Pour une fois dans votre vie, soyez honnêtes !! Je le sais, vous le savez, PERSONNE ne lit les conditions d'utilisation. On clique sur "J'accepte" comme des automates, et on file nos données personnelles sans même savoir ce qu'on signe. Perso, la dernière fois que j'ai lu des CGU en entier, c'était... celles de hotmail.com en 1996.

Et c'est exactement pour ça que TermsTooLong existe. Ce site analyse et note les politiques de confidentialité et les termes de service de plus de 200 plateformes, de Mozilla à TikTok en passant par Discord et Blizzard. Du coup, au lieu de vous farcir 47 pages de jargon juridique, vous avez une note claire de A- à F.

Et les résultats sont assez révélateurs. Dans le camp des bons élèves, on retrouve Mozilla avec 8.8/10 (note A-), Signal au même niveau, et DuckDuckGo avec 8.5/10. Ces services collectent un minimum de données et sont plutôt transparents sur leur utilisation.

Et puis y'a les cancres. Ubisoft se tape un magnifique 1.8/10 (note F), Blizzard n'est pas loin avec 2.0/10, et TikTok récolte un joli 2.8/10. Si vous vous demandiez pourquoi ces services sont gratuits, vous avez maintenant une partie de la réponse.

Le truc cool, c'est la méthodologie car le site utilise une analyse assistée par IA pour décortiquer chaque document. Il cherche les clauses problématiques telles que la collecte excessive de données, la partage avec des tiers, l'absence de suppression sur demande, ce genre de joyeusetés. Le tout est ensuite vérifié et noté sur des critères précis par des humains.

Y'a même une fonction de comparaison côte à côte. Vous hésitez entre deux services de cloud ? Hop, vous comparez leurs politiques de confidentialité en un clic. Pratique pour faire des choix éclairés sans perdre trois heures à décrypter du juridique.

Voilà, si le sujet de la protection des données personnelles vous intéresse, ce site est une vraie mine d'or. Au moins maintenant, vous saurez exactement ce que vous acceptez quand vous cliquez sur ce fichu bouton.

Source

Selon une nouvelle étude menée par le Threat Labs de Netskope, la prolifération rapide des applications d’IA générative (genAI), ainsi que la persistance du Shadow AI entraînent des violations des règles de données, malgré l’adoption d’outils d’IA gérés en interne et approuvés par les organisations. Par ailleurs, cette étude souligne que les mesures prises en […]

Google commence l’année 2026 en rompant avec une vieille habitude de nombreux utilisateurs de Gmail. À partir de janvier, la version web du service de messagerie ne pourra plus récupérer les mails provenant d’autres boîtes, comme c’était possible jusqu’à présent. D’autres fonctionnalités ont également tiré leur révérence.

Google commence l’année 2026 en rompant avec une vieille habitude de nombreux utilisateurs de Gmail. À partir de janvier, la version web du service de messagerie ne pourra plus récupérer les mails provenant d’autres boîtes, comme c’était possible jusqu’à présent. D’autres fonctionnalités ont également tiré leur révérence.

Le 4 janvier 2026, un pirate a publié sur BreachForums ce qu'il présentait comme des fichiers de configuration et des clés API internes de NordVPN.

Le post Cyberattaque : NordVPN conteste la fuite de données revendiquée sur BreachForums a été publié sur IT-Connect.

Bon, si vous êtes un vieux de la vieille sous Linux, j'ai une nouvelle qui va vous faire verser une petite larme ! GNOME et Firefox envisagent tous les deux de désactiver la possibilité de coller avec le clic milieu par défaut. Vous savez, ce truc où vous sélectionnez du texte, puis un coup de clic molette et hop, c'est collé ailleurs sans passer par Ctrl+C/Ctrl+V.

Jordan Petridis, développeur chez GNOME, vient de soumettre une merge request pour désactiver cette fonctionnalité dans les paramètres par défaut. D'après lui ce serait un véritable désastre... Des mots forts pour une fonctionnalité que beaucoup adorent mais faut dire que le mec n'a pas tort car avec les trackpads modernes et les souris à molette cliquable un peu sensibles, on finit souvent par coller des trucs sans faire exprès.

Du coup, c'est quoi exactement ce "primary paste" ? Hé bien c'est une spécificité historique de X11, le système de fenêtrage qui fait tourner les bureaux Linux depuis des lustres. Quand vous sélectionnez du texte, il est automatiquement copié dans un buffer séparé (le "PRIMARY selection"), différent du presse-papier classique . Et le clic du milieu colle ce buffer directement. C'est comme avoir deux presse-papiers en parallèle, c'est pratique mais ça peut foutre le bordel si vous cliquez au mauvais moment.

