Un tribunal américain a jugé que Google avait bien créé illégalement un monopole sur le marché de la publicité en ligne. L’entreprise a enfreint les lois américaines sur la concurrence en « l’acquisition et le maintien délibérés d’un pouvoir de monopole ». Les conséquences seront décidées dans un second temps, mais Google pourrait se voir obligée de se séparer de plusieurs services liés à la publicité.

Après avoir, pendant des années, construit un empire du web, Google fait maintenant face aux conséquences devant la justice étasunienne. En aout 2024, la justice américaine concluait que l’entreprise détenait un monopole sur la recherche en ligne. Ce jeudi 16 avril, elle a aussi estimé que Google s’était créé un monopole du marché de la publicité en ligne.

Les conséquences de ces deux décisions pourraient aboutir à un démantèlement de la société imposé par la justice. Du côté de la recherche en ligne, des pistes ont déjà été envisagées et la décision est prévue pour aout prochain.

• Comment la justice américaine envisage-t-elle le démantèlement de Google

Concernant le marché de la publicité en ligne, l’entreprise pourrait être forcée de se séparer d’outils de gestion des publicités en ligne. Dans le viseur figure notamment Google Ad Manager qui a rassemblé en 2018 les outils DoubleClick for Publishers (DFP) et DoubleClick Ad Exchange (AdX). Mais d’autres options sont possibles comme l’obligation de séparer de nouveau DFP et AdX pour permettre l’interopérabilité avec d’autres outils.

Une construction délibérée d’un monopole

Dans l’explication de sa décision [PDF], la juge Leonie M. Brinkema estime que Google a acquis et maintenu « délibérément un pouvoir monopolistique » sur le marché des serveurs pour annonceurs et celui des échanges pour la publicité sur le web.

Elle n’a, par contre, pas retenu l’accusation faite par le ministère de la Justice américain de construction d’un monopole sur le marché des réseaux d’outils d’affichage de publicité pour les annonceurs. Elle n’a tout bonnement pas considéré que ce marché existait à lui seul.

« Google a renforcé son pouvoir de monopole en imposant des politiques anticoncurrentielles à ses clients et en éliminant des caractéristiques souhaitables de ses produits », explique-t-elle dans ses conclusions. Elle ajoute qu’ « en plus de priver les rivaux de leur capacité de la concurrencer, ce comportement d’exclusion a porté un préjudice considérable aux éditeurs clients de Google, au processus concurrentiel et, en fin de compte, aux consommateurs d’informations sur le web ».

Une victoire historique pour l’accusation, un match nul selon Google

C’est « une victoire historique dans la lutte en cours pour empêcher Google de monopoliser la place publique numérique », pour la procureure général des États-Unis, Pamela Bondi, citée par Reuters.

Du côté de Google, l’entreprise affirme ne pas avoir tout perdu dans cette affaire. « Nous avons gagné la moitié de cette affaire et nous ferons appel pour l’autre moitié. La Cour a estimé que nos outils pour les annonceurs et nos acquisitions, telles que DoubleClick, ne nuisent pas à la concurrence », estime la vice-présidente de l’entreprise, Lee-Anne Mulholland. Elle ajoute : « Nous ne sommes pas d’accord avec la décision de la Cour concernant nos outils pour les éditeurs. Les éditeurs ont de nombreuses options et ils choisissent Google parce que nos outils publicitaires sont simples, abordables et efficaces ».

Concernant l’acquisition de DoubleClick, la juge Leonie M. Brinkema affirme pourtant dans l’explication de sa décision qu’ « en renforçant son activité tournée vers les éditeurs grâce à l’acquisition de DoubleClick, Google a pu établir une position dominante des deux côtés de la pile de technologies publicitaires ».

Fake America Great Again

Un sous-secrétaire d’État complotiste de l’administration Trump vient d’annoncer la fermeture du service de lutte contre la manipulation de l’information et les ingérences étrangères. Et ce, alors qu’un sondage révèle « une croyance généralisée dans les fausses informations » de la part des citoyens états-uniens. Au point que 20 % croient que les vaccins ont fait plus de morts que la Covid-19, et qu’un peu moins de la moitié ne sont « pas sûr » de savoir si cette affirmation est vraie, ou pas.

Le chef de la diplomatie américaine, Marco Rubio vient d’annoncer, ce mercredi 16 avril, la fermeture de la seule agence fédérale américaine qui traquait et contrait la désinformation en provenance des pays étrangers, rapporte l’AFP.

La fermeture du Counter Foreign Information Manipulation and Interference (R/FIMI, pour « service de lutte contre la manipulation de l’information et les ingérences étrangères ») a été justifiée par la nécessité de « défendre la liberté d’expression des Américains ».

« Sous l’administration précédente, ce service, qui coûtait aux contribuables plus de 50 millions de dollars par an, a dépensé des millions de dollars pour faire taire et censurer activement les voix des Américains qu’il était censé servir », a accusé M. Rubio dans un communiqué.

En fermant le R/FIMI, le controversé sous-secrétaire intérimaire du ministère, Darren Beattie, « offre une victoire importante aux critiques conservateurs qui ont allégué qu’il censurait les voix conservatrices », estime la MIT Technology Review.

Darren Beattie, qui avait été renvoyé de la première administration Trump pour avoir assisté à une conférence sur le nationalisme blanc, a depuis suggéré que le FBI avait organisé l’attaque du 6 janvier contre le Congrès, déclaré que défendre Taïwan contre la Chine ne valait pas la peine, et laissé entendre que la communauté du renseignement des États-Unis était plus susceptible que l’Iran d’être à l’origine des tentatives d’assassinat contre Donald Trump.

En octobre 2024, Darren Beattie avait aussi tweeté que « les hommes blancs compétents doivent être aux commandes si l’on veut que les choses fonctionnent. Malheureusement, toute notre idéologie nationale est fondée sur le fait de dorloter les sentiments des femmes et des minorités, et de démoraliser les hommes blancs compétents ».

« Le Kremlin et le Parti communiste chinois peuvent aujourd’hui se réjouir »

Le R/FIMI a été créé à la fin de l’année 2024, sur les cendres de son prédécesseur, le Global Engagement Center (GEC), après qu’une mesure visant à ré-autoriser son budget de 61 millions de dollars a été bloquée par les républicains du Congrès. Ces derniers l’accusaient d’aider les grandes entreprises technologiques à censurer les voix conservatrices américaines.

En 2023, Elon Musk avait par exemple qualifié le centre de « pire délinquant en matière de censure [et] de manipulation des médias par le gouvernement américain » et de « menace pour notre démocratie ».

Le R/FIMI avait un objectif similaire de lutte contre la désinformation étrangère, mais avec moins de moyens, relève la MIT : doté d’un budget de 51,9 millions de dollars, son personnel ne comptait plus que 40 employés, contre 125 au GEC.

Les conservateurs qui s’insurgent contre ce qu’ils qualifient de « complexe industriel de la désinformation et de la censure », note la MIT Technology Review, se sont également attaqués à l’Agence de cybersécurité et de sécurité des infrastructures (CISA) du département de la sécurité intérieure (DHS) et à l’Observatoire de l’internet de Stanford, connu pour ses recherches consacrées à la désinformation pendant les élections. 

L’ancien directeur de la CISA, l’équivalent américain de l’Agence nationale de la sécurité des systèmes d’information (Anssi) en France, Chris Krebs, a été personnellement visé dans un mémo de la Maison Blanche daté du 9 avril, et l’université de Stanford a fermé le Stanford Internet Observatory avant les élections présidentielles de 2024.

Chris Krebs a en effet été licencié pour avoir indiqué n’avoir « aucune preuve » d’une éventuelle fraude lors de la défaite de Donald Trump aux élections de 2020, ajoutant même que « l’élection du 3 novembre a été la plus sûre de l’histoire des États-Unis ».

Le décret visant Chris Krebs contient même « des attaques ad personam contre M. Krebs et des accusations de nature politique et non étayées », relève Le Monde. Il l’accuse en effet et notamment d’avoir sciemment cherché à « censurer » les voix conservatrices – Chris Krebs est pourtant un républicain – ou encore d’avoir « perturbé les débats sur le Covid-19 en tentant de discréditer les opinions populaires qui étaient contraires à la vision de la CISA ».

• L’administration Trump voudrait en finir avec la cyberdéfense et privilégier le « hack back »

Et ce, alors que la Russie dépenserait 1,5 milliard de dollars par an pour des campagnes d’influence à l’étranger, que la Radiodiffusion de la République islamique d’Iran, son principal organe de propagande étrangère, disposait d’un budget de 1,26 milliard de dollars en 2022, et que la Chine dépenserait jusqu’à 10 milliards de dollars par an pour des médias ciblant les étrangers non chinois, relève la MIT Technology Review.

Cité par Politico, un responsable du département d’État, qui a requis l’anonymat par crainte de représailles, a déclaré que « le Kremlin et le Parti communiste chinois peuvent aujourd’hui se réjouir. […] Une nouvelle faille a été créée dans notre sécurité nationale, rendant l’Amérique encore plus vulnérable ».

Un Américain sur cinq croit que les vaccins ont plus tué que la Covid-19

Ces annonces interviennent alors que l’entreprise NewsGuard, spécialisée dans la lutte contre la désinformation, déplore de son côté « une croyance généralisée dans les fausses informations » de la part des citoyens états-uniens.

« Les Américains sont largement enclins à croire les fausses infos diffusées en ligne sur toute une série de sujets, notamment la santé et la médecine, les élections et les conflits internationaux » relève en effet NewsGuard, qui souligne également que « les Américains sont dupés dans des proportions alarmantes par les affirmations de désinformation du Kremlin ».

NewsGuard a en effet demandé à YouGov de présenter à un échantillon représentatif de 1 000 citoyens états-uniens de plus de 18 ans une liste de « 10 fausses informations largement répandues en ligne, dont trois proviennent de médias russes ou ont été principalement diffusées par ces derniers ». Les personnes interrogées devaient indiquer si elles étaient vraies, fausses, ou si elles n’étaient « pas sûres » de leur véracité.

NewsGuard n’a pas mis en ligne l’intégralité de l’étude de YouGov. Reste que la probabilité statistique que les personnes interrogées puissent avoir été induites en erreur était donc élevée. 78 % d’entre elles ont, de fait, cru à au moins une affirmation, et moins de 1 % des personnes interrogées seulement ont correctement identifié les 10 affirmations comme étant fausses.

Il n’empêche : plusieurs de ces 10 désinformations sont tellement grossières qu’on peine à comprendre ce pourquoi autant de citoyens états-uniens y croient, ou peinent à les identifier comme fausses. Il leur était par exemple demandé si le fait d’avorter favorisait le risque d’avoir un cancer du sein. Ou encore si les vaccins contre la poliomyélite contenaient des ingrédients basés sur du mercure (ce qui n’a jamais été le cas, précise NewsGuard).

Moins de la moitié des personnes interrogées ont en outre correctement identifié comme fausse l’affirmation selon laquelle « les vaccins COVID-19 ont tué entre 7,3 et 15 millions de personnes dans le monde, alors qu’une personne interrogée sur cinq pensait que cette affirmation était vraie ».

