Bis repetita placent

L’assurance santé Alan a alerté samedi les adhérents de ses entreprises clientes d’une fuite de sécurité survenue au niveau d’Almerys, son prestataire de tiers-payant. L’incident est susceptible d’avoir exposé état civil, numéro de sécurité sociale et numéro de contrat de l’assureur. Alan assure cependant que ses propres systèmes sont intacts et que les données de paiement, mots de passe et informations de santé ne sont pas concernés.

Nouvelle affaire sensible en vue dans le monde de la santé : l’assurance Alan, auréolée de son statut de licorne et d’une récente levée de fonds de 100 millions d’euros, a commencé à signaler par email aux employés des entreprises clientes de ses services d’un incident de sécurité susceptible d’avoir exposé des données personnelles.

« Vendredi 22 mai, notre prestataire en charge du tiers-payant (Almerys) nous a informés d’un incident de sécurité ayant touché leur plateforme », indique l’assurance, qui a également publié une notice d’information sur son site.

État civil et numéros de sécurité sociale en fuite

L’incident en question a notamment exposé les données d’état-civil des adhérents (nom, prénom, date et rang de naissance), le numéro de sécurité sociale, le numéro de contrat, et les dates de début et de fin de couverture.

Les informations bancaires, informations de contact, mots de passe et informations de santé (notamment soins ou remboursements) ne sont en revanche pas concernées par l’incident et sont toujours en sécurité.

Alan affirme en revanche n’avoir subi aucune intrusion au niveau de ses propres systèmes. « Votre espace personnel Alan est toujours accessible et sécurisé depuis votre application, et la gestion de vos remboursements continue sans interruption d’activité », écrit l’entreprise.

Côté Almerys, la découverte de l’incident a motivé la coupure du site de prise en charge (destiné aux transmissions). « En conséquence, les professionnels de santé (optique, audio, hôpitaux) peuvent rencontrer des difficultés pour soumettre des demandes de prise en charge pour les affiliés Alan », avertit l’assurance.

À ce stade, Alan communique de façon préventive, expliquant ne pas avoir encore la liste détaillée des personnes ou comptes concernés par la fuite. En attendant une information individuelle plus précise, l’assurance santé appelle clients et adhérents à la vigilance, notamment face à des communications suspectes évoquant la santé ou se revendiquant d’établissements et organismes du secteur.

« Nous avons immédiatement notifié l’ACPR (autorité de régulation des assurances), et nous préparons également une notification à la Cnil », écrit Alan.

15 millions de numéros de sécu dans la nature ?

« L’incident serait dû à une intrusion frauduleuse sur le site de prise en charge d’Almerys », avance Alan. Le prestataire concerné n’a pas encore communiqué publiquement sur le sujet.

Cette alerte intervient deux jours après qu’un pirate a revendiqué une attaque réussie sur Almerys, et affirmé, le 21 mai dernier sur un forum spécialisé, proposer à la vente un fichier de 44 millions de lignes contenant notamment 15,45 millions de numéros de sécurité sociale uniques. « Souvent, tous les membres d’une même famille sont liés à un seul numéro de sécurité sociale, ce qui permet un accès complet aux informations familiales », vante le pirate.

Rien ne permet toutefois à ce stade d’entériner la portée réelle de cette nouvelle exfiltration. On se souvient en effet que la plateforme a déjà connu un incident de sécurité majeur début 2024, en même temps que son homologue et concurrent Viamedis. Cette double fuite concernait à l’époque « plus de 33 millions de personnes » d’après la Cnil. L’affaire avait motivé l’ouverture d’une enquête par le parquet de Paris. Deux ans plus tard, ce nouvel incident dont la portée réelle reste encore inconnue confirme que la chaîne de gestion des données de santé éveille toujours les appétits délictueux…

Folle de la messe

Les géants de la tech ne savent plus à quel saint se vouer pour auréoler leur canasson de croisade. Autant demander à des experts leur avis, même si ces derniers semblent préoccupés de ne pas être entendus. Comment ce mélange des genres va-t-il bien pouvoir fructifier ? Prions de passer au moins le weekend peinard…

Le dauphin qui envoie des ondes libres

Flipper Device, le fabricant du Flipper Zero, gadget célèbre dans l’univers de la bidouille, du hack et du hardware, a annoncé hier le développement d’un nouvel outil, appelé « Flipper One ». Celui-ci, qui n’est pas une évolution du Zero, s’oriente plus vers une utilisation réseau. Si l’équipe a déjà bien avancé sur le projet, elle demande aussi de l’aide de la part de la communauté.

C’est en forme d’appel à la communauté que Pavel Zhovner, CEO de Flipper Device, a annoncé que son entreprise était en train de développer son nouvel outil/gadget : Flipper One. Dans un billet de blog titré « Flipper One : on a besoin de votre aide », il explique que Flipper One est un « projet sur lequel [ils travaillent] d’arrache-pied depuis des années et [qu’ils ont] repris plusieurs fois à partir de zéro ».

Le Flipper Zero, essentiellement conçu pour des utilisations autour de la sécurité, a été créé via une campagne Kickstarter en 2020 et n’a cessé de gagner en popularité. Au point qu’en 2024, le Brésil avait interdit sa vente et le Canada réfléchissait à faire de même pour contrer le vol de véhicules.

Les deux sont complémentaires

Mais comme nous le fait remarquer l’heureux possesseur d’un Flipper Zero, « le One n’est pas une évolution du Zero, ils sont complémentaires ».

Pavel Zhovner le confirme dans son billet de blog : « Flipper Zero et Flipper One sont deux projets totalement distincts, conçus pour des tâches différentes. Le moyen le plus simple de les appréhender est de les considérer en termes de couches réseau :

• Couche 0 — Protocoles de contrôle d’accès point à point hors ligne : NFC, RFID basse fréquence, radio Sub-1 GHz, infrarouge, protocoles filaires tels que iButton, UART, SPI, I²C. Basés sur un microcontrôleur à faible consommation.
• Couche 1 — Tout ce qui est connecté via IP : Wi-Fi, Ethernet, 5G et satellite. Il s’agit avant tout de mise en réseau, de transfert de données et de calcul haute performance. Fonctionne sur du matériel puissant et une boîte à outils Linux ouverte — une puissance de calcul suffisante pour gérer la radio logiciel (SDR) et de l’IA locale ».

On peut le vérifier dans les specs publiées sur le site de Flipper Device : si les deux outils ont des looks qui se ressemblent, les specs du One sont très différentes de celles du Zero, et pas seulement par le fait que le One est beaucoup plus gros.

Le One tourne sur deux processeurs (un CPU haute performance SoC RK3576 à 8 cœurs et un MCU compact à faible consommation Raspberry Pi RP2350 à deux cœurs), possède un rail d’antennes et même une interface GPIO.

On peut y connecter des modules via des interfaces PCI Express, USB 3.0 et SATA, ce qui peut par exemple permettre de brancher un module de SDR, un SDD ou un modem cellulaire, précise Pavel Zhovner. Encore une fois, le Flipper One est encore à l’état de projet et les spécifications peuvent encore changer.

Retrouver l’esprit du « personal computer »

Si cet outil réseau multifonction vous fait penser à un petit PC ou à un Raspberry Pi, c’est tout à fait normal. Pavel Zhovner a expliqué à Gizmodo que l’objectif de Flipper One était de corriger un bon nombre des inconvénients qui le dérangeaient dans les autres petits ordinateurs de ce type. Notamment, il pointe le problème, sur les Raspberry Pi, du câble d’alimentation spécifique.

Le projet tourne donc autour de l’ouverture, que ce soit au niveau du software comme du hardware. «Nous voulons créer une plateforme matérielle Linux véritablement ouverte : l’ordinateur ARM le mieux documenté, capable de fonctionner dès sa sortie de l’emballage avec n’importe quel noyau récent », explique-t-il dans son billet, côté hardware. « Prise en charge complète du noyau Linux principal, pas de blobs binaires, de pilotes fermés ni de micrologiciels propriétaires, pas de BSP (package de support de carte) verrouillé par un fournisseur », côté software.

