Open bar

Non content d’avoir invité un journaliste dans une boucle Signal sur la préparation de frappes américaines contre des Houthis au Yémen, le ministre américain de la Défense, Pete Hegseth, est accusé d’avoir informé une autre boucle Signal de ces frappes. Dans cette boucle, se trouvaient entre autres sa femme, son frère et son avocat personnel.

Le gouvernement de Donald Trump a du mal à refermer le scandale surnommé « Signalgate » par certains. Il y a un peu plus d’un mois, le rédacteur en chef de The Atlantic racontait qu’il s’était retrouvé dans une boucle Signal aux côtés de J.D. Vance, Marco Rubio ou encore du ministre américain de la Défense, Pete Hegseth, qui préparaient les frappes américaines du 15 mars dernier contre des Houthis au Yémen.

Un groupe de discussion informel

Mais Pete Hegseth a aussi partagé des informations sur ces frappes sur un autre groupe Signal, selon un article du New York Times publié ce dimanche. Le journal explique que ce groupe Signal a été créé par Pete Hegseth lui-même avant qu’il soit confirmé en tant que ministre américain de la Défense. Le groupe réunit une douzaine de personnes dont sa femme, son frère et son avocat personnel.

« La vérité est qu’il existe un groupe de discussion informel de ses conseillers les plus proches qui a commencé avant la confirmation », a répondu un fonctionnaire du ministère au New York Times, tout en affirmant que « rien de confidentiel n’a jamais été discuté dans ce chat ».

Sans avoir répondu à nos confrères, le porte-parole du Pentagone, Sean Parnell, a réagi après la publication de l’article en réaffirmant : « il n’y avait pas d’informations classifiées dans les discussions sur Signal, quelles que soient les façons dont ils essaient d’écrire l’histoire ». Pourtant, plusieurs sources du New York Times affirment que les messages contenaient, entre autres, les plans de vols des avions qui ont ciblé les Houthis au Yémen.

Nos confrères précisent que le frère de Pete Hegseth et son avocat travaillent aussi au sein du Pentagone, mais « on ne voit pas très bien pourquoi l’un ou l’autre aurait besoin d’être informé des prochaines frappes militaires visant les Houthis au Yémen ».

« Un quasi-effondrement au sein de l’état-major du Pentagone »

Techniquement, le système de chiffrement de Signal et sa robustesse ne sont pas remis en cause. La messagerie avait tenu d’ailleurs à s’en expliquer après la première phase de ce scandale.

Le constat est surtout que le ministre américain de la Défense n’utilise pas une messagerie recommandée par la Maison-Blanche pour partager des informations sensibles, si ce n’est confidentielles, avec des personnes qui ne sont pas censées y avoir accès.

Une telle messagerie bloquerait, par exemple, tout accès à des personnes non autorisées. Plusieurs sources du New York Times, mais aussi de NBC News, affirment de plus que Pete Hegseth utilise Signal via son smartphone personnel et son téléphone officiel.

Cet épisode est celui d’ « un quasi-effondrement au sein de l’état-major du Pentagone », a commenté l’ancien porte-parole du Pentagone, John Ullyot, qui a tout juste quitté son poste la semaine dernière. Il était pourtant un des conseillers de Donald Trump lors de son premier mandat.

Dans une tribune publiée par Atlantico, le conseiller en communication a affirmé que « Dans ces conditions, il est difficile d’imaginer que le ministre de Défense, Pete Hegseth, puisse rester en poste encore longtemps ».

NPR a aussi publié un article ce lundi expliquant que la Maison-Blanche lui cherchait un remplaçant. Mais la porte-parole de la Maison-Blanche a démenti et Donald Trump a réaffirmé son soutien à son ministre, affirmant qu’il faisait « un boulot super » en ajoutant « il suffit de demander aux Houthis comment ils se portent ».

L’article de NPR se clôture par ailleurs sur un « NPR disclosure : Katherine Maher, PDG de NPR, préside le conseil d’administration de la Signal Foundation ».

Open bar

Non content d’avoir invité un journaliste dans une boucle Signal sur la préparation de frappes américaines contre des Houthis au Yémen, le ministre américain de la Défense, Pete Hegseth, est accusé d’avoir informé une autre boucle Signal de ces frappes. Dans cette boucle, se trouvaient entre autres sa femme, son frère et son avocat personnel.

Le gouvernement de Donald Trump a du mal à refermer le scandale surnommé « Signalgate » par certains. Il y a un peu plus d’un mois, le rédacteur en chef de The Atlantic racontait qu’il s’était retrouvé dans une boucle Signal aux côtés de J.D. Vance, Marco Rubio ou encore du ministre américain de la Défense, Pete Hegseth, qui préparaient les frappes américaines du 15 mars dernier contre des Houthis au Yémen.

Un groupe de discussion informel

Mais Pete Hegseth a aussi partagé des informations sur ces frappes sur un autre groupe Signal, selon un article du New York Times publié ce dimanche. Le journal explique que ce groupe Signal a été créé par Pete Hegseth lui-même avant qu’il soit confirmé en tant que ministre américain de la Défense. Le groupe réunit une douzaine de personnes dont sa femme, son frère et son avocat personnel.

« La vérité est qu’il existe un groupe de discussion informel de ses conseillers les plus proches qui a commencé avant la confirmation », a répondu un fonctionnaire du ministère au New York Times, tout en affirmant que « rien de confidentiel n’a jamais été discuté dans ce chat ».

Sans avoir répondu à nos confrères, le porte-parole du Pentagone, Sean Parnell, a réagi après la publication de l’article en réaffirmant : « il n’y avait pas d’informations classifiées dans les discussions sur Signal, quelles que soient les façons dont ils essaient d’écrire l’histoire ». Pourtant, plusieurs sources du New York Times affirment que les messages contenaient, entre autres, les plans de vols des avions qui ont ciblé les Houthis au Yémen.

Nos confrères précisent que le frère de Pete Hegseth et son avocat travaillent aussi au sein du Pentagone, mais « on ne voit pas très bien pourquoi l’un ou l’autre aurait besoin d’être informé des prochaines frappes militaires visant les Houthis au Yémen ».

« Un quasi-effondrement au sein de l’état-major du Pentagone »

Techniquement, le système de chiffrement de Signal et sa robustesse ne sont pas remis en cause. La messagerie avait tenu d’ailleurs à s’en expliquer après la première phase de ce scandale.

Le constat est surtout que le ministre américain de la Défense n’utilise pas une messagerie recommandée par la Maison-Blanche pour partager des informations sensibles, si ce n’est confidentielles, avec des personnes qui ne sont pas censées y avoir accès.

Une telle messagerie bloquerait, par exemple, tout accès à des personnes non autorisées. Plusieurs sources du New York Times, mais aussi de NBC News, affirment de plus que Pete Hegseth utilise Signal via son smartphone personnel et son téléphone officiel.

