevoir des enfants.

Alors que le Parti républicain est divisé sur la question de la procréation médicalement assistée, Donald Trump a récemment déclaré vouloir devenir le « président de la fécondation ». C’est aussi au président, par l’intermédiaire de ses nominations à la cour suprême, que les États-Unis doivent le recul du droit à l’avortement à l’échelle fédérale.

• La drôle de trajectoire politique d’Elon Musk

Débranche, débranche, débranche tout

OVHcloud est (presque) sur un petit nuage, avec de bons résultats dans son dernier bilan semestriel. Le groupe revendique une forte croissance aux États-Unis et en Asie-Pacifique, mais réalise toujours quasiment la moitié de son chiffre d’affaires en France. Pour Benjamin Revcolevschi, il y a une « troisième voie entre les États-Unis et la Chine », et OVHcloud veut s’en occuper.

OVHcloud vient de dévoiler son bilan financier pour le premier semestre de l’année, avec des hausses sur l’ensemble de ses segments. Le chiffre d’affaires passe de 486,1 millions d’euros au 1ᵉʳ semestre 2024 à 536,0 millions d’euros cette année, soit une hausse de 10,3 %. Le groupe confirme au passage ses objectifs annuels.

Des bénéfices (des pertes en 2024) et 1 milliard d’euros de dette

Le résultat net consolidé est de 7,2 millions d’euros, alors qu’il était question de pertes de 17,2 millions l’année dernière. « Le résultat net du premier semestre 2025 intègre notamment une charge d’intérêts de (24,2) millions d’euros, en hausse de 8,4 millions d’euros. Cette augmentation provient principalement des frais liés à la mise en place de la nouvelle dette et de l’augmentation des taux d’intérêts et de la dette nette sur la période », explique la société.

La dette d’OVHcloud au 28 février 2025 est de 1,03 milliard d’euros contre 667,2 millions d’euros au 31 août 2024. « Le levier d’endettement atteint 2,7x au 28 février 2025, en ligne avec la politique d’endettement du Groupe ».

« Forte demande aux États-Unis et en Asie-Pacifique »

Le cloud privé (Bare Metal et Hosted Private) représente toujours la part la plus importante avec 334,2 millions d’euros (+ 10,5 %). Les deux autres branches sont au coude à coude : cloud public à 103,8 millions d’euros (+ 17,4 %) et webcloud à 98 millions d’euros (+ 2,9 %).

L’entreprise note une « forte dynamique des noms de domaine, soutenue par la mise en place d’engagements pluriannuels dans de nouvelles géographies ». Sur le webcloud, « en excluant les sous-segments Connectivité et Téléphonie, activités historiques du Groupe, la croissance du segment atteint + 6,3 % ».

Revenons sur le cloud privé qui se taille la part du lion et affiche une croissance de 10,5 % sur un an. Deux éléments sont mis en avant : « une bonne croissance du revenu par client (ARPAC) principalement soutenue par une forte demande aux États-Unis et en Asie-Pacifique », ainsi que « des effets prix liés au changement de facturation des licences VMware par Broadcom depuis mai 2024 ».

Concernant les licences VMware, cela permet certes d’augmenter les revenus, mais OVHcloud doit ensuite reverser les sommes à Broadcom (modulo sa marge/commission). En ce début d’année 2025, Broadcom a encore resserré la vis sur les licences VMwares.

« Le seul acteur européen dans le top 10 mondial du cloud »

Lors de la conférence de presse, Next a demandé à Benjamin Revcolevschi (directeur général d’OVHcloud) d’où venait cette « forte demande aux États-Unis et en Asie-Pacifique ». Il nous a expliqué qu’aux États-Unis, la croissance se fait notamment via des entreprises « dans la tech (startup et scale-up) », sans entrer dans les détails.

Il a ajouté que « les États-Unis sont un marché fragmenté : quand vous avez la bonne solution, au bon prix et avec les bonnes performances, les clients décident de migrer. J’ai des exemples de clients qui ont migré », mais aucun n’a été donné. Pour servir directement ses clients étasuniens, OVHcloud dispose de deux datacenters sur place (côte Est et Ouest) ainsi que 10 Local Zones.

Pour Benjamin Revcolevschi, « les clients recherchent un cadre de confiance » et veulent « limiter la dépendance à des acteurs non européens ». Il revendique être « le seul acteur européen dans le top 10 mondial du cloud » et « le seul à ne pas être soumis aux lois extraterritoriales ». Il y a une « place pour une troisième voie entre les États-Unis et la Chine », ajoute-t-il.