Et Firefox n'est pas en reste puisqu'une révision chez Mozilla propose exactement la même chose à savoir désactiver le collage au clic molette par défaut. Les arguments sont similaires... surtout que les utilisateurs qui découvrent cette fonctionnalité par accident (coucou les Windowsiens) ne comprennent pas d'où sort le texte qui vient de s'afficher dans leur barre de recherche. Perso, j'avoue que ça m'est arrivé de coller des trucs gênants dans un chat parce que j'avais cliqué sur la molette sans faire gaffe ^^.

La bonne nouvelle, c'est que ça reste réactivable pour ceux qui y tiennent. Sous GNOME, il suffira de taper :

gsettings set org.gnome.desktop.interface gtk-enable-primary-paste true

Vous utilisez Tailscale pour créer votre petit réseau privé virtuel sans vous prendre la tête ? Moi aussi, j'adore ce truc. Mais entre nous, est-ce que vous avez déjà vérifié si votre config était vraiment sécurisée ? Genre, vraiment ?

Hé bien c'est exactement pour ça qu'un développeur a créé Tailsnitch . L'idée est simple puisqu'il s'agit de faire passer votre réseau Tailscale au peigne fin pour détecter les failles de sécurité potentielles. Et y'a de quoi faire puisque l'outil embarque 52 vérifications réparties dans 7 catégories (accès, authentification, réseau, SSH, logs, appareils et DNS).

Du coup, comment ça marche ? Vous installez le bazar avec Go :

go install github.com/Adversis/tailsnitch@latest

Un jeu de course Star Wars sorti en 2002 vaut aujourd'hui plus de 400 dollars sur eBay. Pas parce qu'il est devenu culte... mais parce qu'il permet de déverrouiller les PS5.

Vous allez voir, l'histoire est dingue ! Star Wars Racer Revenge , un titre obscur de l'ère PS2, cachait depuis plus de 20 ans une vulnérabilité dans son code. Et cette faille vient d'être exploitée pour extraire les clés ROM de la PlayStation 5 , c'est à dire le Saint-Graal des hackers de consoles dont je vous parlais y'a 5 jours...

L'édition PS4 de Limited Run Games - 8 500 exemplaires seulement ( Source )

Le chercheur en sécurité Gezine a balancé la nouvelle sur Twitter le 31 décembre dernier, du coup, le prix des copies physiques de la version PS4 (éditée par Limited Run Games en 2019 à seulement 8 500 exemplaires) est passé de 20 dollars à plus de 400 dollars en quelques heures. Une hausse de 1900% ! Y'a des gens qui ont fait une sacrée affaire ce jour-là...

L'exploit utilise la technique " mast1core " et cible le firmware 12.00 de la console. En gros, le menu "Hall of Fame" du jeu contient une faille qui permet d'injecter du code et comme Sony n'a jamais pensé à patcher un vieux jeu de podracing de l'époque de la préquelle, eh bien... la porte est restée grande ouverte pendant deux décennies.

Vous vous souvenez du dark web , ce truc mystérieux qui fait flipper les politiques, les journalistes et votre belle-maman avec Tor, les .onion et tout le folklore ? Hé bien figurez-vous qu'une bonne partie du crime en ligne s'est déplacée ailleurs. Maintenant en 2026, pour monter le plus grand marché illicite en ligne jamais mesuré, y'a plus besoin de toute cette sophistication technique.

Y'a juste à aller sur Telegram, une simple app de messagerie, et hop, c'est parti.

La firme d'analyse crypto Elliptic vient en effet de publier des chiffres qui donnent le tournis. Huione Guarantee, une plateforme de "garantie" pour arnaqueurs sinophones hébergée sur Telegram, a brassé 27 milliards de dollars de transactions entre 2021 et 2025. Vingt-sept milliards les gars !

Pour vous donner une idée, AlphaBay , le célèbre marché noir du dark web démantelé par les autorités en 2017 et considéré comme dix fois plus gros que Silk Road , n'avait fait "que" 1 milliard en un peu plus de deux ans. Hydra, le mastodonte russe qui a terrorisé les autorités pendant environ six ans, culminait quand à lui à 5 milliards.

Hé bien Huione les a atomisés en opérant... en plein jour sur une app grand public.

Chute brutale des volumes Huione après le ban Telegram du 13 mai 2025 ( Source Elliptic )

Finalement, le 13 mai 2025, Telegram a fini par bannir Huione Guarantee. Victoire ? Pas vraiment. Car deux marchés concurrents ont immédiatement pris le relais : Tudou Guarantee et Xinbi Guarantee.

