– Article en partenariat avec Incogni –

Vous pensiez que poser une question à ChatGPT (ou à n’importe quelle IA à la mode) était sans conséquence ? Erreur : derrière la magie de la conversation fluide et des réponses instantanées se cache un jeu dangereux pour vos données. Certains escrocs sont capables d’extraire, d’agréger, et d’exploiter votre vie numérique, le tout à partir d’une simple recherche pas trop bête. Mais pourquoi, et surtout comment, est-ce possible ? Et que pouvez-vous faire pour garder la main sur vos infos perso ?

Accrochez-vous, parce que l’IA n’est pas seulement le dernier jouet cool du moment, elle est aussi devenue le nouvel eldorado des arnaqueurs.

Une seule requête, une faille béante

Plus besoin de pirater votre boîte mail ou de fouiller votre poubelle. Les scammeurs d’aujourd’hui savent exploiter les LLM (comme ChatGPT ou Gemini) à fond. Avec une question bien tournée, ces outils fouillent le web et ressuscitent tout ce qui existe sur vous, parfois bien au-delà de ce que vous imaginez.

On parle ici d’anciennes biographies exhumées de forums ou réseaux sociaux, de traces de blogs, de commentaires publics, ou encore de numéros ou adresses, tombés dans la nature à la faveur d’une fuite de données. Mais aussi de liens subtils entre vos différents profils, entre manières d’écrire et ça même si les pseudos changent. Ce qui était jadis éparpillé et difficile à recomposer par un humain devient soudain… lisible, compact, utilisable contre vous à une toute autre échelle. Tout ça pour du phishing ciblé, de l’usurpation d’identité, ou tout bêtement revendu à des brokers de données peu scrupuleux.

Et tout ça c’est sans parler du manque de sécurité flagrant des IA grand public qui semblent avoir oublié de prendre le sujet en compte (voir par exemple mon article : ChatGPT peut faire fuiter vos emails avec une simple invitation Google Calendar).

Pourquoi l’IA amplifie le problème ?

Les modèles comme ChatGPT, Gemini, Claude ou Grok sont formés sur des milliards de pages web, archives de forums, données publiques (tout le web en gros) … qui, pour beaucoup, contiennent des infos personnelles. Quand vous interrogez ces outils, vos prompts sont souvent enregistrés et, dans certains cas, utilisés pour affiner le modèle.

Pire : selon cette étude Incogni 2025, la majorité de ces IA :

• collectent vos prompts et tous les détails contenus dedans.
• aspirent les données personnelles lâchées publiquement sur le web, parfois sans grande considération pour le consentement réel des personnes.
• partagent les informations avec des filiales, partenaires commerciaux, voire… des “affiliés” non identifiés.
• et dans certains cas, il est “impossible” de retirer vos données du jeu une fois qu’elles sont parties dans l’écosystème de training.

Retenez que lorsque vous avez appuyé sur le bouton d’envoi et que c’est publié quelque part … impossible de faire machine arrière. C’est ce que j’appelle l’effet “dentifrice hors du tube”.

Classement des IA génératives concernant la protection des données

D’après l’enquête d’Incogni , toutes les plateformes n’offrent pas le même niveau de respect de la vie privée. Voici un aperçu du classement 2025 (attention, tout peut changer à la vitesse de l’éclair) :

Plateforme	Respect des données personnelles	Possibilité d’opt-out pour le training	Transparence	Partage étendu des données
Mistral	Très bon : collecte limitée	Oui	Moyen	Peu
ChatGPT (OpenAI)	Bon : collecte modérée, transparente	Oui	Haute	Modéré
Grok (xAI)	Collecte plus large, transparence partielle	Oui	Moyenne	Modéré
Claude (Anthropic)	Donne l’assurance de ne pas utiliser les prompts pour l'entraînement	N/A	Haute	Oui, avec des partenaires
Gemini (Google)	Collecte massive, peu de transparence	Non	Faible	Élevé
Meta AI	Collecte massive, partage au sein du groupe	Non	Faible	Très élevé
DeepSeek	Collecte importante, peu de transparence	Non	Faible	Élevé
Copilot (Microsoft)	Modéré, mais ambigu selon la plateforme	Oui	Faible	Oui, avec annonceurs

Quelques points à retenir :

• Les plus gros, comme Meta AI et Gemini, sont assez mauvais concernant le respect de la vie privée.
• Les sociétés européennes (Mistral) et OpenAI sont plus respectueuses (pour l’instant).
• Même les plateformes qui promettent de ne pas utiliser vos prompts pour le training reconnaissent une utilisation massive de “données publiques”, autrement dit : ce que vous laissez traîner en ligne.