Cet épisode est celui d’ « un quasi-effondrement au sein de l’état-major du Pentagone », a commenté l’ancien porte-parole du Pentagone, John Ullyot, qui a tout juste quitté son poste la semaine dernière. Il était pourtant un des conseillers de Donald Trump lors de son premier mandat.

Dans une tribune publiée par Atlantico, le conseiller en communication a affirmé que « Dans ces conditions, il est difficile d’imaginer que le ministre de Défense, Pete Hegseth, puisse rester en poste encore longtemps ».

NPR a aussi publié un article ce lundi expliquant que la Maison-Blanche lui cherchait un remplaçant. Mais la porte-parole de la Maison-Blanche a démenti et Donald Trump a réaffirmé son soutien à son ministre, affirmant qu’il faisait « un boulot super » en ajoutant « il suffit de demander aux Houthis comment ils se portent ».

L’article de NPR se clôture par ailleurs sur un « NPR disclosure : Katherine Maher, PDG de NPR, préside le conseil d’administration de la Signal Foundation ».

Sur la page consacrée à ses obligations au nom du DSA européen, OpenAI a publié aujourd’hui le nombre mensuel d’utilisateurs actifs de son outil de recherche en ligne.

Selon les décomptes de l’entreprise repérés par TechCrunch, environ 41,3 millions de personnes situées dans l’Union européenne par mois ont utilisé ChatGPT search ces 6 derniers mois.

L’outil de l’entreprise de Sam Altman se rapproche à grands pas du critère des 45 millions d’utilisateurs mensuels qui permet à la Commission européenne de classer les moteurs de recherche dans la catégorie des très grands moteurs de recherche en ligne (VLOSE).

Le DSA oblige ces très grands moteurs de recherche à une plus grande transparence et à mettre en place un certain nombre d’outils, dont le refus de système de recommandation ou de profilage, le partage de données avec les chercheurs et les autorités européennes et de procéder à des audits réguliers.

• Que change le Digital Services Act en pratique ?

Pour comparaison, Google déclarait en février auprès de la Commission un nombre de 364 millions d’utilisateurs en moyenne mensuellement.

Un tribunal américain a jugé que Google avait bien créé illégalement un monopole sur le marché de la publicité en ligne. L’entreprise a enfreint les lois américaines sur la concurrence en organisant « l’acquisition et le maintien délibérés d’un pouvoir de monopole ». Les conséquences seront décidées dans un second temps, mais Google pourrait se voir obligée de se séparer de plusieurs services liés à la publicité.

Après avoir, pendant des années, construit un empire du web, Google fait maintenant face aux conséquences devant la justice étasunienne. En aout 2024, la justice américaine concluait que l’entreprise détenait un monopole sur la recherche en ligne. Ce jeudi 16 avril, elle a aussi estimé que Google s’était créé un monopole du marché de la publicité en ligne.

Les conséquences de ces deux décisions pourraient aboutir à un démantèlement de la société imposé par la justice. Du côté de la recherche en ligne, des pistes ont déjà été envisagées et la décision est prévue pour aout prochain.

• Comment la justice américaine envisage-t-elle le démantèlement de Google

Concernant le marché de la publicité en ligne, l’entreprise pourrait être forcée de se séparer d’outils de gestion des publicités en ligne. Dans le viseur figure notamment Google Ad Manager qui a rassemblé en 2018 les outils DoubleClick for Publishers (DFP) et DoubleClick Ad Exchange (AdX). Mais d’autres options sont possibles comme l’obligation de séparer de nouveau DFP et AdX pour permettre l’interopérabilité avec d’autres outils.

Une construction délibérée d’un monopole

Dans l’explication de sa décision [PDF], la juge Leonie M. Brinkema estime que Google a acquis et maintenu « délibérément un pouvoir monopolistique » sur le marché des serveurs pour annonceurs et celui des échanges pour la publicité sur le web.

Elle n’a, par contre, pas retenu l’accusation faite par le ministère de la Justice américain de construction d’un monopole sur le marché des réseaux d’outils d’affichage de publicité pour les annonceurs. Elle n’a tout bonnement pas considéré que ce marché existait à lui seul.

« Google a renforcé son pouvoir de monopole en imposant des politiques anticoncurrentielles à ses clients et en éliminant des caractéristiques souhaitables de ses produits », explique-t-elle dans ses conclusions. Elle ajoute qu’ « en plus de priver les rivaux de leur capacité de la concurrencer, ce comportement d’exclusion a porté un préjudice considérable aux éditeurs clients de Google, au processus concurrentiel et, en fin de compte, aux consommateurs d’informations sur le web ».

Une victoire historique pour l’accusation, un match nul selon Google

C’est « une victoire historique dans la lutte en cours pour empêcher Google de monopoliser la place publique numérique », estime la procureure générale des États-Unis, Pamela Bondi, citée par Reuters.

Du côté de Google, l’entreprise affirme ne pas avoir tout perdu dans cette affaire. « Nous avons gagné la moitié de cette affaire et nous ferons appel pour l’autre moitié. La Cour a estimé que nos outils pour les annonceurs et nos acquisitions, telles que DoubleClick, ne nuisent pas à la concurrence », a déclaré la vice-présidente de l’entreprise, Lee-Anne Mulholland :

« Nous ne sommes pas d’accord avec la décision de la Cour concernant nos outils pour les éditeurs. Les éditeurs ont de nombreuses options et ils choisissent Google parce que nos outils publicitaires sont simples, abordables et efficaces. »

Concernant l’acquisition de DoubleClick, la juge Leonie M. Brinkema affirme pourtant dans l’explication de sa décision qu’ « en renforçant son activité tournée vers les éditeurs grâce à l’acquisition de DoubleClick, Google a pu établir une position dominante des deux côtés de la pile de technologies publicitaires ».

Portes ouvertes pour le DOGE

L’architecte DevSecOps de l’agence du droit du travail américaine accuse l’équipe du DOGE d’Elon Musk d’être responsable d’une fuite de données personnelles de plaignants et d’accusés, ainsi que des données commerciales confidentielles. Le lanceur d’alerte a reçu une lettre de menaces ainsi que des photos de lui prise via un drone.

10 Go de données ont été exfiltrées d’un système de gestion de données du National Labor Relations Board (NLRB), l’agence américaine du droit du travail, selon l’architecte DevSecOps de l’agence, Daniel Berulis. Cette fuite se serait passée alors que l’équipe du DOGE d’Elon Musk a créé des comptes dans différents systèmes informatiques du NLRB.

Daniel Berulis est sous la protection officielle du statut de lanceur d’alerte. Une lettre [PDF] adressée par l’association d’avocats « Whistleblower Aid » à une commission du Sénat américain soutient sa démarche, explique ArsTechnica. Dans celle-ci, l’association affirme qu’ « il craint que les activités récentes des membres du Department of Government Efficiency (« DOGE ») aient entraîné une violation importante de la cybersécurité qui a probablement exposé et continue d’exposer notre gouvernement aux services de renseignement étrangers et aux adversaires de notre nation ».

