On m'apelle le chevalier blanc

Amazon sonne une nouvelle fois la charge contre les frais de port obligatoires sur les livres. Le géant du e-commerce affirme dans une tribune que cette « taxe sur la lecture » représente un surcoût de 100 millions d’euros pour les consommateurs français et porte préjudice aux libraires. Ces mêmes libraires qui reprochent depuis des mois à Amazon de contourner la loi…

Le remède serait-il pire que le mal ? Frédéric Duval, directeur général d’Amazon France, a publié lundi une tribune pour dénoncer les excès de la loi Darcos, qui impose depuis 2023 des frais de port de 3 euros pour toute commande en ligne de moins de 35 euros intégrant un ou plusieurs livres neufs.

« Cette mesure qui devait soutenir les libraires laisse une addition salée aux Français, qui ont déjà déboursé à ce titre plus de 100 millions d’euros auprès des différents détaillants de livres en ligne. Pour quel résultat ? Les ventes de livres continuent de baisser fortement en France, y compris en librairie », fait valoir Frédéric Duval.

Des frais de port vus comme un manque à gagner

Sous sa plume, Amazon France développe l’idée selon laquelle cette augmentation indirecte du coût du livre participerait à l’érosion générale du marché du livre en France. Selon GFK, ce dernier s’établissait à 4,4 milliards d’euros en 2024 (- 1 % en valeur), pour 339 millions d’exemplaires papiers vendus (- 3,24 % en volume), avec des ventes en ligne en baisse de 4 % sur un an.

Pour Amazon, la loi Darcos n’a pas provoqué l’effet de report escompté vers les commerces physiques et le monde de la librairie n’aurait pas gagné au change. « Lorsque les lecteurs se déplacent dans des magasins physiques pour éviter les frais de port, seulement 26% d’entre eux privilégient des librairies indépendantes, tandis que 70% choisissent les hypermarchés et les grandes chaînes culturelles », écrit Frédéric Duval.

Il évalue à 100 millions d’euros l’enveloppe globale engendrée par ces frais de port obligatoires, et invite à la considérer comme un manque à gagner pour le secteur. « 100 millions d’euros, cela représente 12 millions de livres de poche, et 3% du chiffre d’affaires annuel de l’édition en France », déclare-t-il, avant d’inviter les pouvoirs publics à trouver d’autres leviers pour soutenir le monde du livre.

Un son de cloche différent du côté des libraires

Les principaux représentants de la vente physique de livres en France ont de leur côté déjà procédé à leur propre évaluation de la situation. Une étude réalisée par leurs soins, présentée le 5 février dernier par l’intermédiaire d’un communiqué (PDF), constate une progression des ventes au niveau des enseignes physiques.

« L’année qui a suivi l’adoption de la loi Darcos, la part de marché des magasins physiques (tous types
d’enseignes confondus) a en effet augmenté de 2,3 points en volume, et de 3,2 points en valeur ;
un retournement de tendance remarquable, puisque, l’année pré-Darcos, cette part de marché
s’étiolait encore de respectivement 0,9 point et 1,1 point (soit un delta de 3,2 et 3,9 points en
dynamique). »

Emmené par le Syndicat de la librairie française, ce groupement d’acteurs conclut que la loi Darcos « semble avoir réussi à trouver un point d’équilibre assez remarquable », dans la mesure où elle soutient l’activité des enseignes physiques, sans pénaliser ni le marché dans son ensemble, ni l’avantage concurrentiel des grandes plateformes. « Trois euros ne couvrent pas les frais de livraison des petits libraires, les pure players qui offraient hier la gratuité restent plus compétitifs tout en augmentant de fait leurs marges à périmètre de vente identique », soulignent les libraires.

Après la livraison gratuite, 5% de remise

Le prix unique du livre et les conditions de livraison sont définis par la loi Lang de 1981. Cette dernière dispose que les frais de port d’une commande de livres ne peuvent être nuls, « sauf si le livre est retiré dans un commerce de vente au détail de livres ». Or Amazon exploite depuis 2024 cette subtilité du texte pour proposer la livraison gratuite dans ses casiers automatisés, les fameux lockers.

Officiellement, seuls les casiers « situés dans les magasins français vendant des livres » (par exemple, un supermarché) sont éligibles, indique le marchand. Ce faisant, il assimile son service de retrait de colis au commerce qui l’héberge. Un raccourci vigoureusement dénoncé par le Syndicat de la librairie, qui a sollicité et obtenu à deux reprises un avis du médiateur du livre, sur saisine du ministère de la Culture. En février, puis en mai, ce dernier a conclu que les pratiques d’Amazon constituaient « un réel défi à la mise en œuvre de la loi ».

Pas de quoi décourager Amazon. Le 16 octobre dernier, l’entreprise a annoncé qu’elle appliquerait désormais une remise de 5 % sur le prix public d’un livre, en plus de la livraison gratuite, si ce dernier est bien récupéré dans l’un des points de retrait « éligibles ».

Une mesure immédiatement dénoncée (PDF) par les libraires, qui ont fait part de leur détermination à « à mobiliser tous les moyens de recours juridiques pour contraindre la multinationale américaine à exercer son activité dans le strict respect du cadre légal français ».

Gravir les montagnes

Les nouveaux processeurs Arm Graviton5 d’Amazon Web Services sont disponibles dans les instances M9 g, en version préliminaire. Le CPU fait un bond avec deux fois plus de cœurs de nouvelle génération et un cache largement revu à la hausse.

Amazon en est désormais à sa cinquième génération de SoC maison avec une architecture Arm : Graviton. Le premier a été lancé en 2018 avec 16 cœurs Cortex A72, puis le processeur a largement évolué pour arriver aujourd’hui à 192 cœurs sur un seul socket.

Les évolutions de Graviton, de la 1ʳᵉ à la 5ᵉ génération

Dans un email, la Fédération française de handball explique que « le logiciel fédéral GestHand, utilisé par les clubs, comités et ligues pour leur gestion administrative, a été victime d’un acte de cybermalveillance avec un accès non-autorisé ». Un effet boule de neige est donc à prévoir sur les adhérents et pratiquants.

La suite on la connait, des informations personnelles sont dans la nature : nom, prénom, genre, date de naissance, adresse email et numéro de téléphone.

Des mesures ont été prises dans la foulée pour « renforcer la sécurisation de l’outil et des données, notamment la neutralisation des accès en cause, la réinitialisation des mots de passe des comptes utilisateurs et le renforcement des contrôles ».

Chez Cuisinella, « un tiers non autorisé a accédé à certaines données relatives à nos clients. Dès la détection de l’incident, nos équipes de cybersécurité ont immédiatement mis fin à l’intrusion, lancé des investigations approfondies et pris les mesures nécessaires ».

