La campagne ShadyPanda a permis à des pirates de piéger plus de 4,3 millions d’utilisateurs en diffusant des extensions pour Google Chrome et Microsoft Edge.
Le post ShadyPanda : des millions d’utilisateurs piégés par des extensions Chrome et Edge « mutantes » a été publié sur IT-Connect.
Des pirates sont parvenus à voler les clés de signature du développeur de SmartTube, un client YouTube, provoquant la diffusion d'une mise à jour suspecte.
Le post SmartTube, le client YouTube open source, a été piraté : une mise à jour suspecte diffusée ! a été publié sur IT-Connect.
La Corée du Sud fait face à une nouvelle fuite de données d'une ampleur spectaculaire. Cette fois, c’est le géant du commerce en ligne Coupang, souvent présenté comme l’Amazon du pays, qui est touché. Selon l’entreprise, 33,7 millions de comptes seraient concernés, soit environ 65% de la population, plaçant clients et autorités en état d’alerte.
La Corée du Sud fait face à une nouvelle fuite de données d'une ampleur spectaculaire. Cette fois, c’est le géant du commerce en ligne Coupang, souvent présenté comme l’Amazon du pays, qui est touché. Selon l’entreprise, 33,7 millions de comptes seraient concernés, soit environ 65% de la population, plaçant clients et autorités en état d’alerte.
Apprenez à installer et configurer Fail2ban sur votre serveur Linux (Debian, Ubuntu, etc.), pour détecter et bloquer les adresses IP malveillantes.
Le post Linux : comment protéger son serveur avec Fail2ban ? a été publié sur IT-Connect.
Si vous avez des caméras connectées chez vous et que vous vous baladez régulièrement, comme moi, en tenue d’Adam (ou d’Ève), j’ai une petite histoire qui va peut-être vous faire réfléchir. La police sud-coréenne vient d’arrêter 4 personnes qui auraient piraté plus de 120 000 caméras IP présentes dans des domiciles et des commerces pour en extraire des vidéos à caractère sexuel. Et oui, les gens filmés n’en savaient évidemment rien du tout.
Les lieux ciblés sont des maisons privées, des salles de karaoké, un studio de pilates et même… un cabinet de gynécologue. Gloups… Vous imaginez le truc ? Vous allez vous faire examiner chez le médecin et paf, y’a un mec de l’autre côté de la planète qui revend la vidéo sur un site louche. C’est moche.
D’après l’Agence nationale de police sud-coréenne, les quatre suspects agissaient indépendamment les uns des autres. L’un d’eux aurait piraté 63 000 caméras à lui seul et produit 545 vidéos qu’il a revendues pour environ 25 000 euros en cryptomonnaies. Un autre a compromis 70 000 caméras, extrayant 648 vidéos vendues une quinzaine de milliers d’euros au total. 3 acheteurs qui ont visionné ces vidéos ont également été arrêtés.
Mais comment ont-ils fait pour pirater autant de caméras ? Hé bien, la technique est d’une banalité affligeante. Ils ont tout simplement déviné les mots de passe trop simples ou par défaut des caméras . Vous savez, le fameux “admin/admin” ou “123456” que personne ne change jamais.
Bon, moi je vous rassure, je peux me balader tranquillement en calbut ou tout nu chez moi sans craindre de finir sur un site coréen douteux. J’ai une astuce toute bête : mes caméras sont branchées sur des prises connectées qui sont reliées à mon système d’alarme. Quand j’active l’alarme en partant, les caméras s’allument automatiquement. Et quand je suis chez moi et que l’alarme est désactivée, les caméras sont physiquement coupées de l’électricité.
Pas de jus, pas de vidéo, pas de risque.
Même le hacker le plus balèze du monde ne peut pas pirater une caméra éteinte. Après, si quelqu’un arrive à hacker mon système d’alarme, là on passe à un autre niveau… mais j’ai de la bonne came côté sécurité, je suis plutôt serein.
Les autorités sud-coréennes ont prévenu individuellement les victimes et leur ont conseillé de changer leurs mots de passe immédiatement. Elles rappellent aussi les bonnes pratiques telles que des mots de passe complexes avec majuscules, minuscules, chiffres et caractères spéciaux, et surtout du WPA2 ou WPA3 pour le WiFi (le vieux WEP c’est open bar pour les hackers).
