Le Monde a réussi à localiser le porte-avions nucléaire français Charles-de-Gaulle grâce à l'application de sport Strava. Un officier a enregistré un footing de 7 km sur le pont du navire avec sa montre connectée, et son profil public a diffusé les coordonnées GPS en temps réel.
Le navire était déployé en Méditerranée orientale, au large de Chypre, en pleine mission liée au conflit au Moyen-Orient.
Un footing de 7 km qui trahit un navire de guerre
Le 13 mars, à 10h35, un jeune officier prénommé Arthur a lancé un jogging sur le pont du Charles-de-Gaulle. 35 minutes de course, un peu plus de 7 km, et sa montre connectée a transmis le tout à Strava via Bluetooth.
Son profil étant public, n'importe qui pouvait voir le tracé GPS de sa course, et donc la position exacte du porte-avions. Le Monde a vérifié en croisant avec une image satellite de l'Agence spatiale européenne, qui a confirmé la présence du navire à seulement six kilomètres du point GPS.
Le Charles-de-Gaulle se trouvait à ce moment au nord-ouest de Chypre, à une centaine de kilomètres des côtes turques, dans le cadre d'un déploiement lié au conflit au Moyen-Orient.
En remontant le profil du même officier, Le Monde a aussi pu reconstituer les déplacements du navire sur plusieurs semaines : au large du Cotentin le 14 février, en mer Baltique le 27 février, avec une escale à Copenhague.
Pas la première fois que Strava met l'armée dans l'embarras
L'affaire fait partie d'une enquête plus large baptisée "StravaLeaks", que Le Monde avait déjà lancée à l'automne 2024. Les journalistes avaient alors identifié les gardes du corps d'Emmanuel Macron, de Donald Trump et de Vladimir Poutine via leurs activités sportives sur l'application.
Des agents de la DGSE en mission en Irak avaient aussi été repérés de cette manière. Au total, plus de 450 utilisateurs de Strava liés à l'armée française ont été actifs sur la plateforme au cours de la dernière décennie, et certains ont enregistré des séances à proximité de sites où sont amarrés des sous-marins nucléaires, à l'Île Longue.
Le problème est connu depuis 2018, quand un analyste avait remarqué que la carte de chaleur de Strava révélait des bases et des patrouilles américaines en Syrie, en Irak et en Afghanistan. Le Pentagone avait alors interdit les montres connectées en déploiement. Visiblement, la leçon n'a pas traversé toutes les frontières.
L'état-major reconnaît le problème
Du côté de la Marine nationale, la réponse est laconique : cette diffusion d'informations "n'est pas conforme aux consignes en vigueur".
Par défaut, les comptes Strava sont paramétrés en mode public, ce qui veut dire que chaque séance enregistrée est visible par n'importe qui. Il suffit d'une montre connectée qui passe les contrôles de sécurité à bord, d'un profil mal configuré, et la position d'un navire de guerre en mission se retrouve sur internet.
On a quand même du mal à croire qu'en 2026, après toutes les alertes de ces dernières années, un officier de la Marine puisse encore courir sur le pont d'un porte-avions nucléaire avec sa montre GPS en mode public sur Strava.
C'est le genre d'erreur qui ne devrait plus arriver. Mais bon, tant que les smartwatches ne seront pas simplement interdites à bord des navires en opération, ce type de fuite continuera à se produire. Et on ne peut pas vraiment conclure que c'est uniquement la faute du marin : c'est aussi un problème de procédure, parce qu'une montre qui passe le portique de sécurité sans déclencher d'alerte, c'est probablement un peu gênant.
Des documents obtenus par la presse révèlent que les douanes américaines ont utilisé les données de localisation issues du système publicitaire en ligne pour pister des téléphones. Et ce, sans mandat.
Le mécanisme repose sur les enchères publicitaires en temps réel, qui diffusent vos coordonnées GPS à des milliers d'entreprises chaque jour. Apple a limité la casse sur iPhone, mais ça ne suffit pas.
Comment vos applications vous trahissent
Le système est assez redoutable dans sa simplicité. À chaque fois qu'une publicité s'affiche dans une application sur votre smartphone, une enchère se joue en quelques millisecondes.
Votre téléphone envoie ce qu'on appelle une requête d'enchère, qui contient votre identifiant publicitaire, vos coordonnées GPS, votre adresse IP, le type d'appareil utilisé, et même vos centres d'intérêt supposés. Ces informations sont envoyées simultanément à des milliers d'annonceurs potentiels, et tous les participants reçoivent ces données, qu'ils remportent ou non l'enchère.
Des
courtiers en données
se font passer pour des acheteurs publicitaires et récoltent ces informations à grande échelle. Mobilewalla, par exemple, a collecté les données de plus d'un milliard de personnes, dont 60 % provenaient de ces enchères publicitaires selon la FTC (le gendarme du commerce américain).
Gravy Analytics, un autre courtier, a vu fuiter des données qui référençaient des milliers d'applications : Candy Crush, Tinder, Grindr, MyFitnessPal, des applications de grossesse ou religieuses. Beaucoup de développeurs ne savaient même pas que leurs applications alimentaient cette collecte.
Des agences fédérales clientes depuis des années
Entre 2019 et 2021, les douanes américaines ont mené un programme pilote pour tester si ces identifiants publicitaires pouvaient servir à reconstituer
les déplacements de personnes
sur le territoire. Le service de l'immigration (la célèbre ICE) et le FBI ont aussi acheté de la donnée de localisation auprès du courtier Venntel, et s'en sont servis pour identifier des immigrés ensuite arrêtés.
L'ICE a aussi acquis un outil appelé Webloc, qui collecte la position de millions de téléphones chaque jour et permet de lancer des recherches par zone géographique.
En mars 2026, 70 parlementaires américains ont demandé l'ouverture d'une enquête par l'inspecteur général du département de la sécurité intérieure. Le Montana est devenu le premier État à interdire aux autorités l'achat de données sensibles qui nécessiteraient normalement un mandat. Au niveau fédéral, une loi portée par le sénateur Ron Wyden a été votée par la Chambre en 2024, mais n'a pas passé le Sénat.
