Je me souviens de la première fois où j’ai entendu parler de The Grugq.

C’était en 2006, via un PDF qui expliquait aux hackers comment ne pas se faire choper par les flic. Puis un peu plus tard, en 2012, je l’ai redécouvert vie un article de Forbes qui racontait comment un mystérieux Sud-Africain basé à Bangkok gagnait plus d’un million de dollars par an en vendant des failles zero-day aux agences de renseignement.

Pas en exploitant lui-même les failles, non. Juste en servant d’intermédiaire entre les hackers qui les découvraient et les gouvernements prêts à payer des fortunes pour les acquérir. Il prenait à l’époque 15% de commission sur des ventes qui pouvaient atteindre 250 000 dollars pour un seul exploit iOS. Le calcul était vite fait.

The Grugq expert en sécurité informatique et OPSEC

Puis j’ai découvert que ce type était bien plus qu’un simple marchand d’armes numériques. C’était LE gourou de l’OPSEC, celui qui avait littéralement créé le domaine de l’anti-forensics. Celui qui répétait sans cesse “shut the fuck up” comme mantra ultime de survie. Voici donc aujourd’hui, l’histoire de Thaddeus Grugq, l’homme qui a appris au monde entier l’art de disparaître.

Thaddeus Grugq est né en Afrique du Sud, quelque part dans les années 70. Les détails exacts ? Mystère complet. Et c’est totalement voulu car The Grugq pratique ce qu’il prêche. La première règle de l’OPSEC, c’est de contrôler l’information sur soi-même. Pas d’année de naissance précise dans les bios officielles. Pas de ville natale. Pas de vrais noms de famille. Juste “The Grugq”, un pseudonyme qui est devenu une marque dans le monde de la sécurité.

Ce qu’on sait, c’est qu’il a grandi dans l’Afrique du Sud de l’apartheid. Un pays où la surveillance était omniprésente, où les communications étaient espionnées, et où la paranoïa était justifiée. Du coup, c’est dans ce contexte qu’il développe très jeune une fascination pour les systèmes, pour comprendre comment ils fonctionnent, et surtout, comment contourner leur sécurité. L’environnement idéal pour forger un futur expert en contre-surveillance !

En 1998, à peine sorti de l’adolescence, il débarque dans le monde de la sécurité informatique. L’industrie en est encore à ses balbutiements. Les grandes entreprises commencent tout juste à comprendre qu’Internet n’est pas qu’un gadget et que la sécurité, ce n’est pas optionnel. The Grugq trouve alors un job dans une Fortune 100. Laquelle ? Il ne le dira jamais. OPSEC, toujours.

Mais rapidement, la vie en entreprise l’ennuie. Les réunions interminables, les politiques internes, les limitations imposées par la hiérarchie… C’est pas pour lui. Il veut explorer, casser des choses, comprendre les limites des systèmes. Alors quand l’opportunité se présente de rejoindre @stake, l’une des boîtes de sécurité les plus prestigieuses de l’époque, il saute dessus. Et on peut dire que c’était le bon moment !

@stake, c’était le graal pour tout hacker qui se respectait. Fondée par des légendes issues de L0pht Heavy Industries (ces mecs qui avaient fait trembler le Congrès américain en 1998 en déclarant pouvoir “éteindre Internet en 30 minutes”), la boîte attirait les meilleurs talents. Ils faisaient du pentest pour les plus grandes entreprises, découvraient des vulnérabilités critiques, conseillaient les gouvernements. C’était l’élite de l’élite !

The Grugq s’y épanouit totalement. Il reverse tout ce qui lui tombe sous la main. Il développe des exploits. Il apprend des meilleurs du milieu. Mais surtout, il commence à s’intéresser à un domaine encore vierge : l’anti-forensics. Comment effacer ses traces numériques ? Comment rendre l’analyse post-mortem impossible ? Comment disparaître sans laisser de preuves ?

Son mentor chez @stake lui donne alors un conseil qui va changer sa vie : “If you know how to do anti-forensics, you probably don’t need anti-forensics.” En d’autres termes, si tu maîtrises l’art d’effacer tes traces, c’est que tu es déjà assez bon pour ne pas en laisser. C’est le début de sa philosophie de l’OPSEC préventive.

En 2002, The Grugq décide de partager ses connaissances avec la communauté. Il écrit un article pour Phrack, la bible underground du hacking. Le titre : “Defeating Forensic Analysis on Unix”. Dans cet article, il détaille méthodiquement comment compromettre les outils d’analyse forensique. Et c’est pas de la blague !

L’article présente une panoplie d’outils révolutionnaires : RuneFS pour cacher des données dans les bad blocks, The Defiler’s Toolkit avec ses composants Necrofile et Klismafile pour modifier directement le système de fichiers, KY FS pour stocker des données dans les répertoires, et Data Mule FS pour utiliser l’espace réservé des inodes. C’est de la technique de haut vol !

L’article fait l’effet d’une bombe atomique car pour la première fois, quelqu’un expose publiquement des techniques qui étaient jusqu’alors réservées aux agences de renseignement et aux criminels les plus pointus. The Grugq justifie sa démarche en expliquant que c’est pour “pousser l’industrie de la sécurité à développer des outils efficaces”. Il espère que “la prochaine génération d’outils d’investigation numérique donnera ainsi aux défenseurs quelque chose de fiable pour combattre efficacement les attaquants”.

Noble intention… Mais @stake ne voit pas les choses du même œil car pour eux, publier ces techniques dans Phrack, c’est donner des armes aux méchants. C’est irresponsable et surtout contraire à l’éthique de l’entreprise. The Grugq est viré. Forcé de démissionner, comme ils disent poliment. Bref, l’histoire classique du lanceur d’alerte qui se fait blacklister !

Le licenciement est un coup dur pour lui, mais également une libération totale. The Grugq devient alors consultant indépendant, et là, il découvre un marché en pleine explosion. Celui des vulnérabilités zero-day. Le timing est parfait !

En effet, début des années 2000, les gouvernements commencent à comprendre que les cyberarmes sont l’avenir de l’espionnage et du sabotage. Pas besoin d’envoyer des agents sur le terrain quand on peut compromettre un système à distance. Pas la peine de risquer des vies humaines quand un exploit bien placé peut faire le job. Le problème, c’est que les agences de renseignement ne sont pas forcément les meilleures pour trouver ces vulnérabilités. Elles ont des analystes brillants, mais pas forcément la créativité et la liberté des hackers indépendants. D’où l’idée d’acheter les exploits à ceux qui savent les trouver.

The Grugq voit alors l’opportunité et la saisit. Il a des contacts dans le milieu du hacking, il connaît les meilleurs chercheurs, ceux qui trouvent les bugs que personne d’autre ne voit. Et de l’autre côté, grâce à son passage chez @stake et ses activités de consultant, il a des contacts dans les agences gouvernementales. NSA, CIA, et leurs équivalents européens. C’est le middleman parfait !

Il devient alors broker. On dit aussi intermédiaire. Il est l’homme entre deux mondes qui ne peuvent pas se parler directement.

Comme ça, si un chercheur trouve une faille dans iOS, The Grugq sait à qui la vendre pour 250 000 dollars. Une agence cherche un exploit pour Android ? The Grugq sait qui peut le fournir pour 80 000 à 120 000 dollars. C’est du business !

Sa commission standard est de 15% donc par exemple sur une vente à 250 000 dollars, ça fait 37 500 dollars. Sans écrire une ligne de code. Sans prendre le risque de l’exploitation. Juste en mettant en relation les bonnes personnes. C’est rentable !