« Les informations exposées sont des coordonnées que vous avez pu transmettre dans le cadre de votre relation avec un magasin Cuisinella (civilité, nom, prénom, numéro de téléphone, adresse email des contacts) ». La société affirme qu’aucune donnée bancaire, adresse, mot de passe ni pièce d’identité n’a été compromise.

Dans les deux cas, la CNIL a été notifiée, comme la loi l’y oblige. La Fédération française de handball ajoute avoir informé l’ANSSI et déposé une plainte.

La semaine dernière, c’était Leroy Merlin et Médecin Direct pour rappel. Comme toujours, la prudence est de mise face aux tentatives de phishing. Nous avons récemment publié un guide détaillé des risques et des précautions à prendre.

Merci aux lecteurs qui nous ont signalé les fuites.

• Quels sont les risques liés aux multiples fuites de vos données personnelles ?

Le responsable de la R&D à OpenAI, Mark Chen, a finalement annoncé que son entreprise a désactivé l’affichage de messages publicitaires pour des applications sur les comptes payants de ChatGPT, a repéré TechCrunch.

La semaine dernière, des utilisateurs (avec des comptes payants Pro ou Plus) ont repéré des messages publicitaires sous les réponses que leur générait le chatbot d’OpenAI. On pouvait y voir, par exemple, un message promouvant l’application des magasins Target :

L’entreprise a d’abord refusé d’y voir quelque problème que ce soit. « Ce n’est pas une publicité », affirmait Daniel McAuley, responsable Données chez OpenAI. « Depuis le DevDay, nous avons lancé des applications provenant de certains de nos partenaires pilotes, notamment Target, et nous avons travaillé à rendre le mécanisme de découverte des applications plus organique au sein de ChatGPT. Notre objectif est que les applications améliorent l’expérience utilisateur lorsqu’elles sont pertinentes pour une conversation, et nous y travaillons encore. Tout le monde peut créer des applications à l’aide du SDK, et nous prévoyons d’ouvrir bientôt les soumissions et le répertoire d’applications », ajoutait-il.

De la même manière, Nick Turley, Vice-président d’OpenAI responsable de ChatGPT, affirmait encore samedi : « Je constate beaucoup de confusion au sujet des rumeurs concernant les publicités dans ChatGPT. Il n’existe aucun test en direct pour les publicités : toutes les captures d’écran que vous avez vues ne sont soit pas réelles, soit ne concernent pas des publicités. »

Fin novembre, des utilisateurs avaient déjà remarqué que des références à des fonctionnalités de publicité étaient incluses dans une version beta de l’application Android de ChatGPT.

Deux semaines après une grande panne de plusieurs heures, Cloudflare a de nouveau rencontré un problème de configuration, aboutissant à une coupure de 25 min de ses services. La faute serait relative à un changement intervenu pour combattre l’exploitation de la faille dans React.

Cloudflare a connu une panne majeure le 5 décembre 2025 qui a duré environ 25 minutes, entre 09h47 et 10h12, heure française. L’incident a affecté environ 28 % du trafic HTTP total transitant par son réseau, provoquant des erreurs HTTP 500 pour les clients concernés.

Protection lourde

La faute à un bug logiciel déclenché lors du déploiement d’une protection contre la vulnérabilité CVE-2025-55182 affectant React Server Components. Pour contrer cette faille critique (score CVSS de 10/10), Cloudflare a en effet créé de nouvelles règles dans son WAF (Web Application Firewall) et augmenté la taille du buffer d’analyse des requêtes HTTP de 128 ko à 1 Mo pour protéger ses clients utilisant Next.js.

• Faille de gravité maximale découverte dans React, des correctifs à installer en urgence

Durant le déploiement de cette augmentation, un outil interne de test a généré des erreurs. L’équipe a alors décidé de le désactiver via son système de configuration globale, qui propage rapidement (« en quelques secondes ») les changements sur l’ensemble du réseau.

Cette modification a exposé un bug latent dans le proxy FL1 (une ancienne version). Le code Lua contenait une erreur de type « nil pointer » lors du traitement des règles du WAF avec action « execute » lorsque celles-ci étaient désactivées via le killswitch. Seuls les clients utilisant le proxy FL1 avec le Cloudflare Managed Ruleset déployé ont été touchés. Ce type d’erreur n’aurait pas pu se produire avec FL2, le nouveau proxy écrit en Rust, affirme Cloudflare.

Cloudflare se concentre sur les correctifs

Cet incident survient seulement deux semaines après une autre panne majeure le 18 novembre 2025. Cloudflare reconnaît que les modifications de sécurité promises après cette première panne n’ont pas encore été complètement déployées.

L’entreprise s’engage à publier cette semaine un plan détaillé des projets de résilience en cours, incluant des diffusions progressives améliorées avec validation automatique de la santé des services, des capacités de rollback rapide et une logique « fail-open » pour éviter que les erreurs de configuration ne bloquent le trafic. En attendant, tous les changements sur leur réseau sont mis en pause.

• La grande panne de Cloudflare est partie d’un petit changement de permissions

La condamnation de X à 120 millions d’euros d’amende pour non-respect du Digital Services Act (DSA), prononcée vendredi par Bruxelles, n’est pas bien passée du côté d’Elon Musk et de ses équipes. Alors que le propriétaire de l’ex-Twitter a vitupéré contre la Commission européenne tout le week-end, appelant à sa dissolution, une mesure de rétorsion inattendue est venue de Nikita Bier, recruté cet été comme responsable du produit (head of product) chez X.

« Votre compte publicitaire a été résilié », a écrit ce dernier, dimanche, sur X, en citant le message d’annonce par lequel la Commission européenne relayait la condamnation du réseau social.

Nikita Bier dénonce le caractère ironique de l’annonce formulée par Bruxelles. Afin de médiatiser sa décision, l’exécutif européen aurait d’après lui réactivé un compte publicitaire inutilisé depuis 2021. Il aurait ensuite exploité une faille dans l’outil de composition des publicités, pour « publier un lien qui trompe les utilisateurs en leur faisant croire qu’il s’agit d’une vidéo et augmenter artificiellement sa portée ». La faille en question aurait depuis été corrigée.

Une chose est sûre : la publication d’origine de la Commission européenne a réalisé une audience nettement supérieure à la moyenne de ses posts des dernières semaines, avec une portée affichée, lundi matin, à 14 millions de vues. Elon Musk et Nikita Bier y ont d’ailleurs largement contribué : le retweet effectué par le responsable produit a, à lui seul, enregistré plus de 5,4 millions de vues…

Cette condamnation historique (la première prononcée sous le régime du DSA) n’a probablement pas fini de faire des vagues. Outre les imprécations de Musk à l’encontre du Vieux Continent, elle a aussi été reprise, et interprétée de façon discutable, dès vendredi par JD Vance, vice-président des États-Unis.