Une fois que les IA génératives et leurs écosystèmes ont mis la main sur vos fragments de vie, la suite est mécanique. Il y a croisement de vos infos pour générer un profil ultra-ciblé à partir d’un simple pseudo/patronyme. Vos données sont ensuite revendues à des brokers, qui les exploitent de façon industrielle (business de plusieurs centaines de milliards de $ à la clé). Ensuite on a droit à la création de scénarios de phishing ultra crédibles (référence à vos vrais employeurs, vieux contacts, etc.), voire usurpation d’identité facilitée (faux profils, demandes administratives, crédits…). Bref c’était déjà la merde avant l’IA et ça va s’empirer.

Face à ce phénomène, la loi tente de suivre (RGPD en Europe, début de réglementation en Californie avec le DELETE Act…), mais reste bien souvent larguée par la techno. Autant dire qu’il vaut mieux ne pas compter dessus.

Comment limiter la casse : réflexes & méthodes

Avant même de parler d’outils, je vous rappelle les bases. Ne laissez JAMAIS d’infos sensibles dans un prompt envoyé à une IA, même en “anonyme”. Passez régulièrement vos noms/alias/adresses au crible des moteurs de recherche pour avoir la vision publique de votre eprsonne. Vous pouvez aussi rendre vos profils sociaux privés, supprimez les vieux comptes dormants ou juste tout quitter comme je l’ai fait. Pensez aussi à utiliser de courtes variantes de pseudos/passwords pour limiter l’effet cascade en cas de fuite.

Mais ça, c’est l’ABC. Vous faites déjà tout ça non ? Pour aller plus loin, et ne pas passer ses soirées à envoyer des demandes de déréférencement à la chaîne… place aux outils spécialisés.

Incogni, l’outil utile pour passer à l’offensive

Voilà pourquoi Incogni , développé par Surfshark, est l’un des rares services à avoir pensé ce problème du bon côté. Non, ils ne traquent pas vos prompts IA, mais ils s’occupent pour vous de ce que les brokers détiennent sur vous.

En résumé il se charge automatiquement de contacter les centaines de data brokers qui ont potentiellement vos infos et gère pour vous les demandes de suppression, le suivi et les relances. Plus de 100 000 utilisateurs européens ont déjà lancé un grand ménage numérique via le service.

À partir de l’étude 2025 citées ci-dessus, Incogni insiste sur : la transparence totale sur la collecte/traitement des données, la possibilité de retirer très simplement ses données de nombreuses bases (sous réserve de législation locale, bien sûr) et recommande d’éviter celles qui n’offrent aucune clarté ou option d’opt-out. Cela dit ce n’est pas magique : “effacer” sa présence totale en ligne reste presque impossible. Mais avec Incogni, vous pouvez drastiquement limiter la surface d’attaque pour les arnaqueurs et brokers.

L’avenir de la privacy face à l’IA

À mesure que l’IA progresse, la barrière entre vie privée et “open data” explose. Certains fournisseurs d’IA s’améliorent alors que d’autres assument un business model intégralement fondé sur la collecte et la redistribution de vos vies numériques. 

La meilleure protection ? Rester informé (lisez mes news haha), lire les classements indépendants, choisir les outils qui offrent le maximum de contrôle et, pour tout ce qui a déjà “fuité”, passer à l’action avec des outils de nettoyage comme Incogni avant que le dentifrice soit vraiment partout…

Rappelez-vous : une requête innocente à ChatGPT, et c’est tout votre historique en ligne qui peut refaire surface. L’IA peut vous aider à trouver des infos, mais elle permet aussi aux escrocs… d’en trouver vous concernant. À méditer !