L’équipe développe aussi un système d’exploitation dont le nom est Flipper OS, pour être original. Celui-ci s’appuie sur Debian et propose des « profils » de configuration qui permettent d’avoir des snapshots d’OS différents, avec différents paquets et paramètres préconfigurés. Il est possible de cloner, modifier un profil ou revenir à une copie vierge, comme un reset d’usine. L’idée est de se passer des galères d’installation avec micro SD qu’on peut rencontrer quand on utilise un Raspberry Pi.

Ils ont aussi ouvert un portail wiki avec toute la documentation du projet et de la façon dont on peut participer.

« Que vous soyez ingénieur, développeur, designer ou simplement un utilisateur passionné ayant des idées à partager, vous êtes les bienvenus pour participer au développement et contribuer à façonner Flipper One », explique Pavel Zhovner avec un lien pour rejoindre le projet. On peut aussi retrouver le projet sur GitHub et retrouver la maquette sur On Shape.

Virtual Pwned Network

Au terme d’une enquête ouverte fin 2021, les enquêteurs des polices française, néerlandaise et de 14 autres pays ont saisi et démantelé un service de VPN qui était « presque exclusivement » promu sur les forums de cybercriminels russophones. Son infrastructure aurait été préalablement compromise par les autorités, et plusieurs milliers de ses utilisateurs identifiés.

First VPN, un service « utilisé dans la quasi-totalité des grandes enquêtes sur la cybercriminalité menées avec le soutien d’Europol ces dernières années » pour dissimuler des attaques par ransomware, des vols de données et d’autres infractions graves, a été démantelé lors d’une opération internationale menée par la France et les Pays-Bas, avec le soutien d’Europol et d’Eurojust.

Laure Beccuau, procureure de la République, précise qu’une enquête avait été ouverte en décembre 2021 par la section de lutte contre la cybercriminalité du parquet de Paris, « devant le constat récurrent de l’utilisation de ce service VPN pour la commission de nombreuses infractions au préjudice de victimes françaises ».

Son communiqué souligne que le service « faisait de la publicité exclusivement sur des forums cybercriminels ». Celui (.pdf) de l’Internet Crime Complaint Center (IC3) du FBI qu’ « au moins 25 groupes de ransomwares, tels qu’Avaddon Ransomware », ont utilisé l’infrastructure First VPN Service pour effectuer des reconnaissances et des intrusions.

« Nous ne sommes soumis à aucune juridiction »

First VPN ne faisait au surplus « presque exclusivement » de publicité de ses services que sur des forums criminels connus du dark web tels que Exploit[.]in et XSS[.]is, deux des plus importants forums et places de marché noir dédiés aux cybercriminels en langue russe.

Pendant des années, il a été présenté sur des forums de cybercriminalité russophones comme « un outil fiable permettant d’échapper aux forces de l’ordre », relève Europol, proposant à ses utilisateurs des paiements anonymes, une infrastructure dissimulée et des services « spécialement conçus pour des activités criminelles ».

Dans sa FAQ, First VPN indiquait ne conserver aucun log de ses utilisateurs, mais également que « Nous ne sommes soumis à aucune juridiction », et donc qu’« aucune circonstance ne nous obligerait à divulguer des informations concernant nos utilisateurs » :

« Nous ne conservons aucun journal qui permettrait, à nous-mêmes ou à des tiers, d’associer une adresse IP à un utilisateur de notre service pour une période donnée. Les seules données que nous conservons sont l’adresse e-mail et le nom d’utilisateur, mais il est impossible de relier l’activité de l’utilisateur sur Internet à un utilisateur spécifique de notre service. »

Le principal administrateur était localisé en Ukraine

Les investigations diligentées par la brigade de lutte contre la cybercriminalité de la Direction de la Police Judiciaire et par l’Office anti-cybercriminalité (OFAC) ont permis d’établir que ce service, qui existait depuis 2014, avait pu être utilisé par plus de 5 000 comptes, et de recueillir des éléments intéressant des enquêtes sur des ransomwares, comme Phobos.

Eurojust explique avoir ouvert une enquête à la demande des autorités françaises en mai 2022. Une équipe d’enquête conjointe avait été mise en place en novembre 2023, permettant aux autorités françaises et néerlandaises d’échanger des éléments de preuve et des informations, et de définir une stratégie en matière de poursuites.

Eurojust avait depuis organisé 16 réunions de coordination entre les autorités concernées afin de préparer l’opération coordonnée qui a permis la saisie des serveurs, des noms de domaine et le démantèlement de l’infrastructure les 19 et 20 mai.

Les États-Unis, le Canada, et l’Allemagne ont également contribué à l’enquête. L’Ukraine, la Suisse, le Royaume-Uni, le Luxembourg et la Roumanie ont quant à eux participé à la journée d’action.

Le principal administrateur, localisé en Ukraine, y a été entendu à la demande du juge d’instruction français, en présence des enquêteurs de la brigade de lutte contre la cybercriminalité. Les différents communiqués ne précisent pas s’il a aussi été inculpé, ni incarcéré, ni les peines qu’il encourrait.

Des milliers d’utilisateurs identifiés

Les utilisateurs de First VPN ont également été informés de la fermeture et du fait qu’ils avaient été identifiés, souligne Europol, qui avance aussi que « les enquêteurs ont identifié des milliers d’utilisateurs impliqués dans des activités de cybercriminalité ».

Les renseignements recueillis ont également « généré des pistes opérationnelles » en rapport avec des attaques par ransomware, des stratagèmes frauduleux et d’autres infractions graves à l’échelle mondiale.

Partagés au sein d’un groupe de travail réunissant des enquêteurs de 16 pays, ils auraient d’ores et déjà donné lieu à des résultats concrets au niveau d’Europol, qui mentionne la diffusion de 83 dossiers de renseignements, le partage à l’échelle internationale d’informations concernant 506 utilisateurs, et le fait que 21 enquêtes ont progressé grâce aux renseignements obtenus.

Europol ne précise ni pourquoi les enquêteurs auraient mis 5 ans avant de pouvoir démanteler l’infrastructure, ni comment ils auraient mis moins de 48 heures à exploiter les données saisies.

BleepingComputer avance cela dit que les enquêteurs avaient réussi à s’infiltrer dans l’infrastructure VPN avant qu’elle ne soit mise hors ligne, récupérer la base de données des utilisateurs et identifier les connexions VPN utilisées par les cybercriminels lors de leurs attaques.

Un site web dédié, operation-saffron.eu, arbore les logos des 13 unités impliquées dans l’enquête, et propose également un petit dessin animé ironisant sur le fait qu’elles seraient bel et bien parvenues à pirater l’infrastructure de First VPN, et à récupérer les données de ses utilisateurs.

Take-Two Interactive, maison mère de Rockstar, a rassuré aussi bien les joueurs que les investisseurs en confirmant, jeudi 21 mai, la date de sortie programmée du prochain opus de la série Grand Theft Auto. Sauf accident sur la dernière ligne droite, le très attendu GTA VI devrait ainsi venir à la rencontre de son public à compter du 19 novembre 2026.

Rappelons que Take-Two et Rockstar ont officiellement annoncé et présenté GTA VI fin 2023 au moyen d’un premier trailer. Le jeu était alors annoncé pour novembre 2025, un timing évidemment choisi pour capitaliser au maximum sur la période des fêtes de fin d’année. Le jeu a par la suite été repoussé à deux reprises, d’abord au mois de mai 2026, puis à l’automne, avec la date du 19 novembre 2026 déjà avancée en novembre dernier.

Que Rockstar maintienne cette date programmée à six mois de l’échéance est perçu comme un gage de confiance pour Take-Two, qui n’hésite pas à pronostiquer un impact significatif sur ses résultats financiers au cours des prochains trimestres.

« Nous sommes convaincus que l’exercice 2027 établira de nouveaux records de performance opérationnelle, grâce au lancement de Grand Theft Auto 6 le 19 novembre et à une excellente exécution de nos stratégies sur l’ensemble de notre portefeuille », écrit le CEO Strauss Zelnick dans le communiqué d’annonce des résultats financiers du groupe pour le quatrième trimestre de son exercice fiscal 2026 (clos au 31 mars dernier).

