L’enquête lancée par la section cybercriminalité du parquet de Paris et confiée à l’office anti-cybercriminalité (Ofac) suite au piratage de la plateforme cet été de la Direction générale des finances publiques a débouché sur l’interpellation de deux suspects, rapporte Franceinfo.

Suite à son interpellation le 18 août, un homme de 18 ans a été mis en examen le 20 août et placé en détention provisoire. Un second suspect âgé de 16 ans, interpellé le 26 août, a été libéré après sa garde à vue. Son matériel sera cependant utilisé par les enquêteurs. Le premier suspect, domicilié en région parisienne, ferait partie du groupe de pirates ZeroBytes bien connu des services. Outre la DGFiP, il serait derrière les piratages ces derniers mois de l’Éducation nationale, France Travail, ou encore SFR.

Le suspect n’est pas un perdreau de l’année : il avait en effet été mis en examen en juin 2024 et janvier 2025 dans deux dossiers concernant des attaques informatiques, et placé sous contrôle judiciaire dans ces deux cas.

Il a été mis en examen pour les chefs d’accusation d’« accès et maintien frauduleux dans un système de traitement automatisé de données (STAD) à caractère personnel en bande organisée », pour « modification frauduleuse, extraction, transmission, reproduction et détention de données contenues dans un STAD à caractère personnel en bande organisée », ainsi que pour « participation à une association de malfaiteurs en vue de la préparation d’un délit puni de 10 ans d’emprisonnement ».

L’enquête se poursuit pour interpeller les autres personnes mises en cause dans le piratage du fisc.

• Troisième fuite confirmée aux impôts, Bercy détaille sa réponse aux attaques

L’enquête lancée par la section cybercriminalité du parquet de Paris et confiée à l’office anti-cybercriminalité (Ofac) suite au piratage de la plateforme cet été de la Direction générale des finances publiques a débouché sur l’interpellation de deux suspects, rapporte Franceinfo.

Suite à son interpellation le 18 août, un homme de 18 ans a été mis en examen le 20 août et placé en détention provisoire. Un second suspect âgé de 16 ans, interpellé le 26 août, a été libéré après sa garde à vue. Son matériel sera cependant utilisé par les enquêteurs. Le premier suspect, domicilié en région parisienne, ferait partie du groupe de pirates ZeroBytes bien connu des services. Outre la DGFiP, il serait derrière les piratages ces derniers mois de l’Éducation nationale, France Travail, ou encore SFR.

Le suspect n’est pas un perdreau de l’année : il avait en effet été mis en examen en juin 2024 et janvier 2025 dans deux dossiers concernant des attaques informatiques, et placé sous contrôle judiciaire dans ces deux cas.

Il a été mis en examen pour les chefs d’accusation d’« accès et maintien frauduleux dans un système de traitement automatisé de données (STAD) à caractère personnel en bande organisée », pour « modification frauduleuse, extraction, transmission, reproduction et détention de données contenues dans un STAD à caractère personnel en bande organisée », ainsi que pour « participation à une association de malfaiteurs en vue de la préparation d’un délit puni de 10 ans d’emprisonnement ».

L’enquête se poursuit pour interpeller les autres personnes mises en cause dans le piratage du fisc.

• Troisième fuite confirmée aux impôts, Bercy détaille sa réponse aux attaques

Fake IT crowd

Les scammers migrent de plus en plus de l’email vers les plateformes de collaboration d’entreprise comme Microsoft Teams pour mettre en place leurs attaques. En se faisant passer pour le support informatique, ils peuvent aller très loin dans l’infrastructure de l’entreprise visée.

Le laboratoire de recherche en cybersécurité Unit 42 de l’entreprise Palo Alto Networks a alerté ce mardi 1er septembre : des pirates ont mis en place des campagnes pour cibler le système informatique d’entreprises via des appels vocaux sur Microsoft Teams.

Comme souvent quand il s’agit de scam, les pirates utilisent leurs compétences en social engineering. « Ce qui semble être une conversation anodine est en réalité un appel de hameçonnage vocal (vishing), au cours duquel les cybercriminels tentent de contraindre leurs victimes à exécuter des outils de surveillance et de gestion à distance (RMM) ou des virus sur mesure », explique Unit 42.

Utiliser le pouvoir social du support informatique

Notamment, pour que l’utilisateur se laisse manipuler, les pirates se font passer pour le support informatique de l’entreprise. Les chercheurs de Palo Alto Networks signalent avoir repéré une campagne particulière, qu’ils nomment Spring Ring, qui a ciblé entre janvier et avril 2026 plus de 150 employés d’au moins 10 entreprises. Pour certains, les pirates sont allés jusqu’à essayer d’atteindre le contrôleur de domaine de l’entreprise, le serveur qui permet de répondre aux demandes d’authentification et donne les accès aux employés.

Pour Unit 42, cette campagne illustre « la manière dont les plateformes de communication sont utilisées comme armes, l’identité devenant un vecteur d’attaque majeur ».

Les chercheurs de Unit 42 expliquent qu’ils ont détecté cette campagne après avoir observé un schéma suspect de création de discussions. De fait, l’attaque passe d’abord en chat où l’attaquant crée une discussion sous une identité qui semble demander une attention particulière (service d’assistance informatique ou personnel de support) avec un email au domaine proche de Microsoft (ici .onmicrosoft[.]com) et dont il maitrise le sous-domaine (par exemple : ithelp@InternalSystemsDaily[.]onmicrosoft[.]com).

L’attaquant lançait ensuite un appel audio pour lui faire faire des actions présentées comme de l’assistance technique. En fait, l’utilisateur lui donnait le contrôle à distance ou exécutait un virus sans le savoir. Pour mettre la pression sur l’utilisateur, l’attaquant peut appeler plusieurs fois si l’utilisateur ne répond pas.

Deux formes d’attaques : le contrôle à distance ou l’envoi vers un faux cloud de l’entreprise

Lors de la campagne Spring Ring, Unit 42 a repéré deux formes d’attaques. Dans la première, l’attaquant incite la victime à exécuter le logiciel de gestion à distance de son entreprise et ensuite à lui donner le contrôle à distance de son ordinateur. Après avoir vérifié les informations sur l’environnement, il utilise PowerShell pour télécharger un cheval de Troie à distance qui désactive l’antivirus, envoie des données de l’utilisateur et récupère ensuite d’autres virus.

Dans l’autre forme d’attaque, le pirate envoie l’employé vers un lien pointant vers un faux cloud de son entreprise, téléchargeant un virus dont l’exécutable mentionnait le nom de cette entreprise (par exemple : nomdelentreprise-org-filters-update-nomdelavictime.exe). Dès que celui-ci est exécuté, il assure sa persistance dans le système de Windows. Puis il lance une instance cachée et sans interface graphique de Edge pour installer une extension du navigateur de Microsoft. Un script Python est enfin lancé pour scanner les ports SMB, cibler le contrôleur de domaine de l’entreprise via Microsoft NT LAN Manager et tenter « une attaque avec PetitPotam [une preuve de concept (PoC) permettant de forcer des hôtes Windows à s’authentifier auprès d’autres machines, ndlr] afin de contraindre le contrôleur de domaine à s’authentifier auprès d’une machine contrôlée par l’attaquant ».

Pour l’Unit 42, cette campagne montre un « tournant stratégique en matière d’ingénierie sociale, les attaquants allant désormais au-delà du hameçonnage par e-mail pour cibler les outils de collaboration d’entreprise ».

Microsoft alerte aussi

Cela semble aussi le cas du côté de Microsoft. En effet, quelques jours plus tard, les chercheurs de l’entreprise de Redmond ont décrit le même genre d’attaques utilisant les outils de surveillance et de gestion à distance. Ici, PowerShell était utilisé pour télécharger un paquet MSI malveillant qui met ensuite en place un environnement Node.js et un script JavaScript permettant, de façon persistante, l’exécution de commandes.

L’éditeur de Teams semble désemparé devant ce genre d’attaques, affirmant que « cette campagne repose moins sur l’exploitation de la plateforme que sur la persuasion des utilisateurs de mettre en place des processus d’accès à distance sécurisés au sein d’outils de collaboration légitimes ». Microsoft ajoute que les entreprises « doivent considérer toute demande d’assistance externe non sollicitée comme intrinsèquement suspecte et mettre en place des défenses à plusieurs niveaux, couvrant l’identité, les terminaux et la collaboration ».

Dans ses conseils, en plus du renfort de la sensibilisation des employés, Microsoft pousse quand même à utiliser des outils contre les attaques de type « ingénierie sociale », contre le phishing en général, et d’activer les règles ASR de réduction de la surface d’attaque « qui bloquent le contenu exécutable provenant des e-mails et des interpréteurs de scripts, la création de processus à partir de PowerShell/WScript/cmd, ainsi que l’exécution de contenu téléchargé, afin d’empêcher la mise en place de scripts et de fichiers MSI ». L’éditeur pousse aussi les DSI des entreprises à limiter ou surveiller l’utilisation des logiciels de gestion (et d’assistance) à distance et à contrôler quels outils sont autorisés dans leurs environnements.

Fake IT crowd

Les scammers migrent de plus en plus de l’email vers les plateformes de collaboration d’entreprise comme Microsoft Teams pour mettre en place leurs attaques. En se faisant passer pour le support informatique, ils peuvent aller très loin dans l’infrastructure de l’entreprise visée.

Le laboratoire de recherche en cybersécurité Unit 42 de l’entreprise Palo Alto Networks a alerté ce mardi 1er septembre : des pirates ont mis en place des campagnes pour cibler le système informatique d’entreprises via des appels vocaux sur Microsoft Teams.