Interrogé par le média public étasunien NPR, Daniel Berulis explique qu »il ne peut pas « attester de leur objectif final ni de ce qu’ils font avec les données. Mais je peux vous dire que les éléments du puzzle que je peux quantifier sont effrayants. … C’est une très mauvaise image que nous avons sous les yeux ».

Accès illimités du DOGE et sans logs

La lettre de Whistleblower Aid, accompagnée d’une déclaration sur l’honneur du lanceur d’alerte, décrit dans les détails les agissements du DOGE et les problèmes qu’il a constatés au sein du système informatique de l’agence.

Il y explique notamment la préparation de l’arrivée des membres du DOGE début mars. Selon lui, sa hiérarchie lui a demandé de ne pas passer par des procédures standard pour créer leurs comptes. Aucun journal et aucun enregistrement de leurs actions ne devaient avoir lieu.

Ses responsables lui auraient demandé de créer, pour les membres du DOGE, des comptes « du plus haut niveau d’accès et d’un accès illimité aux systèmes internes ». Sur le serveur Azure de l’agence, leurs droits devaient être réglés en « tenant owner ». Comme l’explique Daniel Berulis, c’est l’équivalent d’ « une autorisation pratiquement illimitée de lire, copier et modifier les données ».

Il ajoute que « cet accès s’apparente à celui du propriétaire de l’ensemble du bâtiment dans lequel l’entreprise travaille. Il s’agit notamment des clés du centre de données et de toutes les portes verrouillées, des registres d’entrée dans le bâtiment, de la plomberie et des caméras de sécurité ».

Daniel Berulis fait remarquer que Microsoft déconseille d’utiliser le niveau « tenant » pour créer des comptes d’audit, « car ça peut masquer des actions comme la création ou la suppression de comptes, le changement de rôle ou modifier les règles et dépasse de loin tout besoin légitime pour ce travail ».

L’architecte DevSecOps explique qu’au sein de l’agence, des rôles spéciaux pour les auditeurs avaient déjà été créés. Mais il n’était pas question d’utiliser ce genre de comptes.

« C’était un signal d’alarme énorme » a souligné Daniel Berulis à la NPR, ajoutant que « c’est quelque chose qu’on ne fait pas. Cela va à l’encontre de tous les concepts fondamentaux de la sécurité et des meilleures pratiques ».

Le lanceur d’alerte explique que la structure d’au moins un compte suggère qu’il a été créé puis supprimé par le DOGE pour utiliser le système de cloud du NLRB.

Des tentatives de connexion extérieures et une fuite de 10 Go de données

Il affirme aussi que quelqu’un a essayé de se connecter au système de l’extérieur du NLRB avec un compte nouvellement créé : « dans les jours qui ont suivi l’accès du DOGE aux systèmes du NLRB, nous avons remarqué qu’un utilisateur ayant une adresse IP dans la région du Primorié, en Russie, a tenté de se connecter. Ces tentatives ont été bloquées, mais elles étaient particulièrement alarmantes ».

Le problème n’est pas une énième tentative de connexion d’un bot utilisant la force brute pour essayer de se connecter. « La personne qui tentait de se connecter utilisait l’un des comptes nouvellement créés et utilisés pour d’autres activités liées au DOGE, et il semblait qu’elle disposait du nom d’utilisateur et du mot de passe corrects puisque le flux d’authentification ne l’arrêtait qu’en raison de l’activation de notre politique d’interdiction des connexions en dehors du pays », décrit-il.

Il affirme qu’ « Il y a eu plus de 20 tentatives de ce type et, ce qui est particulièrement inquiétant, c’est que beaucoup d’entre elles se sont produites dans les 15 minutes qui ont suivi la création des comptes par les ingénieurs du DOGE ».

Dans sa déclaration, Daniel Berulis explique avoir constaté la suppression de divers paramètres de sécurité dans le système du NLRB. Enfin, il explique avoir commencé à suivre le 7 mars « ce qui semblait être des données sensibles quittant l’endroit sécurisé où elles sont censées être stockées » sur le système de gestion des dossiers NxGen de l’agence.

Au moins 10 Go de données ont été exfiltrées, mais le lanceur d’alerte n’a pas réussi à savoir quels fichiers ont été copiés ou supprimés. Si les données ont été compressées avant envoi, la fuite pourrait être plus importante. Daniel Berulis explique avoir essayé d’éliminer l’hypothèse d’une exfiltration, « mais aucune piste n’a porté ses fruits et certaines ont été arrêtées net ».

Comme l’explique sa déposition, le NLRB garde des données sensibles qui doivent rester confidentielles, notamment « sur les syndicats, sur des affaires juridiques et des informations concernant le secret des affaires d’entreprises ». Elle stocke également des « informations personnelles identifiables de plaignants et d’accusés ayant des affaires en cours » ainsi que des informations commerciales confidentielles « recueillies ou fournies au cours d’enquêtes et de litiges qui n’étaient pas destinées à être rendues publiques ».

Enfin, la lettre évoque le fait que Daniel Berulis a trouvé des menaces scotchées sur sa porte, le 7 avril alors qu’il était en train de préparer sa déclaration. Des photos de lui prises par drone le montrant en train de promener son chien dans son quartier accompagnaient le message.

Interrogée par la NPR, le NLRB nie que l’agence ait accordé l’accès à ses systèmes au DOGE et même que le service d’Elon Musk l’ait demandé. L’agence assure avoir mené une enquête après des signalements de Daniel Berulis mais « a déterminé qu’il n’y avait pas eu de violation des systèmes de l’agence ». Le média explique pourtant avoir eu la confirmation de 11 sources internes à l’agence qui partagent les préoccupations de l’architecte DevSecOps.

La NPR a mis à jour son article après que la Maison-Blanche, en réponse à son enquête, a déclaré : « cela fait des mois que le président Trump a signé un décret pour embaucher des employés du DOGE dans les agences et coordonner le partage des données. Leur équipe hautement qualifiée a été extrêmement publique et transparente dans ses efforts pour éliminer le gaspillage, la fraude et les abus dans l’ensemble de la branche exécutive, y compris le NLRB ».

Sur CNN, l’avocat Andrew Bakaj qui a signé la lettre de Whistleblower Aid, a évoqué le fait que le DOGE aurait utilisé Starlink pour exfiltrer les données. « Ce qui veut dire, de ce que nous comprenons, que la Russie a un pipeline direct d’information via Starlink et que tout ce qui passe par Starlink va vers la Russie », affirme-t-il.

