Notoriété vs crédibilité

Les tuyaux d’Internet ne sont pas tous blindés, certains sont percés, des données personnelles sont volées par des pirates ou « fuitent » et sont ensuite échangées sur des forums. Entre les pirates qui affirment tout et n’importe quoi, tandis que d’autres relayent leur communication, pas facile de faire la part des choses. Cela arrange les sites et services qui laissent filer des données qui se retrouvent ainsi noyées dans le flot des messages.

Il y a deux ans, nous publiions un édito sur les fuites massives de données de l’époque, en concluant qu’Internet était « un annuaire des Français à ciel ouvert ». Le reste de l’année 2024, 2025 et les premières semaines de 2026 ne sont pas à l’apaisement, loin de là.

Revendications, fuites, cyberattaques, prestataires… vous avez les bases ?

Presque à se demander s’il reste encore des informations personnelles à siphonner. La réponse est oui : il ne faut pas baisser les bras. Un exemple du danger de croiser certaines informations : d’après le parquet de Paris, plusieurs cambriolages réalisés à l’adresse d’adhérents la Fédération française de tir (FFTir) découlent directement du vol de données dont elle a été victime.

Les fuites sont toujours aussi nombreuses, dans tous les domaines d’activités, des associations aux entreprises commerciales en passant par des institutions. Il ne se passe pas une semaine sans la revendication d’au moins un vol de données. Vous avez noté le glissement sémantique ? Nous avons utilisé le mot revendication, pas fuite ou cyberattaque. La distinction est très importante.

Revendication : des pirates affirment avoir des données, il faut les croire sur parole, ou réussir à valider l’authenticité de l’éventuel échantillon proposé. Fuite : des données ont été récupérées, mais cela peut venir d’un système défaillant, d’un email avec 10 000 adresses emails, etc. Cyberattaque : des pirates ont forcé les protections pour accéder aux données. Il y a aussi le cas des défauts de sécurisation : comment classer le fait de récupérer des mots de passe de précédentes fuites pour s’identifier sur d‘autres systèmes ? (Rappel : un mot de passe unique par service, c’est une règle importante).

Il faut également distinguer le cas des prestataires : quand un prestataire se fait trouer, le pirate peut récupérer des données pour l’ensemble de ses clients, impliquant alors des enseignes, associations et entités en cascade. C’est ce qui s’est passé en France pour des boutiques en ligne et des associations.

Quand des « influenceurs » deviennent les agents des « pirates »

Le grand jeu des pirates est de faire parler d’eux le plus possible et, s’ils arrivent en plus à faire passer des vessies pour des lanternes, c’est le jackpot. Les vessies sont souvent de vieilles données déjà disponibles sur Internet (via des précédentes fuites, du scraping…), tandis que les lanternes sont des informations « fraîches ».

Pour celui qui veut se lancer comme « commercial » des pirates en relayant leur com’, il y a une source inépuisable : BreachForums. Tout le monde peut y poster tout et n’importe quoi. Les messages y sont rapidement relayés par certains en quête de notoriété, sans vérification particulière. S’il tombe juste, c‘est parfait, l’« influenceur » en herbe passe en mode « je vous l’avais bien dit, je suis trop fort ». S’il tombe à côté : pas grave, il suffit de laisser couler et de passer à la prochaine « fuite ». Des messages, il y en a tous les jours sur BreachForums.

• Une fuite massive à l’ANTS ? De la recherche du buzz au recadrage cinglant de l’ANSSI

Faire du sensationnalisme, c’est facile puisque BreachForums prémâche même le travail avec un « index non officiel » des fuites de données en France. Ce « topic » revendique 279 746 410 (près de 280 millions) « d’enregistrements issus des 131 bases de données ». Entre hier et aujourd’hui, quelques centaines de milliers de données ont été ajoutées à partir de deux nouvelles bases.

Pour y entrer, il faut que la fuite concerne (ou affirme concerner) au moins 25 000 utilisateurs (sans doublon). L’auteur du message explique aussi que « l’authenticité de la fuite doit être vérifiée » avec, comme exemple, « un article de presse confirmant l’authenticité de votre fuite ». Le serpent ne serait-il pas en train de se mordre la queue ?

Sur Next, ce n’est pas notre manière de traiter l’information et encore moins celle sur les fuites de données. Il y a quelques semaines, nous expliquions comment nous avions vérifié l’email annonçant une fuite de données ColisPrivé. Cela prend du temps, mais c’est un temps nécessaire pour ne pas faire le jeu des pirates.