Ce que vous pouvez faire, et ce qu'Apple a déjà fait
Bonne nouvelle quand même pour les utilisateurs d'iPhone : depuis 2021, Apple demande systématiquement si vous autorisez le suivi publicitaire via la fonction "Demander à l'app de ne pas me suivre".
Résultat : 96 % des utilisateurs américains ont refusé le suivi, ce qui désactive l'identifiant publicitaire sur la plupart des iPhone. Une étude a même montré que les utilisateurs d'iPhone avaient subi moins de fraudes financières après cette mesure.
Côté Android, il est aussi possible de désactiver l'identifiant publicitaire, mais la démarche est bien moins visible. L'EFF (Electronic Frontier Foundation) recommande dans tous les cas de vérifier les permissions de localisation accordées à vos applications et de les limiter au strict minimum.
On savait que la publicité en ligne aspirait pas mal de données, mais là on parle quand même d'agences gouvernementales qui achètent tranquillement votre position GPS sans passer par un juge. Pour
protéger sa vie privée
, il ne suffit plus de refuser les cookies.
Le fait que par exemple, Apple, ait mis en place la transparence du suivi publicitaire sur iOS en 2021, et que 96 % des gens aient dit non, montre bien que personne ne souhaite être pisté. On ne peut pas vraiment conclure que le problème est réglé pour autant, car tout le système d'enchères publicitaires continue de fonctionner en arrière-plan, avec ou sans identifiant.
Depuis 2022, TOUS les policiers et gendarmes français ont accès à un logiciel de reconnaissance faciale directement sur leur téléphone de service. En vous prenant en photo lors d'un contrôle (chiiiiiz 😀), ils peuvent ensuite, en quelques secondes, consulter un énooOoorme fichier contenant 9 millions de portraits.
En bref, les forces de l'ordre sont équipées d'un gros smartphone baptisé NEO, un genre de pavé noir rectangulaire qui ressemble à une tablette de poche et dessus, y'a une appli avec accès direct au TAJ (traitement d'antécédents judiciaires), un fichier qui couvre plus d'un quart de la population française. Nom, date de naissance, adresse, profession... et parfois des infos sensibles comme l'appartenance politique ou religieuse.
Ce logiciel, développé par l'allemand Cognitec (sûrement la contraction du mot "tech" et du mot "cogner"... rooooh) , affiche les 200 photos les plus ressemblantes en moins d'une minute. C'est comme la reco faciale de Yandex mais en encore plus facile ! On ouvre l'appli sur l'écran, on sélectionne la photo dans l'album, on clique sur le bouton "rapprocher", et le serveur crache ses résultats. C'est dingue.
Sauf que OH BIZARRE l'utiliser lors d'un contrôle d'identité, c'est totalement illégal ! En effet, le code de procédure pénale limite l'accès au TAJ à des agents "individuellement désignés et spécialement habilités", dans le cadre strict d'enquêtes judiciaires (et aux hackers qui
font fuiter les datas
^^). Eh oui c'est pas fait pour scanner des gamins assis sous un platane sur une place à Marseille. Déso, hein.
Et pourtant ! Disclose a recueilli les témoignages de six personnes photographiées et identifiées entre 2021 et 2025, à Marseille, Paris et Lyon. Un gamin de 18 ans contrôlé sans même sortir sa carte d'identité... sa photo prise avec le téléphone a suffi. Un manifestant pro-Palestine forcé physiquement à faire face à la caméra, des mains gantées sur le visage.
Et un flic montre même la manip à Disclose sur son NEO, tranquille, en expliquant que "tout le monde y a accès dès la sortie de l'école de police". Hop, le portrait tombe en moins d'une minute. C'est chouette pour connaître le prénom des gens sur Tinder, suffit de prendre en photo l'écran de son smartphone perso, hein.... bah quoi ?
L'IGPN elle-même le sait. En effet, dans son rapport 2023, la police des polices écrivait noir sur blanc que le TAJ est "très fréquemment utilisé sur la voie publique". Ah bah ça va, s'ils sont au courant, on est rassuré parce qu'ils ont surement dû faire quelque chose pour empêcher ça... ah bah non en fait parce que les consultations ont plus que doublé en 5 ans : 375 000 en 2019, près d'un million en 2024 !! Waaaaah, ça fait environ 2 500 tirage de portrait par jour, c'est fou !! Le problème, c'est que personne ne contrôle qui consulte quoi. Les accès sont tracés sur les serveurs, mais bon... tracer sans vérifier, ça sert pas à grand-chose. Et c'est pas forcément par manque de moyens car chaque consultation est horodatée et conservée trois ans, donc y'a le temps. Non, faut croire que c'est la flemme en fait.
Et là, Noémie Levain, juriste à La Quadrature du Net, pose les mots qui font mal : "Quand des policiers peuvent photographier qui ils veulent pour savoir qui est qui, c'est un renversement de l'État de droit."
Elle rappelle en effet, qu'en 1940, il a suffi d'un, je cite, "tout petit changement de curseur" dans les fichiers de police pour aller chercher les gens chez eux. Le parallèle fait froid dans le dos, mais il est factuel.
Et surtout c'est la deuxième fois, à vrai dire, que Disclose prend le ministère en flagrant délit sur ce sujet. En 2023, c'était
Briefcam
, un logiciel israélien de vidéosurveillance déployé illégalement. Le ministre avait dû le faire désactiver dans les semaines qui ont suivi. Eh bien, croyez-le ou non, cette fois, le ministère n'a même pas daigné répondre aux questions de Disclose. Va savoir pourquoi... C'est trop bizaaaarre.
Maintenant si vous voulez savoir quels sont vos droits face à cette pratique,
La Quadrature du Net a publié un guide en accès libre
qui explique ce que la police peut et ne peut pas faire lors d'un contrôle. Franchement, c'est à lire et à partager !
Et si vous voulez voir concrètement comment ça se passe, Camille Reporter a justement fait une vidéo très bien fichue sur le sujet :
Bref, allez lire l'enquête complète de Disclose, c'est du journalisme d'investigation en accès libre et ça concerne directement vos libertés. Et si le cœur vous en dit,
soutenez-les
.
La reconnaissance faciale vient encore de montrer ses limites aux États-Unis. Angela Lipps, 50 ans, grand-mère du Tennessee, a passé près de six mois en prison après qu'un algorithme l'a désignée à tort comme suspecte dans une affaire de fraude bancaire au Dakota du Nord.