Sans autre information, il est difficile de s’appuyer sur cette déclaration pour en conclure quoi que ce soit sur les liens de cette affaire avec la Russie. En effet, même si l’IP utilisée pour essayer de se connecter au système du NLRB indique la région du Primorié, dont la capitale est Vladivostok, à l’extrême est de la Russie, celle-ci n’est pas une source sûre de localisation d’un attaquant. Celui-ci peut, entre autres, avoir utilisé un VPN pour obfusquer sa réelle localisation.

vulnérabilités au carré

La base de données de vulnérabilités CVE, mondialement utilisée pour connaître et corriger des risques de cybersécurité, a bien cru voir son financement fédéral américain s’arrêter. Alors qu’il devait expirer aujourd’hui même, l’Agence de cybersécurité américaine CISA l’a renouvelé à la dernière minute. En parallèle, des responsables de CVE ont lancé une fondation pour assurer son indépendance à long terme.

L’Agence de cybersécurité américaine CISA a finalement décidé de continuer à financer la base de données de vulnérabilités CVE en étendant son contrat avec la MITRE, l’organisation à but non lucratif qui gère le projet.

« Le programme CVE est inestimable pour la cybercommunauté et constitue une priorité de la CISA. Hier soir, la CISA a exécuté la période d’option du contrat afin de s’assurer qu’il n’y aura pas d’interruption des services CVE essentiels », a affirmé l’agence dans un communiqué envoyé à Forbes et notre BleepingComputer.

Le stress de la communauté cyber

Il était temps. La communauté de la cybersécurité avait commencé, mardi soir, à s’émouvoir sur les réseaux sociaux de la possible disparition de cette base de données. En effet, ce contrat arrivait à échéance ce mercredi 16 avril. Cette information a fuité mardi via une lettre adressée aux membres du bureau du CVE publiée sur Bluesky.

Yosry Barsoum, le vice-président du MITRE, l’organisation à but non-lucratif dont dépend le CVE, y annonçait un possible arrêt de financement et affirmait : « Si une interruption de service devait se produire, nous prévoyons de multiples conséquences pour CVE, notamment la détérioration des bases de données et des avis nationaux sur les vulnérabilités, des fournisseurs d’outils, des opérations de réponse aux incidents et de toutes sortes d’infrastructures critiques ».

Le spécialiste en cybersécurité Kevin Beaumont réagissait par exemple en affirmant que « le secteur de la cybersécurité dans son ensemble est également en difficulté – c’est l’éléphant dans la pièce – l’effondrement du soutien de la Maison-Blanche à la cybersécurité est évident et prononcé en raison des coupes budgétaires généralisées ».

En effet, CVE est vraiment devenu un outil indispensable dans ce secteur depuis sa création en 1999. Elle recense toutes les vulnérabilités de sécurité des systèmes informatiques en indiquant leurs sévérités. Cette base permet notamment d’unifier les noms des failles pour s’assurer que tout le monde s’entende et ne fasse pas de confusion. Toutes les personnes travaillant dans le secteur l’utilisent. On peut aussi s’appuyer sur CVE pour analyser la variation du nombre failles de sécurité, mais attention à le faire en prenant en compte leur exploitation et pas seulement leur nombre absolu.

• Le nombre de failles de sécurité a augmenté de 30 % en 6 mois : beaucoup de bruit pour rien ?

Une fondation créée à la hâte

Alors que l’annonce de la reconduction du contrat n’avait pas encore été faite, des membres du bureau du CVE ont annoncé le lancement de la Fondation CVE. Celle-ci doit assurer « la viabilité, la stabilité et l’indépendance à long terme du programme CVE, pilier essentiel de l’infrastructure mondiale de cybersécurité depuis 25 ans ».

Elle est présentée comme une réponse à l’instabilité dans laquelle se trouve le CVE. En même temps, ce texte explique qu’elle est le fruit d’« une coalition de membres actifs et de longue date du conseil d’administration de CVE [qui] a passé la dernière année à élaborer une stratégie de transition de CVE vers une fondation à but non lucratif ».

Il est difficile pour l’instant de savoir quel sera l’avenir de la gouvernance du CVE entre cette fondation et la gestion historique par le MITRE.

Ce dernier a, certes, finalement pu reconduire le contrat avec la CISA, mais 442 employés du MITRE ont été licenciés récemment après l’arrêt de contrats par le DOGE équivalent à 28 millions de dollars de budget, selon Virginia Business. Difficile de promettre une stabilité au projet dans ce contexte.

Au deuxième jour du procès de Meta dans lequel la FTC accuse l’entreprise d’avoir voulu créer un monopole, un email de Mark Zuckerberg montre qu’il envisageait la vente d’Instagram, précisément pour éviter ce genre d’allégation. Il a expliqué l’achat initial de l’application par le fait qu’elle avait une meilleure partie photo. Entre autres idées pour doper le développement de Facebook, il a également évoqué « l’idée folle » de remettre à zéro les listes d’amis.

Mardi, Mark Zuckerberg a expliqué la stratégie de son entreprise depuis les années 2010 pour donner le contexte des rachats successifs d’Instagram en 2012 et de WhatsApp en 2014. Ceux-ci constituent les exemples les plus saillants de l’accusation de la FTC visant « une stratégie systématique d’éliminer les menaces qui pèsent sur son monopole ».

Le procès opposant Meta et la FTC a commencé cette semaine. Rappelons que l’agence a déposé une plainte en 2020 accusant l’entreprise de Mark Zuckerberg de « maintenir illégalement son monopole ».

Comme nous l’avons déjà rappelé, l’enjeu de ce procès est de taille puisque Meta pourrait être obligée de se séparer d’Instagram qui lui procure la moitié de son chiffre d’affaires. De l’autre côté, la crédibilité de la FTC pourrait être ébranlée si le tribunal ne se range pas à ses côtés.

• Meta face à la justice pour répondre de l’achat d’Instagram et WhatsApp

Une revente d’Instagram envisagée en 2018 pour plusieurs raisons

Mais un email qu’il a lui-même envoyé pourrait mettre Mark Zuckerberg dans l’embarras. En effet, l’avocat de la FTC a cité un mémo qu’il a envoyé en 2018 à son équipe, explique le Washington Post. Il y évoquait une éventuelle scission avec Instagram.

Son premier argument était la croissance d’Instagram, vue comme susceptible de cannibaliser celle de Facebook. Il se demandait si le départ des utilisateurs de Facebook rejoignant Instagram pourrait éventuellement provoquer un « effondrement du réseau » de Facebook, à l’époque le « produit le plus rentable ».

Mais il appuyait son point de vue d’un second argument : la pression des autorités de régulation : « alors que les appels au démantèlement des grandes entreprises technologiques se multiplient, il y a une chance non négligeable que nous soyons obligés de nous séparer d’Instagram et peut-être de WhatsApp dans les 5 à 10 prochaines années ».