• Itinéraire d’une actu : Colis Privé et sa fuite de données

Le choc de l’info, le poids des mots

Attention, il n’est pas question de minimiser les fuites : elles sont clairement nombreuses, inquiétantes et toutes importantes ! Par contre, il faut faire attention à ne pas faire le jeu des pirates, à accorder du crédit à ce qui ne le mérite pas, à jouer sur la peur, etc.

Next pourrait, comme certains, relayer une bonne partie des publications de BreachForums avec du conditionnel (cela n’excuse pas tout, loin de là), mais nous avons décidé de faire autrement. Nous avons relayé les nombreuses fuites dans des briefs ou des actus selon les cas (et l’importance), mais cette manière de faire ne nous donne pas entièrement satisfaction, tout en prenant un temps non négligeable.

Si des « gentils pirates » et autres vendeurs de peur multiplient les messages anxiogènes, de l’autre côté les entreprises touchées peuvent avoir tendance à jouer la montre et à essayer de passer sous le tapis des fuites pour « épargner » leur image. C’est aussi pour cela qu’il faut en parler, la sécurité est l’affaire de tous.

Vincent Strubel, patron de l’ANSSI, remettait à sa manière l’église au centre du village : « les vrais méchants, ce sont les attaquants, pas les victimes ». Il reconnait volontiers que « 100 % des victimes auraient pu faire quelque chose pour éviter la cyberattaque », mais ajoute qu’elles restent « des victimes ». Comme les utilisateurs dont les données ont été dérobées, ce sont eux-aussi des victimes.

Ces derniers temps, on voit aussi arriver les vendeurs de VPN sur ce secteur (spoiler : ce n’est pas une bonne nouvelle). Surfshark par exemple affirme que « l’hémorragie continue avec 40,3 millions de comptes compromis en 2025 ». Bien évidemment, un VPN ne changerait rien, mais l’entreprise en profite pour vendre sa soupe « d’outils complets pour une navigation sécurisée et anonyme ». Nous n’allons pas refaire l’histoire des VPN et de leur (in)utilité pour le grand public, nous avons déjà longuement exposé notre point de vue dans un édito, qui reste encore valable quasiment deux ans plus tard.

• [Édito] Au pays des VPN menteurs…

Quelques heures plus tard, c’était au tour de Kaspersky de cibler les associations sportives, dont plusieurs ont été victimes de fuites : « Sport et fuites de données : les risques cachés liés aux trackers d’activité connecté ». Évidemment l’entreprise en profite pour glisser sa solution maison : « installer un logiciel de sécurité de confiance capable de détecter et de bloquer toute activité malveillante », avec un lien vers ses produits. La peur fait vendre.

No Doubt : Don’t speak ? Non, c’est le contraire !

Les signalements sont obligatoires en cas de violation de données à caractère personnel, mais à la CNIL seulement (article 33 du RGPD). L’article 34 stipule néanmoins que « lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais ».

C’est souvent par ce biais que les fuites sont confirmées : les utilisateurs sont informés, ils font suivre le message et nous vérifions alors son authenticité. Pour rappel, il est très facile d’envoyer un email en se faisant passer pour quelqu’un d’autre en changeant l’expéditeur.

• Les emails : analyse technique et enjeux de souveraineté

Depuis un certain temps, nous réfléchissons d’ailleurs à la manière d’aborder le sujet… comme en témoigne le cas de ManoMano. Vous avez été très nombreux à nous signaler l’email envoyé par la boutique en ligne, merci mille fois déjà à vous ! Nous n’en avons pas encore parlé, pourtant cela l’aurait mérité.

D’autant que, quelques jours après le début des envois d’e-mails, une publication est arrivée sur BreachForums avec la revendication de 37,8 millions de « lignes d’utilisateurs » pour plusieurs déclinaisons géographiques de ManoMano. Que dire de plus ? Rien. Le chiffre n’est pas confirmé, la ventilation entre les pays non plus. Y a-t-il des doublons ? D’anciennes données ajoutées en douce pour gonfler la note ? Seul ManoMano pourrait confirmer, mais les entreprises ne le font que trop rarement, ce qui est aussi un problème. Pourtant cela n’empêche pas certains de reprendre ces gros chiffres quasiment comme argent comptant.

