Aujourd’hui, le deal du jour vient directement de la maison. La rentrée approche avec son cortège de nouveaux abonnements, et Numerama+ vous permet de faire d’une pierre deux coups en vous offrant Surfshark One pendant un an.
Aujourd’hui, le deal du jour vient directement de la maison. La rentrée approche avec son cortège de nouveaux abonnements, et Numerama+ vous permet de faire d’une pierre deux coups en vous offrant Surfshark One pendant un an.
Vous recevez combien de SMS pourris par jour ? Moi, j'en ai tellement que mon téléphone vibre plus pour des arnaques que pour mes potes. "Votre colis est bloqué, cliquez ici" ... j'ai rien commandé. "Urgent : votre compte bancaire va être suspendu" ... j'ai pas de compte chez eux. "Bravo, vous avez gagné un iPhone" ... oui, et moi je suis le pape (après ça veut dire que je pourrai renommer la papamobile en korbenmobile, ça claque).
Aux USA, les gens se prenaient en moyenne 19,2 milliards de SMS spam par mois fin 2023. C'est près de trois fois plus qu'en 2021. Et ces conneries ne font qu'augmenter. Les escrocs ont compris une chose simple : on regarde nos SMS. On les ouvre. On clique. Et bim, votre compte est vide, votre identité est volée, et vous êtes bon pour passer trois jours au téléphone avec votre banque.
Surfshark a visiblement eu la même révélation que nous, sauf qu'eux, ils ont décidé de faire quelque chose. Depuis quelques jours ils ont lancé la Scam Text Protection. Une fonctionnalité qui utilise l'IA pour analyser vos SMS entrants en temps réel et détecter les arnaques avant que nous ne cliquions comme des débiles sur le lien.
En gros, l'outil scanne chaque SMS qui arrive sur votre téléphone. Il cherche les URLs dangereuses, les numéros d'expéditeurs suspects, et les patterns de social engineering. "Agissez vite", "votre colis est bloqué", "virement suspect détecté" & co, l'IA connaît le script.
Sur iOS c'est efficace mais assez brutal (trop ?) : le message suspect est automatiquement déplacé dans le dossier Spam de l'app Messages. Vous ne recevez même pas de notification. C'est comme si le SMS n'avait jamais existé. Pas de tentation, pas de clic, pas de problème.
Sur Android, c'est un peu plus transparent. Vous recevez une alerte de Surfshark qui vous prévient qu'un scam a été détecté. Vous cliquez sur la notif, et le message s'ouvre dans un environnement contrôlé, directement dans l'app Surfshark. Vous pouvez le lire sans risque, sans déclencher de lien malveillant par accident.
Et pour les Américains, il y a même un dashboard in-app qui estime combien d'argent vous avez économisé en évitant chaque arnaque (qui apparaitra sûrement chez nous un jour). C'est un gros gadget inutile, mais ça fait plaisir de voir "1 250$ sauvés" à la place d'un virement frauduleux. Bon, après c'est juste pour se la raconter un peu parce que c'est pas comme si vous seriez tombé dans le panneau à chaque arnaque (enfin j'espère pas pour vous).
Oui, vous avez bien lu. 35% de toutes les tentatives de phishing passent maintenant par SMS. On appelle ça le smishing (contraction de SMS et phishing), parce que les cybercriminels adorent les mots à la con.
Alors que la cybersécurité traditionnelle se concentre sur les malwares et le piratage, les arnaques modernes ciblent de plus en plus le comportement humain via des techniques d'ingénierie sociale qui exploitent la confiance, le sentiment d'urgence et les données personnelles exposées. Les arnaques sophistiquées par SMS sont très difficiles à repérer, surtout lorsqu'elles ne comportent aucune erreur facilement identifiable. L'outil est donc conçu pour détecter ces erreurs ou ces patterns suspects afin d'éviter toute interaction avec des acteurs malveillants.
Et le truc rassurant, parce que je sais que vous allez me demander si Surfshark lit tous vos SMS pour les vendre à Facebook, c'est que Surfshark promet que la fonctionnalité ne conserve pas vos messages, ne surveille pas votre téléphone en général, et n'utilise pas vos données privées pour entraîner ses modèles d'IA. On attendra un audit indépendant pour valider ça bien sûr, mais jusqu'ici le requin a toujours montré patte nageoire blanche.
Pour l'instant la Scam Text Protection est disponible pour les abonnés Surfshark One et Surfshark One+ . Si vous êtes sur le plan VPN de base, il va falloir upgrader, et ça tombe plutôt bien en ce moment, mais j'y reviens dans deux minutes.
Mais dans la vie, quand une porte s'ouvre, une autre se ferme. Début août 2025, Surfshark a annoncé qu'il arrêtait Surfshark Search, son moteur de recherche privé intégré. La raison ? Personne ne s'en servait.
Surfshark a été honnête dans son annonce : "Search adoption stayed limited to a very small share of our users". Bref, c'était le cancre de la classe. Alors ils ont décidé de couper l'herbe sous le pied de ce truc pour se concentrer sur ce que les gens utilisent vraiment : le VPN, l'antivirus, la protection contre les scams et la protection d'identité. Surfshark justifie ça par une philosophie simple qui est que chaque fonctionnalité doit mériter sa place en vous protégeant. Si personne ne l'utilise, elle dégage. C'est un peu cruel, mais c'est pragmatique.
Le calendrier de disparition est assez simple puisque sur iOS et Android c'est déjà supprimé. Pour la version desktop et les extensions navigateur, vous avez jusqu'à la fin 2026 pour dire au revoir.
R.I.P.
Si vous utilisiez Surfshark Search comme moteur par défaut, il va falloir migrer. Les alternatives classiques sont DuckDuckGo , Brave Search ou Startpage . C'est dommage, parce qu'un moteur de recherche privé sans pubs et sans trackers, c'était une bonne idée. Mais face à l'hégémonie des moteurs grand public et des chatbots IA, un moteur de recherche intégré dans une app VPN, c'était un peu mission impossible.
En vrai, ce double mouvement est très révélateur. Surfshark arrête un produit secondaire (Search) pour renforcer son cœur de métier et ajouter une fonctionnalité qui répond à un besoin immédiat et massif (la protection SMS). C'est de la consolidation intelligente et je trouve que l'échange est équitable (mais bon, j'utilisais pas trop leur search donc ...).
Le VPN reste le cœur du business. Mais Surfshark se transforme progressivement en une plateforme de sécurité multi-produits. VPN, antivirus, protection d'identité (Alert), suppression de données (Incogni) et maintenant protection anti-scam par SMS. Ils ne veulent plus être "juste" un VPN. Ils veulent être votre bouclier numérique global.
Et voilà les deux minutes que je vous avais promises, on va parler pognon. Du 17 août au 7 septembre, Surfshark lance son opération de fin d'été et le deal est simple : le plan One sur 24 mois passe au tarif du plan Starter, soit 2,49 € par mois au lieu de 2,79 €. Autrement dit, la suite complète (VPN, antivirus, bloqueur de pubs et le reste, Scam Text Protection comprise donc) vous coûte exactement le même prix que le VPN tout seul.
C'est relayé chez eux un peu partout, sur la page Deals, la page d'accueil et la grille tarifaire, et même si vous partez sur un Starter, on vous proposera de basculer sur le One au moment de payer. Bref, à ce tarif-là, prendre le plan de base n'a plus vraiment de sens, et ça garde à Surfshark sa très bonne place dans mon classement des meilleurs VPN du moment .
Si vous êtes comme moi et que vous en avez marre de recevoir trois SMS de merde par jour vous demandant de "confirmer votre identité" pour un colis que vous n'avez jamais commandé, cette fonctionnalité est une bénédiction. Surtout que ça fonctionne en arrière-plan, sans que vous ayez à devenir un expert en cybersécurité pour distinguer un vrai SMS de votre banque d'une arnaque.
Dans le doute, ne cliquez jamais sur un lien dans un SMS. Et si vous avez Surfshark One, laissez l'IA faire le tri à votre place.
Proton a dévoilé un nouveau socle logiciel écrit en Rust pour remplacer wireguard-go dans ses applications VPN, ainsi que muon pour lutter contre la censure.
