Faites ce que je dis, pas ce que je fais

En micro-ciblant une campagne publicitaire de sorte qu’elle ne s’affiche que sur des profils d’internautes politiquement libéraux ou de gauche, en excluant les utilisateurs conservateurs ou de droite, la Commission européenne a procédé à un traitement de donnés illégal et sans base juridique valable.

Le Contrôleur européen de la protection des données (CEPD, ou European Data Protection Supervisor, EDPS) estime que la Commission européenne a enfreint le RGPD en « traitant illégalement » des données à caractère personnel « sans base juridique valable ».

La Commission avait, en effet, identifié les Pays-Bas comme un État membre qu’elle souhaitait influencer politiquement, rappelle l’ONG noyb (pour « none of your business »). Elle cherchait alors à influencer l’opinion en vue de l’adoption du très controversé règlement européen visant à « combattre les abus sexuels concernant les enfants » en scannant les contenus des messageries, y compris chiffrées, ce pourquoi il a été surnommé #ChatControl par ses opposants.

• Détection des contenus pédosexuels : le « projet de loi européen le plus critiqué de tous les temps »

Une campagne excluant les mots-clefs conservateurs et d’extrême-droite

La campagne, qui aurait ciblé les « Twittos » d’au moins sept pays membres, avait cumulé plus de 4 millions de vues. Elle avait été paramétrée pour ne pas s’afficher sur les profils de personnes intéressées par les responsables politiques européens d’extrême-droite et eurosceptiques, Poutine, le Sinn Fein, le terme « nazi » et, plus étrangement, les chrétiens et la christianophobie.

• #ChatControl : la Commissaire européenne visée par plusieurs plaintes et enquêtes

Aux Pays-Bas, les messages publicitaires avaient particulièrement ciblé des utilisateurs n’étant pas intéressés par des mots clés tels que : #Qatargate, Brexit, Marine Le Pen, Alternative für Deutschland, Vox ou Giorgia Meloni.

« L’intention était clairement de ne cibler que les utilisateurs politiquement libéraux ou de gauche, mais pas les utilisateurs conservateurs ou de droite », résume noyb : « ce faisant, la Commission européenne a clairement déclenché le traitement des données personnelles des citoyens de l’UE pour les cibler avec des publicités ».

• #ChatControl : 48 eurodéputés appellent au rejet du projet de surveillance des messageries

Quand la Commission européenne s’inspire de Cambridge Analytica

Ce pourquoi noyb avait déposé une plainte auprès du CEPD en novembre 2023. « Depuis Cambridge Analytica, il est clair que les publicités ciblées peuvent influencer la démocratie », explique Felix Mikolasch, avocat spécialisé dans la protection des données chez noyb :

« L’utilisation des préférences politiques pour les publicités est clairement illégale. Néanmoins, de nombreux acteurs politiques s’appuient sur cette pratique et les plateformes en ligne ne prennent presque aucune mesure. Par conséquent, nous saluons la décision du CEPD. »

Le RGPD accorde en effet une protection spéciale aux données dites sensibles, qui incluent les opinions politiques, précise noyb. Dès lors, un tel traitement ne peut être autorisé que dans des conditions très limitées, telles qu’un consentement explicite. Or, ce consentement n’existait pas, et la Commission européenne ne disposait pas non plus d’autre base juridique.

Un blâme, mais pas d’amende

Le CEPD en a conclu que la Commission était pleinement responsable de ce ciblage illégal sur la plateforme. La décision a été rendue en vertu du règlement (UE) 2018/1725, souvent appelé « RGPD UE », qui ne s’applique qu’aux institutions de l’UE, mais qui est très similaire au RGPD, relève noyb.

Il note aussi que le CEPD n’a émis qu’un blâme, à savoir une constatation formelle que le traitement était illégal, via un avertissement formel. Le CEPD a estimé que d’autres mesures, telles qu’une amende, n’étaient pas nécessaires puisque la Commission avait mis un terme à ce micro-ciblage publicitaire politisé.

« De nombreux partis politiques s’engagent dans la même pratique illégale », précise Felix Mikolasch : « nous espérons que la décision du CEPD servira de guide aux autorités nationales qui enquêtent actuellement sur de telles pratiques ».

« Les provocations renouvelées d’Elon Musk sont plus qu’irritantes », s’est agacé Dirk Wiese, chef adjoint du groupe parlementaire du Parti social-démocrate (SPD) au Bundestag allemand, après que ce dernier se soit exprimé à plusieurs reprises sur la politique allemande.

Sur X, en réponse à un internaute évoquant l’attentat sur un marché de Noël dans la ville de Magdeburg, Musk a qualifié le chancelier SPD Olaf Scholz d’« idiot incompétent » et a déclaré qu’il devrait démissionner immédiatement. 


Quelques jours plus tôt, il avait déclaré, citant le parti d’extrême-droite Alternative fur Deutschland (AfD) : « seul l’AfD peut sauver l’Allemagne ». Après l’attaque de Magdeburg, plusieurs médias ont pourtant rapporté la sympathie du meurtrier pour l’AfD.

Elon Musk s’est exprimé deux mois à peine avant les élections fédérales allemandes Des élections dans lesquelles Scholz sera face au candidat CDU Friedrich Merz et à celle de l’AfD Alice Weidel.

D’après Bloomberg, l’alliance CDU/CSU récolterait actuellement 32 % des intentions de vote, l’AfD 19 % et le SPD 15,9 %.

Dirk Wiese a appelé à la promotion d’« une version moderne du Sherman Antitrust Act », une référence à la loi états-unienne de 1890 qui interdit les pratiques monopolistiques. 


« Nous avons la liberté d’expression, et cette dernière s’applique aussi aux multimilliardaires », a rappelé Olaf Scholz, évoquant les prises de parole de l’entrepreneur états-unien : « Mais la liberté d’expression signifie aussi qu’il est possible de dire des choses qui ne sont pas justes et qui ne contiennent pas de bons conseils politiques ».

Les récentes sorties d’Elon Musk rappellent celles qu’il avait formulées pendant l’été au sujet de la politique britannique (il envisagerait désormais de verser 100 millions de dollars au parti d’extrême-droite Reform UK), ses appels à la démission du juge de la Cour Suprême du Brésil, ou encore son soutien régulier à la présidente du Conseil italien Georgia Meloni, du parti nationaliste Fratelli d’Italia.

Si c’est trop beau pour être vrai…

Une arnaque, tout le monde peut en être victime. Quand elle touche aux finances, les conséquences peuvent être dramatiques. Plusieurs autorités dressent un état des lieux, rappellent des règles de bases et donnent des recommandations. Règle d’or : « faire attention aux discours trop beaux pour être vrais ».

Dans un communiqué commun, le Parquet de Paris, l’Autorité des marchés financiers (AMF), l’Autorité de contrôle prudentiel et de résolution (ACPR, de la Banque de France) et la répression des fraudes (DGCCRF) « font le point sur l’évolution des arnaques financières et leur mobilisation pour lutter contre ce phénomène en forte hausse ». C’est aussi l’occasion de quelques rappels importants pour éviter de tomber dans le panneau.

Les montants en jeu

Les institutions rappellent que ces arnaques peuvent prendre différentes formes : crédits, livrets d’épargne, assurance, investissements dans « des placements verts ou des crypto-actifs ». Selon le Parquet de Paris, le préjudice se chiffrerait à plus de « 500 millions d’euros par an ».

Les sommes en jeu sont importantes pour les personnes concernées avec une moyenne par victime sur les trois premiers trimestres de l’année de 69 000 euros pour les faux livrets d’épargne et 19 000 euros sur les faux crédits. Tous thèmes d’arnaques confondus, le montant moyen du préjudice est de 29 000 euros par victime.

Les principales cibles

L’AMF a commandé une enquête à BVA Xsight et il en ressort que « 3,2 % des Français seraient victimes d’arnaques à l’investissement financier ». C’est pratiquement trois fois plus qu’il y a trois ans (1,2 % en 2021).