Et là, le magie-magie, on découvre que Huione détient 30% des parts de Tudou. Autant dire qu'ils ont juste changé d'enseigne...

Et aujourd'hui, ces deux plateformes traitent environ 2 milliards de dollars par mois en blanchiment d'argent, vente de données volées, faux sites d'investissement, outils de deepfake et autres joyeusetés. Elliptic surveille actuellement plus de 30 marchés de ce type sur Telegram et c'est pas triste...

Tudou prend le relais : explosion des volumes après la fermeture de Huione ( Source Elliptic )

Et tout ça sert à quoi ?

Principalement aux arnaques dites "pig butchering" (littéralement "boucherie de cochon"), ces escroqueries sentimentalo-crypto où l'arnaqueur vous "engraisse" patiemment avant de vous plumer. Le FBI estime que ces arnaques siphonnent près de 10 milliards de dollars par an aux victimes américaines.

Juste aux États-Unis, hein. Mais nous aussi on en reçoit tous les jours...

Et derrière ces arnaques, on trouve malheureusement des centres au Cambodge, au Myanmar et au Laos où des milliers de personnes sont forcées de travailler sous la menace. C'est ça l'envers cauchemardesque de ces chiffres astronomiques.

Ce qui me sidère, c'est que pendant des années, on nous a vendu le dark web comme l'eldorado intraçable des criminels, avec Tor, le chiffrement bout en bout, les protocoles anonymes... Et au final, le plus grand marché illicite de tous les temps opère sur une app que votre grand-mère pourrait installer. Les seules compétences requises c'est juste de parler chinois et d'être assez teigneux pour recréer un channel quand on se fait bannir.

Tom Robinson, cofondateur d'Elliptic, explique que c'est tout simplement "le plus grand marché illicite en ligne à avoir jamais existé". Plus grand que Silk Road, AlphaBay et Hydra réunis, tout ça OKLM sur Telegram.

On se demande ce que fout Pavel Durov... hmm...

En tout cas, ça montre que la sophistication technique n'est pas le facteur limitant du crime en ligne. Par contre, on est visiblement loin d'avoir résolu le problème. Quand Telegram en bannit un, y'en a deux autres qui poussent. C'est sans fin !

Bref, la prochaine fois qu'on vous parle du "dark web" comme de la grande menace, vous pourrez sourire car le vrai game se joue sur des apps qu'on trouve en libre accès sur l'App Store.

Source

Une faille de sécurité critique (référence CVE-2025-68613) a été corrigée dans le célèbre outil n8n. Quels sont les risques ? Comment se protéger ?

Le post Une faille critique affecte n8n – CVE-2025-68613 : comment se protéger ? a été publié sur IT-Connect.

Le nouveau chapitre du Kaspersky Security Bulletin analyse l’impact potentiel de l’Intelligence Artificielle (IA) sur le secteur mondial du divertissement en 2026. L’étude couvre divers aspects, allant des systèmes de billetterie et pipelines VFX aux réseaux de diffusion de contenu (CDN), en passant par le secteur du jeu et les enjeux réglementaires. Tribune – L’IA […]

Microsoft vient de faire un truc qui va faire jacter tous vos sites tech au moins pour la semaine ! En effet, la firme de Redmond ouvre Windows aux agents IA autonomes, ces assistants capables d'agir sur votre système sans que vous ayez à cliquer sur chaque bouton. Ahaha, j'adore ! Et là, forcément vous me connaissez, niveau sécu, ça soulève quelques questions.

Ce framework s'appelle Agent Launchers et il débarque dans Windows Insider Preview. L'idée c'est de permettre à des assistants logiciels de s'enregistrer auprès de l'OS pour interagir avec vos fichiers et vos apps dans un environnement isolé. Kevin Scott, le CTO de Microsoft, compare ça à Windows 3.0 qui avait fait de l'OS la plateforme incontournable pour les devs. Sauf qu'aujourd'hui, on parle pas de Word ou Excel, on parle de trucs qui prennent des décisions à votre place. Oui comme votre mère.

Les paramètres Windows AI Components - c'est là que ça se passe ( Source )

Mais rassurez-vous les mécréants, Microsoft a quand même prévu des garde-fous. En effet, les agents tournent dans un Agent Workspace isolé, avec leur propre compte utilisateur Windows dédié. Ils ne peuvent pas dépasser vos permissions, et par défaut, ils n'ont accès qu'à 6 dossiers : Documents, Téléchargements, Bureau, Musique, Images et Vidéos. De plus, le système est désactivé par défaut et il faut un admin pour l'activer. Voilà, les 3 loi d'Asimov version krosoft sont donc la non-répudiation (les actions sont loggées), la confidentialité (isolation des données), et l'autorisation (permissions explicites).