Le post Proton VPN migre vers Rust : un nouveau cœur WireGuard pour ses applications a été publié sur IT-Connect.
Vous croyez que votre identité vous appartient ? Pffff, noob. Qu'elle est en sécurité parce que vous avez un mot de passe compliqué et que vous ne cliquez pas sur les liens suspects ? Re pffff. Détrompez-vous. En 2024, les cybercriminels ont réussi à extorquer 12,5 milliards de dollars aux consommateurs américains, une hausse de 25% en seulement un an (bon c'est des Américains, mais quand même). Et l'IA est le principal coupable.
Oui, l'intelligence artificielle. Cette merveille qui vous aide à rédiger vos mails et à générer des images de chats cosmonautes, c'est aussi l'outil préféré des escrocs pour vous voler votre identité. Et ils sont devenus sacrément bons.
Petite mise en situation réelle (les noms ont été changés pour protéger les victimes comme ils disent à la télé). Vous êtes employé dans une boîte à Hong Kong. Vous recevez un mail du CFO basé à Londres qui vous demande de faire un virement urgent de 25 millions de dollars. Vous vous connectez à une visioconférence. Le CFO est là, vos collègues aussi. Ils discutent, ils répondent à vos questions, tout semble normal. Vous validez le virement.
Sauf que personne n'était réel (sauf vous, peut-être ... on vit dans une simulation il parait). Tous les participants étaient des deepfakes générés par IA. Des visages, des voix, des gestes ... le tout est créé à partir de vidéos publiques trouvées sur le net. La boîte a perdu 25 millions. Vous avez perdu votre job. L'IA s'en fout, elle n'a pas de sentiments.
Ce n'est pas un scénario de film. C'est arrivé en 2024. Et ce n'est qu'un exemple parmi tant d'autres. Des deepfakes d'Elon Musk qui promeuvent des arnaques crypto, des faux appels vocaux de "membres de votre famille" en détresse qui vous demandent de l'argent, des vidéos de Taylor Swift qui offrent des batteries de cuisine en échange de vos coordonnées bancaires. & co. L'IA a rendu l'imposture parfaite.
Les cybercriminels utilisent l'IA à toutes les étapes du vol d'identité :
Le clonage vocal. Avec seulement quelques secondes d'audio (merci vos stories Instagram), l'IA peut reproduire votre voix à la perfection. Plus d'un quart des gens ont été ciblés par des arnaques au clonage vocal. Votre mère reçoit un appel de "vous" en larmes, vous avez besoin de 5 000€ tout de suite. Elle envoie. C'était pas vous. Bye bye votre héritage lol.
Le phishing généré par IA. Fini les mails avec des fautes d'orthographe et des traductions Google Translate. Les LLM comme ChatGPT écrivent des messages parfaitement structurés, personnalisés avec vos données scrapées sur LinkedIn, Facebook, et je ne sais quoi. 40% des emails de phishing ciblant les entreprises sont désormais générés par IA. Ils sont indétectables (pas tous, mais ça viendra assez vite).
Les documents synthétiques. Besoin d'un faux relevé bancaire, d'une fausse carte d'identité, d'un contrat bidon ? L'IA le génère en quelques secondes. Les fraudeurs créent des identités entièrement fictives (le fameux synthetic identity fraud) en mélangeant des données réelles (souvent le numéro de sécu d'un enfant ou d'un défunt) avec des infos inventées. Le crime à l'identité synthétique coûte déjà 6 milliards de dollars par an aux prêteurs américains.
Le cracking de mots de passe : PassGAN, un outil IA, a cracké 51% des mots de passe en moins d'une minute, 81% en moins d'un mois. Votre "MotDePasse123!" ne résiste même pas le temps de faire un café.
Le spyware boosté à l'IA. Les malwares espions sont devenus plus intelligents. Ils évitent la détection, ciblent les infos sensibles avec précision, et les menaces de spyware mobile ont doublé ces derniers mois. Vous cliquez sur une pub, vous installez une app, et paf, tout ce que vous tapez est enregistré et envoyé à un mec dans un bunker.
Vous ne pouvez pas empêcher les deepfakes d'exister. Vous ne pouvez pas empêcher les data brokers de vendre vos infos. Mais vous pouvez limiter ce que les escrocs connaissent de vous. Et c'est là qu'un VPN comme Surfshark entre en jeu.
Pas n'importe lequel. Un VPN qui comprend que la vie privée, c'est pas juste cacher votre IP. C'est surtout réduire votre empreinte numérique globale. Pas juste un VPN, un bouclier contre le vol d'identité.
Surfshark, c'est pas qu'un tunnel chiffré. C'est une boîte à outils de privacy qui attaque le problème du vol d'identité sous plusieurs angles :
Vous devez créer un compte sur un site douteux ? Vous réservez un hôtel sur une plateforme que vous ne connaissez pas ? Alternative ID génère une identité complète (nom, prénom, adresse, email, numéro de téléphone virtuel) que vous utilisez à la place de la vôtre. Les emails arrivent dans votre vraie boîte, mais l'expéditeur ne sait pas qui vous êtes réellement. Fini les fuites de données qui mènent directement à vous.
Vos données traînent partout. Des centaines de sites revendent votre nom, votre adresse, votre numéro, votre historique d'achats. Incogni, inclus dans le pack Surfshark One+, contacte automatiquement ces agrégateurs de données et demande la suppression de vos infos. Vous n'avez rien à faire. C'est comme avoir un avocat de la privacy qui travaille 24/7 pour vous.
Chaque site que vous visitez vous traque. Chaque pub vous profile. CleanWeb bloque les trackers, les pubs et les malwares au niveau DNS. Moins de données collectées = moins de matière première pour les IA des escrocs. C'est simple.
Surfshark a intégré le chiffrement post-quantique dans son protocole Dausos. Pourquoi ? Parce que dans quelques années, les ordinateurs quantiques pourront casser les chiffrements actuels comme du verre. Surfshark s'y prépare déjà. Vos données d'aujourd'hui ne seront pas déchiffrables demain. C'est de la vision. Ou de la paranoïa. Les deux se valent en cybersécurité.
Le cœur du métier. Votre vraie IP est masquée, votre trafic est chiffré en AES-256-GCM, votre FAI ne sait pas ce que vous faites. Sur un WiFi public, dans un hôtel, à l'aéroport, là où les attaques sont les plus fréquentes, vous êtes protégé. Même si un mec sniff le réseau, il ne verra que du chiffré.
Avec Rotating IP, votre adresse change automatiquement toutes les 5 minutes sans coupure. Les sites ne peuvent pas vous tracker à long terme. Les data brokers ne peuvent pas corréler vos sessions. C'est comme changer de costume toutes les 5 minutes dans une foule.
C'est la nouveauté maison, sortie en mai dernier. Au lieu d'aller pêcher chaque fonction dans un recoin différent de l'application, tout est réuni au même endroit : email masqué, numéro de téléphone alternatif, surveillance du dark web qui vous prévient quand vos données fuitent, blocage des sites malveillants et couverture en cas de vol d'identité. Sur le seul mois écoulé, Surfshark dit avoir bloqué près de 1,2 million de nouveaux sites de phishing et de malwares. Le Hub est encore en test sur iOS, les autres plateformes suivront.
Les chiffres qui font peur
L'IA a transformé le vol d'identité en industrie. Ce n'est plus le petit escroc dans son garage. Ce sont des organisations structurées, avec des outils IA à la pointe, qui opèrent à l'échelle mondiale.
Je répète pour ceux du fond : vous ne pouvez pas arrêter l'IA. Vous ne pouvez pas arrêter les deepfakes. Vous ne pouvez pas empêcher les data brokers de vendre vos infos. Mais vous pouvez réduire votre surface d'attaque. Méfiez-vous de l'appel de votre "mère" qui vous demande de l'argent. Comme ça même si c'est vrai, vous avez une bonne raison de refuser et de garder votre argent (rooooh faites pas ça, faut toujours aider sa maman hein).