→ Cliquez ici pour tout savoir sur Incogni ←

Vous en avez marre de cliquer sur “Accepter les cookies” à chaque fois que vous visitez un site web ? Du genre vraiment marre, au point de parfois renoncer à lire un article plutôt que de devoir encore cliquer sur ces bannières ? Et bien si j’en crois Mashable , la Commission européenne envisage sérieusement de revoir la directive e-Privacy de 2009 qui nous a imposé cette avalanche de bandeaux moches.

Enfin !!

Il était temps qu’ils se réveillent à Bruxelles, parce que bon, l’intention de départ était louable c’est sûr… Il s’agissait de protéger notre vie privée en nous demandant notre consentement avant de nous traquer. Sauf que dans les faits, on s’est tous retrouvés à cliquer frénétiquement sur “Accepter tout” juste pour pouvoir lire tranquillement notre article. C’est ce qu’on appelle la “cookie fatigue”, et elle a complètement détourné l’objectif initial de la loi, en plus de faire perdre des heures de travail à toute l’économie européenne .

La Commission européenne explore donc plusieurs pistes pour simplifier tout ça. L’idée principale de leurs réflexions, ce serait de permettre aux utilisateurs de définir leurs préférences une bonne fois pour toutes dans les paramètres de leur navigateur. Fini les popups sur chaque site et vos navigateurs Chrome, Firefox, Safari et consorts deviendraient les gardiens de vos préférences cookies. Techniquement, c’est déjà possible avec le Do Not Track, mais personne ne l’utilise vraiment.

Ça m’énerve vraiment de lire ça, car ces bandeaux cookies, c’était vraiment la pire implémentation qu’ils pouvaient mettre en place alors que depuis J-0 tout le monde leur gueule fort dans les oreilles “Mais bande de nazes, faut l’implémenter dans le navigateur”.

Enfin, j’imagine qu’il vaut mieux tard que jamais.

Bref, bientôt les affreux bandeaux cookies qui faisaient mouiller les ayatollahs du RGPD vont disparaitre… quelle bonne nouvelle ! Pour ma part, en ce qui concerne mon site, j’ai écrit à la CNIL (en recommandé svp !) en début d’année pour leur demander leur avis, afin de savoir si je respectais bien le RGPD. Je n’ai jamais eu de réponse de leur part (snif), mais de mon point de vue, de celui de lecteurs dont c’est le métier, de CookieViz , et de ma régie pub, j’étais pas trop mal.

Après, depuis mon courrier à la CNIL y’a eu pas mal de changements quand même. J’sais pas si vous avez suivi mon actu, mais cet été, j’ai notamment retiré le bandeau des cookies.

What ??? Suis-je un vil criminel ?

Non, en fait c’est parce que j’ai supprimé tout ce qui était scripts de stats (Google analytics / Matomo) parce qu’elles n’avaient plus aucun sens vu que tout le monde les bloque… J’utilise également uniquement le player “no-cookies” de Youtube, et j’ai aussi enlevé toutes les bannières de pubs parce que c’est quelque chose que je voulais faire depuis loooongtemps. Ça me fait des revenus en moins c’est sûr (ouille), mais je compte sur mon Patreon pour contrebalancer ça.

C’était pas une décision simple puisqu’un peu risqué, et j’espère que l’avenir me donnera raison. En plus, comme j’ai aussi totalement arrêté de partager mes articles sur mes comptes de réseaux sociaux , ça a provoqué également une jolie petite baisse de trafic. Après, contrairement à mes confrères de la presse tech, je ne suis pas équipé pour faire la course à l’audience vu que je suis à 99% tout seul à écrire, à gérer la technique, le code du site, faire rentrer la thune, et la gestion de ma boite…etc., donc bon, ça ne change pas grand-chose, toutefois ne plus avoir de publicités programmatiques, ça renforce encore cette absence d’enjeux liés au trafic et ça me fait un truc en moins à gérer.

