-- Article en partenariat avec Incogni --

En ce moment c'est la Cybersecurity Awareness Week, la semaine de l'année où tout le monde vous ressort les mêmes conseils de sécurité depuis 15 ans. Changez vos mots de passe. Activez la 2FA. Ne cliquez pas sur les liens suspects. Merci, on avait compris.

Sauf qu'il y a un truc dont on parle beaucoup moins, et pourtant c'est probablement un des chantiers les plus importants. Celui de gérer tout ce que les data brokers savent de vous. Pas vos mots de passe, hein, je parle de votre nom, votre adresse, votre téléphone, votre date de naissance, vos revenus supposés, vos centres d'intérêt, vos achats sur le web & co. Le tout empaqueté en un seul joli profil revendu au plus offrant, sans que vous n'ayez jamais rien signé.

Et une étude qu'Incogni vient de publier montre que vous le savez très bien, d'ailleurs. Après avoir effectué un sondage auprès d'un millier d'internautes, les chiffres sont vraiment assez clairs : plus d'une personne sur deux (52% pour être exact) est convaincue que ses données finiront exposées dans une fuite. Même que 63% disent que cette perspective les rend anxieux (ne vous inquiétez pas, ça va bien se passer lol). Autant dire qu'on n'est pas loin de la résignation généralisée. Ce qui doit encore être pire chez nous, pauvres petits Français, qui savons que tous nos sites gouvernementaux et sites sensibles (mutuelles & co) leakent aussi souvent qu'il y a de l'orage. Alors oui, moi aussi ça me rend nerveux. Mais se résigner, non merci, pas de ça chez tonton Korben.

"J'ai déjà partagé trop d'infos de toute façon"

C'est le 2e gros constat de l'étude : 1 personne sur 2 regrette d'avoir partagé des informations personnelles en ligne. Chez les femmes de la Gen Z, ça monte même à 61%. Et c'est le drame classique de l'ère numérique, ce que vous postez (ou confiez à un formulaire) à 17 ans pourra encore vous suivre à 40. Les données, ça ne s'oublie pas, ça se recoupe, se revend, se ressuscite.

Ajoutez à ça le flot de slop IA qui inonde les résultats de recherche et vous obtenez des personnes qui disent avoir du mal à savoir ce qui est réel en ligne. Et plus vous êtes vieux plus le doute règne. Au final on se retrouve avec un internet où plus personne ne fait vraiment confiance à rien. Un quart des répondants déclarent vouloir passer significativement moins de temps en ligne à cause de tout ce contenu généré à la chaîne. Tendance entérinée par le fait que 6 internautes sur 10 ont déjà supprimé au moins un compte de réseau social ou de messagerie à cause de la surcharge mentale, du stress, de l'anxiété ou des problèmes de vie privée.

Bref, les gens sont crevés, exposés, voire un peu dégoûtés. Mais voilà le paradoxe que l'étude met aussi en lumière : 1/3 paieraient pour accéder à un internet sans tracking ni algorithmes. Chiffre qui grimpe autour des 40% chez les hauts revenus, mais qui chute à 22% chez les plus modestes. Traduction : la vie privée devient un produit de luxe.

Faire faire le sale boulot à votre place

Incogni fait exactement ce que personne n'a envie de faire à la main tout seul dans son coin. La première étape sera de lui renseigner quelques infos perso que vous trouvez trop sensibles (votre nom, prénom, adresse, email). Vous signez ensuite une procuration numérique et le service commence quasi de suite à envoyer les demandes de suppression. Le processus prend réellement moins de 10 minutes. Bien loin des heures qu'il faudrait pour tout faire soi-même. Et pour donner un peu de poids aux demandes il s'appuie sur les réglementations (RGPD, CCPA et textes équivalents pour le Canada).

Parce que oui, vous avez déjà en votre pouvoir le droit légal de demander la suppression de vos données et ça auprès de n'importe qui. Le vrai souci c'est d'exercer ce droit vous-même. Parce que concrètement ça représente des dizaines d'heures de recherches pour trouver les brokers, remplir des formulaires ou envoyer des mails, effectuer un suivi, lancer des relances, etc. Et faire ça pour chaque broker ? Pfffff on a tous autre chose à faire de nos précieuses heures. L'outil d'Incogni prend votre droit théorique et en fait un droit exercé, et surtout il le fait en continu. Après une première vague d'envois, comptez 30 à 45 jours pour les réponses (et oui, les brokers ont des délais légaux aussi). Ensuite le service scannera à nouveau les mêmes acteurs tous les 2 à 3 mois et renverra des demandes si vos données n'ont pas encore été supprimées. Ou si elles ont déjà fait leur grand retour. Parce que oui, parfois elles reviennent. C'est le principe même du jeu, car les brokers "re-scrapent" ou rachètent des bases en permanence.

Vous pourrez suivre tout ça via votre tableau de bord. Tout est indiqué de manière visuelle : les demandes envoyées, en cours, terminées, mais aussi les brokers placés en suppression (c'est-à-dire ceux à qui on a dit de ne plus jamais vous réimporter). Et si vous voulez plus d'assurance, des tests indépendants confirment le sérieux du processus. Je l'ai vu avec mon utilisation personnelle et l'équipe de Security.org a vu plus de 100 profils retirés en deux semaines de test. Et tout a été audité par des cabinets comme Deloitte (août 2025). Ce qui est déjà mieux que rien dans une industrie où tout repose habituellement sur du "faites-nous confiance, on est sympas".