« Des rumeurs circulent selon lesquelles la Commission européenne infligerait une amende de plusieurs centaines de millions de dollars à X pour son inaction en matière de censure. L’UE devrait défendre la liberté d’expression au lieu de s’en prendre à des entreprises américaines pour des futilités», a publié ce dernier, toujours sur X.

Dans sa décision, la Commission européenne estime que X se rend coupable de trois manquements au DSA : un statut vérifié (coche bleue) octroyé sans vérification aux abonnés payants, un manque de transparence dans le référentiel des publicités expliquant les mécaniques de ciblage, et l’absence d’accès aux données publiques de la plateforme pour les chercheurs.

Le réseau social TikTok est sous le coup de plusieurs enquêtes de la Commission européenne dans le cadre des règlements sur les services numériques. Vendredi, l’Europe « a obtenu l’engagement de TikTok de fournir des répertoires publicitaires qui garantissent une transparence totale des publicités sur ses services ».

Les engagements sont contraignants et « répondent à toutes les préoccupations » affirme la Commission, qui était arrivée en 2025, à titre préliminaire, à la conclusion que la plateforme ne respectait pas le DSA.

Voici les engagements, que TikTok doit mettre en place dans un délai de 2 à 12 mois maximum en fonction des cas :

• fournir le contenu complet des publicités affichées aux utilisateurs
• mettre à jour son dépôt plus rapidement (24 h maximum)
• fournir les critères de ciblage et des données utilisateur agrégées
• introduire des options de recherche et des filtres supplémentaires

TikTok est sous le coup d’autres procédures en Europe, notamment « sur les effets négatifs découlant de la conception de TikTok, y compris ses systèmes algorithmiques, l’assurance de l’âge, l’accès aux données pour les chercheurs (constatations préliminaires adoptées en octobre 2025) et son obligation de protéger les mineurs, pour lesquelles l’enquête se poursuit ».

Il y a tout juste un an, la Commission ouvrait une procédure formelle à l’encontre de TikTok « concernant sa gestion des risques liés aux élections et au discours civique ». Il était notamment question des systèmes de recommandation et des publicités à caractère politique.

En France aussi TikTok est sous le coup de plusieurs procédures. La Société des Auteurs et Compositeurs Dramatiques (SACD) l’a assignée devant le Tribunal judiciaire de Paris pour violation de droits d’auteur, tandis que le Parquet de Paris a ouvert une enquête sur la mise en avant de contenus poussant au suicide.

En septembre, un rapport parlementaire dézinguait pour rappel les réseaux sociaux et TikTok. En mai dernier, la plateforme écopait de 530 millions d’amende pour non respect du RGPD par la CNIL irlandaise.

• [Édito] Fabrique de la (dés)information : de TikTok à Emmanuel Macron

Croa croa ! Ah non... mince

Les vautours sont de sortie et ils savent se faire plaisir : et que ça dépiaute du chômeur, de la rigueur scientifique, les pompeurs et même le temps de cerveau disponible  ! La mort, elle, peut bien patienter : à tous les coups elle gagne ! Bon weekend.

Chez NVIDIA c’est toujours Moore IA

L’IA générative avec les grands modèles de langage évolue à grande vitesse, et avec elle les besoins en GPU pour les entrainements. NVIDIA est le numéro un actuel sur le marché et ses GPU s’arrachent comme des petits pains. On s’est demandé quelle était l’évolution depuis 10 ans des performances des GPU. Sont-ils compatibles avec la loi de Moore ? On répond à cette question dans ce Nextquick.

C’est en 1965 que Gordon Earle Moore, un des fondateurs d’Intel, énonçait une conjecture, encore célèbre aujourd’hui. On parle même d’une « loi » alors qu’elle ne repose que sur des constatations empiriques et qu’elle a évolué à plusieurs reprises.

• La « loi » de Moore fête ses 50 ans

1965 - 2025 : 60 ans de loi de Moore

Gordon Earle Moore est décédé en 2023, mais sa « loi » continue aujourd’hui de faire parler d’elle. Elle a fêté ses 60 ans cette année. Au départ, elle indiquait que la « complexité » des puces doublait tous les ans, puis ce fut le nombre de transistors. Elle a ensuite été « simplifiée » : la puissance des processeurs double tous les 18 mois. Aujourd’hui, elle s’applique à tout ce qui double en 1,5 an.

Dans Nature, le physicien, journaliste et auteur Mitchell Waldrop affirmait en 2016 que « l’avenir de la loi de Moore est compromis. L’industrie des semi-conducteurs va bientôt l’abandonner ». À la rédaction, on s’est demandé si l’évolution des GPU avait pris le relai de cette loi.

Regardons cela ensemble, en remontant 10 ans en arrière à l’époque du lancement de l’architecture Pascal par NVIDIA. Elle a été suivie par Volta, Ampere, Hopper et enfin Blackwell, la dernière en date, annoncée en 2024.

Transistors et mémoire : l’alignement est impressionnant

GLF OS, dont nous avions suivi le lancement début septembre, est une distribution Linux française spécialisée dans le jeu vidéo. Alors que les lignes commencent à bouger dans cet univers sous l’impulsion d’un Windows 10 privé de support et d’une couche d’émulation Proton ayant prouvé son efficacité, l’équipe derrière GLF OS vient de lancer une mise à jour importante.

• GLF OS, Linux spécialisé dans le jeu vidéo, est disponible en version finale

La nouvelle mouture, nommée Phoenix, intègre le noyau Linux 6.17 et met à jour bon nombre de composants internes, dont GNOME 49.1 et KDE Plasma 6.5. Mesa passe en version 25.2.3, amenant le support de FSR4 pour les cartes AMD et Intel, ainsi qu’une meilleure stabilité pour les jeux AAA avec Proton. La distribution intègre également les pilotes NVIDIA 580.105, avec à la clé une meilleure prise en charge des GPU récents et des correctifs pour Wayland.

Plusieurs changements internes importants sont en outre à signaler. Le gestionnaire de démarrage Grub a été remplacé par systemd-boot, « garantissant l’installation de GLF OS sur un maximum de machines ». Un correctif pour l’hibernation de la machine a été implémenté, de même que la compatibilité avec le Stream Deck d’Elgato. Plusieurs extensions GNOME ont été ajoutées, comme Dash to panel, Openbar et Rounded Window Corner. Les miniatures pour les vidéos font également leur apparition dans Nautilus.