Mais The Grugq n’est pas qu’un simple intermédiaire. Il apporte aussi une vraie valeur ajoutée professionnelle. D’abord, il vérifie la qualité des exploits car pas question de vendre de la camelote à des clients qui paient des fortunes. Et ensuite, il garantit l’anonymat des deux parties. Le chercheur ne sait pas à qui il vend et l’acheteur ne sait pas d’où vient l’exploit. The Grugq est donc le seul à connaître les deux bouts de la chaîne.

C’est là que son expertise en OPSEC devient absolument cruciale car comment transférer des exploits qui valent des centaines de milliers de dollars sans laisser de traces ? Et comment recevoir des paiements sans que le fisc ou d’autres acteurs s’en mêlent ? Comment, même, communiquer avec des agences de renseignement sans se faire repérer par d’autres agences de renseignement ?

Une vraie prise de tête. Alors The Grugq développe tout un système sophistiqué. Communications chiffrées, bien sûr. Mais pas que. Il utilise des chains de proxies, des VPNs en cascade, des systèmes de dead drops numériques. Il change régulièrement d’identité, de méthodes de communication, de patterns de comportement. Un vrai fantôme numérique !

“Il est judicieux de migrer régulièrement l’infrastructure de communication et de changer régulièrement d’identité », expliquera-t-il plus tard. « Cela crée des silos d’informations compartimentés chronologiquement qui limitent l’impact d’une compromission.”

Et en quelques années, le business explose littéralement. 2010, 2011, 2012… Les prix des zero-days s’envolent. Ce qui se vendait 10 000 dollars en 2005 vaut maintenant 100 000. Un exploit iOS complet peut atteindre 250 000 dollars. Pour Windows, c’est 60 000 à 120 000. Et pour les navigateurs populaires (Chrome, Firefox, Safari), on parle de 80 000 dollars pour un RCE + sandbox escape. Le business est en feu et The Grugq est au milieu de tout ça. Il connaît les prix, les acheteurs, les vendeurs. Il sait quelle agence cherche quoi, quel chercheur a trouvé quoi. C’est une position de pouvoir incroyable. Et lucrative. Très, très lucrative.

En mars 2012, Forbes publie un article au sujet du marché des zero-days. Écrit par Andy Greenberg et intitulé “Shopping for Zero-Days: A Price List for Hacker’s Secret Software Exploits”, cet article expose pour la première fois publiquement ce marché secret. The Grugq y est cité, sous pseudonyme bien sûr. Et il révèle qu’il a pour projet de gagner plus d’un million de dollars cette année-là. Rien qu’en commissions. Le journaliste n’en croit pas ses oreilles. Un million de dollars pour mettre des gens en relation ?

Mais The Grugq hausse les épaules. C’est le marché, simple loi de l’offre et la demande. Surtout que les gouvernements ont des budgets illimités pour l’espionnage numérique. Par exemple, la NSA dépense 25,1 millions de dollars par an juste pour acheter des vulnérabilités selon les documents de Snowden. Ça représente entre 100 et 625 exploits par an, selon les prix du marché. Et c’est rien que la NSA !

Ajoutez à ça la CIA, le FBI, le Pentagone. Puis les Britanniques, les Français, les Allemands, les Israéliens. Tous veulent leur part du gâteau. Tous ont besoin d’exploits pour espionner, saboter, et protéger. Toutefois, The Grugq limite ses ventes aux agences américaines et européennes “pas uniquement pour des raisons éthiques, mais aussi parce qu’ils paient plus”. Pragmatique le garçon !

The Grugq estime le marché total à moins de 5 millions de dollars par an. D’autres parlent de 50 millions. Personne ne sait vraiment car c’est un marché opaque par nature, mais une chose est sûre…c’est hyper lucratif pour ceux qui savent naviguer dans ces eaux troubles.

Et surtout, même pendant cette période dorée de l’achat/revente, The Grugq ne se contente pas de faire du business. Il continue ses recherches, ses expérimentations et s’intéresse particulièrement à l’intersection entre le tradecraft traditionnel (les techniques d’espionnage classiques) et les compétences des hackers. Il dévore les manuels de la CIA déclassifiés, les mémoires d’anciens espions, les techniques du KGB et de la SOE (Special Operations Executive britannique). Il étudie comment les organisations clandestines opèrent depuis des siècles et surtout comment adapter toutes ces méthodes au monde numérique.

C’est de là que naît sa philosophie de l’OPSEC moderne. Pour lui, la sécurité opérationnelle n’est pas qu’une affaire technique. C’est avant tout une discipline mentale. Une façon de penser, de vivre, d’interagir avec le monde. Une philosophie de vie !

Sa règle numéro un, qu’il répétera ad nauseam dans toutes ses conférences : “Shut the fuck up.” Fermez-la. Ne parlez pas. Ne vous vantez pas. Ne partagez pas. C’est brutal, c’est direct, mais c’est efficace.

Car c’est là que 90% des gens échouent. Ils ne peuvent pas s’empêcher de parler. De tweeter. De se vanter. De laisser des indices. The Grugq a vu des dizaines de hackers brillants se faire prendre parce qu’ils n’ont pas su se taire.

Hé oui, l’ego, ça tue !

En parallèle de ses activités de broker, The Grugq commence aussi à enseigner. D’abord dans des conférences underground, puis dans les grands événements de sécurité. Black Hat, DefCon, CanSecWest, HITB… Il devient rapidement une star absolue du circuit et ses talks sont de véritables événements !

Pas de PowerPoints ennuyeux remplis de bullet points, The Grugq raconte des histoires captivantes. Il mélange technique et anecdotes, théorie et pratique. Il cite Sun Tzu et les manuels de la Special Operations Executive britannique. Il parle de hackers russes et d’espions de la Guerre Froide. Un storytelling incroyable qui captive !

Un de ses talks les plus célèbres est “OPSEC for Hackers” présenté à HITB 2012 où pendant une heure, il détaille comment les hackers se font prendre. Les erreurs classiques, les pièges à éviter. Il analyse des cas réels, décortique les échecs, explique ce qui aurait pu être fait différemment. Une vraie masterclass !

Et son message est clair comme du crystal : La technique ne suffit pas. Tu peux être le meilleur hacker du monde, si ton OPSEC est pourrie, tu finiras en prison.

“Donnez à un homme un 0day et il aura un accès pendant une journée, apprenez-lui à hameçonner et il aura un accès à vie.” De la sagesse hacker !

The Grugq développe comme ça toute une philosophie autour de l’OPSEC. Pour lui, c’est un art, pas une science, où chaque situation est unique. Les règles changent constamment. “Le cyberespace, c’est comme le calvinball. La seule règle, c’est qu’on ne joue jamais deux fois de la même manière.” Une jolie référence à Calvin & Hobbes qui fait mouche !

Il emprunte également beaucoup au monde du renseignement traditionnel. La compartimentation, par exemple, c’est à dire ne jamais mélanger les identités, ne jamais croiser les flux d’information, et créer de silos étanches qui limitent les dégâts en cas de compromission. En gros, du cloisonnement militaire appliqué au hacking !

Ou encore tout ce qui est désinformation. “Si vous voulez dissimuler quelque chose, ne faites pas jurer aux gens de garder le silence, racontez autant d’histoires alternatives que possible.” Une règle de la SOE britannique pendant la Seconde Guerre mondiale, toujours valable à l’ère numérique. Il fait du recyclage de techniques éprouvées qu’il adapte au monde moderne.

Il insiste particulièrement sur l’aspect humain. “On ne peut pas lutter contre un mème avec un exploit” car la technologie ne résout pas tout. Les failles les plus dangereuses sont souvent humaines et l’ingénierie sociale, la manipulation, la psychologie… C’est là que se gagnent les vraies batailles. L’humain, toujours l’humain !