Le mode sniper

Un truc que j'aime beaucoup avec l'offre Unlimited c'est que vous pouvez pointer du doigt un site précis qui expose vos données. Que ce soit un annuaire de recherche de personnes, une base obscure où traîne votre numéro, peu importe. Il suffit d'envoyer l'URL au service qui va s'en occuper. Et il n'y a pas de limite au nombre de requêtes possible. C'est le mode sniper pour les cas que la liste standard ne couvre pas.

Et pendant qu'on y est, conseil perso que je vous ai déjà donné et que je remets ici : créez une alerte Google sur votre nom. Vous serez étonné (voire horrifié) de ce qui traîne. Chaque fois que vous tombez sur une fiche qui vous concerne, vous la filez à Incogni et vous passez à autre chose.

Petite parenthèse honnêteté, comme d'habitude, pour vous dire qu'Incogni n'est pas une baguette magique. Ça ne va pas aller effacer vos infos jusque dans les registres publics, les dossiers judiciaires et ne va pas aller effacer vos propres posts sur les réseaux. Il ne va pas non plus aller modifier directement les résultats sur les moteurs de recherche & co. Par contre en supprimant les données à la source, les liens finissent par mener vers des pages mortes qui disparaîtront des résultats. Quant au paradoxe de confier vos données à un service pour les faire supprimer ? Ils les chiffrent via l'algo AES-256, s'engagent à ne pas les revendre (vérifié par des audits tiers indépendants) et purgent vos infos sous 12 mois si vous résiliez. Vous pouvez même demander explicitement un effacement immédiat.

Le problème c'est que pour beaucoup, dire "moins de données chez les brokers" ... ça sonne abstrait. Dans la pratique cela veut dire :

• un démarchage moins ciblé, car les listes marketing s'appauvrissent. Ce qui se voit assez vite dans la boîte mail et sur le répondeur
• moins de matière première pour les arnaques. Parce qu'un escroc qui ne connaît plus votre adresse, vos anciennes boîtes ou vos habitudes a beaucoup plus de mal à écrire un mail crédible
• que vos fiches disparaissent des annuaires de recherche de personnes, ce qui réduit les risques de harcèlement ou de doxxing
• moins de dégâts en cas de fuite. Si un broker se fait lui-même pirater, il a moins de données sur vous.

Et puis il y a le bénéfice indirect qui est le sentiment de reprendre un peu le contrôle. Parce que résignation et anxiété, ça ne mène à rien. Disposer d'un outil qui tourne en tâche de fond et qui fait chuter votre empreinte numérique sans que vous y pensiez, ça aide. Un an d' Incogni , c'est plusieurs centaines d'heures de paperasse que vous n'avez pas à gérer, des profils qui disparaissent et des arnaques qui perdent leur contexte. En 2026, c'est quasi le minimum syndical.

L'Offre Cybersecurity Awareness Week

D'habitude, je vous fais profiter d'une remise de -55%. Mais du 19 au 25 octobre, pour la Cybersecurity Awareness Week, il y a un petit bonus de 3% en plus : -58% de réduction sur les abonnements annuels avec le code KORBEN. Ce n'est pas l'exploit du siècle, mais tout est bon à prendre.

Je rappelle les tarifs de base : l'offre Standard (420+ brokers, automatisés, jusqu'à 3 emails et 3 adresses) est à 77,63€ TTC l'année et l'offre Unlimited (ajout des suppressions custom illimitées et du support téléphonique prioritaire) est à 155,4 €. Vous avez même une formule Family à 10-15€ de plus qui permet de protéger jusqu'à 5 personnes (famille, amis, collègues ...). Adaptée à ceux qui pensent que la vie privée, ça se gère en groupe. Et parce que votre tante qui clique sur tout a aussi besoin d'aide.

Offre exclusive pour les lecteurs de Korben.info : -58% sur Incogni avec le code KORBEN, valable uniquement du 19 au 25 octobre 2026.

→ Profitez de -58% sur Incogni avec le code KORBEN ←

Les arnaques utilisant l’IA sont désormais ultraréalistes. Mais il existe un moyen simple de les démasquer.

Cybersécurité, souveraineté européenne, confiance et résilience numériques : que pensent vraiment les décideurs des TPE & PME en France ? Nos experts vous disent tout dans un nouvel épisode de notre podcast CTRL + S !

-- Article en partenariat avec Surfshark --

En tant que personne qui passez votre vie sur Internet, vous avez peut-être déjà décidé à un moment de bloquer une catégorie de sites pour protéger votre foyer ou votre tranquillité d'esprit (parfois on a des idées folles, je sais), et là paf ! Le filtre posé vous bouffe un site tout à fait légitime que vous n'aviez pas imaginé se faire pincer. Genre vous bloquez tout ce qui touche aux jeux d'argent et d'un coup votre site d'actualité foot préféré dégage parce qu'il a le malheur de parler de l'actu des paris sportifs une fois de temps en temps. La plupart du temps les seules options étaient soit arrêter de consulter le site, soit retirer le filtre entièrement ... et donc revenir à la situation initiale. Super.