Un VPN, avec ses fonctionnalités de privacy avancées ne vous rend pas invincible. Mais il rend la vie des escrocs bien plus compliquée. Et, en 2026 et au-delà, chaque couche de protection compte. Votre identité est votre bien le plus précieux. Ne la laissez pas finir sur un dark web market, vendue au prix d'un sandwich. Surtout que vous pouvez vous protéger pour moins cher que ce sandwich, moins de 3€/mois TTC (80.63€ au total pour 2 ans + 3 mois offerts + 1 semaine d'essai gratuit).
N'hésitez pas à jeter un œil sur mon comparateur des meilleurs VPN du moment ;)
Après avoir testé le puissant Flint 2, nous restons aujourd’hui chez GL.iNet mais avec un changement radical de format. Place au Brume 3 (GL-MT5000), une passerelle de sécurité et routeur de poche qui fait un choix audacieux : se passer totalement de Wi-Fi.
Actuellement installé, depuis 8 mois environ, comme routeur principal sur mon infrastructure, ce petit boîtier promet de concentrer toute la puissance de routage et de chiffrement VPN dans un format lilliputien. Tient-il toutes ses promesses au quotidien ? C’est ce que nous allons voir.
Pour la petite histoire, j’ai eu l’opportunité de participer à une sélection de profils pour devenir bêta-testeur de ce Brume 3, et mon profil a été retenu. Reçu début décembre 2025, l’appareil est arrivé accompagné d’une feuille de route bien précise : une liste d’éléments à éprouver scrupuleusement, consignée dans un fichier Excel à remplir et à renvoyer aux équipes de développement de GL.iNet.
Au départ, l’intégration de ce petit routeur dans mon architecture réseau m’a laissé perplexe. Mon installation était déjà bien rôdée autour du Flint 2, qui était caché dans un caisson du meuble TV dans mon salon, pour gérer à la fois le routage et le Wi-Fi. Cette configuration m’imposait d’ailleurs une petite gymnastique de câblage : deux câbles Ethernet devaient faire l’aller-retour entre mon salon et mon sous-sol (où arrive ma box opérateur). Le premier remontait le flux Internet vers le Flint 2, tandis que le second redescendait le réseau filtré vers mon switch 2.5G principal, chargé d’arroser les NAS, les mini-PC Geekom et les prises des chambres et bureaux.
L’arrivée du Brume 3 a bousculé cette routine. Taillé pour le routage pur et nativement pensé pour le VPN, ce petit boîtier méritait logiquement de prendre la place de tête de réseau. J’ai donc sauté le pas : le Brume 3 a pris ses quartiers au sous-sol pour piloter l’infrastructure, tandis que le Flint 2 a été rétrogradé au rôle de simple point d’accès Wi-Fi (récemment installé dans mon bureau après changement de meuble TV, WAF non compatible). Ce jeu de chaises musicales m’a permis d’optimiser mon câblage dans le salon : j’ai ainsi libéré un câble réseau pour relier ma box TV directement à la Bbox du sous-sol, le second restant dédié à mon Apple TV. En clair, j’allie désormais le meilleur des deux mondes : la puissance de routage et du VPN pour le Brume 3, et la couverture Wi-Fi pour le Flint 2.
Si le Flint 2 impressionnait par ses antennes et son volume, le Brume 3 (GL-MT5000) surprend par l’extrême inverse. C’est un boîtier compact, léger, discret, conçu pour se faire oublier dans une baie réseau ou s’isoler derrière une box opérateur avec ses petites dimensions de : 75 x 92 x 25 mm. Et pour seulement une masse de 148 g, ce routeur format mini peut se transporter facilement en voyage pour bénéficier du client VPN intégré ou pour partager une connexion mobile en filaire sur plusieurs ordinateurs.
Ayant eu la chance de participer au programme de bêta-test de l’appareil, j’avais initialement noté quelques petits défauts de jeunesse sur les finitions du boîtier. Force est de constater que GL.iNet est une marque à l’écoute de sa communauté : sur la version commerciale finale, le marquage des ports USB-C est désormais parfaitement lisible et la luminosité de la LED a été ajustée pour ne pas transformer votre bureau en boîte de nuit.
Côté caractéristiques techniques, le Brume 3 ne fait pas semblant et s’intègre parfaitement dans une topologie réseau moderne en 2,5 Gb/s pour maximiser les débits filaires. Il embarque :
Ce brume 3 possèdes des ports à la hauteur de nos exigences actuelles (bien qu’un port LAN ou deux supplémentaires n’auraient pas été de refus), complétés par un port USB indispensable pour y coupler une clé 4G/5G en backup, ou encore y brancher un smarphone pour faire du thethering (partage de connexion), ou enfin pour y brancher un périphérique de stockage USB (clé USB, disque-dur USB…).
Fidèle à la réputation de la marque, la mise en route est un modèle du genre. On branche l’alimentation (via USB-C), on s’y connecte en filaire, et l’assistant nous guide à travers les premières étapes indispensables :
Il existe au besoin un guide d’utilisation et de configuration disponible sur le site de GL.iNet.
L’interface logicielle de GL.iNet, propulsée ici par une version stable et récente du firmware v4.9.0 (disponible depuis le 27 juillet 2026, loin de la version v4.8.4beta2 de mes premiers essais en décembre 2025), reste un modèle du genre pour concilier simplicité et fonctionnalités avancées.
Pour télécharger la dernière version du firmare manuellement plutôt que de laisser le routeur le faire, il faut aller sur le centre de téléchargement de GL.iNet (lien pour le Brume3).
Le tableau de bord offre une vue claire sur l’état du réseau et des clients, il est très similaire à celui du Flint2 que j’ai testé il y a presque deux ans maintenant.
Voici quelques captures d’écrans de cette interface de gestion :
Une nouvelle fonctionnalité introduite dans la version 4.8.4 bêta du firmware du Brume3 est la gestion des flux via le DPI (Deep Packet Inspection) avec filtrage de contenu, ainsi que la QoS (Quality of Service) et le SQM (Smart Queue Management). Le contrôle parental, quant à lui, est arrivé avec la version 4.9.
Cette nouvelle fonctionnalité avait suscité quelques craintes lors de la bêta car le DPI (Deep Packet Inspection), qui affichait initialement des mentions de « Free Trial » ou de licence à obtenir. Rassurez-vous, il n’en est rien. Cette brique d’analyse réseau est aujourd’hui totalement gratuite et disponible sans surcoût. Il est bon de noter que cette fonctionnalité est encore en version bêta et donc toujours en développement.
Techniquement, cette fonctionnalité s’appuie sur le moteur tiers Netify (nDPI) (voir la documentation à ce sujet). Ce dernier utilisant un modèle de double licence (commerciale et open-source), cela explique les lignes de code et les mentions de licence qui s’étaient glissées dans l’interface de test. C’est désormais de l’histoire ancienne, et l’outil s’avère redoutable pour identifier précisément la nature du trafic qui transite sur votre réseau.
Les fonctionnalités suivantes sont disponible à la configuration :
Comme sur les grands modèles, l’intégration native d’AdGuard Home (AdGH) permet de bloquer les publicités, les trackers et les domaines malveillants directement à la racine du réseau, sans installer la moindre extension sur vos appareils. (Ayant une instance dans un LXC dédié, j’ai activé l’application sur le routeur pour faire les captures.)
D’autres applications sont préinstallées avec le firwmare GL.iNet :
Pour les utilisateurs avancés, un simple clic permet de basculer sur l’interface LuCI classique d’OpenWRT (après l’avoir installé via un clic également). C’est ici que l’on peut configurer des règles de pare-feu complexes, des VLANs ou installer des paquets supplémentaires via opkg (la version d’Openwrt 21 sur laquelle est basée le firmware GL.iNet est vieille et est encore avec le gestionnaire de paquet opkg, c’est probablement le seul reproche que je ferais sur ce routeur).
C’est précisément sur ce terrain que le Brume 3 (GL-MT5000) était attendu au tournant, d’autant plus en position de routeur principal sur une infrastructure 2,5 Gb/s. Les tests de performance brute en situation réelle avec des fournisseurs comme Windscribe et Mullvad sous le protocole WireGuard confirment la puissance de la machine.