Pour son exercice 2026, Take-Two revendique 6,72 milliards de dollars de net bookings (réservations nettes, l’indicateur qui fait office de chiffre d’affaires dans le monde du jeu vidéo, où la distribution indirecte induit des décalages). Pour l’exercice 2027, qui couvre donc la période allant du 1er avril 2026 au 1er avril 2027, il envisage des net bookings compris entre 8 et 8,2 milliards de dollars.

Le calendrier des sorties des différents studios maison (Rockstar, 2K Games, Zynga) recèle d’autres titres à bon potentiel commercial (NBA 2K27 est par exemple attendu pour septembre 2026), mais le nouveau GTA devrait sans surprise constituer la principale locomotive de la croissance attendue. La série est en effet devenue une véritable vache à lait pour Rockstar et Take-Two.

GTA V, lancé en 2013 (tout de même !) comptabilise aujourd’hui 225 millions de ventes, indique Take-Two, et l’abonnement lancé en 2022 (Grand Theft Auto Online) continue à alimenter la machine. Les documents extraits des serveurs de Rockstar lors de l’attaque revendiquée par ShinyHunters, en avril dernier, avaient ainsi révélé que GTA Online a engrangé près de 500 millions de dollars entre septembre 2025 et avril 2026, soit en moyenne 9,6 millions de dollars par semaine.

Rockstar n’a pour l’instant pas communiqué sur l’éventuel abonnement qui pourrait être associé à GTA 6. La campagne marketing visant à préparer le lancement devrait débuter dans le courant de l’été.

Des tests « récréatifs », vraiment ?

Le projet de loi SURE qui est en cours de lecture au parlement prévoit que la police scientifique puisse s’appuyer sur les données collectées par les entreprises étrangères de tests ADN « récréatifs ». Il étend aussi le périmètre des infractions entrainant l’inscription au FNAEG. « Un changement de paradigme éthique », selon la CNIL. En parallèle, des députés Renaissance ont proposé de légaliser les tests ADN « récréatifs » en France.

Gérald Darmanin l’annonçait en octobre dernier, le projet de loi dite SURE prévoit que la police technique et scientifique puisse s’appuyer sur les données collectées par les entreprises étrangères de tests ADN pour retrouver l’identité d’une personne dont elle a trouvé une trace génétique.

Ce texte « sur la justice criminelle et le respect des victimes », surnommé SURE pour « Sanction Utile, Rapide et Effective » par le ministère, prévoit aussi d’élargir les causes d’inscription au FNAEG, le Fichier national automatisé des empreintes génétiques.

Déposé en mars au Sénat par le garde des Sceaux, il a été voté par les sénateurs en première lecture le 14 avril dernier et doit maintenant passer devant les députés.

Les cold cases comme prétextes

Le garde des Sceaux s’est appuyé sur la résolution de « cold case » pour le médiatiser, évoquant l’affaire du « prédateur des bois ». Le FBI avait identifié « des personnes pouvant être des ascendants de l’auteur des faits », comme l’expliquait à l’AFP la procureure de la République de Paris, Laure Beccuau, en 2022. À l’époque, le juge d’instruction du tribunal judiciaire de Paris avait sollicité les autorités étatsuniennes « par le biais d’une commission rogatoire internationale aux fins d’analyse génétique ».

Ce ne sont pas que les « cold cases » qui seront concernés, mais également les enquêtes concernant le terrorisme, un meurtre, un assassinat, des actes de torture ou de barbarie, un viol, un enlèvement ou une séquestration.

L’article 3 du texte prévoit ainsi que « le juge des libertés et de la détention, sur requête du procureur de la République ou, après avis de ce magistrat, le juge d’instruction peut, par décision écrite et motivée, ordonner l’analyse d’une empreinte génétique établie à partir d’une trace biologique issue d’une personne inconnue et sa comparaison avec les données de bases de données génétiques établies hors du territoire de la République sur le fondement d’un droit étranger, aux fins de recherche de personnes pouvant être apparentées à la personne dont l’identification est recherchée ».

Accès aux données d’entreprises comme 23andMe pour pallier les limites du FNAEG

Starlink a commencé à informer ses abonnés français d’une hausse de prix à venir sur le montant de ses abonnements, qui sera appliquée au 20 juin prochain. Elle se répercute également dès à présent sur les nouveaux clients.

Les trois forfaits résidentiels passent ainsi à respectivement 35, 45 et 65 euros par mois, alors que les offres refondues en mars dernier s’établissaient à 29, 39 et 59 euros par mois. Le mode veille, qui n’est plus proposé aux nouveaux clients, voit quant à lui son tarif doubler pour les abonnés existants, passant de 5 à 10 euros par mois.

« La forte demande pour Starlink reflète la valeur que les clients continuent d’accorder au service. Cette mise à jour permet de poursuivre les améliorations et les investissements dans des produits et services performants et accessibles, alors que les coûts opérationnels mondiaux continuent d’augmenter », justifie l’opérateur dans l’e-mail envoyé à ses clients existants.

La hausse ne concerne pas que la France. Aux États-Unis, les trois offres résidentielles voient elles aussi leur prix augmenter. Les trois paliers tarifaires en vigueur (50, 80, 120 dollars par mois) augmentent ainsi de 5 à 10 dollars pour s’établir à 55, 85 et 130 dollars par mois.

Cette hausse de prix intervient alors que SpaceX, maison mère de Starlink, vient de déposer le document d’enregistrement préalable à son introduction en bourse. Or ce dernier révèle que parmi les différentes composantes du nouvel ensemble constitué par SpaceX, xAI et X, l’activité Connectivité est la seule à afficher un compte d’exploitation positif, avec une rentabilité particulièrement élevée pour le secteur, sur la base d’un parc mondial de 10,3 millions de clients au 31 mars dernier. Difficile dans ce contexte de ne pas supposer que ces derniers sont mis à contribution pour enjoliver la mariée.

• Ce que révèlent les comptes de SpaceX à l’aube de son introduction en bourse

Importés des États-Unis, les plans de retour à la performance visent normalement à « soutenir le salarié dans sa progression et de lui permettre de maintenir son employabilité », relève Basta.

Également connus sous les acronymes PIP (performance improvement plan), PRPA, PAP ou encore Pivot, ils serviraient cela dit à mettre des salariés sous pression, afin de les pousser à démissionner, ou à préparer un licenciement pour insuffisance professionnelle.

L’enquête de Basta indique que ce nouvel « outil managérial a fait une entrée fracassante dans de nombreuses entreprises du secteur informatique, de la Tech ou encore du conseil » :

« Leur principe : un salarié jugé en dessous des attentes se voit imposer un certain nombre d’objectifs à accomplir en 30 à 90 jours. S’ils ne sont pas atteints, il est licencié sans indemnité. »

Largement utilisés aux États-Unis par les multinationales du numérique depuis la période post-Covid, ils ont depuis été déployés chez Capgemini, Amazon, Leboncoin, Red Hat… se concluant souvent par des départs de salariés.

« En temps normal, ces licenciements sont plutôt rares, car vus comme un parcours du combattant pour l’employeur. Il faut prouver que le salarié sous-performe, mais aussi qu’il a été suffisamment accompagné et formé avant de pouvoir être licencié. C’est justifié par le fait qu’en droit français, c’est la période d’essai qui doit permettre de savoir si un salarié fait l’affaire ou non », explique à Basta un inspecteur du travail souhaitant rester anonyme :

« Évidemment, l’intérêt de l’employeur est de ne pas passer par la case prud’hommes. Un PIP peut permettre d’abuser un salarié sur ce qu’est juridiquement l’insuffisance professionnelle, en le laissant penser que son licenciement est juste car appuyé sur un document plus ou moins bien rédigé. »

Capgemini a ainsi présenté, en janvier 2026, un projet dit « d’adaptation des compétences et des emplois » qui se traduirait par la suppression de plus de 2 400 postes en France.

