Si vis pacem para bellum

Quatre jours après la révélation d’un triple accès illégitime au système d’information des impôts et au lendemain d’un comité interministériel de crise, les représentants de l’État prennent la parole pour expliquer la situation et rassurer… autant que faire se peut. Le ministère de l’Éducation nationale confirme par ailleurs avoir lui aussi été victime d’une intrusion et exfiltration de données fin juillet.

Article mis à jour à 18h34 avec des précisions du ministère de l’Éducation nationale sur l’ « incident de sécurité » dont il avait été victime fin juillet.

---

Confirmée le 14 août par la Direction générale des Finances publiques (DGFiP), la double intrusion survenue dans le système d’information des impôts a donné lieu, lundi 17 août, à un comité interministériel de crise. Mardi, les services concernés ont fait acte de contrition, et d’une transparence relative, à l’occasion d’un point presse visant à préciser la nature exacte de l’attaque, ou plutôt des attaques, ainsi que les réponses apportées. Au passage, ils ont aussi révélé qu’une troisième intrusion venait d’être détectée au niveau du portail dédié aux successions vacantes.

Trois intrusions confirmées

Amélie Verdier, directrice générale des Finances publiques, a retracé le calendrier des incidents récents, certains aspects du mode opératoire de l’attaquant, en précisant bien s’exprimer dans les limites de l’enquête en cours. « À date, nous parlons de trois fuites, de gravité et d’ampleur très différentes. Aucune d’entre elles n’a permis d’entrer dans un compte fiscal ou de récupérer des codes d’accès », a-t-elle assuré.

Les deux premières intrusions, survenues respectivement en juin et en juillet 2026, ont permis selon les services de la DGFiP de consulter et d’extraire les données de 350 000 particuliers et 250 000 professionnels, ainsi qu’un lot de données cadastrales.

Au niveau des impôts, c’est la base de données des messages échangés entre les agents du service public et les usagers qui aurait été consultée. Cette interface contient, selon Amélie Verdier, un « cartouche résumé » qui présente à l’agent les principales informations fiscales de l’usager, pour faciliter sa compréhension de la demande.

À ce niveau, l’attaque a permis de consulter et d’extraire les données de 350 000 particuliers et 250 000 professionnels. Pour les premiers, sont notamment concernées « des données fiscales telles que le revenu fiscal de référence, le quotient familial ou le taux de prélèvement à la source ». Sur le volet entreprise, Bercy évoque dans sa FAQ dédiée (PDF) « des données telles que leur raison sociale ou leur SIREN ». Amélie Verdier précise toutefois que comme pour les particuliers, des messages avec l’administration ont pu être consultés, ce qui pourrait se traduire par l’exposition de données fiscales. « Les vérifications sont en cours », déclare-t-elle.

La deuxième fuite relative au cadastre concerne quant à elle des données liées aux parcelles, indique la directrice générale. Les données personnelles de 433 000 personnes seraient concernées à ce stade de l’investigation. « Ce sont des vendeurs, des acheteurs, ou des tiers tels que des notaires ou des professionnels amenés à faire des déclarations dans cette base cadastrale », indique Amélie Verdier.

Enfin, une troisième attaque vient d’être détectée et confirmée, au niveau cette fois du portail des successions vacantes, le service qui permet au détenteur d’une créance envers un défunt de vérifier s’il existe un héritier auprès duquel faire valoir ses droits. « L’attaquant a eu accès à un journal des demandes », indique la directrice générale.

Des comptes utilisateurs compromis

La DGFiP a par ailleurs confirmé que ces accès indus avaient été obtenus au moyen de comptes utilisateurs compromis, réalisés par Internet. Ces accès auraient bien été détectés, et coupés, en juin et en juillet, mais sans que l’exfiltration de données ait été confirmée à ce stade. Bercy dit avoir pris connaissance de la fuite le 12 août, via une alerte de l’ANSSI concomitante de la revendication du ou des pirates auteurs de l’attaque.

Sur la base de données du cadastre, Amélie Verdier parle de la compromission d’un compte avec double authentification. Pour ce qui concerne les échanges fiscaux qui constituent l’attaque la plus préoccupante, elle évoque une « combinaison de compromissions de comptes » qui aurait touché à la fois le profil d’un prestataire externe agréé et celui d’un agent des impôts, avec une passerelle rendue possible par une « brèche » non précisée.

Pourquoi la fuite de données n’a-t-elle pas été détectée avant la revendication, si les comptes utilisés ont bien été fermés pour cause de compromission ? Sur ce point, la DGFiP se range derrière le secret de l’enquête. Tout juste apprendra-t-on que l’attaquant « a d’abord fait des tests manuels qu’il a ensuite massifiés, en restant sous les seuils de détection », et que les investigations menées en juin et en juillet semblent s’être concentrées sur des compromissions classiques, sans envisager cette « combinaison » évoquée par la directrice générale.

Une authentification multi-facteurs généralisée d’ici la fin de l’année

Outre des excuses appuyées aux victimes, et un appel à ne pas stigmatiser les agents des impôts, la directrice des Impôts et le ministre de l’Action et des Comptes publics, David Amiel, ont logiquement assuré que la sécurité des services concernés constituait une « priorité absolue ». L’authentification forte, « déjà bien engagée » selon le ministre, devrait ainsi être généralisée à l’ensemble des agents de Bercy « d’ici la fin de l’année ».

David Amiel évoque également la généralisation des quotas d’accès aux données, la mise en place de capteurs sur tous les systèmes qui en sont encore dépourvus, et une formation cyber renforcée des agents, ainsi que la multiplication d’opérations telles que des campagnes de phishing fictives. Le ministre dit par ailleurs souhaiter un usage renforcé de l’IA à des fins d’exploration défensive. « J’ai demandé à ce qu’on se teste nous-mêmes avec des IA pour nous auto-attaquer et déceler les défaillances ». Pas un mot en revanche de la directive européenne NIS2, dont la transposition en France se fait toujours attendre.

En parallèle, c’est bien sûr l’audit confié à l’ANSSI, dont les résultats sont attendus pour septembre, qui devrait guider la marche à suivre. « Ce diagnostic complètera les enseignements des attaques passées et de la feuille de route cyber élaborée à ma demande au premier semestre », précise David Amiel. 

Quid des vulnérabilités structurelles, liées à l’ancienneté des systèmes d’information (le fameux legacy) ? Bercy affirme plancher de façon continue sur la question, et avoir encore intensifié ses efforts avec un accent particulier sur la cyber depuis son schéma directeur du numérique de 2025, mis à jour à l’été 2026.

La dette technique reste cependant conséquente, même si le rattrapage est sensible. « Notre taux de conformité a doublé depuis 2020, nous sommes passés de 25 % à un peu plus de 50 % », révèle Amélie Verdier. Elle indique par ailleurs que 100 postes sont dédiés aux sujets cyber sur les 5 300 informaticiens de Bercy. Et souligne un volume d’attaques conséquent, avec 6 972 incidents enregistrés et 57 compromissions de comptes enregistrés en 2025.

En attendant que la dette se résorbe, Bercy affirme travailler à réduire au maximum les accès distants susceptibles de favoriser des compromissions (mail ou agendas des fonctionnaires hors du réseau de Bercy par exemple). Et assure prioriser la refonte des fichiers les plus sensibles, comme le Ficoba troué en début d’année.

• Bercy informe d’une intrusion dans le Ficoba : 1,2 million de comptes exposés

Information en cours auprès des usagers

Reste à informer les usagers des services fiscaux. Bercy a annoncé lundi soir que les personnes concernées seraient contactées par mail, avec un courrier d’information reproduit ci-dessous. La campagne d’envoi de mails pour les particuliers devrait se terminer à la fin de la semaine. La communication à destination des professionnels débutera quant à elle la semaine prochaine, c’est-à-dire à partir du 24 août.