Par conséquent, le site est plus rapide à charger, il est visuellement plus joli (à mon goût), bref, j’en suis très content ! Et ça se ressent sur mes dernières stats (réalisées sans tracking car générées à partir des logs de mon serveur web), puisque mon site a enregistré au mois d’août (le pire mois de l’année à cause des vacances), 1,4 million de visiteurs uniques ! Du coup, je suis assez content et fier parce que ça veut dire que ce que j’écris vous intéresse et ça c’est cool !

Voilà, je referme cette parenthèse sur le meilleur site Tech de France (hein, quoi ?? ^^) pour revenir à cette réforme européenne. Histoire d’avancer un peu, le Danemark a suggéré que les cookies “techniquement nécessaires” ou pour des “statistiques simples” ne devraient plus nécessiter de consentement. Ça paraît logique, mais faut pas oublier quand même que malgré tout, les données s’envolent aux États-Unis la plupart du temps (je pense à Google Analytics) et ça, c’est pas cool, donc j’espère qu’ils resteront vigilants là-dessus, même pour de simples stats.

De leur côté, les lobbyistes de l’industrie Tech poussent fort pour avoir plus de marge de manœuvre afin de décider eux-mêmes de ce qui nécessite un consentement ou pas (lol, tu m’étonnes), mais forcément, les défenseurs de la vie privée tirent la sonnette d’alarme et je les rejoins là-dessus ! En effet, ces derniers craignent qu’on donne trop de pouvoir aux entreprises et qu’on se retrouve avec encore plus de tracking qu’avant, mais cette fois, sans qu’on le sache.

Du coup, la vraie question pour le régulateur c’est de trouver l’équilibre entre une bonne protection de la vie privée et une expérience utilisateur fonctionnelle. Pas simple, mais le Do Not Track (ou un équivalent) pourra aider.

Bref, est-ce qu’on verra disparaître ces satanées bannières RGPD ? Peut-être pas complètement, mais on pourrait au moins avoir quelque chose de plus intelligent qui permettrait de configurer une seule fois vos préférences dans Firefox ou Chrome, et hop, tous les sites respecteront automatiquement vos choix. Comme ça, plus besoin de cliquer sur quoi que ce soit… Les cookies strictement nécessaires passeront alors directement et les cookies marketing seront bloqués si vous l’avez décidé.

Comme ça tout le monde sera content… enfin, j’imagine ?

Alors voilà, on en est là. On râle contre la surveillance généralisée, on s’insurge quand Facebook nous écoute, on fait des crises d’angoisse quand on découvre que nos smart TV nous espionnent, et en même temps, on va volontairement installer sur notre téléphone une app qui enregistre tout ce qu’on fait.

Cette app s’appelle Alibi , elle est développée par Myzel394 et ce qu’elle permet, c’est de transformer votre smartphone en dashcam qui filme et enregistre en permanence, 24h/24.

Alibi garde en permanence les 30 dernières minutes de votre vie en vidéo et audio, prêtes à être sauvegardées si vous en avez besoin comme ça si quelque chose se passe du genre un accident de voiture (avec une Volkswagen forcément), une altercation avec un con sanguin, une situation litigieuse dans un manif ou autre, vous avez votre alibi, quoi. D’où le nom !

L’app fonctionne entièrement en arrière-plan, et surtout, tout reste sur votre téléphone. Pas de cloud, pas de serveurs externes, pas de partage involontaire. C’est de la surveillance, mais c’est vous qui gérez les données. Vous êtes donc à la fois l’espion et l’espionné.

En France, les vidéos tournées dans l’espace public sont autorisées tant qu’elles restent à usage personnels et pas diffusées publiquement sans floutage des visages et des plaques d’immatriculation, n’en déplaisent à ceux qui aiment faire croire le contraire ^^.

C’est plutôt triste à dire mais les dashcams réduisent les conflits et les arnaques à l’assurance car quand tout le monde sait qu’il est filmé, tout le monde se tient à carreaux. C’est sûr que si les gens étaient droits dans leurs bottes, y’aurait pas besoin de ce genre de conneries… C’est le panoptique de Bentham version caméra où la surveillance modifie les comportements de par sa simple existence. Argh !