ConsommAtIon

Devant les impacts énergétiques et environnementaux de l’intelligence artificielle générative, l’ARCEP appelle à améliorer les mesures réalisées tout au long de la chaîne de valeur, ainsi qu’à promouvoir l’écoconception des services et la maîtrise des usages.

La maîtrise de l’intelligence artificielle relève d’enjeux « de compétitivité et de souveraineté », mais elle soulève aussi une série d’enjeux environnementaux que l’Arcep appelle à mieux étudier. À défaut, l’absence d’évaluation sur toute la chaîne de valeur empêche d’« anticiper et maîtriser ces impacts », indique-t-elle dans son rapport « intelligence artificielle générative : quels défis environnementaux » publié ce 21 mai.

« Si l’IA, notamment générative, peut permettre des actions en faveur de la transition environnementale et de la réduction d’impacts environnementaux de différents secteurs », écrit l’Arcep sans donner d’exemple précis, « elle apparaît elle-même comme un facteur d’accélération potentielle de nombreux impacts environnementaux ». Or, ceci crée des « inquiétudes légitimes qui sont renforcées aujourd’hui par le manque de transparence des acteurs de la chaîne de valeur ».

« À ce jour, aucun consensus scientifique n’existe sur l’impact environnemental net du numérique c’est-à-dire sur son empreinte environnementale nette de ses effets indirects (positifs ou négatifs) », admet l’institution, qui entend par ces travaux participer à la discussion générale sur le sujet. Le rapport inclut en effet des tests menés par le Pôle de Régulation Numérique (PeREN), dont l’un des principaux constats est que la qualité des résultats d’un modèle n’est pas nécessairement lié à sa taille. Autrement dit, « limiter l’empreinte énergétique n’implique pas toujours des compromis sur la performance ».

• [Algorithmique 4/6] IA qu’à algorithmiser le climat ?

S’appuyant sur les travaux de la chercheuse Sasha Luccioni (qui ne se limitent pas à l’IA générative mais intègrent les projets de deep learning antérieurs), l’Arcep relève que « sur 754 modèles analysés, déployés entre 2010 et le premier trimestre 2025, 84 % ne font l’objet d’aucune information environnementale, 14 % des modèles font indirectement l’objet d’information environnementale (…) et seulement 2 % des modèles font l’objet d’information de manière directe à date de mai 2025. » Elle recommande d’améliorer la mesure de l’impact environnemental de l’IA au long de sa chaîne de valeur, pour mieux les maîtriser.

« Au-delà des infrastructures et des ressources, le développement de l’IA engendre des effets systémiques susceptibles d’amplifier [la] tension sur les ressources », souligne l’Arcep, en tête desquels l’effet rebond. « Les gains d’efficacité et la baisse des coûts d’accès à ces technologies, dont certaines sont aujourd’hui proposées gratuitement, favorisent une diffusion rapide des usages, qui conduit à une augmentation globale de la demande en calcul et en données. » Pour l’institution, « promouvoir l’écoconception des services d’IA » constitue un « levier stratégique de la compétitivité européenne ».

Surtout, l’Arcep invite à « prendre en compte les enjeux de soutenabilité et de souveraineté dans la stratégie d’implantation des centres de données en Europe ». Dans le cadre de la récente adoption de la loi de simplification de la vie économique, dont l’article 15 permet d’octroyer à des centres de données le statut de Projet d’intérêt national majeur, le juriste Jérémy Bousquet argumente, lui, que la préoccupation de la souveraineté prime pour le moment sur toute considération environnementale dans la stratégie française.

• Consommation des datacenters en France :+ 38 % sur l’électricité et + 16 % sur l’eau, en trois ans

Dynamique d’adoption rapide

En France, alors qu’un cinquième de la population déclarait avoir recours à l’IA générative en 2023, « ce chiffre atteint déjà près de la moitié en 2025 (48 % exactement), soit une progression de 28 points en deux ans ». Loin d’être spécifique à l’Hexagone, cette rapidité d’adoption se constate ailleurs dans le monde, mais aussi dans le monde professionnel, où « la part des entreprises de l’Union européenne de 10 salariés ou plus déclarant utiliser au moins un service d’IA est passée de 8 % en 2023 à 20 % en 2025 ». Dans celle de plus de 250 salariés, cette proportion est passée de « 30 % en 2023 à 55 % en 2025 ».

Plus rond, plus coloré, et plus facile à personnaliser : Firefox devrait faire l’objet d’une refonte d’interface dans le courant de l’année. Mozilla a donné un avant-goût de son travail de design en cours, surnommé projet Nova en interne, dans un billet daté du 21 mai : « Nous souhaitons offrir une base plus cohérente à Firefox : un navigateur plus épuré, plus convivial, plus rapide et plus adaptable ».

En pratique ? Les premières captures d’écran diffusées par Mozilla ne bouleversent pas l’expérience, mais elles montrent des onglets et des éléments d’interface aux bords arrondis. Le profil utilisateur et le menu Réglages sont déportés au niveau de la barre d’onglets, de façon à laisser plus de place à la barre d’adresses et aux raccourcis vers les extensions ou les fonctions embarquées, à l’image du récent VPN gratuit lancé par la fondation.

Mozilla promet par ailleurs que cette refonte simplifiera, d’un point de vue ergonomique, les options de navigation, de création de groupes, ou de vue partagée entre les différents onglets. Elle s’engage également à rétablir un mode compact. « On nous a dit que ça nous manquait, et on a écouté. Si vous voulez des commandes de navigateur aussi épurées que possible, [ce mode] est fait pour vous. »

Les réglages liés à la vie privée (options pour limiter le suivi publicitaire par exemple, dont vous ne risquez pas d’avoir besoin sur Next ;-)) devraient également être clarifiés. Mozilla annonce enfin de nouvelles options de personnalisation graphiques : thèmes, fonds d’écran, choix de couleur sur les éléments d’interface notamment.

L’effort se porte dans un premier temps sur la version desktop du navigateur, mais Firefox mobile devrait également à terme voir son design harmonisé avec ces nouveaux préceptes. Les plus curieux pourront tester l’interface Nova en conditions réelles en activant le paramètre browser.nova.enabled au sein d’une des dernières Nightly (versions de test potentiellement instables) du navigateur.

Parmi les alternatives disponibles sur le marché, Vivaldi vient de passer en version 8.0 avec là aussi un travail réalisé sur l’interface et la personnalisation.

« Attrapez-les tous »

« J’étais en manque d’attention et seul dans ma chambre. Je ne voyais personne, je m’ennuyais et j’ai dérapé », a expliqué le maraîcher de 21 ans mis en examen pour avoir piraté le fichier des détenteurs d’armes à feu. Le Monde revient aussi sur le profil de ShinyHunters, un groupe de jeunes pirates français dont le nom fait référence aux Pokémons et qui, s’étant développé à l’international, a piraté depuis 2020 des dizaines de grandes entreprises et dérobé près de deux milliards de comptes.

Article mis à jour à 11h29 avec le rajout de la mention d’un troisième article : Moyenne d’âge : 17 ans, qui passe « sa vie sur les forums »

---

Dans son rapport annuel sur la cybercriminalité, le commandement du ministère de l’Intérieur dans le cyberespace (COMCYBER-MI) soulignait récemment que l’interpellation de plusieurs Français, à la demande du FBI ou par les autorités françaises, membres présumés du groupe de pirates ShinyHunters, aurait incité plusieurs pirates à s’attaquer aux institutions, administrations, organisations, fédérations, associations et entreprises françaises.

Une recrudescence de cyberattaques accentuée suite au rapprochement en 2025 de plusieurs groupes de pirates issus de ShinyHunters, Scattered Spider et Lapsus$ (dont sept membres âgés de 16 à 21 ans avaient été arrêtés par la police britannique en 2022) au sein de Scattered Lapsus$ Hunters, également qualifié de « trinité du chaos », et réunissant de jeunes pirates anglophones s’étant illustrés par de très nombreux et coûteux vols de données.