Eh bien, Surfshark a décidé de régler ce problème dans sa suite d'outils et cela de la manière la plus simple possible : en proposant une option qui vous permet de créer une liste blanche dans son bloqueur de contenu web maison. Vous allez toujours décider de bloquer une catégorie qui vous pose problème, mais vous pourrez indiquer les exceptions que vous jugez acceptables. Fini le tout-ou-rien, fini le "bah je vais tout désactiver, ça me saoule".

Pour l'instant, le hic c'est que cette liste blanche n'est disponible que pour les utilisateurs Windows (ouiiiin). Pour les utilisateurs de Mac, de Linux ou de mobiles, il faudra attendre encore un peu que ce soit déployé sur d'autres OS, mais cela ne devrait pas tarder. Ouais, je sais, ça fait toujours un peu mal quand les meilleures plateformes du monde ne sont pas privilégiées. D'un autre côté il faut se dire que l'OS le plus moisi a aussi le droit d'avoir des primautés parfois. C'est la vie.

C'est quoi ce fameux web content blocker ?

Disponible depuis l'automne 2025 sur Android et iOS, puis courant 2026 sur desktop, le web content blocker est la fonction de filtrage par catégories de Surfshark. Cette option vous donne la possibilité de mettre un stop aux thématiques de sites que vous préféreriez ne plus jamais voir. On parle ici de catégories problématiques selon votre profil, votre situation et/ou qui utilise votre machine. Il s'agit des classiques : pornographie, jeux d'argent, armes, drogues, malwares et compagnie.

Ce qui est cool, c'est que ça tourne même si vous n'êtes pas en train d'utiliser le VPN. Donc vous pouvez l'utiliser sur les appareils de la maison en continu même quand personne n'est connecté à un tunnel. Il faut donc prendre en compte que c'est une solution de contrôle parental différente des outils classiques sur ce sujet. Surfshark ne surveille que dalle (pas de logs de navigation, pas de rapport hebdo sur "ce que le gamin a visité cette semaine") et ne pose pas de limites (temps d'écran, blocage d'apps ...). La fonctionnalité va aider les utilisateurs à protéger leurs proches du contenu malveillant, mais sans espionner pour autant les sites qu'ils visitent. Ce qui reste consistant avec leur politique de no-logs qui a été auditée plusieurs fois ces dernières années.

C'est plutôt pas mal parce que ça pourrait être une alternative à ceux qui pensent que la plupart des logiciels de contrôle parental ne sont rien d'autres que du mouchardage avec des logos mignons. Ici c'est juste du filtrage fin et basta. Une couche de protection supplémentaire qui s'ajoute sans transformer votre machine en agence de surveillance gouvernementale.

Et concrètement ça ressemble à quoi ?

C'est vraiment super simple et à la portée de tout le monde. Vous commencez par ouvrir votre application Surfshark sur Windows, vous allez dans Paramètres > Bloqueur de contenu web > Sites Autorisés, vous cliquez ensuite sur le bouton "Ajouter" et vous saisissez les URL à autoriser. Hormis vos exceptions, l'ensemble de la catégorie reste filtré. Bien entendu vous pouvez ensuite activer ou couper le blocage à votre convenance, ajouter et supprimer des urls, etc.

Même si ce n'est pas une fonctionnalité incroyable, c'est le genre de petit ajustement qui améliore notre qualité de vie l'air de rien. Et qui permet de se passer éventuellement d'une extension de navigateur supplémentaire. Le vrai problème du filtrage par catégories, qui reste un élément assez vague, ce sont souvent les résultats de type faux positifs. Une catégorie, c'est plutôt large ("Sport", "Robotique" ou "Tech" c'est vaste). Trop large. Ici au moins, on a la possibilité d'affiner au fil du temps.

Alors oui, vu la communauté qui me lit, j'entends d'ici les puristes à la capillarité abondante me dire qu'un filtre DNS maison avec Pi-hole fait la même chose et bien plus. Oui, vous avez raison. Vrais reconnaissent vrais, comme dirait votre rappeur préféré. Sauf que dans le monde du dehors et bien pas grand monde n'a envie d'administrer un Pi-hole un dimanche après-midi, hein. C'est drôle, le monde. Il y a les gens qui bidouillent, et les gens qui veulent juste cliquer sur "Ajouter" vite fait pour avoir le temps d'aller promener le chien. L'option est pour eux.

Et le reste de la panoplie Surfshark One ?