« Réseau social personnel », une catégorie de marché débattue

Le CEO de Meta a dû aussi expliquer le choix d’acheter Instagram en 2012. L’avocat de la FTC lui a demandé s’il avait pensé que la croissance rapide d’Instagram aurait pu être destructive pour Facebook, explique Reuters. « Nous faisions une analyse « créer ou acheter » alors que nous étions en train de créer une application photo », a répondu Mark Zuckerberg, ajoutant « je pensais qu’Instagram était meilleur dans ce domaine, et j’ai donc pensé qu’il valait mieux l’acheter ».

Mais les avocats de Meta ont fait valoir que ses intentions passées n’étaient pas pertinentes car la FTC se baserait sur une mauvaise définition pour assoir son accusation de position dominante. L’autorité considère que Meta détient un monopole sur ce qu’elle appelle les « réseaux sociaux personnels » et définit ces derniers comme des applications permettant aux gens d’entretenir des relations avec leurs amis et famille. Pour l’accusation, le plus gros concurrent de Meta est Snapchat.

Du côté de Meta, la vision du marché est bien plus large et inclut TikTok, YouTube ou X. Interrogé par ses avocats, Mark Zuckerberg a affirmé n’avoir pas entendu parler du terme « réseau social personnel » avant la plainte de la FTC.

Une idée folle en 2022 : rebooter Facebook

Ce procès est aussi l’occasion de connaitre un peu plus la stratégie mise en place par Facebook (puis Meta) pour rebooster son image et l’utilisation de son réseau social phare. En 2022, dans un email interne à son équipe, explique Business Insider, Mark Zuckerberg a proposé une « idée folle » pour que Facebook récupère son aura : « Une idée potentiellement folle est d’envisager d’effacer les graphs de tout le monde et de les faire recommencer ». En clair, le CEO de Facebook a proposé à son équipe de remettre à zéro les listes d’amis de tous les utilisateurs du réseau social.

Lors de son témoignage, Mark Zuckerberg a affirmé que le réseau avait beaucoup évolué et que son objectif principal n’était plus vraiment de se connecter avec des amis. Cet argument permet aussi à Meta de réfuter le classement de son réseau originel dans la catégorie de « réseau social personnel » évoqué par la FTC.

Depuis la semaine dernière, le Maroc est touché par les conséquences d’une cyberattaque de grande ampleur. Celle-ci a visé la Caisse de Sécurité sociale du pays. Sur une chaine Telegram maintenant désactivée, des pirates ont notamment diffusé des attestations de salaires de 2 millions d’affiliés. On y trouve celle du secrétaire particulier de Mohammed VI.

La semaine dernière, le média marocain Le Desk expliquait qu’une attaque « d’assez grande envergure » avait visé le ministère de l’Emploi « mais aussi et surtout, la Caisse nationale de sécurité sociale (CNSS) ».

Mardi 8 avril, via une chaine Telegram nommée Jabaroot DZ, des pirates se réclamant de l’Algérie ont diffusé des données provenant de la CNSS. Ces informations concernent les salariés de nombreuses entreprises et entités du pays comme le Fonds Mohammed VI pour l’Investissement, le Crédit du Maroc, la Banque centrale populaire. Mais elles touchent aussi des entreprises de presse, ainsi que Siger, la holding personnelle du roi.

Finalement, Telegram a supprimé la chaine, comme l’a confirmé au Monde le réseau social, « dès qu’elle a été découverte » par ses modérateurs.

Le montant du salaire du secrétaire particulier du roi dans la nature

Mais, entre temps, « les listes publiées permettent […] de lever le voile sur les salaires déclarés de plusieurs personnalités, dont par exemple le secrétaire particulier du roi, Mohammed Mounir El Majidi », détaille Le Desk. Près de 500 000 entreprises sont touchées, explique le média marocain TelQuel. Le média ajoute que les pirates algériens auraient réagi au piratage par des marocains du compte X de l’agence de presse algérienne APS.

La CNSS a bien reconnu le 9 avril que son système informatique a fait l’objet d’une série d’attaques, explique le Desk. Mais elle a affirmé que le caractère de certains documents fuités sur les réseaux sociaux était « souvent faux, inexact ou tronqué ». La caisse aurait actionné, « dès l’observation de la fuite des données […] des mesures correctives qui ont permis de contenir le chemin utilisé et de renforcer les infrastructures ».

La Caisse a annoncé ce week-end suspendre certains de ses services et demande à ses adhérents de suivre quelques recommandations comme changer son mot de passe et se méfier des messages et appels suspects prétendant provenir de la CNSS.

Un torrent qui bouscule la société marocaine

Mais TelQuel constate : « ce n’est plus une fuite, c’est un torrent ». Le Monde explique que cette affaire est l’occasion pour certains de pointer un pays « inégalitaire » alors que d’autres soupçonnent que les entreprises sous-déclarent. Le média français explique que ce n’est pas seulement la révélation des salaires de certains qui provoque des secousses. Par exemple, cette fuite révèle la liste des personnes employées par le bureau de liaison israélien à Rabat. Ceux-ci ont subi des menaces suite à cette révélation.

Selon une enquête du Desk publiée vendredi 11 avril, l’infrastructure de cybersécurité de la CNSS est « le produit d’un véritable mille-feuilles de missions effectuées par divers prestataires ». Et le journal marocain pointe les responsabilités du leader du secteur, Dataprotect. La responsabilité de la Direction générale de la sécurité des systèmes d’information (DGSSI) du pays est aussi en cause. Selon les informations du Monde, elle avait classé la CNSS parmi les infrastructures d’intérêt vital.

En 2020, le journal Yabiladi avait alerté la CNSS à propos d’une « inquiétante faille de sécurité ». Il avait déjà constaté que les données personnelles des assurés étaient accessibles. La caisse avait, à l’époque, assuré qu’elle avait été identifiée et corrigée.

Entrainement intensif

Après avoir activé l’accès à Meta AI en Europe, l’entreprise de Marc Zuckerberg remet en route l’entrainement de ses IA avec des données des utilisateurs européens de ses réseaux sociaux Facebook, Instagram et Threads. L’opposition est possible via un formulaire. WhatsApp n’est pas concerné.

Après la pause annoncée l’année dernière, Meta vient d’indiquer qu’elle allait de nouveau remettre en place, par défaut, l’utilisation des données de ses utilisateurs situés en Europe. L’entreprise précise que cet entrainement se fera « sur les interactions que les personnes ont avec l’IA de Meta, ainsi que sur le contenu public partagé par des adultes sur les produits Meta ».

L’entreprise avait annoncé le mois dernier avoir finalement décidé de déployer son IA dans ses produits destinés aux utilisateurs européens.

Un formulaire plus clair, promis

Les utilisateurs de Facebook, Instagram et Threads vont recevoir des notifications « dans l’application et par e-mail » précise Meta avec un texte d’explication sur le type de données qui seront utilisées par l’entreprise pour entrainer ses IA. « Ces notifications comprendront également un lien vers un formulaire permettant aux personnes de s’opposer à tout moment à l’utilisation de leurs données de cette manière », explique l’entreprise.