Mais OVHcloud dépend toujours fortement de la France (à 48 %)

La France représente quasiment 50 % de son chiffre d’affaires avec 256,7 millions d’euros sur six mois (+ 8,1 %), suivie par l’Europe à 156,2 millions (+ 10,6 %) et le reste du monde (qui représente 23 % de ses revenus) à 123,1 millions d’euros (+ 14,7 %). En France, la locomotive est le cloud public avec 18,6 % de hausse en un an.

En bourse, OVHcloud affiche + 47 % depuis fin mars, avec une forte hausse entre les 2 et 4 avril, après l’annonce sur les droits de douane par Donald Trump. L’action est aujourd’hui à 11 euros, mais cela reste largement en dessous des 18,50 euros lors de l’introduction fin 2021 et des 25 euros dans les semaines suivantes.

En avril 2024, l’entreprise dévissait toutefois de près de 30 % après l’annonce de ses résultats. Entre le 5 avril 2024 (avant les résultats) et aujourd’hui, le cours de l’action est quasiment stable.

• Les droits de douane Trump relancent l’hypothèse d’une taxe GAFAM européenne

23 Local Zones, Bare Metal Pod passe SecNumCloud

OVHcloud revendique « 23 grandes villes disponibles à fin février 2025 » pour ses Local Zones. Fin 2024, Benjamin Revcolevschi nous expliquait que la société est « militaire dans le déploiement de ces Local Zones : toutes les deux ou trois semaines, on en déploie une ». Les premières remontent à février 2024 et avaient été annoncés au Summit fin 2023.

OVHcloud prévoyait « jusqu’à 150 Local Zones ouvertes d’ici à 2026 ». Des ambitions revues à la baisse, nous confiait le directeur général lors de son arrivée : « on n’aura pas 150 Local Zones en 2026 […] On les déploie activement, mais on veut faire ça bien ».

OVHcloud rappelle aussi avoir obtenu la qualification SecNumCloud pour son offre Bare Metal Pod. Il s’agit de proposer un minimum de huit serveurs dans une demi-baie, et jusqu’à 480 serveurs dans 10 baies, « l’ensemble clé en main, le hardware et le software ».

Les « datacenters déconnectés » sont là

2024 était aussi l’occasion de lancer On-Prem Cloud Platform : « une plateforme cloud intégrée (matérielle et logicielle) qui sera, en mode déconnecté, hébergée et opérée de façon autonome ». Pour simplifier, il s’agit d’un ensemble prêt à être installé chez des clients et qui n’a pas besoin d’être connecté à Internet. Octave Klaba en parlait déjà en 2022 avec ses « datacenters déconnectés » lors de la conférence EcoEx.

• EcoEx : OVHcloud va proposer des « datacenters déconnectés » et mise sur l’open source

Toutes les plateformes Apple ont reçu hier soir une mise à jour estampillée « X.4.1 ». Elles ont été déployées pour colmater deux failles de sécurité déjà exploitées.

La première, CVE-2025-31200, réside dans CoreAudio. Elle est de type corruption de la mémoire et peut être utilisée pour envoyer un flux audio spécialement conçu dans un fichier multimédia pour déclencher un code arbitraire. La seconde, CVE-2025-31201, touche RPAC. On ne sait pas grand-chose de son fonctionnement, sinon qu’un attaquant disposant de droits arbitraires en lecture et écriture pourrait contourner Pointer Authentication.

Il est très probable que ces deux vulnérabilités soient utilisées par des outils d’espionnage. Elles auraient en effet été exploitées « dans des attaques extrêmement sophistiquées contre des individus spécifiques », indique Apple. A priori, ce comportement n’aurait été observé que sur iOS.

Comme souvent dans ce genre de cas, il est recommandé d’installer ces mises à jour le plus rapidement possible.

Nouvelle version pour le client de virtualisation open source (GPLv3). Même s’il s’agit d’une mise à jour d’entretien, VirtualBox 7.1.8 vient corriger plusieurs problèmes gênants, dont un pouvant faire grimper le taux d’occupation CPU à 100 %, ce qui n’est jamais bon. Il touche le composant VBxTray dans les Windows Guest Additions, donc dans les machines virtuelles équipées du système de Microsoft.

Dans la longue liste des changements, on peut voir de nombreuses autres corrections. Par exemple, un curseur qui ne s’affichait pas, un souci dans DevVirtioSCSI pouvant bloquer la restauration des états antérieurs, un plantage de VBoxSVC pendant l’enregistrement de la configuration via le service web, des équipements Wi-Fi qui n’étaient plus découverts sur des distributions Linux « modernes », ou encore des Linux Guest Additions qui ne s’installaient parfois pas si les bibliothèques X11 étaient absentes.