Comme souvent quand il s’agit de scam, les pirates utilisent leurs compétences en social engineering. « Ce qui semble être une conversation anodine est en réalité un appel de hameçonnage vocal (vishing), au cours duquel les cybercriminels tentent de contraindre leurs victimes à exécuter des outils de surveillance et de gestion à distance (RMM) ou des virus sur mesure », explique Unit 42.

Utiliser le pouvoir social du support informatique

Notamment, pour que l’utilisateur se laisse manipuler, les pirates se font passer pour le support informatique de l’entreprise. Les chercheurs de Palo Alto Networks signalent avoir repéré une campagne particulière, qu’ils nomment Spring Ring, qui a ciblé entre janvier et avril 2026 plus de 150 employés d’au moins 10 entreprises. Pour certains, les pirates sont allés jusqu’à essayer d’atteindre le contrôleur de domaine de l’entreprise, le serveur qui permet de répondre aux demandes d’authentification et donne les accès aux employés.

Pour Unit 42, cette campagne illustre « la manière dont les plateformes de communication sont utilisées comme armes, l’identité devenant un vecteur d’attaque majeur ».

Les chercheurs de Unit 42 expliquent qu’ils ont détecté cette campagne après avoir observé un schéma suspect de création de discussions. De fait, l’attaque passe d’abord en chat où l’attaquant crée une discussion sous une identité qui semble demander une attention particulière (service d’assistance informatique ou personnel de support) avec un email au domaine proche de Microsoft (ici .onmicrosoft[.]com) et dont il maitrise le sous-domaine (par exemple : ithelp@InternalSystemsDaily[.]onmicrosoft[.]com).

L’attaquant lançait ensuite un appel audio pour lui faire faire des actions présentées comme de l’assistance technique. En fait, l’utilisateur lui donnait le contrôle à distance ou exécutait un virus sans le savoir. Pour mettre la pression sur l’utilisateur, l’attaquant peut appeler plusieurs fois si l’utilisateur ne répond pas.

Deux formes d’attaques : le contrôle à distance ou l’envoi vers un faux cloud de l’entreprise

Lors de la campagne Spring Ring, Unit 42 a repéré deux formes d’attaques. Dans la première, l’attaquant incite la victime à exécuter le logiciel de gestion à distance de son entreprise et ensuite à lui donner le contrôle à distance de son ordinateur. Après avoir vérifié les informations sur l’environnement, il utilise PowerShell pour télécharger un cheval de Troie à distance qui désactive l’antivirus, envoie des données de l’utilisateur et récupère ensuite d’autres virus.

Dans l’autre forme d’attaque, le pirate envoie l’employé vers un lien pointant vers un faux cloud de son entreprise, téléchargeant un virus dont l’exécutable mentionnait le nom de cette entreprise (par exemple : nomdelentreprise-org-filters-update-nomdelavictime.exe). Dès que celui-ci est exécuté, il assure sa persistance dans le système de Windows. Puis il lance une instance cachée et sans interface graphique de Edge pour installer une extension du navigateur de Microsoft. Un script Python est enfin lancé pour scanner les ports SMB, cibler le contrôleur de domaine de l’entreprise via Microsoft NT LAN Manager et tenter « une attaque avec PetitPotam [une preuve de concept (PoC) permettant de forcer des hôtes Windows à s’authentifier auprès d’autres machines, ndlr] afin de contraindre le contrôleur de domaine à s’authentifier auprès d’une machine contrôlée par l’attaquant ».

Pour l’Unit 42, cette campagne montre un « tournant stratégique en matière d’ingénierie sociale, les attaquants allant désormais au-delà du hameçonnage par e-mail pour cibler les outils de collaboration d’entreprise ».

Microsoft alerte aussi

Cela semble aussi le cas du côté de Microsoft. En effet, quelques jours plus tard, les chercheurs de l’entreprise de Redmond ont décrit le même genre d’attaques utilisant les outils de surveillance et de gestion à distance. Ici, PowerShell était utilisé pour télécharger un paquet MSI malveillant qui met ensuite en place un environnement Node.js et un script JavaScript permettant, de façon persistante, l’exécution de commandes.

L’éditeur de Teams semble désemparé devant ce genre d’attaques, affirmant que « cette campagne repose moins sur l’exploitation de la plateforme que sur la persuasion des utilisateurs de mettre en place des processus d’accès à distance sécurisés au sein d’outils de collaboration légitimes ». Microsoft ajoute que les entreprises « doivent considérer toute demande d’assistance externe non sollicitée comme intrinsèquement suspecte et mettre en place des défenses à plusieurs niveaux, couvrant l’identité, les terminaux et la collaboration ».

Dans ses conseils, en plus du renfort de la sensibilisation des employés, Microsoft pousse quand même à utiliser des outils contre les attaques de type « ingénierie sociale », contre le phishing en général, et d’activer les règles ASR de réduction de la surface d’attaque « qui bloquent le contenu exécutable provenant des e-mails et des interpréteurs de scripts, la création de processus à partir de PowerShell/WScript/cmd, ainsi que l’exécution de contenu téléchargé, afin d’empêcher la mise en place de scripts et de fichiers MSI ». L’éditeur pousse aussi les DSI des entreprises à limiter ou surveiller l’utilisation des logiciels de gestion (et d’assistance) à distance et à contrôler quels outils sont autorisés dans leurs environnements.

Christine de Stephen King, version tondeuse à gazon

Trois chercheurs indépendants en cybersécurité ont découvert 14 failles de sécurité critiques au sein de l’infrastructure qui sous-tend le fonctionnement des robots tondeuses Mammotion. Elles exposaient potentiellement jusqu’à 337 000 comptes utilisateurs, ouvraient l’accès aux infos des réseaux connectés, et permettaient accessoirement la prise de contrôle à distance.

Un gazon sans doute coupé au cordeau, mais une véritable porte ouverte sur le jardin. Trois chercheurs en cybersécurité se sont penchés sur l’application mobile fournie par Mammotion pour le pilotage de ses robots tondeuses.

Ils y ont découvert comment accéder en seulement deux requêtes à un compte admin branché sur l’infrastructure cloud qui en sous tend les fonctions connectées. De là, les failles se sont enchaînées, jusqu’à représenter un total de 14 vulnérabilités, présentées dans un rapport dédié.

Des robots ouverts aux quatre vents

À l’appui de leurs travaux, les trois chercheurs, Sammy Azdoufal (@n0tsa), Andreas Makris (@Bin4ryDigit) et Kevin Finisterre (@d0tslash), ont réalisé une attaque par piratage de compte sur un robot tondeuse détenu en propre. Ils revendiquent une prise de contrôle quasi totale, avec possibilité de piloter le robot à distance et visualiser les images transmises par la caméra.

S’ils affirment ne pas avoir avoir parcouru l’ensemble des services cloud exposés, ils donnent un aperçu de la surface potentielle de l’attaque, estimée à 337 000 comptes utilisateurs énumérables sans authentification, répartis sur quatre serveurs régionaux, dont un serveur EU servant 85 pays, avec une « forte concentration en Allemagne, France et Suède ». Sammy Azdoufal, qui avait déjà mis au jour les failles de sécurité béantes des babyphones et caméras IP Meari et dix CVE dans des produits connectés Aqara, précise à Next qu’environ 49 000 comptes correspondent à des utilisateurs français.

Pour chaque appareil, l’accès découvert donnait selon eux la possibilité d’interroger le robot à distance et d’en faire remonter, sans vérification de propriété, les informations réseau telles que les coordonnées GPS, l’adresse IP sur le réseau local, l’adresse MAC, ou l’IMEI de la connexion mobile, mais aussi le SSID du Wi-Fi domestique, et le numéro IMSI de la carte SIM utilisée pour les communications en cas d’absence de Wi-Fi.

Les chercheurs affirment par ailleurs avoir pu énumérer 46 785 stations RTK dont les clés de chiffrement RSA-2048 étaient récupérables sans vérification de propriété. Ces stations sont un accessoire commercialisé par Mammotion (et d’autres fabricants) pour offrir une référence de positionnement plus précise que celle du GPS et donc améliorer la capacité du robot tondeuse à s’orienter dans le jardin ou respecter les instructions de tonte.

« La flotte RTK européenne de Mammotion fonctionne avec des cartes SIM M2M d’Orange France. Chaque station de base équipée d’un module 4G (IMSI 208012xxxxxxx) transmet des données d’identité cellulaire à tout utilisateur authentifié de l’application », affirment à ce sujet les chercheurs.

Si les données GPS d’un robot individuel suffisent pour localiser son emplacement, les chercheurs suggèrent, sans l’affirmer explicitement, que l’exposition de cette infrastructure de communication mobile ouvrait la voie à des attaques à plus grande échelle.

Une communication assez limitée

La première et peut-être la plus inquiétante découverte tient à la façon dont les chercheurs ont pu accéder au cloud de Mammotion. D’après leur rapport, le fabricant référençait dans son application un endpoint (un point de terminaison pour se connecter à l’infra) lié à son serveur situé en Chine qui retournait, sans authentification ou token préalable, un mot de passe à usage unique (on parle de code OTP, pour One-Time Password), qui en réalité n’expirait pas.