Dans la liste des victimes probables, « 45 % sont des hommes de moins de 35 ans, qui semblent être plus réceptifs aux messages incitant à investir dans des placements prônant l’enrichissement rapide, véhiculés notamment par les réseaux sociaux ».

Mais, rappelle l’AMF bien vite qu’il « n’y a pas de « profil absolu » » : tout le monde peut être victime d’arnaques à l’investissement. Le communiqué dresse quelques pistes expliquant pourquoi certains tombent dans le panneau : « le sentiment de  » s’y connaitre en matière de placements », le goût pour le risque ou encore la confiance excessive face à des offres peu réalistes sont certains des traits qui caractérisent les victimes ».

• Arnaques en ligne : les seniors majoritairement victimes des faux calls centers

Devenir riche se faire arnaquer « à tous les coups » ?

Faire miroiter des « placements à rendements élevés garantis permettant de « devenir riche à tous les coups » » est un des arguments utilisés par les escrocs. Il y a également la désormais bien connue arnaque au « faux conseiller » où l’escroc essaye de faire valider des opérations ou obtenir des identifiants pour ensuite transférer des fonds. « Une nouvelle variante consiste à envoyer un coursier chez la victime afin de récupérer une carte bancaire soi-disant défectueuse ».

Dans le communiqué, les autorités rappellent que l’« usurpation d’identité gagne du terrain, que ce soit celle des autorités et de leurs collaborateurs, celle des établissements financiers et de leurs conseillers ou encore celle d’entreprises non financières ». Un tiers des arnaques à l’identité usurpent celle de l’AMF.

Tout est bon pour arriver à leurs fins : vidéos truquées, faux articles de presse, détournement de caractéristiques physiques de célébrités, bien évidemment avec parfois sur l’usage de l’intelligence artificielle. Nous en parlions au début de l’année avec de multiples redirections détournant les prévisualisations de certains réseaux sociaux pour afficher des messages « personnalisés ».

• Sur les réseaux sociaux, une redirection peut en cacher une autre

Fraude au carré ou « arnaque sur l’arnaque »

Les institutions préviennent qu’une nouvelle technique se développe : « fraude au carré ou d’arnaque sur l’arnaque ». Il s’agit d’arnaquer une seconde fois des personnes : « Après s’être fait arnaquer une première fois sur un site frauduleux proposant des crypto-actifs, l’épargnant qui a perdu ses fonds est contacté par un inconnu. Ce dernier prétend alors être mandaté par une autorité publique pour l’aider à récupérer son argent, sous réserve… de lui régler un certain montant ».

Comme avec la cybersécurité, on rappellera une fois encore l’importance de parler à son entourage en cas de doute et de ne pas avoir honte après avoir été victime d’une fraude.

• [Édito] « Au fait, toi qui travailles dans l’informatique… » STOP !
• [Édito] Crypter, chiffrer : le défi de la vulgarisation

Réseaux sociaux et influenceurs

Sans surprise, ces arnaques « prennent le plus souvent naissance sur les réseaux sociaux qui jouent le rôle de caisse de résonance ». Le communiqué parle notamment d’influenceurs qui se retrouvent « au cœur des schémas des fraudes, en faisant la promotion auprès de leurs communautés d’offres non autorisées promettant « la liberté financière sans effort » ». Pour rappel, si c’est trop beau pour être vrai, ce n’est très probablement pas vraie et une arnaque.

Sur la question des influenceurs, la DGCCRF en a enjoint dix « faisant la promotion d’une plateforme placée sur liste noire par l’AMF, de cesser cette publicité. 8 d’entre eux se sont mis rapidement en conformité. Les procédures se poursuivent s’agissant des deux autres influenceurs ». L’AMF ajoute que, depuis 2022, ses procédures ont permis de bloquer près de 350 site Internet.

« Il n’est jamais urgent de perdre son argent ! »

Cette année, l’AMF et l’ACPR ont lancé des actions de sensibilisations avec notamment une campagne « Arnaque ou pas ? ». Il y a peu, une campagne de vigilance « Arnaques : il n’est jamais urgent de perdre son argent ! » a aussi été mise en place. Le but : « inciter les particuliers à ne pas céder aux sirènes de l’argent facile proposé par les fraudeurs ».

Sur le volet répressif, la section J2 du parquet JUNALCO (juridiction nationale de lutte contre la criminalité organisée) créé en 2020 « a saisi plus de 645 millions d’euros d’avoirs criminels, dont 268 millions d’euros pour la seule année 2024 ».

Si c’est « trop beau pour être vrai »…

Enfin, les autorités rappellent quelques règles et réflexes à adopter :

• faire attention aux discours trop beaux pour être vrais ; face à des offres présentant des rendements élevés et minorant les risques,
• consulter les registres des autorités (Regafi pour les établissements de crédit, Refassu pour les
  assureurs, ORIAS s’agissant des intermédiaires), et vérifier les listes blanches des acteurs et
  offres autorisés (site AMF),
• pour vérifier que la banque n’est pas usurpée, effectuer un contre-appel au siège de la société
  à partir d’un numéro de téléphone trouvé par vos propres moyens,
• vérifier les listes noires des autorités qui répertorient les acteurs non autorisés,
• bien se renseigner avant d’investir en s’appuyant sur plusieurs sources,
• protéger ses données personnelles, même non bancaires,

Enfin, au moindre doute, il est recommandé de contacter les autorités compétentes : 01 53 45 62 00 pour l’AMF, 34 14 pour Assurance Banque Epargne Info Service (Banque de France) et SignalConso pour signaler des soucis avec un professionnel.

• [Édito] La sécurité numérique est un enjeu d’éducation populaire

Des parieurs énervés sont les auteurs de 48 % des messages insultants publiés à destination de joueuses et joueurs de tennis en 2024.


L’information a été obtenue par l’analyse de 2,47 millions de messages postés entre janvier et octobre 2024 par le logiciel Threat Matrix de Signify Group. 


Dans le lot, 12 000 publications se sont avérées contrevenir aux conditions d’utilisations de X, Facebook, Instagram, TikTok ou YouTube, rapporte la BBC.

Les contenus postés par 15 profils ont suscité l’intervention des forces de l’ordre.

• 24 % des influenceurs sont victimes de cyberharcèlement, dont 34 % des moins de 30 ans

L’étude a été sollicitée par la Fédération International de Tennis, la Women’s Tennis Association, la All England Lawn Tennis Club et la United States Tennis Association, alors qu’un nombre croissant de joueuses alertent sur la violence qu’elles subissent en ligne.

En août, la française et ex-numéro 4 mondiale Caroline Garcia avait notamment appelé les trolls à se rappeler que les joueuses « sont humaines ». Elle avait été soutenue par la numéro une britannique Katie Boulder, la quintuple championne Iga Swiatek et la finaliste de l’US open Jessica Pegula.

• Comment se défendre face au cyberharcèlement ? L’avocat Alexandre Archambault nous explique

« Obviously »

La Cybersecurity and Infrastructure Security Agency (CISA) a publié ces derniers jours plusieurs listes de recommandations pour la sécurité des communications. Elles s’adressent surtout aux administrations, mais les particuliers et entreprises sont invités à s’en inspirer.

Les États-Unis vivent actuellement une tempête de cybersécurité. La campagne de cyberattaques Salt Typhoon a mis les opérateurs téléphoniques à rude épreuve, tandis que le Congrès (Chambre des représentants et Sénat) cherche à comprendre comment des groupes malveillants étatiques chinois parviennent à se frayer aussi facilement un chemin. L’armée est également visée, accusée par deux sénateurs de ne pas sécuriser correctement ses communications non classifiées.

• Tempête de cybersécurité aux États-Unis, pleins feux sur le chiffrement des communications

Le directeur adjoint de la CISA, Jeff Greene, cité par NBC News, déclarait il y a deux semaines : « Notre suggestion, ce que nous avons dit aux gens en interne, n’est pas nouvelle : le chiffrement est votre ami, qu’il s’agisse de la messagerie texte ou de la capacité à utiliser des communications vocales. Même si l’adversaire est en mesure d’intercepter les données, si elles sont chiffrées, cela rendra la chose impossible ».