Comme d’habitude, la nouvelle mouture peut être téléchargée depuis le site officiel.

vulnérabilités au carré

La base de données de vulnérabilités CVE, mondialement utilisée pour connaître et corriger des risques de cybersécurité, a bien cru voir son financement fédéral américain s’arrêter. Alors qu’il devait expirer aujourd’hui même, l’Agence de cybersécurité américaine CISA l’a renouvelé à la dernière minute. En parallèle, des responsables de CVE ont lancé une fondation pour assurer son indépendance à long terme.

L’Agence de cybersécurité américaine CISA a finalement décidé de continuer à financer la base de données de vulnérabilités CVE en étendant son contrat avec la MITRE, l’organisation à but non lucratif qui gère le projet.

« Le programme CVE est inestimable pour la cybercommunauté et constitue une priorité de la CISA. Hier soir, la CISA a exécuté la période d’option du contrat afin de s’assurer qu’il n’y aura pas d’interruption des services CVE essentiels », a affirmé l’agence dans un communiqué envoyé à Forbes et notre BleepingComputer.

Le stress de la communauté cyber

Il était temps. La communauté de la cybersécurité avait commencé, mardi soir, à s’émouvoir sur les réseaux sociaux de la possible disparition de cette base de données. En effet, ce contrat arrivait à échéance ce mercredi 16 avril. Cette information a fuité mardi via une lettre adressée aux membres du bureau du CVE publiée sur Bluesky.

Yosry Barsoum, le vice-président du MITRE, l’organisation à but non-lucratif dont dépend le CVE, y annonçait un possible arrêt de financement et affirmait : « Si une interruption de service devait se produire, nous prévoyons de multiples conséquences pour CVE, notamment la détérioration des bases de données et des avis nationaux sur les vulnérabilités, des fournisseurs d’outils, des opérations de réponse aux incidents et de toutes sortes d’infrastructures critiques ».

Le spécialiste en cybersécurité Kevin Beaumont réagissait par exemple en affirmant que « le secteur de la cybersécurité dans son ensemble est également en difficulté – c’est l’éléphant dans la pièce – l’effondrement du soutien de la Maison-Blanche à la cybersécurité est évident et prononcé en raison des coupes budgétaires généralisées ».

En effet, CVE est vraiment devenu un outil indispensable dans ce secteur depuis sa création en 1999. Elle recense toutes les vulnérabilités de sécurité des systèmes informatiques en indiquant leurs sévérités. Cette base permet notamment d’unifier les noms des failles pour s’assurer que tout le monde s’entende et ne fasse pas de confusion. Toutes les personnes travaillant dans le secteur l’utilisent. On peut aussi s’appuyer sur CVE pour analyser la variation du nombre failles de sécurité, mais attention à le faire en prenant en compte leur exploitation et pas seulement leur nombre absolu.

• Le nombre de failles de sécurité a augmenté de 30 % en 6 mois : beaucoup de bruit pour rien ?

Une fondation créée à la hâte

Alors que l’annonce de la reconduction du contrat n’avait pas encore été faite, des membres du bureau du CVE ont annoncé le lancement de la Fondation CVE. Celle-ci doit assurer « la viabilité, la stabilité et l’indépendance à long terme du programme CVE, pilier essentiel de l’infrastructure mondiale de cybersécurité depuis 25 ans ».

Elle est présentée comme une réponse à l’instabilité dans laquelle se trouve le CVE. En même temps, ce texte explique qu’elle est le fruit d’« une coalition de membres actifs et de longue date du conseil d’administration de CVE [qui] a passé la dernière année à élaborer une stratégie de transition de CVE vers une fondation à but non lucratif ».

Il est difficile pour l’instant de savoir quel sera l’avenir de la gouvernance du CVE entre cette fondation et la gestion historique par le MITRE.

Ce dernier a, certes, finalement pu reconduire le contrat avec la CISA, mais 442 employés du MITRE ont été licenciés récemment après l’arrêt de contrats par le DOGE équivalent à 28 millions de dollars de budget, selon Virginia Business. Difficile de promettre une stabilité au projet dans ce contexte.

Depuis l’attaque terroriste du Hamas contre Israël le 7 octobre 2023, l’État a réalisé une opération de modération des plateformes de Meta d’un genre particulier : il a formulé des requêtes de suppression de contenus publiés dans quantité de pays étrangers.