Pour les personnes souhaitant installer la version Studio, on note un temps d’installation fortement réduit. Cette variante intègre en effet plusieurs applications spécifiques, dont DaVinci Resolve, qui était compilée au dernier moment. Cette étape a été déplacée côté serveurs, aboutissant à une durée d’installation qui peut être réduite d’un facteur allant jusqu’à 6. Ce fonctionnement concerne d’ailleurs d’autres composants, comme les pilotes NVIDIA, réduisant le temps d’installation de toutes les versions, même si DaVinci était de loin le plus « gros caillou », comme nous le confirme Vinceff, fondateur du projet.

GLF OS est pour rappel développé sur la base de NixOS et est donc un système immuable. Une notification signale aux utilisateurs que des mises à jour sont en attente d’un redémarrage pour être appliquées.

Là ! Une porte !

La société autrichienne Proxmox vient de lancer la première version finale de son Datacenter Manager. Le composant était attendu, car il permet de centraliser de nombreuses opérations de gestion et de garder une vue d’ensemble sur les infrastructures Proxmox VE. Dans un contexte tendu par le rachat de VMware par Broadcom, le nouveau produit pourrait offrir une porte de sortie aux entreprises.

Dans son communiqué publié hier soir, Proxmox reconnait volontiers qu’il manquait une brique essentielle dans son offre : « Gérer des centres de données en pleine croissance, répartis sur plusieurs sites ou clusters, présente constamment des défis majeurs pour les entreprises et les équipes. L’absence de supervision globale, des indicateurs fragmentés et la nécessité d’effectuer manuellement des opérations complexes dans divers environnements peuvent rapidement entraîner des inefficacités et une plus grande susceptibilité aux erreurs ».

Le nouveau Datacenter Manager est donc une réponse à cette problématique. Il joue le rôle d’agent de liaison entre les nœuds et clusters individuels et propose une vue unifiée.

Cap sur la centralisation et le pilotage

PDM, pour Proxmox Datacenter Manager, propose ainsi un tableau de bord pour avoir un œil sur les principales informations. Le tableau affiche ainsi l’état de santé des clusters Proxmox VE et instances Backup Server, agrège l’utilisation critique des ressources (CPU, mémoire et entrées/sorties pour le stockage), fournit une vue des KPI (key performance indicators) et indicateurs de performances, avec une promesse de vision immédiate des goulots et autres problèmes. Les données sont mises en cache, pour que le dernier état connu reste accessible.

Ce dashboard général peut être accompagné d’autres tableaux personnalisés, pour cibler une partie spécifique de la structure, ou des indicateurs particuliers. Le contrôle d’accès basé sur les rôles (RBAC) permet d’accorder des accès à ces vues personnalisées sans fournir pour autant un accès aux machines virtuelles ou aux hôtes.

Migration à chaud des machines virtuelles

Autre capacité attendue, la possibilité de migrer à chaud des machines virtuelles d’un cluster à un autre, facilitant notamment les opérations de maintenance. La même interface centrale permet de réaliser d’autres opérations comme le démarrage, l’arrêt ou la configuration des machines virtuelles, conteneurs et autres ressources de stockage. Là encore, le RBAC permet d’octroyer des permissions spécifiques à des utilisateurs et de centraliser les historiques et journaux, par exemple à des fins d’audits.

Et tant qu’à y être, PDM propose d’autres fonctions, notamment un moteur de recherche décrit comme « très puissant » et inspiré de ce que l’on trouve déjà dans Elastic Search et GitHub, surtout pour filtrer et trouver des ressources. Datacenter Manager prend également en charge le réseau défini par logiciel (SDN) et centralise les mises à jour dans un panneau dédié.

Proxmox Datacenter Manager est basé sur la distribution Debian 13.2, avec un noyau Linux 6.17 et le support de ZFS 2.3. L’éditeur ajoute que sa pile logicielle centrale est écrite en Rust et que l’interface (en responsive) fournit « une expérience utilisateur optimale ». Les images ISO sont disponibles depuis le site officiel. Pour rappel, les produits sont gratuits, mais l’entreprise vend des abonnements incluant notamment le support technique.

Une porte de sortie ?

Depuis le rachat de VMware par Broadcom, la situation s’est crispée pour de nombreux clients autour de la virtualisation. Des plaintes ont été déposées et une partie des entreprises cherche à briser sa dépendance aux produits VMware en regardant vers la concurrence. Proxmox fait partie des solutions envisagées, mais l’absence d’une solution pour centraliser la gestion de nombreux nœuds était un frein.

Chez moji (la société ayant racheté Next il y a un peu plus de deux ans), le SRE (Site Reliability Engineer) Alexandre Gliganic nous indique que le produit est testé depuis les premières versions alpha et que les nouvelles fonctions font la différence, notamment le tableau de bord unifié. L’entreprise se sert largement de Proxmox depuis plusieurs années.

« Pour moi, une des fonctionnalités les plus fortes, c’est la migration live inter-clusters. Avant, pour migrer une VM du cluster A vers le cluster B, il fallait passer par une migration à froid via le système de backup Proxmox (PBS), ou utiliser des commandes QEMU (pas très user-friendly pour la plupart des gens). Avec PDM, on ajoute simplement les deux clusters au système, on sélectionne la VM et on clique sur “migrer” vers le cluster cible. Et ça fonctionne directement », s’enthousiasme l’ingénieur.

Il met également en avant les tableaux de bord personnalisés : « On peut créer des dashboards personnalisés en fonction des rôles assignés aux utilisateurs PDM. C’est très pratique. Par exemple, pour que l’équipe support voie les métriques des clusters clients, mais pas celles des clusters internes ».

« Ce qui est intéressant avec PDM, c’est qu’on retrouve enfin une logique de gestion globale qui manquait à l’écosystème Proxmox, un peu comme ce que beaucoup d’équipes infra ont toujours eu avec des plateformes comme vCenter dans le monde VMware/ESXi », ajoute Alexandre Gliganic.

We are Reworld, we are the children

Premier éditeur de presse magazine en France, et 3ᵉ groupe média sur le web et les réseaux sociaux, Reworld Media estime que les sites d’infos générées par IA auraient fait perdre des dizaines de millions d’euros aux médias depuis que l’algorithme de Google a commencé à recommander leurs articles. Il vient de commencer à… faire pareil, ou presque. Étrangement, nombre de ses articles « augmentés » par l’IA publient comme images d’illustration des… bras cassés coupés.

Nous n’avons matériellement pas pu, faute de temps, vérifier l’ensemble des sites web des 81 « marques médias propriétaires » de Reworld Media, premier éditeur de presse magazine français en nombre de journaux détenus, et 3ᵉ groupe média sur le web et les réseaux sociaux.

Nous avions précédemment découvert que parolesdemamans.com avait publié une rafale d’articles avançant qu’en France des crèches acceptaient des poupées « reborn » (hyperréalistes) au détriment de bébés humains. Mais celui-ci n’est pas le seul site du groupe à avoir récemment mis en ligne des articles problématiques, et potentiellement générés par IA (GenAI).