Vers 2013, The Grugq sent alors que le vent tourne dans le business des exploits. Les prix deviennent complètement fous. La concurrence s’intensifie dangereusement. De nouvelles boîtes comme Vupen (qui deviendra Zerodium en 2015) ou Netragard entrent agressivement sur le marché. Les gouvernements commencent à acheter directement, sans passer par des intermédiaires. Le marché se professionnalise !

Plus important encore, l’éthique de tout ça commence sérieusement à le déranger. Ces exploits qu’il vend, ils servent à quoi exactement ? Espionner des dissidents ? Saboter des infrastructures ? Surveiller des journalistes ? The Grugq n’est pas naïf, il sait que ses clients ne sont pas des enfants de chœur, mais voir l’escalade, la militarisation du cyberespace, ça le fait réfléchir profondément.

Il décide alors de changer de cap radicalement. Exit la revente d’exploits et place à l’enseignement, la recherche, et le conseil. Il a assez d’argent pour vivre confortablement jusqu’à la fin de ses jours et il a prouvé ce qu’il avait à prouver. Maintenant, il veut transmettre. C’est, je trouve, une noble reconversion !

Il s’installe alors définitivement à Bangkok. Alors pourquoi Bangkok, me direz-vous ? Et bien “parce que c’est loin de tout”, dit-il en rigolant. Mais c’est plus profond que ça car Bangkok, c’est un hub international, connecté au monde entier mais en dehors des radars occidentaux. C’est facile d’y disparaître, d’y vivre anonymement… et puis, la bouffe est excellente et pas chère.

De Bangkok, The Grugq continue ses activités, mais autrement. Il donne des formations privées à des entreprises, des gouvernements (les gentils, précise-t-il avec ironie). Il écrit, beaucoup, notamment des articles, des guides, des analyses et devient le philosophe de l’OPSEC moderne, le Socrate de la sécurité opérationnelle !

Sa présence sur Twitter (@thegrugq) devient absolument culte. Chaque tweet est une leçon de vie. Parfois technique, parfois philosophique, toujours pertinent. Il commente l’actualité de la sécurité, analyse les échecs, dispense ses conseils. Le tout avec un humour noir bien caractéristique. C’est du contenu premium !

“Si un État-nation vous poursuit, vous allez passer un mauvais quart d’heure.” est un de ses tweets les plus célèbres, qui résume sa vision réaliste de la sécurité. Pas de faux espoirs. Pas de solutions miracles. Juste la vérité crue : contre certains adversaires, vous ne pouvez pas gagner. Point final.

Mais ça ne veut pas dire qu’il faut abandonner. Au contraire. The Grugq prêche la préparation, la discipline, la rigueur. “Pour bien maîtriser l’OPSEC, il faut intérioriser les changements de comportement nécessaires pour maintenir en permanence une posture de sécurité solide.” C’est un mode de vie, pas un hobby, je vous l’ai déjà dit !

Par exemple, en 2017, l’affaire Reality Winner éclate et devient un cas d’école parfait. Cette contractante de la NSA a leaké un document classifié au journal The Intercept. Elle est alors arrêtée quasi immédiatement.

Un cas d’école d’échec OPSEC que The Grugq va analyser dans son article Medium “Real Talk on Reality”. Car c’est un festival d’erreurs catastrophiques. Winner a par exemple imprimé le document depuis son poste de travail. Et comme les imprimantes laissent des micro-points invisibles qui permettent de tracer exactement quand et où un document a été imprimé, ça a été son erreur numéro 1. Surtout que c’était le seul document qu’elle avait imprimé ce mois-là !

Elle a ensuite accédé au document alors qu’elle n’avait aucune raison professionnelle de le faire. Dans une agence où tout est loggé en permanence, c’est un red flag immédiat. Erreur numéro 2, très grossière !

Mais attendez, c’est pas fini ! Elle avait déjà contacté The Intercept depuis son ordinateur professionnel. Alors quand l’enquête a commencé, son nom est ressorti immédiatement. Erreur numéro 3, fatale !

Et The Intercept ? Et bien ils ont envoyé une copie du document à la NSA pour vérifier son authenticité. Et avec les micro-points bien visibles. Ils ont littéralement donné à la NSA tout ce dont elle avait besoin pour identifier la source. Erreur numéro 4, 5, 6… La liste est longue !

The Grugq est sans pitié dans son analyse. “Mme Winner était condamnée, indépendamment des mesures prises par The Intercept pour protéger sa source qui, en réalité, étaient inexistantes.” Winner a violé toutes les règles de base de l’OPSEC. Elle a laissé des logs partout : Accès au document, impression, communications… Chaque action a créé une trace indélébile.

Mais il ne blâme pas que Winner car The Intercept a failli tragiquement à son devoir de protection des sources. Tout journaliste qui traite des documents sensibles devrait connaître les bases : micro-points, métadonnées, techniques de traçage. C’est de la négligence criminelle, selon lui.

“OPSEC is not a joke”, martèle-t-il. “Ce n’est pas facultatif. Ce n’est pas quelque chose que l’on fait quand on a le temps. C’est une discipline. Un mode de vie. Sinon, on finit comme Reality Winner : condamné à plusieurs décennies de prison pour avoir essayé de faire ce qui était juste, mais de la mauvaise manière.” Leçon douloureuse mais essentielle !

Au fil des ans, The Grugq devient une véritable institution dans le monde de la sécurité. “The most quoted man in infosec”, comme on l’appelle affectueusement. Pas une conférence sans qu’un speaker cite une de ses maximes. Pas un article sur l’OPSEC sans référence à ses enseignements. Une notoriété bien méritée !

Il publie régulièrement sur Medium, sur son blog, sur GitHub. Des guides pratiques, des analyses théoriques, des réflexions philosophiques… Et tout est disponible gratuitement. The Grugq ne vend pas ses connaissances OPSEC. Il les partage généreusement. C’est sa façon de rendre à la communauté.

Son blog “Hacker OPSEC” devient LA référence absolue. Des dizaines de pages détaillant chaque aspect de la sécurité opérationnelle. Comment choisir ses outils. Comment créer des identités. Comment communiquer. Comment disparaître. Mais surtout il met en garde car lire ne suffit absolument pas.

Il faut pratiquer, s’entraîner, développer les réflexes car l’OPSEC, c’est 10% de connaissances et 90% de discipline. Et la discipline, ça se travaille !

Ces dernières années, The Grugq s’est considérablement diversifié. Il dirige maintenant le Glasshouse Center, un think tank dédié aux cybermenaces émergentes et à la stratégie cyber. Il publie “The Grugq’s Newsletter”, une newsletter suivie par des dizaines de milliers d’abonnés. Il y commente l’actualité, analyse les tendances, partage ses réflexions sur l’évolution du paysage numérique.

Car le monde a radicalement changé depuis ses débuts dans les années 90. Les exploits zero-day se vendent maintenant des millions (Zerodium offre jusqu’à 2,5 millions pour certains exploits iOS). Les États-nations ont des armées entières de hackers. La surveillance est omniprésente. Mais les principes de base restent exactement les mêmes. Discipline. Compartimentation. Et surtout silence.

Car dans un monde où tout est enregistré, où chaque bit peut devenir une preuve, ce silence est littéralement d’or.

Aujourd’hui, The Grugq reste un mystère complet. Après plus de 25 ans dans le milieu, peu de gens connaissent son vrai visage. Encore moins ont son vrai numéro de téléphone. Il apparaît dans les conférences, donne ses talks brillants, puis disparaît. Comme un fantôme. Comme il l’a toujours fait. Comme il continuera de le faire.

C’est ça, le vrai OPSEC. Pas des outils fancy ou des techniques ultra-complexes. Juste cette discipline de rester dans l’ombre et de contrôler l’information sur soi-même. Il ne faut jamais baisser la garde même quand personne ne regarde.