Ce code à usage unique est lié à la récupération en cas de mot de passe oublié. Pour un utilisateur lambda, il faut en principe une demande de réinitialisation pour que ce code soit généré, puis reconnu au niveau du endpoint. « Pour admin@mammotion.com, la situation était différente. L’administrateur n’avait apparemment jamais déclenché sa propre procédure de mot de passe oublié ; son code OTP enregistré n’avait donc ni durée de vie ni renouvellement. Il était juste là », décrivent les trois auteurs, avant de résumer : « Deux requêtes HTTP non authentifiées et vous possédez le compte administrateur Mammotion ».

Le dépôt GitHub créé pour l’occasion liste également les échanges par écrit entre les trois chercheurs et les services techniques de Mammotion. La conversation achoppe principalement sur des questions de forme, peut-être motivées par le passif de Kevin Finisterre avec la marque, quelques années plus tôt. Ce dernier s’était en effet inquiété de voir un service SSH tourner sur son robot, et avait donc demandé à la marque le mot de passe permettant de s’y connecter pour investiguer le sujet. Il s’était vu opposer une fin de non recevoir.

D’après la transcription publiée dans ce rapport, Mammotion indique avoir pris en compte les remarques des chercheurs et implémenté des « mesures de protection » adaptées. Affirmant travailler avec des institutions externes dédiées à la sécurité, elle a en revanche refusé d’ouvrir un canal technique avec les intéressés qui réclamaient la mise en place d’un processus de divulgation responsable. Elle ne livre par ailleurs aucune réponse sur le fond, mais a tout de même fini par corriger les failles les plus sérieuses. C’est ce constat qui a conduit les trois auteurs à publier leur rapport, daté du 21 août et mis en ligne sur GitHub le 24 août dernier.

Leurs conclusions relèvent d’ailleurs que trois problèmes restent en suspens : un secret codé en dur dans un élément JavaScript public, un processus d’auto-enregistrement de clients avec une adresse de redirection arbitraire ouvrant, par exemple, la voie à des tentatives de phishing, et des sous domaines internes résolus via des DNS publics.

Sur sa page de support, Mammotion s’engage à assurer des mises à jour de sécurité continues pour tous ses produits pendant les cinq ans qui suivent leur mise sur le marché. Contactée par nos soins le 24 août et relancée depuis, l’entreprise n’a pas répondu à nos questions.

Christine de Stephen King, version tondeuse à gazon

Trois chercheurs indépendants en cybersécurité ont découvert 14 failles de sécurité critiques au sein de l’infrastructure qui sous-tend le fonctionnement des robots tondeuses Mammotion. Elles exposaient potentiellement jusqu’à 337 000 comptes utilisateurs, ouvraient l’accès aux infos des réseaux connectés, et permettaient accessoirement la prise de contrôle à distance.

Un gazon sans doute coupé au cordeau, mais une véritable porte ouverte sur le jardin. Trois chercheurs en cybersécurité se sont penchés sur l’application mobile fournie par Mammotion pour le pilotage de ses robots tondeuses.

Ils y ont découvert comment accéder en seulement deux requêtes à un compte admin branché sur l’infrastructure cloud qui en sous tend les fonctions connectées. De là, les failles se sont enchaînées, jusqu’à représenter un total de 14 vulnérabilités, présentées dans un rapport dédié.

Des robots ouverts aux quatre vents

À l’appui de leurs travaux, les trois chercheurs, Sammy Azdoufal (@n0tsa), Andreas Makris (@Bin4ryDigit) et Kevin Finisterre (@d0tslash), ont réalisé une attaque par piratage de compte sur un robot tondeuse détenu en propre. Ils revendiquent une prise de contrôle quasi totale, avec possibilité de piloter le robot à distance et visualiser les images transmises par la caméra.

S’ils affirment ne pas avoir avoir parcouru l’ensemble des services cloud exposés, ils donnent un aperçu de la surface potentielle de l’attaque, estimée à 337 000 comptes utilisateurs énumérables sans authentification, répartis sur quatre serveurs régionaux, dont un serveur EU servant 85 pays, avec une « forte concentration en Allemagne, France et Suède ». Sammy Azdoufal, qui avait déjà mis au jour les failles de sécurité béantes des babyphones et caméras IP Meari et dix CVE dans des produits connectés Aqara, précise à Next qu’environ 49 000 comptes correspondent à des utilisateurs français.

Pour chaque appareil, l’accès découvert donnait selon eux la possibilité d’interroger le robot à distance et d’en faire remonter, sans vérification de propriété, les informations réseau telles que les coordonnées GPS, l’adresse IP sur le réseau local, l’adresse MAC, ou l’IMEI de la connexion mobile, mais aussi le SSID du Wi-Fi domestique, et le numéro IMSI de la carte SIM utilisée pour les communications en cas d’absence de Wi-Fi.

Les chercheurs affirment par ailleurs avoir pu énumérer 46 785 stations RTK dont les clés de chiffrement RSA-2048 étaient récupérables sans vérification de propriété. Ces stations sont un accessoire commercialisé par Mammotion (et d’autres fabricants) pour offrir une référence de positionnement plus précise que celle du GPS et donc améliorer la capacité du robot tondeuse à s’orienter dans le jardin ou respecter les instructions de tonte.

« La flotte RTK européenne de Mammotion fonctionne avec des cartes SIM M2M d’Orange France. Chaque station de base équipée d’un module 4G (IMSI 208012xxxxxxx) transmet des données d’identité cellulaire à tout utilisateur authentifié de l’application », affirment à ce sujet les chercheurs.

Si les données GPS d’un robot individuel suffisent pour localiser son emplacement, les chercheurs suggèrent, sans l’affirmer explicitement, que l’exposition de cette infrastructure de communication mobile ouvrait la voie à des attaques à plus grande échelle.

Une communication assez limitée

La première et peut-être la plus inquiétante découverte tient à la façon dont les chercheurs ont pu accéder au cloud de Mammotion. D’après leur rapport, le fabricant référençait dans son application un endpoint (un point de terminaison pour se connecter à l’infra) lié à son serveur situé en Chine qui retournait, sans authentification ou token préalable, un mot de passe à usage unique (on parle de code OTP, pour One-Time Password), qui en réalité n’expirait pas.

Ce code à usage unique est lié à la récupération en cas de mot de passe oublié. Pour un utilisateur lambda, il faut en principe une demande de réinitialisation pour que ce code soit généré, puis reconnu au niveau du endpoint. « Pour admin@mammotion.com, la situation était différente. L’administrateur n’avait apparemment jamais déclenché sa propre procédure de mot de passe oublié ; son code OTP enregistré n’avait donc ni durée de vie ni renouvellement. Il était juste là », décrivent les trois auteurs, avant de résumer : « Deux requêtes HTTP non authentifiées et vous possédez le compte administrateur Mammotion ».

Le dépôt GitHub créé pour l’occasion liste également les échanges par écrit entre les trois chercheurs et les services techniques de Mammotion. La conversation achoppe principalement sur des questions de forme, peut-être motivées par le passif de Kevin Finisterre avec la marque, quelques années plus tôt. Ce dernier s’était en effet inquiété de voir un service SSH tourner sur son robot, et avait donc demandé à la marque le mot de passe permettant de s’y connecter pour investiguer le sujet. Il s’était vu opposer une fin de non recevoir.

D’après la transcription publiée dans ce rapport, Mammotion indique avoir pris en compte les remarques des chercheurs et implémenté des « mesures de protection » adaptées. Affirmant travailler avec des institutions externes dédiées à la sécurité, elle a en revanche refusé d’ouvrir un canal technique avec les intéressés qui réclamaient la mise en place d’un processus de divulgation responsable. Elle ne livre par ailleurs aucune réponse sur le fond, mais a tout de même fini par corriger les failles les plus sérieuses. C’est ce constat qui a conduit les trois auteurs à publier leur rapport, daté du 21 août et mis en ligne sur GitHub le 24 août dernier.

Leurs conclusions relèvent d’ailleurs que trois problèmes restent en suspens : un secret codé en dur dans un élément JavaScript public, un processus d’auto-enregistrement de clients avec une adresse de redirection arbitraire ouvrant, par exemple, la voie à des tentatives de phishing, et des sous domaines internes résolus via des DNS publics.

Sur sa page de support, Mammotion s’engage à assurer des mises à jour de sécurité continues pour tous ses produits pendant les cinq ans qui suivent leur mise sur le marché. Contactée par nos soins le 24 août et relancée depuis, l’entreprise n’a pas répondu à nos questions.

C'est l'hôpital qui se fout de la sécurité

Il y a un an, un pirate a pu accéder aux données de 524 867 patients et 202 246 tiers de confiance de l’Hôpital privé de Loire via son système de dossier patient informatisé. La CNIL a choisi de sanctionner cet établissement de soin privé car celui-ci a été particulièrement négligent : absence de VPN, de moyen d’authentification multifacteur, mais aussi mot de passe temporaire identique pour l’ensemble des praticiens après la violation de données.

C’est une sanction de 500 000 euros d’amende que la CNIL a infligée ce jeudi 3 septembre à l’Hôpital privé de la Loire, un établissement du groupe Ramsay Santé.

La CNIL n’a pas pour habitude de sanctionner fortement des structures comme les hôpitaux, elle préfère souvent les accompagner dans une démarche de meilleure sécurisation de leurs infrastructures. Mais là, il semble que les manquements de sécurité de cet hôpital aient largement dépassé les bornes de ce que l’autorité peut laisser passer sans sanction concernant la mauvaise protection de données de santé.

Dans sa délibération, la CNIL explique que cet hôpital a été victime d’une violation de données de son dossier patient informatisé (DPI) en juin 2025. L’attaquant s’est connecté au DPI via les identifiants d’un médecin libéral rattaché à la structure.