D’après des documents internes obtenus par Drop Site, une newsletter créée par d’anciens journalistes d’investigation de The Intercept, Meta a coopéré dans 94 % des cas. 
L’immense majorité de ces contenus contenaient des propos pro-palestiniens ou critiques du génocide opéré dans la bande de Gaza. Les demandes de retraits formulées par Israël ont principalement visé des internautes de pays arabes ou à majorité musulmanes, parmi lesquels l’Égypte, la Jordanie, l’Algérie, le Yémen, la Tunisie ou encore le Maroc.

95 % des requêtes – quasiment toujours formulées de la même manière, quel que soit le contenu – était classifiée par le gouvernement israélien comme relevant du « terrorisme » ou de l’« incitation à la violence » selon les politiques d’utilisation de Meta.

Les données montrent que Meta aurait modéré plus de 90 000 posts pour se conformer aux demandes du gouvernement israélien en 30 secondes en moyenne. Drop Site souligne que ces actions auront un impact futur, dans la mesure où les contenus supprimés servent à entraîner les systèmes automatisés de modération pour leur faire faire prendre de futures décisions.

Meta a également considérablement étendu les suppressions automatisées depuis le 7 octobre, ce qui aurait valu à près de 39 millions de posts supplémentaires de faire l’objet d’une « action » (interdiction, retrait, voire bannissement) sur Facebook et Instagram depuis la fin de l’année 2023, relève d’ailleurs Drop Site.

Ces documents renforcent une tendance observée par des organisations comme Human Rights Watch, qui relevait dès la fin 2023 des suppressions de contenus, du shadow banning (fait de limiter la visibilité) et de la suspension de comptes favorables à la cause palestinienne sur Instagram et Facebook dans plus de soixante pays du globe.

• Facebook et Instagram ont « sévèrement restreint » les médias et internautes palestiniens

Drop Site relève que seulement 1,3 % des requêtes de suppression formulées par le gouvernement israélien concerne ses propres internautes, quand l’immense majorité des autres gouvernements s’intéressent à du contenu domestique (63 % des requêtes de la Malaisie se concentrent du contenu publié en Malaise, 95 % de celles formulées par le Brésil concernent du contenu brésilien).

• Israël – Hamas : sur le front numérique aussi, le conflit fait rage

ANSSI font font les pirates

L’année 2024 a sans doute été l’une des plus chargées pour l’agence française. Dans le domaine de la cybersécurité, les travaux ont été très nombreux, entre les opérations courantes, la préparation aux directives européennes ou encore la sécurisation des Jeux olympiques et paralympiques. Et 2025 s’annonce tout aussi dense.

L’Agence nationale de la sécurité des systèmes d’information a publié hier son rapport d’activité pour 2024. Une année charnière dans la cybersécurité, tant elle a été chargée en travaux. Elle a consacré la montée en puissance de l’ANSSI et son rôle au sein de l’Union européenne, l’agence était l’une des plus actives d’Europe. Sa labellisation SecNumCloud avait même servi à établir le niveau de sécurité High+ dans la première version d’EUCS, avant que le projet ne soit gelé, en attente d’une reprise des débats dans un contexte très différent de tensions avec les États-Unis.

• En France, le niveau de risque des cybermenaces est « particulièrement élevé »
• Vincent Strubel (ANSSI) : « On est en Ligue 1 des nations cyber »… face aux Russes et Chinois

Un travail de fond sur les nouvelles lois

L’ANSSI aborde en long et en large le nécessaire travail d’adaptation à l’évolution des cadres juridiques. L’Agence est ainsi très occupée avec la transposition en cours des directives européennes NIS2, DORA et REC. En France, ce travail a franchi une étape décisive il y a un mois avec le passage au Sénat du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, aussi appelé « PJL Cyber Résilience », qui transpose d’un coup les trois directives.

• Cybersécurité : la transposition des directives NIS2, DORA et REC passe le Sénat

Cette loi va chambouler profondément la vie de nombre d’entreprises, qui vont devoir s’adapter à de nombreuses exigences. C’est surtout le cas avec la directive NIS2, comme nous l’avions détaillé dans un précédent article. L’ANSSI a commencé son travail d’accompagnement des milliers d’infrastructures concernées. Dans son édito, le directeur de l’ANSSI, Vincent Strubel, indique d’ailleurs que la transposition de NIS2 est vectrice d’une « transformation profonde de son organisation, de ses méthodes et de sa manière d’interagir avec ses bénéficiaires et ses partenaires ». Elle est également qualifiée d’ « extrêmement dimensionnante ».