La CISA préparait des listes de recommandations plus précises selon les cibles. Elles ont été publiées les 17 et 18 décembre et contiennent des instructions ciblées, surtout à destination des administrations et des personnes dont le profil pourrait intéresser des pirates, par exemple pour leur place dans une hiérarchie ou leur implication politique.

Halte aux SMS et place au chiffrement de bout en bout

Sur les appareils mobiles, les conseils de la CISA paraitront évidents à toute personne intéressée par la sécurité. Elle demande de ne plus utiliser que des communications chiffrées de bout en bout, via des applications compatibles aussi bien avec iOS qu’Android pour simplifier l’interopérabilité des messages. L’agence ne fournit aucun nom, mais conseille de se renseigner sur le traitement des métadonnées par l’éditeur concerné.

Elle recommence également d’activer les mécanismes d’authentification multifactorielle compatibles FIDO partout où c’est possible. Les clés de sécurité comme les Yubico et Google Titan sont citées. Les clés d’accès sont présentées comme une « alternative acceptable ». Ces protections devraient couvrir tous les comptes principaux (Microsoft, Apple, Google…) et au moins tous ceux ayant trait aux e-mails et réseaux sociaux. Sur Gmail, il est conseillé d’activer l’APP (Advanced Protection Program). Et puisque l’on parle d’authentification multifactorielle, la CISA demande de se débarrasser de tout second facteur basé sur les SMS.

Les autres recommandations sont du même acabit : utiliser un gestionnaire de mots de passe (phrase de passe forte pour le protéger, mots forts et uniques pour tous les comptes), ajouter un code PIN, vérifier régulièrement les mises à jour logicielles, ne pas utiliser de solutions personnelles de VPN (« De nombreux fournisseurs de VPN gratuits et commerciaux ont des politiques de sécurité et de confidentialité douteuses », indique la CISA) et opter pour la dernière version du matériel chez le fabricant. Sur ce dernier point, l’agence ajoute que « les mises à jour logicielles seules ne permettront pas d’obtenir le maximum d’avantages en matière de sécurité ».

Configurer correctement les smartphones

Viennent également des conseils pour les iPhone et smartphone Android. Sur les téléphones d’Apple, il est ainsi recommandé d’activer le mode Isolation (que nous avions détaillé), de couper l’envoi automatique de SMS quand iMessage n’est pas disponible, de se servir d’iCloud Private Relay ou d’un service de DNS chiffré (1.1.1.1 chez Cloudflare, 8.8.8.8 chez Google, 9.9.9.9 chez Quad9…) ou encore d’inspecter les autorisations de chaque application pour ne laisser que ce qui est strictement nécessaire.

Sur Android, les conseils sont un peu plus nombreux : privilégier « les modèles des fabricants ayant de solides antécédents en matière de sécurité et s’engageant à effectuer des mises à jour de sécurité à long terme », n’utiliser le RCS que si le chiffrement de bout en bout est activé, configurer un DNS chiffré, vérifier dans Chrome que l’option « Toujours utiliser des connexions sécurisées » est active, configurer le niveau de protection renforcée dans la navigation sécurisée, vérifier que Play Protect est activé et contrôler les permissions des applications.

Cloud : les conseils laissent place aux instructions

« Les récents incidents de cybersécurité soulignent les risques importants posés par les mauvaises configurations et les contrôles de sécurité faibles, que les attaquants peuvent utiliser pour obtenir un accès non autorisé, exfiltrer des données ou perturber les services », a déclaré mercredi.

En conséquence, elle a publié une nouvelle Binding Operational Directive (directive opérationnelle contraignante) à l’attention de toutes les agences civiles fédérales utilisant le cloud. Il ne s’agit pas de conseils, mais bien d’instructions : les administrations doivent les appliquer, sous peine de sanction.

D’ici au 21 février prochain, elles doivent ainsi avoir identifié l’intégralité des actifs et tenir cet inventaire à jour une fois par trimestre. Le 25 avril au plus tard, les administrations devront avoir déployé tous les outils d’évaluation disponibles dans le cadre de la solution commerciale adoptée. D’ici le 20 juin, toutes les politiques en matière de solutions commerciales devront avoir été appliquées. Ces politiques n’existent pour l’instant que pour Microsoft 365, mais la CISA en ajoutera d’autres plus tard.

Les agences doivent également s’engager à mettre en œuvre toutes les futures mises à jour des politiques, les configurations sécurisées obligatoires, en plus d’identifier et expliquer tout écart qu’un outil d’évaluation signalerait.

La CISA, elle, s’engage à maintenir et mettre à jour une liste détaillée des politiques entrant dans le champ d’application de sa nouvelle directive (25 - 01). Toutes les agences et administrations fédérales seront prévenues des modifications apportées aux politiques. Elle se place en outre comme agent de coordination et de liaison pour toutes les opérations liées, promettant un accompagnement et des ressources.

Dans un an, l’agence fera le point sur les progrès accomplis. Un rapport sera alors envoyé au secrétaire d’État à la Sécurité nationale. On peut se demander toutefois comment le programme de la CISA évoluera avec le changement de gouvernement qui se profile, l’administration Donald Trump semblant privilégier l’attaque à la défense, comme nous le relevions la semaine passée.

• L’administration Trump voudrait en finir avec la cyberdéfense et privilégier le « hack back »

Deux acteurs majeurs de la technologie états-unienne appliquée à la défense, Palantir et Anduril, auraient ouvert les discussions avec une douzaine de leurs concurrents pour créer un consortium. Le but : répondre ensemble aux appels d’offre des États-Unis pour remporter ses contrats de défense.

D’après le Financial Times, le groupe devrait inclure SpaceX, OpenAI, le constructeur de navires autonomes Saronic et le spécialiste des données d’entraînement d’IA Scale AI.

Créée par Peter Thiel en 2003, la valorisation de Palantir a augmenté de 300 % en 2023 pour atteindre une capitalisation de 169 milliards de dollars. Peter Thiel a aussi financé les débuts d’Anduril, société fondée en 2017 par Palmer Luckey.

• Palantir, Microsoft et la NSA accélèrent le recours aux IA et LLM par le renseignement américain

La DGCCRF peut prononcer des amendes administratives et demander leur affichage sur les sites https://www.bloctel.gouv.fr et https://pro.bloctel.gouv.fr pour une durée déterminée par la décision de sanction.

C’est le cas de Groupeo, une société de courtage en assurance santé. Elle écope d’une amende administrative de 124 899 euros « pour des manquements à la réglementation encadrant le démarchage téléphonique (dispositions de l’article L.223 - 1 du code de la consommation) ».

Les agents de la concurrence, de la consommation et répression des fraudes de la DDPP du Rhône en charge du dossier expliquent que cette sanction « concerne notamment 116 899 appels téléphoniques passés à destination de consommateurs pourtant inscrits sur la liste d’opposition au démarchage téléphonique (BLOCTEL) ». Soit à peine plus d’un euro en moyenne par appel indésirable.

L’inscription sur Bloctel est pour rappel gratuite et permet « à toute personne de refuser d’être démarchée par un professionnel avec lequel elle n’a pas de relation contractuelle en cours ».

• Démarchage téléphonique : comment bloquer et filtrer les appels sur les fixes et smartphones

Ensemble, c'est tout

Intel abandonne son initiative x86S, par laquelle l’entreprise souhaitait dépoussiérer la vieille architecture. Il s’agit du premier effet tangible de l’Ecosystem Advisory Group mis en place en octobre par Intel et AMD.

Le x86S était une initiative intéressante qu’Intel avait annoncée en mai 2023. L’idée centrale était de refonder la vieille architecture sur une base exclusivement 64 bits, supprimer tout ce qui pouvait l’être et confier les 16 et 32 bits à l’émulation. Le tout via une approche relativement ouverte.