Entre le 26 juin et le 1er juillet 2025, il a « procédé à l’exfiltration de 524 867 fiches patients contenant des informations telles que l’état civil, le numéro de sécurité sociale, les coordonnées postales et électroniques et le numéro d’identifiant permanent des patients concernés ». Plus de 46 000 de ces fiches étaient aussi associées au recto de la carte d’identité et plus de 202 000 comportaient des données relatives à la personne de confiance désignée par le patient. Enfin, 43 fiches comportaient des données de santé.

Pas de VPN ni d’authentification à 2 facteurs

Dans sa décision, la CNIL souligne « que l’obligation de sécurité prévue par l’article 32 du RGPD est une obligation de moyens ». Or, sa rapporteure « reproche à l’hôpital de ne pas avoir mis en place des mesures appropriées pour sécuriser l’accès au DPI des utilisateurs externes ». En effet, au moment de la violation de données, cet accès s’effectuait grâce à un identifiant et un mot de passe mais « sans connexion préalable à un VPN, ni moyen d’identification électronique à deux facteurs ».

Un référentiel de sécurité relatif à l’identification électronique des utilisateurs des services numériques en santé existe pourtant depuis la publication d’un arrêté le 28 mars 2022. Et celui-ci demande bien expressément de mettre en place ces dispositifs pour sécuriser les connexions extérieures.

La rapporteure souligne que, justement, l’attaquant a exploité cette vulnérabilité pour accéder au dossier patient informatisé de l’hôpital et extraire les données qu’il contenait.

Pas de surveillance automatique des logs

Autre reproche : l’hôpital n’avait pris aucune mesure d’analyse automatisée des journaux d’évènements permettant de repérer des activités inhabituelles sur le DPI. En effet, si la structure hospitalière avait mis en place un centre des opérations de sécurité (SOC), un système de supervision et un système de journalisation avec enregistrement des traces applicatives, elle n’avait pas activé l’analyse automatique en temps réel des traces applicatives du DPI.

« Cette carence de surveillance a permis à l’attaquant d’effectuer un nombre extrêmement élevé de requêtes au sein du DPI de l’hôpital pendant près d’une semaine », souligne la rapporteure. La CNIL montre d’ailleurs, après analyse des logs, que l’activité de l’attaquant aurait sans doute été détectée par un système automatisé : pendant la phase d’extraction automatique mise en place par l’attaquant, son système consultait une moyenne de 73 fiches de patients par minute.

Un mot de passe temporaire pour tous

Et ce n’est pas tout. La CNIL pointe une mauvaise pratique mise en place par l’hôpital pour atténuer les effets de l’attaque. En effet, celui-ci a enclenché une procédure de réinitialisation des mots de passe. Mais celle-ci était pour le moins problématique : elle a consisté « à attribuer un mot de passe temporaire identique à l’ensemble des praticiens, qui de surcroit ne leur a pas été transmis directement, mais a été communiqué au président de la commission médicale d’établissement, à charge pour lui de le leur retransmettre ». L’hôpital a reconnu le problème mais a insisté sur le caractère d’urgence de cette mesure.

Précisons quand même que ce mot de passe temporaire n’était valable « que » pendant une semaine. Mais la CNIL rappelle que, même temporaire, les mots de passe « doivent être confidentiels et personnels à chaque utilisateur ». L’autorité remarque que l’hôpital « a au demeurant fourni à l’ensemble des utilisateurs les moyens de se connecter à des comptes de tiers, dès lors que tous avaient durant plusieurs jours le même mot de passe, et d’accéder ainsi à toutes les données à caractère personnel auxquels ces tiers pouvaient accéder ».

La rapporteure de la CNIL reproche encore à l’hôpital d’avoir laissé à la société éditrice du logiciel de gestion de son DPI un accès permanent aux données à caractère personnel des patients. Si l’hôpital a tenté de mettre en avant le besoin de cet accès pour un support rapide et efficace, l’autorité considère que l’accès permanent et sans contrôle au DPI de l’hôpital et aux données des patients « n’est pas nécessaire au regard de la mission d’assistance technique et de maintenance de la société éditrice du logiciel ». Elle ajoute même qu’au contraire, « les salariés de l’éditeur du logiciel auraient dû systématiquement solliciter l’autorisation préalable de l’hôpital » pour effectuer une opération de maintenance.

Enfin, l’hôpital se voit reprocher sa mauvaise communication envers les personnes concernées. En effet, si son effort pour contacter ses patients n’est pas remis en cause, la CNIL considère qu’il aurait dû contacter les 202 246 personnes concernées désignées comme tiers de confiance par des patients de l’hôpital.

Outre l’amende de 500 000 euros prononcée par la CNIL, l’autorité enjoint l’Hôpital privé de la Loire de mettre en conformité ses outils de sécurité et à n’ouvrir l’accès de l’éditeur du logiciel Expert Santé au DPI que sur autorisation préalable de l’hôpital sous menace de peines de jours-amende. Comme dans pareille décision de la CNIL, l’Hôpital privé de la Loire peut faire un recours devant le Conseil d’État dans un délai de deux mois.

C'est l'hôpital qui se fout de la sécurité

Il y a un an, un pirate a pu accéder aux données de 524 867 patients et 202 246 tiers de confiance de l’Hôpital privé de Loire via son système de dossier patient informatisé. La CNIL a choisi de sanctionner cet établissement de soin privé car celui-ci a été particulièrement négligent : absence de VPN, de moyen d’authentification multifacteur, mais aussi mot de passe temporaire identique pour l’ensemble des praticiens après la violation de données.

C’est une sanction de 500 000 euros d’amende que la CNIL a infligée ce jeudi 3 septembre à l’Hôpital privé de la Loire, un établissement du groupe Ramsay Santé.

La CNIL n’a pas pour habitude de sanctionner fortement des structures comme les hôpitaux, elle préfère souvent les accompagner dans une démarche de meilleure sécurisation de leurs infrastructures. Mais là, il semble que les manquements de sécurité de cet hôpital aient largement dépassé les bornes de ce que l’autorité peut laisser passer sans sanction concernant la mauvaise protection de données de santé.

Dans sa délibération, la CNIL explique que cet hôpital a été victime d’une violation de données de son dossier patient informatisé (DPI) en juin 2025. L’attaquant s’est connecté au DPI via les identifiants d’un médecin libéral rattaché à la structure.

Entre le 26 juin et le 1er juillet 2025, il a « procédé à l’exfiltration de 524 867 fiches patients contenant des informations telles que l’état civil, le numéro de sécurité sociale, les coordonnées postales et électroniques et le numéro d’identifiant permanent des patients concernés ». Plus de 46 000 de ces fiches étaient aussi associées au recto de la carte d’identité et plus de 202 000 comportaient des données relatives à la personne de confiance désignée par le patient. Enfin, 43 fiches comportaient des données de santé.

Pas de VPN ni d’authentification à 2 facteurs

Dans sa décision, la CNIL souligne « que l’obligation de sécurité prévue par l’article 32 du RGPD est une obligation de moyens ». Or, sa rapporteure « reproche à l’hôpital de ne pas avoir mis en place des mesures appropriées pour sécuriser l’accès au DPI des utilisateurs externes ». En effet, au moment de la violation de données, cet accès s’effectuait grâce à un identifiant et un mot de passe mais « sans connexion préalable à un VPN, ni moyen d’identification électronique à deux facteurs ».

Un référentiel de sécurité relatif à l’identification électronique des utilisateurs des services numériques en santé existe pourtant depuis la publication d’un arrêté le 28 mars 2022. Et celui-ci demande bien expressément de mettre en place ces dispositifs pour sécuriser les connexions extérieures.

La rapporteure souligne que, justement, l’attaquant a exploité cette vulnérabilité pour accéder au dossier patient informatisé de l’hôpital et extraire les données qu’il contenait.

Pas de surveillance automatique des logs

Autre reproche : l’hôpital n’avait pris aucune mesure d’analyse automatisée des journaux d’évènements permettant de repérer des activités inhabituelles sur le DPI. En effet, si la structure hospitalière avait mis en place un centre des opérations de sécurité (SOC), un système de supervision et un système de journalisation avec enregistrement des traces applicatives, elle n’avait pas activé l’analyse automatique en temps réel des traces applicatives du DPI.

« Cette carence de surveillance a permis à l’attaquant d’effectuer un nombre extrêmement élevé de requêtes au sein du DPI de l’hôpital pendant près d’une semaine », souligne la rapporteure. La CNIL montre d’ailleurs, après analyse des logs, que l’activité de l’attaquant aurait sans doute été détectée par un système automatisé : pendant la phase d’extraction automatique mise en place par l’attaquant, son système consultait une moyenne de 73 fiches de patients par minute.

Un mot de passe temporaire pour tous

Et ce n’est pas tout. La CNIL pointe une mauvaise pratique mise en place par l’hôpital pour atténuer les effets de l’attaque. En effet, celui-ci a enclenché une procédure de réinitialisation des mots de passe. Mais celle-ci était pour le moins problématique : elle a consisté « à attribuer un mot de passe temporaire identique à l’ensemble des praticiens, qui de surcroit ne leur a pas été transmis directement, mais a été communiqué au président de la commission médicale d’établissement, à charge pour lui de le leur retransmettre ». L’hôpital a reconnu le problème mais a insisté sur le caractère d’urgence de cette mesure.