Ses relevés bancaires ont prouvé qu'elle se trouvait à 2 000 kilomètres des faits. Elle attend toujours des excuses.
Un algorithme, une arrestation
Le 14 juillet 2025, des agents fédéraux américains débarquent chez Angela Lipps au Tennessee. Ils l'arrêtent sous la menace d'une arme, alors qu'elle garde quatre enfants. La police de Fargo, dans le Dakota du Nord, à environ 2 000 kilomètres de là, la soupçonnait d'avoir utilisé une fausse carte d'identité militaire pour retirer des dizaines de milliers de dollars dans plusieurs banques entre avril et mai 2025.
Pour identifier la suspecte filmée par les caméras de surveillance, les enquêteurs ont passé les images dans un logiciel de reconnaissance faciale. Le système a désigné Angela Lipps. Un détective a ensuite comparé la photo avec le permis de conduire et les réseaux sociaux de la quinquagénaire, et a validé l'identification. Sauf que ce n'était pas du tout elle.
108 jours sans la moindre audition
Classée comme fugitive, Angela Lipps est restée quatre mois en prison au Tennessee, sans caution et sans possibilité de se défendre. Elle n'a été transférée dans le Dakota du Nord que le 30 octobre, soit 108 jours après son arrestation.
Sa première comparution devant un tribunal a eu lieu le lendemain. Et c'est seulement le 19 décembre, cinq mois complets après l'arrestation, que la police de Fargo l'a interrogée pour la première fois.
Son avocat, Jay Greenwood, avait entre-temps obtenu ses relevés bancaires. Les documents montraient qu'Angela achetait des cigarettes et déposait ses chèques de sécurité sociale au Tennessee au moment même où la police la plaçait à Fargo. Les charges ont été abandonnées le 24 décembre, la veille de Noël. Cinq mois et dix jours d'incarcération pour une erreur de machine.
Tout perdu, zéro indemnisation
À sa sortie, Angela Lipps n'avait plus rien. Pas de manteau, pas d'argent, pas de moyen de rentrer chez elle. Pendant sa détention, elle a perdu sa maison, sa voiture et son chien. La police de Fargo n'a pris en charge aucun frais.
Ce sont des avocats de la défense locaux qui lui ont donné de quoi payer une chambre d'hôtel et de la nourriture le soir de Noël. Le lendemain, Adam Martin, fondateur de l'association F5 Project, l'a conduite en voiture jusqu'à Chicago pour qu'elle puisse regagner le Tennessee.
Un habitant de West Fargo, Michael Nessa, a depuis lancé une cagnotte GoFundMe en son nom, qui a récolté près de 20 000 dollars. Angela Lipps attend toujours des excuses de la police.
Ce n'est pas la première fois qu'une personne se retrouve derrière les barreaux à cause d'un faux positif de reconnaissance faciale aux États-Unis. Et dans la grande majorité des cas rendus publics, les victimes sont des femmes ou des personnes issues de minorités.
Côté procédure, qu'un détective ait "confirmé" l'identification en comparant une photo de surveillance avec un permis de conduire, ça en dit quand même long sur la rigueur du processus.
Si vous pensiez que ce genre de technologie était encadré par des garde-fous solides, l'affaire Lipps prouve le contraire. Six mois de prison, une vie brisée, et pas la moindre excuse. Franchement, on espère que ça fera réagir là-bas, mais on n'y mettrait pas notre main à couper. Un grand merci à Skribascode de nous avoir envoyé cette info !
Vous n'avez probablement pas besoin d’un énième sermon sur la "vie privée". Vous avez besoin d’outils qui font le sale boulot à votre place. Incogni fait exactement ça : il passe ses journées à frapper à la porte des courtiers en données pour leur dire de
supprimer vos infos
, pendant que vous faites autre chose de vital. Comme préparer une raclette parce que l'hiver n'est pas terminé.
On imagine souvent les fuites comme des gros piratages de bases de données. Cela arrive parfois bien évidemment, sauf qu'en pratique, le plus gros de la collecte part de choses beaucoup plus banales : formulaires, programmes de fidélité, inscriptions sur des sites gratuits et désormais, les
extensions IA qui se greffent au navigateur
.
Une étude d’Incogni
montre que plus de la moitié des extensions Chrome “dopées à l’IA” collectent au moins un type de données utilisateur. Sur presque 450 extensions analysées, 52% aspirent quelque chose, et près de 30% récupèrent des infos personnelles identifiables. Votre nom, adresse, email, parfois même du contenu que vous tapez (mails, formulaires, documents en ligne) et des éléments de localisation. Des outils archi populaires comme Grammarly ou QuillBot se retrouvent pointés du doigt pour le volume et la sensibilité des données auxquelles ils ont accès, tout en étant installés par des millions d'utilisateurs.
Le problème, c’est que ces flux ne restent pas cantonnés aux éditeurs d’extensions. Ils alimentent des courtiers en données (
data brokers
) qui recoupent, enrichissent et revendent ce qu’ils savent de vous. Ça concerne aussi bien les coordonnées, le profil socio‑démographique, les centres d’intérêt, comportement de navigation, historique d’achats, etc. Vous ne verrez jamais leur nom sur un bandeau de cookie, mais eux vous connaissent très bien.
Incogni : un service qui supprime vos données à grande échelle
Pour attaquer ce problème à la racine, Incogni automatise tout ce que vous pourriez théoriquement faire à la main, mais que personne ne fait vraiment :
repérer quelles sociétés ont probablement vos données,
leur envoyer des demandes de suppression basées sur le RGPD, CCPA & co,
les relancer si elles traînent des pieds,
vérifier que vos données ne réapparaissent pas quelques mois plus tard.
Concrètement, à l’inscription, vous fournissez quelques informations d’identification (nom, email, adresse postale) pour permettre à Incogni de vous retrouver dans les bases des brokers. Une fois la procuration numérique signée, la plateforme commence à envoyer des demandes d’effacement à plus de 420 sites de courtage et bases marketing, recrutement, scoring, etc., en votre nom. On peut parler d’un service “quasi mains libres” qui économise des dizaines d’heures de démarchage manuel en automatisant ces requêtes et les relances qui suivent.