La Cnil a de son côté confirmé avoir été dûment notifiée, et prie instamment les victimes de ne plus tenter de la saisir de plaintes individuelles « sauf si vous disposez d’éléments spécifiques ou utiles aux investigations en cours ».

• Quels sont les risques liés aux multiples fuites de vos données personnelles ?

Le ministère de l’Éducation nationale confirme une exfiltration de données

Le ou les pirates qui revendiquent l’attaque sur Bercy, cachés derrière le pseudo ZeroBytes, ont par ailleurs affirmé lundi soir disposer d’un jeu de données particulièrement volumineux issu des systèmes informatiques de l’Éducation nationale. Interrogé sur ce point, le général Stéphane Bajard, directeur général adjoint de l’ANSSI, indique que l’agence est engagée aux côtés des équipes du ministère pour analyser l’incident, mais ne confirme ni n’infirme la revendication.

L’entourage du ministre de l’Éducation nationale, Edouard Geffray, a cela dit confirmé à france info qu’il s’agit de l’attaque qui avait fait l’objet d’un communiqué, le 31 juillet dernier. Le ministère avait alors annoncé avoir été « victime d’une intrusion frauduleuse dans l’un de ses systèmes d’information » dans la nuit du 25 juillet 2026, « à la suite de l’usurpation d’un compte professionnel ».

Le centre opérationnel de sécurité des systèmes d’information du ministère en avait été alerté « dès le 26 juillet », et si l’accès externe au système concerné avait été suspendu « dans les heures qui ont suivi », le ministère reconnaissait que l’intrusion « a pu conduire à l’exfiltration de données à caractère personnel concernant un nombre important de ses agents » :

« Les données susceptibles d’avoir été exfiltrées concernent les agents du ministère ayant exercé en académie depuis 2001. Il s’agit d’éléments d’identité et d’informations professionnelles – statut et fonctions. Pour une partie d’entre eux s’y ajoutent des coordonnées, adresse postale et numéro de téléphone, ainsi que le numéro de sécurité sociale. Ce système d’information ne contient ni données bancaires, ni mots de passe, ni données relatives aux élèves. »

Dans un communiqué, le ministère précise avoir alors déposé plainte contre X auprès du parquet de Paris et saisi l’ANSSI, ainsi que la CNIL. « Depuis, l’ensemble des personnels susceptibles d’être concernés ont été informés individuellement », précise le communiqué :

« Des publications intervenues hier font état de la mise en ligne de ces données et revendiquent la détention de données relatives à des élèves. Le ministère poursuit ses expertises techniques afin d’établir la nature exacte et l’étendue des données exfiltrées. »

Le ministère indique par ailleurs travailler avec l’appui de l’ANSSI à un plan de renforcement de la sécurité de ses systèmes d’information, et « appelle chacun à la plus grande vigilance face aux tentatives de fraude qui suivent ce type de publication, en particulier l’hameçonnage et l’usurpation d’identité » :

« Il ne demande jamais par courriel, par téléphone ou par message les identifiants de connexion, les mots de passe ou les coordonnées bancaires. Tout message suspect doit être signalé aux autorités académiques sans y répondre ni cliquer sur les liens qu’il contient. »

Si vis pacem para bellum

Quatre jours après la révélation d’un triple accès illégitime au système d’information des impôts et au lendemain d’un comité interministériel de crise, les représentants de l’État prennent la parole pour expliquer la situation et rassurer… autant que faire se peut. Le ministère de l’Éducation nationale confirme par ailleurs avoir lui aussi été victime d’une intrusion et exfiltration de données fin juillet.

Article mis à jour à 18h34 avec des précisions du ministère de l’Éducation nationale sur l’ « incident de sécurité » dont il avait été victime fin juillet.

---

Confirmée le 14 août par la Direction générale des Finances publiques (DGFiP), la double intrusion survenue dans le système d’information des impôts a donné lieu, lundi 17 août, à un comité interministériel de crise. Mardi, les services concernés ont fait acte de contrition, et d’une transparence relative, à l’occasion d’un point presse visant à préciser la nature exacte de l’attaque, ou plutôt des attaques, ainsi que les réponses apportées. Au passage, ils ont aussi révélé qu’une troisième intrusion venait d’être détectée au niveau du portail dédié aux successions vacantes.

Trois intrusions confirmées

Amélie Verdier, directrice générale des Finances publiques, a retracé le calendrier des incidents récents, certains aspects du mode opératoire de l’attaquant, en précisant bien s’exprimer dans les limites de l’enquête en cours. « À date, nous parlons de trois fuites, de gravité et d’ampleur très différentes. Aucune d’entre elles n’a permis d’entrer dans un compte fiscal ou de récupérer des codes d’accès », a-t-elle assuré.

Les deux premières intrusions, survenues respectivement en juin et en juillet 2026, ont permis selon les services de la DGFiP de consulter et d’extraire les données de 350 000 particuliers et 250 000 professionnels, ainsi qu’un lot de données cadastrales.

Au niveau des impôts, c’est la base de données des messages échangés entre les agents du service public et les usagers qui aurait été consultée. Cette interface contient, selon Amélie Verdier, un « cartouche résumé » qui présente à l’agent les principales informations fiscales de l’usager, pour faciliter sa compréhension de la demande.

À ce niveau, l’attaque a permis de consulter et d’extraire les données de 350 000 particuliers et 250 000 professionnels. Pour les premiers, sont notamment concernées « des données fiscales telles que le revenu fiscal de référence, le quotient familial ou le taux de prélèvement à la source ». Sur le volet entreprise, Bercy évoque dans sa FAQ dédiée (PDF) « des données telles que leur raison sociale ou leur SIREN ». Amélie Verdier précise toutefois que comme pour les particuliers, des messages avec l’administration ont pu être consultés, ce qui pourrait se traduire par l’exposition de données fiscales. « Les vérifications sont en cours », déclare-t-elle.

La deuxième fuite relative au cadastre concerne quant à elle des données liées aux parcelles, indique la directrice générale. Les données personnelles de 433 000 personnes seraient concernées à ce stade de l’investigation. « Ce sont des vendeurs, des acheteurs, ou des tiers tels que des notaires ou des professionnels amenés à faire des déclarations dans cette base cadastrale », indique Amélie Verdier.

Enfin, une troisième attaque vient d’être détectée et confirmée, au niveau cette fois du portail des successions vacantes, le service qui permet au détenteur d’une créance envers un défunt de vérifier s’il existe un héritier auprès duquel faire valoir ses droits. « L’attaquant a eu accès à un journal des demandes », indique la directrice générale.

Des comptes utilisateurs compromis

La DGFiP a par ailleurs confirmé que ces accès indus avaient été obtenus au moyen de comptes utilisateurs compromis, réalisés par Internet. Ces accès auraient bien été détectés, et coupés, en juin et en juillet, mais sans que l’exfiltration de données ait été confirmée à ce stade. Bercy dit avoir pris connaissance de la fuite le 12 août, via une alerte de l’ANSSI concomitante de la revendication du ou des pirates auteurs de l’attaque.

Sur la base de données du cadastre, Amélie Verdier parle de la compromission d’un compte avec double authentification. Pour ce qui concerne les échanges fiscaux qui constituent l’attaque la plus préoccupante, elle évoque une « combinaison de compromissions de comptes » qui aurait touché à la fois le profil d’un prestataire externe agréé et celui d’un agent des impôts, avec une passerelle rendue possible par une « brèche » non précisée.