Précisons quand même que ce mot de passe temporaire n’était valable « que » pendant une semaine. Mais la CNIL rappelle que, même temporaire, les mots de passe « doivent être confidentiels et personnels à chaque utilisateur ». L’autorité remarque que l’hôpital « a au demeurant fourni à l’ensemble des utilisateurs les moyens de se connecter à des comptes de tiers, dès lors que tous avaient durant plusieurs jours le même mot de passe, et d’accéder ainsi à toutes les données à caractère personnel auxquels ces tiers pouvaient accéder ».

La rapporteure de la CNIL reproche encore à l’hôpital d’avoir laissé à la société éditrice du logiciel de gestion de son DPI un accès permanent aux données à caractère personnel des patients. Si l’hôpital a tenté de mettre en avant le besoin de cet accès pour un support rapide et efficace, l’autorité considère que l’accès permanent et sans contrôle au DPI de l’hôpital et aux données des patients « n’est pas nécessaire au regard de la mission d’assistance technique et de maintenance de la société éditrice du logiciel ». Elle ajoute même qu’au contraire, « les salariés de l’éditeur du logiciel auraient dû systématiquement solliciter l’autorisation préalable de l’hôpital » pour effectuer une opération de maintenance.

Enfin, l’hôpital se voit reprocher sa mauvaise communication envers les personnes concernées. En effet, si son effort pour contacter ses patients n’est pas remis en cause, la CNIL considère qu’il aurait dû contacter les 202 246 personnes concernées désignées comme tiers de confiance par des patients de l’hôpital.

Outre l’amende de 500 000 euros prononcée par la CNIL, l’autorité enjoint l’Hôpital privé de la Loire de mettre en conformité ses outils de sécurité et à n’ouvrir l’accès de l’éditeur du logiciel Expert Santé au DPI que sur autorisation préalable de l’hôpital sous menace de peines de jours-amende. Comme dans pareille décision de la CNIL, l’Hôpital privé de la Loire peut faire un recours devant le Conseil d’État dans un délai de deux mois.

La transparence des salaires oui, mais pas à ce point !

Il y a toute une panoplie de types de fuites de données. Celle du jour n’était pas directement accessible depuis Internet, mais des « milliers de salariés » d’Orano pouvaient consulter les données RH et salariales très détaillées de leurs collègues. Elles étaient librement accessibles sur un serveur partagé sur son réseau interne. « Près de 4 700 collaborateurs » sont concernés, nous confirme l’entreprise.

Dans un message interne envoyé par la direction de BU Recyclage et que nous avons pu consulter, Orano reconnait que « des dossiers de travail numériques relatifs à la rémunération et aux avantages sociaux avaient été rendus accessibles en interne au-delà des personnes autorisées sur un serveur informatique partagé d’Orano Recyclage ».

« L’ensemble des salariés des activités Recyclage d’Orano » sont concernés

Contacté par Next, Orano confirme et nous précise que « les données concernaient l’ensemble des salariés des activités Recyclage d’Orano, soit près de 4 700 collaborateurs ». Les accès au répertoire partagé ont évidemment été bloqués « dès que cette situation a été portée à notre connaissance ». La société ajoute que, « par mesure de précaution, tous les serveurs RH ont été déconnecté. Leur accès est fermé et toutes les restrictions d’accès font actuellement l’objet d’une analyse approfondie ».

Comme toujours en pareille situation, nous avons droit au chapelet habituel sur le sérieux des procédures et le renforcement de la sécurité : « Nous avons toujours eu à cœur de mettre en place des process et procédures destinés à garantir la meilleure protection des données personnelles. À ce titre, les données hébergées sur ce serveur sont protégées par des règles de stricte confidentialité et de limitation d’accès. Ces règles ont d’ailleurs été renforcées à la suite d’une alerte en décembre 2025 ».

La direction en profite pour mettre en garde ses employés dans son courrier aux employés : « la copie, la diffusion, la conservation et/ou l’exploitation de ces informations par un salarié sans y être expressément autorisé constitue un traitement illicite puni par la loi. Les éventuelles copies qui auraient pu être faites doivent donc être immédiatement détruites ». Une autre manière de lire cette mise en garde : Orano reconnait donc que les documents n’auraient jamais dû être accessibles si largement.

Salaires, performances, retours de congé maternité…

Depuis quelques jours, une manipulation circule sur les réseaux sociaux : elle permettrait d'accéder à toute la galerie photo d'un téléphone Android via WhatsApp, sans même connaître le code de verrouillage. Nous l'avons testée, elle fonctionne.

Tous dans la même passoire

L’ancien journaliste spécialisé dans la cybersécurité Bryan Krebs raconte comment il a découvert un service illégal donnant accès à la bagatelle de 153 millions de permis de conduire enregistrés aux États-Unis et au Canada. Ses recherches indiquent que les données semblent avoir été extraites depuis les systèmes d’un prestataire spécialisé dans la vérification d’identité. Le FBI a lancé une enquête.

N’en déplaise aux Cassandre, voilà une découverte qui rappelle que la problématique des fuites de données n’est pas exclusive à la France. Bryan Krebs, ancien journaliste reconverti dans le conseil en cybersécurité, vient ainsi de raconter comment il a découvert la mise à disposition, via un outil dédié baptisé Nexus, d’un jeu de données revendiquant quelque 170 millions de documents d’identité provenant des États-Unis et du Canada. L’outil était mis à disposition au travers d’un forum russe dédié à la revente de données, et semble avoir été placé hors ligne suite à la divulgation de son existence.

Un guichet ouvert sur 153 millions de permis de conduire

Krebs explique avoir été alerté lundi 31 août par une source qui, pour faire bonne mesure, lui a transmis une capture d’écran des informations relatives à son propre permis de conduire. Dans la foulée, il accède à l’outil. D’après les résultats de recherche retournés par ce dernier, la base de données afférente listait donc 153 millions de permis de conduire, mais aussi 10 millions de cartes d’identité, près de 2 millions de documents de voyage, et près de 600 000 cartes médicales.

Le chercheur remarque, au fil de ses investigations, que les compteurs ne cessent de s’incrémenter, ce qui laisse supposer une base alimentée en continu, et donc une source de données qui ne s’est pas tarie. Il affirme ainsi avoir constaté l’ajout de 400 000 nouveaux permis de conduire sur une fenêtre de 24 heures.

Une dynamique confirmée par les auteurs de l’outil. Sur l’annonce qui présente leurs services, ils affirment ainsi : « Depuis plus d’un an, nous enrichissons continuellement notre base de données privée avec de nouvelles données », selon les propos rapportés par Krebs.

D’où viennent les données en question ? L’ancien journaliste indique avoir sollicité douze de ses contacts en leur demandant l’autorisation de vérifier si leurs documents figuraient dans la base. La recherche a retourné des résultats positifs pour neuf d’entre eux.

Après recoupements, Bryan Krebs associe la présence de leurs documents à des voyages récents, et notamment à des locations de voiture chez Hertz, mais pas uniquement. C’est le cas par exemple d’un autre chercheur en cybersécurité alerté par ses soins, selon qui les captures visibles via Nexus et l’horodatage associé correspondent à une location de voiture lors de vacances récentes. Zach Edwards, un autre chercheur en cybersécurité sur lequel Krebs a mené une recherche fructueuse, indique n’avoir fourni son permis de conduire qu’à l’enregistrement dans un hôtel de Las Vegas et à l’entrée d’un dispensaire de cannabis à l’occasion d’un déplacement à la Defcon.

Identifier le single point of failure

De fil en aiguille, Bryan Krebs trouve le point commun aux différents services concernés : un prestataire états-unien spécialisé dans la vérification d’identité, IDScan, qui se présente comme le leader dans la lutte contre la fraude aux fausses pièces d’identité, et revendique une longue liste de clients, dont Hertz et la chaîne de dispensaires concernée, mais aussi FedEx, plusieurs constructeurs automobiles, Shell et sans doute d’autres acteurs du monde du transport dont le nom reste confidentiel. Contactée par ses soins, l’entreprise n’a pour l’instant pas commenté ou confirmé la possibilité d’une fuite de données.

Le sujet a, quoi qu’il en soit, très vite attiré l’attention du FBI. Bryan Krebs raconte avoir été ajouté à une conférence téléphonique avec plusieurs agents spécialisés dans la cybercriminalité du Bureau. « Ils ont probablement été mis au courant lorsque j’ai révélé à une source fiable que Nexus vendait également les informations relatives au permis de conduire du directeur adjoint du FBI (je n’ai pas trouvé le permis de conduire du directeur du FBI, Kash Patel, sur Nexus) », glisse-t-il.

Reste à voir quelle sera la réponse apportée par ID Scan, et sous quel délai l’accès temps réel aux données sera coupé ? Un commentaire laissé sous le billet de Krebs laisse entendre que l’entreprise a commencé à alerter ses clients entreprise mercredi 2 septembre, sans qu’il soit possible à ce stade de vérifier la légitimité du message.

• Cannabis clubs et coffee shops : 1 million de pièces d’identité exposées sur Internet

Tous dans la même passoire

L’ancien journaliste spécialisé dans la cybersécurité Bryan Krebs raconte comment il a découvert un service illégal donnant accès à la bagatelle de 153 millions de permis de conduire enregistrés aux États-Unis et au Canada. Ses recherches indiquent que les données semblent avoir été extraites depuis les systèmes d’un prestataire spécialisé dans la vérification d’identité. Le FBI a lancé une enquête.