Outre le fait que les données des agences sanitaires et études validées par des pairs montrent que les vaccins COVID-19 approuvés sont sûrs et efficaces, le nombre de personnes mortes du Covid-19 est lui-même estimé à un peu plus de 7 millions, la surmortalité étant de son côté estimée à un peu plus de 27 millions, relève OurWorldinData.

Une autre désinformation était, cela dit, plus sujette à caution. Seuls 13 % des répondants ont en effet été en mesure d’identifier correctement comme fausse l’affirmation selon laquelle le Projet 2025 néoconservateur proposait d’éliminer la sécurité sociale. Bien que le texte, qui visait notamment à remplacer des dizaines de milliers de fonctionnaires fédéraux par des personnes nommées pour leurs positions conservatrices, puisse être qualifié de de xénophobe, protectionniste et climatodénialiste, il ne mentionne effectivement pas ce point.

Un tiers des états-uniens croient à au moins une désinformation russe

Reste qu’un tiers (33,9 %) des personnes interrogées ont estimé qu’au moins une des trois désinformations d’origine russe était vraie. Et que moins d’un quart (23,8 %) ont identifié correctement les trois fausses informations. Les trois quarts des sondées étaient en outre « incapables d’identifier systématiquement les récits de désinformation russes comme étant faux », souligne NewsGuard.

61 % ont ainsi été incapables de qualifier de fausse l’affirmation selon laquelle « entre 30 et 50 % de l’aide financière américaine fournie à l’Ukraine a été volée par des fonctionnaires ukrainiens à des fins personnelles ». Une personne interrogée sur quatre a estimé que cette affirmation, tirée d’un article du média d’État russe RT (anciennement Russia Today), était vraie.

Près des deux tiers des personnes interrogées (64 %) n’ont pas, non plus, identifié comme fausse l’affirmation selon laquelle « la cote de popularité du président ukrainien Zelensky est tombée à 4 % », émanant elle aussi de plusieurs médias d’État russes. Pire, déplore NewsGuard : près d’un Américain sur cinq a déclaré que cette fausse information était vraie, alors que des sondages récents ont montré que Zelensky disposait d’un taux d’approbation compris entre 57 et 63 %.

Moins de la moitié des personnes interrogées (44 %) a en outre correctement identifié comme fausse l’affirmation selon laquelle « l’Ukraine a vendu au Hamas des armes qui lui ont été données par les États-Unis », infox là encore largement relayée par les médias d’État russes ainsi que « certains sites américains », et amplifiée par de hauts responsables russes sur les réseaux sociaux.

Au-delà de la désinformation russe, le confusionnisme serait massif

15 % des personnes interrogées ont au surplus qualifié de vrai le fait que des immigrants haïtiens avaient volé, tué et mangés des animaux domestiques à Springfiled dans l’Ohio (comme l’avait affirmé Donald Trump pendant sa campagne électorale), mais également que Starlink avait été utilisé pour truquer les élections de 2024 en faveur de Donald Trump. Et 45 % d’entre elles n’ont pas non plus correctement identifié ces deux affirmations comme fausses.

« Dans un pays politiquement divisé », constate NewsGuard, les résultats de l’enquête montrent aussi « une croyance généralisée dans les fausses affirmations », qui « dépasse les frontières des partis » :

« Les personnes interrogées s’identifiant comme démocrates sont à peu près aussi susceptibles (82 %) de croire à au moins une des dix fausses affirmations que celles s’identifiant comme républicaines (81 %). »

Les personnes interrogées ne s’identifiant pas à un parti politique sont « légèrement moins enclines à croire à la désinformation », 72 % d’entre elles considérant « au moins une fausse affirmation comme vraie ».

NewsGuard relève toutefois que les républicains « sont plus enclins à croire les allégations de désinformation russe que leurs homologues démocrates » :

« Parmi les républicains, 57,6 % ont identifié au moins une allégation de désinformation russe comme étant vraie, contre 17,9 % des démocrates et 29,5 % des personnes interrogées n’ayant pas identifié de parti. »

Un confusionnisme conspirationniste qui correspond en tous points aux agendas politiques de la propagande russe, ainsi qu’à celui de Steve Bannon.

La première repose en effet, notamment, sur le fait d’inonder les réseaux sociaux et médias de plusieurs versions « alternatives » des faits dont il est question, de sorte de les « noyer » dans la masse, « afin de saper les faits authentiques », expliquait à Newsweek Vitaliy Naida, haut fonctionnaire du service de sécurité de l’État ukrainien.

L’ex-directeur de la campagne présidentielle de Donald Trump Steve Bannon s’était quant à lui illustré en avançant que « Les démocrates n’ont pas d’importance. La véritable opposition, ce sont les médias. Et la façon de traiter avec eux est d’inonder la zone avec de la merde » :

« Les médias sont l’opposition, et comme ils sont stupides et paresseux, ils ne peuvent s’intéresser qu’à une chose à la fois. Tout ce que nous avons à faire, c’est noyer la zone. Chaque jour, nous devons leur balancer trois choses. Ils en mordront une et nous pourrons faire nos affaires. Bang, bang, bang, ils ne s’en remettront jamais. »

• [Édito] GenAI, arme de désinformation massive

Quand on voit ce qu’on voit, qu’on entend ce qu’on entend, qu’on sait ce que qu’on sait, a-t-on raison de penser ce qu’on pense ? Vous avez quatre heures.

Ce dessin a été initialement publié dans une chronique de Flock en décembre 2023.

• Retrouvez tous les dessins de Flock

L’opération séduction des grands noms de l’IA en direction des étudiants se poursuit aux États-Unis. Après Anthropic (Claude) et OpenAI (ChatGPT) début avril, c’est maintenant Google qui lance son offensive, avec une offre de poids : un accès gratuit à l’ensemble de l’offre Gemini Advanced, valable jusqu’au 30 juin 2026, soit pendant plus d’un an, accessible à tous les étudiants âgés de plus de 18 ans, inscrits dans un établissement supérieur.

Pour montrer patte blanche, il suffit de s’enregistrer à l’aide d’une adresse mail en .edu, indique Google, qui garnit encore son panier avec 2 To de stockage offert sur Google Drive, un accès à NotebookLM Plus et l’intégration de Gemini aux Google Apps.

La stratégie de conquête est assumée : l’accès gratuit à ces services passe par la création d’un abonnement Google One AI Premium, et l’étudiant qui arrive au terme de l’offre promotionnelle se verra par défaut basculé vers l’offre payante (facturée 21,99 euros par mois en France).

Peur sur la ville

L’ANSSI vient de publier un rapport sur l’état de la menace contre les opérateurs de transports urbains. Les principaux risques sont détaillés, avec des exemples de compromissions un peu partout dans le monde ces dernières années.

Les transports urbains et en communs représentent un enjeu sensible à cause de leur nature critique : « Certaines infrastructures de transport urbain connaissent une forte pression (plusieurs millions d’usagers par jour pour certains réseaux) ». À cela s’ajoutent de vastes réseaux auxquels s’interconnectent de nombreuses entités externes, augmentant ainsi la surface d’attaque pour les pirates. Un mélange potentiellement détonnant et qu’il faut donc surveiller de près.

32 incidents en 5 ans

Selon le décompte de l’ANSSI, entre janvier 2020 et décembre 2024, l’Agence a traité 123 « événements de sécurité d’origine cyber » sur les transports urbains (ferroviaire, routier, guidé, fluvial). Dans le lot, il y a eu 91 signalements (c’est-à-dire des comportements anormaux ou inattendus) et 32 incidents. Ces derniers signifient qu’un acteur malveillant a réussi sa cyberattaque contre le système d’information, avec des conséquences pouvant être variées.

Les trois principales manifestations des attaques sont le DDoS, des fuites de données et des usurpations d’identité. Elles « représentent plus de la moitié des signalements et incidents portés à la connaissance de l’ANSSI ».

Néanmoins, « aucune conséquence significative sur le fonctionnement des entités concernées n’a été identifiée à la suite de ces activités ». Les attaques DDoS ont pu « être contenues par les mesures de sécurité en place et ont provoqué, dans les cas les plus graves, des indisponibilités de très courte durée des sites visés », explique l’ANSSI.

Le trio du jour : le gain, la déstabilisation et l’espionnage

L’Agence détaille trois motivations : l’appât du gain, la déstabilisation et l’espionnage. Dans le premier cas, « la majorité des attaques à des fins lucratives observées semble davantage de nature opportuniste qu’orientées spécifiquement contre ces entreprises et services ». Les transports ne sont donc pas spécialement ciblés, mais si l’occasion se présente, les pirates ne s’en privent pas. Les principaux outils des pirates sont l’hameçonnage et l’exploitation de failles.

Dans le second cas (déstabilisation), des attaques peuvent être menées par « des États visant à saboter ces réseaux critiques, ou des acteurs appartenant à la mouvance hacktiviste, qui conduisent des attaques par déni de service distribué ». Comme nous l’avons déjà expliqué, les Jeux Olympiques et Paralympiques de Paris 2024 étaient l’occasion pour les pirates d’essayer de « briller », de faire parler d’eux. Il y a eu 83 incidents de cybersécurité, mais aucun événement majeur, affirme l’ANSSI.

• Cyberattaques pendant les JO : « des gens nous en voulaient vraiment »

Même chose pour l’espionnage (industriel ou individuel) dont des modes opératoires sont réputés liés à des États. Le secteur transports offre des « opportunités intéressantes pour des services de renseignement », mais la discrétion reste de mise.

« Des cyberattaques contre des entités du secteur ont été constatées dans le monde sans que la finalité exacte des attaques comme l’identité de la menace n’aient pu être établies de manière certaine, mais qui pourraient relever de l’espionnage », explique l’ANSSI.

Des compromissions par rançongiciels ont eu lieu

L’Agence détaille néanmoins quatre « compromissions ou tentatives de compromission par rançongiciel ». La première compromission concerne « l’infrastructure de virtualisation du comité d’entreprise d’une entité du secteur », sans plus de détails.

En 2023 puis en 2024, des rançongiciels ont chiffré des données d’une entreprise spécialisée dans les services de mobilité (et une de ses filiales), puis une autre des transports urbains. Une souche de rançongiciel a été observée en 2022 sur l’infrastructure d’un réseau de bus lors d’une tentative de compromission.

L’ANSSI publie un commentaire qui n’est pas nouveau, mais toujours bon à rappeler : « dans le cas d’une attaque par rançongiciel, l’ANSSI recommande de ne jamais payer la rançon qui ne garantit pas l’obtention d’un moyen de déchiffrement, incite les cybercriminels à poursuivre leurs activités et entretient ce système frauduleux […] L’expérience montre par ailleurs que l’obtention de la clé de déchiffrement ne permet pas toujours de reconstituer l’intégralité des fichiers chiffrés ».

Détourner la signalisation

Un chapitre est consacré au détournement d’équipements de signalisation, avec des conséquences potentiellement très importantes. L’ANSSI se fait l’écho de travaux de chercheurs qui, en 2020, ont « démontré la possibilité de manipuler des feux de signalisation  […] Ils sont parvenus à manipuler les temps d’attente entre les changements de feux de signalisation afin d’accélérer le passage au vert pour les cyclistes ». Ils ne semblent pour autant pas avoir pu faire passer au vert plusieurs feux qui ne sont pas censés l’être en même temps, au risque de créer des accidents.