Voilà, si vous avez des caméras IP chez vous, prenez deux minutes pour vérifier vos mots de passe et si vous êtes du genre pudique, pensez à la solution des prises connectées qui coupent l’alimentation quand vous êtes à la maison. C’est simple, c’est radical, et ça vous évitera de devenir la star involontaire d’un site de “sexploitation” à l’autre bout du monde.
Vous vous souvenez quand les géants de la tech ont promis à la Maison Blanche qu’ils allaient marquer toutes les images générées par IA avec des filigranes invisibles pour lutter contre les deepfakes ? Hé bien, des chercheurs de l’Université de Waterloo au Canada viennent de démontrer que c’était du pipeau avec un outil de leur cru baptisé UnMarker qui supprime n’importe quel watermark IA en quelques minutes, sans même avoir besoin de savoir comment le filigrane a été créé.
Andre Kassis et Urs Hengartner , les deux chercheurs derrière ce projet, ont publié leurs travaux lors du 46ème symposium IEEE sur la sécurité et la vie privée en mai 2025 et leurs résultats sont assez dévastateurs pour l’industrie.
En effet, ils ont testé leur attaque contre à peu près tous les systèmes de watermarking existants : Yu1, Yu2, HiDDeN, PTW, StegaStamp, TRW, Stable Signature… Et le meilleur taux de détection après passage dans UnMarker qu’ils ont obtenu c’est 43%. Et en dessous de 50%, c’est considéré comme inutile statistiquement parlant.
Ils ont aussi testé le tout nouveau, tout beau SynthID de Google, que Mountain View présente comme LA solution miracle. Et résultat le taux de détection est passe de 100% à environ 21% donc autant vous dire que c’est complètement pété.
Alors comment ça marche ce truc ?
Hé bien l’astuce d’UnMarker, c’est d’exploiter une faille fondamentale que tous les systèmes de watermarking partagent. Comme l’explique Kassis avec une analogie plutôt parlante, “Si vous gribouillez l’adresse sur une lettre, le facteur ne pourra plus la livrer.” et comme tous ces systèmes doivent stocker leur watermark dans les variations spectrales des pixels, UnMarker cible précisément ce canal pour le perturber, sans créer d’artefacts visuels. L’image reste ainsi identique à l’œil nu, mais le filigrane invisible est devenu illisible.
Unmarker.it est donc une version côté client de leur outil , qui tourne entièrement dans votre navigateur. Vous déposez une image, vous la “secouez, remuez et écrasez” comme ils disent, et hop, plus de watermark ! Par contre, si le watermark est aussi visuel comme la petite étoile de Gemini, pensez à mettre un petit coup de pinceau dessus pour la cacher.
Et c’est là que ça devient vraiment inquiétant pour la lutte contre les deepfakes car toute la stratégie des gouvernements et des plateformes repose sur l’idée qu’on peut marquer les contenus IA pour les identifier automatiquement. Donc si n’importe quel clampin peut supprimer ces marqueurs en quelques clics, tout le système s’effondre. Les chercheurs sont d’ailleurs assez cash dans leur conclusion, je cite : “Nos résultats montrent que le watermarking n’est pas une défense viable contre les deepfakes, et nous exhortons la communauté à explorer des alternatives.”
Voilà, si vous pensiez que les watermarks invisibles allaient nous sauver de la désinformation par l’IA, vous vous mettez le doigt dans l’œil !
La Fédération française de football a révélé avoir été victime d'un piratage menant à une fuite de données suite à la compromission d'un compte d'un salarié.
Le post La Fédération française de football (FFF) victime d’un piratage : des données de licenciés volées ! a été publié sur IT-Connect.
Suite à la polémique associée à l'article du Parisien, GrapheneOS a annoncé l’arrêt complet de son infrastructure en France, accélérant son retrait d’OVH.
Le post GrapheneOS, l’alternative sécurisée à Android, quitte la France et OVHcloud : pourquoi ? a été publié sur IT-Connect.
Cet article a été réalisé en collaboration avec Proton VPN
Le Cyber Monday est là et Proton a décidé de prolonger son offre du Black Friday pour encore quelques jours avec son abonnement à - 75 %.
Cet article a été réalisé en collaboration avec Proton VPN
Il s’agit d’un contenu créé par des rédacteurs indépendants au sein de l’entité Humanoid xp. L’équipe éditoriale de Numerama n’a pas participé à sa création. Nous nous engageons auprès de nos lecteurs pour que ces contenus soient intéressants, qualitatifs et correspondent à leurs intérêts.