Même si je viens de vous faire un article sur le sujet, ce filtre à contenu, c'est juste la cerise sur le gâteau. Surfshark One , c'est versatile et ça gère un tas de problématiques liées à la cybersécurité :

• Son VPN permet un nombre de connexions simultanées illimitées (pas de limite !) donc il permet de protéger toutes ses machines. Avec un parc de 4 500+ serveurs répartit dans plus de 100 pays, un chiffrement militaire AES-256 et, depuis quelques mois, des serveurs 100% RAM-only où rien ne persiste après un simple reboot. Plus un tas de fonctionnalités comme le bouton kill switch (coupe votre connexion si le tunnel tombe), le MultiHop (permet de faire passer votre trafic par 2 pays), le mode camouflage, etc.
• L'antivirus effectue des scans rapides et complets et offre une protection en temps réel. Il dispose même de l'intégration d'un outil anti-ransomware. L'antivuris est tellement bon qu'il a reçu un score de 100% dans les tests phishing de PCMag. Et 100%, c'est pas rien quand même, par une équipe qui teste des VPN et des antivirus toute la journée. Surtout que cet été ils ont aussi décerné à Surfshark leur Editor's Choice award. Quand ils te collent une récompense, c'est que t'as fait un truc correct normalement. L'antivirus est dispo sur Windows, macOS et Android. L'iPhone est laissé de côté pour l'instant donc un peu de patience.
• La fonctionnalité Alert, de son côté, surveille vos emails, numéros de carte et pièces d'identité dans les fuites de données connues. Et vous contacte en temps réel dés que vos informations ont fuitées. Ce sera peut-être utile le jour où votre vieux compte MySpace ou Facebook abandonné depuis 15 ans refait surface sur un forum russe ou chinois.
• Je vous ai déjà parlé d' Alternative ID , qui vous permet de créer une fausse identité complète avec une son adresse mail personnalisée. Celle-ci fait office d'intermédiaire qui renverra toute communication vers votre vraie boîte. À utiliser par exemple pour vous inscrire sur divers sites en ligne qui ne vous inspirent pas trop confiance. Ou sur des sites que vous ne réutiliserez jamais. Le jour où leurs bases de données se font pirater, c'est la fausse identité qui est grillée, pas la vôtre.
• En plus vous avez accès à CleanWeb, leur bloqueur de pubs et de popups cookies. Le site de référence AdBlock Tester lui a octroyé un assez bon score (96%). Et oui, si vous vous posiez la question, il bouffe les pubs YouTube comme du popcorn. Rien que cette option-là vaut un tiers de l'abonnement à elle seule pour certains.

Et si vous voulez absolument tout maitriser niveau sécu, vous pouvez adjoindre à tout ça Incogni, qui est inclus dans l'abonnement supérieur One+. Une fois configuré avec vos demandes de suppression, le service contacte automatiquement les data brokers à votre place. Parce que demander soi-même à 300 sites d'effacer vos données de leurs bases, personne n'a le courage ni le temps. Le RGPD vous donne des droits, mais c'est Incogni qui fait la paperasse.

Combien ça coûte, tout ça ?

Depuis son arrivée sur le marché, Surfshark reste un des meilleurs du marché point de vue rapport qualité-prix (voir aussi mon comparatif des meilleurs VPN du moment). En ce moment, sur un engagement de 27 mois (24 mois + 3 offerts) cela donne :

• Starter : 2,49 € HT/mois pour le VPN seul
• One : 2,99 € HT/mois pour ajouter l'antivirus, Alert, Alternative ID et le web content blocker
• One+ : 4,49 € HT/mois pour avoir Incogni en plus

Moins de 4 balles par mois TTC (One) pour protéger tous vos appareils, ceux de votre mère, de votre frère, de votre coloc et du pote qui squatte votre canapé depuis la canicule de cet été ? Le calcul est vite fait. C'est carrément moins cher que 2 sandwichs triangles dégueulasses par mois. Votre santé numérique vous remerciera. Avec cette liste blanche enfin disponible pour corriger les dégâts du filtrage automatique, vous allez enfin pouvoir dégager les sites pourris chez vous, ou sur votre lieu de travail, sans devenir un agent du KGB aux yeux de votre entourage !

Je profite de l'offre Surfshark One !

La société de sécurité Depthfirst a publié un billet que j'ai trouvé intéressant dans lequel ils expliquent en gros que les conteneurs (Docker et compagnie) ne sont plus une barrière de sécurité suffisamment solide. La thèse du papier, c'est qu'il faut désormais partir du principe qu'un attaquant (hacker ou malware) saura sortir d'un conteneur quand il le veut, sans grande difficulté.

En effet, un conteneur comme ceux que font tourner Docker ou Kubernetes, donne à un programme l'impression d'avoir sa propre machine. Sauf qu'en réalité, il n'embarque pas de système d'exploitation. Tous les conteneurs d'un serveur passent par le même noyau Linux qui est celui de l'hôte et dont le rôle est de gérer pour eux la mémoire, le processeur ainsi que le réseau.

Toutefois, beaucoup d'organisateurs de CTF notamment s'y fient les yeux fermés et hébergent plusieurs épreuves sur le même serveur, chacune dans son conteneur, en comptant uniquement sur la sécurité de l'hôte. Mais c'est un faux sentiment de sécurité, j'en veux pour preuve ce bulletin de sécurité d'AWS daté de novembre 2025 où il est expliqué que l'entreprise ne considère plus les conteneurs comme une barrière de sécurité et ne s'en sert donc plus pour isoler ses clients les uns des autres.

Ce qui a changé depuis quelques mois, vous le savez, c'est le prix d'entrée de la recherche de failles puisqu'avec les modèles d'IA de pointe, même un attaquant avec des moyens modestes peut fabriquer sans effort, dès la publication d'une faille, un exploit contre des machines qui ne sont pas encore corrigées, alors qu'avant ça demandait de sérieuses compétences.

source : Depthfirst

Et les chiffres publiés par Depthfirst montrent que tout ça s'accélère puisque 249 CVE ont été publiées pour le noyau Linux en janvier, et en août on en a eu 1 650 !