En 2022, à Hanovre en Allemagne, des chercheurs « sont parvenus à manipuler les systèmes de feux de signalisation à certaines intersections […] Ils ont exploité une technologie obsolète conçue pour permettre à certains véhicules (voitures de police et de pompiers, ambulances, bus locaux) de circuler plus rapidement sans s’arrêter aux feux ».

Il serait techniquement impossible de causer des accidents, ajoute l’ANSSI, mais il y a de quoi largement perturber le trafic. La communication entre les véhicules et les infrastructures (dont la signalisation) est, pour rappel, une des technologies du V2X (Vehicle-to-everything) sur laquelle des constructeurs travaillent.

Ces preuves de concept permettent de mesurer l’ampleur des dégâts potentiels tout en expliquant que cela ne demande pas de capacités sophistiquées. « Toutefois, l’ANSSI n’a pas connaissance d’exploitation réelle de ces capacités à des fins de nuisance par des acteurs offensifs ».

26 recommandations

La fin du rapport est consacrée à pas moins de 26 recommandations, allant d’actions aussi élémentaires que la sensibilisation du personnel et le cloisonnement des systèmes d’informations, à la limitation des dépendances aux technologies de géolocalisation par satellite GNSS (Global navigation satellite system), aux mises à jour et aux sauvegardes.

Si tu ne viens pas au nuage...

Windows 10 ne sera pas le seul produit de Microsoft à ne plus avoir de support cet automne. Le même 14 octobre, Exchange 2016 et 2019 recevront leur mise à jour finale. Après quoi, les garder sera dangereux. Problème, les solutions de remplacement sont en ligne ou sur abonnement.

Exchange 2016 et 2019 sont actuellement les deux dernières versions sur site (on premise) du serveur e-mail de Microsoft. On parle bien de logiciels que l’on peut installer et configurer sur des serveurs présents dans des locaux. À l’inverse, Exchange Online est l’offre en ligne de Microsoft, sur ses propres serveurs. Ce découpage de gamme est à peu près le même que pour Office, avec une offre Microsoft 365 en ligne et des licences perpétuelles (et locales) tous les trois ans en moyenne.

Les habituels dangers

En début de semaine, Microsoft a prévenu : Exchange 2016 et 2019 n’en ont plus que pour six mois de support. Après quoi, plus aucune mise à jour de sécurité ne sera publiée. Comme toujours dans le cas d’un produit exposé à internet, il est recommandé de ne plus utiliser de tels produits, puisque les failles ne sont plus corrigées. Certains facteurs peuvent atténuer une partie des risques, mais aucune solution ne peut compenser durablement la présence de failles.

« Les installations clients d’Exchange 2016 et d’Exchange 2019 continueront bien sûr à fonctionner après le 14 octobre 2025 », précise quand même Microsoft. « Cependant, continuer à utiliser ces offres après la date de fin de support invite à des risques de sécurité potentiels, c’est pourquoi nous recommandons fortement de prendre des mesures dès maintenant ».

Rappelons que les risques de sécurité ne sont pas les seuls. En Europe, le RGPD exige par exemple que les données personnelles soient entreposées dans des logiciels à jour. L’utilisation de versions obsolètes peut donc exposer à des amendes. Il n’y aura plus non plus de support technique. En outre, plus les logiciels prennent de l’âge, plus leur maintenance peut coûter cher.

Enfin, cette fin de support s’applique également aux éditions 2016 et 2019 d’Office, Outlook et Skype for Business. Pour Microsoft, ce sera le grand ménage d’automne et une manière de pousser encore un peu plus vers le cloud. Le 14 octobre, ce sera également la fin officielle de Windows 10.

Deux solutions possibles pour Microsoft

Microsoft propose essentiellement deux solutions. La première est de migrer vers une offre totalement hébergée. Exchange Online par exemple si l’on ne veut effectivement gérer que des e-mails, ou Microsoft 365 dans l’une de ses formes pour entreprises pour avoir tout le package productivité.

L’autre est de mettre à niveau l’ancienne installation sur site vers Exchange Server Subscription Edition. Celle-ci sortira en juillet et Microsoft en profite pour recommander la préparation du terrain si le produit intéresse les entreprises.

De quoi parle-t-on exactement ? D’une version fonctionnant, dans les grandes lignes, avec le même code qu’Exchange 2019 Cumulative Update 15, mais légèrement modernisé. Cette édition prendra en charge Windows Server 2025, remplace NTLMv2 par Kerberos pour les communications entre serveurs, l’intégration de l’API Admin, la suppression de Remote PowerShell, d’Outlook Anywhere et de l’API UCMA 4.0. Cette édition sera mise à jour deux fois par an pour entretenir sa compatibilité générale, corriger les bugs et colmater les failles.

Problème bien sûr, ces deux solutions sont sur abonnement. Migrer vers Exchange SE depuis la version 2019 réclamera ainsi de nouvelles licences, qui ne fonctionneront plus en cas d’arrêt des paiements. Migrer depuis la version 2016 est plus complexe. Microsoft recommande de faire d’abord la mise à jour vers Exchange 2019, avant de migrer ensuite vers l’édition SE.

Ou de nouveaux horizons

Qui héberge encore sur site ses e-mails ? La question peut faire sourire, tant le monde semble s’être tourné très rapidement vers les solutions hébergées et plus généralement le cloud. Les entreprises concernées ont peut-être cependant des installations parfaitement fonctionnelles, sans avoir eu besoin de changer. Auquel cas l’installation des correctifs de sécurité était tout ce qui pouvait les intéresser.

Les avantages du cloud sont connus, avec notamment une infogérance beaucoup plus légère et la résilience des gigantesques infrastructures. Ces dernières offrent le plus souvent plusieurs niveaux de redondance, des mécanismes efficaces de reprise sur incident et de solides protections pour de nombreuses menaces. Au contraire, une entreprise peut être intéressée par une gestion de ses courriels à sa manière, sur son matériel et dans son réseau, sans appétence pour des fonctions modernes, dont tout ce qui touche à l’IA.

Pour rester sur Exchange sans prendre le risque d’exposer toutes ses données aux quatre vents, il faut donc préparer une migration et réaliser des analyses bénéfices/risques sur les solutions proposées. À moins que ce soit l’occasion de migrer vers une autre solution. Google Workspace ? L’offre est financièrement compétitive face à Microsoft 365, mais Google ne propose que des solutions hébergées.

Le sujet est plus complexe qu’il n’y parait et va dépendre des besoins de l’entreprise. Car lorsqu’on parle d’Exchange, cela inclut la gestion des contacts et les calendriers, avec tout ce qui touche à la synchronisation. Il y a sinon les solutions de type collaboratif (groupware), mais tous ne proposent pas forcément des installations sur site. Dans tous les cas, la solution ne sera pas simple, car il faudra pouvoir en plus pouvoir migrer les données.

Stop ou encore ?

Depuis ce matin, les tarifs sont en hausse pour les clients français. La plateforme de streaming n’y va pas avec le dos de la cuillère puisqu’il est question de 1,5 à 2 euros de plus par mois suivant les formules. L’annonce a été faite à l’occasion de la publication de son bilan financier, avec des revenus en hausse et des bénéfices de 2,890 milliards de dollars.

De 7,99 à 21,99 euros par mois

La nouvelle grille tarifaire est en ligne, voici sans attendre les trois forfaits avec, entre parenthèses, les anciens prix :

• Standard avec pub : 7,99 euros par mois (au lieu de 5,99 euros)
• Standard : 14,99 € par mois (au lieu de 13,49 euros)
• Premium : 21,99 € par mois (au lieu de 19,99 euros)

Le forfait Standard permet toujours d’ajouter un abonné supplémentaire. Le tarif est de 5,99 euros par mois avec pub ou de 6,99 euros par mois sans. Avec Premium jusqu’à deux abonnés peuvent être ajoutés.

L’offre Essentiel n’existe plus

À 7,99 euros par mois, Netflix Standard avec pub se positionne exactement au tarif de l’offre standard lors du lancement de la plateforme en septembre 2014. « Le second palier à 8,99 euros par mois vous ouvre les portes de la HD sur deux écrans en simultanée, tandis que pour profiter de quatre écrans qui peuvent aller jusqu’à la 4K Ultra HD il faudra débourser 11,99 euros par mois », expliquions-nous à l’époque. De 11,99 euros par mois, la formule en 4K UHD est désormais à 21,99 euros par mois.

Netflix en profite au passage pour indiquer que son « offre Essentiel n’est plus proposée ». C’était la formule d’entrée de gamme, sans publicité, en HD seulement et sur un seul appareil à la fois (elle était à 10,99 euros par mois). Aucun détail supplémentaire n’est donné, si ce n’est que « vous pouvez changer d’offre à tout moment ».

Netflix content de ses récentes hausses

L’annonce a été faite à l’occasion de la publication du bilan financier de Netflix : « Aujourd’hui, nous ajustons les prix en France, qui sont déjà pris en compte dans nos prévisions 2025 », peut-on lire dans le communiqué. « Les récents ajustements tarifaires que nous avons opérés sur les principaux marchés (notamment les États-Unis, le Royaume-Uni et l’Argentine) ont été conformes à nos attentes », affirme Netflix.

Netflix semble satisfait de ses offres avec publicité : « Nous sommes en bonne voie pour atteindre une taille critique de notre base de membres dans tous les pays cette année ». « L’un de nos principaux objectifs pour 2025 est d’améliorer nos capacités avec les annonceurs. Nous avons déployé avec succès Netflix Ads Suite, notre plateforme interne, aux États-Unis le 1ᵉʳ avril. Dans les prochains mois, nous la lancerons sur nos autres marchés publicitaires », ajoute l’entreprise.

10,5 milliards de revenus, 2,9 milliards de bénéfices, en trois mois

Sur le premier trimestre 2025, la plateforme a réalisé 10,5 milliards de dollars de revenus, en hausse de 12,5 % sur un an. Elle prévoit d’arriver à 11 milliards au deuxième trimestre, ce qui serait une hausse de 15,4 % par rapport à 2024. Le bénéfice net sur les trois premiers mois de 2025 est de 2,9 milliards de dollars, contre 2,3 milliards un an auparavant.

With or Without IA

Le nombre de morceaux de musique identifiés par le détecteur de contenus synthétiques développé par la plateforme est passé de 10 000 à plus de 20 000 par jour entre janvier et avril. 7 à 8 % relèveraient de tentatives de fraude. Le patron de Deezer propose de « légiférer pour que les plateformes rémunèrent les artistes et pas ces bruits », mais ne précise pas comment.

« Environ 10 000 pistes totalement générées par IA sont livrées à la plateforme chaque jour, soit environ 10 % du contenu quotidien livré », expliquait Deezer en janvier dernier. La plateforme annonçait alors avoir déployé un « outil de pointe », conçu en interne et testé depuis un an, pour les détecter.

Alexis Lanternier, son CEO, précisait vouloir « développer un système de marquage pour le contenu totalement généré par IA, [pour] l’exclure des recommandations algorithmiques et éditoriales ». L’entreprise se donnait également pour objectif de développer des capacités de détection de voix générées par deepfakes.