N’en déplaise aux Cassandre, voilà une découverte qui rappelle que la problématique des fuites de données n’est pas exclusive à la France. Bryan Krebs, ancien journaliste reconverti dans le conseil en cybersécurité, vient ainsi de raconter comment il a découvert la mise à disposition, via un outil dédié baptisé Nexus, d’un jeu de données revendiquant quelque 170 millions de documents d’identité provenant des États-Unis et du Canada. L’outil était mis à disposition au travers d’un forum russe dédié à la revente de données, et semble avoir été placé hors ligne suite à la divulgation de son existence.

Un guichet ouvert sur 153 millions de permis de conduire

Krebs explique avoir été alerté lundi 31 août par une source qui, pour faire bonne mesure, lui a transmis une capture d’écran des informations relatives à son propre permis de conduire. Dans la foulée, il accède à l’outil. D’après les résultats de recherche retournés par ce dernier, la base de données afférente listait donc 153 millions de permis de conduire, mais aussi 10 millions de cartes d’identité, près de 2 millions de documents de voyage, et près de 600 000 cartes médicales.

Le chercheur remarque, au fil de ses investigations, que les compteurs ne cessent de s’incrémenter, ce qui laisse supposer une base alimentée en continu, et donc une source de données qui ne s’est pas tarie. Il affirme ainsi avoir constaté l’ajout de 400 000 nouveaux permis de conduire sur une fenêtre de 24 heures.

Une dynamique confirmée par les auteurs de l’outil. Sur l’annonce qui présente leurs services, ils affirment ainsi : « Depuis plus d’un an, nous enrichissons continuellement notre base de données privée avec de nouvelles données », selon les propos rapportés par Krebs.

D’où viennent les données en question ? L’ancien journaliste indique avoir sollicité douze de ses contacts en leur demandant l’autorisation de vérifier si leurs documents figuraient dans la base. La recherche a retourné des résultats positifs pour neuf d’entre eux.

Après recoupements, Bryan Krebs associe la présence de leurs documents à des voyages récents, et notamment à des locations de voiture chez Hertz, mais pas uniquement. C’est le cas par exemple d’un autre chercheur en cybersécurité alerté par ses soins, selon qui les captures visibles via Nexus et l’horodatage associé correspondent à une location de voiture lors de vacances récentes. Zach Edwards, un autre chercheur en cybersécurité sur lequel Krebs a mené une recherche fructueuse, indique n’avoir fourni son permis de conduire qu’à l’enregistrement dans un hôtel de Las Vegas et à l’entrée d’un dispensaire de cannabis à l’occasion d’un déplacement à la Defcon.

Identifier le single point of failure

De fil en aiguille, Bryan Krebs trouve le point commun aux différents services concernés : un prestataire états-unien spécialisé dans la vérification d’identité, IDScan, qui se présente comme le leader dans la lutte contre la fraude aux fausses pièces d’identité, et revendique une longue liste de clients, dont Hertz et la chaîne de dispensaires concernée, mais aussi FedEx, plusieurs constructeurs automobiles, Shell et sans doute d’autres acteurs du monde du transport dont le nom reste confidentiel. Contactée par ses soins, l’entreprise n’a pour l’instant pas commenté ou confirmé la possibilité d’une fuite de données.

Le sujet a, quoi qu’il en soit, très vite attiré l’attention du FBI. Bryan Krebs raconte avoir été ajouté à une conférence téléphonique avec plusieurs agents spécialisés dans la cybercriminalité du Bureau. « Ils ont probablement été mis au courant lorsque j’ai révélé à une source fiable que Nexus vendait également les informations relatives au permis de conduire du directeur adjoint du FBI (je n’ai pas trouvé le permis de conduire du directeur du FBI, Kash Patel, sur Nexus) », glisse-t-il.

Reste à voir quelle sera la réponse apportée par ID Scan, et sous quel délai l’accès temps réel aux données sera coupé ? Un commentaire laissé sous le billet de Krebs laisse entendre que l’entreprise a commencé à alerter ses clients entreprise mercredi 2 septembre, sans qu’il soit possible à ce stade de vérifier la légitimité du message.

• Cannabis clubs et coffee shops : 1 million de pièces d’identité exposées sur Internet

Deux pas en avant, un gros pas en arrière

Le système d’exploitation mobile GrapheneOS, connu pour ses positions franches sur la sécurité, fera très probablement l’impasse sur les Pixel 11. La faute, selon les développeurs, à un choix inopportun de Google : l’absence de prise en charge de la Memory Tagging Extension, une fonction de sécurité utilisée abondamment dans le système.

Le 29 août, la fondation GrapheneOS a annoncé sur X, Bluesky et Mastodon qu’elle avait en sa possession un portage partiel de son système sur les Pixel 11 de Google, les derniers smartphones de l’entreprise. La fondation explique que ce portage a été réalisé en une semaine, mais le travail s’était arrêté. Les développeurs ont indiqué être bloqués, faute de support de la Memory Tagging Extension, ou MTE.

Celle-ci est une fonction de marquage de la mémoire proposée par le jeu d’instructions ARM. Elle associe une étiquette aléatoire à chaque zone de mémoire allouée. Si un accès mémoire présente une étiquette qui ne correspond pas, le système détecte une violation. Dans ce cas, selon les choix faits dans le système, le processus est immédiatement interrompu. Cette fonction est utilisée pour bloquer les éventuelles attaques dirigées contre la mémoire, dans l’idée de renforcer l’intégrité du système.

Le cas des Pixel 11

Dans le cas de GrapheneOS, le système s’appuie lourdement sur la MTE. Une position très différente de Google. La firme a intégré la fonction dès la puce Tensor G3 du Pixel en octobre 2023, mais elle s’en sert peu. Sur les Pixel, la MTE n’est en effet utilisée que dans les fonctions de « protection avancée », optionnelles. Il s’agit pour rappel du fameux mode conseillé à certains profils spécifiques (activistes, personnalités politiques, journalistes, etc.) qui élève le niveau général de sécurité en réduisant la surface d’attaque, au prix de certaines fonctions. Ce mode est apparu dans Android 16 en réponse à Apple, qui avait dégainé la première dans ce domaine.

Dans GrapheneOS, l’emploi de la MTE est systémique, aussi bien dans le noyau que dans les processus. Apple possède ici aussi un équivalent, baptisé Memory Integrity Enforcement (MIE), mais l’ajout est plus récent (iPhone 17 et Mac équipés d’une puce M5 au moins). La fondation indique à ce sujet que le MIE d’Apple est une « implémentation de haute qualité de MTE », même si elle n’est pas utilisée par défaut par les applications installées par l’utilisateur, à moins qu’elles aient opté spécifiquement pour cette protection.

Le choix de Google interroge, d’autant que l’entreprise ne s’est pas exprimée publiquement sur le sujet. Les Pixel 11 ont pourtant plusieurs arguments sur la sécurité, dont la puce Titan M3 pour améliorer la protection contre l’extraction de données à l’état verrouillé avant premier déverrouillage. On y trouve aussi une vérification post-quantique du démarrage (basée sur ML-DSA) ou encore un remplacement du sous-système IMS Samsung Shannon par une implémentation AOSP (Android Open Source Project).

Plus d'une centaine d'entreprises tech, dont les principaux laboratoires d'IA, viennent de publier une lettre ouverte appelant à une mobilisation mondiale contre les cyberattaques assistées par IA. Une démarche qui tient autant de l'alerte que de l'auto-diagnostic.

Industrialisation massive

Les États-Unis ont annoncé avoir démantelé plusieurs plateformes d’un groupe de pirates qu’ils associent à la Chine. Ces outils ont permis au groupe QTFY d’obfusquer ses attaques contre plusieurs agences fédérales états-uniennes comme la NASA, la Réserve fédérale et même des ministères.

« Parmi les victimes des intrusions informatiques perpétrées par le groupe QTFY figurent l’Agence spatiale américaine (NASA), la Réserve fédérale, le département de l’Énergie, le département de la Justice, le département de la Santé et des Services sociaux, les Instituts nationaux de la santé (NIH) et le Sénat américain », a annoncé tout simplement le département de la Justice (DoJ) des États-Unis dans un communiqué.

Celui-ci qualifie sans détour QTFY comme un groupe de pirates financé par l’État chinois et précise même qu’ils sont employés par l’entreprise Nanjing Xinjiuwei Network Technology basée en Chine.

• Les États-Unis bannissent les nouveaux routeurs fabriqués à l’étranger

Des attaques remontant jusqu’en 2018

QTFY avait mis en place une infrastructure permettant de découvrir plus facilement des cibles et de se dissimuler derrière un réseau ORB (Operational Relay Box) pour opérer des attaques. Dans un document [PDF], le FBI et la NSA listent plusieurs activités de QTFY qu’ils ont pu détecter dans cette enquête.

Les deux agences remontent jusqu’à mai 2018 avec un audit de vulnérabilité au sein du département américain de l’Énergie et une « tentative infructueuse d’accès au réseau ». Mais d’autres événements semblent plus problématiques. Ainsi, elles recensent l’exploitation d’une vulnérabilité sur le VPN Pulse Secure du département de la Justice, de la Réserve fédérale et de la NASA en aout 2019.

Les outils de QTFY ont aussi permis l’utilisation, en septembre 2024, de failles zero-day dans l’Appliance Cloud Services de trois laboratoires du département de l’Énergie, du National Institute of Health (NIH) et de la Health Resources and Services Administration, ainsi que d’ « un fabricant américain de dispositifs de sécurité ». Ce dernier n’est pas nommé, mais Ivanti avait émis des bulletins correspondant aux failles exploitées en ce même mois de septembre 2024. Et les attaques ont continué jusqu’en 2026 où les outils de QTFY ont été utilisés pour scanner les systèmes des élections des États-Unis, sans succès selon les deux agences.