Pourquoi la fuite de données n’a-t-elle pas été détectée avant la revendication, si les comptes utilisés ont bien été fermés pour cause de compromission ? Sur ce point, la DGFiP se range derrière le secret de l’enquête. Tout juste apprendra-t-on que l’attaquant « a d’abord fait des tests manuels qu’il a ensuite massifiés, en restant sous les seuils de détection », et que les investigations menées en juin et en juillet semblent s’être concentrées sur des compromissions classiques, sans envisager cette « combinaison » évoquée par la directrice générale.

Une authentification multi-facteurs généralisée d’ici la fin de l’année

Outre des excuses appuyées aux victimes, et un appel à ne pas stigmatiser les agents des impôts, la directrice des Impôts et le ministre de l’Action et des Comptes publics, David Amiel, ont logiquement assuré que la sécurité des services concernés constituait une « priorité absolue ». L’authentification forte, « déjà bien engagée » selon le ministre, devrait ainsi être généralisée à l’ensemble des agents de Bercy « d’ici la fin de l’année ».

David Amiel évoque également la généralisation des quotas d’accès aux données, la mise en place de capteurs sur tous les systèmes qui en sont encore dépourvus, et une formation cyber renforcée des agents, ainsi que la multiplication d’opérations telles que des campagnes de phishing fictives. Le ministre dit par ailleurs souhaiter un usage renforcé de l’IA à des fins d’exploration défensive. « J’ai demandé à ce qu’on se teste nous-mêmes avec des IA pour nous auto-attaquer et déceler les défaillances ». Pas un mot en revanche de la directive européenne NIS2, dont la transposition en France se fait toujours attendre.

En parallèle, c’est bien sûr l’audit confié à l’ANSSI, dont les résultats sont attendus pour septembre, qui devrait guider la marche à suivre. « Ce diagnostic complètera les enseignements des attaques passées et de la feuille de route cyber élaborée à ma demande au premier semestre », précise David Amiel. 

Quid des vulnérabilités structurelles, liées à l’ancienneté des systèmes d’information (le fameux legacy) ? Bercy affirme plancher de façon continue sur la question, et avoir encore intensifié ses efforts avec un accent particulier sur la cyber depuis son schéma directeur du numérique de 2025, mis à jour à l’été 2026.

La dette technique reste cependant conséquente, même si le rattrapage est sensible. « Notre taux de conformité a doublé depuis 2020, nous sommes passés de 25 % à un peu plus de 50 % », révèle Amélie Verdier. Elle indique par ailleurs que 100 postes sont dédiés aux sujets cyber sur les 5 300 informaticiens de Bercy. Et souligne un volume d’attaques conséquent, avec 6 972 incidents enregistrés et 57 compromissions de comptes enregistrés en 2025.

En attendant que la dette se résorbe, Bercy affirme travailler à réduire au maximum les accès distants susceptibles de favoriser des compromissions (mail ou agendas des fonctionnaires hors du réseau de Bercy par exemple). Et assure prioriser la refonte des fichiers les plus sensibles, comme le Ficoba troué en début d’année.

• Bercy informe d’une intrusion dans le Ficoba : 1,2 million de comptes exposés

Information en cours auprès des usagers

Reste à informer les usagers des services fiscaux. Bercy a annoncé lundi soir que les personnes concernées seraient contactées par mail, avec un courrier d’information reproduit ci-dessous. La campagne d’envoi de mails pour les particuliers devrait se terminer à la fin de la semaine. La communication à destination des professionnels débutera quant à elle la semaine prochaine, c’est-à-dire à partir du 24 août.

La Cnil a de son côté confirmé avoir été dûment notifiée, et prie instamment les victimes de ne plus tenter de la saisir de plaintes individuelles « sauf si vous disposez d’éléments spécifiques ou utiles aux investigations en cours ».

• Quels sont les risques liés aux multiples fuites de vos données personnelles ?

Le ministère de l’Éducation nationale confirme une exfiltration de données

Le ou les pirates qui revendiquent l’attaque sur Bercy, cachés derrière le pseudo ZeroBytes, ont par ailleurs affirmé lundi soir disposer d’un jeu de données particulièrement volumineux issu des systèmes informatiques de l’Éducation nationale. Interrogé sur ce point, le général Stéphane Bajard, directeur général adjoint de l’ANSSI, indique que l’agence est engagée aux côtés des équipes du ministère pour analyser l’incident, mais ne confirme ni n’infirme la revendication.

L’entourage du ministre de l’Éducation nationale, Edouard Geffray, a cela dit confirmé à france info qu’il s’agit de l’attaque qui avait fait l’objet d’un communiqué, le 31 juillet dernier. Le ministère avait alors annoncé avoir été « victime d’une intrusion frauduleuse dans l’un de ses systèmes d’information » dans la nuit du 25 juillet 2026, « à la suite de l’usurpation d’un compte professionnel ».

Le centre opérationnel de sécurité des systèmes d’information du ministère en avait été alerté « dès le 26 juillet », et si l’accès externe au système concerné avait été suspendu « dans les heures qui ont suivi », le ministère reconnaissait que l’intrusion « a pu conduire à l’exfiltration de données à caractère personnel concernant un nombre important de ses agents » :

« Les données susceptibles d’avoir été exfiltrées concernent les agents du ministère ayant exercé en académie depuis 2001. Il s’agit d’éléments d’identité et d’informations professionnelles – statut et fonctions. Pour une partie d’entre eux s’y ajoutent des coordonnées, adresse postale et numéro de téléphone, ainsi que le numéro de sécurité sociale. Ce système d’information ne contient ni données bancaires, ni mots de passe, ni données relatives aux élèves. »

Dans un communiqué, le ministère précise avoir alors déposé plainte contre X auprès du parquet de Paris et saisi l’ANSSI, ainsi que la CNIL. « Depuis, l’ensemble des personnels susceptibles d’être concernés ont été informés individuellement », précise le communiqué :

« Des publications intervenues hier font état de la mise en ligne de ces données et revendiquent la détention de données relatives à des élèves. Le ministère poursuit ses expertises techniques afin d’établir la nature exacte et l’étendue des données exfiltrées. »

Le ministère indique par ailleurs travailler avec l’appui de l’ANSSI à un plan de renforcement de la sécurité de ses systèmes d’information, et « appelle chacun à la plus grande vigilance face aux tentatives de fraude qui suivent ce type de publication, en particulier l’hameçonnage et l’usurpation d’identité » :

« Il ne demande jamais par courriel, par téléphone ou par message les identifiants de connexion, les mots de passe ou les coordonnées bancaires. Tout message suspect doit être signalé aux autorités académiques sans y répondre ni cliquer sur les liens qu’il contient. »

Alors que l’envoi des notifications aux 678 000 victimes a démarré, la DGFiP dévoile l’apparence exacte de son vrai mail d’alerte. Un repère visuel essentiel pour reconnaître le message officiel et ne pas tomber dans le piège des fausses alertes qui vont suivre.

Mais bordel.... 🤬

"cette fuite expose 1,22 million d’élèves distincts (dont de nombreux mineurs), 4,35 millions d’identifiants de personnels et 602 000 comptes académiques, touchant tout particulièrement Créteil et Versailles."

Et ça inclue : identités, dates de naissance, numéros de sécurité sociale, adresses postales, emails, numéros de téléphone, dossier scolaire, détails logistiques (transports, cantine...), coordonnées des parents, dossiers professionnels...
(Permalink)

Apple continue de livrer les mises à jour de sécurité à un rythme trépidant. iOS 26.6.1 et macOS Tahoe 26.6.2, disponibles depuis ce lundi 17 août, contiennent ainsi une trentaine de correctifs. Ces mises à jour sont nécessaires : macOS 26.6.1 fournie il y a dix jours corrigeait ainsi une faille critique.