L’ANSSI se dit ainsi « pleinement mobilisée » pour les 18 secteurs d’activités visés par NIS2. Elle a par exemple organisé des consultations auprès des fédérations professionnelles concernées, coordonné le travail d’élaboration du projet de loi et les négociations européennes sur le sujet, développé sa stratégie d’accompagnement, lancé un site dédié (MonEspaceNIS2, toujours en bêta), préparé son accompagnement et adapté ses outils.

On note aussi l’aboutissement d’un projet lancé en 2022 pour adopter une nouvelle organisation interne, apte à gérer les nouveaux défis. Il a débouché en début d’année 2025 sur la création de la mission Contrôles et Supervision, rattachée directement au directeur de l’ANSSI. Elle contrôlera la conformité des activités d’importance vitale, au règlement eIDAS (identité numérique) ou encore au règlement sur la cybersécurité (CSA). Ce sera aussi à elle de préparer les mesures correctrices qui seraient à prendre par les entités concernées par les nouveaux textes.

Coopération et action collective

On ne reviendra pas en détail sur les Jeux olympiques et paralympiques de l’année dernière, considérés par l’ANSSI comme un très grand succès. Le long travail préparatoire avait payé, comme l’indiquait déjà l’agence l’année dernière. « Comme pour nos athlètes olympiques, la cybersécurité des Jeux olympiques et paralympiques s’est préparée sur le temps long, bien avant le coup d’envoi », résume Julien Garcin, chargé de mission gouvernance.

• Bilan des JOP 2024 par l’ANSSI : 465 signalements et 83 incidents de cybersécurité

L’ANSSI revient surtout dans son rapport sur sa place centrale, la nécessité de la coopération et le succès d’une approche collective. L’agence se trouve en effet au cœur d’un grand écosystème mettant en présence des acteurs politiques (dont le gouvernement et le Parlement), institutionnels (ministères, autorités, collectivités, organismes de normalisation…), tous ceux de la cyberdéfense (dont les CSIRT et les forces de l’ordre), la communauté scientifique et technique, l’industrie de la cybersécurité et enfin les partenaires internationaux (dont l’ENISA européenne et l’OTAN).

L’anticipation des prochaines menaces

L’activité cybersécurité de l’ANSSI a été particulièrement intense en 2024. Ses capacités opérationnelles sont en pleine mutation, poussées par le besoin de s’adapter aux nouveaux cadres, mais également par la Loi de Programmation Militaire 2024 - 2030. Les JOP 2024 étaient d’ailleurs la première grande épreuve depuis le vote de cette dernière en 2023.

Le reste de l’année a vu tous les indicateurs décoller. L’ANSSI indique ainsi avoir traité 1 361 incidents de sécurité, soit 18 % de plus qu’en 2023. 4 386 évènements de sécurité ont été rapportés, soit 15 % de plus. L’ANSSI a également reçu 59 191 rapports d’audits automatisés, une progression de 56 %. 1 696 personnes ont été formées au CFSSI (Centre de formation à la sécurité des systèmes d’information) et 117 856 attestations SecNumacadémie ont été délivrées (le premier MOOC de l’ANSSI, lancé en 2022), une progression de 21 %. Pour cette année, le budget de l’agence était de 29,6 millions d’euros, hors masse salariale.

Si 2024 est qualifiée « d’exceptionnelle » par Vincent Strubel, l’ANSSI planche aussi sur la suite, en particulier quatre grandes verticales de réflexion et de recherche. L’IA d’abord et son rapport à la sécurité, qu’elle l’épaule ou qu’elle l’impacte. L’ANSSI a d’ailleurs publié l’année dernière ses recommandations pour l’IA générative.

La cryptographie post-quantique dans le collimateur

Autre « gros morceau », la cryptographie post-quantique (PQC). Comme le rappelle l’agence, « la menace d’attaques rétroactives (dites store now, decrypt later) nécessite une prise en compte de ce risque dès aujourd’hui ». La problématique n’a rien de nouveau et ne concerne pas que le quantique, on en parlait déjà il y a… plus de 10 ans. Nous avions expliqué le fonctionnement de cette cryptographie et étions revenu sur l’offre existante, jugée « très immature » par l’ANSSI.

Son avis étant connu, elle a poursuivi l’année dernière un travail sur deux axes : garantir la disponibilité d’une offre plus adaptée (intégrant notamment des algorithmes résistants) et accompagner la migration des systèmes chez les bénéficiaires de l’agence.

Enfin, les deux autres axes concernent la sécurité du cloud (avec la promotion de SecNumCloud bien sûr) et la Data-Centric Security (DCS). Celle-ci est explorée avec Inria et se penche sur l’approche visant à sécuriser la donnée elle-même, où qu’elle se trouve. Le partenariat doit notamment définir les « mécanismes cryptographiques répondant aux exigences de sécurisation de ces nouvelles architectures ».