Elle assure avoir fait en sorte que ce formulaire d’objection (opt out) « soit facile à trouver, à lire et à utiliser » et qu’elle honorera « tous les formulaires d’objection que nous avons déjà reçus, ainsi que ceux qui seront soumis ultérieurement ». Meta promet donc que ce nouveau formulaire ne sera pas dissuasif, contrairement à celui que l’entreprise avait déployé l’année dernière lorsqu’elle avait, une première fois, mis en place l’entrainement de ses IA sur les données des utilisateurs européens.

Rappelons que Meta a été contrainte de mettre ce projet en pause, car l’association autrichienne noyb a déposé 11 plaintes contre l’entreprise. La CNIL irlandaise (Data Protection Commission) avait ensuite annoncé que l’entreprise suspendait son projet d’entrainement sur les données européennes. Meta a lancé son modèle Llama 3.1 en excluant son utilisation dans l’Union européenne tant que le terrain juridique n’était pas dégagé.

L’association de Max Schrems considérait que l’entreprise « n’[avait] aucun « intérêt légitime » qui [prévalait] sur les intérêts » des plaignants que noyb accompagne et ne disposait d’ « aucune autre base légale pour traiter des quantités aussi importantes de données à caractère personnel pour des finalités totalement indéterminées ». Elle accusait Meta d’avoir « pris toutes les mesures nécessaires pour dissuader les personnes concernées d’exercer leur droit de choisir ».

Sur ce deuxième point, Meta semble avoir fait un pas pour rendre l’opt-out de ses utilisateurs plus clair et plus simple. Il faudra tout de même vérifier sur pièce.

Meta campe sur ses positions concernant la légalité de son traitement

Sur le premier, l’entreprise considère que son « approche initiale était conforme à [ses] obligations légales » et affirme que l’avis rendu par le Comité européen de la protection des données en décembre confirme cela.

Dans son communiqué en français, Meta commente : « Il est regrettable que cela ait pris près d’un an, mais nous saluons la garantie donnée par l’IDPC (Irish Data Protection Commission) et le Comité européen de la protection des données, qui nous a permis de franchir cette étape ». Une phrase qui n’existe pas dans le communiqué en anglais.

Les autorités sont-elles alignées avec les positions de Meta ?

Interrogé par Next sur cette garantie donnée à Meta et sur la légalité de l’approche initiale de l’entreprise, le CEPD se borne à rappeler que l’opinion qu’elle a publiée en décembre « ne fait aucune déclaration à l’égard des contrôleurs individuels, mais fournit une réponse aux questions posées par l’autorité irlandaise chargée de la protection des données ».

La DPC ne nous a pas encore répondu. Nous ne manquerons pas d’ajouter son commentaire le cas échéant.

L’entreprise semble en tout cas s’appuyer toujours sur l’intérêt légitime comme base légale de cet entrainement. En effet, si elle ne le précise pas explicitement dans son communiqué, Meta affirme que les textes des notifications aux utilisateurs expliqueront « comment cela améliorera l’IA de Meta et l’expérience utilisateur globale ». Elle affirme aussi : « cet entraînement permettra de mieux soutenir des millions de personnes et d’entreprises en Europe, en apprenant à nos modèles d’IA générative à mieux comprendre et refléter leurs cultures, leurs langues et leur histoire ». Et elle n’indique d’ailleurs aucun nouveau changement dans ses conditions d’utilisation.

Reste à savoir si les autorités de protection des données approuveront son interprétation de l’avis du Comité européen de la protection des données rendu public le 18 décembre dernier.

En effet, si Meta affirme que cet avis va dans son sens, la CNIL italienne a récemment infligé 15 millions d’euros d’amende à OpenAI pour avoir, entre autres, utilisé des données personnelles pour entrainer ses modèles utilisés par ChatGPT, en s’appuyant sur le même avis. Dans ce dossier, OpenAI n’avait pas préalablement identifié de base juridique sur laquelle s’appuyer pour ce traitement.

La vérification humaine est indispensable

Les IA génératives spécialisées dans le code peuvent parfois halluciner, allant jusqu’à créer des noms de paquets. Des chercheurs montrent que les hallucinations des grands modèles de langage ont tendance à générer les mêmes faux noms de paquets. Une occasion en or pour des acteurs malintentionnés qui pourraient squatter ces noms et créer des paquets infestés.

Après, le typosquatting et à l’heure où l’IA générative est utilisée par de nombreux développeurs pour les assister dans leur création, parlons du « slopsquatting ».

Comme nous l’expliquions, le terme « slop » est depuis quelque temps utilisé pour désigner les contenus bas de gamme générés par des IA et qui inondent de plus en plus le web. Ici, le slop concerne la génération de code.

En effet, depuis l’arrivée des IA génératives utilisées comme assistante d’outils d’édition de code, on s’est rapidement aperçu qu’elles pouvaient inciter les développeurs à introduire des failles de sécurité dans leurs codes. Des chercheurs ont déjà montré que les développeurs utilisant des IA assistantes proposent des réponses moins bonnes et moins sécurisées que ceux sans assistant.

• Les IA assistantes comme Codex ou Copilot poussent-elles à introduire plus de failles de sécurité ?

L’autre vecteur d’attaque intrinsèquement lié à la génération de code

Mais, comme l’affirmait déjà à l’époque le lecteur de Next, SebGF, « l’autre vecteur d’attaque intrinsèquement lié à la génération de code par IA [est] l’hallucination ».

Parfois, un grand modèle de langage (LLM) utilisé dans des IA génératives comme Codex ou Copilot peut générer le nom d’un paquet qui n’existe pas et suggérer son utilisation dans un code, alors qu’évidemment ce n’est pas une bonne solution. C’est le développeur Seth Larson, qui travaille pour la Fondation Python Software, qui a inventé le terme de « slopsquatting » à utiliser « quand un LLM hallucine un nom de paquet inexistant, et qu’un mauvais acteur l’enregistre malicieusement. Le frère IA du typosquatting ».

Des paquets vraiment hallucinés

Des chercheurs (notamment de l’Université du Texas), ont analysé le phénomène dans un article mis en ligne sur la plateforme de prépublication arXiv.

Ils confirment dans leur article que l’hallucination de nom de paquet n’est pas un problème marginal. Ils ont testé 16 modèles de langage en générant 576 000 exemples de code produit dans deux langages informatiques (python et JavaScript). Tous ont généré des noms de paquets qui n’existaient pas. Mais avec une différence importante : les modèles d’OpenAI semblent générer beaucoup moins d’hallucinations de noms de paquets, GPT-4 Turbo étant le modèle qui en génère le moins avec 3,6 % de noms de paquets « hallucinés ». Un CodeLlama 34B Python, pourtant spécialisé, génère des faux noms de paquets dans 22 % des cas environ :

Les chercheurs expliquent dans un schéma comment des utilisateurs malveillants peuvent mettre en place l’attaque en exploitant les hallucinations des modèles de langage :

L’idée est d’abord de trouver un nom de paquet halluciné par un modèle de langage via une demande de génération de code. L’utilisateur malveillant vérifie que le paquet n’existe pas dans les dépôts connus, puis en publie un, évidemment en incluant une partie susceptible de nuire à l’utilisateur ou d’exploiter son ordinateur à des fins douteuses. Ce nouveau paquet peut ainsi être inclus dans le code d’un développeur lambda qui aura demandé à son assistant préféré de lui générer du code.