• Reworld Media hallucine et publie n’importe quoi, mais ce n’est pas à cause de l’IA (1/2)

Aurélia Baranes est co-fondatrice directrice de publication de Serieously, qu’elle présente comme le « premier média d’infotainment indépendant en France », et l’un des « leaders sur le segment de la pop culture ». Lancé en 2017, il représenterait aujourd’hui 6 millions de visiteurs uniques par mois, et emploie une vingtaine de personnes à ce jour.

Elle était auparavant journaliste culture à Be.com, l’un des sites du groupe Reworld Media, de 2014 à 2017. Or, et alors que sa page de profil indiquait qu’elle n’y avait plus rien publié depuis septembre 2016, des articles signés de son nom ont commencé à y réapparaître à partir de la mi-septembre 2025.

Mais si ses précédents articles portaient sur ses spécialités, à savoir le cinéma et les séries TV, ses nouveaux articles, dont la plupart étaient illustrés par des photos de stock ou des images GenAI créditées Canva, concernaient le « pic de chaleur attendu ce week-end », la revalorisation à venir de la retraite complémentaire Agirc-Arrco, paraphrasant des communiqués de Météo France ou de la Banque de France.

Le 19, elle signait par exemple un article consacré aux augmentations de salaires à venir en 2026. Il s’agissait en fait d’une reprise d’un décryptage signé par deux journalistes des Echos, publié quatre jours plus tôt. Or, l’article signé Aurélia Baranes sur Be.com comporte deux citations, qui ne figurent pas dans l’article des Echos, mais qui en paraphrasent des extraits.

« Nous observons une forte prudence face à une situation économique incertaine », déclare au journal Les Echos Sophie Lazaro, directrice capital humain chez Deloitte.

« On est vraiment dans un contexte complexe pour se projeter avec beaucoup d’incertitude au niveau national comme international », observe Sophie Lazaro, directrice capital humain chez Deloitte.

Et si Les Echos mentionnaient bien trois citations de Khalil Ait Mouloud, directeur des enquêtes de rémunération chez WTW, les propos qui lui sont prêtés semblent eux aussi avoir été « hallucinés », en paraphrasant un passage écrit par les journalistes :

Un des grands changements attendus pour 2026 réside dans l’introduction de la directive européenne sur la transparence salariale. À partir de juin 2026, cette législation obligera les entreprises à publier les fourchettes salariales des postes proposés dans leurs annonces de recrutement. Si cette mesure vise avant tout à réduire les inégalités salariales, elle pourrait aussi entraîner une dynamique de réajustement salarial pour les salariés actuels. « Les employés disposeront désormais d’une meilleure visibilité sur les rémunérations offertes, ce qui pourrait les pousser à demander des augmentations s’ils estiment être sous-payés« , explique Khalil Ait Mouloud, directeur des enquêtes de rémunération chez WTW.

Les sociétés doivent aussi anticiper la transposition de la directive européenne sur la transparence des salaires – qui interviendra au plus tard en juin 2026 – et qui pourrait peser sur la masse salariale. Elle imposera aux entreprises d’afficher, dans leurs offres d’emploi, le salaire initial prévu pour le poste ou une fourchette de rémunération. Une aubaine pour les salariés en poste, qui sauront à combien leur entreprise recrute… et qui pourraient donc être tentés de demander une augmentation s’ils s’estiment sous-payés.

Or, ce type d’ « hallucinations » est un marqueur typique des contenus générés par IA (GenAI) que nous documentons depuis des mois, les chatbots ne faisant pas la distinction entre un « texte » (qu’il est possible de paraphraser, ne serait-ce que pour éviter les accusations de plagiat ou de contenu dupliqué, que pénalisent les moteurs de recherche, en matière de référencement) et les « citations ». Dans un article, celles-ci ne sauraient bien évidemment être modifiées, paraphrasées, encore moins inventées.

• [Récap] Nous avons découvert des milliers de sites d’info générés par IA : tous nos articles

Contactée, Aurélia Baranes nous répond qu’elle n’était « absolument pas au courant », avant de rajouter, 30 minutes plus tard : « Je découvre l’ampleur des articles à mon nom, c’est affolant ! On dirait des articles faits par IA en plus ».

Son avocat a depuis adressé un courrier à Reworld Media « parce que je trouvais ça assez violent », nous a-t-elle depuis expliqué, et les nouveaux articles GenAI qui lui étaient attribués ont été effacés dans la foulée.

Contacté, Jérémy Parola, directeur des activités numériques de Reworld Media, nous répond que « c’est un pigiste qui a merdé avec le CMS [système de gestion de contenus, ndlr], on a supprimé l’intégralité des articles ». Il se dit d’autant plus peiné qu’ « on s’entend bien avec elle ».

25 articles par jour, à raison d’un par heure, 24 h/24, 7j/7

Évoquant le cas de « pigistes qui passent de 2 contenus/jour à plusieurs dizaines », Jérémy Parola précise par ailleurs qu’à Reworld, le fait de générer des articles par IA, sans relecture ni supervision, est proscrit par contrat :

X n'est pas une marque de transparence

Après 2 ans d’enquête, la Commission inflige une amende conséquente à X, lui reprochant un manque de transparence et des pratiques trompeuses, notamment sur le changement de signification de la coche bleue.

Près de deux ans après l’ouverture de sa procédure formelle contre X, la Commission européenne annonce avoir infligé une amende de 120 millions d’euros au réseau social d’Elon Musk pour des manquements à ses obligations de transparence imposées par le Règlement sur les services numériques (DSA). En juillet 2024, Bruxelles avait confirmé ses craintes et attaqué X pour violation du DSA.

Coche bleue trompeuse et manque de transparence

En cause, notamment, le changement d’utilisation de la coche bleue, qui servait initialement à certifier l’identité des utilisateurs « vérifiés » par Twitter. Suite à son rachat, Elon Musk l’a ouvert à n’importe quel utilisateur payant pour accéder aux services premium de X. « Cela enfreint l’obligation imposée par le DSA aux plateformes en ligne d’interdire les pratiques trompeuses en matière de conception sur leurs services » explique la Commission dans son communiqué.

« Sur X, n’importe qui peut payer pour obtenir le statut « vérifié » sans que l’entreprise ne vérifie de manière significative qui se cache derrière le compte, ce qui rend difficile pour les utilisateurs de juger de l’authenticité des comptes et des contenus avec lesquels ils interagissent », constate (comme tout le monde) l’administration européenne.

Elle considère que « cette tromperie expose les utilisateurs à des escroqueries, notamment à des fraudes par usurpation d’identité, ainsi qu’à d’autres formes de manipulation par des acteurs malveillants ».