Les autorités états-uniennes ont collaboré sur le sujet avec Black Lotus, le laboratoire de cybersécurité de Lumen Technologies. Celui-ci a publié une longue analyse des outils mis en place par QTFY.

Des outils d’automatisation de la création de réseaux d’appareils piratés

Black Lotus explique que QTFY utilisait notamment quatre outils nommés QScan, Fast Labyrinth, QTRouter et QTProxy. Les deux plus importants sont QTrouter et Qscan.

Le premier sert de réseau d’obfuscation et permet donc de masquer l’origine d’une attaque. Black Lotus explique que QTFY a industrialisé la création de réseaux ORB (Operational Relay Box). Les ORB sont semblables à des réseaux de robots (botnets) sauf qu’ils sont décentralisés et ont des couches d’obfuscation plus efficaces. Cette industrialisation, QTFY l’a mise en place en « en exploitant une faille structurelle unique dans les architectures commerciales de contournement d’Internet : l’écosystème réseau chinois « Airport » ».

Selon Black Lotus, ces outils existant seulement en Chine y sont utilisés pour contourner le fameux « Great Firewall ». QTFY les utilise pour avoir une masse de machines de départ importante pour ses réseaux ORB.

Le second outil, Qscan, permet automatiquement de rechercher des appareils IoT cibles partout sur Internet, de les analyser, de les infecter et enfin de les ajouter au réseau de QTrouter.

Comme l’explique le document du FBI et de la NSA, « cela permet aux acteurs affiliés à QTFY de se fondre parmi les utilisateurs légitimes lorsqu’ils ciblent des organisations victimes ». Ce document ajoute que le réseau de QTrouter est composé de routeurs utilisant le logiciel OpenWRT modifié et s’authentifiant auprès de serveurs d’administration pointés par les URL « www.qtproxy[.]xyz » et « securelink.qtproxy[.]xyz ». « Les nœuds de QTRouter comprennent des adresses IP de services de proxy commerciaux (notamment un service de proxy appelé Fastlink), des adresses IP d’Alibaba Cloud et des appareils IoT compromis », ajoutent les deux agences de renseignement.

Elles ajoutent que QTFY a développé et maintenu, avec ces outils, au moins trois plateformes de gestion de botnets et d’appareils IoT corrompus.

La Chine s’offusque des accusations

Interrogée par Reuters, l’ambassade de Chine à Washington a affirmé ne pas être au courant des détails mentionnés dans la déclaration du ministère américain de la Justice et a ajouté que « le gouvernement chinois s’oppose fermement à toutes les formes de cyberattaques et les combat conformément à la loi ».

« Les États-Unis se servent des questions de cybersécurité pour “diffamer ou discréditer la Chine” », a-t-elle ajouté. L’ambassade a affirmé enfin que la Chine « s’oppose à ce que les États-Unis étendent à outrance la notion de sécurité nationale et s’en servent comme prétexte pour imposer des restrictions discriminatoires aux entreprises chinoises, et qu’elle défendra fermement les droits et intérêts légitimes de ces dernières ».

L’entreprise chinoise mise en cause par les autorités américaines, Nanjing Xinjiuwei Network Technology, n’a pas répondu aux demandes de l’agence de presse britannique.

Industrialisation massive

Les États-Unis ont annoncé avoir démantelé plusieurs plateformes d’un groupe de pirates qu’ils associent à la Chine. Ces outils ont permis au groupe QTFY d’obfusquer ses attaques contre plusieurs agences fédérales états-uniennes comme la NASA, la Réserve fédérale et même des ministères.

« Parmi les victimes des intrusions informatiques perpétrées par le groupe QTFY figurent l’Agence spatiale américaine (NASA), la Réserve fédérale, le département de l’Énergie, le département de la Justice, le département de la Santé et des Services sociaux, les Instituts nationaux de la santé (NIH) et le Sénat américain », a annoncé tout simplement le département de la Justice (DoJ) des États-Unis dans un communiqué.

Celui-ci qualifie sans détour QTFY comme un groupe de pirates financé par l’État chinois et précise même qu’ils sont employés par l’entreprise Nanjing Xinjiuwei Network Technology basée en Chine.

• Les États-Unis bannissent les nouveaux routeurs fabriqués à l’étranger

Des attaques remontant jusqu’en 2018

QTFY avait mis en place une infrastructure permettant de découvrir plus facilement des cibles et de se dissimuler derrière un réseau ORB (Operational Relay Box) pour opérer des attaques. Dans un document [PDF], le FBI et la NSA listent plusieurs activités de QTFY qu’ils ont pu détecter dans cette enquête.

Les deux agences remontent jusqu’à mai 2018 avec un audit de vulnérabilité au sein du département américain de l’Énergie et une « tentative infructueuse d’accès au réseau ». Mais d’autres événements semblent plus problématiques. Ainsi, elles recensent l’exploitation d’une vulnérabilité sur le VPN Pulse Secure du département de la Justice, de la Réserve fédérale et de la NASA en aout 2019.

Les outils de QTFY ont aussi permis l’utilisation, en septembre 2024, de failles zero-day dans l’Appliance Cloud Services de trois laboratoires du département de l’Énergie, du National Institute of Health (NIH) et de la Health Resources and Services Administration, ainsi que d’ « un fabricant américain de dispositifs de sécurité ». Ce dernier n’est pas nommé, mais Ivanti avait émis des bulletins correspondant aux failles exploitées en ce même mois de septembre 2024. Et les attaques ont continué jusqu’en 2026 où les outils de QTFY ont été utilisés pour scanner les systèmes des élections des États-Unis, sans succès selon les deux agences.

Les autorités états-uniennes ont collaboré sur le sujet avec Black Lotus, le laboratoire de cybersécurité de Lumen Technologies. Celui-ci a publié une longue analyse des outils mis en place par QTFY.

Des outils d’automatisation de la création de réseaux d’appareils piratés

Black Lotus explique que QTFY utilisait notamment quatre outils nommés QScan, Fast Labyrinth, QTRouter et QTProxy. Les deux plus importants sont QTrouter et Qscan.

Le premier sert de réseau d’obfuscation et permet donc de masquer l’origine d’une attaque. Black Lotus explique que QTFY a industrialisé la création de réseaux ORB (Operational Relay Box). Les ORB sont semblables à des réseaux de robots (botnets) sauf qu’ils sont décentralisés et ont des couches d’obfuscation plus efficaces. Cette industrialisation, QTFY l’a mise en place en « en exploitant une faille structurelle unique dans les architectures commerciales de contournement d’Internet : l’écosystème réseau chinois « Airport » ».

Selon Black Lotus, ces outils existant seulement en Chine y sont utilisés pour contourner le fameux « Great Firewall ». QTFY les utilise pour avoir une masse de machines de départ importante pour ses réseaux ORB.

Le second outil, Qscan, permet automatiquement de rechercher des appareils IoT cibles partout sur Internet, de les analyser, de les infecter et enfin de les ajouter au réseau de QTrouter.

Comme l’explique le document du FBI et de la NSA, « cela permet aux acteurs affiliés à QTFY de se fondre parmi les utilisateurs légitimes lorsqu’ils ciblent des organisations victimes ». Ce document ajoute que le réseau de QTrouter est composé de routeurs utilisant le logiciel OpenWRT modifié et s’authentifiant auprès de serveurs d’administration pointés par les URL « www.qtproxy[.]xyz » et « securelink.qtproxy[.]xyz ». « Les nœuds de QTRouter comprennent des adresses IP de services de proxy commerciaux (notamment un service de proxy appelé Fastlink), des adresses IP d’Alibaba Cloud et des appareils IoT compromis », ajoutent les deux agences de renseignement.

Elles ajoutent que QTFY a développé et maintenu, avec ces outils, au moins trois plateformes de gestion de botnets et d’appareils IoT corrompus.

La Chine s’offusque des accusations

Interrogée par Reuters, l’ambassade de Chine à Washington a affirmé ne pas être au courant des détails mentionnés dans la déclaration du ministère américain de la Justice et a ajouté que « le gouvernement chinois s’oppose fermement à toutes les formes de cyberattaques et les combat conformément à la loi ».

« Les États-Unis se servent des questions de cybersécurité pour “diffamer ou discréditer la Chine” », a-t-elle ajouté. L’ambassade a affirmé enfin que la Chine « s’oppose à ce que les États-Unis étendent à outrance la notion de sécurité nationale et s’en servent comme prétexte pour imposer des restrictions discriminatoires aux entreprises chinoises, et qu’elle défendra fermement les droits et intérêts légitimes de ces dernières ».

L’entreprise chinoise mise en cause par les autorités américaines, Nanjing Xinjiuwei Network Technology, n’a pas répondu aux demandes de l’agence de presse britannique.

Ça sonne, le chiffrement est à la porte

Ring veut renforcer la confidentialité de ses sonnettes et caméras connectées, sans sacrifier pour autant toutes ses fonctions de traitement infonuagique des images. La filiale d’Amazon va déployer TAKE, un nouveau chiffrement par défaut qui limite l’accès de ses serveurs aux clés vidéo. Un exercice d’équilibriste délicat pour une entreprise régulièrement sous le feu des critiques sur le terrain de la vie privée.