Apple avait prévenu fin juin : la cadence de distribution des mises à jour de sécurité pour ses systèmes d’exploitation allaient s’accélérer. On y est. Depuis quelques semaines, le constructeur bombarde ses utilisateurs de nouvelles versions d’iOS et de macOS, chacune charriant un lot impressionnant de correctifs.

C’est aussi le cas d’iOS 26.6.1 et iPadOS 26.6.1, disponibles depuis hier soir. Apple documente ainsi 29 failles de sécurité corrigées. La grosse majorité d’entre elles concerne WebKit, le moteur de rendu de Safari (21 CVE). Le reste se répartit entre le noyau, ImageIO, Audio, IOGPUFamily et Telephony. Une des failles les plus sérieuses concerne ImageIO : la CVE-2026-65346 permet d’exécuter du code arbitraire via le traitement d’une image spécialement trafiquée.

macOS Tahoe 26.6.2 corrige de son côté 28 CVE. C’est quasiment le même lot que pour iOS 26.6.1, exception faite de la vulnérabilité liée au composant Telephony. Signe des temps, neuf CVE sont crédités à l’équipe OpenAI Codex Security.

macOS 26.6.1 a été fournie le 6 août, une mise à jour qui elle même intervenait une semaine après macOS 26.6. Elle contient un correctif pour une faille critique dont les détails ont été révélés par le Nationaal Cyber Security Centrum (NCSC), l’équivalent néerlandais du CERT. La faille CVE-2026-65400 touche la fonction de partage d’écran de macOS qui repose sur le port 5900.

Un problème de gestion d’état permettait à un attaquant, sous certaines conditions, d’accéder à distance à un Mac sans posséder les identifiants normalement nécessaires. Le NCSC a indiqué que la vulnérabilité a été exploitée sur plusieurs machines dont le port 5900 était accessible depuis internet ; les pirates avaient obtenu un accès root leur permettant de miner du Monero. La CVE a été publiée le 7 août, et mise à jour le 12 août pour signaler une exploitation active.

Apple a bouché cette faille dans Tahoe (avec macOS 26.6.1, donc), ainsi que macOS Sonoma (macOS 14.8.9) et Séquoia (macOS 15.7.9).

Apple continue de livrer les mises à jour de sécurité à un rythme trépidant. iOS 26.6.1 et macOS Tahoe 26.6.2, disponibles depuis ce lundi 17 août, contiennent ainsi une trentaine de correctifs. Ces mises à jour sont nécessaires : macOS 26.6.1 fournie il y a dix jours corrigeait ainsi une faille critique.

Apple avait prévenu fin juin : la cadence de distribution des mises à jour de sécurité pour ses systèmes d’exploitation allaient s’accélérer. On y est. Depuis quelques semaines, le constructeur bombarde ses utilisateurs de nouvelles versions d’iOS et de macOS, chacune charriant un lot impressionnant de correctifs.

C’est aussi le cas d’iOS 26.6.1 et iPadOS 26.6.1, disponibles depuis hier soir. Apple documente ainsi 29 failles de sécurité corrigées. La grosse majorité d’entre elles concerne WebKit, le moteur de rendu de Safari (21 CVE). Le reste se répartit entre le noyau, ImageIO, Audio, IOGPUFamily et Telephony. Une des failles les plus sérieuses concerne ImageIO : la CVE-2026-65346 permet d’exécuter du code arbitraire via le traitement d’une image spécialement trafiquée.

macOS Tahoe 26.6.2 corrige de son côté 28 CVE. C’est quasiment le même lot que pour iOS 26.6.1, exception faite de la vulnérabilité liée au composant Telephony. Signe des temps, neuf CVE sont crédités à l’équipe OpenAI Codex Security.

macOS 26.6.1 a été fournie le 6 août, une mise à jour qui elle même intervenait une semaine après macOS 26.6. Elle contient un correctif pour une faille critique dont les détails ont été révélés par le Nationaal Cyber Security Centrum (NCSC), l’équivalent néerlandais du CERT. La faille CVE-2026-65400 touche la fonction de partage d’écran de macOS qui repose sur le port 5900.

Un problème de gestion d’état permettait à un attaquant, sous certaines conditions, d’accéder à distance à un Mac sans posséder les identifiants normalement nécessaires. Le NCSC a indiqué que la vulnérabilité a été exploitée sur plusieurs machines dont le port 5900 était accessible depuis internet ; les pirates avaient obtenu un accès root leur permettant de miner du Monero. La CVE a été publiée le 7 août, et mise à jour le 12 août pour signaler une exploitation active.

Apple a bouché cette faille dans Tahoe (avec macOS 26.6.1, donc), ainsi que macOS Sonoma (macOS 14.8.9) et Séquoia (macOS 15.7.9).

Pour vivre heureux, vivons isolés

Apple a envoyé une nouvelle vague de notifications de menace à des utilisateurs potentiellement visés par des logiciels espions mercenaires, dans 110 pays. Le constructeur a aussi revu sa manière de communiquer ces notifications aux victimes.

Fin 2021, Apple portait plainte contre NSO Group, une société israélienne à l’origine de Pegasus, un logiciel d’espionnage qui s’installe discrètement sur iPhone en exploitant des failles de sécurité. Dans la foulée, le constructeur informatique annonçait la mise en place d’un programme visant à prévenir des utilisateurs que leurs appareils avaient été compromis par ce type de logiciels espions.

Si les poursuites contre NSO ont finalement été abandonnées trois ans plus tard, Apple a continué d’envoyer des « notifications de menace » à des utilisateurs visés par des attaques mercenaires à travers le monde. L’entreprise a ainsi annoncé avoir alerté jeudi 13 août un certain nombre de victimes potentielles de spywares dans 110 pays. Depuis le lancement de ce programme, des notifications ont été envoyées à des utilisateurs dans plus de 150 pays.

Le groupe américain a également revu la manière dont ces notifications s’affichent : elles apparaissent sur l’iPhone de l’utilisateur, sur l’écran de verrouillage ainsi que dans les réglages. Une notification est également envoyée par email aux adresses associées aux comptes Apple de la personne (à partir de cette adresse : threat-notifications@email.apple.com). Enfin, une bannière est présente en haut de la page du compte Apple sur account.apple.com.

Cette notification ne signifie pas que l’appareil a été compromis, mais elle représente une « alerte très fiable » qui doit être prise « très au sérieux », explique Apple dans une nouvelle note d’assistance. Apple recommande vivement de se rapprocher d’équipes spécialisées en sécurité, en donnant l’exemple de l’assistance téléphonique 24/7 de l’ONG Access Now.

Apple suggère aussi d’activer le mode Isolement, qui réduit fortement la surface d’attaque en limitant ou en bloquant certaines fonctions de Messages, FaceTime, de la navigation web, des services Apple ou encore des albums partagés. Souvent, un logiciel espion s’installe après avoir touché un lien dans un message.