Trois mois plus tard seulement, Deezer vient de révéler que « 18% des nouvelles musiques publiées chaque jour sur sa plateforme sont entièrement générés par intelligence artificielle ». « Soit plus de 20 000 chansons sur les quelque 150 000 qui sont versées chaque jour » (contre 25 000 il y a trois ans), souligne à Ouest-France Alexis Lanternier.

« C’est exponentiel », précise-t-il. « En deux mois, ce chiffre a presque doublé et il n’y a aucune raison que ça s’arrête tellement les outils sont faciles d’utilisation. Ça va continuer ! »

Légiférer pour rémunérer les artistes « et pas ces bruits »

« Nous les signalons clairement à l’utilisateur, en IA Generated, afin qu’il sache que ledit titre est produit par une IA générative et nous les sortons de nos algorithmes pour qu’ils ne remontent pas », tempère Alexis Lanternier, qui indique que Deezer a par ailleurs identifié « 7 à 8 % de fraude » :

« On ne voit pas d’explosion de la consommation de titres produits par l’IA. Les auditeurs cherchent des vrais artistes, de la musique incarnée et c’est heureux. Cependant, c’est un très bon outil pour les fraudeurs, qui créent plein de chansons pour générer des écoutes et récupérer des royalties. C’est sur ce point qu’il faut sans doute imaginer de légiférer pour que les plateformes rémunèrent les artistes et pas ces bruits. »

En 2024, Deezer avait déjà supprimé 13 % de son catalogue

La plateforme, qui héberge aujourd’hui 130 millions de titres, fait régulièrement le ménage pour nettoyer son catalogue des titres qui faussent le calcul de la rémunération des artistes professionnels. La plateforme supprime ainsi l’encodage Flac (la meilleure qualité audio, mais très gourmande en stockage, précise Ouest France) des titres qui n’ont pas été écoutés depuis un an, au motif que « C’est très important, car cela génère de la pollution numérique ».

En avril 2024, Deezer avait ainsi annoncé avoir supprimé 13 % de son catalogue global, soit environ 26 millions de titres entre septembre 2023 et mars 2024, relevait alors BFMTech. Y figuraient des pistes composées de bruits blancs, albums ne contenant qu’un seul et unique morceau, titres et mauvaises imitations générés par intelligence artificielle.

10 millions d’utilisateurs dans le monde, dont la moitié en France

La plateforme vient par ailleurs d’annoncer plusieurs fonctionnalités, censées « offrir une expérience musicale encore plus personnalisée à ses utilisateurs et abonnés ». Elles visent, explique Alexis Lanternier, à « permettre aux utilisateurs de mieux comprendre les algorithmes et de prendre un peu plus le contrôle sur leur usage, de personnaliser encore plus leur expérience et de pouvoir partager facilement avec leurs communautés, abonnées ou non à Deezer ».

À compter du 28 avril, Deezer proposera un « lien de partage universel » afin que ses utilisateurs puissent partager leurs titres favoris, « que leurs amis soient sur Spotify, Apple music ou Youtube music ».

Interrogé par Ouest France sur la possibilité de se convertir en « futur réseau social », Alexis Lanternier botte en touche : « C’est tout à fait possible mais c’est trop tôt pour le dire. On va créer des solutions petit à petit. Évidemment, ça ne peut pas être un réseau social comme les autres, mais la musique est un outil de connexion exceptionnel, donc elle doit créer des liens, à nous de les faciliter. Les utilisateurs veulent davantage d’humain et moins d’algorithmes. »

Ouest-France souligne que la plateforme, cotée en Bourse et qui a atteint la rentabilité en 2024, « compte désormais un peu moins de 10 millions d’utilisateurs dans le monde, dont la moitié en France (où ça augmente) et le reste ailleurs (où ça baisse un peu) ».

Pierre de vision

L’Otan vient de s’équiper d’une « plateforme de combat basée sur l’IA », capable de traiter et d’exploiter les innombrables informations nécessaires à la prise de décision sur les terrains opérationnels. La solution, baptisée Maven Smart System, est fournie par Palantir, qui équipe déjà le Pentagone, la Défense américaine ou l’armée israélienne.

L’Otan met officiellement un pied dans la guerre assistée par IA. L’organisation a en effet annoncé très officiellement lundi l’acquisition de la solution d’intégration, de fusion et d’analyse de données Maven Smart System (MSS), éditée par Palantir, le spécialiste américain du secteur cofondé en 2003 par Peter Thiel et Alex Karp.

Objectif affiché ? Améliorer les capacités de prise de décision du Commandement allié Opérations (ACO), responsable de la planification et de l’exécution de toutes les opérations militaires pilotées par l’Otan.

« En fournissant à l’Alliance une capacité de combat commune basée sur les données, grâce à un large éventail d’applications d’IA – des grands modèles de langage (LLM) à l’apprentissage génératif et automatique –, [le système] améliore la fusion et le ciblage du renseignement, la connaissance et la planification de l’espace de combat, et l’accélération de la prise de décision », décrit l’organisation dans un communiqué.

À ce stade, l’Alliance ne précise pas le périmètre opérationnel de ce Maven Smart System. Elle souligne en revanche à quel point le dossier a été rapidement bouclé. « L’acquisition du MSS Otan a été l’une des plus rapides de l’histoire de l’Otan, six mois seulement s’étant écoulés entre la définition du besoin et l’acquisition du système », déclare-t-elle, avant d’annoncer une mise en œuvre sur le terrain sous seulement trente jours.

Ce déploiement express risque d’interroger à plus d’un titre. D’abord, parce qu’il intervient dans un contexte de fortes tensions géopolitiques au sein de l’Alliance. Le choix de Palantir comme prestataire pourrait dans ce contexte être perçu comme un risque d’interférences avec les velléités de souveraineté des états membres européens comme la France – sans même parler de la réputation sulfureuse de l’entreprise et des multiples accusations de violations des droits de l’homme dont elle fait l’objet. Ensuite, parce que Maven sera mis en œuvre alors même qu’une guerre fait rage sur le continent européen. Enfin, parce que le débat éthique soulevé par la question de la guerre assistée par IA est encore loin d’être tranché…

Terra what ?

En France, les datacenters ont consommé 2,4 TWh d’électricité en 2023 et 681 000 m³ d’eau en direct… car on passe à 6 millions de m³ en comptant la consommation indirecte. Sans surprise, des chiffres en hausse par rapport aux années précédentes.

L’Arcep vient de publier la quatrième édition de son enquête annuelle « Pour un numérique soutenable » avec une évaluation de l’empreinte environnementale des acteurs du numérique en France sur l’année 2023. Il s’agit bien de 2023 ; un décalage « du fait du grand nombre d’acteurs concernés par la collecte de données environnementales ».

Consommation des datacenters en France : 2,4 TWh en 2023

La consommation électrique totale des datacenters en France est de 2,4 TWh sur l’année 2023, en hausse de 8 % sur un an. À titre de comparaison, cela correspond à la consommation annuelle moyenne d’environ 500 000 foyers français, selon les données d’Engie.

« La croissance de cette consommation reste soutenue malgré un ralentissement en 2023. Elle s’établit à+ 8 % après + 14°% en 2022 », explique le régulateur. Notez que les données de 2022 et 2021 ont été ajustés depuis le précédent observatoire.

À titre de comparaison, l’Agence internationale de l’énergie atomique (sous l’égide de l’ONU) expliquait que « les datacenters avaient consommé environ 460 TWh d’électricité en 2022 », et prévoyait que cette consommation pourrait dépasser les 1 000 TWh d’ici à 2026. La France représente donc moins de 0,5 % de la consommation mondiale

• Numérique soutenable : l’Arcep détaille la consommation des box, décodeurs et répéteurs

Île-de-France en force

Dans le détail des 2,4 TWh, 1,6 TWh provient directement des équipements informatiques, tandis que les 0,8 TWh sont attribués aux autres postes de consommations tels que le refroidissement et le tertiaire.

Le régulateur donne aussi quelques indications géographiques : « les centres de données mis en service entre 2021 et 2023 sont majoritairement situés en Ile-de-France ». Ils sont responsables de plus de 70 % de l’augmentation de la consommation.

PUE de 1,46, en baisse grâce aux « nouveaux » datacenters

L’Arcep donne également le PUE moyen de l’ensemble des datacenters en France : 1,46 en 2023. Pour rappel, cela signifie que chaque kWh consommé par les équipements informatiques, le datacenter dans sa globalité, consomme 1,46 kWh. Il s’améliore doucement avec l’arrivée de nouveaux datacenters plus économes. Le PUE était de 1,51 en 2022.

L’Arcep le confirme dans son analyse : le PUE moyen est de 1,34 pour les datacenters de moins de 10 ans, « soit un peu plus d’un tiers des centres de données étudiés », contre 1,54 pour ceux mis en avant 2013. Sur le graphique ci-dessous, on voit bien la différence en fonction de l’âge.

681 000 m³ d’eau en consommation directe…

Autre élément analysé, la consommation en eau. Quelques bases d’abord : « La quasi-totalité du volume d’eau prélevé par les centres de données en 2023 est de l’eau potable ». En 2023, il était question de 681 000 m³, soit 19 % de plus qu’en 2022. À mettre en balance avec les 755 000 m³ d’eau prévus pour les trois prochains datacenters qu’Amazon prévoit d’installer en Aragon, au nord de l’Espagne.

• Big Tech : la multiplication des datacenters pèse sur les zones les plus arides du globe

Deux raisons à cette hausse importante (quasiment identique en 2022, pour les mêmes raisons) : « les vagues de chaleur et les températures records des dernières années qui ont accru les besoins en eau de certains centres de données ». Le réchauffement climatique pourrait accentuer ce phénomène. « D’autre part, des facteurs externes à l’activité de centres de données, tels que des travaux d’aménagements des sites anciens, ont également contribué à cette hausse », ajoute le régulateur.

6 000 000 m³ d’eau en consommation indirecte

L’Arcep relève un point intéressant : il faut aussi compter le volume d’eau consommé indirectement (c’est-à-dire la consommation nécessaire au fonctionnement) : « Ce dernier dépend du mix énergétique français (par exemple, un peu plus de 2 litres d’eau pour 1 kWh d’origine nucléaire) ».

On change alors complétement de registre : « le volume d’eau prélevé directement par les centres de données (681 000 m³ en 2023) est faible au regard du volume d’eau consommé indirectement par les centres de données ». Le régulateur annonce ainsi un volume total (direct + indirect) « estimé à près de 6 millions de m³, soit la consommation annuelle moyenne d’eau en France d’environ 100 000 personnes ».

La liste des 21 opérateurs analysés

Pour rappel, l’Arcep considère pour ses analyses les opérateurs de colocation et de co-hébergement dont le chiffre d’affaires en France est égal ou supérieur à 10 millions d’euros hors taxes. « Ils représentent environ 50 % des centres de données de colocation en service en 2020 », selon une étude ADEME-Arcep.