Comme nous le soulignions alors, Intel considérait que les systèmes 64 bits étaient devenus le standard de facto et que de nombreux composants pouvaient être retirés. Le ring 0 du 32 bits, les rings 1 et 2 (car inutilisés par les applications d’aujourd’hui), les modes réel et protégé 16 bits, l’adressage 16 bits de la mémoire, les MTRR fixes, une partie des entrées/sorties, le mode CR0 Write-Through, le contrôle du flag d’interruption du ring 3, certaines instructions obsolètes, l’impossibilité de désactiver certains mécanismes comme NX et SYSCALL, XAPIC (contrôle d’interruption) pour ne plus supporter que x2APIC ou encore les exceptions #SS et #NP étaient cités.

Intel présentait une liste de bénéfices, dont surtout la simplification générale de la conception et un fonctionnement intégral en 64 bits, y compris l’initialisation et le redémarrage. Une simplification matérielle qui aurait entraîné celle des systèmes d’exploitation, malgré la nécessité d’adapter ces derniers.

Intel fait cependant machine arrière. x86S, tel qu’il a été présenté jusqu’à maintenant en tout cas, n’aura pas lieu. C’est la conséquence directe du groupe de travail sur l’écosystème x86 créé avec AMD, et auquel participent de nombreux acteurs : Broadcom, Dell, Google, Hewlett Packard Enterprise, HP Inc, Lenovo, Meta, Microsoft, Oracle et Red Hat.

La nécessité d’un travail en commun

La confirmation de cet abandon vient de Tom’s Hardware, qui avait posé la question à Intel.

« Nous restons profondément attachés à l’architecture x86, comme en témoigne la création du x86 Ecosystem Advisory Group en collaboration avec AMD et d’autres leaders de l’industrie. Cette initiative renforce notre volonté d’assurer un avenir solide à x86, en s’appuyant sur des décennies de compatibilité logicielle. Bien que nous nous soyons éloignés de l’initiative x86S, notre objectif reste de stimuler l’innovation et la collaboration au sein de l’écosystème x86 », a ainsi déclaré un porte-parole du fondeur.

Pour nos confrères, il ne fait aucun doute que l’arrêt du x86S est une conséquence directe du x86 Ecosystem Advisory Group (EAG). L’initiative était en effet un développement unilatéral de l’architecture, qu’il aurait fallu présenter en détail à tous les membres du groupe pour obtenir leur assentiment, ou au moins leurs retours. L’objectif du groupe est justement de créer une plus grande cohésion autour de l’architecture et surtout de ses multiples extensions.

L’avenir coordonné du x86

Si l’initiative se termine en l’état, rien ne dit qu’elle ne ressurgira pas sous une autre forme plus tard. Le cas du x86S a très probablement été abordé durant les réunions préparatoires du groupe et il serait logique qu’AMD ait donné son avis.

Or, la perspective d’une refondation du x86 par sa simplification est une idée intéressante, d’autant que Microsoft fait partie de l’EAG. AMD pourrait avoir apprécié l’idée, sans pour autant valider l’approche d’Intel, peut-être parce que trop centrée sur les besoins de ce dernier. Il n’est pas impossible non plus qu’Intel ait imaginé en premier lieu le x86S pour se différencier de la concurrence et qu’AMD ne s’y soit pas retrouvé.

Quoi qu’il en soit, on attend maintenant de savoir quelles seront les premières mesures constructives du groupe. Les extensions pourraient être les premières concernées. Intel a d’ailleurs confirmé à Tom’s Hardware que le travail sur AVX10 continuait.

Linus Torvalds a jeté récemment un éclairage indirect sur cet aspect du x86 en pestant contre les niveaux de microarchitecture présents dans certains systèmes Linux. Ils permettent de classer les nombreuses extensions par ordre chronologique et d’établir des seuils minimaux, comme on l’a vu cette semaine avec CentOS Stream 10.

• CentOS Stream 10 disponible : grand ménage et Wayland par défaut

Il est probable que l’un des objectifs du groupe soit la sortie coordonnée des nouvelles extensions sur des générations équivalentes de processeurs avec, à la clé, un fonctionnement que l’on espère identique. Plus avant, les entreprises pourraient être intéressées par une modernisation générale de l’architecture, qui impliquerait aussi bien le monde Windows que celui du libre, Linus Torvalds faisant d’ailleurs partie du groupe. Il sera bien placé pour dire tout le mal qu’il pense des bugs dans le matériel.

Microsoft a signalé jeudi l’existence d’un problème susceptible d’entraîner l’affichage, au sein des logiciels de la suite Microsoft 365 Office en entreprise, d’un message selon lequel la licence de l’utilisateur est désactivée.

Cette allusion à un « produit désactivé » est susceptible d’intervenir après qu’un administrateur a procédé à des modifications au niveau de sa gestion des licences.

Entre autres scénarios possibles, l’éditeur signale par exemple le « changement de groupe de licences, lorsque l’utilisateur est déplacé d’un groupe à un autre », des changements dans l’attribution des logiciels au niveau d’un utilisateur donné, la suppression puis l’ajout d’un utilisateur dans un groupe, etc.

En attendant un correctif, sur lequel planchent les équipes de Microsoft, l’éditeur préconise d’utiliser l’option « réactiver » ou, à défaut, de se déconnecter de son compte sur toutes les applications Microsoft 365 utilisées, avant de les relancer et d’essayer de s’y reconnecter.

NVIDIA a annoncé en avril son intention de racheter la start-up Run:ai spécialisée dans la virtualisation et l’orchestration de GPU. Une opération à 700 millions de dollars qui avait déclenché l’ouverture d’une enquête par le ministère de la Justice américain.

• Aux États-Unis, de plus en plus de pression contre la position dominante de NVIDIA

La transaction n’est à priori pas sous le coup du règlement de l’UE sur les concentrations « car les revenus actuels de Run :ai sont négligeables », explique la Commission. Elle s’est néanmoins penchée sur le sujet, à la demande de l’Italie.

« Les activités de NVIDIA et de Run :ai ne se chevauchent pas, mais les GPU et les logiciels d’orchestration GPU doivent être compatibles. La Commission a évalué si, après cette opération, NVIDIA serait en mesure » de mettre des bâtons dans de ses concurrents, explique l’autorité européenne.

Résultat des courses : ce rachat « ne poserait pas de problèmes de concurrence sur aucun des marchés examinés dans l’Espace Économique Européen (EEE) ou en Italie. Elle a donc autorisé l’opération sans condition ».

Afin de pouvoir aller jusqu’au bout, cette opération doit obtenir les accords des autorités concernées dans d’autres pays et/ou marchés. La Commission ne se prononce que pour l’Europe.

Oups

La CNIL italienne vient d’infliger à OpenAI 15 millions d’euros d’amende pour avoir, entre autres, utilisé des données personnelles pour entrainer ses modèles utilisés par ChatGPT.

La Garante per la protezione dei dati personali (GPDP, l’équivalent de la CNIL en Italie) a déclaré, via un communiqué, qu’elle avait infligé une amende de 15 millions d’euros à OpenAI après avoir fini son enquête sur l’utilisation de données personnelles par ChatGPT.

L’autorité italienne de la protection des données personnelles explique avoir clos son enquête entamée en mars 2023. On se rappelle que l’autorité avait décidé de bloquer l’accès aux chatbot d’OpenAI aux utilisateurs italiens. Elle expliquait ne vouloir laisser « aucun moyen pour ChatGPT de continuer à traiter des données en violation des lois sur la protection de la vie privée ». La GPDP y rappelait que ChatGPT « a subi le 20 mars [2023] une fuite de données concernant les conversations des utilisateurs et des informations relatives au paiement des abonnés ».

Un mois après, la GPDP décidait de débloquer l’accès à ChatGPT après que l’entreprise se soit engagée sur plusieurs sujets. Notamment, OpenAI acceptait de laisser la possibilité aux utilisateurs de l’Union européenne de s’opposer à l’utilisation de leurs données personnelles pour l’entrainement de ses modèles de langage.

L’autorité italienne n’a pour autant pas abandonné le dossier. Elle a rappelé d’abord qu’OpenAI ne lui avait pas notifié la fuite de données subie en mars 2023.