Voici quelques résultats (benchmarks) fait lors de la phase de beta-test (via mon Macbook Air M2 avec un adaptateur USB-TJ45 Asustor AS-U2.5G2) :
Ces résultats sont vraiment très bons compte tenu que ma connexion internet est à 2000 Mbps en téléchargement et 900 Mbps en envoi.
N’ayant pas de Wi-Fi à tester, l’accent a été mis sur les capacités de routage pur et la tenue en charge des tunnels chiffrés.
Août est arrivé. Vous avez posé vos congés, votre valise est prête, et vous vous apprêtez à partir en mode déconnexion totale (oui parce que tout le monde sait que les vrais, eux, déménagent à cette période). Sauf que votre VPN, lui, il bosse. Et franchement, entre le WiFi de l'aéroport, celui de l'hôtel bidon à trois étoiles sur Booking, et la 4G capricieuse à l'étranger, vous allez bien avoir besoin de lui.
Surfshark vient de sortir deux grosses mises à jour cet été, et si vous partez en vacances sans les connaître, vous ratez quelque chose.
On commence par la grosse annonce de juillet 2026. Surfshark a étendu sa techno FastTrack à plus de la moitié de son réseau de serveurs. Ça veut dire plus de 2 000 serveurs optimisés sur les 4 500+ disponibles. Et le truc ouf ? Des gains de vitesse allant jusqu'à 70% par rapport à une connexion VPN classique.
Alors comment ça marche ? En gros, au lieu de vous envoyer bêtement vers le serveur le plus proche géographiquement, FastTrack analyse en temps réel tous les chemins possibles via l'infrastructure Nexus de Surfshark. Des sondes réparties dans le monde entier testent en permanence la latence et les perfs de chaque route. Résultat : même si le chemin optimal est plus long physiquement, il peut être bien plus rapide parce qu'il emprunte des câbles sous-marins plus récents ou des routeurs plus performants.
Karolis Kaciulis, l'ingénieur système en chef chez Surfshark, explique que "si un chemin plus long peut améliorer les performances grâce à de meilleures conditions, des routeurs plus avancés ou des câbles à plus haute capacité, FastTrack le sélectionnera".
Le seul hic (et c'est un gros hic pour certains) c'est que FastTrack n'est disponible que sur macOS pour l'instant. Les utilisateurs Windows et Android crient déjà au scandale sur Reddit, et Surfshark a promis d'étudier les retours pour décider sur quel OS se focaliser ensuite. Mais si vous avez un MacBook dans votre sac de voyage, vous êtes déjà dans le futur.
La deuxième grosse news, c'est la mise à jour du protocole Dausos en juin 2026. Pour rappel, Dausos est le protocole propriétaire de Surfshark, sorti en avril 2026, qui promet jusqu'à 30% de vitesse en plus que les protocoles standards tout en intégrant du chiffrement post-quantique.
Mais le vrai problème que cette mise à jour résout, c'est la connectivité sur les réseaux verrouillés. Vous savez, ces réseaux d'école, d'université ou d'entreprise qui bloquent les VPN à coups de pare-feu draconiens ? Eh ben Dausos vient de se faire une beauté pour passer à travers. Surfshark a implémenté des "specialized network fixes" qui permettent à Dausos de se connecter même sur les réseaux les plus stricts.
Pourquoi c'est cool pour les vacances ? Parce que si vous êtes en séjour linguistique, que vous travaillez depuis un campus universitaire à l'étranger, ou que vous êtes en déplacement pro dans une boîte qui verrouille tout, Dausos vous permettra quand même de vous connecter. Le protocole randomise les ports à chaque connexion, ce qui rend la détection quasi impossible. Et avec son chiffrement AEGIS-256X2 et sa sécurité post-compromission, même si un attaquant choppe une clé, il ne pourra pas en déduire les futures.
Bon, les nouveautés sont cool, mais Surfshark a déjà une pile de features qui rendent les vacances bien plus tranquilles :
NoBorders : vous arrivez dans un pays où internet est bridé ? Chine, Iran, Émirats arabes unis, Russie ? NoBorders s'active automatiquement quand l'app détecte une restriction réseau. Elle se connecte au serveur le plus proche capable de contourner le blocage. Pas besoin de chercher quoi que ce soit, ça se fait tout seul.
GPS Override : vous voulez accéder à du contenu géobloqué sur une app qui vérifie aussi votre position GPS ? Surfshark propose le GPS Override sur Android. Ça modifie les coordonnées GPS que votre téléphone envoie aux apps, pas juste votre IP. Vous pouvez être physiquement à Paris mais faire croire à Pokémon GO que vous êtes à Tokyo. Ou accéder à YouTube TV américain depuis votre transat en Grèce.
Alternative ID : votre fausse identité de vacances. Vous réservez un hôtel, une location de voiture, un tour en bateau ? Ces sites demandent toujours votre email et votre numéro. Avec Alternative ID, Surfshark génère une identité complète (nom, adresse, email, numéro de téléphone virtuel) que vous utilisez à la place de la vôtre. Les emails sont forwardés vers votre vraie boîte, mais vous pouvez supprimer l'alias à tout moment. Fini les spams de "votre hôtel préféré" qui vous harcèlent six mois après votre séjour.
CleanWeb : en vacances, vous êtes souvent en roaming ou sur des forfaits data limités. CleanWeb bloque les pubs, les trackers et les malwares directement au niveau DNS. Ça réduit votre consommation de data et ça accélère le chargement des pages. Sur une connexion 4G étrangère à 15€ le Mo, chaque kilo-octet compte.
Kill Switch : l'arrêt d'urgence. Vous êtes au bord de la piscine, le WiFi de l'hôtel coupe, et votre VPN tombe. Sans Kill Switch, votre vraie IP est exposée pendant quelques secondes. Avec, votre connexion internet est coupée net. Pas de fuite, pas de panique. Vous reconnectez le VPN et c'est reparti.
Entre deux lignes de code et des mises à jour de protocoles, Surfshark a publié son Impact Report 2025 début juillet (fichier PDF). Et franchement, c'est pas du greenwashing à deux balles. Leurs bureaux de Vilnius et Kaunas fonctionnent à 100% d'énergie renouvelable avec des certifications BREEAM "Excellent". Ils ont planté plus de 9 000 arbres en Lituanie via un défi marche entre employés.
Mais le plus cool, c'est leur Emergency VPN program : en 2025, ils ont fourni un accès VPN gratuit et sécurisé à plus de 2 500 journalistes, activistes et représentants d'ONG opérant dans des régions avec de lourdes restrictions internet. Access Now, la Global Encryption Coalition, l'International Press Institute & co ... Surfshark collabore avec les bonnes personnes.
Leurs serveurs sont 100% RAM-only, un reboot et tout s'efface, zéro trace sur disque dur. La politique no-logs reste auditée par Deloitte, les apps passent les tests de Cure53 et SecuRing, et l'app Android a obtenu la certification MASA. Bref, c'est pas juste du marketing, c'est du concret.
Pourquoi Surfshark reste un des meilleurs VPN du marché ? (voir mon top des meilleurs VPN )
Vous partez en vacances ? Bien. Vous laissez votre cerveau en mode off ? Pourquoi pas. Mais votre sécurité numérique, elle, ne prend pas de vacances. Le WiFi de l'aéroport, celui de l'hôtel, la 4G étrangère, tout ça est un terrain de jeu pour les attaquants.
Avec les dernières mises à jour de Surfshark, vous avez un VPN qui va plus vite, qui passe partout même là où c'est bloqué, qui vous protège de la censure, qui trompe les apps GPS et qui génère des fausses identités pour vos réservations. Dans le doute, chiffrez. Et si vous devez chiffrer en vacances, autant le faire vite, bien, et sans que personne ne le sache.
Actuellement le Starter Pack vous offre 7 jours d'essai gratuit, puis vous paierez 80.68€ TTC pour 27 mois (abonnement 2 ans + 3 mois offerts).
Ma page "Quelle est mon adresse IP" traînait sur korben.info depuis presque 15 ans, à peu près dans son jus d'origine. Hé bien, bonne nouvelle, je viens de la refaire entièrement, et elle est là : korben.info/ip .