Cet article a été réalisé en collaboration avec Proton VPN
Le Cyber Monday est là et Proton a décidé de prolonger son offre du Black Friday pour encore quelques jours avec son abonnement à - 75 %.
Cet article a été réalisé en collaboration avec Proton VPN
Il s’agit d’un contenu créé par des rédacteurs indépendants au sein de l’entité Humanoid xp. L’équipe éditoriale de Numerama n’a pas participé à sa création. Nous nous engageons auprès de nos lecteurs pour que ces contenus soient intéressants, qualitatifs et correspondent à leurs intérêts.
Le piratage de la solution Mixpanel a permis aux pirates de mettre la main sur des données d'utilisateurs d'OpenAI. Quelles sont ces données ?
Le post OpenAI (ChatGPT) : une fuite de données chez le prestataire Mixpanel a été publié sur IT-Connect.
Les chercheurs de Cato Networks viennent de publier leurs travaux sur une nouvelle technique d’attaque baptisée HashJack, et l’idée c’est d’exploiter les fragments d’URL, vous savez le petit # suivi d’un truc à la fin des adresses web, pour injecter des instructions malveillantes dans les assistants IA intégrés aux navigateurs.
En temps normal, tout ce qui se trouve après le # dans une URL ne quitte jamais votre navigateur et c’est utilisé pour naviguer vers une section précise d’une page web, et les serveurs web ne voient jamais cette partie. Du coup, les outils de sécurité réseau non plus. Et c’est justement là que ça devient vicieux…
Car les assistants IA comme Gemini dans Chrome, Copilot dans Edge ou Comet de Perplexity ont accès à l’intégralité de l’URL, fragment compris. Un attaquant peut donc crafter une URL d’apparence légitime avec des instructions cachées après le #, et quand vous demandez à votre assistant IA de vous aider avec cette page, il va gentiment exécuter les commandes planquées. Cato Networks décrit ça comme la première injection de prompt indirecte capable de transformer n’importe quel site légitime en vecteur d’attaque.
D’après les tests de l’équipe de Cato, les scénarios d’attaque possibles sont variés puisque ça va du phishing classique où l’assistant vous donne un faux numéro de téléphone à appeler, à l’exfiltration de données vers des serveurs contrôlés par l’attaquant. Y’a aussi la désinformation avec de fausses infos boursières ou médicales, ou encore des instructions détaillées pour installer des backdoors.
Bref, c’est le jackpot pour les attaquants.
Niveau compatibilité de l’attaque, les trois principaux touchés sont Gemini pour Chrome, Copilot pour Edge et Comet de Perplexity. Bonne nouvelle quand même, Claude pour Chrome et Atlas d’OpenAI ne sont pas vulnérables, puisqu’iils n’accèdent pas directement aux fragments d’URL.
Côté réponse des éditeurs, c’est un peu le grand écart puisque Perplexity a classé le problème comme critique et a appliqué un correctif, Microsoft a fait pareil pour Copilot fin octobre mais par contre, Google a décidé de classer ça comme un “comportement attendu” et a marqué le bug en “Won’t Fix”.
Argh !! Donc si vous utilisez Gemini dans Chrome, vous êtes toujours exposé les amis !
Après faut relativiser quand même car l’attaque nécessite plusieurs étapes d’interaction de la part de l’utilisateur. C’est pas juste cliquer sur un lien et hop vous êtes pwned. Il faut visiter la page vérolée ET demander à l’assistant IA d’interagir avec le contenu. Mais bon, vu que de plus en plus de gens utilisent ces assistants pour des tâches quotidiennes, le risque existe.
D’ailleurs, HashJack s’inscrit dans une tendance plus large. Brave a publié une étude montrant que l’injection de prompt indirecte est un défi systémique pour toute la catégorie des navigateurs boostés à l’IA et des techniques similaires ont été testées avec succès contre Atlas de ChatGPT et d’autres. Même le CISO d’OpenAI admet que, je cite “l’injection de prompt reste un problème de sécurité non résolu à la frontière de la recherche”.
Voilà, si vous utilisez un Navigateur IA, soyez vigilant sur les URLs bizarres qu’on vous envoie et si c’est Gemini dans Chrome, peut-être qu’il vaut mieux attendre que Google se décide à considérer ça comme un vrai problème de sécu… ces fous !
Dans un rapport publié le 24 novembre 2025, l’équipe de recherche de la société de cybersécurité Morphisec revient sur une vaste campagne cybercriminelle visant les utilisateurs de Blender. Ce logiciel de conception 3D open source est largement utilisé par les freelances ainsi que par certaines entreprises du secteur de l’animation et du jeu vidéo.