Alors la prochaine fois que vous êtes tenté de tweeter ce truc super cool que vous venez de hacker, rappelez-vous The Grugq et de son mantra :

“Shut the fuck up.”

Sources : Medium officiel de The Grugq, Twitter @thegrugq, Phrack #59 - “Defeating Forensic Analysis on Unix”, Schneier on Security - The Grugq on Reality Winner, Medium - “Real Talk on Reality” par The Grugq, Blogs of War - Interview Hacker OPSEC, GitHub officiel, Okta Security - Profil The Grugq, Vice - Interview ancien broker exploits, The Info Op Newsletter Substack, Privacy PC - Guide OPSEC, Wikipedia - Marché des exploits zero-day, Glasshouse Center

Si vous planifiez un voyage aux États-Unis, vous savez surement déjà que vos téléphones et ordinateurs peuvent être fouillés par les douanes américaines. Sauf que depuis quelques jours, les chiffres relatifs à ces fouilles sont sortis. Entre avril et juin 2025, le CBP (Customs and Border Protection) a inspecté 14 899 appareils électroniques, ce qui est un record qui dépasse de 16,7% le précédent pic de début 2022.

C’est d’ailleurs en progression constante, puisqu’en 2015, seulement 8 503 appareils étaient contrôlés sur une année entière, en 2023, on était déjà à plus de 41 000, et maintenant, on atteint près de 15 000 en un seul trimestre.

Derrière ces stats se cache une réalité juridique complexe baptisée la “border search exception” qui permet aux agents fédéraux de fouiller sans mandat ni suspicion raisonnable. Hé oui, le 4e Amendement, qui protège normalement les américains contre les perquisitions injustifiées, s’efface dans cette zone de quelques miles autour des frontières, y compris dans les aéroports.

Pour les non-citoyens américains, c’est simple, refuser de donner son mot de passe peut signifier un refus d’entrée sur le territoire. Tous les voyageurs étrangers, même avec un visa valide, peuvent ainsi être refoulés en un claquement de doigt. Par contre, les citoyens américains ne peuvent pas être empêchés d’entrer dans leur pays, mais leurs appareils peuvent être confisqués durant des semaines, voire des mois.

C’est pas un pays de zinzins quand même ?

L’ACLU soulève un point intéressant qui est que le vrai problème, c’est l’effet paralysant que cela a sur tous les voyageurs. Car même si elle est statistiquement rare (moins de 0,01% des 420 millions de voyageurs annuels), cette possibilité influence le comportement de millions de personnes.

Perso, j’attendrais que Trump parte et que les américains se détendent un peu du slip avant de remettre les pieds là bas. D’ailleurs le tourisme s’est bien cassé la gueule à cause de Donald. C’est dommage quand même..

Côté technique, les agents distinguent deux types de fouilles. La “recherche basique” se fait sur place et consiste en un agent qui parcourt vos photos, messages, applications…etc. Et la “recherche avancée” ou “forensique” implique l’envoi de l’appareil vers des laboratoires spécialisés pour récupérer fichiers supprimés, historiques chiffrés et données protégées par mot de passe. Notez que cette seconde option nécessite théoriquement une “suspicion raisonnable” d’activité criminelle, mais bon, ça reste au bon vouloir de l’agent des douanes qui vous contrôlera.

Le 5e Amendement protège les droits des américains de ne pas révéler verbalement leur mot de passe, mais les tribunaux permettent souvent aux agents de vous contraindre à déverrouiller votre téléphone avec votre empreinte ou votre visage. D’où l’astuce répandue qui consiste à désactiver Face ID et Touch ID avant d’arriver à la frontière.

Les experts en sécurité recommandent plusieurs stratégies. J’avais moi-même fait un article sur le sujet il y a quelques temps. En gros, faut utiliser un téléphone de voyage avec données minimales, mais pas trop épuré pour éviter les soupçons. Transférer temporairement photos et fichiers sensibles vers le cloud, puis les supprimer localement. Et bien sûr désinstaller les réseaux sociaux avant le voyage. Perso, d’ordinaire, j’opte pour un achat de smartphone pas cher qui me servira juste pour le quotidien là bas. C’est un peu relou mais bon, après une fois la frontière passée, il est toujours possible de réinstaller d’autres app ou d’aller voir ses emails via un VPN.

Une nuance importante de tout ce bordel, c’est surtout que depuis 2017, la politique du CBP interdit officiellement l’accès aux données stockées dans le cloud. Les agents ne peuvent fouiller que ce qui est physiquement présent sur l’appareil. Emails, messages et posts sur serveurs distants restent donc théoriquement protégés, mais si vous gardez des copies locales de ça sur votre appareil, c’est mort.

Et puis il y a aussi l’imprécision des “circonstances atténuantes” qui permettent de garder un appareil plus de cinq jours. On a eu le cas y’a pas longtemps avec un chercheur français qui s’est vu refuser l’entrée après découverte de messages critiques envers Trump sur son téléphone. Ces cas illustrent l’arbitraire potentiel du système et leur amour de tout ce qui est liberté d’opinion et d’expression…

Heureusement, au Canada, la situation reste plus mesurée puisque seulement 0,007% des voyageurs ont vu leurs appareils inspectés entre 2017 et 2024, pour un volume de seulement 38% de ces fouilles qui ont permis effectivement de prouver des violations douanières ou d’immigration, justifiant selon les autorités cette “mesure exceptionnelle mais très efficace”.

Et pour les journalistes et les avocats, la protection reste floue… En effet, le CBP mentionne des “limitations” pour tout ce qui est informations professionnelles protégées, mais sans détailler lesquelles ni comment elles s’appliquent concrètement. Donc méfiance les amis, car Oncle Sam est très curieux en ce moment…

Source

L’Unit 8200, c’est comme si vous aviez pris les meilleurs hackers de la planète, que vous les aviez mis en uniforme israélien, et que vous leur aviez donné non pas carte blanche, mais des moyens SIGINT d’élite. Dans la littérature spécialisée, l’unité est souvent comparée à la NSA (à une autre échelle, quand même). Et ce n’est pas de la fiction puisque cette unité ultra-secrète a largement été associée à l’opération Stuxnet (une coopération USA–Israël selon les enquêtes, jamais confirmée officiellement), et a vu passer des profils qui fonderont des boîtes comme Waze, Check Point, Palo Alto Networks et d’autres licornes tech.

C’est un genre d’école où on vous apprend à pirater des gouvernements étrangers à 18 ans, et où votre prof pourrait être le futur CEO d’une startup à plusieurs milliards. Voilà, c’est exactement ça, l’Unit 8200. Une machine à fabriquer des génies qui oscillent entre James Bond et Mark Zuckerberg. Et le plus dingue dans tout ça c’est que tout a commencé en 1952 avec du matos de récup’ et une poignée de matheux dans des baraquements pourris à Jaffa. Aujourd’hui, c’est l’une des plus grandes unités de Tsahal, avec plusieurs milliers de soldats.

L’histoire démarre donc après la création d’Israël en 1948. Le pays est entouré d’ennemis, les frontières sont poreuses, et les menaces pleuvent. Les dirigeants comprennent vite qu’ils ne survivront pas qu’avec des tanks et des avions. Il leur faut du renseignement, du genre de celui qui permet de savoir ce que l’adversaire va faire, parfois avant lui.

A l’époque, l’Unit 8200 s’appelle la « 2e Unité du Service de Renseignement », puis la « 515e ». Pas très sexy, on est d’accord. En 1954, l’unité déménage à Glilot, au nord de Tel-Aviv, et prend son envol. Le nom « 8200 » arrivera plus tard, pour des raisons d’organisation interne plus que de poésie.