Vous arrivez dessus, votre IP publique s'affiche en gros, IPv4 et IPv6 séparées avec un bouton copier, et juste en dessous une grille de cartes déballe tout ce que votre connexion raconte sur vous sans que vous ayez rien demandé. La localisation estimée d'abord, sauf que c'est pas du GPS, juste la ville que les bases GeoIP collent à votre IP (sur mobile ça part parfois à 200 km à côté) mais aussi votre opérateur et son numéro d'AS, de datacenter Cloudflare par lequel vous passez, la latence jusqu'à lui, le protocole, le chiffrement.
Y'a une carte que je trouve bien pratique aussi c'est la carte "VPN ou pas ?". Elle compare le fuseau horaire vu depuis votre IP avec celui réglé sur votre appareil, et repère si vous sortez par une IP de datacenter, le signe quasi certain d'un VPN ou d'un proxy.
J'ai ajouté aussi un petit test de débit maison (descendant, montant, latence, gigue), tout comme le fameux leak WebRTC, ce truc qui balançait votre IP locale à n'importe quel site avant que les navigateurs ne finissent par la masquer. Ça peut encore fonctionner sur de vieux browser alors je l'ai laissé.
Le point important, parce que je sais que vous allez me poser la question, c'est que de mon côté, rien n'est stocké, rien n'est tracé, rien n'est revendu. Tout est lu à la volée entre votre navigateur et mon CDN, qui se contente de faire transiter vos requêtes comme n'importe quel hébergeur. Votre IP en dit déjà bien assez long sur vous comme ça, pas la peine d'en remettre une couche.
Bref, un bon coup de bouc-marque (bookmark, pour les intimes ^^) sur korben.info/ip et vous aurez votre IP et l'état de votre connexion sous la main en un clic.
Vous êtes au café, vous allumez votre VPN pour checker vos mails en toute tranquillité, et là, patatra : la connexion tombe. Votre FAI vient de détecter que vous utilisez un VPN et il vous a bloqué. Sympa, non ?
Sauf que non, c'est pas sympa du tout. Et c'est exactement pour ça que des mecs comme Surfshark ont développé ce qu'on appelle un VPN obfusqué (ou VPN furtif, stealth VPN, camouflage…) bref, ça a plein de noms, mais c'est le même principe : faire passer votre trafic VPN pour du trafic internet ordinaire. Genre, du HTTPS classique, comme quand vous consultez votre banque ou que vous regardez des vidéos de chats sur YouTube.
Alors, pour ceux qui dorment au fond, un VPN classique chiffre vos données. Votre FAI voit un tunnel chiffré, mais il sait que c'est un VPN. Il ne peut pas lire ce qui passe dedans, mais il peut le bloquer. Et dans certains pays (je vous laisse deviner lesquels, coucou la Chine, l'Iran, la Russie & co) les gouvernements utilisent des systèmes de Deep Packet Inspection (DPI) pour repérer et bloquer les connexions VPN en temps réel.
L'obfuscation, c'est une couche supplémentaire qui s'ajoute au-dessus du chiffrement VPN. Elle transforme l'apparence de vos paquets de données pour qu'ils ressemblent à du trafic HTTPS banal. Le FAI voit une connexion sécurisée tout ce qu'il y a de plus banale, donc il laisse passer et vous naviguez peinard. Tout le monde est content, sauf le régime autoritaire, mais bon, c'était un peu le but.
Chez Surfshark, cette fonctionnalité s'appelle le mode camouflage. Et le truc cool, c'est qu'elle s'active automatiquement dès que vous choisissez le protocole OpenVPN. Pas besoin de bidouiller quoi que ce soit. Vous sélectionnez OpenVPN (UDP ou TCP), et bim, Camouflage Mode est en route. Votre trafic ressemble à du HTTPS classique, votre FAI ferme sa bouche, et vous continuez à regarder vos séries en paix.
Mais Surfshark s'est pas arrêté là. En 2022, ils ont lancé Surfshark Nexus , une techno basée sur le Software-Defined Networking (SDN). En gros, au lieu de vous connecter à un serveur VPN isolé, vous vous connectez à tout le réseau Surfshark en même temps. Votre trafic est routé dynamiquement à travers les milliers de serveurs répartis dans 100 pays, sans coupure.
Ça permet des trucs de ouf :
Bon, l'obfuscation et Nexus, c'est déjà énorme. Mais Surfshark en a encore pas mal en réserve :
Déjà, le prix. On parle de moins de 2,75€ par mois TTC si vous prenez un abonnement longue durée (2 ans + 3 mois offerts). Pour un VPN avec autant de fonctionnalités, c'est du vol. Les autres gros VPN du marché coûtent sensiblement plus cher pour des perfs équivalentes, voire inférieures sur certains points.
Ensuite, la politique no-logs auditée indépendamment par Deloitte et d'autres. Ils ne gardent pas votre historique de navigation, pas vos timestamps, pas votre bande passante utilisée. Ils retiennent juste votre IP pendant la session active (pour éviter les abus) et la suppriment dans les 15 minutes suivant la déconnexion. C'est vérifié, c'est clean.
Les serveurs sont 100% RAM-based, c'est-à-dire qu'ils ne stockent rien sur disque dur. Un reboot et tout est effacé. Même si le Efff Biii Aïe débarque avec un mandat, y'a rien à saisir.
Et puis y'a le PCMag Editor's Choice award qu'ils ont récemment reçu . Quand les mecs de PCMag, qui testent des VPN toute la journée, disent que t'es dans le top, c'est que t'as quelque chose de solide.
Pas tout le temps, hein. Si vous êtes chez vous en France avec un FAI lambda, un VPN classique suffit amplement. L'obfuscation, c'est pour :
Bref, quand vous avez besoin de passer inaperçu même dans le fait d'utiliser un VPN.
Cela dit il faut noter un léger bémol. L'obfuscation a un coût sur les perfs. Ajouter une couche de chiffrement par-dessus le chiffrement existant, ça ralentit un peu. On parle de 10 à 30% de perte de vitesse selon les tests. Sur un réseau fibre à 1 Gb/s, vous ne verrez rien. Sur une connexion 4G capricieuse dans un pays lointain, ça peut se sentir. Mais franchement, entre un peu moins de vitesse et pas de connexion du tout, le choix est vite fait.
Et puis, si vous êtes sur un réseau normal, vous désactivez Camouflage Mode, vous repassez sur WireGuard ou Dausos, et vous récupérez votre vitesse maximale. C'est pas un réglage figé. En voyage, sur un réseau d'entreprise verrouillé, ou juste pour que votre FAI ne devine pas que vous êtes sous VPN (le voisin de table au café avec son laptop non plus, d'ailleurs), Surfshark a ce qu'il faut. Dans le doute, vous chiffrez. Et le jour où il faut chiffrer sans que ça se remarque, vous obfusquez. Voilà.
En voilà une bonne nouvelle ! La Cour de justice de l'Union européenne vient de rendre un arrêt le 9 juillet dernier qui précise que contourner un géoblocage avec un VPN ne fait pas de vous un pirate.
Et croyez-moi, nos ayants droit préférés ne vont pas adorer.
En plus, toute cette affaire est un petit bijou de bizarrerie juridique. Les manuscrits d'Anne Frank sont protégés par le droit d'auteur aux Pays-Bas jusqu'en 2037, mais ils sont déjà tombés dans le domaine public dans plein d'autres pays européens, comme la Belgique par exemple. En septembre 2021, l'Anne Frank Stichting, la fondation d'Amsterdam qui gère la Maison d'Anne Frank, a mis en ligne gratuitement une édition scientifique des manuscrits, en néerlandais, avec un géoblocage pour couper l'accès depuis les pays où l'œuvre reste protégée.
Et c'est à ce moment-là, que l'Anne Frank Fonds, la fondation suisse qui détient les droits de l'œuvre, attaque car pour elle, un blocage qu'on peut déjouer avec un simple VPN ne protège rien du tout.
Alors comme c'était un peu compliqué, la Cour suprême des Pays-Bas a renvoyé la question à Luxembourg.
Et la réponse de la CJUE est claire comme de l'eau de roche : le géoblocage suffit. Tant qu'il est fait dans "l'état de l'art", c'est une mesure efficace, même si un VPN peut le contourner en deux clics. Le simple fait qu'on puisse passer outre ne transforme pas la mise en ligne en "communication au public" illicite.