Les utilisateurs des sonnettes Ring auront très bientôt le choix entre le chiffrement de bout en bout (E2EE) pour leurs vidéos et un chiffrement moins radical mais plus sécurisé que le modèle par défaut qui existe aujourd’hui. TAKE, pour « Throw Away the Key Encryption », sera le chiffrement par défaut pour tous les clients Ring dans le monde. Le déploiement débutera en septembre.

Un cloud qui verrouille

Actuellement, Ring procède au chiffrement des vidéos au repos et en transit : les données sont protégées contre l’interception réseau et l’accès direct au stockage, mais ce n’est pas au niveau du chiffrement de bout en bout. Ring peut ainsi toujours disposer des clés de déchiffrement pour le traitement de certaines vidéos.

Depuis 2021, la filiale d’Amazon propose également, en option, le chiffrement E2EE. Dans ce cas, Ring ne peut pas accéder aux vidéos captées par les sonnettes et stockées sur ses serveurs ; seul l’utilisateur est en mesure de consulter ces vidéos. C’est une protection à double tour qui a l’inconvénient de bloquer des fonctions comme la recherche vidéo et leur description, l’accès vidéo sur le site web de Ring, la chronologie des événements, la fonction de visages familiers, ou encore le partage des appareils avec d’autres utilisateurs.

Ring tente donc un entre-deux avec TAKE. Comme avec le chiffrement E2EE, les vidéos sont chiffrées avec des clés qui changent régulièrement ; la grosse différence ici, c’est que Ring conserve temporairement une copie des clés, déverrouillée et gérée dans une enclave sécurisée (AWS Nitro Enclaves). L’accès à ces clés n’est possible que lorsque l’utilisateur a besoin de telle ou telle fonction. Après leur utilisation, la copie des clés est détruite au bout de 24 heures (« Throw Away the Key Encryption », donc).

Quand un traitement cloud est nécessaire sur une ancienne vidéo, l’app Ring peut renvoyer temporairement les clés au service en ligne, uniquement sur ordre de l’utilisateur. Ring ne peut pas récupérer ces clés de sa propre initiative. Amazon tente une analogie pour expliquer simplement le nouveau protocole :

« Imaginez des clés de maison. L’entreprise qui a fabriqué votre serrure ne garde pas de double de la clé. Vous pouvez confier un double à un proche ou à un membre de votre famille en qui vous avez entièrement confiance. Et si un artisan doit réparer votre évier, vous lui prêtez une clé seulement le temps nécessaire pour faire le travail, puis vous la récupérez. TAKE fonctionne de la même manière : vous détenez la clé principale de vos vidéos, et c’est vous qui décidez qui peut accéder à un double, et dans quel but. Vous gardez le contrôle de vos clés et de vos vidéos ; c’est aussi simple que cela. »

Deux chiffrements, une même base

Le livre blanc publié par Ring donne des éléments techniques d’explication (PDF). TAKE et E2EE reposent sur la même base cryptographique, le protocole MLS (Messaging Layer Security), conçu pour gérer le chiffrement au sein d’un groupe d’appareils.

Un groupe MLS est attaché à chaque caméra Ring, qui réunit les appareils autorisés à lire les vidéos de ce groupe. Un appareil ajouté ou retiré de ce groupe le fait basculer dans une nouvelle « époque » cryptographique avec de nouvelles clés, ce qui empêche un ancien appareil de déchiffrer les futures vidéos.

La différence principale entre TAKE et E2EE tient surtout à la composition du groupe. Ring ajoute un « membre cloud » au groupe MLS de la caméra, ce qui lui permet d’obtenir temporairement les clés nécessaires aux fonctions dans le nuage, comme l’analyse vidéo et certains traitements (avec des limites, comme la fenêtre de 24 heures). En mode E2EE, les clés restent uniquement côté client sur les appareils autorisés de l’utilisateur. Ring peut toujours stocker et transmettre les vidéos chiffrées, mais il ne pourra pas les déchiffrer.

Les utilisateurs Ring conservent la possibilité d’activer le chiffrement de bout en bout s’ils le souhaitent. Le fabricant marche sur des œufs, il a été au cœur de plusieurs controverses ces derniers temps. En février par exemple, il a dû annuler un partenariat avec Flock Safety, une société actuellement en pleine tempête pour ses technologies de surveillance.

En juin, Amazon faisait l’objet d’une plainte aux États-Unis liée à la fonction Visages familiers de Ring. Le plaignant, qui cherche à obtenir le statut de recours collectif, affirme que la fonction conserve les images de passants sans leur consentement.

Ça sonne, le chiffrement est à la porte

Ring veut renforcer la confidentialité de ses sonnettes et caméras connectées, sans sacrifier pour autant toutes ses fonctions de traitement infonuagique des images. La filiale d’Amazon va déployer TAKE, un nouveau chiffrement par défaut qui limite l’accès de ses serveurs aux clés vidéo. Un exercice d’équilibriste délicat pour une entreprise régulièrement sous le feu des critiques sur le terrain de la vie privée.

Les utilisateurs des sonnettes Ring auront très bientôt le choix entre le chiffrement de bout en bout (E2EE) pour leurs vidéos et un chiffrement moins radical mais plus sécurisé que le modèle par défaut qui existe aujourd’hui. TAKE, pour « Throw Away the Key Encryption », sera le chiffrement par défaut pour tous les clients Ring dans le monde. Le déploiement débutera en septembre.

Un cloud qui verrouille

Actuellement, Ring procède au chiffrement des vidéos au repos et en transit : les données sont protégées contre l’interception réseau et l’accès direct au stockage, mais ce n’est pas au niveau du chiffrement de bout en bout. Ring peut ainsi toujours disposer des clés de déchiffrement pour le traitement de certaines vidéos.

Depuis 2021, la filiale d’Amazon propose également, en option, le chiffrement E2EE. Dans ce cas, Ring ne peut pas accéder aux vidéos captées par les sonnettes et stockées sur ses serveurs ; seul l’utilisateur est en mesure de consulter ces vidéos. C’est une protection à double tour qui a l’inconvénient de bloquer des fonctions comme la recherche vidéo et leur description, l’accès vidéo sur le site web de Ring, la chronologie des événements, la fonction de visages familiers, ou encore le partage des appareils avec d’autres utilisateurs.

Ring tente donc un entre-deux avec TAKE. Comme avec le chiffrement E2EE, les vidéos sont chiffrées avec des clés qui changent régulièrement ; la grosse différence ici, c’est que Ring conserve temporairement une copie des clés, déverrouillée et gérée dans une enclave sécurisée (AWS Nitro Enclaves). L’accès à ces clés n’est possible que lorsque l’utilisateur a besoin de telle ou telle fonction. Après leur utilisation, la copie des clés est détruite au bout de 24 heures (« Throw Away the Key Encryption », donc).

Quand un traitement cloud est nécessaire sur une ancienne vidéo, l’app Ring peut renvoyer temporairement les clés au service en ligne, uniquement sur ordre de l’utilisateur. Ring ne peut pas récupérer ces clés de sa propre initiative. Amazon tente une analogie pour expliquer simplement le nouveau protocole :

« Imaginez des clés de maison. L’entreprise qui a fabriqué votre serrure ne garde pas de double de la clé. Vous pouvez confier un double à un proche ou à un membre de votre famille en qui vous avez entièrement confiance. Et si un artisan doit réparer votre évier, vous lui prêtez une clé seulement le temps nécessaire pour faire le travail, puis vous la récupérez. TAKE fonctionne de la même manière : vous détenez la clé principale de vos vidéos, et c’est vous qui décidez qui peut accéder à un double, et dans quel but. Vous gardez le contrôle de vos clés et de vos vidéos ; c’est aussi simple que cela. »

Deux chiffrements, une même base

Le livre blanc publié par Ring donne des éléments techniques d’explication (PDF). TAKE et E2EE reposent sur la même base cryptographique, le protocole MLS (Messaging Layer Security), conçu pour gérer le chiffrement au sein d’un groupe d’appareils.

Un groupe MLS est attaché à chaque caméra Ring, qui réunit les appareils autorisés à lire les vidéos de ce groupe. Un appareil ajouté ou retiré de ce groupe le fait basculer dans une nouvelle « époque » cryptographique avec de nouvelles clés, ce qui empêche un ancien appareil de déchiffrer les futures vidéos.

La différence principale entre TAKE et E2EE tient surtout à la composition du groupe. Ring ajoute un « membre cloud » au groupe MLS de la caméra, ce qui lui permet d’obtenir temporairement les clés nécessaires aux fonctions dans le nuage, comme l’analyse vidéo et certains traitements (avec des limites, comme la fenêtre de 24 heures). En mode E2EE, les clés restent uniquement côté client sur les appareils autorisés de l’utilisateur. Ring peut toujours stocker et transmettre les vidéos chiffrées, mais il ne pourra pas les déchiffrer.

Les utilisateurs Ring conservent la possibilité d’activer le chiffrement de bout en bout s’ils le souhaitent. Le fabricant marche sur des œufs, il a été au cœur de plusieurs controverses ces derniers temps. En février par exemple, il a dû annuler un partenariat avec Flock Safety, une société actuellement en pleine tempête pour ses technologies de surveillance.

En juin, Amazon faisait l’objet d’une plainte aux États-Unis liée à la fonction Visages familiers de Ring. Le plaignant, qui cherche à obtenir le statut de recours collectif, affirme que la fonction conserve les images de passants sans leur consentement.

WhatsApp renforce la protection de ses utilisateurs avec plusieurs nouveautés : clés d'accès multiples, vérification en deux étapes plus robuste, et davantage de contexte sur les appels inconnus.