• Vols de données : les pirates ciblent la France (ou le font croire) pour se venger

Dans une enquête en neuf parties intitulée « Données personnelles, la grande fuite », Le Monde revient entre autres sur l’histoire de ShinyHunters, un « groupe de pirates tapageurs parmi les plus actifs, ces six dernières années, dans le vol de données et dans l’extorsion ». Il s’était notamment fait connaître en relançant la place de marché noir BreachForums après l’arrestation, en avril 2023, de son administrateur Pompompurin par le FBI aux États-Unis.

• La succession d’erreurs qui a permis au FBI d’identifier l’administrateur de BreachForums

Créé en 2019, ShinyHunters, dont le nom s’inspire des Pokémons brillants (shiny, en anglais), s’était d’abord fait connaître en vendant des données volées à plus de 60 entreprises, entre avril 2020 et juin 2021, sur RaidForums et Empire Market.

• L’AdminSys de RaidForums identifié « à l’insu de son plein gré »

En 2022, trois jeunes Français, accusés par le FBI d’avoir « pompé l’équivalent de 200 millions de données d’une dizaine d’entreprises dans le monde », étaient interpellés. Si Abdel-Hakim E. et Gabriel B. s’accusent mutuellement, raconte Le Monde, Sébastien Raoult, qui a alors 20 ans, réfute avoir fait partie du groupe. Arrêté au Maroc puis extradé aux États-Unis, il a été condamné à trois ans de prison et, de retour en France, a depuis raconté son histoire au Parisien et à Brut.

Depuis, ShinyHunters serait devenue une sorte de franchise, revendiquée par une nouvelle génération de pirates, s’affranchissant des limites hexagonales pour se développer dans l’écosystème anglophone.

L’article qui lui est consacré dans la version anglaise de Wikipedia attribue à ShinyHunters le vol de près de 1,8 milliard de comptes clients via le piratage ou la compromission (souvent par ingénierie sociale) de GitHub, Wattpad, Mashable, AT&T, Ticketmaster, LVMH, Quantas, Jaguar Land Rover, Kering, Pornhub, SoundCloud, Rockstar Games, la Commission européenne, ainsi que Salesforce, qui lui aurait permis de potentiellement pouvoir compromettre 700 de ses clients.

• 2,5 milliards d’utilisateurs Gmail compromis ? Non, mais 700 entreprises potentiellement

Un groupe « profondément lié à la France »

Vaut mieux les avoir en photo qu’à manger

L’Arcep dresse le bilan de l’empreinte écologique des datacenters et de son évolution au fil des années. En France, les datacenters ont consommé 2,7 TWh d’électricité en 2024, et 575 000 m³ d’eau. C’est en même temps beaucoup et peu, question de point de vue. Pour vous situer, nous avons comparé ces chiffres à ceux de Google sur la même année.

Cela fait maintenant plusieurs années que le régulateur des télécoms, l’Arcep, publie une enquête sur l’évolution et l’impact environnemental du numérique en France. La 5ᵉ édition vient de paraître, avec des données chiffrées sur les datacenters. Elles sont remontées par les opérateurs eux-mêmes, puis agrégées. Elles permettent d’avoir une vue globale de la situation en France.

Un mot sur la méthodologie. Les entreprises doivent remonter des données quand leur chiffre d’affaires annuel dépasse les 10 millions d’euros (HT) ou quand la puissance totale dépasse les 100 kW, avec pour activité principale la mise à disposition d’infrastructures dans des datacenters (opérateurs de colocation et de co-hébergement).

Toutefois, les organismes qui disposent de leurs propres datacenters pour un usage interne sont exclus du périmètre. Au total, 23 opérateurs ont répondu en 2024, ce qui représente un total de 160 datacenters en exploitation en France. L’Arcep indique que l’âge moyen des centres de données était de 14 ans en 2024.

Plus d’électricité et plus d’émissions de gaz à effet de serre

Cela ne surprendra personne : la consommation électrique est en augmentation soutenue depuis un moment déjà : 12 % de plus en un an en 2024, après des hausses de 8 et 12 % les deux années précédentes. En trois ans, elle a grimpé de 38 %, passant de 2,0 à 2,7 TWh.

À titre de comparaison, la consommation des datacenters de Google en 2024 était de… 30,8 TWh (en hausse de 29 % sur un an, de 50 % sur deux ans). Google consomme plus de 10 fois plus que l’ensemble des datacenters concernés par l’étude de l’Arcep pour la France.

Le régulateur reconnait lui-même qu’il y a des manques : « les centres de données étudiés dans le cadre de la présente publication représentent environ 50 % de l’ensemble des centres de données de colocation en service en France en 2020 ». Il n’en reste pas moins que l’écart entre les DC en France et ceux de Google est immense.

Les émissions de gaz à effet de serre suivent la même tendance, mais avec une hausse plus importante :+ 44 % en trois ans. La tendance est à l’accélération au cours des dernières années, avec 23 % de plus en 2024 par rapport à 2023, contre 13 et 4 % les deux années précédentes. En 2024, les datacenters ont ainsi générés 178 000 tonnes équivalent CO₂.

Pour l’Arcep, la majeure partie de l’augmentation de la consommation électrique vient des datacenters « nouvellement mis en service (entre 2021 et 2023) ». Pour les émissions de gaz à effet de serre, deux facteurs se mélangent : la hausse brute de la consommation électrique et des « facteurs d’émissions (énergie plus carbonée) ».

En France, le PUE baisse

L’Arcep a la bonne idée de décomposer la consommation électrique des datacenters : les équipements informatiques d’un côté et le reste (refroidissement, tertiaire…) de l’autre. Cela permet d’obtenir le PUE moyen des datacenters en France. PUE pour Power Usage Effectiveness, un indicateur dont nous avons longuement détaillé le fonctionnement et les limites.

• Tout savoir sur la consommation électrique des datacenters : PUE, ses pièges et angles morts

Il est en baisse depuis plusieurs années car si la consommation des équipements IT augmente, celle du reste du datacenter reste relativement stable. De fait, la proportion de la consommation des serveurs prend plus d’importance.

Notez que les PUE indiqués ci-dessous sont issus du rapport complet de l’Arcep qui annonce des baisses de 0,04 point depuis deux ans. Le calcul direct à partir des consommations totales est moins précis à cause des approximations au dixième de TWh.

• 2022 : PUE de 1,51
• 2023 : PUE de 1,46
• 2024 : PUE de 1,42

Ça PUE grave !

Dans une série d’articles, nous allons vous donner les clés pour comprendre l’empreinte environnementale des datacenters, un vaste sujet bien plus complexe que simplement parler des litres d’eau et des watts d’électricité. Après l’eau, passons à l’électricité et son indicateur d’efficacité : le PUE. Il doit lui aussi s’apprécier dans toute sa complexité.

Après l’eau dans le premier article de notre dossier, passons à l’électricité avec le PUE (Power Usage Effectiveness). Une définition : c’est le rapport entre la consommation totale du datacenter et celle dédiée aux équipements informatiques (IT).

Plus le PUE est proche de 1, plus l’infrastructure du datacenter consomme peu d’énergie par rapport à celle des équipements IT (dont les serveurs). Le minimum théorique est 1, mais c’est une chimère impossible à atteindre en pratique car cela voudrait dire que l’ensemble de la consommation électrique est utilisé par les seuls équipements informatiques, or il en faut aussi pour faire tourner le bâtiment (éclairage, onduleurs, pompes, pertes…).

Un ordre de grandeur, rappelé par l’Ademe : « Le PUE moyen est de 1,7 en France et de 1,6 dans l’Union européenne, alors que le PUE doit tendre vers 1,2, valeur maximale acceptable pour les nouvelles installations ». Des datacenters descendent aussi en dessous de 1,2 et atteignent 1,1.

• Tout savoir de la consommation en eau des datacenters, le WUE et ses limites

Attention à ne pas tomber dans un piège : un bon PUE ne signifie pas une faible consommation électrique, cela n’a vraiment rien à voir. Le PUE est un rapport (sans unité) et ne mesure pas une consommation en tant que telle. Un datacenter avec un PUE de 1,1 peut consommer largement plus d’électricité qu’un autre avec un PUE de 1,6, et vice-versa. De plus, deux datacenters peuvent consommer respectivement 1 MW ou 10 GW et avoir rigoureusement le même PUE.