• Fuites et violations de données : les chiffres anxiogènes, et les autres

Ces derniers jours, vous nous avez aussi signalé des messages provenant de Batteriedeportable, de la Fédération de la montagne et d’escalade, de la CNAM, d’Easysystème (application utilisée par les auto-écoles), de Chronopost (encore…), etc. Nous n’avons pas tout vérifié, notamment car nous cherchons encore le meilleur moyen d’en parler.

Parler des fuites de données est générateur de trafic, que ce soit pour les sites d’actualités ou sur les réseaux sociaux ; pour cela que vous pouvez voir des reprises basées sur des promesses de pirates dont le « métier » est de voler et/ou mentir. Puisque les seuls revenus de Next sont les abonnements, nous n’avons pas besoin de faire la course à l’audience. Le nombre de pages vues n’entre pas en compte dans notre équation.

Entendons-nous bien, ce n’est pas une raison pour ne pas parler des fuites ; et redisons-le encore une fois : elles sont une réalité et représentent des dangers potentiels pour les utilisateurs, aggravés lorsqu’il s’agit de l’adresse physique, d’informations sur nos habitudes, de données bancaires…

Les pirates n’hésitent pas à recouper les données, à monter de toutes pièces des sites dédiés au phishing et à envoyer des courriers dans les boîtes aux lettres des logements de leurs cibles, comme en témoigne le cas Ledger.

• Du phishing ciblé directement dans votre boite aux lettres physique, le cas Ledger

Quoi qu’il en soit, la hausse des attaques, fuites et signalements est confirmée aussi bien par l’ANSSI que la CNIL sur leur périmètre respectif.

Fuuuuuuuuuuuuuuud !

Mais une chose est sûre : nous ne voulons pas tomber dans le « FUD » pour Fear, Uncertainty and Doubt (ou littéralement peur, incertitude et doute), mais nous devons vous tenir informés, ne serait-ce que pour savoir si nous avons eu ou non confirmation d’une fuite.

Il existe déjà des sites comme Bonjourlafuite lancé par Aeris et Fuite Infos de Christophe Boutry, mais dans les deux cas il s’agit de référencer un maximum de fuites, qu’elles soient « confirmée », « revendiquée (crédible) » ou « revendiquée (peu fiable) » pour reprendre la présentation de Bonjourlafuite. Ce n’est pas l’approche que nous voulons car elle met, à notre sens, trop en avant la parole des pirates.

Une approche serait d’avoir une actualité référence sur le sujet, à la manière de ce que nous avons expérimenté sur les deepfakes de Grok : un suivi chronologique de l’actualité sous la forme d’un grand récap. Nous l’avons déjà fait pour les risques associés aux fuites, que ce soit avec des données personnelles ou bancaires.

• Quels sont les risques liés aux multiples fuites de vos données personnelles ?

Cela n’empêchera évidemment pas de traiter de manière plus approfondie certaines failles qui le méritent par leur ampleur, leur sophistication, le type de données dérobées, etc. Nous l’avons déjà fait et nous le referons, c’est une certitude.

Qu’en pensez-vous ?

Saisie par l’Association Pour Un RGPD Respecté (PURR), la CNIL semble maintenant prête à mettre en demeure plus massivement les entreprises qui ne respectent pas certaines obligations concernant les bandeaux d’informations sur les cookies déposés lors de la visite de leur site.

L’association, présidée par le militant des droits à la vie privée Aeris, a diffusé sur les réseaux sociaux un « déluge » d’extraits de décisions de l’autorité concernant Developpez.com, la Banque Postale, Ouest-France, AliExpress, Darty, OVHcloud ou encore Red by SFR.

Octave Klaba, PDG d’OVHcloud a confirmé avoir reçu la mise en demeure et explique que son équipe est en train de corriger le problème : « On utilise un outil / service externe et visiblement il bug. On va voir pour fixer ce bug en qq jours puis on va l’internaliser pour faire tout ca en propre au lieu de sous-traiter ».

Dans sa plainte, l’association a soulevé l’ « ineffectivité du retrait de consentement » qui a été prise en compte par l’autorité. « L’impossibilité technique de tenir compte du retrait de consentement », affirme-t-elle, « rend illégal l’intégralité des bannières cookies existantes ».

PURR explique continuer à auditer « l’ensemble des sites Internet français » sur cette question et invite à la rejoindre.