Le message d'avertissement quand vous activez les fonctionnalités agentiques - Microsoft prévient que c'est pas encore au point ( Source )

Sauf que voilà. Y'a un gros éléphant dans la pièce qui s'appelle XPIA, pour Cross-Prompt Injection Attack. Si vous avez suivi l'affaire EchoLeak sur Microsoft 365 Copilot, vous savez de quoi je parle. Le principe c'est qu'un contenu malveillant planqué dans un fichier ou une page web peut détourner les instructions de l'IA. L'agent croit alors exécuter une tâche légitime alors qu'il balance vos données à un serveur pirate. Et le pire c'est que Microsoft reconnaît le risque noir sur blanc dans sa propre documentation.

Le problème fondamental c'est ce que les chercheurs appellent la LLM Scope Violation : l'IA traite les données de confiance et les données potentiellement hostiles dans le même "cerveau", sans vraiment faire la différence. C'est comme si votre assistant faisait aveuglément tout ce qu'il lit, que ça vienne de vous ou d'un spam. Et ça, c'est un défaut architectural qui touche tous les systèmes agentiques basés sur des LLM, et pas juste ceux de Microsoft.

D'ailleurs, si vous vous demandez pourquoi Microsoft prend ce risque énorme, c'est simple la réponse est dans les chiffres. En fait, les revenus de Windows stagnent tandis qu'Azure a explosé à plus de 75 milliards de dollars par an. La stratégie c'est donc de transformer Windows en hub pour les agents, et de le faire devenir la plateforme incontournable de l'ère IA, exactement comme ils l'avaient fait avec les applications traditionnelles dans les années 90.

Alors pour l'instant, c'est réservé aux Windows Insiders dans le canal Dev et les testeurs sont explicitement prévenus que les protections XPIA ne sont "pas parfaites" et qu'il faut surveiller ce que font les agents. Bref, c'est de la beta assumé mais vu comment l'IA peut déjà introduire des vulnérabilités dans le code, imaginez ce que ça peut donner avec un agent qui a accès à votre système de fichiers.

Les entreprises qui veulent déployer ça vont donc devoir sérieusement revoir leurs politiques de sécurité. Audit des données accessibles, monitoring des actions des agents, sensibilisation des équipes... L'IA autonome, c'est plus un gadget de productivité, c'est un vecteur d'attaque potentiel qu'il va falloir commencer à traiter comme tel.

Source

Vous utilisez probablement des clés SSH pour vous connecter à vos serveurs et vous savez aussi qu'elles sont stockées sur votre disque, bien au chaud dans ~/.ssh/, accessibles à n'importe quel malware qui passerait par là. Pas très rassurant quand on y pense...

Mais bonne nouvelle les amis ! Sur macOS, il existe une fonctionnalité méconnue qui permet de stocker des clés cryptographiques directement dans le Secure Enclave de votre Mac, et de les utiliser pour SSH. Du coup, la donnée de la clé privée est conçue pour ne pas être exportable, reste enfermée dans cette puce dédiée, et les opérations de signature peuvent être protégées par Touch ID selon la configuration choisie. Arian van Putten , un chercheur indépendant, a documenté cette fonction qui est pourtant native dans macOS.

sc_auth create-ctk-identity -l ssh -k p-256-ne -t bio

ssh-keygen -w /usr/lib/ssh-keychain.dylib -K -N ""

ssh-add -K -S /usr/lib/ssh-keychain.dylib

Si vous avez une clé USB RTL-SDR qui traîne dans un tiroir et que vous vous demandez ce que vous pourriez bien en faire, j'ai peut-être trouvé le projet qui va vous occuper pendant quelques soirées.

Ça s'appelle Intercept , et c'est un dashboard web qui regroupe les outils de réception radio les plus courants dans une seule interface. Comme ça, au lieu de jongler entre multimon-ng pour décoder les pagers, rtl_433 pour les capteurs météo, dump1090 pour tracker les avions... vous avez tout ça dans une seule interface Flask accessible directement sur votre navigateur.

L'installation se fait via pip après un clone du repo, et certaines fonctions nécessitent des privilèges élevés (sudo) pour accéder aux interfaces réseau :

git clone https://github.com/smittix/intercept.git
cd intercept
pip install -r requirements.txt

sudo python3 intercept.py

Alerte rouge chez Sony ! En ce début d'année 2026, la scène hacking vient de faire sauter le bouchon de champagne d'une façon que le constructeur japonais n'apprécie vraiment pas. Les clés BootROM de la PlayStation 5, c'est à dire ces secrets cryptographiques stockés dans la mémoire en lecture seule du processeur, se baladent maintenant en liberté sur le net.