Ajoutons que le PUE ne donne pas la moindre indication sur la puissance électrique maximale utilisée par le datacenter. Or, son implémentation peut créer une contrainte locale importante s’il demande plusieurs dizaines ou centaines de MW en continu ; on parle même de GW pour les plus gros datacenters qui peuvent alors absorber une partie non négligeable de la puissance disponible dans une zone.

Maintenant que les présentations et les mises en garde sont faites, passons aux choses sérieuses. Comme nous allons le voir, il y a PUE et… PUE.

1…2 et 3 PUE, suivant les points de mesure de la consommation

Comme lors du précédent changement de version, c’est autour de l’interface que se concentrent les nouveautés de Vivaldi 8.0, publié jeudi 21 mai par l’éditeur norvégien. Il en parle comme de sa « plus grande refonte de design à ce jour » et promet des éléments désormais « unifiés » au sein d’un même ensemble plus lisse.

« Nous avons abordé l’interface de Vivaldi moins comme une collection de composants que comme un système en couches. Auparavant, ces couches (onglets, barres d’outils, panneaux et contenu) présentaient des séparations subtiles. C’était utile, mais aussi un peu fragmenté. Avec l’unification de l’interface, ces frontières sont supprimées », explique Jon von Tetzchner, CEO de Vivaldi, dans un billet d’annonce.

C’est au travers des nouveaux thèmes (au nombre de six, sans compter les contributions de la communauté) que s’incarne le mieux ce changement. L’habillage graphique englobe en effet l’intégralité des éléments d’interface, là où la version précédente laissait effectivement apparaître une forme de zonage, ou des démarcations, entre les éléments de navigation, les onglets, les actions contextuelles, etc.

« Les fonds d’écran ressemblent moins à de la décoration qu’à une partie de l’environnement, surtout lorsqu’ils sont combinés avec la translucidité et le flou. Du point de vue du système, cela réduit la complexité. Moins de couches, moins d’exceptions et une base plus cohérente sur laquelle s’appuyer », fait remarquer Jon von Tetzchner.

Cette dimension liée à la personnalisation transparait également dans les nouvelles options d’agencement proposées au premier lancement du navigateur puis accessibles depuis les options (Réglages / Apparence / Dispositions prédéfinies). L’utilisateur se voit ainsi proposer six configurations par défaut qui régissent l’emplacement des onglets et de la barre d’adresse, ainsi qu’un mode « Masquage automatique » qui fait disparaître les éléments d’interface dès que la souris les quitte pour obtenir un rendu plein écran. Sur le plan fonctionnel, Vivaldi conserve sans surprise toutes les options de gestion des onglets qui font son succès.

Vivaldi 8.0 est dès à présent disponible au téléchargement pour Windows, MacOS et Linux. Les utilisateurs d’une version antérieure devraient rapidement basculer vers la nouvelle version si l’option de mise à jour automatique est activée dans leurs réglages.

Des promesses qui tardent à se concrétiser

Les industriels français du secteur se réunissent pour pousser la Commission européenne à réaliser sa promesse d’investissement de 20 milliards d’euros dans cinq gigafactories IA à travers l’Europe.

Scaleway voit Orange, EDF, Ardian et Capgemini la rejoindre dans son consortium AION lancé en juin 2025 pour répondre à un futur appel d’offres de l’UE sur une gigafactory IA. AION prétendait réunir des « partenaires publics, privés et académiques pour bâtir une infrastructure IA puissante et souveraine en Europe ».

À l’époque, Bull (anciennement Eviden, qui a repris son nom d’origine en parallèle de son rachat par l’État français), VSORA, Kyutai (filiale aussi d’iliad et de CMA CGM), Sopra Steria, SiPearl, Artefact, ZML, Hugging Face et H company faisaient déjà partie du projet, avec le soutien de l’infrastructure publique de recherche GENCI et de l’Inria. Mais AION semble montrer les muscles alors qu’il attend impatiemment la publication de l’appel d’offres de l’UE.

L’idée est surtout de répondre à un futur appel d’offres de l’UE sur les 20 milliards d’euros dédiés à des « gigafactories » de l’IA que la présidente de la Commission, Ursula von der Leyen, avait annoncés en février 2025 à l’occasion du Sommet pour l’action sur l’IA.

Un financement européen qui se fait attendre

Elle avait promis le financement de quatre futures giga-usines d’IA dans l’ensemble de l’UE. La Commission et EuroHPC avaient lancé une consultation publique sur le sujet en avril 2025 et Scaleway avait créé AION pour y répondre. Depuis, la Commission parle plutôt de financer cinq projets sur le territoire de l’Union européenne en évoquant toujours le même investissement. Finalement, l’institution européenne expliquait avoir reçu « 76 manifestations d’intérêt proposant la création de gigafactories d’IA dans 16 États membres, sur 60 sites différents » et promettait « de lancer, au quatrième trimestre 2025, un appel à projets officiel pour la création de « gigafactories » d’IA dans l’UE ».

Mais, depuis, les 76 potentiels candidats n’ont toujours rien vu venir. L’annonce de l’arrivée d’Orange, EDF, Ardian et Capgemini dans AION a tout d’un appel du pied du secteur français à la Commission pour qu’elle n’oublie pas sa promesse faite à un moment où les annonces d’investissements fleurissaient. Scaleway et ses partenaires veulent montrer leurs ambitions et leur détermination, d’autant qu’un pays ne pourrait accueillir qu’un lauréat.

L’affichage d’un besoin de souveraineté aussi pour l’IA

« Il n’y en aura pas 27 [dans chaque pays membre], il faut qu’il y en ait une en France », a déclaré Damien Lucas, le directeur général de Scaleway. Les entreprises évoquent un investissement de 10 milliards d’euros (dont 4 milliards environ pour le groupe iliad) pour un projet qui devrait d’abord demander une puissance de 100 mégawatts à l’ouverture et affiche un besoin de 1 gigawatts à terme. De fait, il pourrait être réparti sur plusieurs sites comme celui de Montereau-Fault-Yonne, en Seine-et-Marne, où la filiale d’iliad, Opcore, développe un data center ou chez Orange et Verne, la filiale d’Ardian.

Benoît Gaillochet, responsable des infrastructures Europe chez Ardian, s’appuie aussi, dans le communiqué commun, sur le nucléaire français pour en faire une force du consortium : « Il est temps de bâtir ensemble une Europe de l’IA basée sur des infrastructures européennes de classe mondiale ancrée sur nos formidables capacités énergétiques décarbonées ».

Et les porteurs du projet surfent sur le sujet de la souveraineté : « Il est important de maîtriser l’IA en Europe. Des opérations critiques seront faites par des agents d’IA, il faudra pour les réaliser un endroit souverain et de confiance, immunisé contre les lois extraterritoriales américaines », affirme Jérôme Berger, directeur de la stratégie et du capital-investissement d’Orange.

Les partenaires espèrent que l’appel d’offres arrive à la fin du printemps et être le seul consortium à se présenter côté français. « L’équipe de France est prête », assure Jérôme Berger même si le consortium reste ouvert à d’autres ralliements.

Quand la souveraineté « s’exporte »

S’il est question d’une « équipe de France » avec une forte connotation de souveraineté, d’autres acteurs français ne sont pas aussi chauvins, C’est le cas de Thales qui s’est associé à Google pour monter S3ns, une offre désormais qualifiée SecNumCloud par l’ANSSI. Ce même Thales continue sur sa lancée et annonce un partenariat stratégique avec Google Cloud pour lancer un « nouveau cloud souverain en Allemagne ».

Le groupe français s’appuie dans sa communication sur « le succès de S3NS, la filiale de cloud de confiance de Thales en France et opératrice de sa première région de cloud souverain en Europe ».

« Pour répondre à la demande du marché allemand en solutions souveraines protégeant les données sensibles des lois extraterritoriales » et sa vision originale de la « souveraineté ». Une approche qui n’est pas sans rappeler celle d’OVHcloud qui met aussi en avant sa qualification SecNumCloud pour proposer des offres « qui peuvent être certifiables SecNumCloud » (sans l’être).