Circulez y'a rien à voir

Microsoft a précisé mardi le plan de déploiement de Windows 11 version 26H1. Contrairement aux mises à jour annuelles classiques programmées sur le deuxième semestre de l’année, cette version attendue au printemps se destine à un périmètre matériel limité : celui des machines équipées de processeurs Arm sorties en 2026, à commencer par le Snapdragon X2 de Qualcomm.

La prochaine mise à jour majeure de Windows 11 sera bien estampillée 26H1 (pour première moitié de 2026), mais elle n’intéressera qu’un nombre limité d’utilisateurs. Microsoft a en effet confirmé mardi que cette mouture intermédiaire du système ferait l’objet d’un déploiement très limité, dans la mesure où il s’agit d’une « version ciblée qui prend en charge certaines des nouvelles innovations en matière d’appareils prévues pour 2026 ».

En pratique, l’éditeur ne mentionne pour l’instant qu’une seule gamme de machines : les ordinateurs équipés d’un Snapdragon X2, la famille de puces conçues par Qualcomm pour alimenter, entre autres, le segment des PC Copilot+.

Une branche à part en attendant la 26H2

Pourquoi dans ce contexte communiquer spécifiquement sur le sujet ? L’existence de Windows 11 version 26H1 est connue depuis l’automne dernier et cette version particulière du système fait déjà l’objet de tests auprès des membres du programme Windows Insiders.

Bien que Microsoft ait précisé dès le départ que cette mise à jour n’a vocation qu’à prendre en charge des matériels spécifiques, l’arrivée programmée de cette nouvelle version est susceptible d’influencer les décisions d’achat ou de renouvellement de machines, notamment en entreprise… Et c’est bien aux professionnels que l’éditeur adresse sa communication :

« Windows 11, version 26H1, n’est pas une mise à jour fonctionnelle pour la version 25H2. Il n’est pas nécessaire de suspendre les achats d’appareils ni les déploiements de systèmes d’exploitation, et aucune modification n’est requise pour les plans de déploiement en entreprise existants. Windows continuera de bénéficier de mises à jour de fonctionnalités annuelles au cours du second semestre. »

L’introduction de cette 26H1 n’est cependant pas totalement neutre du point de vue de l’administration de parc. Cette version spécifique recevra bien les mêmes mises à jour mensuelles que les actuelles versions 24H2 et 25H2 de Windows 11, mais elle ne sera pas éligible à la migration vers la 26H2 prévue pour cet automne. « En effet, Windows 11 version 26H1 repose sur un noyau Windows différent de celui des versions 24H2 et 25H2, ainsi que de la prochaine mise à jour de fonctionnalités ».

De ce fait, Microsoft recommande aux administrateurs IT de privilégier les versions 24H2 et 25H2 pour leurs déploiements en entreprise.

• Microsoft revendique 1 milliard d’utilisateurs pour Windows 11

C’est simple comme deux clics…

Emmanuel Macron n’est pas le dernier à s’élever contre Elon Musk et son réseau social X, mais ce n’est pas non plus le dernier à y publier des messages en « exclusivité ». Le président est absent de Bluesky et Mastodon, mais afin de l’aider (lui et ses équipes), Next lui propose un tuto pour crossposter. Il faut le reconnaitre : Internet, c’est compliqué et il n’est pas forcément facile de trouver le bon logiciel. Comme nous pensons aux caisses de l’État, ce tuto est en accès libre. Plus d’excuse !

Emmanuel Macron a déjà annoncé qu’il pourrait quitter certaines plateformes sociales, notamment X. Une déclaration forte, qui n’est pour le moment pas suivie de faits. Pire encore, X reste un réseau social où le président est actif, sans être présent sur des alternatives comme Bluesky et Mastodon.

Il s’affiche comme un fervent défenseur des solutions européennes et françaises, mais aussi de la « souveraineté numérique », d’autant plus dans un contexte géopolitique compliqué avec les États-Unis, la Russie et la Chine. S’il n’existe pas de concurrent européen à X, il y a une alternative open source : Mastodon. La Direction Interministérielle du Numérique (DINUM) a lancé une instance, disponible pour « des comptes institutionnels et certifiés ». Elle dispose pour le moment de 32 comptes actifs.

• Qu’attendent nos représentants politiques pour communiquer en dehors de X ?