Des attaques très rares et très coûteuses

Tout le monde n’est pas concerné par ces attaques. En fait, très peu de personnes sont visées, « souvent des journalistes, des militants, des hommes politiques ou des diplomates », détaille Apple. Ces attaques « coûtent des millions de dollars et se produisent souvent sur une courte durée, ce qui les rend beaucoup plus difficiles à détecter et à empêcher ». Ce coût très élevé limite la portée de ces menaces, ce qui explique pourquoi elles sont « associées à des acteurs étatiques, y compris à des entreprises privées développant des logiciels espions mercenaires pour le compte de ces acteurs, par exemple Pegasus de NSO Group. »

Pour Apple, « le coût extrême, la sophistication et le caractère international des attaques via des logiciels espions mercenaires en font l’une des menaces numériques les plus avancées qui existent actuellement ». Apple ne détaille pas les enquêtes qui aboutissent aux notifications de menace, en revanche, car « cette information pourrait aider les personnes derrière ces logiciels espions mercenaires à adapter leur comportement pour éviter d’être détectés. »

Pour le grand public, Apple rappelle quelques règles simples : mettre à jour ses appareils avec les dernières mises à jour sécurité (très prolifiques actuellement), utiliser la biométrie (Touch ID, Face ID) pour protéger l’accès à un appareil, utiliser l’authentification à deux facteurs, activer la protection en cas de vol de l’appareil, utiliser des passkeys, installer des apps depuis l’App Store (attention, la boutique laisse passer tout et n’importe quoi), et surtout ne pas ouvrir des liens ou des pièces jointes envoyés par des inconnus.

Pour vivre heureux, vivons isolés

Apple a envoyé une nouvelle vague de notifications de menace à des utilisateurs potentiellement visés par des logiciels espions mercenaires, dans 110 pays. Le constructeur a aussi revu sa manière de communiquer ces notifications aux victimes.

Fin 2021, Apple portait plainte contre NSO Group, une société israélienne à l’origine de Pegasus, un logiciel d’espionnage qui s’installe discrètement sur iPhone en exploitant des failles de sécurité. Dans la foulée, le constructeur informatique annonçait la mise en place d’un programme visant à prévenir des utilisateurs que leurs appareils avaient été compromis par ce type de logiciels espions.

Si les poursuites contre NSO ont finalement été abandonnées trois ans plus tard, Apple a continué d’envoyer des « notifications de menace » à des utilisateurs visés par des attaques mercenaires à travers le monde. L’entreprise a ainsi annoncé avoir alerté jeudi 13 août un certain nombre de victimes potentielles de spywares dans 110 pays. Depuis le lancement de ce programme, des notifications ont été envoyées à des utilisateurs dans plus de 150 pays.

Le groupe américain a également revu la manière dont ces notifications s’affichent : elles apparaissent sur l’iPhone de l’utilisateur, sur l’écran de verrouillage ainsi que dans les réglages. Une notification est également envoyée par email aux adresses associées aux comptes Apple de la personne (à partir de cette adresse : threat-notifications@email.apple.com). Enfin, une bannière est présente en haut de la page du compte Apple sur account.apple.com.

Cette notification ne signifie pas que l’appareil a été compromis, mais elle représente une « alerte très fiable » qui doit être prise « très au sérieux », explique Apple dans une nouvelle note d’assistance. Apple recommande vivement de se rapprocher d’équipes spécialisées en sécurité, en donnant l’exemple de l’assistance téléphonique 24/7 de l’ONG Access Now.

Apple suggère aussi d’activer le mode Isolement, qui réduit fortement la surface d’attaque en limitant ou en bloquant certaines fonctions de Messages, FaceTime, de la navigation web, des services Apple ou encore des albums partagés. Souvent, un logiciel espion s’installe après avoir touché un lien dans un message.

Des attaques très rares et très coûteuses

Tout le monde n’est pas concerné par ces attaques. En fait, très peu de personnes sont visées, « souvent des journalistes, des militants, des hommes politiques ou des diplomates », détaille Apple. Ces attaques « coûtent des millions de dollars et se produisent souvent sur une courte durée, ce qui les rend beaucoup plus difficiles à détecter et à empêcher ». Ce coût très élevé limite la portée de ces menaces, ce qui explique pourquoi elles sont « associées à des acteurs étatiques, y compris à des entreprises privées développant des logiciels espions mercenaires pour le compte de ces acteurs, par exemple Pegasus de NSO Group. »

Pour Apple, « le coût extrême, la sophistication et le caractère international des attaques via des logiciels espions mercenaires en font l’une des menaces numériques les plus avancées qui existent actuellement ». Apple ne détaille pas les enquêtes qui aboutissent aux notifications de menace, en revanche, car « cette information pourrait aider les personnes derrière ces logiciels espions mercenaires à adapter leur comportement pour éviter d’être détectés. »

Pour le grand public, Apple rappelle quelques règles simples : mettre à jour ses appareils avec les dernières mises à jour sécurité (très prolifiques actuellement), utiliser la biométrie (Touch ID, Face ID) pour protéger l’accès à un appareil, utiliser l’authentification à deux facteurs, activer la protection en cas de vol de l’appareil, utiliser des passkeys, installer des apps depuis l’App Store (attention, la boutique laisse passer tout et n’importe quoi), et surtout ne pas ouvrir des liens ou des pièces jointes envoyés par des inconnus.

Bercy donne des détails

Le piratage de la plateforme du fisc, confirmé par la DGFiP cette semaine, aboutit à l’ouverture d’une enquête de l’Office anticybercriminalité. Bercy a donné des détails supplémentaires sur cette attaque, qui touche 678 000 contribuables et entreprises.

Après une période de flottement, la Direction générale des Finances publiques a donné de plus amples détails et précisions sur le piratage de son système d’information. Un acteur malveillant a donc accédé à cette plateforme « en juin et en juillet », grâce à des usurpations d’identifiants d’un agent et d’un tiers habilité. Une attaque « plus sophistiquée que par le passé », a rapporté Bercy.

impots.gouv.fr en sécurité

Ces accès illégitimes ont permis au pirate de consulter et d’extraire des données concernant un total de 678 000 particuliers et professionnels ; pour les particuliers, ce sont des données fiscales (revenu fiscal de référence, quotient familial ou taux de prélèvement à la source). Pour les professionnels, il s’agit de la raison sociale ou du numéro SIREN. La DGFiP ajoute que des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers ont également été consultées.

Il est important de noter que les identifiants et les mots de passe des usagers n’ont pas été compromis, ni leurs espaces Finances publiques. Autrement dit, les données volées ne permettent pas l’accès au compte sécurisé sur impots.gouv.fr.

Néanmoins, l’enquête interne se poursuit pour déterminer « précisément » la nature et le volume des données extraites, ainsi que le nombre de victimes du piratage. Les usagers touchés seront directement contactés dès la semaine prochaine : ils recevront une information individuelle par courriel ou par courrier avec les mesures de vigilance à adopter (en espérant que des petits malins n’en profitent pas pour orchestrer une campagne de hameçonnage entretemps).

La Direction a « immédiatement interrompu » les accès de l’ensemble des comptes utilisés dans les incidents dès que les intrusions ont été détectées. Des mesures de sécurité complémentaires ont également été mises en œuvre (coupures préventives des accès à des systèmes d’informations sensibles). Une plainte sera aussi déposée.

Sans attendre, la section cyber du parquet de Paris a ouvert une enquête, indique l’AFP (via Le Monde). L’Office anticybercriminalité (Ofac) va se pencher sur « l’extraction frauduleuse de données contenues dans un système de traitement automatisé de données à caractère personnel mis en œuvre par l’Etat », « la participation à une association de malfaiteurs en vue de la préparation d’un délit puni d’au moins cinq ans d’emprisonnement » et « l’accès et maintien frauduleux dans un système de traitement automatisé de données en bande organisée ».