Sur le tableau de bord, on voit très concrètement tout ce qui se passe :
combien de demandes ont été envoyées,
quels brokers ont répondu,
combien ont confirmé la suppression,
lesquels sont encore en attente ou en cours de relance.
Une fois la première vague passée (souvent 30 à 45 jours pour les réponses, selon mon test perso et ce que j'ai vu en ligne),
Incogni continue à surveiller
les mêmes acteurs et à renvoyer des demandes périodiques pour éviter les “résurrections” discrètes de votre profil dans leurs fichiers. C’est cette dimension continue qui en fait un outil pratique : au lieu de faire un gros ménage une fois et d’oublier, vous déléguez la routine.
Le mode sniper : faire retirer vos données d’un site précis
Le détail intéressant pour les cas particuliers : avec l’offre illimitée, vous pouvez demander à Incogni de s’attaquer à des sites spécifiques, au-delà de sa liste standard de brokers. Ça couvre par exemple :
un annuaire de recherche de personnes qui expose votre adresse,
une base obscure où votre numéro apparaît,
une plateforme pro qui indexe trop bien vos données.
Le principe est simple : vous copiez l’URL du site ou de la page concernée dans l’interface, et l'outil ajoute ce cas à la liste des demandes à traiter. Il n’y a pas de limite de nombre de requêtes sur ce mode, ce qui en fait une option assez puissante pour “nettoyer” au fur et à mesure ce que vous découvrez dans Google. D'ailleurs petit conseil perso, n'hésitez pas à créer une alerte sur votre nom pour recevoir un mail dès qu'il apparaît quelque part, vous serez peut-être étonné.
Il y a des bornes logiques : Incogni ne pourra pas effacer des dossiers judiciaires publics, des registres gouvernementaux, ni vos propres contenus sur les réseaux sociaux, blogs ou forums. L’idée est de cibler les usages commerciaux de vos données, pas de réécrire l’histoire.
Ce que vous y gagnez concrètement
Sur le papier, “moins de données chez les brokers” sonne abstrait. Dans la pratique, ça se traduit par plusieurs bénéfices très concrets :
Moins de démarchage ciblé : les listes marketing qui tournent avec votre mail et votre téléphone s’appauvrissent, ce qui se voit dans la baisse de certains spams ultra personnalisés.
Moins de contexte pour les arnaques : un escroc qui ne connaît plus votre adresse, vos anciennes boîtes, vos habitudes, aura plus de mal à composer un message crédible.
Moins d’exposition dans les moteurs de recherche de personnes ou annuaires douteux : vos fiches disparaissent au fil des suppressions, ce qui réduit les risques de harcèlement, doxxing ou simple curiosité mal placée.
Moins de données à gérer en cas de fuite : si un broker se fait pirater, le volume d’informations vous concernant est moindre, donc l’impact potentiel aussi.
Et pour être utilisateur du service, on sent bien le côté progrès visible sans effort technique. Au bout de quelques semaines, le tableau de bord compte déjà des dizaines de suppressions confirmées, et le flux de courrier indésirable le plus ciblé commence à se tasser.
Et les extensions IA dans tout ça ?
Le rapport d’Incogni sur les extensions IA Chrome montre bien que le problème ne va pas disparaître. Tant qu’on installera des assistants magiques qui demandent un accès à tous les sites et à tout ce qu’on tape, les brokers auront de nouveaux tuyaux pour s’alimenter. La réponse ne peut pas être seulement “n’installez plus rien”, on a besoin de ces outils. Le service de Surfshark prend donc le problème par l’autre bout. Même si certaines données fuient via ces extensions ou d’autres services, il s’occupe de retrouver les endroits où elles se centralisent et d’exiger qu’elles soient effacées.
Le duo gagnant, c’est donc : limiter les permissions des extensions (et éviter celles qui demandent l’accès à tous les sites sans raison), comme le recommandent les chercheurs, et derrière, faire tourner un service comme Incogni pour vider régulièrement les réservoirs où vos infos finissent de toute façon.
Un outil de fond, pas un gadget de plus
Beaucoup de solutions privacy ajoutent une couche d’interface ou de jargon sans changer grand-chose au fond. Ici, la valeur est très terre à terre : du temps économisé, des démarches que vous n’auriez jamais faites vous‑même, et un suivi qui tourne en tâche de fond. Les analyses récentes en font un des services les plus rentables si votre objectif est simplement de faire disparaître votre fiche de la plupart des fichiers commerciaux sans y consacrer votre week‑end.
En résumé, Incogni ne promet pas l’invisibilité totale, mais il fait quelque chose que peu de gens ont la patience de faire. En 2026, ce n’est pas un luxe, c’est presque le minimum syndical pour que votre historique ne soit pas la matière première des prochaines dérives de l’IA ou du prochain mail d’arnaque trop bien informé.
Et vous pouvez en profiter à partir de 86€/an TTC pour la version standard (et même moins, 77€, avec le code KORBEN55). Pour la version illimitée, il faut compter 173€/an (ou 155 avec mon code).
Proton Mail, le service de messagerie chiffré qui vend de la confidentialité à tout prix, a transmis des données de paiement aux autorités suisses. Ces données ont ensuite atterri entre les mains du FBI, qui a pu identifier la personne derrière un compte mail anonyme lié au mouvement Stop Cop City à Atlanta.
Une carte bancaire et c'est plié
Le FBI enquêtait sur Defend the Atlanta Forest, un groupe affilié au mouvement Stop Cop City qui s'opposait à la construction d'un centre d'entraînement de police dans un parc d'Atlanta. Pour identifier qui se cachait derrière une adresse Proton Mail utilisée par le groupe, les Américains sont passés par un traité d'entraide judiciaire avec la Suisse (le MLAT).
Le 25 janvier 2024, les autorités suisses ont donc renvoyé au FBI le nom complet de la personne qui avait payé l'abonnement Proton avec sa carte bancaire. Les mails restent chiffrés, personne n'a lu quoi que ce soit, mais le simple fait d'avoir utilisé une carte de crédit a suffi à lever l'anonymat.
Déjà vu en 2021
Proton avait déjà fait parler en 2021, quand l'entreprise avait fourni l'adresse IP d'un militant écologiste français du collectif Youth for Climate, sur ordre d'un tribunal suisse. L'information avait transité par Europol et avait conduit à des arrestations en France.