L’app elle-même est plutôt bien fichue puisqu’elle est open source sous licence GPL-3.0, disponible sur F-Droid , Google Play et GitHub avec une interface claire, pleins d’options et la possibilité de verrouiller l’app pour éviter les fausses manipulations. Par contre, au niveau des méta données, c’est un peu léger. On a que la date et l’heure mais pas les infos GPS par exemple pour la localisation…

Voilà, si vous lorgniez sur les dashcams, c’est peut-être pas la peine de mettre trop d’argent là dedans. Un vieux smartphone Android et c’est plié !

Enjoy !

Vous vous souvenez de l’époque où on pouvait consulter Twitter sans avoir de compte ? Ah, c’était le bon temps mais depuis qu’ Elon Musk a instauré son login wall “temporaire” en juillet 2023 , impossible de jeter un œil à un profil ou un thread sans passer par la case inscription.

Alors oui je sais, les réseaux sociaux avec Twitter en tête (pardon X), c’est devenu de la merde. L’effet de foule stupide & agressive y est devenu légion et c’est pourquoi j’ai arrêté d’y aller et de partager mes articles sur ces plateformes via mon compte @Korben . Mais faut reconnaître que sur certains comptes bien spécifiques qui se comptent sur les doigts d’une main, c’est quand même sympa pour la veille. Petite parenthèse, c’est d’ailleurs super dommage que ces gens qui font ce travail de veille la filent gratos à Elon Musk plutôt que de se faire un vrai site web, une newsletter ou un flux RSS. Bref, quelque chose qui leur appartient vraiment.

Heureusement, des développeurs malins ont créé des solutions pour contourner ce mur de connexion forcée. TwitterViewer en fait partie et c’est plutôt efficace. Le principe est simple puisque c’est un proxy qui se connecte à votre place et vous retransmet le contenu public des profils X. Vous entrez un nom d’utilisateur, et hop, vous avez accès à ses tweets, ses médias, et aux infos du profil, le tout de manière 100% anonyme.

Ça reste plus rapide que de créer un compte jetable à chaque fois qu’on veut vérifier un truc et le service se présente comme respectueux de la vie privée. Votre IP reste cachée, vos données de navigation ne sont pas collectées, et vous n’alimentez pas les algorithmes de X avec votre comportement.

Un compte bien vide… ^^

Mais TwitterViewer n’est pas seul sur ce créneau. Je pense par exemple à Nitter , une alternative open source historique déclarée morte en février 2024 qui a finalement ressuscité miraculeusement le 6 février dernier. Cette solution reste la plus complète si vous cherchez une interface épurée sans JavaScript ni trackers.

Il y a aussi Tweet Binder qui permet de suivre des hashtags et mots-clés sans compte, ce qui est pratique pour surveiller les tendances. Twillot propose également des extensions Chrome et des apps mobiles pour iOS et Android. Et si vous êtes vraiment désespéré, Google reste votre ami : tapez “site:x.com” suivi du nom d’utilisateur qui vous intéresse et vous aurez accès aux tweets indexés.

Musk avait quand même vendu son login wall comme une mesure d’urgence contre les scrapers de données mais au final, ces scrapers ont trouvé d’autres moyens d’accéder aux données, tandis que les utilisateurs lambda, eux, sont toujours bloqués. Même les développeurs tiers ont été éjectés avec l’augmentation délirante des prix de l’API, et maintenant on se retrouve avec un écosystème parallèle d’outils pour simplement consulter du contenu public.

Je trouve que TwitterViewer et ses alternatives représentent une sorte de résistance face à ce renfermement progressif des plateformes sociales. Et surtout, pourquoi est ce qu’on devrait se créer un compte sur ce site de nazⁱe juste pour lire un fois ou deux des tweets publics ?

Si vous planifiez un voyage aux États-Unis, vous savez surement déjà que vos téléphones et ordinateurs peuvent être fouillés par les douanes américaines. Sauf que depuis quelques jours, les chiffres relatifs à ces fouilles sont sortis. Entre avril et juin 2025, le CBP (Customs and Border Protection) a inspecté 14 899 appareils électroniques, ce qui est un record qui dépasse de 16,7% le précédent pic de début 2022.