Notion, connue pour son application à tout faire dans la prise de notes et le formatage des informations, lance une nouvelle application, en bêta depuis longtemps : Notion Mail. Limité pour l’instant à Gmail, l’éditeur met en avant les capacités d’organisation de son application et la possibilité de configurer le client comme on le souhaite.

Notion Mail met l’accent sur la personnalisation et l’automatisation. Son système d’étiquetage permet d’apposer automatiquement des labels sur les courriels, en fonction de ce que l’on a indiqué précédemment dans Notion AI. Par exemple : « Classe tous les courriers de mon agence immobilière comme importants ». Les e-mails concernés sont alors dument étiquetés.

La boite de réception peut également être divisée en vues, chacune représente un intérêt particulier. Un label peut aussi constituer une vue. Une idée intéressante et qui évite de forcer les utilisateurs à tabler sur trois ou quatre catégories imposées, comme Apple l’a fait dans Mail avec les dernières versions d’iOS et macOS.

Notion Mail propose d’autres fonctions, comme la possibilité d’enregistrer des modèles d’e-mails à partir de courriers fréquemment envoyés pour ne pas avoir à les réécrire. Les disponibilités peuvent aussi être partagées via l’intégration avec Notion Calendar. Notion AI peut bien sûr être utilisé pour aider à la rédaction et on retrouve toutes les commandes habituelles, accessibles via le raccourci clavier « / ».

Malgré une assez longue phase de test, Notion Mail est pour l’instant disponible sur peu de plateformes : web et macOS. Une version iOS est prévue pour « bientôt », sans précision. À TechCrunch, l’éditeur a confirmé vouloir se rendre compatible avec d’autres services e-mail et travailler à pouvoir réunir plusieurs boites de réception en une seule vue.

L’utilisation de Notion Mail reste gratuite, comme les autres services de Notion, avec des limitations mensuelles pour Notion AI. Elles disparaissent avec l’abonnement spécifique à cette fonction (détachés des formules habituelles), qui débute à 7,50 euros par mois et par personne.

22’, VLOP l’Arcom

En mars, l’Arcom demandait à Cloudflare de bloquer l’accès à Camschat, un site de contenus pornographiques. La plateforme a contesté cette décision devant le tribunal administratif de Paris. Ce dernier a rejeté la demande et répond au passage à « plusieurs questions de principe » sur le sujet.

En avril 2024, la loi SREN (Sécuriser et réguler l’espace numérique) était définitivement adopté. Le projet de loi avait été déposé en mai 2023, avec une procédure accélérée. Afin de s’accorder avec le droit européen, le texte a été revu avec précaution et corrigé durant sa navette parlementaire.

• Loi SREN adoptée : comment la France va sécuriser et réguler l’espace numérique

Un des axes du texte est de « protéger les plus jeunes des dangers d’Internet », notamment des contenus pornographiques. Ainsi, le texte permet à l’Arcom, après mise en demeure, d’« ordonner sous le contrôle a posteriori du juge administratif qui devra statuer rapidement : le blocage des sites pornographiques qui ne contrôlent pas l’âge de leurs utilisateurs ; leur déréférencement des moteurs de recherche sous 48 heures », explique Vie-Publique.

En 2023, l’Arcom tirait la sonnette d’alarme : « L’exposition des mineurs aux contenus pornographiques est en forte progression sur internet. Chaque mois, 2,3 millions de mineurs fréquentent des sites pornographiques, un chiffre en croissance rapide au cours des dernières années ».

« Le droit de l’Union européenne prime sur le droit national »

Mais attention, comme nous l’avions déjà expliqué l’année dernière, cela ne concerne que les sites basés en France et en dehors de l’Europe. Des sites domiciliés dans un autre pays de l’Union européenne pourront aussi être concernés, mais uniquement via un arrêté. C’est la même pirouette pour les mesures sur le cloud (encadrement des frais de transfert de données et de migration, plafonnement à un an des crédits cloud, obligation pour les services cloud d’être interopérables…).

En effet, la France (comme n’importe quel pays de l’Union) ne peut pas entrer en concurrence avec les textes européens : « le droit de l’Union européenne prime sur le droit national, y compris les dispositions constitutionnelles », rappelle Vie Publique. Il en est de même pour les arrêts de la Cour de justice de l’Union européenne qui sont contraignants pour toutes les autorités des États membres.

Des demandes de blocages de sites pornos

C’est ainsi que, en octobre dernier, la cour d’appel de Paris ordonnait « le blocage de plusieurs sites pornographiques extra-européens en raison de l’absence de contrôle de l’âge des utilisateurs, mais a accordé un sursis aux plateformes hébergées dans l’Union européenne ».