Ce qui rend l’Unit 8200 unique, c’est son approche. Israël n’a pas le luxe de la quantité et doit donc faire mieux avec moins. L’unité mise sur la qualité et repère très tôt des profils brillants (dès le lycée) via des programmes dédiés tels que Magshimim côté extra-scolaire, et, plus tard, des filières comme Mamram ou Talpiot pour les très, très forts.

Le système de recrutement est une master class de détection de talents. A 16 ans, si vous cartonnez en maths/infos, vous recevez une lettre pour passer des tests qui mêlent logique, crypto, prog et psycho. Les meilleurs suivent des programmes spéciaux après les cours… et, à 18 ans, quand les potes partent à l’infanterie, eux intègrent l’Unit 8200.

L’écusson de l’Unité 8200

Mais ce n’est pas la planque. Le service dure au moins trois ans. On y apprend ce qu’aucune fac ne peut enseigner. Et l’ambiance est un mix de startup et de base militaire. Hiérarchies plates, itération rapide, droit à l’essai. Un caporal de 19 ans peut proposer une idée qui change la stratégie nationale. Impensable ailleurs, normal ici.

Les capacités de cette unité sont impressionnantes. Dans le désert du Néguev, à la base d’Urim (près de Beer-Sheva), se trouve l’une des plus grandes stations d’écoute au monde, dédiée à l’interception de communications sur une vaste zone (Moyen-Orient, mais pas que). Et selon des reportages, des moyens d’écoute existeraient aussi à l’étranger (postes dans des ambassades, accès à certaines dorsales de communication).

Base d’écoute d’Urim

Et ils ne se contentent pas d’écouter depuis Israël puisque l’IAF dispose d’avions Gulfstream G550 bardés de capteurs (Nachshon Shavit/Eitam) pour l’interception électronique. Bref, du SIGINT et de l’ELINT en vol, au-sol, et dans les réseaux.

Un analyste militaire britannique résume la réputation de l’unité : « probablement l’une des meilleures agences de renseignement technique au monde, au niveau de la NSA, à l’échelle près ». C’est l’intensité et la focalisation qui marquent.

Leur passion vient d’une réalité simple. Pour Israël, le renseignement n’est pas un luxe, c’est une question de survie. Chaque interception peut sauver des vies. Chaque code cassé peut déjouer un attentat.

L’opération qui fait entrer l’unité dans la légende c’est Stuxnet. En 2006, l’Iran enrichit de l’uranium à Natanz. Scénarios militaires classiques : tous mauvais. D’où une idée folle : saboter sans tirer. C’est l’opération « Olympic Games », largement attribuée à une coopération NSA–Unit 8200 selon des sources américaines, mais jamais confirmée officiellement. Pourquoi 8200 était clé ? Parce que côté israélien, ils disposaient d’un savoir intime du terrain (installations, processus, fournisseurs…).

Stuxnet n’est pas un « simple virus » : c’est une arme binaire qui s’insère par clé USB, se propage discrètement, puis, une fois sur place, manipule des automates Siemens S7-300 et les centrifugeuses IR-1 (dérivées du design P-1 d’A.Q. Khan). Leur coup de génie ? Moduler la vitesse des rotors tout en leurrant les capteurs avec de la fausse télémétrie, ce qui use et casse les machines sans alerter immédiatement les opérateurs.

Les automates S7-300

Bilan ? L’attaque a endommagé environ 1000 centrifugeuses selon les estimations de Natanz et retardé le programme iranien pendant un moment, avant que le code, à cause d’un bug, ne s’échappe dans la nature en 2010. Et officiellement, personne n’a jamais signé l’opération.

Au-delà du sabotage hollywoodien, le quotidien de 8200, c’est la surveillance. Et là, on touche à du sensible. En 2014, 43 vétérans publient une lettre ouverte dénonçant des usages intrusifs contre des Palestiniens (collecte d’infos intimes, potentiel chantage). Le gouvernement dément, d’autres membres de l’unité signent une contre-lettre défendant des « normes éthiques élevées ». Le débat éthique est resté ouvert depuis.

Concrètement, l’unité a aussi contribué, selon les autorités israéliennes et australiennes, à déjouer des attaques (ex. en 2017, un vol Etihad visé par un complot inspiré par l’EI : des interceptions israéliennes auraient permis l’arrestation des suspects en Australie).

Plus récemment, place à l’IA. En 2023-2024, des enquêtes de presse décrivent un algorithme de ciblage surnommé « Lavender » pour identifier des opérateurs du Hamas à Gaza. L’IDF conteste l’existence d’un système autonome qui « identifie des terroristes » et affirme que les décisions restent humaines. Là encore, tensions entre efficacité opérationnelle et éthique, avec un coût humain catastrophique, avec des milliers de civils palestiniens tués, qui interroge fondamentalement l’usage de ces technologies

Stuxnet a des « cousins » : Duqu et Flame, des outils d’espionnage avancés découverts au début des années 2010, capables de captures d’écran, d’enregistrements audio, d’exfiltration de documents, etc. Leur attribution fluctue selon les rapports, mais leur sophistication a marqué un avant/après.

La collaboration internationale est centrale puisque depuis des années, Israël coopère avec des partenaires (NSA, GCHQ) dans un cadre de partage de renseignement. Et le stress interne, lui, est bien réel car à 19 ans, savoir que ton erreur peut coûter des vies, ça use. Les burn-out existent. Et la frontière entre sécurité et vie privée reste une ligne fine.

Côté civil, l’Unit 8200 est une machine à entrepreneurs. Après le service, beaucoup créent ou rejoignent des boîtes cyber majeures. Check Point, Palo Alto Networks, Waze, CyberArk, Imperva, NSO, etc. Autour de ce réseau, des structures comme Team8 (fondée par d’anciens commandants) financent et incubent des projets. Les anciens s’entraident, ouvrent des portes, et ça se voit dans l’écosystème israélien qui pèse environ 10% du marché mondial de la cybersécurité.

Le bâtiment Check Point à Tel-Aviv

Et puis arrive Pegasus. NSO Group, fondée par des vétérans, a développé un spyware classé comme matériel de défense soumis à licence d’exportation en Israël. Utilisé officiellement contre le crime et le terrorisme, il s’est aussi retrouvé au cœur de scandales (journalistes, militants, chefs d’État ciblés), avec des suites judiciaires et diplomatiques. Exemple parfait du dilemme où une techno défensive peut devenir outil d’oppression si elle dérape.

Au final, l’Unit 8200 a façonné l’image d’Israël comme « Startup Nation ». Un mix de nécessité stratégique, de service militaire qui capte les meilleurs talents, et d’une culture d’innovation très directe. D’autres pays tentent de cloner la recette (Corée du Sud, Singapour, France avec le Commandement cyber…), mais l’alchimie locale reste particulière.

Et l’avenir ? Entre quantique, IA générative, neurotech et guerre de l’information, tout s’accélère. L’unité investit, expérimente, et sera forcément discutée. Parce que derrière les lignes de code, ce sont des vies. Et c’est là que doit rester notre boussole.

Alors la prochaine fois que vous évitez un bouchon avec Waze, que votre boîte est protégée par un firewall, ou que vous lisez sur une cyber-attaque sophistiquée, ayez une pensée pour l’Unit 8200… et pour les questions éthiques qu’elle pose.

Sources : Washington Post – Stuxnet (2012) ; The Guardian – Olympic Games (2012) ; The Guardian – Lettre des 43 (2014) ; TechCrunch – 8200 → Silicon Valley ; GBH – Magshimim.

Cet article, écrit dans le cadre d’une série sur les hackers, ne peut ignorer le contexte actuel. Alors que ces lignes sont écrites, plus de 61 000 Palestiniens ont été tués à Gaza selon l’ONU, dont une majorité de civils. Les technologies décrites ici sont aujourd’hui mobilisées dans un conflit qui accusations de génocide devant la Cour internationale de Justice et de crimes de guerre devant la Cour pénale internationale.