C’est d’ailleurs en progression constante, puisqu’en 2015, seulement 8 503 appareils étaient contrôlés sur une année entière, en 2023, on était déjà à plus de 41 000, et maintenant, on atteint près de 15 000 en un seul trimestre.

Derrière ces stats se cache une réalité juridique complexe baptisée la “border search exception” qui permet aux agents fédéraux de fouiller sans mandat ni suspicion raisonnable. Hé oui, le 4e Amendement, qui protège normalement les américains contre les perquisitions injustifiées, s’efface dans cette zone de quelques miles autour des frontières, y compris dans les aéroports.

Pour les non-citoyens américains, c’est simple, refuser de donner son mot de passe peut signifier un refus d’entrée sur le territoire. Tous les voyageurs étrangers, même avec un visa valide, peuvent ainsi être refoulés en un claquement de doigt. Par contre, les citoyens américains ne peuvent pas être empêchés d’entrer dans leur pays, mais leurs appareils peuvent être confisqués durant des semaines, voire des mois.

C’est pas un pays de zinzins quand même ?

L’ACLU soulève un point intéressant qui est que le vrai problème, c’est l’effet paralysant que cela a sur tous les voyageurs. Car même si elle est statistiquement rare (moins de 0,01% des 420 millions de voyageurs annuels), cette possibilité influence le comportement de millions de personnes.

Perso, j’attendrais que Trump parte et que les américains se détendent un peu du slip avant de remettre les pieds là bas. D’ailleurs le tourisme s’est bien cassé la gueule à cause de Donald. C’est dommage quand même..

Côté technique, les agents distinguent deux types de fouilles. La “recherche basique” se fait sur place et consiste en un agent qui parcourt vos photos, messages, applications…etc. Et la “recherche avancée” ou “forensique” implique l’envoi de l’appareil vers des laboratoires spécialisés pour récupérer fichiers supprimés, historiques chiffrés et données protégées par mot de passe. Notez que cette seconde option nécessite théoriquement une “suspicion raisonnable” d’activité criminelle, mais bon, ça reste au bon vouloir de l’agent des douanes qui vous contrôlera.

Le 5e Amendement protège les droits des américains de ne pas révéler verbalement leur mot de passe, mais les tribunaux permettent souvent aux agents de vous contraindre à déverrouiller votre téléphone avec votre empreinte ou votre visage. D’où l’astuce répandue qui consiste à désactiver Face ID et Touch ID avant d’arriver à la frontière.

Les experts en sécurité recommandent plusieurs stratégies. J’avais moi-même fait un article sur le sujet il y a quelques temps. En gros, faut utiliser un téléphone de voyage avec données minimales, mais pas trop épuré pour éviter les soupçons. Transférer temporairement photos et fichiers sensibles vers le cloud, puis les supprimer localement. Et bien sûr désinstaller les réseaux sociaux avant le voyage. Perso, d’ordinaire, j’opte pour un achat de smartphone pas cher qui me servira juste pour le quotidien là bas. C’est un peu relou mais bon, après une fois la frontière passée, il est toujours possible de réinstaller d’autres app ou d’aller voir ses emails via un VPN.

Une nuance importante de tout ce bordel, c’est surtout que depuis 2017, la politique du CBP interdit officiellement l’accès aux données stockées dans le cloud. Les agents ne peuvent fouiller que ce qui est physiquement présent sur l’appareil. Emails, messages et posts sur serveurs distants restent donc théoriquement protégés, mais si vous gardez des copies locales de ça sur votre appareil, c’est mort.

Et puis il y a aussi l’imprécision des “circonstances atténuantes” qui permettent de garder un appareil plus de cinq jours. On a eu le cas y’a pas longtemps avec un chercheur français qui s’est vu refuser l’entrée après découverte de messages critiques envers Trump sur son téléphone. Ces cas illustrent l’arbitraire potentiel du système et leur amour de tout ce qui est liberté d’opinion et d’expression…

Heureusement, au Canada, la situation reste plus mesurée puisque seulement 0,007% des voyageurs ont vu leurs appareils inspectés entre 2017 et 2024, pour un volume de seulement 38% de ces fouilles qui ont permis effectivement de prouver des violations douanières ou d’immigration, justifiant selon les autorités cette “mesure exceptionnelle mais très efficace”.