Depthfirst relève également que sur les 36 CVE divulguées via le kernelCTF de Google, 13 sont réalisables via des interfaces ordinaires comme celles qu'un conteneur reçoit par défaut (dont les sockets locaux). En fait, on en croise sans le savoir dès qu'on passe systemd, Docker ou une base de données locale.

Le 24 juillet dernier, Depthfirst a même décroché une place au kernelCTF avec un exploit 0day (donc avant tout correctif) et aujourd'hui, le PoC est en accès libre sur GitHub. Rassurez-vous, côté noyau Linux, le correctif est sorti le 6 août mais malheureusement, côté Ubuntu la mise à jour au 24 septembre, affichait encore que le noyau de la 26.04 était en "Vulnerable, work in progress" et celui de la 24.04 en "Vulnerable". Bref, trouver des vulns ça va vite. Fixer ces vulns sur TOUTES les releases et les machines, ça prend du temps. Alors qu'avant c'était l'inverse. Bref, tout a été chamboulé et c'est un peu la merde maintenant niveau cybersécurité pour patcher rapidement.

Alors comment se protéger de tout ça ?

Hé bien la solution de Depthfirst va vous mettre en PLS car eux proposent carrément de ne plus partager le noyau. Ils recommandent à la place de migrer les charges non fiables vers des microVM, autrement dit des machines virtuelles légères où chaque charge aura son propre noyau. Le projet Firecracker en fait partie tout comme Kata Containers comme ça, en théorie, si un attaquant casse l'un de ces noyau, il ne compromet que sa propre instance et pas l'hôte dans son entièreté ni ses voisins.

Reste que Firecracker s'appuie sur KVM, la brique de virtualisation du noyau Linux de l'hôte. Et comme vous le savez, KVM a eu ses propres failles. En effet, cet été, la faille Januscape ouvrait en grand la porte de la machine physique à un attaquant pourtant enfermé dans sa VM, à condition bien sûr que l'hôte autorise la virtualisation imbriquée (une VM dans la VM). Alors certes, la surface d'attaque est plus petite mais loin d'être nulle.

Voilà, en attendant, si vous êtes sous Ubuntu 24.04 ou 26.04, surveillez bien la mise à dispo du prochain noyau. Canonical a d'ailleurs annoncé il y a peu, une publication hebdomadaire des noyaux pour tenter de compenser cet emballement.

Source : le billet de recherche de depthfirst

Protéger son entreprise, c’est autant anticiper les menaces que se conformer aux obligations législatives en vigueur. Parlons-en dans l’épisode 2 de la saison 2 de CTRL + S !

Les tuteurs IA peuvent apporter un soutien utile, mais leur qualité et leurs dispositifs de sécurité varient considérablement. Voici ce que les parents doivent vérifier avant de laisser leur enfant utiliser l’un de ces outils.

-- Article en partenariat avec Surfshark --

Vous savez ce qui est pire qu'un cousin qui vous demande votre mot de passe Netflix ? C'est quand ledit cousin vous demande aussi un VPN pour sa boîte, sa copine, son chien et sa PlayStation. Et là, vous devez lui expliquer que la plupart des VPN c'est 10 appareils max,  et que non, vous allez pas payer trois abonnements différents pour que toute la famille puisse regarder Koh Lanta en sécurité.

Surfshark, lui, a compris le problème. Connexions simultanées illimitées. Un seul abonnement, tous vos appareils, tous ceux de votre mère, de votre frère, de votre coloc, et même de ce pote qui squatte votre canapé depuis trois mois. C'est pas une fonctionnalité, c'est une déclaration de guerre contre les limites artificielles des concurrents.

Et en 2026, Surfshark n'a pas chômé

L'année a été chargée chez Surfshark . Ils ont sorti des fonctionnalités qui font passer la concurrence pour des dinosaures.

Dausos : le protocole qui envoie du pâté

Surfshark a lancé son propre protocole propriétaire, Dausos. Chiffrement AEGIS-256X2, résistant à l'informatique quantique, et jusqu'à 30% plus rapide que les protocoles standards. Le truc ouf ? Chaque utilisateur a son propre tunnel de trafic dédié. La plupart des VPN vous mettent dans des voies partagées où vos données se mélangent à celles des autres. Dausos vous donne votre propre autoroute privée. 

Le seul hic (et c'est un gros hic) c'est que pour l'instant, Dausos n'est dispo que sur macOS. Les utilisateurs Windows et Android ragent, et Surfshark a promis d'étudier les retours pour décider où expander ensuite. Mais si vous avez un MacBook, vous êtes déjà dans le futur.

FastTrack : votre trafic prend l'autoroute

Il y a quelques semaines, Surfshark a étendu FastTrack à plus de la moitié de son réseau. Des gains de vitesse allant jusqu'à 70% par rapport à une connexion classique (selon le site). Au lieu de vous envoyer bêtement vers le serveur le plus proche, FastTrack analyse en temps réel tous les chemins possibles et choisit le plus rapide, même s'il est physiquement plus long. C'est comme Waze, mais pour vos paquets de données.