Depuis plusieurs semaines, de nombreux messages circulent sur des groupes WhatsApp et sont transférés dans les discussions privées des utilisateurs, propageant une rumeur infondée. Selon ceux-ci, l’IA de Meta, intégrée à la messagerie en mars 2025, pourrait accéder au contenu des discussions privées ainsi qu'à de nombreuses informations personnelles si un paramètre de confidentialité n’est pas activé. Qu’en est-il vraiment ?

Vous savez ce qui pousse des ingénieurs bien payés d’Amazon Web Services à tout plaquer ? C’est l’écœurement total face à ce qu’ils appellent “l’économie de la surveillance”.

Et c’est exactement ce qui est arrivé à Mohammed, Murtaza et Santhosh en 2019 qui selon leur propre témoignage, ont donc abandonné leurs postes confortables chez AWS, IBM et Scientific Games par, je cite, “un dégoût de l’économie de de la surveillance et par la frustration devant le manque d’app de sécurité faciles à utiliser pour les 3 milliards d’utilisateurs d’Android sans méfiance”.

Le produit de cette rébellion s’appelle donc RethinkDNS, et c’est une app qui fait quelque chose d’assez unique puisqu’elle transforme votre téléphone Android en forteresse, sans jailbreak, sans demander les droits root et sans vous noyer sous les options techniques.

C’est une app “tout-en-un intelligent” puisqu’elle combine 3 modes sécurisation dans une seule interface : VPN, DNS et Firewall.

Concrètement, l’app intercepte tout votre trafic réseau via une connexion VPN locale (qui ne sort pas de votre téléphone) et à partir de là, elle peut analyser chaque connexion, bloquer les traqueurs au niveau DNS, ou carrément empêcher certaines apps de se connecter à Internet.

D’après leur propre analyse, 60% du trafic d’un téléphone Android typique part vers des réseaux publicitaires et des traqueurs connus. Du coup, RethinkDNS vous montre tout ça en temps réel, avec des logs détaillés de qui se connecte où et quand. Concernant la partie DNS, ça utilise du chiffrement DNS-over-HTTPS vers leurs serveurs déployés dans plus de 300 endroits via Cloudflare Workers, mais vous pouvez aussi configurer n’importe quel autre resolver DNS chiffré si vous préférez.

Le firewall par app est également très malin puisqu’au lieu de bloquer des ports ou des IP comme un firewall traditionnel, il identifie quelle app génère quelle connexion et vous laisse décider. Une calculatrice qui veut se connecter à Internet ? C’est chelou, alors on bloque la connexion ! Une application Réveil Matin qui envoie vos données ? Allez, hop, bloquée aussi.

Y’a pas de configuration complexe, pas de certificats à installer, pas de bricolage. RethinkDNS, c’est juste une interface claire qui vous fait du DNS privé et sécurisé tournant à la vitesse de l’éclair, mais surtout (et c’est là que ça devient fun) vous pouvez aussi créer vos propres règles custom pour bloquer ce qui vous gonfle. Genre, vous voulez bloquer Facebook pendant vos heures de boulot ? Hop, une petite règle temporelle et c’est réglé !

Et si vous êtes du genre parano (ou juste prudent, hein), vous avez plus de 190 listes de blocage toutes prêtes pour dégager les pubs, les trackers et autres joyeusetés du web. Le tout avec des stats pour voir exactement ce qui se passe sous le capot.

L’app est disponible sur F-Droid et Google Play, entièrement open source. Le code source révèle d’ailleurs une architecture intéressante puisqu’ils ont forké le ce projet de Google et l’ont considérablement étendu.

Niveau alternatives, on retrouve généralement Portmaster, AdGuard et NextDNS comme principales concurrents même si RethinkDNS a l’avantage d’être gratuit, sous licence libre, et de ne pas limiter le nombre de requêtes DNS.

Leur modèle économique est d’ailleurs intéressant puisque l’app reste gratuite, mais ils proposent des services cloud payants pour ceux qui veulent des listes de blocage personnalisées ou du proxying avancé. Donc voilà, pas de marketing anxiogène mais juste des outils pour que vous puissiez décider par vous-même.

Chouette non ? Merci les gars !

Vous pensiez sérieusement que vos conversations téléphoniques étaient privées tant qu’on n’était pas sur écoute. Et bien, j’ai pas une très bonne nouvelle pour vous… Voilà que des chercheurs de Penn State ont prouvé qu’un simple radar pouvait transformer les vibrations microscopiques de votre téléphone en transcription de vos appels. Y’a pas besoin de pirater quoi que ce soit, juste de pointer un capteur dans votre direction.

Le principe c’est que quand vous téléphonez, l’écouteur de votre smartphone produit des vibrations de seulement 7 micromètres. C’est tellement infime qu’on ne peut même pas le percevoir en tenant le téléphone. Pourtant, ces vibrations se propagent dans tout le châssis de l’appareil et créent ainsi une signature unique pour chaque son émis. Selon l’équipe de recherche, leur système mmWave-Whisper utilise un radar fonctionnant entre 77 et 81 GHz capable de capter ces mouvements invisibles et de les convertir en audio exploitable.

Le systeme mmWave-Whisper

Et ils ont réussi à obtenir une très bonne précision de transcription de 44,74% sur les mots et de 62,52% sur les caractères individuels. Ça peut sembler faible, mais même avec seulement la moitié des mots corrects, on peut facilement reconstituer le sens d’une conversation grâce au contexte. C’est comme lire un message avec des lettres manquantes, votre cerveau va combler automatiquement les trous. Je sais, je sais, y’a des gens qui même qui avec un texte complet ne le comprennent qu’à moitié, mais je vous assure que c’est ce qu’est censé faire le cerveau ^^.

Et cela fonctionne jusqu’à 3 mètres de distance et est totalement insensible au bruit ambiant car contrairement à un micro qui capte tous les sons environnants, le radar ne détecte que les vibrations du téléphone lui-même. Vous pourriez être dans un café bondé, le système s’en fiche complètement…

Suryoday Basak et Mahanth Gowda, les deux chercheurs derrière cette découverte, ont adapté Whisper, le modèle de reconnaissance vocale d’OpenAI, pour qu’il puisse interpréter ces signaux radar. Pour cela, ils ont utilisé une technique appelée “Low-Rank Adaptation” qui leur a permis de spécialiser le modèle avec seulement 1% de ses paramètres modifiés.

Alors adios notre vie privée ?

Et bien la mauvaise nouvelle c’est que ces radars mmWave sont déjà partout. On les trouve dans les voitures autonomes, les détecteurs de mouvement, les casques VR, et même dans certains équipements 5G. Comme le soulignent plusieurs experts, n’importe quel appareil équipé de cette technologie pourrait théoriquement être détourné pour espionner des conversations. Donc, imaginez un parking avec des dizaines de voitures récentes, chacune équipée de plusieurs radars mmWave. Bah voilà, c’est potentiellement un réseau d’écoute géant qui s’ignore.

Cette recherche s’inscrit dans la continuité de leur projet mmSpy de 2022, où ils avaient déjà réussi à identifier des mots isolés avec 83% de précision. Mais cette fois, ils sont passés à un niveau supérieur en déchiffrant des phrases complètes et des conversations entières. D’après les documents techniques, ils ont même généré des données synthétiques pour entraîner leur système, contournant ainsi le manque de datasets radar-audio disponibles.

Pour l’instant, cette technologie a ses limites car les mouvements des personnes créent des interférences (mangez-bougez !!), et la précision diminue rapidement avec la distance, mais combien de temps avant que ces limitations soient surmontées ? Les chercheurs eux-mêmes admettent que leur but est d’alerter sur cette vulnérabilité avant que des acteurs malveillants ne l’exploitent. Selon leur publication, ils comparent cette capacité à lire sur les lèvres qui ne capture environ que 30 à 40% des mots mais permet quand même de suivre une conversation.