Et pour les journalistes et les avocats, la protection reste floue… En effet, le CBP mentionne des “limitations” pour tout ce qui est informations professionnelles protégées, mais sans détailler lesquelles ni comment elles s’appliquent concrètement. Donc méfiance les amis, car Oncle Sam est très curieux en ce moment…

Source

Vous vous souvenez de cette époque où partir en voyage signifiait acheter une carte SIM locale dans une boutique douteuse à l’aéroport ? Aujourd’hui, si on sort d’Europe, on active une eSIM en deux clics depuis son canapé et hop, on a internet à l’étranger. C’est pratique, non ? Sauf que voilà, une étude menée par des chercheurs de Northeastern University vient de révéler un truc assez hallucinant : Vos données personnelles pourraient bien faire le tour du monde sans que vous le sachiez.

Par exemple, si vous êtes à Rome en train de poster votre photo de pizza sur Instagram, vous pensez surement que vos données passent par un opérateur italien, puis rentrent directement chez vous. Je le croyais aussi alors qu’en réalité, elles pourraient faire un petit détour par Hong Kong, transiter par Singapour, et revenir par la Chine avant d’arriver à destination. Sympa le petit voyage organisé pour vos données perso, vous ne trouvez pas ?

Les chercheurs ont donc testé 25 fournisseurs d’eSIM et le constat est sans appel. Prenez Holafly par exemple, une entreprise basée en Irlande. Vous achetez leur eSIM en pensant avoir affaire à une société européenne, soumise au RGPD et tout le tralala. Sauf que dans les faits, vos connexions passent par le réseau de China Mobile. L’adresse IP qu’ils ont obtenue lors de leurs tests (223.118.51.96 pour les curieux) était directement allouée à China Mobile International Limited à Hong Kong.

En gros, les profils eSIM établissent silencieusement des connexions vers des serveurs à Singapour et récupèrent des SMS depuis des numéros hongkongais, le tout sans que vous en ayez la moindre idée. Mais attendez, ça devient encore plus rigolo puisque pour devenir revendeur d’eSIM, il suffit d’avoir une adresse email valide et un moyen de paiement. Y’a pas de vérification approfondie, pas de contrôle de sécurité du coup, n’importe qui peut se lancer dans le business. Et une fois revendeur, on a accès à des données ultra-sensibles comme les numéros IMSI (l’identifiant unique de votre carte SIM), la localisation des appareils avec une précision de 800 mètres, et même la possibilité d’envoyer des SMS directement aux utilisateurs.

Alors comment on fait pour protéger sa vie privée quand on voyage ? Et bien l’utilisation d’un VPN reste la meilleure solution (lien affilié), surtout si vous utilisez des réseaux WiFi publics. En effet, le VPN va chiffrer votre connexion et empêcher que vos données soient interceptées, peu importe par quel pays elles transitent. Certains fournisseurs comme Saily, créé par l’équipe derrière NordVPN, proposent même des eSIM avec VPN intégré. C’est un peu la ceinture et les bretelles de la sécurité.

Ce qui est vraiment problématique je trouve, c’est le manque total de transparence car quand vous achetez une eSIM, personne ne vous dit “au fait, vos données vont passer par la Chine”. Et chaque pays a ses propres lois sur la protection des données… En Chine du coup, les autorités peuvent légalement accéder à toutes les données qui transitent par leurs infrastructures. Vous voyez le problème ?

C’est pourquoi les chercheurs recommandent la mise en place d’un cadre réglementaire plus strict, avec une obligation de transparence pour les fournisseurs d’eSIM. Ils devraient par exemple au minimum indiquer clairement par quels pays vos données vont transiter. En attendant, leur méthodologie de recherche complète sera bientôt publiée sur GitHub pour que d’autres puissent reproduire et étendre leurs travaux.