Mais la Commission ne s’est pas arrêtée à la coche bleue. Elle reproche à X (anciennement Twitter) le manque de transparence dans le référentiel des publicités de X qui est censé éclairer les utilisateurs au sujet du ciblage publicitaire comme l’y oblige le DSA. Mais la Commission explique que « X a élaboré un design et des barrières d’accès, tels que des délais de traitement excessifs, qui compromettent l’objectif des référentiels publicitaires ».

Bruxelles reproche aussi au réseau social d’Elon Musk de ne pas fournir aux chercheurs d’accès aux données publiques de sa plateforme.

La Commission souligne que c’est sa première décision de non-conformité avec le DSA. L’entreprise a 60 jours pour prendre des mesures concernant la coche bleue et 90 jours pour proposer un plan d’action qui la mette en conformité avec le DSA. Si tel n’est pas le cas, elle pourrait subir des jour-amendes de pénalité en plus.

Les autorités états-uniennes réagissent vivement

« Tromper les utilisateurs avec des coches bleues, dissimuler des informations sur les publicités et exclure les chercheurs n’ont pas leur place en ligne dans l’UE », commente Henna Virkkunen, vice-présidente exécutive de la Commission européenne à la Souveraineté technologique, à la Sécurité et à la Démocratie :

« La DSA protège les utilisateurs. Le DSA donne aux chercheurs les moyens de mettre au jour les menaces potentielles. Le DSA rétablit la confiance dans l’environnement en ligne. Avec la première décision de non-conformité de la DSA, nous tenons X responsable d’avoir porté atteinte aux droits des utilisateurs et d’avoir éludé ses responsabilités. »

X n’a pas encore réagi et n’a pas répondu à Reuters. Mais du côté états-unien, cette décision européenne n’est pas passée inaperçue et devrait tendre un peu plus les relations entre les deux côtés de l’Atlantique. « Des rumeurs circulent selon lesquelles la Commission européenne infligerait une amende de plusieurs centaines de millions de dollars pour non-respect de la censure », réagissait sur X JD Vance hier soir avant l’annonce officielle, ajoutant que « l’UE devrait soutenir la liberté d’expression au lieu d’attaquer les entreprises américaines pour des futilités ».

Dans le même sens, cette fois après l’officialisation, Brendan Carr, nommé en 2017 par Donald Trump à la Commission fédérale des communications (FCC) qu’il dirige depuis 2024, a affirmé sur X qu’ « une fois de plus, l’Europe inflige une amende à une entreprise technologique américaine prospère pour le simple fait d’être une entreprise technologique américaine prospère » :

« L’Europe impose des taxes aux Américains afin de subventionner un continent freiné par ses propres réglementations étouffantes ».

Cinéma ! Cinémaaaaa !

Netflix et Warner Bros ont annoncé vendredi la signature d’un accord selon les termes duquel le géant du streaming va racheter l’intégralité des studios de cinéma et de télévision, ainsi que le service HBO Max, pour une enveloppe globale de près de 83 milliards de dollars.

Netflix, qui développe depuis quinze ans son portefeuille de droits d’exploitation, s’apprête à franchir un cap : le géant du streaming a en effet confirmé vendredi la signature d’un accord avec Warner Bros Discovery. Il prévoit l’acquisition de la totalité du studio hollywoodien et de ses licences emblématiques, ainsi que de son service de streaming HBO Max, pour une valorisation totale de 82,7 milliards de dollars.

Un immense catalogue

Au terme de l’opération, qui devrait être bouclée au troisième trimestre 2026, Netflix détiendra les droits d’une longue liste de licences de premier plan, déclinées aussi bien en télévision qu’au cinéma, en parcs à thèmes ou en jeux vidéo. Dans le lot figurent notamment The Big Bang Theory, The Sopranos, Game of Thrones, l’univers DC, la franchise Harry Potter, Friends ou Citizen Kane… une longue liste de créations dont les droits viendront enrichir le catalogue développé en propre par Netflix.

L’acquisition se fait sur la base d’un montant de 27,75 dollars par action Warner Bros Discovery, dont 23,25 dollars en cash et le reste en actions Netflix.

Netflix indique que les studios Warner ont vocation à poursuivre leurs activités, et donc à développer des œuvres pour la télévision ou le cinéma. HBO et HBO Max sont également maintenus (au moins pour l’instant), dans la mesure où ils proposent une offre « complémentaire et attrayante pour les consommateurs ».

Pour Netflix, ce rapprochement se traduira par une amélioration de la qualité perçue par ses abonnés, notamment grâce à l’enrichissement de son offre avec les différents catalogues Warner. D’un point de vue plus opérationnel, l’entreprise dit également s’attendre à l’équivalent de 2 à 3 milliards de dollars par an en synergies, sans préciser l’éventuel impact en matière d’effectifs salariés.

Une opération complexe

Le plan se déroulera-t-il sans accroc ? Si les deux parties prenantes sont tombées d’accord, le succès de l’opération est conditionné à la réussite de quelques étapes clés. Warner Bros Discovery, issue de la fusion entre WarnerMedia et Discovery en 2022, doit d’abord boucler son processus de scission, annoncé en juin dernier. Ce dernier prévoit pour mémoire de scinder le groupe en deux, avec d’un côté les chaînes de télévision, et de l’autre les activités de studio désormais en passe de basculer chez Netflix.

La transaction devra également recueillir l’assentiment des autorités de la concurrence aux États-Unis, ce qui reviendra vraisemblablement à obtenir l’aval de la Maison-Blanche. Or sur ce point, la concurrence fourbit déjà ses armes, à l’image de Paramount, qui souhaitait de son côté racheter l’intégralité des activités de Warner. Le groupe dirigé par David Ellison (fils de Larry, patron d’Oracle) a laissé fuiter au Wall Street Journal la teneur de certains courriers adressés aux conseils de Warner et arguant que le rachat par Netflix créerait une situation problématique d’un point de vue antitrust.

Rappelons qu’en France, Netflix a récemment passé un accord de diffusion avec le groupe TF1.

Waf ! Waf !

Un chercheur a découvert dans le composant React Server Components une faille dont le score de gravité CVSS atteint la note maximale de 10. Des correctifs ont été rapidement publiés et il est recommandé de mettre à jour les applications et autres composants concernés le plus rapidement possible.

Dans une note publiée le 3 décembre, la fondation React a averti d’une faille extrêmement critique dans le framework (cadriciel) React Server Components. Estampillée CVE-2025-55182, elle a reçu la plus grande note possible au score CVSS, soit 10.

Dans son billet de blog, la fondation indique que le signalement de la faille a été fait le 29 novembre par le chercheur Lachlan Davidson. Elle réside dans les versions 19.0, 19.1.0, 19.1.1 et 19.2.0 des composants suivants : react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack.