Alors, comment s’en protéger ? Et bien pour l’instant, il n’y a pas vraiment de solution miracle. Utiliser des écouteurs pourrait limiter les vibrations du téléphone, mais ce n’est pas une garantie absolue donc la vraie question, c’est de savoir combien de temps il faudra avant que cette technologie soit miniaturisée au point de tenir dans un stylo ou intégrée discrètement dans des objets du quotidien façon 007.

On ne peut plus se contenter de sécuriser nos communications numériques, il faut maintenant s’inquiéter des propriétés physiques de nos appareils. Je vous jure, je suis fatigué :). Les implications pour la sécurité sont énormes car cette technologie est indétectable pour le commun des mortels puisque ça ne laisse aucune trace et ne nécessite aucun accès physique ou numérique au téléphone…

Source

Quand un chef de police démissionne subitement, suivi par ses deux adjoints, sans même laisser un petit mot sur l’oreiller, c’est louche… Très louche. Et c’est pourtant c’est ce qui s’est passé à Calgary en avril dernier, soit 17 jours après qu’un commissaire à la vie privée ait forcé la divulgation de documents compromettants. Dans ces papiers on apprend comment la police locale a secrètement dépensé jusqu’à 100 000 dollars par an pour espionner les citoyens sur les réseaux sociaux, tout en jurant publiquement le contraire.

Il faut savoir que là bas, au Canadaaaa, la police utilise officiellement des logiciels de “reconnaissance d’images” commercialisés par les sociétés Meltwater et Talkwalker. Et non pas des logiciels de “reconnaissance faciale”. Ouf, c’est tout bon alors ?

Et bien non, car selon les documents obtenus par Drug Data Decoded, c’est exactement la même chose, mais comme d’hab avec un nom qui fait moins flipper. C’est un peu comme appeler un tank un “véhicule de transport blindé”. C’est techniquement correct, mais y’a “un peu” tromperie sur la marchandise…

Et, vous vous en doutez, cette distinction sémantique n’est pas anodine. En effet, techniquement, la reconnaissance d’images telle qu’elle est vendue par ces entreprises, c’est “la capacité d’un logiciel à reconnaître des lieux, objets, personnes, actions, animaux ou texte depuis une image ou vidéo”.

Oui, vous avez bien lu : “personnes”.

Ce genre d’outil est même capable de pouvoir identifier des célébrités et influenceurs dans les photos, donc on va arrêter de tortiller des fesses : Cette reconnaissance d’images, c’est de la reconnaissance faciale, mais avec un petit costume-cravate pour faire plus respectable.

Et vous savez combien d’agences canadiennes utilisent ces outils ?

Et bien d’après les documents, Meltwater qui fournit cette techno, compte parmi ses clients les polices d’Edmonton, Waterloo, Hamilton, Saskatoon, York, la Sûreté du Québec, la Police provinciale de l’Ontario, et même tous les ministères du gouvernement ontarien.

Le contexte canadien rend cette situation encore plus absurde car en 2021, les commissaires à la vie privée ont déclaré Clearview AI illégal, qualifiant ses pratiques de “surveillance de masse”. Pour rappel, la police de Toronto avait utilisé Clearview AI dans 84 enquêtes avant que leur chef ne l’apprenne et en ordonne l’arrêt.

Mais voilà un sacré retournement de situation qu’on n’attendait pas… un jugement de mai 2025 en Alberta pourrait légitimer le scraping de données et l’entraînement d’IA sur des informations publiques. En effet, le juge a estimé que la définition de “publiquement disponible” était trop restrictive dans le contexte d’Internet et violait la liberté d’expression. Du coup, Clearview AI peut prétendre exercer sa liberté d’expression au travers de son service.

C’est ti pas beau ça, non ?

Et pendant ce temps, la réglementation chez nos amis Canadiens reste dans les choux car contrairement aux empreintes digitales ou à l’ADN, la reconnaissance faciale n’est soumise à aucune règle claire. Des services de police comme York et Peel en Ontario ont d’ailleurs commencé à utiliser la technologie d’Idemia, tandis que Toronto cherche à moderniser son système avec un appel d’offres clos en février 2025.

Ce qui m’énerve particulièrement dans toute cette histoire, c’est une fois encore l’hypocrisie. Car en 2020, après s’être fait prendre la main dans le sac, avec Clearview AI, la police de Calgary avait promis de ne jamais utiliser de reconnaissance faciale sur des images qu’ils ne contrôlaient pas.

Et voilà que 2 ans plus tard, ils signent des contrats avec Hootsuite, Meltwater et Talkwalker pour faire exactement ça. Comme on dit, les promesses n’engagent que ceux qui les croient…

Les documents obtenus par Drug Data Decoded montrent surtout qu’ils ont maintenu jusqu’à 100 comptes utilisateurs avec ces entreprises, dont 19 pour des activités “non-investigatives”, probablement pour surveiller ce qu’on dit d’eux sur Twitter (hey coucou les cousins ! 👋).

Voilà… Visiblement, la police au Canada est en roues libres complet avec sa petite surveillance de masse faite maison. C’est quand même assez bizarre dans une démocratie, vous ne trouvez pas ?

Un détail technique qui fait froid dans le dos c’est qu’à part Hootsuite, toutes ces entreprises sont américaines. Et comme vous le savez, sous le Cloud Act US, le gouvernement américain peut forcer ces sociétés à lui fournir l’accès à leurs bases de données. Autrement dit, vos photos Instagram analysées par la police de Calgary pourraient finir dans les serveurs de la NSA. Sympa pour la souveraineté des données canadiennes.

Notez que la police de Calgary a mis 15 mois pour fournir ces documents, après avoir “perdu” la demande initiale et ont même exigé 1 133 dollars pour finalement les rendre public avec de 2 semaines de retard par rapport à la date limite exigée par le commissaire à la vie privée.

Ils n’ont vraiment aucun respect des lois, ces gens là ^^. Surtout que pendant ce temps là, le sommet du G7 à pu se tenir tranquillement… sous surveillance, évidemment.

Ce qui ressort surtout de tout ça, c’est que c’est un système complètement dysfonctionnel où la police fait ce qu’elle veut en jouant sur les mots : “Reconnaissance d’images” au lieu de dire “reconnaissance faciale”, “information open-source” pour parler de vos posts Facebook, “activités non-investigatives” pour du stalking institutionnel. Faudrait quand même pas oublier que les commissaires à la vie privée ont décidé en 2021 que les posts sur les réseaux sociaux ne pouvaient pas être traités comme des données “publiquement disponibles” par les organismes publics. Mais apparemment, comme d’hab, personne n’a reçu le mémo…

Pire, en novembre 2021 toujours, l’UNESCO a adopté sa première norme mondiale sur l’éthique de l’IA, interdisant la surveillance de masse. Et ce qui est drôle, c’est que le Canada fait partie des 193 pays signataires… Je ne sais pas ce que dirait l’UNESCO s’ils apprenaient que Calgary dépense vos impôts pour vous espionner avec des outils qui violent tous ces principes.

Maintenant, pour ceux qui veulent vérifier si la police de Calgary détient des informations sur eux, Drug Data Decoded fournit un formulaire de demande d’accès à vos informations, que vous pouvez envoyer à la police. Et n’oubliez pas de croiser les doigts pour ne pas attendre 15 mois.

Bref, la surveillance policière au Canada c’est zéro transparence, zéro responsabilité, et des jeux de mots constants pour contourner les lois… Ça ne vous chatouille pas un peu les Canadiens ?