Dans son annexe 5, l’Arcep donne la liste des 21 opérateurs qui doivent lui envoyer des données : Adista, Amazon Data Services France SAS, Ato, Celeste, Ciril Group, Cogent Communications France SAS, Colt technology Services, Data4 Services, Digital Realty, Equinix France, Free pro, Foliateam Opérateur, Global Switch, Hexanet, Kyndryl France, Orange, OVHcloud, Opcore, SFR, Sigma informatique et Telehouse.

Le bilan du régulateur comporte bien d’autres informations, que nous détaillerons dans une prochaine actualité.

Portes ouvertes pour le DOGE

L’architecte DevSecOps de l’agence du droit du travail américaine accuse l’équipe du DOGE d’Elon Musk d’être responsable d’une fuite de données personnelles de plaignants et d’accusés, ainsi que des données commerciales confidentielles. Le lanceur d’alerte a reçu une lettre de menaces ainsi que des photos de lui prise via un drone.

10 Go de données ont été exfiltrées d’un système de gestion de données du National Labor Relations Board (NLRB), l’agence américaine du droit du travail, selon l’architecte DevSecOps de l’agence, Daniel Berulis. Cette fuite se serait passée alors que l’équipe du DOGE d’Elon Musk a créé des comptes dans différents systèmes informatiques du NLRB.

Daniel Berulis est sous la protection officielle du statut de lanceur d’alerte. Une lettre [PDF] adressée par l’association d’avocats « Whistleblower Aid » à une commission du Sénat américain soutient sa démarche, explique ArsTechnica. Dans celle-ci, l’association affirme qu’ « il craint que les activités récentes des membres du Department of Government Efficiency (« DOGE ») aient entraîné une violation importante de la cybersécurité qui a probablement exposé et continue d’exposer notre gouvernement aux services de renseignement étrangers et aux adversaires de notre nation ».

Interrogé par le média public étasunien NPR, Daniel Berulis explique qu »il ne peut pas « attester de leur objectif final ni de ce qu’ils font avec les données. Mais je peux vous dire que les éléments du puzzle que je peux quantifier sont effrayants. … C’est une très mauvaise image que nous avons sous les yeux ».

Accès illimités du DOGE et sans logs

La lettre de Whistleblower Aid, accompagnée d’une déclaration sur l’honneur du lanceur d’alerte, décrit dans les détails les agissements du DOGE et les problèmes qu’il a constatés au sein du système informatique de l’agence.

Il y explique notamment la préparation de l’arrivée des membres du DOGE début mars. Selon lui, sa hiérarchie lui a demandé de ne pas passer par des procédures standard pour créer leurs comptes. Aucun journal et aucun enregistrement de leurs actions ne devaient avoir lieu.

Ses responsables lui auraient demandé de créer, pour les membres du DOGE, des comptes « du plus haut niveau d’accès et d’un accès illimité aux systèmes internes ». Sur le serveur Azure de l’agence, leurs droits devaient être réglés en « tenant owner ». Comme l’explique Daniel Berulis, c’est l’équivalent d’ « une autorisation pratiquement illimitée de lire, copier et modifier les données ».

Il ajoute que « cet accès s’apparente à celui du propriétaire de l’ensemble du bâtiment dans lequel l’entreprise travaille. Il s’agit notamment des clés du centre de données et de toutes les portes verrouillées, des registres d’entrée dans le bâtiment, de la plomberie et des caméras de sécurité ».

Daniel Berulis fait remarquer que Microsoft déconseille d’utiliser le niveau « tenant » pour créer des comptes d’audit, « car ça peut masquer des actions comme la création ou la suppression de comptes, le changement de rôle ou modifier les règles et dépasse de loin tout besoin légitime pour ce travail ».

L’architecte DevSecOps explique qu’au sein de l’agence, des rôles spéciaux pour les auditeurs avaient déjà été créés. Mais il n’était pas question d’utiliser ce genre de comptes.

« C’était un signal d’alarme énorme » a souligné Daniel Berulis à la NPR, ajoutant que « c’est quelque chose qu’on ne fait pas. Cela va à l’encontre de tous les concepts fondamentaux de la sécurité et des meilleures pratiques ».

Le lanceur d’alerte explique que la structure d’au moins un compte suggère qu’il a été créé puis supprimé par le DOGE pour utiliser le système de cloud du NLRB.

Des tentatives de connexion extérieures et une fuite de 10 Go de données

Il affirme aussi que quelqu’un a essayé de se connecter au système de l’extérieur du NLRB avec un compte nouvellement créé : « dans les jours qui ont suivi l’accès du DOGE aux systèmes du NLRB, nous avons remarqué qu’un utilisateur ayant une adresse IP dans la région du Primorié, en Russie, a tenté de se connecter. Ces tentatives ont été bloquées, mais elles étaient particulièrement alarmantes ».

Le problème n’est pas une énième tentative de connexion d’un bot utilisant la force brute pour essayer de se connecter. « La personne qui tentait de se connecter utilisait l’un des comptes nouvellement créés et utilisés pour d’autres activités liées au DOGE, et il semblait qu’elle disposait du nom d’utilisateur et du mot de passe corrects puisque le flux d’authentification ne l’arrêtait qu’en raison de l’activation de notre politique d’interdiction des connexions en dehors du pays », décrit-il.

Il affirme qu’ « Il y a eu plus de 20 tentatives de ce type et, ce qui est particulièrement inquiétant, c’est que beaucoup d’entre elles se sont produites dans les 15 minutes qui ont suivi la création des comptes par les ingénieurs du DOGE ».

Dans sa déclaration, Daniel Berulis explique avoir constaté la suppression de divers paramètres de sécurité dans le système du NLRB. Enfin, il explique avoir commencé à suivre le 7 mars « ce qui semblait être des données sensibles quittant l’endroit sécurisé où elles sont censées être stockées » sur le système de gestion des dossiers NxGen de l’agence.

Au moins 10 Go de données ont été exfiltrées, mais le lanceur d’alerte n’a pas réussi à savoir quels fichiers ont été copiés ou supprimés. Si les données ont été compressées avant envoi, la fuite pourrait être plus importante. Daniel Berulis explique avoir essayé d’éliminer l’hypothèse d’une exfiltration, « mais aucune piste n’a porté ses fruits et certaines ont été arrêtées net ».

Comme l’explique sa déposition, le NLRB garde des données sensibles qui doivent rester confidentielles, notamment « sur les syndicats, sur des affaires juridiques et des informations concernant le secret des affaires d’entreprises ». Elle stocke également des « informations personnelles identifiables de plaignants et d’accusés ayant des affaires en cours » ainsi que des informations commerciales confidentielles « recueillies ou fournies au cours d’enquêtes et de litiges qui n’étaient pas destinées à être rendues publiques ».

Enfin, la lettre évoque le fait que Daniel Berulis a trouvé des menaces scotchées sur sa porte, le 7 avril alors qu’il était en train de préparer sa déclaration. Des photos de lui prises par drone le montrant en train de promener son chien dans son quartier accompagnaient le message.

Interrogée par la NPR, le NLRB nie que l’agence ait accordé l’accès à ses systèmes au DOGE et même que le service d’Elon Musk l’ait demandé. L’agence assure avoir mené une enquête après des signalements de Daniel Berulis mais « a déterminé qu’il n’y avait pas eu de violation des systèmes de l’agence ». Le média explique pourtant avoir eu la confirmation de 11 sources internes à l’agence qui partagent les préoccupations de l’architecte DevSecOps.

La NPR a mis à jour son article après que la Maison-Blanche, en réponse à son enquête, a déclaré : « cela fait des mois que le président Trump a signé un décret pour embaucher des employés du DOGE dans les agences et coordonner le partage des données. Leur équipe hautement qualifiée a été extrêmement publique et transparente dans ses efforts pour éliminer le gaspillage, la fraude et les abus dans l’ensemble de la branche exécutive, y compris le NLRB ».

Sur CNN, l’avocat Andrew Bakaj qui a signé la lettre de Whistleblower Aid, a évoqué le fait que le DOGE aurait utilisé Starlink pour exfiltrer les données. « Ce qui veut dire, de ce que nous comprenons, que la Russie a un pipeline direct d’information via Starlink et que tout ce qui passe par Starlink va vers la Russie », affirme-t-il.

Sans autre information, il est difficile de s’appuyer sur cette déclaration pour en conclure quoi que ce soit sur les liens de cette affaire avec la Russie. En effet, même si l’IP utilisée pour essayer de se connecter au système du NLRB indique la région du Primorié, dont la capitale est Vladivostok, à l’extrême est de la Russie, celle-ci n’est pas une source sûre de localisation d’un attaquant. Celui-ci peut, entre autres, avoir utilisé un VPN pour obfusquer sa réelle localisation.

La voie du milieu

OpenAI a finalement lancé ses deux nouveaux modèles de raisonnement o3 et o4-mini, destinés à remplacer o1. Les scores affichés par l’entreprise sont particulièrement bons. Pour la première fois, OpenAI a aussi ajouté des protections spécifiques pour empêcher ses modèles d’être utilisés pour créer des armes chimiques et biologiques.

Il était temps de briller un peu. Entre la sortie d’un GPT-4.1, le départ en pré-retraite de GPT-4.5 et le report de GPT-5, l’actualité n’était pas brillante pour OpenAI, dans un domaine où tout va très vite. La société avait cependant prévenu que deux nouveaux modèles de raisonnement allaient arriver.

o3 et o4-mini ont donc été présentés hier. Il s’agit de deux modèles multimodaux, capables de traiter du texte et des images en entrée. La nouvelle « star » est en théorie o3, mais o4-mini pourrait lui voler la vedette, avec des scores équivalents – voire meilleurs – sur certaines tâches. Un modèle plus petit, donc moins cher à faire fonctionner.

Encore des modèles orientés vers « les tâches réelles »

Sans trop de surprise, OpenAI reprend les mêmes éléments de langage que pour son récent GPT-4.1. Les deux nouveaux modèles sont ainsi conçus pour des « tâches réelles » et seraient particulièrement performants pour des activités comme la programmation. Plus question de laisser prendre du terrain aux trois principaux concurrents que sont Gemini 2.5 Pro de Google, Claude Sonnet 3.7 d’Anthropic et DeepSeek V3 dans sa version améliorée.

Selon OpenAI, o3 atteint ainsi un score de 69,1 % sur la version vérifiée du test SWE-bench. o4-mini fait à peine moins bien avec 68,1 %. On est loin devant les 48,9 % d’o1 et les nouveaux venus se permettent une marge confortable sur Claude Sonnet 3.7 et ses 62,3 %. Bien que nous mentionnions le score de Claude, la communication d’OpenAI n’établit aucune comparaison directe avec des modèles concurrents. Les tableaux affichés – ils sont nombreux – ne montrent que les gains conséquents sur o1 et o3-mini.

Les deux modèles sont présentés comme idéaux pour des tâches telles que le développement logiciel, la navigation web, l’exécution de scripts Python dans le navigateur (via Canvas), ainsi que le traitement et la génération d’images. OpenAI annonce d’ailleurs qu’o3 et o4-mini sont les premiers modèles de l’entreprise capables de « penser avec des images » (sic). Ils peuvent par exemple exploiter des photos flous de tableaux blancs pour en extraire les données, diagrammes et ainsi de suite.