Nexus : le réseau qui change tout

Lancé en 2022 et perfectionné en 2026, Surfshark Nexus repose sur le Software-Defined Networking (SDN). Vous ne vous connectez plus à un serveur isolé, mais à tout le réseau en même temps. Votre trafic est routé dynamiquement à travers 4 500+ serveurs dans 100 pays.

Ça permet de bien faire certains trucs comme :

• Rotation d'IP : votre IP change toutes les 5 à 10 minutes sans coupure. Les sites vous voient comme un nouvel utilisateur à chaque fois.
• Multi IP : une IP différente pour chaque site que vous visitez. Votre banque vous voit à Paris, Netflix à New York, Reddit à Tokyo. En même temps.
• Dynamic MultiHop : vous choisissez votre entrée et votre sortie dans le réseau. Suisse → Japon ? Pas de souci.
• Everlink : si le serveur tombe, Nexus bascule automatiquement sur un autre. Vous ne remarquez même pas la coupure.

Scam Text Protection : l'IA qui mange les arnaques par SMS

En août 2026, Surfshark a lancé une protection anti-arnaque SMS basée sur l'IA. Elle scanne vos SMS entrants, détecte les arnaques (smishing), et sur iOS, déplace automatiquement les messages suspects dans le dossier Spam. Sur Android, vous recevez une alerte avant d'ouvrir le message. 35% du phishing mondial passe par SMS maintenant. Surfshark vous protège avant que vous ne cliquiez comme un débile sur le lien.

Le reste de la panoplie (celle que je vous rabâche souvent) est bien entendu toujours intacte :

• CleanWeb : bloque les pubs, trackers et malwares au niveau DNS
• Kill Switch : coupe internet si le VPN tombe, pas de fuite d'IP
• Mode Camouflage : fait passer votre trafic VPN pour du HTTPS normal, votre FAI ne sait même pas que vous utilisez un VPN
• NoBorders : s'active automatiquement dans les pays qui bloquent les VPN (Chine, Iran, Russie...)
• Alternative ID : génère des identités complètes (nom, email, tel virtuel) pour vos inscriptions
• Bypasser : split tunneling, vous choisissez quelles apps passent par le VPN

Toujours cet été, Surfshark a reçu le PCMag Editor's Choice award. Quand les mecs de PCMag, qui testent des VPN toute la journée, disent que t'es dans le top, c'est que t'as quelque chose de solide. La politique no-logs est auditée par Deloitte. Les serveurs sont 100% RAM-only, un reboot et tout s'efface. Même si les feds débarquent avec un mandat, y'a rien à saisir (enfin ça on verra le jour où la situation se présente). De plus les vitesses sont excellentes.

Bot ou pas bot ?

Parce que c'est la fin d'été et qu'il faut s'amuser encore une fois, Surfshark s'est amusé à créer un petit test de détection avec les étudiants de l'université de Malmö. Et le résultat est flippant, presque la moitié des gens ne distinguent pas un bot d'un vrai humain.

Les jeunes, eux, s'en sortent mieux. Jusqu'à 20 ans, ils repèrent 65% des bots. Mais passé la quarantaine ? Paf, ça tombe à 42% (ouf ça fait mal). C'est-à-dire que votre tante sur Facebook a presque une chance sur deux de tomber dans le panneau d'un compte fake. Et le pire, c'est que les sujets émotionnels rendent tout le monde con : sur un sujet neutre comme les data centers, les gens trouvent 71% des bots. Mais dès qu'on parle de sujets qui touchent une corde sensible, la détection s'effondre à 49%.

Morale de l'histoire : quand ça vous énerve, vous cliquez avant de réfléchir. Si vous voulez tester votre propre crédulité, Surfshark propose le challenge " Bot or Not? ". Bon courage, vous en aurez besoin.

Combien ça coûte, cette folie ?

Alors accrochez-vous, parce que les tarifs sont toujours assez délirants. En ce moment, Surfshark propose son abonnement Starter à 2,49 € HT par mois pour 27 mois (24 mois + 3 offerts), soit 67,23 € HT (80,68€ TTC) facturés en une seule fois.

Faites le calcul : moins de 3 € par mois, divisé par le nombre illimité d'appareils que vous pouvez connecter. C'est littéralement moins cher qu'une pizza surgelée dégueulasse par mois. Et meilleur pour votre santé. Pour protéger votre téléphone, votre laptop, votre tablette, votre Smart TV, votre Fire Stick, votre Xbox, votre routeur, et celui de votre tante qui habite à 300 km. Tout le monde est couvert.

Les formules supérieures :

• One : 2,99 €/mois pour ajouter l'antivirus, Alert (surveillance de fuites), et Alternative ID
• One+ : 4,49 €/mois (toujours sur 27 mois)  ajoute Incogni (suppression de données chez les brokers)

Surfshark n'est plus juste un VPN pas cher. C'est un VPN qui vous laisse connecter autant d'appareils que vous voulez avec un seul abonnement. Tout votre parc informatique perso, celui de votre mère, de votre frère, de votre coloc et du pote qui squatte votre canapé. Au fil du temps c'est même devenu une plateforme de sécurité numérique complète qui trône fièrement sur mon podium des meilleurs VPN du moment .

Arrêtez de vous prendre la tête. Un abonnement. Une infinité d'appareils. Et la paix. Si vous devez chiffrer pour tout le monde, autant le faire à prix cassé.