Proton avait ensuite discrètement retiré de son site la mention "nous n'enregistrons pas votre adresse IP". Côté communication, le discours est rodé : Edward Shone, responsable de la comm chez Proton, assure que l'entreprise n'a rien transmis directement au FBI et ne fournit que "les informations limitées dont elle dispose" quand la justice suisse l'exige.
Ce que Proton sait de vous
Le chiffrement de bout en bout, ça fonctionne. Proton ne peut pas lire vos mails, et personne ne remet ça en question. Mais l'entreprise conserve les données de facturation, et si vous avez payé par carte bancaire, votre nom et vos coordonnées sont dans leurs fichiers.
Proton propose des moyens de paiement anonymes (cryptomonnaies, espèces par courrier), mais dans les faits, peu d'utilisateurs y pensent. La personne identifiée dans cette affaire n'a d'ailleurs jamais été inculpée, mais son identité est entre les mains du FBI.
Il faut vraiment garder en tête que le chiffrement protège le contenu de vos messages, pas votre identité. Proton a beau vendre de la confidentialité, l'entreprise reste soumise au droit suisse comme toutes les autres. Payer un service "confidentiel" avec sa carte Visa et espérer rester anonyme, autant mettre un cadenas sur une porte vitrée...
Savez-vous que Meta a vendu 7 millions de paires de Ray-Ban Meta l'an dernier ? Le succès commercial est dingue, mais une enquête du quotidien suédois SVD montre que des sous-traitants basés au Kenya visionnent certaines vidéos privées, enregistrées par les lunettes pour entraîner l'IA de Meta. La CNIL a ouvert une enquête.
7 millions de paires en un an
EssilorLuxottica a confirmé le chiffre : plus de 7 millions de lunettes connectées vendues en 2025. C'est trois fois plus que les 2 millions écoulés entre le lancement fin 2023 et début 2025. La gamme s'est élargie avec les Oakley Meta et un modèle haut de gamme à 800 dollars, le Ray-Ban Meta Display, qui ajoute un affichage tête haute. Le marché des lunettes connectées n'est clairement plus un sujet de niche, et Meta domine le segment.
Des sous-traitants qui voient tout ?
Selon l'enquête du quotidien suédois SVD, des milliers d'annotateurs de données basés au Kenya, employés par le sous-traitant Sama pour le compte de Meta, visionnent les vidéos captées par les Ray-Ban Meta pour entraîner ses modèles d'IA. Et ce qu'ils voient n'est pas toujours anodin. Les travailleurs rapportent être tombés sur des scènes de salle de bain, des moments intimes et des cartes bancaires filmées par les utilisateurs. Un employé raconte qu'un utilisateur portait ses lunettes pendant que son partenaire se trouvait dans la salle de bain. Les conditions d'utilisation de Meta précisent que les interactions avec l'IA peuvent être "examinées de façon automatique ou manuelle", mais on doute que les utilisateurs aient bien compris ce que "manuelle" veut dire dans ce contexte.
La CNIL et la LED qui ne sert à rien
Côté protection des personnes filmées, la situation n'est pas mieux. Les Ray-Ban Meta ont une petite LED blanche qui s'allume pendant l'enregistrement, censée prévenir les gens autour. Sauf que certaines bidouilles permettent de la masquer, et la CNIL l'a bien noté. L'autorité française a ouvert une enquête après une plainte et considère que l'intrusion dans la vie privée est "possiblement énorme". Des créateurs de contenu ont d'ailleurs utilisé ces lunettes pour filmer des passants à leur insu, la BBC ayant documenté le cas de pick-up artists filmant des femmes dans des lieux publics. Et puisque filmer dans un espace public reste légal en France, les victimes n'ont quasiment aucun recours. Des étudiants de Harvard ont aussi démontré qu'on pouvait coupler les lunettes à un système de reconnaissance faciale pour identifier des inconnus dans la rue et accéder à leurs données personnelles.
On ne va pas se mentir, j'adore mes Ray-Ban Meta que j'utilise quotidiennement, mais 7 millions de caméras portées sur le nez de gens qui se baladent partout, avec des vidéos qui finissent chez des sous-traitants au Kenya, c'est quand même un problème. La politique de confidentialité de Meta reste volontairement floue sur ce qui est collecté et sur qui regarde ces images. La petite LED de sécurité qui se neutralise facilement n'aide en rien.
Gaël Musquet, mon copain hacker, me parlait déjà de tracking TPMS en 2020. Du coup, quand je vois des chercheurs publier un document de recherche en 2026 pour "découvrir" qu'on peut pister une voiture via ses capteurs de pneus, bon, comment dire... je suis pas tombé de ma chaise.
Mais faut reconnaître que l'étude en question va quand même plus loin qu'une discussion entre 2 stands au FIC. En effet, une équipe d'IMDEA Networks et d'armasuisse (le labo de défense suisse, rien que ça) a posé 5 récepteurs SDR dans une ville pendant 10 semaines. Coût du matos, environ 100 dollars par capteur, qui est en gros un Raspberry Pi 4 avec un dongle
RTL-SDR
à 25 balles. Et grâce à cela, ils ont capté plus de 6 MILLIONS de messages, provenant de plus de 20 000 véhicules !
Car oui, vous ne le savez peut-être pas, mais les capteurs de pression des pneus (TPMS pour les intimes) émettent régulièrement dès que le véhicule roule, sur 433 MHz en Europe. Et ces signaux contiennent un identifiant unique... qui bien sûr est en clair ^^. Pas de chiffrement, pas d'authentification, QUE DALLE. Donc avec un logiciel open source comme
rtl_433
, ça devient vite facile de capter tout ça à plusieurs dizaines de mètres à la ronde.
En croisant les identifiants captés par plusieurs récepteurs, les chercheurs ont pu reconstituer les trajets des véhicules, identifier leurs horaires de travail, détecter les jours de télétravail et même estimer les variations de charge du véhicule (et potentiellement déduire la présence de passagers, même si c'est encore approximatif). Le tout sans caméra, sans GPS, et sans accès au réseau du véhicule !