Et voici le passage qui nous intéresse vraiment : le fournisseur de VPN n'est pas responsable. Il ne donne pas accès à l'œuvre et ne joue "aucun rôle indispensable" dans sa diffusion, écrit la Cour. Si un jour un géoblocage bâclé laisse fuiter une œuvre protégée, c'est celui qui l'a mise en ligne qui répond, pas le VPN qui a servi à sauter la barrière.
Attention quand même à ne pas sur-interpréter non plus... Cela ne veut pas dire que la Cour vous délivre un permis de pirater tranquille via VPN. Elle parle d'une œuvre déjà libre de droits quelque part, de la responsabilité de l'éditeur, et elle blanchit les fournisseurs de VPN au passage. Mais le message de fond c'est bien que le VPN reste un outil parfaitement légal , et pas un complice.
Sauf qu'en France, vu qu'on est des gros nuls, on fait tout l'inverse. Pendant que le Luxembourg range le VPN du côté des outils neutres, la justice française le traite comme un FAI qu'on réquisitionne. Canal+, qui tient les droits de la Premier League et du Top 14, a déjà fait condamner les cinq gros du secteur, NordVPN, ExpressVPN, CyberGhost, Proton et Surfshark, à bloquer les sites de streaming sportif pirate pour leurs abonnés français.
Proton s'est même retrouvé sommé de filtrer une trentaine de domaines fin janvier 2026, avec des ordonnances "dynamiques" que l'Arcom peut étendre à la volée. Je vous racontais déjà tout ça quand la France a commencé à ordonner aux VPN de bloquer ces sites .
Notez aussi que Proton, société suisse, avait justement annoncé vouloir porter la question du blocage des VPN devant la CJUE. L'arrêt Anne Frank tombe donc très bien car ça leur fait plus de munitions.
Reste maintenant LA vraie question : les injonctions françaises, fondées sur le Code du sport, tiendront-elles face à la jurisprudence de Luxembourg ? Vivement le prochain round ^^.
Le rapport de transparence de Proton VPN vient d'être actualisé : 47 ordonnances suisses reçues au premier semestre 2026, toutes refusées faute de logs.
Le post Proton VPN : 458 réquisitions judiciaires depuis 2017, et toujours zéro donnée transmise a été publié sur IT-Connect.
Google est allé raconter à la Commission européenne ce que les gens qui s'y connaissent un peu en réseau répètent depuis 15 ans : Bloquer les résolveurs DNS, les VPN et les adresses IP pour lutter contre le piratage, ça ne marche pas.
Dans un document envoyé pour la consultation sur la révision de la directive copyright, Mountain View écrit que "bloquer les résolveurs DNS, les IP ou les VPN est inefficace, car cela ne supprime pas du tout le contenu et se contourne facilement en utilisant des résolveurs DNS alternatifs".
Le plus marrant ??? Bah c'est que Google sait très exactement de quoi il parle, vu que la justice française l'oblige déjà à filtrer son propre résolveur 8.8.8.8 pour protéger les matchs de foot de Canal+ (Fun fact : J'ai pas vu une seule image, ni score, ni entendu une seule histoire à propos de la Coupe du Monde cette année, tellement les algos savent que ça ne m'intéresse pas.... loool)
Pour ceux qui débarquent (oué oué), le blocage DNS, c'est demander aux annuaires du net (souvent ceux de votre FAI) de faire semblant de ne pas connaître l'adresse d'un site. Le site reste en ligne, ses serveurs tournent, et vous le retrouvez facilement en moins de 2 min, en changeant de résolveur ou en allumant un VPN.
Le blocage d'adresses IP, c'est encore pire, parce qu'une même adresse est souvent partagée par des milliers de sites sans aucun rapport entre eux... En bloquer une, ça revient donc souvent à couper l'électricité de tout l'immeuble pour punir un seul locataire.
Et des immeubles plongés dans le noir, la soumission de Google en aligne toute une collection. Je pense par exemple à ce document étiquetté "Privileged and Confidential" que la Commission a quand même publié (lol, des champions, je vous dis !) et qui cite le nom de clients de Google Cloud parfaitement en règle, qui pourtant ont été entièrement coupés à Internet fin 2019 au Portugal. Tout ça parce que des fournisseurs d'accès Internet locaux avaient bloqué des ASIP partagés pour viser certains sites pirates...
Ou encore un sous-domain de Google Drive ainsi que des IP Cloudflare sur lequel reposaient plus de 42 millions de domaines victimes du Piracy Shield italien. Ah et j'ai oublié l'Espagne qui vient compléter ce joli bingo parce que là-bas les blocages réclamés par LaLiga (la ligue de foot locale) durant les matchs, on fait carrément tomber +550 000 dont les sites d'Amnesty International, de l'UNICEF, du Sénat australien, de la Stanford Law Review et même des serveurs Amazon S3.
Et en France, je ne sais pas si vous vous souvenez, mais Cisco a carrément préféré débrancher son service OpenDNS plutôt que de se plier aux ordonnances de la justice. Quelle bonne ambiance dans ce terreau fertile à la dictature qui nous fonce dessus comme un train de la Deutsche Reichsbahn. (Point Godwin atteint, j'm'en fous, je fais ce que je veux, c'est mon site ^^).
Du coup, les ayants droit réclament maintenant de bloquer aussi les résolveurs alternatifs et les VPN eux-mêmes... et c'est exactement cette fuite en avant que Google demande d'arrêter. En tout cas dans son message, Google rappelle vivement ce que l'industrie du divertissement refuse d'entendre depuis l'époque de Napste : Quand vous avez un catalogue de merde émietté entre des dizaines de plateformes pour des prix exorbitants, avec de la pub, une qualité assez basse et des tas d'œuvres manquantes, eh bien, il ne faut pas s'étonner que le téléchargement illégal reparte de plus belle.
Maintenant, c'est vrai que Google ne joue pas les chevaliers blancs par pure bonté d'âme. En fait, ce qu'ils défendent, c'est leur résolveur maison, leur cloud et leurs clients. Elle reste par exemple très silencieuses sur tous les projets de loi de blocage qui avancent en ce moment même au Congrès américain.
Mais sur le fond, on ne peut pas leur donner le tort surtout quand je vois que le DNS4EU, le résolveur souverain européen, se fait déjà mettre la pression pour filtrer les sites pirates.
Voilà, la consultation est close depuis le 25 juin dernier et la commission est actuellement en train d'éplucher toutes les contributions pour décider des futures conneries qu'elle va faire. On croise les doigts quand même.
Les attaques Adversary-in-the-Middle (AiTM) représentent l'évolution sophistiquée des classiques attaques Man-in-the-Middle. Contrairement à l'écoute passive, l'attaquant s'insère activement entre la victime et le service légitime, usurpant les deux parties pour intercepter, modifier et rediriger les communications. Ces attaques permettent de voler des identifiants, de contourner l'authentification à deux facteurs (2FA) en capturant les cookies de session, et même de manipuler les transactions financières en temps réel. Des outils facilitent grandement la mise en place de ces attaques et l'une des protections valables repose sur le chiffrement des communications (VPN, HTTPS), l'authentification multi-facteurs résistante au phishing (WebAuthn) et la vigilance face aux liens suspects.
Faites preuve d'un peu d'imagination pendant quelques minutes. Vous êtes tranquillement installé au Starbucks du coin, vous buvez votre latte caramel macchiato à 7 balles, et vous vous connectez au WiFi public pour checker vos mails. Sauf que le mec à la table d'à côté, avec son hoodie noir et son MacBook Pro qui sent le terminal, n'est pas là pour boire son café. Il est là pour se positionner entre vous et le reste du monde.
Et là, on ne parle pas d'un simple Man-in-the-Middle à l'ancienne, non non. On parle d'un Adversary-in-the-Middle, le gros calibre. La différence ? Le mec usurpe activement les deux côtés de la conversation. C'est pas juste un petit curieux qui écoute aux portes. C'est un escroc qui se fait passer pour votre banque ET pour vous, en même temps. Il relaie tout, modifie ce qu'il veut, et vous, vous ne voyez rien.