J'économise 85% sur Surfshark VPN !

Notre podcast CTRL + S revient pour sa saison 2 dès maintenant et commence fort avec un épisode dédié aux deepfakes, et les conseils d’une avocate spécialisée pour mieux vous protéger au quotidien.

Une capture d’écran peut sembler convaincante, mais elle ne prouve pas nécessairement qu’un paiement, une réservation ou une conversation est authentique.

Votre boîte de réception est un véritable système d'identité à elle seule : quiconque en prend le contrôle peut également prendre le contrôle de bien d'autres aspects de votre vie numérique.

Six chercheurs d'UC San Diego et d'Oberlin College ont présenté le 13 août dernier à l'USENIX Security Symposium de Baltimore un implant assez petit qui se branche sur un port de maintenance de la baie électronique d'un Boeing 737 et s'intercale ainsi entre le calculateur de vol et l'écran par lequel les pilotes le programment.

La trappe présente sur l'avion, qui y mène n'a ni serrure ni contrôle d'accès et est accessible depuis le sol, sans échelle. Les chercheurs estiment que ça peut se mettre en place en moins de 60 secondes, ouverture et refermeture comprises. Le boîtier, lui, disparaît sous le capuchon anti-poussière du connecteur.

Hé oui c'est un simple capuchon en plastique qui "protège" l'accès aux commandes de navigation d'un avion de ligne. C'est beau non ?

Ce connecteur donne un accès aux bus ARINC 429 qui transmette les échanges entre le calculateur, le FMC, et le clavier-écran du cockpit, le MCDU. La norme date de 1977 et ne prévoit aucune authentification et comme vous vous en doutez, c'est connu depuis longtemps, même si le plus souvent, les attaques envisagées sur les systèmes d'un avion visaient plutôt ses liaisons radio.

Toutefois, se brancher sur le bus ne suffit pourtant pas à le contrôler, puisque les autres équipements continuent d'émettre par-dessus. Sauf que les émetteurs légitimes passent par des résistances de 37,5 ohms qui brident leur courant, alors que le connecteur de maintenance, lui, attaque le bus en direct.

L'implant en profite alors pour pousser plus de courant que l'émetteur d'origine et écraser physiquement son signal. Les chercheurs appellent ça une attaque Bus Driver, et elle donne une interception complète du dialogue sans couper ni épisser le moindre fil.

Une fois ce dialogue sous contrôle, le boîtier ajoute un point de passage à la route programmée. Normalement, sur un 737, cette modification doit être confirmée par le pilote, qui appuie sur le bouton EXEC. Mais l'implant, lui, appuie tout seul, l'autopilote change de cap, et comme le voyant du bouton passe par le même bus, il reste éteint. Et comme les pages affichées sont réécrites en live pour montrer encore l'ancienne route, rien à l'écran ne trahit le changement.

Le même mécanisme peut servir aussi à fausser la masse de l'appareil saisie avant le départ, ou la température retenue pour calculer la poussée. Une masse sous-évaluée ou une température trop basse, et le calculateur commande alors une poussée insuffisante au décollage.

Bref, c'est la cata assurée... Et cela vaut pour tous les 737 NG et MAX.

Maintenant, reste à savoir dans quelles conditions cette attaque peut être réalisée. Car jusqu'à présent, tout a été validé mais uniquement sur un banc de vraies pièces de 737 câblées selon les schémas Boeing, et jamais sur un avion en service. Le Wi-Fi est bien intégré au boîtier, mais le papier précise que les auteurs n'ont pas pu tester si le signal de la cabine traverse le plancher de la baie.

Boeing a bien sûr été prévenu en avril 2020, et les chercheurs ont rejoué l'attaque avec succès sur le banc d'essai du constructeur en décembre 2023. Ils proposent de boucher ce type de connecteur, ou d'y déplacer les résistances de limitation. Boeing, lui, estime que "les couches de protection en place sur l'avion" limitent déjà "significativement la faisabilité et le risque d'attaques en conditions réelles".

Ouais les gars ont la flemme de sécuriser leur truc on dirait...

Source

ShieldBreak est un nouvel exploit qui vise l'antivirus livré avec Windows. Cela permet à un compte utilisateur limité de passer SYSTEM sur un Windows entièrement à jour, grâce notamment à Windows Defender qui lui sert de marchepied.

Le chercheur Nightmare Eclipse a sorti le code de son exploit en public y'a 2 jours, quelques heures après un Patch Tuesday qui corrigeait plus de 400 failles. Mais pas celle-ci évidemment... Une machine parfaitement à jour reste donc exposée.

Kevin Beaumont, ancien de chez Microsoft, a testé l'exploit et confirme qu'il fonctionne sur un Windows 11 à jour. Sa lecture technique, en revanche, diffère de celle du chercheur. Nightmare Eclipse présente ShieldBreak comme un contournement complet du correctif de RoguePlanet, sa faille précédente, alors que Beaumont souligne que les deux reposent sur des mécanismes très différents.

L'attaque réclame un accès local et l'exécution du programme, elle ne s'attrape pas en visitant une page web. Elle a été testée sur Windows 11 25H2 et Windows Server 2025, Windows 10 étant déclaré vulnérable sans être pris en charge par le code publié. Et il faut que Defender soit activé pour que ça marche.