Il suffirait de trouver l'identifiant d'une voiture précise pour déclencher par exemple automatiquement un lâcher de confettis en papier parfaitement inoffensifs à son passage, si vous voyez ce que je veux dire.
Alors attention, tous les véhicules ne sont pas logés à la même enseigne. Les TPMS dits "directs" (dTPMS), qu'on trouve souvent chez Toyota, Peugeot, Citroën, Hyundai ou Mercedes, émettent ces fameux signaux radio captables. Alors que les systèmes "indirects" (iTPMS), utilisés par la plupart des modèles Volkswagen, Audi ou Skoda, se basent sur les capteurs ABS et n'émettent rien par radio. Bref, si vous roulez en Golf de base, y'a de bonnes chances que vous soyez tranquilles sur ce coup-là même si certaines versions sportives ou haut de gamme (Golf R, GTI selon les marchés) peuvent embarquer du dTPMS.
Et le pire dans tout ça c'est que la réglementation UN R155 sur la cybersécurité automobile n'impose pas explicitement le chiffrement des TPMS. En gros, les constructeurs ne sont pas forcés de sécuriser ces transmissions. Pirelli et Bosch bossent bien sur un "Cyber Tyre" en Bluetooth Low Energy, mais c'est réservé au haut de gamme et c'est pas demain que ça arrivera sur votre Clio.
Donc côté protection, soyons honnêtes, y'a pas grand-chose à faire côté utilisateur. Vous ne pouvez pas désactiver vos TPMS (c'est obligatoire depuis 2014 pour les voitures neuves en Europe), et les capteurs ne proposent aucune option de chiffrement. Sauf si vous roulez en véhicule vintage d'avant 2014, c'est open bar. Une des parades serait que les constructeurs implémentent un système de rotation d'identifiants, un peu comme le fait déjà le Bluetooth avec les adresses MAC aléatoires, mais pour l'instant on en est loin.
Cela dit, comme me le fait remarquer Mathieu Passenaud, faut quand même relativiser. Pour tracker une voiture, y'a déjà un identifiant bien plus pratique... la plaque d'immatriculation. Écrite en gros, visible à l'oeil nu. Une caméra et OpenCV, c'est moins cher et plus fiable qu'un setup SDR. Le numéro de VIN est aussi accessible publiquement au niveau du pare-brise, et celui-là permet carrément de remonter au hardware embarqué du véhicule (
Mathieu a d'ailleurs documenté le cas John Deere
qui lie sa plateforme aux engins via le VIN visible sur le châssis).
Et puis y'a un détail technique que personne ne mentionne... le déplacement. Un message TPMS c'est 12 à 20 octets émis entre 5 et 10 kbps, soit 10 à 20 ms de transmission. Sauf qu'à 130 km/h, la voiture avance de 3 cm par milliseconde, ce qui complique sérieusement la captation. Ajoutez que le TPMS n'émet que toutes les minutes environ (faut être pile au bon endroit au bon moment), et le scénario du tracking massif en conditions réelles, c'est quand même autre chose qu'en labo.
Pour ceux qui veulent creuser le sujet, j'avais fait
une rencontre avec Gaël Musquet
il y a quelques années, où il expliquait déjà comment reprendre le contrôle de nos véhicules connectés. Et si vous voulez
comprendre comment on hacke une voiture
de manière plus générale, c'est un rabbit hole sans fond !
Bref, la prochaine fois que vous gonflez vos pneus... dites-leur bonjour de ma part.
Les Ray-Ban Meta, c'est quand même le gadget parfait pour les voyeurs technophiles. Ce sont quand même des lunettes qui filment, prennent des photos et diffusent en live... le tout sans que PERSONNE autour ne s'en rende compte (ou presque). Alors forcément, quelqu'un a fini par coder une app pour les détecter !
Nearby Glasses
, c'est une application Android développée par Yves Jeanrenaud qui scanne en permanence les signaux Bluetooth Low Energy autour de vous. Chaque appareil BLE diffuse en fait des trames pour s'annoncer avec un identifiant constructeur et les lunettes caméra de Meta utilisent les IDs 0x01AB et 0x058E (Meta Platforms) ainsi que 0x0D53 (Luxottica/Ray-Ban). Donc cette app écoute ces identifiants et vous balance une alerte dès qu'elle en capte un.
La détection repose sur le RSSI, en gros la puissance du signal reçu et par défaut, le seuil est à -75 dBm, soit environ 10-15 mètres en extérieur et 3-10 mètres en intérieur. Donc c'est pas foufou non plus mais c'est configurable, évidemment. Vous pouvez donc le durcir un peu pour ne choper que les lunettes vraiment proches, ou l'assouplir pour ratisser large (au prix de faux positifs en pagaille).
Les faux positifs, parlons-en d'ailleurs... Les casques Meta Quest utilisent les mêmes identifiants constructeur, du coup ça ne marche pas à tous les coups. Par exemple, si votre voisin joue en VR, votre téléphone va sonner ! L'app détecte aussi les Snap Spectacles (0x03C2)... pour les trois personnes qui en portent encore ^^.
Ah et l'app est UNIQUEMENT pour Android. La version iOS serait "on the way" selon le développeur... faut donc pas être pressé mais au moins c'est open source (AGPL-3.0), du coup n'importe qui peut vérifier ce que l'app fait de vos données Bluetooth.
Si le sujet vous parle, vous connaissez peut-être
Ban-Rays
, un projet hardware à base d'Arduino et de LEDs infrarouges qui détecte les Ray-Ban Meta via infrarouge et Bluetooth ! Hé bien Nearby Glasses, c'est l'approche 100% logicielle plutôt que hardware, ce qui est plus accessible mais forcément plus limitée... pas besoin de fer à souder, cela dit ^^.
C'est une rustine mais bon, c'est mieux que de se retrouver à poil sans permission sur le web.
Amazon, fournisseur officiel de mauvaises idées en matière de vie privée depuis 1870 vient de nous pondre une nouvelle trouvaille !! À partir du 25 mars, si quelqu'un vous achète un cadeau via votre liste de souhaits Amazon, le vendeur tiers récupère votre adresse de livraison. Oui, votre VRAIE adresse !! Après en tant que français
on a l'habitude que tous les escrocs de la planète aient nos infos persos
. Mais rassurez-vous, Amazon a trouvé une solution ! Est-ce qu'il s'agit de corriger le problème ? Que nenni !! Ils nous recommandent simplement d'utiliser une boîte postale. Sympa !