De manière générale, o4-mini montre tout le potentiel du futur modèle o4, si OpenAI le lance un jour en version complète. Il se révèle aussi performant, voire légèrement meilleur qu’o3-mini sur des tâches comme la programmation, l’analyse d’images et les mathématiques. Sur le test mathématique AIME 2024, il atteint même 92,7 %, soit légèrement plus que le plus gros modèle de Google, Gemini 2.5 Pro.

OpenAI a ses nouvelles stars du raisonnement

Les modèles de raisonnement devenant dominants dans le secteur de l’IA générative, il est probable qu’OpenAI soit revenue sur ses plans de ne pas s’attarder sur o3 et o4 pour passer directement à la suite, malgré ses annonces en fin d’année dernière. C’est bien ce qui avait été annoncé, de la même manière que GPT-4.5 est écarté pour laisser de la place au développement des futurs modèles.

Ils sont donc là pour occuper le terrain. Les deux sont déjà disponibles dans les forfaits Pro, Plus et Team de ChatGPT. On note également une variante o4-mini-high, qui doit fournir des réponses plus précises, au prix bien sûr d’un temps de calcul plus long.

En outre, une version o3-pro sera fournie dans les semaines qui viennent, là encore pour des réponses plus précises, mais uniquement pour les personnes abonnées à ChatGPT Pro, la formule à 200 dollars par mois. o3, o4-mini et o4-mini-high seront également disponibles pour les développeurs via les API Chat Completions et Responses.

Les prix annoncés sont relativement modestes au vu des performances. Pour o3, le tarif est ainsi de 10 dollars par million de jetons en entrée et 40 dollars par million de jetons en sortie. La tarification d’o4-mini est la même qu’o3-mini : 1,10 dollar en entrée et 4,40 dollars en sortie.

Enfin, OpenAI annonce le lancement de Codex CLI, un agent de développement conçu pour la ligne de commande dans un terminal. Il exploite pour l’instant o3 et o4-mini, mais prendra bientôt en charge des modèles supplémentaires, dont GPT-4.1. L’outil est open source, sous licence Apache 2.0.

Des protections contre les menaces biochimiques

En même temps que ses annonces sur o3 et o4-mini, OpenAI a publié un document (pdf) reflétant l’analyse de sécurité de ses nouveaux modèles. On peut y lire notamment que les risques d’hallucinations ou de biais sont toujours présents, de même que l’utilisation à des fins malveillantes.

Parmi ces fins, la préparation de menaces biologiques ou chimiques. OpenAI indique donc avoir intégré des protections spécifiques, dont un « moniteur de raisonnement axé sur la sécurité ». Il a lui-même été formé pour raisonner sur les politiques de contenu, identifier les messages pouvant correspondre à l’élaboration d’une menace et bloquer les réponses.

L’entreprise dit demander à sa « red team » de consacrer environ 1 000 heures à étiqueter des conversations « dangereuses » sur les risques biochimiques, pour intégrer la logique dans le moniteur. Selon les informations du document, o3 et o4-mini bloqueraient les demandes liées au développement de menaces à hauteur de 98,7 %.

Ces informations sont cependant à nuancer. Dans son propre document, OpenAI admet ne pas savoir si cette protection tiendra devant l’originalité renouvelée des invites (prompts), que l’on peut adapter à chaque refus pour tenter de contourner la difficulté. De plus, OpenAI ne présente pas vraiment son moniteur comme un apport clair sur la sécurité. Il vient surtout compenser la hausse des capacités de raisonnement qui, elles, ouvrent de nouveaux champs.

o3 et o4-mini peuvent tricher… comme les autres

En outre, le même rapport mentionne les tests de la société Apollo Research, habituée de la red team d’OpenAI. Ses tests ont montré que les deux modèles pouvaient tricher dans les demandes comme dans les benchmarks. Par exemple, un test visant à effectuer certaines tâches avec 100 crédits de calcul ont finalement été réalisées avec 500. Il avait été spécifiquement demandé aux IA de ne pas augmenter le quota, ordre ignoré par les deux modèles, qui ont affirmé ensuite que les 100 crédits avaient été respectés.

Même son de cloche globalement chez la société Metr, autre habituée de la red team d’OpenAI. Dans un billet publié hier et soir et repéré notamment par TechCrunch, la société note que les deux modèles peuvent effectivement tricher. Dans les deux, le risque n’est pas jugé significatif, OpenAI reconnaissant elle-même que ses modèles peuvent entrainer de « petits préjudices », quand les résultats ne sont pas supervisés.

Une conclusion que l’on peut rappeler pour chaque nouveau modèle. Mais l’envolée des capacités de raisonnement rend le problème plus visible. Les protections mises en place permettent à OpenAI de rester dans une marge acceptable.

Qualif à la place de Qualif

Après S3ns (Thales et Google), c’est au tour d’un autre « cloud de confiance » basé sur des services étasuniens de passer le jalon J0 de la qualification SecNumCloud : Bleu (Orange, Capgemini et Microsoft). Le processus doit encore durer une année.

L’annonce de Bleu, un « cloud de confiance » d’Orange et Capgemini, a été faite en 2021, avec Microsoft (Azure et 365) comme partenaire technologique. Les activités commerciales ont pour leur part débuté en janvier 2024. En septembre, Bleu présentait ses « 12 premiers partenaires de services » et visait un dépôt de son dossier de la qualification SecNumCloud par l’ANSSI pour la fin de l’année.

• Bleu annonce 12 partenaires et devrait déposer son dossier SecNumCloud à la fin de l’année

SecNumCloud : Bleu valide le jalon J0, la route est encore longue

Aujourd’hui, Bleu (détenue à 100 % par Capgemini et Orange) vient de passer une étape importante, même si la route est encore longue : « le franchissement du jalon J0 ». La co-entreprise en profite pour en faire des tonnes.

« Ce jalon atteste de la maturité de la solution cloud que nous développons. Nos équipes et nos partenaires sont pleinement mobilisés pour mettre à disposition nos services et atteindre la qualification SecNumCloud dans les meilleurs délais », affirme ainsi Jean Coumaros, président de Bleu.

Bleu « vise la qualification de ces services pour le premier semestre 2026 ».

C’est quoi ce jalon J0 ?

L’AFNOR rappelle de son côté que le jalon préalable J0 ne concerne que « la validation par l’ANSSI d’un dossier de candidature. La phase d’évaluation avec audit sur site a lieu après la validation de ce jalon 0 ». Il y a ensuite J1, J2 et J3 à passer.

L’ANSSI ajoute néanmoins que « dès son entrée officielle dans le processus de qualification SecNumCloud (reconnue par un courrier de l’ANSSI à l’entreprise annonçant « le jalon J0 »), toute entreprise pourra évoquer publiquement la démarche en cours ». Et, si elle le souhaite, elle peut apparaitre sur la liste de l’ANSSI des prestataires en cours de qualification. Pour le moment, ce n’est pas encore le cas.

Bien évidemment, le jalon J0 n’est pas suffisant pour « utiliser le logo du Visa de sécurité ANSSI ni afficher la qualification SecNumCloud tant qu’elle n’aura pas officiellement obtenu la qualification SecNumCloud ». L’Agence de cybersécurité ajoute que « tout communiqué de presse évoquant le processus de qualification SecNumCloud de l’ANSSI devra préalablement être partagé à [ses services] pour validation ».

Datacenters en France, 130 employés pour l’instant

Bleu en profite pour rappeler que ses services « sont hébergés dans ses datacenters, en Ile-de-France et dans le sud de la France. Ces services sont pilotés par du personnel de Bleu, depuis ses centres opérationnels ouverts à Paris et Rennes ».

130 personnes sont actuellement employées, avec l’objectif d’atteindre les 200 à la fin de l’année.

S3ns a passé le J0 en juillet 2024 « sans réserve »

Son concurrent S3ns, avec Thales et Google à la manœuvre, a passé le « jalon 0 » de la qualification ANSSI en juillet dernier, avec une finalisation espérée durant l’été 2025. C’est dans le délai moyen d’un an après un jalon J0.

Le service presse de Thales nous avait alors confirmé que, « à ce stade, il n’y a pas de réserve à avoir de la part de l’ANSSI et l’agence n’en a pas émise ». Bleu ne donne pas de précision sur ce point. Nous avons posé la question à son service presse.

La différence peut avoir son importance, comme le rappelle l’ANSSI. Franchir le jalon J0 avec des réserves signifie que « l’ensemble des critères d’acceptation […] sont respectés, mais l’ANSSI estime qu’un jalon de la qualification ne peut a priori pas être franchi ou que les coûts et délais nécessaires pour atteindre la qualification sont très importants ».

Nous mettrons à jour cette actualité dès que nous aurons une réponse de Bleu.

Alain Afflelou envoie actuellement des emails à ses clients et prospects, avec un objet laissant peu de place au doute : « Informations sur vos données personnelles ».

Il est évidemment question d’une fuite de données personnelles : « Une faille dans le système de l’un de nos prestataires a entraîné un accès non autorisé à notre outil de gestion des relations clients ». Le nom du prestataire n’est pas communiqué, comme c’est très (trop) souvent le cas durant les derniers mois.

Dans le lot des données piratées, on retrouve l’état civil (nom, prénom, date de naissance), les coordonnées (adresse postale, e-mail, numéros de téléphone) et des informations commerciales : date et montant total des derniers achats, date du dernier devis, nom de la dernière mutuelle et/ou OCAM, date du dernier rendez-vous, enseigne de rattachement des achats (opticien ou acousticien) et information selon laquelle vous êtes parent d’enfant(s) client(s) mineur(s).

« Aucune donnée bancaire, aucun numéro de Sécurité sociale, aucune donnée de correction visuelle ou d’audition, ni aucun mot de passe n’a été compromis », affirme l’entreprise. Le nombre de clients et/ou prospects touchés n’est pas précisé.

Le risque est toujours le même en pareille situation : une attaque par phishing en utilisant les données récupérées. Des pirates peuvent ainsi tenter de se faire passer pour Alain Afflelou et essayer de récupérer d’autres données.

Papa don't preach

Elon Musk a 14 enfants publiquement connus, et « certainement beaucoup plus » selon ses proches. Plongée dans une réflexion tout à fait liée à ses projets entrepreneuriaux.

Elon Musk a 14 enfants connus de 4 mères différentes. La dernière à s’être fait connaître publiquement : l’influenceuse pro-Trump Ashley St. Clair. En février, la jeune femme de 26 ans a publié un message sur X dans lequel elle déclarait être la mère d’un enfant de 5 mois, conçu avec Elon Musk. Elle expliquait au passage publier cette déclaration pour prendre de vitesse des tabloïds qui s’apprêtaient à révéler l’affaire.

Outre les médias à l’affut du scoop, l’autre victime de cette publication semble être Ashley St. Clair elle-même. Dans une longue enquête sur la manière dont Elon Musk gère ses relations avec les mères de ses multiples enfants, le Wall Street Journal revient en effet sur l’imbroglio judiciaire dans lequel l’influenceuse a été propulsée après avoir refusé de signer un accord liant confidentialité et soutien financier.