• La justice valide le blocage de quatre sites porno non établis en Europe, du répit pour cinq autres

Cette année, l’Arcom a ordonné à Cloudflare de bloquer l’accès au site Camschat, un site qui propose des contenus pornographiques, dans un délai de 48 h. Cloudflare a contesté la décision. Pour la première fois, le tribunal administratif de Paris a ainsi été saisi d’un « recours contre une décision de l’Arcom », comme l’a repéré l’avocat spécialiste du numérique Alexandre Archambault.

Le quarté du jour : 91.134.78.244

Dans sa décision, le tribunal commence par rappeler les doléances de Cloudflare : « à titre principal, d’annuler la décision du 6 mars 2025 par laquelle le président de l’autorité de régulation de la communication audiovisuelle et numérique (Arcom) lui a notifié l’adresse électronique https://camschat.net/ afin qu’elle empêche l’accès à cette adresse dans un délai de quarante-huit heures pour une durée de deux ans et l’informe que les utilisateurs souhaitant accéder à l’adresse sont redirigés vers une page d’information de l’Arcom accessible à l’adresse 91.134.78.244 ».

Cette IP (gérée par OVHcloud) est associée au nom de domaine protectiondesmineurs.arcom.fr. On arrive sur une page expliquant que « le site pornographique auquel vous avez tenté d’accéder fait l’objet d’une décision de blocage ».

Compatibilité entre la loi française et le DSA européen

Dans un communiqué, le tribunal explique qu’il a dû se « prononcer sur plusieurs questions de principe ». La première était « la compatibilité de la loi française avec le règlement européen sur les services numériques », alias le DSA. La question peut être résumée ainsi : est-ce que « le législateur national pouvait fixer des règles complémentaires à celles issues du droit de l’Union » ?

La réponse est oui pour le tribunal administratif. Bien évidemment, il s’explique : « Le tribunal a relevé que le règlement européen procède à une harmonisation complète du régime de protection des mineurs s’agissant des fournisseurs de plateformes en ligne normalement accessibles aux mineurs […] et de « très grandes plateformes en ligne » » (ou VLOP), c’est-à-dire celle avec plus de 45 millions d’utilisateurs mensuels actifs ou « qui est désignée comme telle par une décision de la Commission européenne ».

Camschat n’est ni une très grande plateforme ni accessible aux mineurs

Sur ces deux types de plateformes (sans condition d’âge ou les VLOP), « les autorités nationales sont en principe dessaisies de leur compétence normative », précise le tribunal. Mais, il reste un trou dans la raquette, comme l’indique le tribunal : « le règlement européen ne procède pas à une telle harmonisation s’agissant des autres plateformes qui ne relèvent pas de ces deux catégories, à l’instar de Camschat ».

Pour simplifier, le site ne dépasse pas le seuil pour être qualifié de VLOP et ne doit pas être accessible aux mineurs (puisqu’il propose des contenus pornographiques). Le Tribunal l’explique d’ailleurs dans sa décision :

« Il ressort des pièces du dossier et n’est pas contesté par la société Cloudflare que le fournisseur de la plateforme de partage de vidéos proposant le service « Camschat », dont il est constant qu’il contient des contenus pornographiques licites, n’est pas une plateforme normalement accessible aux mineurs ou une très grande plateforme au sens du règlement du 19 octobre 2022 ».

Puisque le règlement européen ne s’applique pas dans ce genre et de situation, et afin de « protéger les mineurs contre les contenus proposés par celles-ci, les États membres peuvent édicter des mesures complémentaires à celles du règlement européen ». Pour le moment, rien à redire donc sur la décision de l’Arcom.

Une « atteinte proportionnée »

La deuxième question de principe concerne la territorialité de l’injonction : « Le tribunal a considéré que même si l’injonction peut viser des plateformes ayant leur siège hors de France, seuls les mineurs établis sur le territoire français doivent être empêchés d’accéder à ces contenus en ligne ».

Enfin, le tribunal administratif a « jugé que le dispositif de contrôle par l’Arcom porte une atteinte proportionnée aux libertés d’entreprise et d’expression ». L’objectif d’empêcher l’accès des mineurs à des contenus pornographiques est légitime et « aucun dispositif moins attentatoire à l’exercice des droits ne permet d’atteindre cet objectif ».

En conséquence, le tribunal administratif décide que la « requête de la société Cloudflare est rejetée ».