Mais elle a aussi constaté qu’OpenAI avait traité les données à caractères personnels des utilisateurs pour entrainer le modèle utilisé dans son chatbot sans avoir préalablement identifié de base juridique sur laquelle s’appuyer pour ce traitement. L’autorité explique que l’entreprise a violé le principe de transparence et les obligations d’informations de ses utilisateurs.

L’entrainement des IA au même régime que les autres techniques face au RGPD

Concernant le traitement des données personnelles pour l’entrainement de l’IA d’OpenAI, la Garante semble avoir attendu avec impatience l’avis du Comité européen de la protection des données (CEPD) sur les modèles d’IA publié mercredi dernier. Dans son communiqué, l’autorité italienne explique que cet avis exprime une « approche commune » avec elle concernant le traitement des données personnelles dans le contexte de la conception, du développement et de la distribution de services fondés sur l’intelligence artificielle. Cet avis avait été demandé « par l’autorité irlandaise de protection des données (DPA) en vue d’une harmonisation réglementaire à l’échelle européenne », expliquait le CEPD.

L’avis du CEPD [PDF] explique notamment que, « lorsque des données sont extraites de l’internet accessible au public, elles peuvent également être considérées comme des données à caractère personnel ». Et pour être encore plus clair, le texte précise : « en d’autres termes, ce n’est pas parce que des données à caractère personnel sont rendues publiques qu’elles ne sont plus des données à caractère personnel ».

Dans une autre affaire à propos du ciblage publicitaire portée par Max Schrems, la CJUE avait d’ailleurs émis un avis du même ordre.

• Le ciblage publicitaire ne peut pas utiliser des données personnelles récupérées ailleurs

Dans son document, le CEPD affirmait que le RGPD est « neutre sur le plan technologique », c’est-à-dire qu’il ne s’applique pas en fonction de la technique utilisée. « Le traitement lié à l’IA, bien que nouveau à certains égards, est de façon certaine couvert par le GDPR dès lors que des données à caractère personnel sont traitées », affirme-t-il.

Le responsable d’un traitement de données personnelles fait lors de l’entrainement d’une IA doit donc s’assurer d’avoir identifié la base juridique sur laquelle il s’appuie pour ce traitement.

Exposition des enfants de moins de 13 ans

L’autorité reproche aussi à OpenAI de ne pas avoir prévu de mécanisme de vérification d’âge et donc d’avoir risqué d’exposer des enfants de moins de 13 ans à des réponses inadaptées.

Outre l’amende infligée, la GPDP a obligé l’entreprise à réaliser une campagne de communication institutionnelle de six mois qui doit passer dans les médias italiens (radio, télévision, journaux et internet).

Enfin, l’autorité italienne explique maintenant laisser le dossier d’OpenAI à l’autorité irlandaise puisque l’entreprise a, entre temps, établi son siège à Dublin.

Facebook a « sévèrement restreint » la capacité des médias palestiniens à toucher leurs audiences à la suite des attaques terroristes du 7 octobre 2023, révèle la BBC. Instagram, appartenant lui aussi à Meta, avait de son côté « renforcé la modération » des commentaires de ses utilisateurs palestiniens.

BBC News Arabic a compilé des données sur le nombre de commentaires, de réactions et de partages des pages Facebook de 20 grands médias basés pendant l’année précédant les attaques du Hamas contre Israël, le 7 octobre, et au cours de l’année qui a suivi.

« En période de guerre, on pourrait s’attendre à ce que l’audience augmente », relève la BBC. Or, les données montrent une chute de 77 % de l’engagement des médias palestiniens après les attaques du Hamas.

A contrario, l’analyse de l’engagement associé à 20 médias israéliens sur Facebook indique une augmentation de « près de 37 % ». Dans le même temps, ceux de 30 médias en langue arabe augmentaient « en moyenne de près de 100 % ».

Contacté, Meta rétorque n’avoir jamais caché les « mesures temporaires » prises en octobre 2023, du fait que le Hamas était à la fois sanctionné par les États-Unis et désigné comme une organisation dangereuse en vertu des propres politiques de Meta, et pour répondre à ce qu’elle a qualifié de « pic de contenu haineux » en provenance des territoires palestiniens.

Des anciens et actuels employés de Meta confirment à la BBC que, « dans la semaine qui a suivi l’attaque du Hamas, le code a été modifié, le rendant essentiellement plus agressif envers les Palestiniens ».

La semaine dernière, certains utilisateurs d’iPhone ont pu voir une notification annonçant la fausse information du suicide de Luigi Mangione, suspecté d’avoir tué le PDG de l’assureur UnitedHealthcare, Brian Thompson. Reporters Sans frontières appelle Apple à retirer sa nouvelle fonctionnalité.

L’ONG internationale Reporters sans frontières exige, dans un communiqué, le retrait de la fonctionnalité lancée récemment sur les iPhone permettant de recevoir des résumés d’actualité générés par Apple Intelligence.

Le faux suicide de Luigi Mangione et la fausse arrestation de Benyamin Nétanyahou

Cette demande est arrivée après que plusieurs utilisateurs des smartphones d’Apple ont reçu, la semaine dernière, une notification annonçant le suicide de Luigi Mangione en affichant la BBC comme source. Pourtant, le principal suspect dans le meurtre du PDG de l’assurance américaine UnitedHealthcare, Brian Thompson, est toujours vivant. Il vient d’ailleurs d’être incarcéré à New York ce jeudi 19 décembre.

Ces notifications ont été mises en place avec l’introduction d’Apple Intelligence dans iOS d’abord sur le marché états-unien avant de débarquer via la nouvelle version 18.2 sur ceux du Canada, de Royaume-Uni, de l’Australie, de l’Irlande et de la Nouvelle-Zélande.

La BBC s’est plaint à Apple et a rapidement publié un article expliquant d’où venait le problème. Le média britannique y explique notamment qu’Apple n’a pas voulu commenter l’information.

Le journaliste de ProPublica, Ken Schwencke avait déjà relevé sur Bluesky une autre erreur dans un résumé envoyé par notification par Apple Intelligence annonçant notamment l’arrestation de Benyamin Nétanyahou.

Cette notification est apparue le 21 novembre, le jour où la Cour pénale internationale a publié un mandat d’arrêt à l’encontre du Premier ministre israélien. Ce jour-là, le New York Times a publié un article titré « Netanyahu’s Arrest Sought by International Criminal Court » (qu’on peut traduire par « L’arrestation de Nétanyahu requise par la Cour pénale internationale »).

RSF appelle Apple à prendre ses responsabilités

Pour Reporters sans Frontières, « cet accident souligne l’incapacité des systèmes d’IA à systématiquement publier des informations de qualité, même quand elles sont basées sur des sources journalistiques ».

Pour Vincent Berthier, responsable du bureau technologies et journalisme de RSF, « les IA sont des machines à probabilités, or la véracité d’une information ne se joue pas sur un coup de dés. RSF appelle Apple à prendre ses responsabilités en retirant cette fonctionnalité. La production automatisée de fausses informations portant le sigle de médias est une atteinte à leur crédibilité, et un danger pour le droit du public à disposer d’informations fiables sur l’actualité ».

Le responsable de l’ONG ajoute, s’agissant de l’encadrement légal des outils d’IA générative que « l’AI Act européen, pourtant la législation la plus avancée au monde en la matière, n’a pas classé les IA générant de l’information comme systèmes à haut risque, laissant un vide juridique critique. Cette lacune doit être comblée rapidement ».

Pour la BBC, « il est essentiel pour nous que notre public puisse se fier aux informations ou au journalisme publiés en notre nom, ce qui inclut les notifications ».

L’entreprise à la pomme a pourtant introduit, comme ses concurrents, des instructions qui visent à empêcher l’intelligence artificielle de générer de fausses informations. Mais il semble que les instructions intégrées au système ne soit pas suffisantes pour éviter toutes les erreurs.

• Apple Intelligence invitée à ne pas halluciner, être négative, triste ou provocante

Une fonctionnalité qui concerne toutes les notifications

La fonction concernée est en fait un condensé des notifications reçues effectué par Apple Intelligence.