Dans un rapport publié le 24 novembre 2025, l’équipe de recherche de la société de cybersécurité Morphisec revient sur une vaste campagne cybercriminelle visant les utilisateurs de Blender. Ce logiciel de conception 3D open source est largement utilisé par les freelances ainsi que par certaines entreprises du secteur de l’animation et du jeu vidéo.
Votre adresse IP publique est-elle associée à des activités malveillantes ? Vérifiez rapidement avec ce nouveau service en ligne gratuit proposé par GreyNoise.
Le post Cet outil gratuit indique si votre adresse IP est associée à des activités malveillantes ! a été publié sur IT-Connect.
Microsoft va renforcer la sécurité de l'interface de connexion à Entra ID grâce à une nouvelle politique CSP qui va bloquer l'injection de scripts externes.
Le post Microsoft Entra ID : la page de connexion se renforce face aux attaques par injection de scripts ! a été publié sur IT-Connect.
Bon, j’étais un petit peu occupé aujourd’hui parce que c’est mercredi et c’est le jour des enfants, mais je ne pouvais pas finir ma journée sans vous parler de cette histoire incroyable.
Si vous faites partie des gens qui utilisent des sites comme JSONFormatter ou CodeBeautify pour rendre votre JSON lisible ou reformater du code, et bien figurez-vous que des chercheurs en sécu viennent de découvrir que ces outils ont laissé fuiter des tonnes de données sensibles durant des années. Et quand je dis tonnes, c’est pas une figure de style puisque ce sont plus de 80 000 extraits de code contenant des credentials en clair qui ont fuité, soit plus de 5 Go de données.
En effet, les chercheurs de WatchTowr ont découvert que la fonction “Recent Links” de ces plateformes permettait d’accéder à tous les bouts de code collés par les utilisateurs. Les URLs suivaient un format prévisible, ce qui rendait le scraping automatique hyper fastoche pour n’importe qui, et c’est comme ça qu’on a découvert que JSONFormatter a exposé durant 5 ans de données les données de ses utilisateurs. Et du côté de CodeBeautify, ça a duré 1 an.
Les chercheurs ont mis la main sur des identifiants Active Directory, des identifiants de bases de données et services cloud, des clés privées de chiffrement, des tokens d’accès à des repos Git, des secrets de pipelines CI/CD, des clés de passerelles de paiement, des tokens API en pagaille, des enregistrements de sessions SSH, et même des données personnelles de type KYC. Bref, le jackpot pour un attaquant, quoi.
Et côté victimes, c’est un festival puisqu’on y retrouve des agences gouvernementales, des banques, des assurances, des boîtes d’aéronautique, des hôpitaux, des universités, des opérateurs télécom… et même une entreprise de cybersécurité. On a même retrouvé les credentials AWS d’une bourse internationale utilisés pour leur système Splunk, ainsi que des identifiants bancaires provenant de communications d’onboarding d’un MSSP (Managed Security Service Provider). C’est cocasse comme dirait Macron.
Et pour prouver que le problème était bien réel et exploitable, les chercheurs de WatchTowr ont utilisé un service appelé Canarytokens dont je vous ai déjà parlé. Ils ont implanté de faux identifiants AWS sur les plateformes et ont attendu de voir si quelqu’un y accédait…
Résultat, quelqu’un a tenté de les utiliser 48 heures après que les liens étaient censés avoir expiré, et 24 heures après leur suppression supposée. Les données restaient donc accessibles bien au-delà de ce que les utilisateurs pouvaient imaginer.
Et le pire dans tout ça c’est qu’au moment de la publication des articles, les liens “Recent Links” étaient toujours accessibles publiquement sur les deux plateformes. Bref, aucune correction n’a été déployée.
Donc, voilà, si vous avez utilisé ces outils par le passé et que vous y avez collé du code contenant des identifiants et autres clés API (même par inadvertance), c’est le moment de faire une petite rotation de vos secrets.
Et même si c’est une évidence, de manière générale, évitez de balancer du code sensible sur des outils en ligne dont vous ne maîtrisez pas la politique de conservation des données.
Faisons le tour de la dernière version de l'OWASP Top 10 (2025), une référence incontournable de la sécurité des applications web.
Le post Découverte du nouveau OWASP Top 10 (2025) a été publié sur IT-Connect.
Connexion