Parce que jusqu'ici, quand un pote vous envoyait un truc depuis votre wishlist, le vendeur tiers voyait votre ville et votre région... c'est déjà pas top, mais bon. Sauf que maintenant, c'est l'adresse COMPLÈTE qui part chez le vendeur. Numéro, rue, code postal, la totale...
Et vous vous en doutez, ça touche en premier lieu les créateurs de contenu, les streamers, et tous les crevards qui ont une wishlist publique pour que leur communauté puisse leur offrir des trucs net d'impôts ^^.
Donc suffit qu'un harceleur crée un faux compte vendeur sur Amazon Marketplace (La vérification d'identité ? Minimale !), met un article à 3 euros, attend qu'un fan l'achète via la wishlist de sa cible... et hop, il a l'adresse complète récupérée. Pas besoin d'être un génie. Ou alors suffit d'attendre que le vendeur tiers laisse fuiter le fichier Excel dans lequel il stocke ses commandes... La vie est toujours pleine de surprises quand il s'agit de leaker des données perso.
EDIT : Merci à Matthieu qui m'a envoyé la preuve ! Amazon.fr vient d'envoyer un email à ses utilisateurs pour confirmer que ce changement arrive bien en France à compter du 25 mars 2026. L'option permettant de restreindre les achats auprès de vendeurs tiers pour les articles de vos listes sera supprimée. Donc c'est plus une hypothèse, c'est confirmé... faites le ménage dans vos wishlists MAINTENANT.
Et côté RGPD ?
En Europe, le RGPD impose que le partage de données personnelles repose sur une base légale. Consentement explicite, intérêt légitime, ou exécution d'un contrat et pas une case pré-cochée planquée dans les CGU.
Le problème, c'est qu'Amazon change les règles du jeu en cours de route, sans demander un consentement spécifique pour ce nouveau partage d'adresse avec des tiers. Et bien sûr, le moment venu, la CNIL pourrait avoir deux mots à dire là-dessus... après, on sait comment ça se passe, les amendes mettent des années à tomber. D'ailleurs, Amazon s'est déjà pris 746 millions d'euros par le Luxembourg en 2021 pour non-respect du RGPD mais visiblement, ça ne les a pas trop calmés.
Maintenant concrètement, voici ce que vous pouvez faire (ça ne marche pas à 100% mais c'est mieux que rien) :
Allez dans votre compte Amazon,
section "Listes"
puis "Gérer la liste". Vérifiez que votre wishlist est bien en mode "Privée" si vous ne voulez pas que n'importe qui la voie. Attention, le réglage par défaut c'est "Publique"... donc si vous n'avez jamais touché à ça, c'est probablement ouvert aux quatre vents.
Et si vous VOULEZ la garder publique (streamers, créateurs), utilisez une adresse qui n'est pas votre domicile. En France, une boîte postale La Poste coûte ~50 euros par an. Y'a aussi les Amazon Locker ou les points Mondial Relay... ce qui revient quand même à dire "débrouillez-vous", j'en ai bien conscience.
Le vrai problème
Le fond du problème, vous l'aurez compris, n'est pas technique. C'est qu'Amazon traite l'adresse de livraison comme une donnée de transaction banale alors que c'est une info sensible. Mais non, une adresse postale c'est pas un numéro de commande. Et surtout ça casse tout le principe d'anonymat des wishlists surtout quand la plateforme encourage les wishlists publiques depuis des années.
Bref, c'est confirmé pour la France au 25 mars, alors prenez les devants et prévenez votre influenceur préféré de faire le switch.
Votre pseudo de justicier masqué sur Reddit ne vaut plus grand-chose, les amis... En effet, des chercheurs de l'ETH Zurich viennent de prouver qu'un LLM peut retrouver votre vraie identité à partir de vos posts anonymes, avec 67% de réussite... et pour moins de 4 dollars par profil.
L'
étude a été publiée sur arXiv
par six chercheurs, dont Nicholas Carlini d'Anthropic (les créateurs de Claude) et le principe fait flipper. En fait ils ont mis au point des agents IA qui analysent vos commentaires publics, créent un profil structuré... ou plutôt un portrait-robot de vos habitudes et centres d'intérêt, puis ratissent des milliers de candidats pour trouver à qui ça correspond.
Budget total de l'opération : environ 2 000 dollars pour 338 profils Hacker News passés au crible. Et sur tout ça, 226 ont été identifiés correctement, 25 sont des erreurs et 86 sont des "abstentions" quand le modèle doutait trop. Ça revient à 1 à 4 dollars par profil, et quand le modèle est assez sûr de lui pour donner une réponse (donc hors abstentions), il tape juste 9 fois sur 10. Pas cher payé donc pour s'offrir la fin de votre anonymat TOTAL !
Le truc, c'est que Hacker News c'était juste l'apéro. La même technique a été lâchée ensuite sur des interviews anonymisées, des profils LinkedIn et ce bon vieux Reddit. Même recette, et surtout mêmes résultats.
Le côté obscur de cette recherche, c'est que ça ouvre encore plus la porte aux arnaques d'ingénierie sociale sur mesure, au ciblage pub ultra-personnalisé sans votre consentement, et pire... à la traque de journalistes ou d'activistes planqués derrière un pseudo...
Notez que ce taux de 67%, c'est sur des profils Hacker News où les gens qui postent beaucoup de contenu technique assez spécifique. Mais sur un compte avec trois commentaires génériques, ça ne marche pas aussi bien. Mais bon, qui poste que 3 fois sur un forum ? Le piège, c'est qu'on finit toujours par en dire plus qu'on croit...
Maintenant côté protection, attention, c'est pas la fête. Si vous voulez éviter de vous faire traquer, faudra varier votre style d'écriture entre les plateformes, éviter de balancer trop de détails perso (ville, job, stack technique) dans vos commentaires, et surtout utiliser des comptes séparés plutôt qu'un seul pseudo partout. D'ailleurs le
fingerprinting de navigateur
c'est déjà un problème connu, mais là on parle de fingerprinting de votre STYLE D'ÉCRITURE donc carrément autre chose !