Une hallucination répétée tout le temps ou pas du tout

Pour cela, me direz-vous, il faut que le nom de paquet halluciné soit le même. Or les chercheurs constatent que certains noms de paquets hallucinés reviennent.

En testant 500 prompts de génération de code 10 fois chacun, ils ont pu voir que la plupart des noms hallucinés, soit n’étaient plus jamais hallucinés, soit l’étaient tout le temps :

On peut voir ici que si DeepSeek hallucine plus de noms de paquets que les modèles d’OpenAI, le modèle chinois a tendance à moins répéter ces noms.

Un paramètre des modèles semble en lien avec ce phénomène : la température du modèle. Plus la température est faible, plus le résultat généré est prédictible, attendu. Mais les chercheurs constatent que plus on l’augmente et plus la génération de noms de paquets inexistants arrive :

Une vérification de la supply-chain reste indispensable

Dans l’article, les chercheurs montrent aussi que les noms de paquets « hallucinés » peuvent se confondre dans un code relu rapidement car leurs noms sont assez proches de noms de paquets existants :

« Nous n’en sommes qu’au tout début de l’étude de ce problème au niveau de l’écosystème », affirme Seth Larson auprès de The Register. Notamment, il explique qu’ « il est difficile, voire impossible, de quantifier le nombre de tentatives d’installation dues aux hallucinations de LLM sans une plus grande transparence de la part des fournisseurs de LLM. Les utilisateurs de code, de paquets et d’informations générés par LLM devraient vérifier les résultats de LLM par rapport à la réalité avant de mettre ces informations en service, sinon il peut y avoir des conséquences dans le monde réel ».

C’est d’ailleurs ce que disait aussi SebGF, « rappelant que la vérification de la supply-chain reste indispensable ».

La Data Protection Commission (DPC), équivalent de la CNIL en Irlande, a annoncé ce vendredi avoir lancé une enquête contre le réseau social X. Cette procédure vise le traitement des données à caractère personnel contenues dans les messages publiés par les utilisateurs de la plateforme pour entrainer des IA génératives, et « en particulier le modèles de langage Grok ».

Comme pour de nombreux cas, la DPC agit car elle est l’autorité du pays, l’Irlande, dans lequel est basé le siège social européen de X.

« L’objectif de cette enquête est de déterminer si ces données personnelles ont été traitées légalement afin d’entrainer les LLM Grok », explique la DPC.

C’est un pas supplémentaire dans la procédure contre le réseau social. L’autorité irlandaise avait annoncé en septembre dernier que l’entreprise d’Elon Musk s’était engagée à arrêter d’entrainer Grok avec les données publiques (en clair, les tweets) de ses utilisateurs européens. À l’époque, la DPC consultait en parallèle ses homologues européens pour éclaircir les modalités légales encadrant un tel traitement.

En février dernier, Emmanuel Macron annonçait « 109 milliards d’euros » d’investissements, publics et privés réunis, « dans les prochaines années » se concentrant notamment sur la création de data centers.

Quatre projets pourraient s’implanter dans le Val-de-Marne et des consultations publiques commencent à être ouvertes dans le cadre de demandes d’autorisation environnementale.

Ainsi, comme l’explique Actu.fr, celui imaginé à cheval sur les communes de Sucy-en-Brie et Bonneuil-sur-Marne demande l’avis des riverains depuis le 10 mars dernier. Cette consultation prendra fin le 10 juin à minuit. Les habitants des 2 villes, mais aussi ceux de Boissy-Saint-Léger, de Limeil-Brévannes, de Saint-Maur-des-Fossés, de Chennevières-sur-Marne, d’Ormesson-sur-Marne, de Valenton, de Créteil et de Noiseau peuvent donner leur avis.

Plus récemment, Actu.fr note qu’un autre projet, situé à Rungis, a ouvert la sienne le 2 avril dernier. Celle-ci sera fermée le 3 juillet à minuit. Les habitants de cette ville mais aussi ceux de Villeneuve-le-Roi, Orly, Thiais, Chevilly-Larue et Fresnes dans le Val-de-Marne, Wissous, Paray-Vieille-Poste, Morangis, Athis-Mons et Antony ont la possibilité d’y participer.

La plateforme d’e-commerce d’origine chinoise pourrait écoper d’une amende de 150 millions d’euros pour sa mauvaise politique de gestion des cookies si la CNIL suit les préconisations faites dans un rapport interne. Ce montant serait important, mais il est à rapporter aux 3 milliards d’euros qu’auraient dépensés les français chez Shein ces 12 derniers mois.

Shein fait l’objet d’une enquête de la CNIL et pourrait se voir infliger une amende importante par l’autorité. Alors que celle-ci a effectué plusieurs contrôles de la plateforme d’e-commerce en aout 2023, un rapport interne conclurait, selon l’Informé, à la préconisation, en l’état, d’une sanction de 150 millions d’euros et d’une astreinte quotidienne de 100 000 euros. Le rapport viserait « une gestion des cookies non conforme à la législation en vigueur ».

Des dizaines de cookies déposés avant même l’affichage du bandeau de consentement

Le rapport reprocherait à Shein.com le dépôt de plusieurs dizaines de traqueurs avant même l’affichage du bandeau de consentement des cookies, de cookies après refus et le flou des informations données lors de la demande de consentement.

Ce document ne reflète pas la décision définitive de la CNIL et l’entreprise peut encore plaider sa cause devant l’autorité avant que celle-ci prenne sa décision. L’entreprise affirme avoir « transmis sa réponse et poursuit sa pleine coopération avec la CNIL ». Elle ajoute : « Depuis août 2023, nous avons un échange actif avec la CNIL afin de garantir notre conformité et de répondre de manière rigoureuse à ses attentes. Le rapport s’inscrit dans le cadre de ce dialogue en cours. Nous sommes pleinement mobilisés pour renforcer la confiance de nos parties prenantes et des autorités de régulation. »

Rappelons que ce n’est pas le seul sujet sur lequel Shein a des problèmes. L’UE a ouvert en février une enquête, car elle la soupçonne de non-respect des règles de protection des consommateurs.

• L’étau européen se resserre autour de Shein et Temu

L’Europe prévoyait de faire des modifications structurelles des règles douanières de l’Union.