"Mais j'ai la 2FA, je suis blindé !"
Hé ben non. C'est là que ça pique.
Les attaques AiTM ont un super-pouvoir de merde : elles contournent la 2FA. Comment ? Le mec crée un site parfaitement identique à celui de votre banque. Vous cliquez sur le lien du mail de phishing et vous arrivez sur sa copie. Login, mot de passe, et PAF, le code SMS arrive. Vous le rentrez. Sauf que le code passe par le serveur du mec au milieu, qui le relaie en temps réel à la vraie banque. Résultat ? Il a votre session, vos cookies, et il peut se connecter à votre compte pendant des heures sans que vous vous en rendiez compte.
C'est ce qu'on appelle le session hijacking. Vous avez validé l'authentification, et pourtant c'est lui qui se retrouve connecté à votre place. Et il peut même modifier les données en transit : changer le numéro de compte bénéficiaire d'un virement, injecter du malware dans une mise à jour, bref, tout ce qui lui chante.
Des outils comme Evilginx2 traînent dans la nature depuis 2018 et permettent à n'importe quel script kiddie de monter ce genre d'attaque en 10 minutes. Le framework MITRE ATT&CK a même une entrée dédiée pour ça (T1557), tellement c'est devenu courant.
"Ok, et je fais quoi alors ?"
Ben déjà, arrêtez de cliquer sur les liens de vos mails comme un débile. Mais surtout, surtout, chiffrez votre connexion. Et là, un VPN entre en jeu.
Pas n'importe lequel. Un VPN qui sait ce qu'il fait. Je vous en parle régulièrement (j'espère qu'à force ça finit par rentrer hein) mais, récemment, Surfshark vient encore de se faire remarquer en recevant le PCMag Editor's Choice award . Ce qui, dans le monde des VPN, est un peu comme recevoir une étoile Michelin pour un kebab. Ça veut dire que les mecs de PCMag, qui testent ce genre de truc toute la journée, ont trouvé que Surfshark tenait la route.
C'est simple. Lorsque vous activez Surfshark , tout votre trafic passe dans un tunnel chiffré entre votre machine et le serveur VPN. Même si le mec au Starbucks contrôle le routeur, même s'il fait de l'ARP spoofing, du DNS poisoning, ou je ne sais pas quelle autre magie noire, il verra que dalle, juste des paquets chiffrés illisibles, point barre.
Pas d'identifiants en clair, pas de cookies de session à sniffer, et pas moyen de modifier une page web en transit. Le gars peut toujours essayer de vous rediriger vers son faux site, mais votre connexion VPN reste intacte et chiffrée.
Et Surfshark, en plus du chiffrement AES-256-GCM (celui que la NSA approuve pour ses documents top secret, pour ceux qui aiment les détails techniques), propose des fonctionnalités sympas :
Alors oui, un VPN ça coûte un peu d'argent. Mais franchement, entre payer quelques euros par mois et se faire vider son compte bancaire par un mec qui a sniffé votre session sur le WiFi du McDo, le choix est vite fait. Surtout que Surfshark propose des abonnements longue durée à prix cassés, et avec leurs offres actuelles, vous en avez pour moins cher qu'une paire de cafés par mois (2.75€ TTC pour le pack Starter ou 3.35€ TTC pour Surfshark One avec l'antivirus & co).
Et puis, ils ont aussi une politique de no-logs auditée indépendamment et régulièrement. C'est-à-dire qu'ils ne gardent aucune trace de ce que vous faites. Contrairement à votre FAI qui sait exactement à quelle heure vous regardez vos séries un peu spéciales sur Netflix.
Bref
Les attaques AiTM n'ont rien de la science-fiction. Ça arrive tous les jours. Microsoft a documenté une campagne qui a ciblé plus de 10 000 organisations depuis 2021. Twitter (pardon : X), Microsoft 365, Slack, Twilio... tous ont morflé à cause de ce genre d'attaque. Et vous, sur votre WiFi public, vous êtes une cible parfaite.
Un VPN comme Surfshark n'est pas une baguette magique qui vous protège de tout. Si vous cliquez sur un lien de phishing, le VPN ne vous sauvera pas de votre propre étourderie. Mais il vous protègera de l'interception passive et active sur les réseaux non sécurisés. Et ça, c'est déjà énorme. Dans le doute, chiffrez. Toujours.
Comme je vous le disais tout à l'heure, en avril 2026, le FBI a coincé un membre présumé de Scattered Spider. Le mec planquait son trafic derrière un VPN, avec des IP dans trois pays différents. Et devinez quoi ? Ce n'est pas une fausse manip qui l'a balancé mais un identifiant que votre Windows se trimballe H24 et que Microsoft refile aux autorités quand elles le demandent : le GDID. Je vous en ai déjà causé dans cet article , et après avoir écrit l'article, je me suis demandé si on pouvait le virer.
Du coup j'ai monté une petite VM Windows 11 Pro et j'ai mis les mains dedans en me faisant assister de mon LLM préféré et voilà ce que j'ai trouvé. Ce qui marche, et surtout ce qui ne marche pas du tout, vous allez voir.
Déjà, faut comprendre ce qu'est ce GDID. C'est pas le numéro de série de votre carte mère, c'est pas un hash en lien avec votre matos. Non, c'est un PUID de 64 bits, c'est-à-dire un identifiant que les serveurs de Microsoft collent à votre compte dès que vous ouvrez une session Windows. Il est écrit en clair dans votre registre, votre machine l'enregistre dans un annuaire côté Microsoft, et un service le fait remonter peinard quand c'est nécessaire. Et si vous changez d'IP avec un VPN, bah lui il s'en fout. Le GDID ne bouge pas d'un poil.
On commence par le voir de nos yeux. Ouvrez un PowerShell et collez ça :
Connexion$lid=(Get-ItemProperty 'HKCU:\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties').LID
"g:$([Convert]::ToUInt64($lid,16))"
Sur ma VM, ça m'a craché g:6755487812206045. C'est celui que Microsoft peut raccrocher à tout ce que je fais. (En théorie hein, parce que c'est le code qui est associé à ma VM, donc je m'en fous et c'est pour ça que je vous le montre).
Vous venez de lire l'étiquette qu'on vous a collée dans le dos.
Réflexe de base, on efface la clé dans la base de registres HKCU:\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties et hop, plus de mouchard. C'est ce que j'ai testé au début... J'ai shooté la valeur, redémarré le service qui s'en occupe, et là plus rien. Gagné ? Ben non. J'ai ouvert le Microsoft Store durant deux petites secondes, et le GDID est revenu. Et pas un nouveau, hein, LE MÊME !!
C'est ça qui est fou. C'est que votre GDID n'est pas planqué sur votre disque, il est planqué chez Microsoft, bien accroché à votre compte comme une moule à son rocher. Votre PC ne fait que le retélécharger encore et encore. Après si vous réinstallez tout, Windows vous donne un nouveau numéro, d'accord, mais l'ancien et tout ce qui y était rattaché restent tout de même bien au chaud sur leurs serveurs. Le passé, on le récupère jamais...
Un autre conseil qu'on voit partout, c'est de désactiver la télémétrie de Windows. Sur ma VM, le service de télémétrie classique était déjà à l'arrêt. Et pourtant mon GDID était là, bien lisible, et les services qui le font remonter tournaient à plein régime. Le mouchard ne passe pas par la télémétrie que vous croyez couper. Il passe ailleurs, par les services de la plateforme d'appareils connectés et de l'optimisation de distribution.
Vous pouvez donc cliquer sur tous les boutons vie privée des réglages, il s'en tape.
Alors puisqu'on peut pas l'effacer, on va faire la seule chose qui est en notre pouvoir : L'empêcher de sortir. Et sans se déconnecter du compte Microsoft, histoire de garder un PC utilisable, hein.
Et pour ça, on a 2 leviers. Le premier, c'est de désactiver les services qui enregistrent et remontent les infos de votre machine. Le second, c'est de renvoyer les serveurs de Microsoft dans le décor simplement via le fichier hosts, comme ça même si les services qui mouchardent tournent, et bien ils ne peuvent plus joindre personne... Et surtout, on ne touche pas à login.live.com, sinon adieu la connexion à votre compte.