Perso, ça confirme finalement ce qu'on savait depuis le documentaire
Rien à cacher
: l'anonymat en ligne c'est surtout une illusion. Sauf que maintenant, même pas besoin d'être la NSA pour lever le voile... un LLM à 4 balles suffit.
Le pseudonymat face à un LLM c'est un grillage face à une perceuse... Bon courage aux anonymes qui me lisent...
Mark Zuckerberg a témoigné devant un tribunal de Los Angeles dans un procès important. Le sujet ? Les effets d'Instagram et Facebook sur la santé mentale des adolescents, avec près de 1 600 plaintes de familles et de districts scolaires américains regroupées dans cette affaire. Des documents internes accablants ont été dévoilés à l'audience.
Un procès hors norme
C'est devant la Cour supérieure de Los Angeles que le patron de Meta s'est présenté pour répondre aux accusations. Ce procès test doit déterminer si Instagram et Facebook ont contribué à dégrader la santé mentale des adolescents qui les utilisent. L'audience a démarré avec le témoignage de Kaley, une jeune femme de 20 ans qui a commencé à utiliser YouTube à 6 ans et Instagram à 9 ans. Son avocat, Mark Lanier, a déroulé devant le jury un collage de plus de 10 mètres composé de centaines de selfies qu'elle avait postés sur la plateforme. Dépression, dysmorphie corporelle, idées suicidaires : la jeune femme a décrit un parcours que des milliers d'autres familles affirment avoir vécu.
Des documents internes chocs
Et des preuves, il y en a : les avocats des plaignants ont sorti des documents internes de Meta qui datent de 2015. On y apprend qu'Instagram comptait à l'époque quatre millions d'utilisateurs de moins de 13 ans, soit environ 30 % des enfants américains de 10 à 12 ans. Un mémo de 2018 est encore plus direct : « Si on veut gagner gros avec les ados, il faut les attraper quand ils sont pré-ados ». Difficile d'être plus explicite.
Un autre document interne, daté de 2020, montre que les enfants de 11 ans avaient quatre fois plus de chances de revenir sur Facebook que les autres tranches d'âge. Zuckerberg a reconnu que les outils de protection avaient mis du temps à arriver. Il a même déclaré : « j'aurais aimé qu'on y arrive plus tôt » devant le tribunal. Sur les filtres de beauté, il a évoqué un compromis : les laisser disponibles sans les recommander.
Mais quelle défense pour Meta ?
Meta et Google, aussi visés dans cette procédure, défendent la même ligne : les réseaux sociaux ne causent pas directement de troubles psychologiques chez les jeunes. Probablement un peu embarrassés, les avocats de Meta expliquent que des dizaines de protections ont été mises en place ces dernières années, et aussi que la responsabilité incombe surtout aux parents. Le procès devrait durer six semaines, et d'autres dirigeants seront appelés à témoigner. L'enjeu dépasse clairement cette salle d'audience : si les plaignants obtiennent gain de cause, ça pourrait déclencher des milliers d'autres procédures à travers les États-Unis.
On a tous en tête un gosse qui passe ses journées sur TikTok ou Instagram, et ce procès met des visages et des chiffres sur ce problème qu'il est compliqué d'ignorer désormais. Le mémo « attrapez-les quand ils sont pré-ados » fait vraiment froid dans le dos. Reste à voir si ce procès changera quoi que ce soit, ou si dans cinq ans on en sera encore au même point, à regarder nos gamins scroller à l'infini en se disant que quelqu'un devrait faire quelque chose.
Le CNRS vient de confirmer un incident de cybersécurité qui a mené au téléchargement non autorisé de fichiers contenant des données personnelles d'anciens agents. Noms, adresses, numéros de sécurité sociale, RIB : la totale donc. L'organisme a déposé plainte et prévenu la CNIL.
Des données très sensibles
C'est ce lundi 16 février que le CNRS a informé ses agents d'une fuite de données sur un de ses serveurs. Des fichiers contenant des informations de ressources humaines ont été téléchargés sans autorisation. Et on ne parle pas de données anodines : noms, prénoms, dates de naissance, adresses postales, numéros de sécurité sociale et RIB. Le tout accompagné du statut de l'agent, du type de contrat et de la structure d'affectation. Le serveur a été isolé et arrêté dès la découverte de l'incident, et l'organisme assure que la fuite ne s'est pas propagée au reste de ses infrastructures.
Qui est concerné ?
Seuls les personnels recrutés avant le 1er janvier 2007 sont touchés, qu'ils aient été titulaires ou non. Si vous avez travaillé au CNRS après cette date, vous n'êtes pas concerné. Le nombre exact de victimes n'a pas été communiqué, mais vu la taille de l'organisme, on parle potentiellement de plusieurs milliers de personnes. Le CNRS recommande de prévenir sa banque, de surveiller ses comptes, de vérifier si ses données circulent sur haveibeenpwned.com, et de rester vigilant face aux tentatives de phishing ou d'usurpation d'identité. La CNIL et l'ANSSI ont été prévenues, et une plainte a été déposée auprès de la section cybercriminalité du parquet de Paris.
Les institutions françaises en ligne de mire
On n'est pas vraiment sur une première niveau cyberattaques sur des services de l'état. Le ministère de l'Intérieur, celui des Sports, et d'autres organismes avaient été visés. L'URSSAF a aussi confirmé une fuite touchant les données de 12 millions de salariés. Le CNRS lui-même avait été la cible d'un défacement de plusieurs de ses sous-domaines fin janvier. Deux incidents distincts, mais la tendance est claire, et c'est franchement moche.
On va quand même saluer le fait que le CNRS a communiqué rapidement, avec un communiqué officiel et une FAQ pour les personnes concernées. C'est loin d'être toujours le cas. Mais on va quand même se questionner sur le fait que des RIB et des numéros de sécu trainent sur un serveur, alors qu'on parle de données parfois veilles depuis presque 20 ans... Pourquoi ces informations étaient-elles encore accessibles ? La question du stockage prolongé de données sensibles revient sur la table, et visiblement, personne n'a encore de bonne réponse. En attendant, si vous avez porté la blouse du CNRS avant 2007, un petit tour sur votre relevé bancaire ne serait pas du luxe.
Connexion