• Baroud d’honneur pour Bloctel, avec la fuite de 600 000 numéros opposés au démarchage
• Fuite de données à France Titres : au moins 11,7 millions de comptes touchés
• Au tour de l’Insee de se faire pirater, les données de 12 800 agents exfiltrées

Bercy donne des détails

Le piratage de la plateforme du fisc, confirmé par la DGFiP cette semaine, aboutit à l’ouverture d’une enquête de l’Office anticybercriminalité. Bercy a donné des détails supplémentaires sur cette attaque, qui touche 678 000 contribuables et entreprises.

Après une période de flottement, la Direction générale des Finances publiques a donné de plus amples détails et précisions sur le piratage de son système d’information. Un acteur malveillant a donc accédé à cette plateforme « en juin et en juillet », grâce à des usurpations d’identifiants d’un agent et d’un tiers habilité. Une attaque « plus sophistiquée que par le passé », a rapporté Bercy.

impots.gouv.fr en sécurité

Ces accès illégitimes ont permis au pirate de consulter et d’extraire des données concernant un total de 678 000 particuliers et professionnels ; pour les particuliers, ce sont des données fiscales (revenu fiscal de référence, quotient familial ou taux de prélèvement à la source). Pour les professionnels, il s’agit de la raison sociale ou du numéro SIREN. La DGFiP ajoute que des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers ont également été consultées.

Il est important de noter que les identifiants et les mots de passe des usagers n’ont pas été compromis, ni leurs espaces Finances publiques. Autrement dit, les données volées ne permettent pas l’accès au compte sécurisé sur impots.gouv.fr.

Néanmoins, l’enquête interne se poursuit pour déterminer « précisément » la nature et le volume des données extraites, ainsi que le nombre de victimes du piratage. Les usagers touchés seront directement contactés dès la semaine prochaine : ils recevront une information individuelle par courriel ou par courrier avec les mesures de vigilance à adopter (en espérant que des petits malins n’en profitent pas pour orchestrer une campagne de hameçonnage entretemps).

La Direction a « immédiatement interrompu » les accès de l’ensemble des comptes utilisés dans les incidents dès que les intrusions ont été détectées. Des mesures de sécurité complémentaires ont également été mises en œuvre (coupures préventives des accès à des systèmes d’informations sensibles). Une plainte sera aussi déposée.

Sans attendre, la section cyber du parquet de Paris a ouvert une enquête, indique l’AFP (via Le Monde). L’Office anticybercriminalité (Ofac) va se pencher sur « l’extraction frauduleuse de données contenues dans un système de traitement automatisé de données à caractère personnel mis en œuvre par l’Etat », « la participation à une association de malfaiteurs en vue de la préparation d’un délit puni d’au moins cinq ans d’emprisonnement » et « l’accès et maintien frauduleux dans un système de traitement automatisé de données en bande organisée ».

• Baroud d’honneur pour Bloctel, avec la fuite de 600 000 numéros opposés au démarchage
• Fuite de données à France Titres : au moins 11,7 millions de comptes touchés
• Au tour de l’Insee de se faire pirater, les données de 12 800 agents exfiltrées

Quand vous branchez un périphérique USB compatible "Plug'n'Play", Windows va télécharger et installer les pilotes correspondants, avec les droits maximum (NT AUTHORITY\SYSTEM).
Or certains de ces pilotes ont des failles de sécurité.
En émulant certains périphériques USB, il devient alors possible de forcer l'installation de ces pilotes et d'exploiter les failles correspondantes pour prendre le contrôle de la machine.
Cette faille est même exploitable à distance via RDP (donc sans même avoir d'accès au port USB, car RDP peut faire de l'USB via le réseau.)
(Permalink)

Bwaa pfouuu... plus personne n'en a rien à foutre. C'est yolo avec toutes nos données.

EDIT: Voir aussi https://www.huffingtonpost.fr/economie/article/ce-que-l-on-sait-de-la-double-cyberattaque-massive-visant-les-finances-publiques_304791.html
(Permalink)

Les contribuables ont peur

La Direction générale des Finances publiques (DGFiP) a confirmé les bruits de couloir qui circulaient depuis plusieurs heures sur les réseaux sociaux. Des données concernant des particuliers et des professionnels sont compromises, suite à l’ « accès illégitime » d’un acteur malveillant fin juin.

Les fuites de données se suivent, ne se ressemblent pas… mais elles gardent leur caractère inquiétant. 24 heures après la confirmation que feu Bloctel a laissé filé des centaines de milliers de numéros de téléphone, c’est au tour de la DGFiP d’annoncer qu’un acteur malveillant a eu accès au système d’information des impôts après une usurpation d’identité.

Le communiqué a été publié ce jeudi 13 août en fin de journée, mais l’intrusion remonte à fin juin. Le pirate a revendiqué cet accès hier, mercredi 12 août, ce qui a certainement poussé Bercy à réagir officiellement. Les premières investigations indiquent que l’accès avait été coupé fin juin « dans le cadre du contrôle opéré ». Néanmoins, l’acteur a consulté et extrait des données concernant des particuliers et des professionnels.

La nature et la quantité de ces données ne sont pas précisées. Cependant, les usagers concernés recevront une information individuelle qui spécifiera les données susceptibles d’avoir été consultées ou extraites. Le cas échéant, ils seront également conseillés sur les mesures de vigilance à adopter.

Comme le veut la réglementation, la CNIL va être notifiée de l’incident, et une plainte sera déposée. De nouveaux éléments seront communiqués au fur et à mesure de l’enquête, menée par les équipes de la Direction avec le service du Haut fonctionnaire de défense et de sécurité (SHFDS), ainsi qu’avec l’Agence nationale de la sécurité des systèmes d’information (ANSSI).

Mise à jour 14/08 – Le ministère de l’Économie a précisé à Next que le piratage des données de la plateforme des impôts concerne « des centaines de milliers d’usagers », sans plus de précision à l’heure actuelle.

Les contribuables ont peur

La Direction générale des Finances publiques (DGFiP) a confirmé les bruits de couloir qui circulaient depuis plusieurs heures sur les réseaux sociaux. Des données concernant des particuliers et des professionnels sont compromises, suite à l’ « accès illégitime » d’un acteur malveillant fin juin.

Les fuites de données se suivent, ne se ressemblent pas… mais elles gardent leur caractère inquiétant. 24 heures après la confirmation que feu Bloctel a laissé filé des centaines de milliers de numéros de téléphone, c’est au tour de la DGFiP d’annoncer qu’un acteur malveillant a eu accès au système d’information des impôts après une usurpation d’identité.

Le communiqué a été publié ce jeudi 13 août en fin de journée, mais l’intrusion remonte à fin juin. Le pirate a revendiqué cet accès hier, mercredi 12 août, ce qui a certainement poussé Bercy à réagir officiellement. Les premières investigations indiquent que l’accès avait été coupé fin juin « dans le cadre du contrôle opéré ». Néanmoins, l’acteur a consulté et extrait des données concernant des particuliers et des professionnels.

La nature et la quantité de ces données ne sont pas précisées. Cependant, les usagers concernés recevront une information individuelle qui spécifiera les données susceptibles d’avoir été consultées ou extraites. Le cas échéant, ils seront également conseillés sur les mesures de vigilance à adopter.

Comme le veut la réglementation, la CNIL va être notifiée de l’incident, et une plainte sera déposée. De nouveaux éléments seront communiqués au fur et à mesure de l’enquête, menée par les équipes de la Direction avec le service du Haut fonctionnaire de défense et de sécurité (SHFDS), ainsi qu’avec l’Agence nationale de la sécurité des systèmes d’information (ANSSI).

Mise à jour 14/08 – Le ministère de l’Économie a précisé à Next que le piratage des données de la plateforme des impôts concerne « des centaines de milliers d’usagers », sans plus de précision à l’heure actuelle.