Exploitée, la faille peut permettre l’exécution de commandes arbitraires à distance. Elle a même reçu un nom : React2Shell. Initialement, deux failles avaient été signalées. La seconde, dans Node.js et numérotée CVE-2025-66478, a cependant été rejetée par le NIST américain, car il s’agissait finalement du même mécanisme.

Une grande facilité d’exploitation

Selon la société Wiz qui s’est penchée sur la question, une grosse partie du problème tient à l’exploitation particulièrement simple de cette faille, faisant exploser son score CVSS. Deux composantes sont mises en avant : la faille est exploitable dans toutes les configurations, et il ne suffit que d’une requête HTTP spécialement conçue pour déclencher la suite.

La société explique qu’il s’agit d’un cas de désérialisation logique. Il découle de la manière dont les React Server Components (RSC) gèrent les requêtes. Une personne non authentifiée pourrait ainsi créer une requête HTTP malveillante à n’importe quel point de terminaison Server Function qui, au moment où React s’occupe de la désérialisation, entraine l’exécution d’un code JavaScript arbitraire sur le serveur.

Dans son billet, la fondation React n’en dit pas plus, car elle explique attendre une diffusion plus importante des correctifs avant de donner plus de détails.

Toute bibliothèque utilisant RSC (comme Vite RSC, Parcel RSC, React Router RSC preview, RedwoodJS, ou encore Waku) est concernée par la faille et il faut donc surveiller l’arrivée de mises à jour, déjà publiées dans de nombreux cas. « La vulnérabilité affecte les configurations par défaut du framework, ce qui signifie que les déploiements standards sont immédiatement exploitables sans conditions particulières », indique la société de sécurité Endor Labs.

Que faire ?

L’urgence est d’appliquer les nouvelles versions 19.0.1, 19.1.2 et 19.2.1 des trois composants react-server-dom. Jusqu’à ce qu’ils puissent être déployés, il est conseillé d’appliquer des règles WAF (Web Application Firewall).

Plusieurs entreprises de premier plan ont d’ailleurs réagi à ce sujet. Cloudflare a annoncé dès le 3 décembre avoir mis à jour son WAF pour protéger ses clients. L’éditeur ajoute que même si les nouvelles règles bloquent les éventuelles attaques, il reste recommandé de mettre à jour aussi vite que possible les composants logiciels concernés.

Même son de cloche chez Google pour sa Cloud Armor, qui décrit les nouvelles règles du pare-feu applicatif comme une mesure temporaire d’atténuation. On retrouve les mêmes éléments de langage chez Akamai et AWS.

Quand les étendards nationaux dans le domaine font dans la science sans conscience avec de l’industrie, ça ruine un peu l’âme, mais en plus, ça pique le cœur ainsi que les yeux. Retrouvez les autres dessins de la semaine samedi à 13h37 et donc rendez-vous demain !

Price is what you pay. Value is what you get.

Microsoft procédera à compter du 1ᵉʳ juillet 2026 à une hausse de prix généralisée sur les différentes formules Microsoft 365 commercialisées en volume auprès des entreprises et du secteur public. L’éditeur justifie cette augmentation par l’introduction de nouvelles fonctionnalités et services, principalement liés à l’IA et aux produits Copilot.

Le changement n’interviendra qu’à l’été prochain, mais l’éditeur commence dès à présent à préparer le terrain : la plupart des abonnements professionnels Microsoft 365 verront leur prix augmenter à compter du 1ᵉʳ juillet prochain. La hausse varie dans des proportions importantes selon la formule envisagée. L’abonnement d’entrée de gamme Office 365 E1 reste par exemple facturé à 10 dollars, mais l’augmentation varie entre 8 % et 33 % pour les autres licences.

Jusqu’à 33 % de hausse

La hausse la plus notable concerne la licence Microsoft 365 F1, destinée aux « employés de première ligne » (frontline workers), c’est-à-dire les travailleurs qui ne disposent pas d’un poste attitré (vendeur en magasin, personnel hospitalier, etc.).

L’annonce a été formulée par l’intermédiaire d’un billet de blog, illustré par des tarifs en dollars, valables aux États-Unis, mais l’éditeur précise bien qu’elle sera répercutée sur tous les marchés, avec toutefois de possibles variations. En Europe, rappelons que toutes ces offres sont également déclinées dans une version dépourvue des outils de communication Teams, au tarif révisé en conséquence.

Pour Microsoft, c’est avant tout l’enrichissement des offres qui justifie cette hausse de prix. L’éditeur annonce en effet que plusieurs produits ou services ont été ou seront bientôt intégrés au bouquet Microsoft 365. Il évoque notamment « des fonctionnalités de sécurité et de gestion supplémentaires, optimisées par l’IA ».

L’éditeur mentionne par exemple l’arrivée récente de Copilot Chat dans les principaux logiciels bureautiques de la suite (Word, Excel, etc.), et rappelle qu’il a annoncé, lors de la conférence Ignite 2025, son introduction à venir dans Outlook, avec la promesse d’outils de gestion adaptés pour les administrateurs systèmes. La suite devrait aussi s’enrichir de nouvelles options de gestion des terminaux et de support au sein des abonnements E3 et E5.

Microsoft annonce également l’introduction d’une option de vérification des URL au niveau des formules d’entrée de gamme, et l’arrivée de nouvelles fonctions de prévention des risques liés aux malwares ou au phishing dans Microsoft Defender au sein des plans d’abonnement les plus courants. Le tableau ci-dessous résume, selon l’éditeur, les ajouts programmés dans les différentes formules.

Hausses de prix en vue pour le secteur public

Les licences destinées au secteur public (gouvernements, institutions, etc.) vont elles aussi faire l’objet d’une hausse de prix, prévient Microsoft par l’intermédiaire d’une autre note d’information. Cette fois encore, la formule Office 365 E1 est épargnée, mais les autres abonnements subissent une hausse comprise entre 5 % et 13 %, résumée dans le tableau ci-dessous. Là encore, la hausse est programmée au 1ᵉʳ juillet 2026, avec toutefois une mise en œuvre en deux temps pour les licences Office 365 E3.

Rappelons que les formules Microsoft 365 grand public ont elles aussi fait l’objet d’une augmentation significative en 2025, justifiée principalement par l’intégration des fonctions IA liées à Copilot.

• Microsoft monte le prix de ses offres 365 Personnel et Famille au nom de l’IA

Ungiving day

Depuis le début du mois d’octobre, plusieurs ONG constatent des difficultés d’une ampleur inégalée dans la diffusion de leurs publicités sur les réseaux sociaux de Meta. L’entreprise a adopté une lecture très extensive du règlement européen sur la publicité politique.