La reproduction, partie intégrante du projet de Musk

Car dans le parcours de l’homme le plus riche du monde et actuelle tête du « ministère de l’efficacité gouvernementale » (DOGE) des États-Unis, la reproduction est une entreprise à part entière. Proche du courant de pensée long-termiste, adepte de thèses complotistes comme celle du grand remplacement, Elon Musk encourage les personnes de son milieu social à se reproduire pour peupler la planète de ce qu’il considère être des personnes d’intelligence supérieure.

Ceci explique les débats récurrents en ligne sur le quotient intellectuel (QI) de l’entrepreneur – comme nous le rappelions dans notre article sur les idéologies TESCREAL, auxquelles appartient le long-termisme, la validité scientifique de la notion de QI est largement débattue.

• Transhumanisme, long-termisme… comment les courants « TESCREAL » influent sur le développement de l’IA

Ouvertement pronataliste, Musk se déclare en effet inquiet devant les taux de natalité plus élevés dans les pays du Sud mondial que dans les pays du Nord. À de multiples reprises, il a qualifié la question de la natalité de priorité absolue pour la « survie de l’humanité au long-terme », un projet qu’il prévoit par ailleurs d’aider en envoyant des fusées Space X vers la planète Mars, qu’il souhaite coloniser (lors d’un meeting politique, il a récemment déclaré la planète comme faisant partie des États-Unis, au mépris du traité de l’espace de 1967 interdisant l’appropriation nationale des corps célestes).

Musk se réfère enfin à sa progéniture en évoquant une « légion », en référence à l’unité militaire utilisée pour évoquer les milliers de soldats nécessaires à l’extension de l’Empire romain. Lors de sa relation avec Ashley St. Clair, Musk a notamment souligné le besoin « de recourir à des mères porteuses » pour avoir des enfants plus rapidement et « atteindre le niveau de la légion avant l’apocalypse ».

Rapports financiers

La question de la reproduction occupe Musk au point qu’il aborde des utilisatrices de X par message privé, jusqu’à leur proposer d’avoir des enfants. Dans le cas de l’influenceuse crypto Tiffany Fong, la proposition a été formulée après plusieurs semaines de discussions en ligne, mais sans que Musk et Fong ne se soient rencontrés, rapporte le Wall Street Journal.

Vu la position publique et politique d’Elon Musk, le procédé se met en place dans un évident contexte de rapport de pouvoir. La place qu’il occupe sur son propre réseau social et l’audience qu’il y accumule fait par ailleurs mécaniquement monter l’audience des internautes avec lesquels il interagit, donc leurs revenus. Tiffany Fong explique ainsi avoir enregistré une nette hausse de revenus et gagné 21 000 dollars pendant deux semaines d’interactions avec Elon Musk.

Lorsque l’entrepreneur lui a proposé de se reproduire, cela l’a obligée à s’interroger sur les conséquences financières de son refus. Dès que le milliardaire a appris que Tiffany Fong avait demandé l’avis de ses proches, il a arrêté de suivre la jeune femme et cessé de communiquer avec elle.

Les rapports financiers s’installent aussi avec celles qui acceptent les propositions de Musk, d’après Ashley St. Clair. Au Wall Street Journal, elle explique s’être vue proposer 15 millions de dollars et 100 000 $ de soutien mensuel jusqu’aux 21 ans de leur fils Romulus en échange de son silence sur l’identité du père. Jared Birchall, l’analyste financier à la tête du family office d’Elon Musk depuis 2016, lui aurait expliqué que des accords similaires avaient été signés avec les mères d’autres enfants. Leur nombre n’est pas connu – Jenna Wilson, fille de Musk ayant rompu tout contact avec son père après que celui-ci a refusé d’accepter sa transition, indique ainsi ne pas connaître le nombre exact de ses frères et sœurs.

Ashley St. Clair a refusé l’accord, car celui-ci lui interdisait d’évoquer le lien entre Musk et son fils, mais n’empêchait pas le milliardaire de parler mal d’elle s’il le souhaitait. La jeune femme indique ne pas vouloir que son fils se sente illégitime, et que le contrat ne prévoyait aucune sécurité en cas de maladie de l’enfant, ou de décès de Musk avant les 21 ans du petit garçon.

Quatre jours après sa publication sur X, l’influenceuse indique que Musk a mis fin à l’offre de 15 millions de dollars. Alors que St. Clair demandait un test de paternité – depuis revenu avec une probabilité de 99, 9999 % sur le fait que Musk soit le père –, celui-ci a réduit l’allocation mensuelle à 40 000, puis 20 000 dollars. Les dates des réductions de paiement coïncident avec des désaccords juridiques, explique l’un des avocats de la mère de famille : « La seule conclusion que nous puissions en tirer est que l’argent est utilisé comme une arme ».

Avant Ashley St. Clair, la chanteuse Grimes (Claire Boucher à la ville) a, elle aussi, eu à se battre contre l’entrepreneur politique. Après avoir fréquenté Musk à partir de 2018, l’artiste a eu avec lui trois enfants, puis s’est battue dans les tribunaux pour obtenir leur garde – la chanteuse accuse le chef d’entreprises de l’avoir empêchée de voir l’un de leurs enfants pendant cinq mois. Elle déclare en outre avoir été ruinée par la bataille judiciaire.

Obsession partagée

Outre Ashley St. Clair et Grimes, les deux autres mères connues d’enfants de Musk sont son ex-femme Justine Musk et l’investisseuse Shivon Zilis. Cette dernière vit dans un complexe fermé dont l’acquisition a été gérée par Jared Birchall, qui supervise l’essentiel des négociations liées aux grossesses et au soutien financier post-naissance des femmes liées à Musk. Dans l’idée initiale de Musk, le complexe aurait accueilli tous ses enfants – il a tenté de convaincre Grimes de s’y installer, puis St. Clair de venir y passer du temps.

Aussi étranges que puissent sonner ces récits, ils ne sont pas propres à Elon Musk.

Dans l’univers de la tech, ils s’intègrent dans un courant plus large de promotion d’une forme d’eugénisme « positif », qui permettrait de faire naître des enfants « plus intelligents » que la moyenne. Le fondateur de Telegram Pavel Durov s’est ainsi félicité que ses dons de spermes aient aidé plus de 100 couples dans 12 pays différents à concevoir des enfants. Si le projet peut sembler philanthropique (en France, les dons de sperme sont très insuffisants), ils prennent un tour plus sujet à débat lorsqu’on lit l’entrepreneur décrire ses dons comme du « matériel de haute qualité » et vouloir rendre son ADN « open source ».

D’un point de vue plus entrepreneurial, le patron d’OpenAI Sam Altman a notamment investi dans la start-up Conception, qui cherche à rendre possible la conception biologique entre personnes de même sexe.

Le cas de Musk s’inscrit, aussi, dans un contexte politique. Fin mars, des influenceurs d’extrême-droite organisaient par exemple un événement d’un week-end au Texas pour permettre à des personnes fortunées de se rencontrer, dans le but de leur faire concevoir des enfants.

Alors que le Parti républicain est divisé sur la question de la procréation médicalement assistée, Donald Trump a récemment déclaré vouloir devenir le « président de la fécondation ». C’est aussi au président, par l’intermédiaire de ses nominations à la cour suprême, que les États-Unis doivent le recul du droit à l’avortement à l’échelle fédérale.

• La drôle de trajectoire politique d’Elon Musk

Débranche, débranche, débranche tout

OVHcloud est (presque) sur un petit nuage, avec de bons résultats dans son dernier bilan semestriel. Le groupe revendique une forte croissance aux États-Unis et en Asie-Pacifique, mais réalise toujours quasiment la moitié de son chiffre d’affaires en France. Pour Benjamin Revcolevschi, il y a une « troisième voie entre les États-Unis et la Chine », et OVHcloud veut s’en occuper.

OVHcloud vient de dévoiler son bilan financier pour le premier semestre de l’année, avec des hausses sur l’ensemble de ses segments. Le chiffre d’affaires passe de 486,1 millions d’euros au 1ᵉʳ semestre 2024 à 536,0 millions d’euros cette année, soit une hausse de 10,3 %. Le groupe confirme au passage ses objectifs annuels.

Des bénéfices (des pertes en 2024) et 1 milliard d’euros de dette

Le résultat net consolidé est de 7,2 millions d’euros, alors qu’il était question de pertes de 17,2 millions l’année dernière. « Le résultat net du premier semestre 2025 intègre notamment une charge d’intérêts de (24,2) millions d’euros, en hausse de 8,4 millions d’euros. Cette augmentation provient principalement des frais liés à la mise en place de la nouvelle dette et de l’augmentation des taux d’intérêts et de la dette nette sur la période », explique la société.

La dette d’OVHcloud au 28 février 2025 est de 1,03 milliard d’euros contre 667,2 millions d’euros au 31 août 2024. « Le levier d’endettement atteint 2,7x au 28 février 2025, en ligne avec la politique d’endettement du Groupe ».

« Forte demande aux États-Unis et en Asie-Pacifique »

Le cloud privé (Bare Metal et Hosted Private) représente toujours la part la plus importante avec 334,2 millions d’euros (+ 10,5 %). Les deux autres branches sont au coude à coude : cloud public à 103,8 millions d’euros (+ 17,4 %) et webcloud à 98 millions d’euros (+ 2,9 %).

L’entreprise note une « forte dynamique des noms de domaine, soutenue par la mise en place d’engagements pluriannuels dans de nouvelles géographies ». Sur le webcloud, « en excluant les sous-segments Connectivité et Téléphonie, activités historiques du Groupe, la croissance du segment atteint + 6,3 % ».

Revenons sur le cloud privé qui se taille la part du lion et affiche une croissance de 10,5 % sur un an. Deux éléments sont mis en avant : « une bonne croissance du revenu par client (ARPAC) principalement soutenue par une forte demande aux États-Unis et en Asie-Pacifique », ainsi que « des effets prix liés au changement de facturation des licences VMware par Broadcom depuis mai 2024 ».

Concernant les licences VMware, cela permet certes d’augmenter les revenus, mais OVHcloud doit ensuite reverser les sommes à Broadcom (modulo sa marge/commission). En ce début d’année 2025, Broadcom a encore resserré la vis sur les licences VMwares.

« Le seul acteur européen dans le top 10 mondial du cloud »

Lors de la conférence de presse, Next a demandé à Benjamin Revcolevschi (directeur général d’OVHcloud) d’où venait cette « forte demande aux États-Unis et en Asie-Pacifique ». Il nous a expliqué qu’aux États-Unis, la croissance se fait notamment via des entreprises « dans la tech (startup et scale-up) », sans entrer dans les détails.

Il a ajouté que « les États-Unis sont un marché fragmenté : quand vous avez la bonne solution, au bon prix et avec les bonnes performances, les clients décident de migrer. J’ai des exemples de clients qui ont migré », mais aucun n’a été donné. Pour servir directement ses clients étasuniens, OVHcloud dispose de deux datacenters sur place (côte Est et Ouest) ainsi que 10 Local Zones.

Pour Benjamin Revcolevschi, « les clients recherchent un cadre de confiance » et veulent « limiter la dépendance à des acteurs non européens ». Il revendique être « le seul acteur européen dans le top 10 mondial du cloud » et « le seul à ne pas être soumis aux lois extraterritoriales ». Il y a une « place pour une troisième voie entre les États-Unis et la Chine », ajoute-t-il.