L’entreprise explique que, « grâce à sa compréhension approfondie du langage, Apple Intelligence peut vous aider à condenser les informations les plus importantes pour vous ». Elle ajoute que « les notifications sont résumées pour que vous puissiez les parcourir à la recherche de détails clés, par exemple lorsqu’une discussion de groupe est particulièrement active ». Ce sont donc toutes les notifications qui sont concernées et pas seulement celles provenant des applications d’actualité.

Une option permet d’afficher les notifications « qui requièrent une attention immédiate, comme un message vous informant que vous devez aller chercher votre enfant à la crèche ». Une autre permet de désactiver la fonctionnalité.

Les vaches seront bien gardées

En vertu du DMA, les entreprises peuvent formuler des demandes d’interopérabilité pour accéder à certaines fonctions ou capacités du matériel appartenant à un contrôleur d’accès (gatekeeper). Meta ne s’en prive apparemment pas, provoquant l’agacement d’Apple qui accuse sa concurrente d’abuser du système.

Les relations d’Apple avec l’Europe sont tendues depuis la mise en place du DMA. La firme de Cupertino n’a pas caché tout le mal qu’elle pense du cadre réglementaire, qui soumet certaines grandes entreprises à des obligations particulières, afin de préserver la bonne marche de la concurrence.

Apple estime que le DMA met en danger la sécurité, en l’obligeant notamment à ouvrir certains aspects très fermés, surtout sur iOS. En Europe, des boutiques tierces sont ainsi apparues, et Apple doit laisser le champ libre aux systèmes alternatifs de paiement. L’entreprise renâcle et ses conditions d’ouverture sont examinées par la Commission européenne. Pour Apple, ces mesures ne peuvent permettre qu’une recrudescence des attaques. Les iPhone européens seront donc moins sécurisés que les autres, même s’ils resteront les smartphones les plus sûrs. La communication de l’entreprise s’est faite à boulets rouges.

Bon gré, mal gré, Apple est soumise au DMA. L’Europe a rappelé il y a quelques mois que les entreprises pouvaient donc formuler des demandes d’interopérabilité pour accéder à certains aspects d’un écosystème ou d’un matériel particulier, ajoutant que les refus seraient examinés de près. C’est dans ce contexte qu’Apple critique vertement les demandes de Meta.

Interopérabilité contre pillage

Selon un rapport d’Apple que s’est procuré Reuters, Meta aurait effectué 15 demandes d’interopérabilité en quelques mois, soit « plus que toute autre entreprise ».

« Dans de nombreux cas, Meta cherche à modifier les fonctionnalités d’une manière qui soulève des inquiétudes quant à la vie privée et à la sécurité des utilisateurs, et qui semble n’avoir aucun rapport avec l’utilisation réelle des appareils externes de Meta, tels que les lunettes intelligentes Meta et les Meta Quests », indique ainsi Cupertino.

Selon Apple, Meta chercherait à profiter du DMA pour obtenir des informations allant plus loin que la simple question de l’interopérabilité, avec un accès étendu à sa pile technologique. « Si Apple devait accéder à toutes ces demandes, Facebook, Instagram et WhatsApp pourraient permettre à Meta de lire sur l’appareil d’un utilisateur tous ses messages et courriels, de voir tous les appels téléphoniques qu’il passe ou reçoit, de suivre toutes les applications qu’il utilise, de scanner toutes ses photos, de regarder ses fichiers et les événements de son calendrier, d’enregistrer tous ses mots de passe, et bien plus encore », ajoute l’entreprise.

Apple aurait également mentionné la réputation de Meta sur la vie privée et rappelé les multiples condamnations en Europe dans ce domaine.

Chacun chez soi

Si Apple tient tant à mentionner les aléas juridiques de Meta, celle-ci contre-attaque de la même manière.

« Ce qu’Apple dit en réalité, c’est qu’elle ne croit pas en l’interopérabilité. Chaque fois qu’Apple est mis en cause pour son comportement anticoncurrentiel, elle se défend en invoquant des motifs liés à la protection de la vie privée qui n’ont aucun fondement dans la réalité », a ainsi déclaré un porte-parole de Meta à Reuters.

Chaque entreprise joue ainsi la carte de la réputation sulfureuse de sa concurrence. Cependant, comme nous l’indiquions en septembre, la Commission européenne travaille actuellement sur la manière dont le processus de validation des demandes sera géré par Apple. Cette dernière a tout intérêt à faire connaitre sa position et ses objections, car le rapport européen sera finalisé en mars.

« Aujourd’hui, c’est la première fois que nous utilisons les procédures de spécification dans le cadre du DMA pour guider Apple vers le respect effectif de ses obligations en matière d’interopérabilité par le biais d’un dialogue constructif. Ce processus apportera de la clarté aux développeurs, aux tiers et à Apple », avait indiqué Margrethe Vestager, alors commissaire chargée de la concurrence.

L’ancien ministre de l’Économie, Bruno Le Maire, va rejoindre l’entreprise néerlandaise de machines dédiées à la fabrication de semi-conducteurs ASML.

• [FAQ] Notre antisèche sur la guerre froide des semi-conducteurs (USA vs Asie vs Europe)

Selon l’agence de presse Reuters, la Haute Autorité pour la transparence de la vie publique (HATVP) a donné son accord ce jeudi 19 décembre : elle « considère que le projet envisagé par Monsieur Le Maire est compatible avec les fonctions publiques qu’il a exercées, sous réserve de respecter certaines mesures de précaution ».

Il devra néanmoins s’abstenir de démarcher les membres du gouvernement ainsi que les membres du cabinet de Bercy qui étaient en exercice lorsqu’il était ministre.

L’entreprise explique que Bruno Le Maire sera chargé de conseiller ses administrateurs à partir du 1er janvier.

GitHub change son fusil d’épaule pour son Copilot. Plutôt que de le réserver aux personnes payant un abonnement, la société adopte un modèle freemium : une version gratuite, utilisable par tout le monde sur Visual Studio Code, mais avec des limites mensuelles. Une manière d’attirer les développeurs qui n’auraient pas encore succombé à ses sirènes.

Il y a principalement deux manières d’utiliser Copilot : les suggestions de code et les demandes directes via les messages dans l’interface de discussion. Cette version gratuite présente des limites sur les deux. Elle ne pourra ainsi pas dépasser les 2 000 suggestions de code et les 50 messages échangés en un mois.

Toutes les fonctions ne sont pas non plus présentes. Il faudra faire sans les résumés des demandes d’extraction, des problèmes et des discussions, l’assistant de mise à niveau pour Java, la revue de code dans GitHub, Worskpace pour les pull requests, GitHub Mobile ou encore l’interface en ligne de commande et la compatibilité avec le Terminal de Windows.

Ajoutons que la compatibilité de cette offre gratuite est limitée à Visual Studio Code. Il faut bien sûr un compte GitHub et l’offre est réservée aux développeurs individuels.

Pour supprimer ces limites, il faudra bien sûr payer pour l’offre Pro, disponible à 10 dollars par mois. La compatibilité s’étend alors à Visual Studio, Xcode, JetBrains, Neovim et Azure Data Studio.

« GitHub a une longue histoire d’offre de produits et de services gratuits aux développeurs. En commençant par l’open source gratuit et la collaboration publique, nous avons ajouté des dépôts privés gratuits, des minutes gratuites pour GitHub Actions et GitHub Codespaces, et le stockage gratuit des paquets et des versions. Aujourd’hui, nous ajoutons GitHub Copilot au mélange en lançant GitHub Copilot Free », s’est enthousiasmé Thomas Dohmke, CEO de GitHub. Même le patron de Microsoft, Satya Nadella, s’est fendu hier soir d’un tweet pour annoncer la nouvelle.

Constellation du Taureau

La Commission européenne a signé un accord de concession avec le consortium SpaceRISE, initiant douze ans de travaux industriels pour le lancement de la future constellation IRIS².