« En octobre, on avait une grosse campagne pour Gaza. On s’est aperçus qu’une de nos publications emblématiques, qui évoquait la réalité de Gaza, avec des mots comme « guerre », ou « souffrance », ne passait pas. » Marie-Charlotte Brun est directrice Marketing et Développement de l’Unicef France. Et depuis le début du mois, elle constate que promouvoir les campagnes du Fonds des Nations unies pour l’enfance est devenu nettement plus difficile sur les plateformes de Meta. « On a fait des tests, on l’a expurgée, et finalement la publication est passée. Mais évoquer Gaza sans parler de guerre ou de souffrance, ça dévoie la communication. »

En avril 2024, le règlement européen sur la transparence et le ciblage de la publicité à caractère politique (TTPA) entrait en vigueur. Depuis, les déclarations de géants numériques se sont succédé. En novembre 2024, la responsable des relations publiques de Google annonçait que l’entreprise cesserait de « diffuser de la publicité politique dans l’UE avant l’entrée en vigueur de la nouvelle réglementation en octobre 2025 ». En juillet 2025, Meta déclarait la fin de la publicité « politique, électorale et sur les sujets sociaux » pour se plier au texte. Quelque part entre le mois de septembre et début octobre, Google supprimait l’accès à sept ans d’archives des publicités politiques en Europe, sans faire de commentaires.

Et puis le 10 octobre dernier, le texte est entré en application. En quelques semaines à peine, plusieurs organisations non gouvernementales d’envergure ont vu le changement : du côté de Meta, la décision de cesser toute publicité « politique, électorale et sur les sujets sociaux » touchait un périmètre très large, et elles se retrouvaient prises dans le filet.

Plus du quart des publicités de l’UNICEF France rejetées

Pour preuve, le 6 octobre, « toutes nos publicités ont été rejetées et supprimées », explique la directrice de l’engagement de la Fondation des Femmes Lise Gallard. « On avait connaissance des mesures qu’ils comptaient prendre, on se préoccupait de ne plus pouvoir sponsoriser nos campagnes, mais sur le coup, toutes les publicités ont été supprimées, y compris des textes qui se contentaient de dire « tendons-leur la main ». »

Et ça continue, encore et encore

Coup sur coup, deux entreprises françaises ont reconnu des fuites de données. La quantité d’informations a priori dans la nature n’est cependant pas la même dans les deux cas, la fuite chez Médecin Direct étant la plus grave.

Alors que France Travail annonçait une nouvelle fuite de données il y a quelques jours, deux nouveaux piratages ont été confirmés en France. Pour le magasin de bricolage, SaxX a averti d’une fuite le 2 décembre. À ce moment, l’enseigne commençait à envoyer des e-mails pour prévenir les clients concernés que leurs données avaient été piratées. Dans la capture du courrier, on pouvait lire que celles-ci comprenaient le nom, le prénom, le numéro de téléphone, l’adresse e-mail, l’adresse postale et la date de naissance. Leroy Merlin précisant également que les coordonnées bancaires et les mots de passe n’étaient pas touchés.

Ce 4 décembre, Leroy Merlin a confirmé l’information au Monde, via l’AFP. « Les clients concernés ont été informés dès que nous avons pris connaissance de l’attaque », a ainsi indiqué l’enseigne, qui a ajouté que des vérifications étaient « en cours » pour mesurer l’étendue du problème. Comme toujours dans ce genre de cas, la CNIL a été prévenue (les entreprises y sont tenues par la loi) et une plainte va être déposée. Il est demandé aux clients, encore une fois, d’être vigilants sur l’usage frauduleux qui pourrait être fait de leurs données.

Médecin Direct : des données médicales dans la nature

Dans le cas de Médecin Direct, une plateforme de téléconsultation, le problème est plus grave. SaxX a publié hier la capture du courrier envoyé aux clients concernés. On peut y lire que des informations ont pu être dérobées. D’abord à caractère personnel, avec globalement les mêmes données que pour Leroy Merlin, auxquelles s’ajoute le numéro de sécurité sociale, s’il a été donné.

Surtout, des données de santé ont pu être exfiltrées : « l’objet de la téléconsultation, les données renseignées dans le questionnaire de pré-consultation, les données échangées par écrit avec le professionnel de santé », précise le courrier. « En revanche, les documents que vous avez pu transmettre ou recevoir à l’occasion de la téléconsultation ne sont pas concernés ». Le pire semble évité, mais les informations décrites peuvent quand même s’avérer très sensibles, selon les cas. On apprend également dans l’e-mail que l’intrusion aurait été détectée le 28 novembre.

À 01net, l’entreprise française a confirmé la fuite, sans développer : « Nos services fonctionnent normalement et nous avons renforcé nos mécanismes de surveillance et de protection. Notre plateforme dispose des niveaux de sécurité conformes au cadre réglementaire strict applicable à la télémédecine. Une enquête sur l’origine de cet incident a été diligentée et nous ne pouvons pas partager davantage de détails à ce stade ».

Dans les deux cas, SaxX affirme que c’est le groupe de pirates Dumpsec qui aurait revendiqué l’attaque. Ils seraient à l’origine d’une grande vague de piratages ces derniers mois, dont les 1 300 mairies que nous évoquions il y a peu.

• Des fuites de données « non sensibles » dans 1 300 mairies, les intermédiaires ciblés

Les risques sont toujours les mêmes. Ces informations, même quand elles ne sont pas sensibles comme peuvent l’être les données médicales, peuvent être utilisées dans le cadre de campagnes de phishing. Plus les pirates ont d’informations, plus ils peuvent personnaliser leurs tentatives. Avec suffisamment d’informations, le risque peut grimper jusqu’à l’usurpation d’identité.

• Quels sont les risques liés aux multiples fuites de vos données personnelles ?

Après la panne intervenue il y a 15 jours, Cloudflare a été touché par un nouvel incident. « Cloudflare enquête sur des problèmes liés à Cloudflare Dashboard et aux API associées », expliquait l’entreprise sur son site d’informations liées aux pannes à 9h56 heure française.

Cloudflare a ensuite ajouté qu’« une correction a été mise en œuvre » et qu’elle surveillait les résultats à 10h12.

Next a pu constater que ce problème a eu une incidence sur des sites grand public comme : Doctolib, Claude.ia, Downdetector (sa version française comme sa version internationale), Quora ou encore Zendesk. Une erreur 500 était affichée sur tous ces sites.

Ces services semblent tous de nouveau accessibles après la correction mise en place. La panne a duré une quinzaine de minutes, mais elle n’est pas passée inaperçue étant donné l’omniprésence de la plateforme sur Internet. À 10h20, Cloudflare annonce que « cet incident est résolu ».

La précédente panne était partie d’un petit changement de permissions.

• La grande panne de Cloudflare est partie d’un petit changement de permissions