Le détective privé Charles Berthinier était spécialisé en terrain lorsque le covid l’a amené à se former à l’OSINT. Il s’en sert aujourd’hui pour toutes ses enquêtes, et n’a parfois même pas à se déplacer pour les résoudre. Récit.

Cet article a été réalisé en collaboration avec Synology

Lors du salon Computex 2025 qui se tenait à Taïwan il y a quelques jours, Synology a dévoilé une solution de surveillance, C2 Backup for Surveillance, à destination des entreprises. Ses points forts : elle est très simple à mettre en place, peu coûteuse et s’appuie sur l’expertise de Synology dans le stockage de données.

Cet article a été réalisé en collaboration avec Synology

Il s’agit d’un contenu créé par des rédacteurs indépendants au sein de l’entité Humanoid xp. L’équipe éditoriale de Numerama n’a pas participé à sa création. Nous nous engageons auprès de nos lecteurs pour que ces contenus soient intéressants, qualitatifs et correspondent à leurs intérêts.

En savoir plus

Synology (Finally) Reveals Managed PoE 10GbE Switches – The PS Series

At Computex 2025, Synology formally unveiled its new PS Series of PoE switches—marking the company’s first venture into dedicated network switching hardware. Designed specifically for surveillance environments, these switches are not meant to replace general-purpose managed switches, but rather to complement Synology’s Surveillance Station ecosystem. The lineup includes three models: the high-capacity PS2600+, the compact PS1000+, and the entry-level PS500. Each model is tailored for powering PoE cameras and streamlining IP surveillance setups, with features like centralized control through Surveillance Station and fanless operation. While this launch addresses a long-standing gap in Synology’s ecosystem, it is clear that these devices are intended for a niche surveillance role rather than enterprise-wide or enthusiast-grade switching solutions.

Why is a Synology Switch so Highly Demanded? And Why is This Not Quite What Everyone Wanted?

For years, users of Synology’s NAS and surveillance solutions have speculated about the company expanding into networking hardware, particularly switches. Given Synology’s existing ecosystem of NAS units, cameras, routers, and software like Surveillance Station and SRM, a managed PoE switch seemed like the logical next step to unify its offerings under a single, tightly integrated platform. Many envisioned a Synology switch that could serve not just surveillance but also general-purpose networking, VLAN management, and broader SMB/enterprise deployments—effectively competing with established names like Ubiquiti, Netgear, or QNAP.

However, the PS Series unveiled at Computex 2025 diverges from that expectation. The PS2600+ and PS1000+ are exclusively intended for use with Synology’s Surveillance Station, lacking broader Layer 3 management tools outside of this context. Meanwhile, the PS500 is a basic, unmanaged unit aimed more at simple deployments than network optimization. There are no bundled camera licenses, limited software extensibility, and no SRM integration. As a result, while these switches will likely appeal to users looking for a seamless Synology surveillance setup, they fall short of the more versatile, all-encompassing switch that many long-time Synology users were hoping for.

Synology PS2600+ 26 Port L2+ Managed PoE Switch

The PS2600+ is the flagship switch in Synology’s new lineup, featuring 24 PoE+ ports and 2 additional 10GbE SFP+ uplink ports. Designed for rackmount or desktop use, the PS2600+ is completely fanless, making it suitable for noise-sensitive environments. It delivers a total PoE power budget of 185W, allowing it to power multiple IP cameras, particularly in larger surveillance setups. It is fully managed and integrates directly with Synology’s Surveillance Station for centralized control, including power management, port diagnostics, and network topology mapping.

In terms of network performance, the PS2600+ offers a switching bandwidth of 88 Gbps and a forwarding rate of 65.47 Mpps. It supports Layer 2+ features, including inter-VLAN routing and DHCP server capabilities, allowing it to segment and route traffic in more complex surveillance deployments. However, its software integration is limited exclusively to Surveillance Station, and it lacks any compatibility with Synology’s SRM (Router OS) or general-purpose network management tools. It is best suited for installations where the switch, NAS, and cameras are all part of a single, unified Synology surveillance environment.

Synology PS500 5 Port Unmanaged PoE Switch

The PS500 is the most basic model in Synology’s PS Series and is designed primarily for entry-level surveillance setups. It offers a total of five ports, four of which support PoE+ for powering IP cameras or other devices. Unlike the other models, the PS500 is completely unmanaged—there is no software-based configuration, no VLAN support, and no integration with Surveillance Station CMS. It is intended for plug-and-play functionality, making it suitable for simple installations where centralized management is not required.

Despite its simplicity, the PS500 still delivers up to 60W of total PoE power and supports jumbo frames up to 9000 bytes. It is passively cooled and uses an external power supply, emphasizing its role as a compact, low-maintenance switch for desktop or wall-mounted deployments. While it doesn’t offer the flexibility or control of the PS2600+ or PS1000+, it fills a gap for users seeking a straightforward power delivery solution for small-scale IP camera installations.

Synology PS1000+ 10 Port L2+ Managed PoE Switch

The PS1000+ serves as the mid-range offering in Synology’s PS Series, targeting smaller surveillance deployments that still benefit from centralized management. It includes 8 PoE+ RJ45 ports and 2 standard 1GbE SFP ports for uplink or fiber connectivity. Like the PS2600+, this model is fanless and supports both rackmount and desktop installations. It offers a total PoE power budget of 65W, which is sufficient for a modest number of IP cameras or access points in home or SMB setups.

From a network performance standpoint, the PS1000+ provides 20 Gbps of switching bandwidth and a forwarding rate of 14.88 Mpps. It also supports VLANs, static routing, and DHCP services, and is managed entirely through Synology’s Surveillance Station interface. Its role is clearly focused—bridging NAS units and IP cameras under one platform, without offering broader Layer 3 functionality or third-party network integration. For users with Synology NAS-based NVR setups and fewer cameras, the PS1000+ provides a compact, low-noise, managed switch option.

Synology PS Series Switches, Conclusion and Verdict

Synology’s entry into the network switch market with the PS Series marks a significant, though narrowly focused, expansion of its surveillance ecosystem. These switches are clearly designed with Surveillance Station users in mind, offering streamlined power and network management for PoE camera deployments. While the PS2600+ and PS1000+ provide useful managed features for larger and mid-sized surveillance environments, and the PS500 delivers a simple plug-and-play option, none of these models address general networking needs outside of Synology’s surveillance scope. For those seeking a unified Synology environment for NVR deployments, these switches may be a welcome addition—but broader adoption will likely remain limited until Synology delivers more versatile, multi-role networking solutions.

Join Inner Circle

Want to follow specific category? Also Read...Amazon Prime Day Storage DealsWeek 26 Tech Roundup – CompaBuy Synology on B&HBuy Synology on AmazonSynology vs UGREENSynology NAS vs EVERYONE ELSE I went to Synology HQ and AskeSynology Explain WHY They ChanSynology Managed 10GbE PoE NetSynology at Computex 2025 - AL Subscribe You can also follow specific search terms:

This description contains links to Amazon. These links will take you to some of the products mentioned in today's content. As an Amazon Associate, I earn from qualifying purchases. Visit the NASCompares Deal Finder to find the best place to buy this device in your region, based on Service, Support and Reputation - Just Search for your NAS Drive in the Box Below

Need Advice on Data Storage from an Expert?

TRY CHAT

If you like this service, please consider supporting us. We use affiliate links on the blog allowing NAScompares information and advice service to be free of charge to you.Anything you purchase on the day you click on our links will generate a small commission which isused to run the website. Here is a link for Amazon and B&H.You can also get me a Ko-fi or old school Paypal. Thanks!To find out more about how to support this advice service check HEREIf you need to fix or configure a NAS, check Fiver Have you thought about helping others with your knowledge? Find Instructions Here  

Or support us by using our affiliate links on Amazon UK and Amazon US

    

 

WE LOVE COFFEE