Les travaux pour la création de la future constellation européenne IRIS² (Infrastructure de Résilience et d’Interconnexion Sécurisée par Satellites) sont officiellement lancés. Après deux ans de complexes négociations, l’Union européenne a initié le 16 décembre les travaux industriels qui lui permettront de se doter de sa propre constellation de communication. 



Face à l’avance prise par Starlink (SpaceX) et Kuiper (Amazon) et au contexte géopolitique et économique, la position de l’Union européenne, qui soutenait en 2021 une proposition britannique à l’ONU pour que l’espace reste « un environnement pacifique, sûr, stable et durable, à l’abri d’une course aux armements et de conflits » a nettement évolué. L’enjeu, désormais, est de faire d’IRIS² sa constellation souveraine.

• Un début de stratégie spatiale européenne pour la défense

Concrètement, l’Union européenne et l’Agence spatiale européenne (ESA) ont signé un accord de concession de douze ans avec le consortium SpaceRISE. Dirigé par les opérateurs français Eutelsat, luxembourgeois SAS et espagnol Hispasat, il réunit des équipementiers et des opérateurs européens, parmi lesquels Airbus Defence and Space, Thales Alenia Space, OHB, Telespazio, Deutsche Telekom, Orange, Hidesat et Thales SIX.

Un projet à 10,6 milliards d’euros

À l’origine, la commission avait engagé les négociations directement avec les fabricants de satellites. C’est finalement un partenariat public-privé de 10,6 milliards d’euros qui est conclu (contre 6 milliards au départ), incluant l’investissement de 4,1 milliards d’euros des opérateurs.

Si l’Allemagne a tenté de faire réviser le projet pour en baisser les coûts, la Commission a maintenu son projet, le commissaire européen à la défense et à l’espace Andrius Kubilius soulignant son importance pour l’autonomie stratégique de l’Europe.

En 2023, la Commission s’était engagée à investir 2,5 milliards d’euros d’ici 2027. Auprès du Monde, elle assure que de nouveaux investissements seront chiffrés dans les prochains budgets multiannuels – à défaut de quoi, I’Union devra revoir à la baisse ses ambitions pour IRIS².

Parmi les autres financeurs, l’ESA doit investir 550 millions d’euros.

292 satellites pour une constellation

Auprès de La Tribune, la directrice générale d’Eutelsat Eva Berneke indique : « Nous considérons que nous démarrons une constellation qui va durer 50 ou 100 ans, et non pas uniquement 12 ans ». À son opérateur, avec ses partenaires, d’organiser la fabrication de 292 satellites – 10 ultralégers pour l’orbite basse, 264 de 750 kilos destinés à l’orbite moyenne, et 18 de 2 tonnes pour l’orbite haute.

Tous doivent être déployés grâce à 13 lancements de la fusée Ariane 6, pour une mise en service « prévue en 2030, voire en 2031 », selon Eva Berneke. Pour le moment, Starlink a plus de 6 000 satellites en orbite (et enchaine les lancements à grande vitesse), tandis qu’Amazon n’a lancé que des démonstrateurs pour Kuiper (les premiers satellites commerciaux ne devraient plus tarder). Amazon prévoit plus de 3 000 satellites dans un premier temps pour passer ensuite à plus de 7 700.

Outre leur utilité pour IRIS² et pour les enjeux de souveraineté, les commandes passées par SpaceRISE devrait servir un milieu qui souffre du succès des constellations de petits satellites poussés par Starlink.

En septembre, des salariés de Thales Alenia Space se mobilisaient ainsi contre la suppression de 980 postes. Début décembre, Thales Alenia Space et Airbus Defence & Space annonçaient la suppression de près de 4 000 emplois (par mutation interne et départs en retraite) à travers l’Europe pour les deux prochaines années.

Avec IRIS², des mots même d’Eva Berneke, « l’Europe ne va pas rattraper Starlink. Ni Kuiper, qui a prévu de mettre sa constellation en 2028. » Elle travaille néanmoins à développer sa propre « capacité souveraine », en permettant notamment des transmissions haut débit sécurisées.

D’après la Commission, cela permettra le déploiement d’une variété d’applications gouvernementales, dans les domaines « de la surveillance (surveillance aux frontières et maritime), de la gestion de crise (comme l’aide humanitaire), de la connexion et de la protection d’infrastructure clés et de la sécurité et de la défense ».

Arriver en troisième position (si IRIS² ne se fait pas coiffer au poteau) après Amazon et SpaceX n’est pas sans contrainte. En effet, dans la course aux constellations de basses altitudes car « les premiers qui vont arriver, se déployer et avoir le droit d’émettre laisseront peut-être de la place à un deuxième acteur qui devra se coordonner par rapport au premier suivant les règles de priorité », expliquait il y a un an Didier Le Boulc’h (vice-président strategy et telecoms solution chez Thales Alenia Space). La situation se complique un peu plus avec le 3ᵉ arrivant, et ainsi de suite. Il est donc important pour l’Europe d’avancer rapidement.

Des milliers de salariés d’Amazon aux États-Unis entament ce jeudi une grève.

Le syndicat Teamsters, qui déclare représenter près de 10 000 livreurs et employés d’entrepôts pour l’entreprise de Jeff Bezos, indique avoir voté la grève après que l’entreprise a refusé de participer aux négociations relatives à leurs conditions de travail.

Ce faisant, ils pourraient perturber les activités de l’entreprise dans l’une de ses périodes les plus intenses, à l’approche des fêtes de fin d’année.

D’après des observateurs interrogés par Reuters, il est peu probable qu’Amazon cède : plus de deux ans après la création du tout premier syndicat dans ses murs aux États-Unis, dans l’entrepôt de Staten Island, l’entreprise n’a toujours pas reconnu la validité du groupe de défense des droits des travailleurs.

• Black Friday, Cyber Monday : des travailleurs d’Amazon en grève partout sur la planète

Le monde de demain

Le Wall Street Journal avance que le fabricant chinois de produits réseau TP-Link serait dans le collimateur des autorités américaines. Il lui serait en particulier reproché son manque de réactivité sur la correction des failles de sécurité. Le constructeur, de son côté, estime que tout est fait dans les temps.

Le Wall Street Journal a affirmé hier que plusieurs enquêtes ont été ouvertes sur TP-Link pour examiner ses pratiques en matière de sécurité. « Les enquêteurs des ministères du Commerce, de la Défense et de la Justice ont ouvert leurs propres enquêtes sur l’entreprise, et les autorités pourraient interdire la vente de routeurs TP-Link aux États-Unis l’année prochaine, selon des personnes au fait du dossier. Un bureau du ministère du Commerce a cité TP-Link à comparaître, ont indiqué certaines de ces personnes », indiquent nos confrères.

Ces enquêtes doivent déterminer si le constructeur chinois « pose un risque pour la sécurité nationale ». Auquel cas, elles pourraient aboutir à l’interdiction de commercialisation des produits, tout particulièrement des routeurs. Le Wall Street Journal note en effet que TP-Link est régulièrement en première place des ventes d’équipements réseau sur Amazon, le Taïwanais D-Link gardant la deuxième place.

Le Congrès américain déjà « déconcerté » en août

Les inquiétudes entourant TP-Link ne sont pas nouvelles. Le sujet tourne chez les membres du Congrès américain depuis des mois maintenant. Plus d’une vingtaine de députés de la Chambre des représentants ont ainsi envoyé en aout une lettre à la secrétaire du ministère du Commerce, Gina Raimondo, pour l’inviter justement à ouvrir une enquête.

« Les produits de TP-Link représentent une part substantielle du marché américain des routeurs Wi-Fi et des dispositifs connexes. Des informations de source ouverte indiquent que l’entreprise pourrait représenter une menace sérieuse pour la sécurité des ICTS [services de technologies de l’information et de communication, ndlr] américains. Nous demandons donc au département du Commerce d’enquêter sur TP-Link en vertu de ses pouvoirs en matière d’ICTS afin de déterminer si l’entreprise représente un risque pour la sécurité nationale », ont écrit les 24 députés.