Des plateformes d’e-commerce chinoises difficiles à gérer suite à la guerre commerciale lancée par Donald Trump

Mais suite au déclenchement de la guerre commerciale lancée par Donald Trump, elle pourrait aussi prendre des mesures d’urgence. En effet, l’Europe pourrait devenir un marché plus important pour Shein, suite aux droits de douane infligés par les États-Unis aux imports chinois. Shein et Temu ont écoulé 46 milliards de dollars de produits aux États-Unis en 2024, selon la banque Nomura, explique Le Parisien.

Du côté français, selon l’entreprise d’étude de marché Circana citée par les Echos, les internautes ont dépensé 3 milliards d’euros chez Shein et 1,8 milliard chez Temu lors des douze derniers mois.

Les plateformes ne viseraient pas la submersion de l’Europe par des produits envoyés jusqu’ici aux États-Unis. Elles chercheraient cependant à profiter du besoin en débouchés des industriels chinois, qui pourraient se retrouver avec de larges stocks d’invendus, au risque de devoir baisser leurs prix. « Les plateformes pourraient tirer profit de cette situation, non pas pour baisser leurs prix qui sont déjà bas, mais pour reconstituer leurs marges et investir dans le marketing et le lobbying pour consolider leur place en Europe face aux menaces réglementaires et douanières », affirme le consultant commerce et consommation Frédéric Boublil à nos confrères.

La Commission européenne s’inquiète de voir une augmentation soudaine de ces achats sur les plateformes chinoises. Mais elle est tiraillée entre le choix de réagir directement sur le sujet ou de prendre le sujet des imports chinois dans sa globalité, selon les Echos.

Marco Rubio a évoqué l’idée le mois dernier. Mais un système d’analyse des réseaux sociaux est déjà en place et traque les propos de 1,5 million d’étudiants étrangers à la recherche de raison de révoquer leurs visas. Le système a été développé sous l’administration de Joe Biden.

Une équipe spéciale du Département de la Sécurité intérieure des États-Unis (DHS) utilise un des outils pour analyser les messages postés par les étudiants étrangers, explique NBC.

Le mois dernier, le secrétaire d’État des États-Unis, Marco Rubio, affirmait vouloir mettre en place un système appelé « Catch and Revoke » pour traquer les étudiants étrangers qui porteraient des propos étiquetés comme « pro-hamas » en vue de révoquer leurs visas.

Selon des sources de NBC, un outil d’analyse de données est déjà en place au sein du DHS pour « passer au crible l’historique des médias sociaux des quelque 1,5 million d’étudiants étrangers qui étudient aux États-Unis afin de trouver des motifs potentiels de révocation de leur visa ». Une recherche est aussi effectuée par cette agence pour vérifier si ces étudiants ont fait l’objet d’une inculpation ou d’une condamnation pénale, affirment ces mêmes sources.

L’utilisation d’un outil développé sous Joe Biden

Mais cet outil aurait été développé alors que Joe Biden était encore au pouvoir, explique NBC, selon une responsable du DHS de l’époque. « Nous ne visions pas les activités ou les discours politiques. Nous ne les examinions que s’ils incitaient à la violence », a-t-il justifié auprès du média américain.

Le régime de Donald Trump a indiqué mercredi scruter les médias sociaux des étrangers qui demandent le statut de résident permanent légal, les étudiants étrangers et les étrangers affiliés à des établissements d’enseignement. Il recherche tout propos considéré comme antisémite en vue de refuser leurs demandes d’immigration.

« En surveillant les détenteurs de visas et de cartes vertes et en les ciblant sur la seule base de leur expression protégée, l’administration passe d’un engagement de l’Amérique en faveur d’un discours libre et ouvert à la peur et au silence. Malheureusement, cette hostilité semble être l’objectif de l’administration », a déclaré la Foundation for Individual Rights and Expression, association de défense de la liberté d’expression sur les campus américains.

La mise en place d’un nouveau maccarthysme dénoncée

Axios fait remarquer que, lors de la campagne présidentielle américaine l’année dernière, les créateurs du Projet 2025, qui soutenaient Donald Trump, avaient aussi prévu un projet de ce type. Nommé « Project Esther », il prévoyait « d’utiliser les remarques anti-israéliennes comme motif d’expulsion des détenteurs de visas d’étudiant et de cartes vertes », explique le média américain. Il donnait des arguments juridiques pour le mettre en place.

Axios souligne que l’antisémitisme des conservateurs n’est pas visé. Le média rappelle qu’Elon Musk, qui avait une carte verte avant de devenir citoyen américain en 2022, a fait plusieurs saluts nazis lors de l’investiture de Donald Trump, soutient le parti d’extrême droite allemand AfD et, en 2023, a répondu « vous avez dit la vérité » à un message antisémite sur son réseau social. Ces deux messages sont toujours en ligne sur X.

« L’esprit de Joseph McCarthy [voir Maccarthysme] est bien vivant dans l’administration Trump, qui a passé des mois à qualifier malhonnêtement d’antisémites les critiques légitimes des crimes de guerre du gouvernement israélien à Gaza, à mener des chasses aux sorcières dans les collèges américains et à menacer les droits à la liberté d’expression des immigrés », a déclaré Edward Ahmed Mitchell, directeur national adjoint du Conseil des relations américano-islamiques, dans un communiqué obtenu par NBC.

L’entreprise de semi-conducteurs européenne a annoncé ce jeudi 10 avril un « plan de transformation » prévoyant 2 800 départs volontaires sur trois ans à l’échelle mondiale, explique le journal Les Echos.

L’entreprise prévoit de recentrer ses investissements sur des plaques de silicium de plus grande taille (300 mm) afin d’améliorer l’efficacité des chaînes de production, notamment à Crolles (Isère) et Agrate (Lombardie), note le quotidien économique.

Le PDG Jean-Marc Chéry se justifie dans un communiqué : « en nous concentrant sur des infrastructures de fabrication de pointe et sur les technologies mainstream, nous continuerons à tirer parti de tous nos sites existants, avec des missions redéfinies pour certains d’entre eux afin de soutenir leurs succès à long terme ».

Interrogé par le journal, le représentant syndical CFDT Yan Meroth alerte : « Avec l’attrition naturelle, on arrive à un chiffre de 5.000 à 10.000 départs en trois ans. De tels niveaux posent la question de la continuité de l’activité dans les prochaines années ».

L’entreprise détaille son plan : « au cours des trois prochaines années, la réorganisation de l’empreinte industrielle de ST permettra de concevoir et de renforcer les écosystèmes complémentaires de ST : en France autour des technologies numériques, en Italie autour des technologies analogiques et de puissance et à Singapour autour des technologies matures ».

La direction affirme notamment que « l’usine de Crolles (France) de 300 mm sera consolidée en tant que cœur de l’écosystème des produits numériques de ST ». Celle de 200 mm du même site doit être convertie « pour prendre en charge la fabrication de gros volumes et les technologies d’advance packaging, en hébergeant des activités qui n’existent pas aujourd’hui en Europe ».