Tout a commencé le 31 décembre, quand des figures bien connues de la scène comme @BrutalSam_ et @Shadzey1 ont commencé à partager des infos sur cette fuite massive. Leurs posts ont rapidement été supprimés, mais le mal était fait puisque les clés et leurs "keyseeds" sont maintenant listées publiquement sur psdevwiki.com .

Pour comprendre pourquoi c'est si grave, il faut plonger un peu dans les entrailles de la bête. Ces clés BootROM, qu'on appelle aussi clés "Level 0", sont utilisées pour déchiffrer les premières étapes du démarrage de la console. Elles font partie de ce qu'on appelle la "Chain of Trust", la chaîne de confiance qui vérifie que chaque composant logiciel est bien légitime avant de passer la main au suivant. Le bootloader, le kernel, le système d'exploitation, tout repose sur cette fondation cryptographique.

Et le problème, c'est que ces clés résident dans la mémoire morte du processeur AMD de la PS5, définie lors de la fabrication. Sony ne peut pas les modifier avec une simple mise à jour firmware puisque la BootROM est par définition immuable. La seule solution serait de fabriquer de nouveaux APU avec des clés différentes, ce qui ne concernerait que les futures consoles. Les PS5 déjà vendues conserveront cette même clé, ce qui les rend potentiellement exposées à de futurs exploits.

Ça me rappelle l'exploit fusée-gelée de la Nintendo Switch. Dans ce cas-là, c'était une faille dans le code du bootROM Tegra (un bug permettant l'exécution de code) plutôt qu'une fuite de clés, mais le principe reste le même... une fois le processeur sorti d'usine, impossible de patcher. La PS3 avait connu un sort similaire en 2010-2011 avec l'incident fail0verflow .

Mais ne vous précipitez pas encore pour sortir vos tournevis car cette fuite ne constitue pas un jailbreak en soi. Avoir les clés permet d'analyser le processus de démarrage en détail, de comprendre ce qui était jusqu'ici une boîte noire. Mais pour exécuter du code non signé sur une console retail, il faut encore trouver un point d'entrée, un exploit, puis construire toute une chaîne de privilèges. C'est un travail de fond qui va prendre du temps...

On pourrait quand même voir apparaître des custom firmwares et des loaders de backups plus sophistiqués courant 2026. Ça va aussi faciliter le travail des équipes qui bossent sur l'émulation PS5 sur PC, puisqu'elles auront enfin une documentation complète du boot flow.

Sony n'a pas communiqué sur le sujet pour le moment, mais une révision matérielle avec de nouvelles clés reste une option possible pour les futures PS5, comme Nintendo l'avait fait après fusée-gelée. En attendant, tous les possesseurs actuels sont dans le même bateau, avec une console dont le cadenas vient de perdre sa clé maître !

Si vous avez acheté votre PS5 récemment en pensant qu'elle serait la plus sécurisée du lot, c'est raté. Mais si vous êtes du genre à bidouiller et que vous patientez sagement pour un futur jailbreak, 2026 s'annonce plutôt prometteur de ce côté-là...

Source

Le 30 décembre 2025, les chercheurs de Koi Security ont publié les conclusions de leur dernière enquête sur l’acteur cybercriminel DarkSpectre. Identifié depuis plusieurs années, cet acteur chinois aurait récemment disséminé des extensions de navigateur visant à collecter des renseignements d’entreprise, en extrayant notamment des informations issues de réunions Zoom et Google Meet.

Le 30 décembre 2025, les chercheurs de Koi Security ont publié les conclusions de leur dernière enquête sur l’acteur cybercriminel DarkSpectre. Identifié depuis plusieurs années, cet acteur chinois aurait récemment disséminé des extensions de navigateur visant à collecter des renseignements d’entreprise, en extrayant notamment des informations issues de réunions Zoom et Google Meet.

Le 29 décembre 2025, l'Université de Lille et Grenoble École de Management ont vu les noms de leurs établissements apparaître sur BreachForums.

Le post Cyberattaques : l’Université de Lille et Grenoble École de Management victimes d’une fuite de données a été publié sur IT-Connect.

L'Agence Spatiale Européenne (ESA) a confirmé avoir été victime d'une cyberattaque ciblant des serveurs situés en dehors de son réseau principal.

Le post Cyberattaque contre l’ESA : des pirates revendiquent le vol de 200 Go de données a été publié sur IT-Connect.