La lettre relève que 95 % des adultes américains disent avoir utilisé Internet en 2023, les routeurs SOHO (small office/home office) étant le principal moyen d’accès. « TP-Link est le plus grand fournisseur de produits Wi-Fi au monde, vendant plus de 160 millions de produits par an dans plus de 170 pays », ajoutait la lettre. Des produits présents non seulement dans les foyers et entreprises, mais également dans les bases militaires américaines.

Les députés expliquent leur inquiétude par la conjonction de trois facteurs : l’omniprésence de TP-Link sur les produits réseaux, de fréquentes failles de sécurité, ainsi que le cadre réglementaire imposé par la Chine, auquel le constructeur doit se soumettre.

« Le degré inhabituel de vulnérabilités de TP-Link et la conformité requise avec la législation de la RPC sont en soi déconcertants. Si l’on ajoute à cela l’utilisation courante par le gouvernement chinois de routeurs SOHO tels que ceux de TP-Link pour perpétrer de vastes cyberattaques aux États-Unis, la situation devient nettement plus alarmante », s’émouvaient les députés.

Ils n’hésitaient pas à affirmer que les groupes APT (Advanced Persistant Threat) chinois « sont en mesure de menacer les infrastructures critiques des États-Unis, en grande partie grâce à leur capacité à compromettre les routeurs SOHO tels que ceux fabriqués par TP-Link ». Ces derniers étant fréquemment concernés par des problèmes de sécurité, la lettre sous-entend que les failles mettent d’autant plus de temps à être corrigées qu’elles permettent aux pirates d’en profiter.

Des produits TP-Link impliqués, mais à quel point ?

Des sources ont affirmé au Wall Street Journal que « les routeurs TP-Link sont régulièrement livrés aux clients avec des failles de sécurité, que l’entreprise omet souvent de corriger » et que « TP-Link ne dialogue pas avec les chercheurs en sécurité qui s’inquiètent de ces failles ». Nos confrères ajoutent cependant que « les autorités américaines n’ont divulgué aucune preuve que TP-Link est un canal de communication pour les cyberattaques parrainées par l’État chinois ».

La dernière grosse attaque ayant impliqué des produits TP-Link a été révélée le 31 octobre par Microsoft. La société a décrit un botnet de plusieurs milliers de routeurs, caméras et autres appareils IoT conçu pour attaquer les clients de son offre cloud Azure. Elle ajoutait que les routeurs SOHO de TP-Link constituaient la majeure partie du botnet.

Cependant, comme le note Ars Technica, un rapport de mars 2024 par Michael O’Rielly (ancien commissaire à la Federal Communications Commission) invitait à prendre un peu de hauteur. O’Rielly notait bien que « les produits TP-Link ont eu plus que leur part de citations » dans les alertes de sécurité et qu’il convient de surveiller la situation de près. Cependant, il n’était pas certain que les produits de la marque chinoise en présentaient significativement plus que d’autres.

« Il est difficile de savoir dans quelle mesure les vulnérabilités de TP-Link sont répandues par rapport à d’autres routeurs sans fil, qu’ils soient chinois ou autres, car il n’existe pas de comparaison ou de classement définitif des routeurs sur la base de leur sécurité », ajoutait-il, avant de recommander la prudence. Il estimait « tout à fait prématurée » l’idée d’interdire tous les routeurs fabriqués en Chine.

Les prix de TP-Link également dans le collimateur

La sécurité n’est pas le seul domaine concerné par les enquêtes. Toujours selon le Wall Street Journal, les prix pratiqués par TP-Link feraient également l’objet d’une intense scrutation. Le Journal cite des sources selon lesquelles le ministère de la Justice suspecterait des pratiques de vente à perte.

« Le ministère de la Justice cherche à savoir si les écarts de prix violent une loi fédérale qui interdit les tentatives de monopole par la vente de produits à un prix inférieur à leur coût de fabrication, selon une personne au courant de l’affaire », écrit le Journal, qui avance le chiffre de 64,9 % de parts de marché sur les routeurs SOHO pour TP-Link.

Un chiffre qu’un porte-parole de l’entreprise a contesté, tout en indiquant que les parts de marché aux États-Unis avaient effectivement augmenté. « Nous nous réjouissons de toute occasion de collaborer avec le gouvernement américain afin de démontrer que nos pratiques en matière de sécurité sont parfaitement conformes aux normes de sécurité du secteur, et de démontrer notre engagement permanent envers le marché américain, les consommateurs américains et les risques pour la sécurité nationale des États-Unis », a également déclaré TP-Link.

Si l’enquête devait confirmer les soupçons, TP-Link pourrait être ajoutée à la liste des entreprises chinoises n’ayant plus le droit de proposer ou commercialiser des services et produits sur le sol américain. Les tensions géopolitiques entre la Chine et les États-Unis vont crescendo. Si les enquêtes ne font que débuter, il est peu probable que le prochain gouvernement de Donald Trump cherche à apaiser la situation.

Le Department of Homeland Security (DHS) américain avance que la Chine, la Russie, l’Iran et Israël sont les « principaux » pays qui exploitent les failles de sécurité des réseaux de télécommunications pour espionner les personnes se trouvant aux États-Unis, selon des informations publiées par le sénateur Ron Wyden et relayées par 404 Media.

Ces informations figurent dans une lettre (.pdf) rédigée par le Department of Defense (DoD) en réponse à des questions posées par le bureau du sénateur Wyden. Elle indique qu’en septembre 2017, le personnel du DHS avait fait une présentation sur les menaces de sécurité SS7 lors d’un événement ouvert aux fonctionnaires du gouvernement américain.

Une diapositive identifiait alors les « principaux pays qui utiliseraient les actifs de télécommunications d’autres nations pour exploiter les abonnés américains », ce qui pouvait inclure le suivi de leurs déplacements physiques et l’interception d’appels et de textes.

Selon la présentation du DHS, ces pays étaient la Russie, la Chine, Israël et l’Iran, ainsi que d’autres pays où les moyens de télécommunication sont utilisés pour attaquer les abonnés américains, notamment « un certain nombre de pays d’Afrique, d’Amérique centrale et du Sud, d’Europe et du Moyen-Orient ».

Le bureau du sénateur Wyden indique que le DoD a confirmé qu’il pensait que tous les opérateurs américains étaient vulnérables à la surveillance SS7 et Diameter. Ce dernier, successeur du protocole RADIUS, ne chiffre pas les adresses IP d’origine pendant le transport, ce qui peut faciliter les usurpations de réseau par des personnes mal intentionnées, comme nous l’avions rappelé il y a quelques mois.

• La FCC interroge les opérateurs sur la sécurité de leurs réseaux mobiles, un problème mondial

404 Media rappelle que le protocole SS7 est utilisé pour acheminer les messages lorsqu’un utilisateur de téléphone se déplace en dehors de sa zone de couverture normale. Mis au point au milieu des années 1970, il peut en effet être utilisé de manière abusive pour localiser les téléphones, rediriger les appels et SMS afin d’intercepter les informations et espionner les utilisateurs.

Cette faculté d’utiliser SS7 à des fins d’espionnage « s’appuie sur des aspects fondamentaux du réseau et du protocole qui considèrent toute demande de connexion comme légitime, même si elle est effectuée par une partie malveillante », souligne 404 Media.

Interrogé quant à la survenue d’éventuels incidents survenus en 2022 ou 2023 au cours desquels des membres du personnel du DoD, aux États-Unis ou à l’étranger, avaient été surveillés au moyen de SS7 ou de Diameter, le DoD a répondu que la réponse à cette question « nécessitait une réponse classifiée ».

Bien connu pour son intérêt pour les questions de sécurité et de vie privée, Ron Wyden avait aussi récemment critiqué l’armée américaine pour sa gestion des communications non classifiées, et notamment le contrat Spiral 4 du ministère sur les télécommunications, négocié avec les opérateurs pour équiper le personnel civil et militaire. Le ministère de la Défense se serait passé en effet d’audits indépendants, pourtant réalisés.

• Tempête de cybersécurité aux États-Unis, pleins feux sur le chiffrement des communications