Mais OVHcloud dépend toujours fortement de la France (à 48 %)

La France représente quasiment 50 % de son chiffre d’affaires avec 256,7 millions d’euros sur six mois (+ 8,1 %), suivie par l’Europe à 156,2 millions (+ 10,6 %) et le reste du monde (qui représente 23 % de ses revenus) à 123,1 millions d’euros (+ 14,7 %). En France, la locomotive est le cloud public avec 18,6 % de hausse en un an.

En bourse, OVHcloud affiche + 47 % depuis fin mars, avec une forte hausse entre les 2 et 4 avril, après l’annonce sur les droits de douane par Donald Trump. L’action est aujourd’hui à 11 euros, mais cela reste largement en dessous des 18,50 euros lors de l’introduction fin 2021 et des 25 euros dans les semaines suivantes.

En avril 2024, l’entreprise dévissait toutefois de près de 30 % après l’annonce de ses résultats. Entre le 5 avril 2024 (avant les résultats) et aujourd’hui, le cours de l’action est quasiment stable.

• Les droits de douane Trump relancent l’hypothèse d’une taxe GAFAM européenne

23 Local Zones, Bare Metal Pod passe SecNumCloud

OVHcloud revendique « 23 grandes villes disponibles à fin février 2025 » pour ses Local Zones. Fin 2024, Benjamin Revcolevschi nous expliquait que la société est « militaire dans le déploiement de ces Local Zones : toutes les deux ou trois semaines, on en déploie une ». Les premières remontent à février 2024 et avaient été annoncés au Summit fin 2023.

OVHcloud prévoyait « jusqu’à 150 Local Zones ouvertes d’ici à 2026 ». Des ambitions revues à la baisse, nous confiait le directeur général lors de son arrivée : « on n’aura pas 150 Local Zones en 2026 […] On les déploie activement, mais on veut faire ça bien ».

OVHcloud rappelle aussi avoir obtenu la qualification SecNumCloud pour son offre Bare Metal Pod. Il s’agit de proposer un minimum de huit serveurs dans une demi-baie, et jusqu’à 480 serveurs dans 10 baies, « l’ensemble clé en main, le hardware et le software ».

Les « datacenters déconnectés » sont là

2024 était aussi l’occasion de lancer On-Prem Cloud Platform : « une plateforme cloud intégrée (matérielle et logicielle) qui sera, en mode déconnecté, hébergée et opérée de façon autonome ». Pour simplifier, il s’agit d’un ensemble prêt à être installé chez des clients et qui n’a pas besoin d’être connecté à Internet. Octave Klaba en parlait déjà en 2022 avec ses « datacenters déconnectés » lors de la conférence EcoEx.

• EcoEx : OVHcloud va proposer des « datacenters déconnectés » et mise sur l’open source

Toutes les plateformes Apple ont reçu hier soir une mise à jour estampillée « X.4.1 ». Elles ont été déployées pour colmater deux failles de sécurité déjà exploitées.

La première, CVE-2025-31200, réside dans CoreAudio. Elle est de type corruption de la mémoire et peut être utilisée pour envoyer un flux audio spécialement conçu dans un fichier multimédia pour déclencher un code arbitraire. La seconde, CVE-2025-31201, touche RPAC. On ne sait pas grand-chose de son fonctionnement, sinon qu’un attaquant disposant de droits arbitraires en lecture et écriture pourrait contourner Pointer Authentication.

Il est très probable que ces deux vulnérabilités soient utilisées par des outils d’espionnage. Elles auraient en effet été exploitées « dans des attaques extrêmement sophistiquées contre des individus spécifiques », indique Apple. A priori, ce comportement n’aurait été observé que sur iOS.

Comme souvent dans ce genre de cas, il est recommandé d’installer ces mises à jour le plus rapidement possible.

Nouvelle version pour le client de virtualisation open source (GPLv3). Même s’il s’agit d’une mise à jour d’entretien, VirtualBox 7.1.8 vient corriger plusieurs problèmes gênants, dont un pouvant faire grimper le taux d’occupation CPU à 100 %, ce qui n’est jamais bon. Il touche le composant VBxTray dans les Windows Guest Additions, donc dans les machines virtuelles équipées du système de Microsoft.

Dans la longue liste des changements, on peut voir de nombreuses autres corrections. Par exemple, un curseur qui ne s’affichait pas, un souci dans DevVirtioSCSI pouvant bloquer la restauration des états antérieurs, un plantage de VBoxSVC pendant l’enregistrement de la configuration via le service web, des équipements Wi-Fi qui n’étaient plus découverts sur des distributions Linux « modernes », ou encore des Linux Guest Additions qui ne s’installaient parfois pas si les bibliothèques X11 étaient absentes.

Comme d’habitude, la nouvelle mouture peut être téléchargée depuis le site officiel.

vulnérabilités au carré

La base de données de vulnérabilités CVE, mondialement utilisée pour connaître et corriger des risques de cybersécurité, a bien cru voir son financement fédéral américain s’arrêter. Alors qu’il devait expirer aujourd’hui même, l’Agence de cybersécurité américaine CISA l’a renouvelé à la dernière minute. En parallèle, des responsables de CVE ont lancé une fondation pour assurer son indépendance à long terme.

L’Agence de cybersécurité américaine CISA a finalement décidé de continuer à financer la base de données de vulnérabilités CVE en étendant son contrat avec la MITRE, l’organisation à but non lucratif qui gère le projet.

« Le programme CVE est inestimable pour la cybercommunauté et constitue une priorité de la CISA. Hier soir, la CISA a exécuté la période d’option du contrat afin de s’assurer qu’il n’y aura pas d’interruption des services CVE essentiels », a affirmé l’agence dans un communiqué envoyé à Forbes et notre BleepingComputer.

Le stress de la communauté cyber

Il était temps. La communauté de la cybersécurité avait commencé, mardi soir, à s’émouvoir sur les réseaux sociaux de la possible disparition de cette base de données. En effet, ce contrat arrivait à échéance ce mercredi 16 avril. Cette information a fuité mardi via une lettre adressée aux membres du bureau du CVE publiée sur Bluesky.

Yosry Barsoum, le vice-président du MITRE, l’organisation à but non-lucratif dont dépend le CVE, y annonçait un possible arrêt de financement et affirmait : « Si une interruption de service devait se produire, nous prévoyons de multiples conséquences pour CVE, notamment la détérioration des bases de données et des avis nationaux sur les vulnérabilités, des fournisseurs d’outils, des opérations de réponse aux incidents et de toutes sortes d’infrastructures critiques ».

Le spécialiste en cybersécurité Kevin Beaumont réagissait par exemple en affirmant que « le secteur de la cybersécurité dans son ensemble est également en difficulté – c’est l’éléphant dans la pièce – l’effondrement du soutien de la Maison-Blanche à la cybersécurité est évident et prononcé en raison des coupes budgétaires généralisées ».

En effet, CVE est vraiment devenu un outil indispensable dans ce secteur depuis sa création en 1999. Elle recense toutes les vulnérabilités de sécurité des systèmes informatiques en indiquant leurs sévérités. Cette base permet notamment d’unifier les noms des failles pour s’assurer que tout le monde s’entende et ne fasse pas de confusion. Toutes les personnes travaillant dans le secteur l’utilisent. On peut aussi s’appuyer sur CVE pour analyser la variation du nombre failles de sécurité, mais attention à le faire en prenant en compte leur exploitation et pas seulement leur nombre absolu.

• Le nombre de failles de sécurité a augmenté de 30 % en 6 mois : beaucoup de bruit pour rien ?

Une fondation créée à la hâte

Alors que l’annonce de la reconduction du contrat n’avait pas encore été faite, des membres du bureau du CVE ont annoncé le lancement de la Fondation CVE. Celle-ci doit assurer « la viabilité, la stabilité et l’indépendance à long terme du programme CVE, pilier essentiel de l’infrastructure mondiale de cybersécurité depuis 25 ans ».

Elle est présentée comme une réponse à l’instabilité dans laquelle se trouve le CVE. En même temps, ce texte explique qu’elle est le fruit d’« une coalition de membres actifs et de longue date du conseil d’administration de CVE [qui] a passé la dernière année à élaborer une stratégie de transition de CVE vers une fondation à but non lucratif ».

Il est difficile pour l’instant de savoir quel sera l’avenir de la gouvernance du CVE entre cette fondation et la gestion historique par le MITRE.

Ce dernier a, certes, finalement pu reconduire le contrat avec la CISA, mais 442 employés du MITRE ont été licenciés récemment après l’arrêt de contrats par le DOGE équivalent à 28 millions de dollars de budget, selon Virginia Business. Difficile de promettre une stabilité au projet dans ce contexte.

Depuis l’attaque terroriste du Hamas contre Israël le 7 octobre 2023, l’État a réalisé une opération de modération des plateformes de Meta d’un genre particulier : il a formulé des requêtes de suppression de contenus publiés dans quantité de pays étrangers.

D’après des documents internes obtenus par Drop Site, une newsletter créée par d’anciens journalistes d’investigation de The Intercept, Meta a coopéré dans 94 % des cas. 
L’immense majorité de ces contenus contenaient des propos pro-palestiniens ou critiques du génocide opéré dans la bande de Gaza. Les demandes de retraits formulées par Israël ont principalement visé des internautes de pays arabes ou à majorité musulmanes, parmi lesquels l’Égypte, la Jordanie, l’Algérie, le Yémen, la Tunisie ou encore le Maroc.

95 % des requêtes – quasiment toujours formulées de la même manière, quel que soit le contenu – était classifiée par le gouvernement israélien comme relevant du « terrorisme » ou de l’« incitation à la violence » selon les politiques d’utilisation de Meta.

Les données montrent que Meta aurait modéré plus de 90 000 posts pour se conformer aux demandes du gouvernement israélien en 30 secondes en moyenne. Drop Site souligne que ces actions auront un impact futur, dans la mesure où les contenus supprimés servent à entraîner les systèmes automatisés de modération pour leur faire faire prendre de futures décisions.

Meta a également considérablement étendu les suppressions automatisées depuis le 7 octobre, ce qui aurait valu à près de 39 millions de posts supplémentaires de faire l’objet d’une « action » (interdiction, retrait, voire bannissement) sur Facebook et Instagram depuis la fin de l’année 2023, relève d’ailleurs Drop Site.

Ces documents renforcent une tendance observée par des organisations comme Human Rights Watch, qui relevait dès la fin 2023 des suppressions de contenus, du shadow banning (fait de limiter la visibilité) et de la suspension de comptes favorables à la cause palestinienne sur Instagram et Facebook dans plus de soixante pays du globe.

• Facebook et Instagram ont « sévèrement restreint » les médias et internautes palestiniens

Drop Site relève que seulement 1,3 % des requêtes de suppression formulées par le gouvernement israélien concerne ses propres internautes, quand l’immense majorité des autres gouvernements s’intéressent à du contenu domestique (63 % des requêtes de la Malaisie se concentrent du contenu publié en Malaise, 95 % de celles formulées par le Brésil concernent du contenu brésilien).

• Israël – Hamas : sur le front numérique aussi, le conflit fait rage