Toutefois, il y a un petit piège, vous vous en doutez... Le service qui fait remonter le GDID, DoSvc, refuse de se laisser désactiver par la voie normale. Même en admin, Windows vous balance "Accès refusé". La parade, c'est donc de le désactiver direct dans le registre, où l'admin a le droit d'écrire là où le gestionnaire de services vous bloque.
Maintenant pour faire ça, plutôt que de vous mettre des tonnes de lignes de code à copier-coller, j'ai tout regroupé dans des scripts propres, que j'ai testés, avec une commande pour tout remettre comme avant.
Le projet est là : no-gdid sur GitHub . Vous lancez d'abord l'audit en lecture seule pour voir où vous en êtes, puis les scripts de blocage en mode aperçu, et seulement après avec l'option qui applique vraiment. Testez dans une VM avec un snapshot avant de faire ça sur votre vraie bécane, parce qu'on désactive quand même des services système. Et si vous voulez juste couper le réseau d'un process précis sans tout ce cirque, ce bon vieux ProcNetBlocker fait déjà une partie du taf.
Ouvrez un PowerShell en administrateur, et la première fois faites-le dans une VM avec un snapshot histoire de tester et de vous familiariser avec les commandes. Étape 1, on clone le projet :
winget install --id Git.Git
git clone https://github.com/Korben00/no-gdid
cd no-gdid
D'abord on regarde sa propre situation. Cet audit est en lecture seule, il ne modifie rien, il vous affiche juste votre GDID et quels services de la chaîne tournent :
powershell -ExecutionPolicy Bypass -File .\audit\Get-GDID-Audit.ps1
Ensuite on regarde ce que la mitigation changerait, sans rien appliquer. Sans l'option -Apply, les deux scripts tournent en mode aperçu et se contentent de lister ce qu'ils feraient :
powershell -ExecutionPolicy Bypass -File .\mitigate\Disable-GDID-Services.ps1
powershell -ExecutionPolicy Bypass -File .\mitigate\Block-GDID-Endpoints.ps1
Si ça vous va, on coupe pour de vrai. Cette fois on ajoute -Apply : les services qui enregistrent et remontent l'appareil sont désactivés, et les serveurs de Microsoft correspondants sont renvoyés dans le vide via le fichier hosts. Votre compte Microsoft, lui, reste connecté :
powershell -ExecutionPolicy Bypass -File .\mitigate\Disable-GDID-Services.ps1 -Apply
powershell -ExecutionPolicy Bypass -File .\mitigate\Block-GDID-Endpoints.ps1 -Apply
Et pour tout remettre comme avant, une seule commande :
powershell -ExecutionPolicy Bypass -File .\mitigate\Revert-GDID.ps1
Une fois appliqué, tout redeviendra calme... les services d'enregistrement seront à l'arrêt, leurs serveurs injoignables, et votre compte Microsoft restera toujours connecté. Le GDID reste bien évidemment lisible sur le disque, mais il ne remontera plus chez Microsoft.
Après, je ne vais pas faire un tuto qui vous vend du rêve. Ces manips réduisent ce que Microsoft pourra corréler à l'avenir mais elles n'effacent pas votre GDID, qui traîne sur leurs serveurs depuis votre toute première connexion, et elles ne vous rendent pas anonyme. Ensuite, passer en compte local comme j'ai pu le lire ailleurs supprime le chemin qu'on vient de bloquer, mais rien ne prouve encore qu'un identifiant anonyme ne prend pas le relais derrière.
La seule vraie parade solide pour une activité sensible, est plus brutale : ne pas faire cette activité sous Windows. Un Linux live par exemple offre un contrôle total de ce qui sort de votre machine. Le reste, c'est que de la réduction des dégâts, rien de plus.
Voilà, défendre sa vie privée, ça commence par savoir ce qu'on vous colle sur le dos et maintenant vous le savez. Pas merci Microsoft.
Source : The Register et le reverse engineering de SmtimesIWndr .
Putain, c'est abusé, vous allez voir ! Peter Stokes, 19 ans, accusé d'appartenir au groupe Scattered Spider, enchaînait les VPN et changeait de pays pour brouiller les pistes mais le FBI l'a quand même coincé. Et vous savez grâce à quoi ?
Hé bien grâce à un petit numéro planqué dans son Windows. C'est Microsoft qui l'a mouchardé aux enquêteurs et ça a suffi pour le relier à une intrusion malgré tous ses VPN.
Et alors me direz-vous, vous aussi vous avez un numéro sur votre machine qui peut servir à vous identifier... Ce truc s'appelle le GDID, pour Global Device Identifier et c'est un identifiant unique qui est attribué lors de chaque installation de Windows. Il sert à la télémétrie, au rapport de plantage, à la vérification des licences et surtout il reste constant même après des mises à jour.
Vous ne le voyez jamais, vous ne l'avez jamais choisi, et il ne bouge pas d'un poil quand vous changez d'adresse IP. Normal, un VPN protège la couche réseau, mais pas ce que laisse fuiter votre OS. Et ça on l'apprend dans la plainte de 39 pages qui a été rendue publique début juillet, où elle expliquait comment Microsoft a fourni au FBI l'historique des adresses IP rattachées à ce GDID précis.
Les enquêteurs n'ont eu qu'à croiser ça avec les comptes perso de Stokes, de son compte Apple à ses comptes de gaming, en passant par Snapchat et Facebook, pour finalement découvrir des adresses IP à Tallinn, New York, ou encore la Thaïlande, ce qui correspond exactement à ses déplacements.
Le mec pouvait empiler 10 VPN s'il le voulait, Microsoft le suivait à la trace quand même. Et c'est là que ça me hérisse le poil, parce que le problème, ce n'est pas que la justice ait serré un type accusé d'avoir extorqué des millions. Ça, c'est le boulot du FBI, et tant mieux s'ils l'ont arrêté.
Non, le vrai problème, c'est que Microsoft dispose d'un identifiant permanent sur plus d'un milliard de machines, qu'ils ne communiquent pas dessus, qu'ils le partagent tranquille sur demande, et qu'on ne peut même pas le désactiver.
Alors on fait quoi ? Bah déjà, on arrête de subir. Vous pouvez installer Windows 11 sans compte Microsoft pour couper une partie de la laisse, désactiver la télémétrie facultative pour limiter les autres fuites, ou carrément regarder du côté d'une stack privacy européenne . Aucune de ces astuces ne touchera au GDID par contre, car il n'y a aucun bouton pour ça, et c'est bien ça le fond du problème.
Mais bon, j'imagine que des petits malins vont sortir des logiciels qui vont permettre soit de désactiver ce numéro ... Et là, vous pourrez compter sur moi pour que je vous le partage. Quoi qu'il en soit, quand vous utilisez Windows, gardez juste en tête que vous n'êtes jamais vraiment seul. Et que quelqu'un vous épie en permanence... Brrrr.
Cet article a été réalisé en collaboration avec Bitdefender
La sécurité de vos données personnelles ne dépend pas que de vous. Découvrez comment Bitdefender Ultimate Security vous protège au-delà de votre navigation web.
Cet article a été réalisé en collaboration avec Bitdefender
Il s’agit d’un contenu créé par des rédacteurs indépendants au sein de l’entité Humanoid xp. L’équipe éditoriale de Numerama n’a pas participé à sa création. Nous nous engageons auprès de nos lecteurs pour que ces contenus soient intéressants, qualitatifs et correspondent à leurs intérêts.
[Deal du jour] La sécurité de vos connexions ne doit pas passer par des dépenses folles ni un budget mensuel exorbitant. C’est pourquoi de nombreux VPN proposent aujourd’hui des tarifs très compétitifs afin de rendre la protection en ligne accessible au plus grand nombre.
OpenVPN 2.7.5 corrige sept vulnérabilités : use-after-free, fuites mémoire et débordements de tampon, dont plusieurs peuvent faire planter un serveur VPN.
Le post OpenVPN : 7 failles corrigées, risque de crash du serveur a été publié sur IT-Connect.