Au final, les eSIM restent super pratiques pour voyager, mais faut être conscient des risques…

Source

Ce serait quand même bien relou de devoir montrer sa carte d’identité à un flic à chaque fois qu’on veut regarder une vidéo sur le net, non ? Ce serait absurde, vous ne trouvez pas ? Et bien c’est pourtant ce qui se passe de plus en plus sur le web car entre le Royaume-Uni et son Online Safety Act, la Floride, le Tennessee, la Caroline du Sud et même l’Europe avec ses nouvelles régulations, on nous demande maintenant de scanner nos papiers d’identité ou de prendre un selfie pour accéder à certains sites. Heureusement, NextDNS vient de sortir l’artillerie lourde contre cette dérive.

Il y a quelques jours donc, NextDNS a lancé une nouvelle fonctionnalité qui fait déjà beaucoup parler d’elle à savoir le contournement automatique des vérifications d’âge par DNS. Le principe c’est qu’au lieu de balancer vos papiers d’identité à des sites dont vous ne savez rien, NextDNS intercepte vos requêtes DNS et les fait passer par des serveurs proxy situés dans des pays où ces vérifications débiles n’existent pas. C’est plus subtil qu’un VPN qui reroute tout votre trafic car ça se passe uniquement au niveau DNS.

L’activation est d’une simplicité enfantine puisqu’il suffit d’aller sur my.nextdns.io, dans l’onglet Settings, et vous activez simplement l’option “Bypass Age Verification”. Et hop, c’est parti. Pas d’installation compliquée, pas de configuration alambiquée. Le tout est disponible même dans la version gratuite de NextDNS.

La position de NextDNS est claire : “Donner vos papiers gouvernementaux à des sites random est un énorme risque pour la vie privée”. Difficile de leur donner tort. On parle quand même de sites qui vous demandent votre carte d’identité, votre permis de conduire, parfois même un selfie avec le document en main. Tout ça stocké on ne sait où, protégé on ne sait comment. Bref, un paradis pour les hackers et les usurpateurs d’identité.

Selon les premiers retours des utilisateurs, ça ne marche bien mais pas partout. Par exemple, Twitter (pardon, X) et Reddit résistent encore à la technique. YouTube aussi, mais c’est logique car pour les vidéos avec restriction d’âge, ils demandent une connexion à votre compte Google, ce qui empêche complètement l’astuce DNS.

NextDNS précise bien que les utilisateurs qui activent cette fonction reconnaissent avoir l’âge légal pour accéder au contenu. C’est leur façon de se couvrir juridiquement. Techniquement, contourner ces vérifications n’est pas illégal dans la plupart des pays, mais ça peut violer les conditions d’utilisation des plateformes donc si vous vous faites prendre, votre compte pourrait être suspendu définitivement.

Le problème en fait, c’est que ces lois censées protéger les mineurs créent un risque énorme pour la vie privée de tous les adultes. Avant, surfer sur Internet était anonyme par défaut et maintenant, on vous demande de vous identifier formellement pour accéder à du contenu parfaitement légal.

D’autres solutions existent bien sûr. Les VPN restent une option, même si c’est plus lourd et plus cher qu’une simple configuration DNS. Certains utilisent aussi des DNS privés alternatifs, mais l’approche de NextDNS a l’avantage d’être gratuite, simple et relativement efficace pour la majorité des cas.

NextDNS travaille apparemment à étendre la compatibilité avec plus de sites et en attendant, c’est déjà un bon pied de nez à cette surveillance généralisée qui s’installe petit à petit sur le web…

Source

WeTransfer veut rassurer ses utilisateurs : les fichiers restent privés, non utilisés par l’IA, et la licence accordée sert juste pour les besoins du service.

The post WeTransfer veut clarifier la situation : l’IA n’analysera pas vos fichiers ! first appeared on IT-Connect.

Les nouvelles conditions générales d'utilisation de WeTransfer sont inquiétantes : vos fichiers seront exploités pour entrainer leur modèle d'IA.

The post À partir du mois d’août, WeTransfer va utiliser vos fichiers pour entraîner son IA ! first appeared on IT-Connect.