Au deuxième jour du procès de Meta dans lequel la FTC accuse l’entreprise d’avoir voulu créer un monopole, un email de Mark Zuckerberg montre qu’il envisageait la vente d’Instagram, précisément pour éviter ce genre d’allégation. Il a expliqué l’achat initial de l’application par le fait qu’elle avait une meilleure partie photo. Entre autres idées pour doper le développement de Facebook, il a également évoqué « l’idée folle » de remettre à zéro les listes d’amis.

Mardi, Mark Zuckerberg a expliqué la stratégie de son entreprise depuis les années 2010 pour donner le contexte des rachats successifs d’Instagram en 2012 et de WhatsApp en 2014. Ceux-ci constituent les exemples les plus saillants de l’accusation de la FTC visant « une stratégie systématique d’éliminer les menaces qui pèsent sur son monopole ».

Le procès opposant Meta et la FTC a commencé cette semaine. Rappelons que l’agence a déposé une plainte en 2020 accusant l’entreprise de Mark Zuckerberg de « maintenir illégalement son monopole ».

Comme nous l’avons déjà rappelé, l’enjeu de ce procès est de taille puisque Meta pourrait être obligée de se séparer d’Instagram qui lui procure la moitié de son chiffre d’affaires. De l’autre côté, la crédibilité de la FTC pourrait être ébranlée si le tribunal ne se range pas à ses côtés.

• Meta face à la justice pour répondre de l’achat d’Instagram et WhatsApp

Une revente d’Instagram envisagée en 2018 pour plusieurs raisons

Mais un email qu’il a lui-même envoyé pourrait mettre Mark Zuckerberg dans l’embarras. En effet, l’avocat de la FTC a cité un mémo qu’il a envoyé en 2018 à son équipe, explique le Washington Post. Il y évoquait une éventuelle scission avec Instagram.

Son premier argument était la croissance d’Instagram, vue comme susceptible de cannibaliser celle de Facebook. Il se demandait si le départ des utilisateurs de Facebook rejoignant Instagram pourrait éventuellement provoquer un « effondrement du réseau » de Facebook, à l’époque le « produit le plus rentable ».

Mais il appuyait son point de vue d’un second argument : la pression des autorités de régulation : « alors que les appels au démantèlement des grandes entreprises technologiques se multiplient, il y a une chance non négligeable que nous soyons obligés de nous séparer d’Instagram et peut-être de WhatsApp dans les 5 à 10 prochaines années ».

« Réseau social personnel », une catégorie de marché débattue

Le CEO de Meta a dû aussi expliquer le choix d’acheter Instagram en 2012. L’avocat de la FTC lui a demandé s’il avait pensé que la croissance rapide d’Instagram aurait pu être destructive pour Facebook, explique Reuters. « Nous faisions une analyse « créer ou acheter » alors que nous étions en train de créer une application photo », a répondu Mark Zuckerberg, ajoutant « je pensais qu’Instagram était meilleur dans ce domaine, et j’ai donc pensé qu’il valait mieux l’acheter ».

Mais les avocats de Meta ont fait valoir que ses intentions passées n’étaient pas pertinentes car la FTC se baserait sur une mauvaise définition pour assoir son accusation de position dominante. L’autorité considère que Meta détient un monopole sur ce qu’elle appelle les « réseaux sociaux personnels » et définit ces derniers comme des applications permettant aux gens d’entretenir des relations avec leurs amis et famille. Pour l’accusation, le plus gros concurrent de Meta est Snapchat.

Du côté de Meta, la vision du marché est bien plus large et inclut TikTok, YouTube ou X. Interrogé par ses avocats, Mark Zuckerberg a affirmé n’avoir pas entendu parler du terme « réseau social personnel » avant la plainte de la FTC.

Une idée folle en 2022 : rebooter Facebook

Ce procès est aussi l’occasion de connaitre un peu plus la stratégie mise en place par Facebook (puis Meta) pour rebooster son image et l’utilisation de son réseau social phare. En 2022, dans un email interne à son équipe, explique Business Insider, Mark Zuckerberg a proposé une « idée folle » pour que Facebook récupère son aura : « Une idée potentiellement folle est d’envisager d’effacer les graphs de tout le monde et de les faire recommencer ». En clair, le CEO de Facebook a proposé à son équipe de remettre à zéro les listes d’amis de tous les utilisateurs du réseau social.

Lors de son témoignage, Mark Zuckerberg a affirmé que le réseau avait beaucoup évolué et que son objectif principal n’était plus vraiment de se connecter avec des amis. Cet argument permet aussi à Meta de réfuter le classement de son réseau originel dans la catégorie de « réseau social personnel » évoqué par la FTC.