Bluesky est une autre alternative, lancée par Jack Dorsey, cofondateur du prédécesseur de X, Twitter. L’entrepreneur a quitté le conseil d’administration de Bluesky en 2024. La plateforme, elle, a dépassé le million d’utilisateurs en 2023 et attire bon nombre de déçus des dérives de X et de son IA Grok.

Rappel à Emmanuel Macron : il n’y a pas que X dans la vie

Le chef d’État est présent sur plusieurs réseaux sociaux, notamment Facebook, Instagram, Tiktok et X. Les contenus publiés ne sont pas les mêmes et s’adaptent généralement aux codes du réseau social… avec parfois des faux pas sur des fakes news.

• [Édito] Fabrique de la (dés)information : de TikTok à Emmanuel Macron

Revenons à X, le réseau social d’Elon Musk et de son IA Grok qui est tout à la fois générateur de deepfakes et de deepnudes, superdiffuseur de désinformation, raciste… N’en jetez plus, la coupe est pleine. Des alternatives existent pourtant – Bluesky et Mastodon, comme nous venons de le voir –, mais le président de la République n’est présent sur aucune des deux.

Dans ce tuto simple et rapide, Next explique à Emmanuel Macron (et ses équipes) comment publier du contenu à la fois sur X, Bluesky et Mastodon. Une manière de casser l’exclusivité de certains messages et ainsi de permettre à tout un chacun de suivre ses déclarations en temps réel ailleurs que sur X.

Emmanuel Macron pourrait et devrait surtout montrer l’exemple. C’est d’autant plus important à l’heure des fakes news et des contenus modifiés par IA de toujours vérifier la source. Au lieu d’une capture ou d’un copier/coller, il serait ainsi possible de voir directement sur Bluesky ou Mastodon un message du président et s’assurer ainsi qu’il n’a pas été modifié.

• [Édito] Faut-il quitter X ? Next reste pour l’instant, ses journalistes pas forcément

Une seule interface, une publication sur plusieurs réseaux

Un vieux de la vieille dans la publication multiplateforme est Dlvr.it, une société basée à Portland aux États-Unis. Elle revendique actuellement la prise en charge de 21 réseaux sociaux (dont X, Bluesky et Mastodon) et permet à plusieurs personnes de gérer les comptes. La publication cross-plateforme peut directement se faire depuis l’interface, fonctionnement classique pour ce genre de service.

Agorapulse est une alternative française spécialisée dans la gestion des réseaux sociaux. Si l’entreprise est basée à Paris, elle passe par un acteur américain pour son infrastructure : Amazon Web Services. Bluesky est supporté, mais pas Mastodon.

Publier sur Bluesky et/ou Mastodon en plus de X ne demande qu’un ou deux clics supplémentaires. Voici deux captures de l’interface avec Dlvr.it et Agorapulse :

Avec des solutions telles que l’espagnol Metricool, les canadiens Hootsuite et Fedica, l’indien Zoho Social, etc, les outils ne manquent pas dans ce domaine.

Le crossposting a posteriori de X vers d’autres réseaux sociaux

Peut-être qu’Emmanuel Macron préfère gérer lui-même son compte X et ses publications. Dans ce cas, nous lui proposons (à lui et ses équipes) une approche différente : le crossposting des messages mis en ligne sur un réseau social vers un autre, de manière automatisée.

Changeons de crémerie et prenons Nuelink en exemple. Comme vous pouvez le voir sur les captures d’écran ci-dessous, ce ne sont pas les automatisations qui manquent. Le problème de ce genre d’outils est que la vérification des nouveaux tweets ne se fait que toutes les 30 minutes. De la latence à la place du vide, c’est déjà mieux que rien pour les usagers des alternatives à X.

D’autres services sont également disponibles, comme MicroPoster développé par un Australien. Là encore, nous n’avons cité que deux exemples dans un océan de possibilités.

Conseil cybersécu : vérifez les autorisations !

Dernier conseil et pas des moindres, valable pour Emmanuel Macron et ses équipes, mais aussi pour tous les utilisateurs des réseaux sociaux, qu’ils essayent ou non différentes solutions de crosspublication : vérifiez régulièrement les applications connectées à vos différents comptes.

Sur X, c’est par ici tandis que la page se trouve par là sur Bluesky. Pensez à révoquer les accès inutiles et à ne garder actifs que ceux réellement utilisés. Autrement, laisser un tiers accéder à vos publications, voire à vos messages privés, pourrait être lourd de conséquences !