Le club des cyber-flibustiers

Via un mémo officiel, Donald Trump change la politique de cybersécurité de son pays. Il autorise, sous contrôle de l’État fédéral américain, des entreprises préalablement listées à mener des cyberattaques contre des « organisations criminelles transnationales ».

Jusque-là, aux États-Unis, ce sont les agences gouvernementales fédérales qui menaient les missions de cybersécurité du pays. Mais, dans un mémo officiel, Donald Trump vient d’enclencher une nouvelle doctrine qui implique beaucoup plus facilement les acteurs privés du secteur. C’est un changement important qui était attendu depuis des années par le lobby de la cybersécurité américain. Ce dernier plaidait pour la relance des anciennes « lettres de marque » mises au gout du jour « cyber ».

Dans le mémo publié par la Maison-Blanche ce mercredi 12 aout, Donald Trump demande au National Coordination Center (NCC) du Département de la Sécurité intérieure des États-Unis de « mettre en place, gérer et d’assurer le suivi d’un programme visant à autoriser les entreprises participantes » à mener des opérations de cyber-surveillance mais aussi des opérations d’attaques (« Cyber Effects Operation », en anglais) contre des « organisations criminelles transnationales étrangères opérant sur Internet (CE-TCO), « sous le contrôle et la supervision du gouvernement fédéral ».

Des opérations de contre-attaques comme celles autorisées en mer par les « lettres de marque »

Le texte d’explication du mémo publié par la Maison-Blanche cite comme cibles les organisations étrangères aux États-Unis qui mettent en place des attaques par ransomware, des campagnes de phishing, des fraudes financières, du chantage sexuel et des escroqueries par usurpation d’identité sur internet.

Dans son mémo, Donald Trump parle de « Cyber Effects Operation » et en donne une définition permettant aux entreprises autorisées à mener des opérations « de manipulation, de perturbation, de déni d’accès, de dégradation ou de destruction de systèmes d’information, de réseaux, d’infrastructures physiques ou virtuelles contrôlées par des systèmes d’information, ou des informations qui y sont stockées ». Nous ne sommes plus ici dans la simple défense mais dans des opérations d’attaques.

L’entourage de Donald Trump préparait ce changement depuis quelque temps. Comme nos confrères de Bloomberg le soulignaient en décembre dernier, cette nouvelle politique ouvre « de nouvelles perspectives commerciales lucratives aux entreprises qui, traditionnellement, ont conclu des contrats avec l’État dans le cadre de stratégies défensives plutôt que de mesures offensives », même si elles seront exposées à de nouveaux risques et notamment à celui d’être plus rapidement la cible de cyberattaques.

• L’administration Trump voudrait en finir avec la cyberdéfense et privilégier le « hack back »

Depuis plusieurs années, le lobby de la cybersécurité américain pousse (ici ou là, par exemple) à la mise en place de ce qu’il appelle des « lettres de marque cyber », adaptant à Internet le concept de « lettre de marque », existant dans la constitution américaine, qui permet aux navires privés de contre-attaquer dans les eaux internationales. Le concept a été repris récemment par le sénateur républicain qui a proposé une loi le 15 juillet dernier pour « autoriser le président des États-Unis à délivrer des lettres de marque et de représailles dans le domaine cybernétique, ainsi qu’à d’autres fins ».

Les budgets des agences en berne

Du côté des agences fédérales états-uniennes et de l’armée, l’argument est notamment de sous-traiter ces tâches de cybersécurité pour se concentrer sur leurs missions primaires. Surtout, que l’administration Trump a attaqué leur budget en matière de cybersécurité.

• L’Agence de cybersécurité américaine CISA met sur pause son travail sur la sécurisation des élections

« Alors que nos adversaires gagnent du terrain grâce à l’IA, la posture cyberfédérale a été affaiblie », déclarait le premier directeur de la CISA, Chris Krebs (nommé par Donald Trump avant d’être mis sur la touche par le même pour avoir nié le piratage des élections de 2020). « La stratégie manque de clarté, les effectifs sont en baisse et les capacités ont été considérablement réduites », estimait-il avant d’ajouter : « Que cela nous plaise ou non, nous ne sommes pas aussi forts aujourd’hui que nous devrions l’être ».

Ce changement de doctrine arrive aussi quelques mois après les annonces d’Anthropic concernant Mythos et la polémique entre Trump et Anthropic sur l’usage militaire de l’IA allant jusqu’à la désignation de l’entreprise de Dario Amodei comme « fournisseur à risque pour la sécurité nationale », même si finalement le Pentagone continue à utiliser Mythos.

Le club des cyber-flibustiers

Via un mémo officiel, Donald Trump change la politique de cybersécurité de son pays. Il autorise, sous contrôle de l’État fédéral américain, des entreprises préalablement listées à mener des cyberattaques contre des « organisations criminelles transnationales ».

Jusque-là, aux États-Unis, ce sont les agences gouvernementales fédérales qui menaient les missions de cybersécurité du pays. Mais, dans un mémo officiel, Donald Trump vient d’enclencher une nouvelle doctrine qui implique beaucoup plus facilement les acteurs privés du secteur. C’est un changement important qui était attendu depuis des années par le lobby de la cybersécurité américain. Ce dernier plaidait pour la relance des anciennes « lettres de marque » mises au gout du jour « cyber ».

Dans le mémo publié par la Maison-Blanche ce mercredi 12 aout, Donald Trump demande au National Coordination Center (NCC) du Département de la Sécurité intérieure des États-Unis de « mettre en place, gérer et d’assurer le suivi d’un programme visant à autoriser les entreprises participantes » à mener des opérations de cyber-surveillance mais aussi des opérations d’attaques (« Cyber Effects Operation », en anglais) contre des « organisations criminelles transnationales étrangères opérant sur Internet (CE-TCO), « sous le contrôle et la supervision du gouvernement fédéral ».

Des opérations de contre-attaques comme celles autorisées en mer par les « lettres de marque »

Le texte d’explication du mémo publié par la Maison-Blanche cite comme cibles les organisations étrangères aux États-Unis qui mettent en place des attaques par ransomware, des campagnes de phishing, des fraudes financières, du chantage sexuel et des escroqueries par usurpation d’identité sur internet.

Dans son mémo, Donald Trump parle de « Cyber Effects Operation » et en donne une définition permettant aux entreprises autorisées à mener des opérations « de manipulation, de perturbation, de déni d’accès, de dégradation ou de destruction de systèmes d’information, de réseaux, d’infrastructures physiques ou virtuelles contrôlées par des systèmes d’information, ou des informations qui y sont stockées ». Nous ne sommes plus ici dans la simple défense mais dans des opérations d’attaques.

L’entourage de Donald Trump préparait ce changement depuis quelque temps. Comme nos confrères de Bloomberg le soulignaient en décembre dernier, cette nouvelle politique ouvre « de nouvelles perspectives commerciales lucratives aux entreprises qui, traditionnellement, ont conclu des contrats avec l’État dans le cadre de stratégies défensives plutôt que de mesures offensives », même si elles seront exposées à de nouveaux risques et notamment à celui d’être plus rapidement la cible de cyberattaques.

• L’administration Trump voudrait en finir avec la cyberdéfense et privilégier le « hack back »

Depuis plusieurs années, le lobby de la cybersécurité américain pousse (ici ou là, par exemple) à la mise en place de ce qu’il appelle des « lettres de marque cyber », adaptant à Internet le concept de « lettre de marque », existant dans la constitution américaine, qui permet aux navires privés de contre-attaquer dans les eaux internationales. Le concept a été repris récemment par le sénateur républicain qui a proposé une loi le 15 juillet dernier pour « autoriser le président des États-Unis à délivrer des lettres de marque et de représailles dans le domaine cybernétique, ainsi qu’à d’autres fins ».