Rocket is on the lanchpad

SpaceX a déposé mercredi le document préliminaire à son introduction en bourse, qui révèle pour la première fois les comptes de l’entreprise, à défaut de préciser la valorisation recherchée à l’issue de l’opération. Ces derniers soulignent l’extrême rentabilité de Starlink, mais aussi le poids croissant des investissements dans l’IA orchestrés au nom de X et xAI. Ils confirment enfin qu’Elon Musk prévoit de garder un contrôle total sur le groupe.

Cette fois, c’est la bonne : depuis son nouveau siège du Texas, SpaceX a déposé mercredi après-midi auprès du gendarme états-unien de la bourse le document d’enregistrement préalable à son introduction en bourse. Ce document, dit Form-S1, est important à double titre. D’abord, parce qu’il lève le voile sur les conditions prévues par SpaceX pour cette ouverture du capital aux marchés. Ensuite, parce qu’il permet d’enfin obtenir des éléments tangibles sur la santé financière de l’entreprise, son chiffre d’affaires et la rentabilité de ses différentes composantes.

Il manque toutefois une information parmi les plus importantes : les modalités exactes de l’introduction en bourse, la part de capital proposée aux investisseurs, et la valorisation envisagée par l’entreprise. Ce sont ces informations, pour l’instant laissées en blanc dans le S-1, qui permettront de déterminer la somme que SpaceX espère lever grâce à cette opération.

Elon Musk garde un contrôle total sur son entreprise

Une chose est sûre : Musk, connu pour être un véritable control freak, s’est assuré de garder la mainmise sur le devenir de SpaceX. Le capital de l’entreprise va, pour ce faire, être divisé en deux classes d’actions. Les actions de classe A, proposées au marché, donnent un droit de vote simple à leurs détenteurs, mais une part significative (non précisée) du capital sera dirigée vers des actions de classe B, qui donnent quant à elles dix votes par titre, mais aussi des droits supplémentaires pour tout ce qui touche à l’élection des membres du conseil d’administration de l’entreprise. Or Elon Musk sera le principal détenteur de ces actions « bonifiées », et détiendra dans les faits 85,1 % des droits de vote, contre 93 % avant l’opération. De ce fait, c’est toujours à lui que reviendra le pouvoir de décision (a minima tant qu’il conserve cette majorité), comme l’écrit explicitement SpaceX :

« En tant que détenteur de la majorité de nos actions ordinaires de catégorie B, M. Musk pourra élire, révoquer ou pourvoir à tout poste vacant parmi les administrateurs de catégorie B. De plus, tant qu’il détiendra plus de 50 % des droits de vote de nos actions ordinaires, M. Musk contrôlera le pouvoir de vote relatif à la sélection de notre conseil d’administration. Par conséquent, M. Musk aura le pouvoir d’influencer l’issue des décisions nécessitant l’approbation des actionnaires, notamment l’élection de tous nos administrateurs, et de contrôler nos activités et affaires. »

L’introduction en bourse va donc donner la possibilité aux investisseurs (particuliers mais surtout institutionnels) de s’exposer financièrement à SpaceX, mais sans contrôle direct.

Après avoir répondu à « des dizaines de milliards de questions pour obtenir des informations rapides, approfondir certains sujets et accomplir des tâches », le robot conversationnel d’Amazon propose désormais à ses clients basés aux États-Unis de leur raconter des histoires.

Dans un communiqué, Amazon explique qu’Alexa+, son agent dopé à l’IA, « est désormais capable de générer des épisodes de podcast à la demande sur n’importe quel sujet en quelques minutes seulement ». Entièrement générés par intelligence artificielle, ils mettent en scène des conversations entre deux « coanimateurs » de synthèse, à la manière de NotebookLM :

« Créer du contenu audio personnalisé est désormais un jeu d’enfant. Pas besoin de télécharger de documents ni de faire de préparatifs : il suffit de dire à Alexa quel sujet vous intéresse, et elle s’occupe du reste en quelques minutes. »

Amazon, qui propose trois courts extraits à titre d’exemples, s’appuie pour cela sur « plus de 200 publications d’actualité et un large éventail de sources pour proposer un contenu précis et actualisé » avec qui elle a conclu des « partenariats », dont le montant n’est pas précisé.

Y figurent notamment Associated Press, Reuters, le Washington Post, TIME, Forbes, Business Insider, Politico, USA Today et des publications de Condé Nast, Hearst et Vox, ainsi que plus de 200 journaux locaux états-uniens, « ce qui permet à Alexa+ de fournir des actualités et des informations précises en temps réel ».

Amazon présente comme cas d’usage des podcasts consacrés à des sujets d’actualité, hobbies et leçons scolaires, approfondissements ou reconversions professionnelles, préparatifs de voyage (pour en savoir plus sur l’histoire, la géographie, l’architecture et les bons plans d’une destination touristique).

Variety précise qu’Alexa+ est inclus sans frais supplémentaires pour les membres Prime aux États-Unis, et proposé aux non-membres Prime au prix de 19,99 $ par mois.

Alerte de sécurité : les dépôts publics sont toujours accessibles… publiquement !

GitHub reconnait s’être fait dérober des données de 3 800 dépôts privés, mais uniquement ses propres dépôts, pas ceux de ses clients. TeamPCP a revendiqué l’attaque et propose les données à la vente.

Dans un message publié sur X, GitHub reconnait avoir été piraté. Plus exactement, la plateforme explique « enquêter sur un accès non autorisé aux dépôts internes de GitHub ». Les dépôts privés de ses clients ne semblent pas concernés : « Nous n’avons actuellement aucune preuve d’impact sur les informations client stockées en dehors des dépôts internes de GitHub », explique la plateforme.

GitHub se fait pirater à cause d’une extension VS Code

Dans un second temps, elle a précisé que la compromission venait « de l’appareil d’un employé avec une extension Visual Studio Code empoisonnée ». Les extensions peuvent être installées depuis le VS Code Marketplace, mais aussi via des boutiques tierces ou manuellement.

GitHub ne précise pas comment l’extension compromise avait été installée. La plateforme ne donne pas son nom et n’entre pas davantage dans les détails. L’extension a évidemment été supprimée et des mesures ont été prises pour limiter les dégâts.

La société affirme de nouveau que l’exfiltration des données ne concernait que des dépôts internes à l’entreprise. De plus, « les affirmations actuelles de l’attaquant concernant environ 3 800 dépôts sont globalement cohérentes avec les résultats de notre enquête jusqu’à présent », ajoute l’entreprise. Un rapport complet sera publié une fois l’enquête terminée.

TeamPCP revendique le piratage et demande 50 000 dollars

Quelques heures avant la publication du message de GitHub sur X, le groupe de pirates TeamPCP affirmait sur un forum spécialisé avoir accédé aux « codes source et organisations internes de GitHub ». Il était question d’environ 4 000 dépôts privés. TeamPCP demandait une rançon de 50 000 dollars, comme le rapporte Bleeping Computer.

Enfin, selon les pirates, ce n’est pas de l’extorsion : « Comme toujours, il ne s’agit pas d’une rançon. Nous ne cherchons pas à extorquer GitHub. Un seul acheteur et nous détruisons les données de notre côté. Notre retraite approche, donc si aucun acheteur n’est trouvé, nous les diffuserons gratuitement ».

Comme le rappellent nos confrères, TeamPCP est très actif ces derniers temps avec quelques prises importantes (revendiquées et/ou attribuées). C’est notamment le cas de Trivy/LiteLLM et de Xinference sur PyPI, avec des répercussions en cascade.

Dans le premier cas, la compromission de Trivy avait conduit au piratage de la Commission européenne fin mars : « Nous estimons avec un degré de confiance élevé que l’accès initial a été obtenu grâce à la compromission de la chaîne d’approvisionnement de Trivy, qui a été publiquement attribuée à un acteur malveillant connu sous le nom de TeamPCP », expliquait le CERT-EU.

Il est pas libre Max

Depuis l’invasion de l’Ukraine, la maîtrise de la technologie permet au Kremlin d’étendre la surveillance de la population, que ce soit grâce aux données biométriques ou au contrôle d’Internet. Une partie de la population, consciente de la répression à l’œuvre s’adapte, entre VPN et autocensure.

Dans un wagon du métro moscovite, défilent sur un petit écran : une pub pour un médicament contre la fatigue, une autre appelant au recrutement de kontraktnik (militaires sous contrat), les derniers textes passés à la Douma (l’équivalent de l’Assemblée nationale), une vidéo vantant la technologie permettant aux habitants de valider leur titre de transports grâce à la reconnaissance faciale… Lancé fin 2021, le système FacePay compte aujourd’hui plus de 800 000 inscrits selon Maxime Liksoutov, le maire adjoint chargé des transports. Plus de 200 millions de trajets auraient été effectués avec le paiement biométrique.

Ce sont d’abord les banques, en Russie, qui ont commencé à collecter les données biométriques dans les années 2010, poussant leurs clients à laisser photos de leurs visages et échantillons de voix, en échange de services simplifiés. Sber, la plus grande banque du pays propose par exemple des terminaux permettant de « payer avec le sourire ». Autrement dit, par reconnaissance faciale. Comptant plus de 100 millions de clients dans le pays, la banque vante sur son site l’intérêt de la biométrie. Et tente de rassurer les inquiets, qualifiant de « mythe » l’idée selon laquelle les citoyens seraient « surveillés » grâce à ces données.

Arrestations dans le métro

« La promotion de la technologie est toujours présentée comme quelque chose de moderne, simplifiant la vie des gens, ce qui élude tout à fait la surveillance que permet cette collecte de données », analyse Marie-Gabrielle Bertran, post-doctorante au CIENS et affiliée au projet Géode, qui a consacré sa thèse à la « souveraineté numérique en Russie ». En décembre 2022 pourtant, une loi a été votée prévoyant que toutes les données biométriques, jusque là principalement collectées par les banques, devaient être stockées dans le système UBS (Système biométrique unifié), contrôlé par l’État et accessible aux services de police et de renseignements. Si le fait de fournir ses données biométriques est présenté comme « volontaire », les campagnes marketing des banques sont parfois agressives. Quant aux étrangers présents sur le territoire russe, ils sont, depuis janvier 2025, obligés de fournir des échantillons de voix et des photos de leur visage pour acquérir une carte SIM russe. 200 000 d’entre eux seraient désormais dans le système UBS.

De fait, cette collecte de données biométriques s’inscrit dans un contexte où les 220 000 caméras de reconnaissance faciale installées à Moscou, notamment dans le métro, ont permis de cibler des opposants à la guerre qui avaient pris part à des manifestations. Le commissaire militaire de Moscou, Maxim Loktev, a assumé, début 2023, que les systèmes de vidéo surveillance de Moscou seraient utilisés pour trouver les conscrits ne s’étant pas présentés au bureau militaire. Des « razzias », selon l’ONG « Passez par la forêt », qui a documenté l’arrestation de 90 conscrits dans le métro en octobre 2023 et 170 à l’automne 2024. L’organisation, qui aide les déserteurs et ceux ne voulant pas combattre, a même déconseillé aux conscrits de prendre le métro pendant les périodes de mobilisation. Ce système de surveillance ne se limite pas aux données biométriques. Depuis l’invasion à grande échelle de l’Ukraine de 2022, le contrôle d’Internet par l’État s’est également verrouillé.

« La maîtrise du récit est un enjeu de survie pour le Kremlin »

Et la musique tombée du cloud sur les toits rouillés de RIO

Dans une série d’articles, nous allons vous donner les clés pour comprendre l’empreinte environnementale des datacenters, un vaste sujet bien plus complexe que simplement parler des litres d’eau et des watts d’électricité. On commence avec la consommation en eau et l’indicateur WUE : simple à comprendre, il cache néanmoins de sérieuses limitations.

D’abord, une explication : pourquoi les datacenters consomment-ils de l’eau en plus ou moins grande quantité ? Réponse simple et rapide : refroidir les serveurs. Les deux principales sources de chaleur sont les processeurs (CPU) et les GPU utilisés par milliers/millions par les intelligences artificielles génératives.

Pour un même serveur, il existe plusieurs systèmes de refroidissement possibles, plus ou moins consommateurs d’eau : le free cooling avec l’air extérieur (ou une climatisation) qui consomme peu d’eau, le watercooling en boucle fermée qui consomme également assez peu, mais aussi l’évaporatif et les tours aéroréfrigérantes qui consomment énormément.

On parle aussi souvent de refroidissement adiabatique avec la pulvérisation de micro-gouttelettes sur des « membranes » ou « cooling pad » qui permettent de refroidir l’air qui arrive aux serveurs. Ce genre de système ne consomme que peu d’eau et ne fonctionne généralement que pendant un nombre limité de jours dans l’année, lors des périodes les plus chaudes (en été dans notre cas). OVHcloud, par exemple, ne l’utilise qu’une quinzaine de jours par an à Roubaix (en durée de mise en marche cumulée).

Prélèvement, consommation et estimation : le trio du comptage de l’eau

À cause de leur taille et densité en hausse, combinées avec une forte augmentation de la demande, la consommation en eau des datacenters est un sujet de plus en plus important, d’autant plus dans les zones touchées par des pénuries d’eau.

Entre les prélèvements, les rejets et la consommation, trois mesures différentes se mélangent parfois dans les rapports environnementaux des géants du numérique, mais aussi dans la compréhension du public. Elles sont pourtant bien différentes.

Le prélèvement correspond au volume d’eau total que l’entreprise prélève, toute source confondue (potable, sources souterraines, rivières, eaux grises…). Les rejets sont les volumes d’eaux rejetés ; on ne parle que de volume, pas de « qualité ». Enfin, la consommation correspond à une soustraction entre prélèvements et rejets. La consommation est donc inférieure ou égale aux prélèvements.

Dans le cas des tours aéroréfrigérantes, l’eau est évaporée : les prélèvements et la consommation sont donc importants. Un datacenter qui détourne une rivière pour refroidir ses serveurs ne va quasiment rien consommer en eau car les rejets sont quasiment égaux aux prélèvements, mais l’eau rejetée n’est plus la même que celle en entrée.

Certaines entreprises, notamment les géants américains, distinguent prélèvement, consommation et rejet dans leurs rapports. Sur le papier, c’est toujours utile d’avoir ce genre de détail, mais il y a un gros problème : les volumes ne sont pas toujours mesurés, ils sont parfois estimés.

« En l’absence de données réelles sur les rejets d’eau potable, nous appliquons un coefficient de rejet standard de 90 % du prélèvement d’eau potable de l’installation », explique le plus naturellement du monde Google dans son rapport de soutenabilité. Si on ne regarde que la consommation, on peut parfois être loin de la réalité. À l’opposé, OVHcloud reconnait qu’il « ne dispose pas de mesure pour l’eau qui retourne au bassin versant, par conséquent, OVHcloud considère que toute eau prélevée est « consommée » ».

Autre point important, l’eau prélevée est généralement potable (même très souvent), mais celle rejetée ne l’est plus forcément. Pour les prélèvements dans des sources souterraines ou des rivières, l’eau est traitée avant de passer dans des circuits de refroidissement. On pourrait se dire que la consommation est presque nulle et que cela n’aurait donc pas de conséquences pour l’environnement, mais ce n’est pas le cas : l’eau rejetée est plus chaude, sans oublier que les entreprises peuvent ajouter des produits chimiques (biocides, antitartre, etc.) pour limiter la corrosion des équipements et protéger les installations.

Le WUE, ses limites et angles morts

Voilà pour les grands principes des indicateurs de l’eau pour les datacenters. C’est très important de bien comprendre la manière dont ils sont faits car ils servent de base de calcul à un acronyme que l’on retrouve souvent : le WUE ou Water Usage Effectiveness. Premier point : effectiveness se traduit par efficacité, mais le WUE ne donne pas vraiment d’indication sur l’efficacité de l’usage de l’eau, c’est plus un ratio d’intensité d’usage.