Les budgets des agences en berne

Du côté des agences fédérales états-uniennes et de l’armée, l’argument est notamment de sous-traiter ces tâches de cybersécurité pour se concentrer sur leurs missions primaires. Surtout, que l’administration Trump a attaqué leur budget en matière de cybersécurité.

• L’Agence de cybersécurité américaine CISA met sur pause son travail sur la sécurisation des élections

« Alors que nos adversaires gagnent du terrain grâce à l’IA, la posture cyberfédérale a été affaiblie », déclarait le premier directeur de la CISA, Chris Krebs (nommé par Donald Trump avant d’être mis sur la touche par le même pour avoir nié le piratage des élections de 2020). « La stratégie manque de clarté, les effectifs sont en baisse et les capacités ont été considérablement réduites », estimait-il avant d’ajouter : « Que cela nous plaise ou non, nous ne sommes pas aussi forts aujourd’hui que nous devrions l’être ».

Ce changement de doctrine arrive aussi quelques mois après les annonces d’Anthropic concernant Mythos et la polémique entre Trump et Anthropic sur l’usage militaire de l’IA allant jusqu’à la désignation de l’entreprise de Dario Amodei comme « fournisseur à risque pour la sécurité nationale », même si finalement le Pentagone continue à utiliser Mythos.

Y'a vraiment des baffes qui se perdent, hein.
(Permalink)

Mise à jour de rsync en 3.5 avec...  33 failles de sécurité corrigées ! 😱

EDIT: Est-ce que ça serait dû à la slopification du logiciel ? (cf. https://sebsauvage.net/links/?lumWUQ)
https://github.com/RsyncProject/rsync/issues/929
(Permalink)

Quand l’open source va trop loin…

Bloctel devait protéger les utilisateurs opposés au démarchage téléphonique… mais ce n’était pas un franc succès. Bloctel a tiré officiellement sa révérence le 11 août, non sans un dernier fait d’arme : « Un accès frauduleux à un compte professionnel a permis à un cybercriminel de récupérer des fichiers contenant 3 millions de numéros de téléphone, dont 600 000 inscrits sur Bloctel ».

Un email envoyé aux utilisateurs, dont nous pouvons confirmer l’authenticité

Un des utilisateurs du service, Gauthier Huguenin, nous a transféré le message que Bloctel a envoyé. Nous avons ainsi pu vérifier son authenticité : il a bien été envoyé depuis un serveur autorisé par le domaine bloctel.gouv.fr et porte une signature cryptographique valide, comme en attestent les contrôles DKIM, SPF et DMARC.

• [Tuto] Comprendre les emails et vérifier leur légitimité à partir des métadonnées

Celui-ci évoque l’usurpation d’« un compte professionnel utilisateur du service » par «un tiers non autorisé » pour « accéder à ce compte et télécharger des fichiers échangés avec le service Bloctel ».

Deux fichiers sont listés : l’un « contenant des numéros de téléphone émanant du professionnel utilisateur du service » et l’autre est celui « restitué après vérification auprès de la liste d’opposition au démarchage téléphonique Bloctel ». En comparant les deux fichiers, on peut certainement en déduire les numéros inscrits sur Bloctel (qui ont donc disparu de la seconde liste).

Bloctel assure à ses utilisateurs à qui il a envoyé l’email que leur numéro de téléphone est la seule donnée concernée par l’incident. Mais couplée au fait qu’il appartient à une liste d’opposition à tout démarchage téléphonique, cela augmente un peu l’intérêt de cette donnée.

Dans son mail, le service affirme avoir bloqué le compte en question dès confirmation du piratage et avoir mené une investigation pour circonscrire le problème. Comme nécessaire à chaque fuite de données, Bloctel explique avoir notifié l’incident à la CNIL.

Le pirate repart avec 3 millions de numéros, dont 600 000 inscrits sur Bloctel

La revendication du piratage avait déjà été relayée par FrenchBreaches depuis quelques jours sans confirmation. La liste de plus de 3 millions de numéros de téléphone est revendiquée sans que ce chiffre soit officiel. La DGCCRF est venue clarifier la situation avec un communiqué :

« Un accès frauduleux à un compte professionnel a permis à un cybercriminel de récupérer des fichiers contenant 3 millions de numéros de téléphone, dont 600 000 inscrits sur Bloctel ». La répression des fraudes confirme que « seuls des numéros de téléphone ont été exposés, sans aucune autre donnée personnelle (nom, adresse, etc.) ». Elle ajoute que « la base de données Bloctel elle-même n’a pas été compromise ».

Quand l’open source va trop loin…

Bloctel devait protéger les utilisateurs opposés au démarchage téléphonique… mais ce n’était pas un franc succès. Bloctel a tiré officiellement sa révérence le 11 août, non sans un dernier fait d’arme : « Un accès frauduleux à un compte professionnel a permis à un cybercriminel de récupérer des fichiers contenant 3 millions de numéros de téléphone, dont 600 000 inscrits sur Bloctel ».

Un email envoyé aux utilisateurs, dont nous pouvons confirmer l’authenticité

Un des utilisateurs du service, Gauthier Huguenin, nous a transféré le message que Bloctel a envoyé. Nous avons ainsi pu vérifier son authenticité : il a bien été envoyé depuis un serveur autorisé par le domaine bloctel.gouv.fr et porte une signature cryptographique valide, comme en attestent les contrôles DKIM, SPF et DMARC.

• [Tuto] Comprendre les emails et vérifier leur légitimité à partir des métadonnées

Celui-ci évoque l’usurpation d’« un compte professionnel utilisateur du service » par «un tiers non autorisé » pour « accéder à ce compte et télécharger des fichiers échangés avec le service Bloctel ».

Deux fichiers sont listés : l’un « contenant des numéros de téléphone émanant du professionnel utilisateur du service » et l’autre est celui « restitué après vérification auprès de la liste d’opposition au démarchage téléphonique Bloctel ». En comparant les deux fichiers, on peut certainement en déduire les numéros inscrits sur Bloctel (qui ont donc disparu de la seconde liste).

Bloctel assure à ses utilisateurs à qui il a envoyé l’email que leur numéro de téléphone est la seule donnée concernée par l’incident. Mais couplée au fait qu’il appartient à une liste d’opposition à tout démarchage téléphonique, cela augmente un peu l’intérêt de cette donnée.

Dans son mail, le service affirme avoir bloqué le compte en question dès confirmation du piratage et avoir mené une investigation pour circonscrire le problème. Comme nécessaire à chaque fuite de données, Bloctel explique avoir notifié l’incident à la CNIL.

Le pirate repart avec 3 millions de numéros, dont 600 000 inscrits sur Bloctel

La revendication du piratage avait déjà été relayée par FrenchBreaches depuis quelques jours sans confirmation. La liste de plus de 3 millions de numéros de téléphone est revendiquée sans que ce chiffre soit officiel. La DGCCRF est venue clarifier la situation avec un communiqué :

« Un accès frauduleux à un compte professionnel a permis à un cybercriminel de récupérer des fichiers contenant 3 millions de numéros de téléphone, dont 600 000 inscrits sur Bloctel ». La répression des fraudes confirme que « seuls des numéros de téléphone ont été exposés, sans aucune autre donnée personnelle (nom, adresse, etc.) ». Elle ajoute que « la base de données Bloctel elle-même n’a pas été compromise ».