Cette publication sans préavis n'arrive pas de nulle part. En mai, Microsoft a publié un billet qualifiant d'injustifiables les divulgations non coordonnées qui mettent du code d'exploitation entre les mains d'acteurs malveillants, en rappelant que sa Digital Crimes Unit continuerait à poursuivre ces acteurs. Le texte ne visait pas nommément les chercheurs. Le milieu de la sécurité l'a quand même reçu comme une menace.

Microsoft a fait ensuite machine arrière sur les réseaux sociaux, en assurant ne pas vouloir s'en prendre à ceux qui publient de la recherche. Le billet d'origine, lui, est toujours en ligne et les publications n'ont pas ralenti pour autant : une dizaine de zero-days Windows depuis avril, dont BlueHammer et GreatXML dont je vous ai déjà parlé.

Microsoft dit avoir connaissance de la vulnérabilité signalée et enquêter sur la validité des affirmations mais pour le moment, la faille n'a même pas d'identifiant CVE à elle, et reste rattachée au correctif qu'elle est censée contourner. Bref, si ça vous fait flipper comme faille, désolé, il n'y a rien à installer pour l'instant pour fixer le problème.

En attendant, Beaumont a mis en ligne des requêtes de "chasse" pour Defender for Endpoint qui repèrent quand un processus étranger à Defender charge ses bibliothèques, ou qu'un processus non validé charge celles de l'API Cloud Filter. Tout ça via le même processus.

Mais c'est de la détection, et pas un correctif...

Source

Dans la série "les gens qui assurent notre sécurité n'ont pas fait leur job jusqu'au bout", voici une chouette histoire de caméras montées sur les drones navals de la Royal Navy qui, ÉVIDEMMENT, envoyaient des signaux vers une adresse IP située en Chine. Et cette découverte ne vient pas d'une opération de contre-espionnage mais d'une simple évaluation de vulnérabilité de routine, menée par le ministère de la Défense britannique sur son propre matériel.

Ces caméras sont celles qui équipent les K3 Scout, des bateaux sans équipage que la Royal Navy et les Royal Marines utilisent pour la surveillance et la protection de force.

727 mots de passe testés par seconde, c'est le score incroyable d'une Game Boy Advance reprogrammée en casseur de mots de passe par solst-ice, un développeur qui avait visiblement une console de 2001 qui traînait et pas mal de temps à tuer ^^. Son projet s'appelle GBA-Hashcat, et c'est un "port" de hashcat (le célèbre outil de crackage) sur le petit hardware portable de Nintendo.

Enfin, un port entre grosses guillemets, parce que le vrai hashcat gère plus de 300 algorithmes de hash optimisés et une palanquée de méthodes d'attaque alors que là, vous avez le droit à un seul truc, du SHA-256, et rien d'autre.

Le programme embarque la wordlist ignis-1M, une liste de 8 Mo qui contient environ 1 million de mots de passe parmi les plus courants. Pour chaque ligne, la GBA calcule le hash SHA-256, le compare à un hash cible codé en dur dans le programme, et regarde si ça correspond.

C'est une attaque par dictionnaire, quoi, sauf que, je vous rappelle, ça tourne sur une puce ARM7TDMI cadencée à 16,78 MHz avec 288 Ko de RAM.

Du coup, forcément, ça rame de fou... au rythme de 727 hachages par seconde mais c'est normal car cette console n'a jamais été pensée pour ce genre de calcul. Pour vous donner une idée, un PC moderne avec un GPU décent va environ 30 millions de fois plus vite, soit des milliards de tentatives par seconde.

Alors que la GBA, elle, met une bonne vingtaine de minutes à avaler toute sa liste de 1 million de mots.

Après côté bidouille c'est assez fort car, certes, la wordlist de 8 Mo tient dans la cartouche, mais faire tourner une routine SHA-256 propre sur une puce aussi poussive, avec ses malheureux 288 Ko de RAM pour bosser, il faut le vouloir ! Solst-ice s'est donc appuyé sur le moteur Butano, un framework C++ open source taillé pour développer des jeux GBA, qu'il a détourné pour faire mouliner des hashs à la place de sprites.

Et voilà, ce projet loufoque rejoint la longue tradition des gens qui font faire n'importe quoi à leur Game Boy Advance, comme ce clavier GBA à monter soi-même que je vous montrais récemment.

Bref, comme un ministre ou un notaire, ça ne sert strictement à rien, et c'est pour ça qu'on kiffe ! Le code est sur le GitHub de solst-ice si vous voulez jouer.

Source

Quand on parle de cybersécurité et de sécurité numérique des enfants, le sujet est généralement abordé sous deux angles. Le premier concerne les contenus inappropriés ou dangereux, que la loi française cherche à mieux encadrer à travers la régulation des plateformes et les dispositifs de contrôle parental. Le second porte sur les effets psychologiques et sociaux d’un usage excessif des écrans. Pourtant, un risque majeur reste souvent sous-estimé.

Md Jueal Mia et Hadi Amini, deux chercheurs de Florida International University , ont mis au point une méthode qu'ils ont baptisée JaiLIP qui permet de forger une image capable de contourner les garde-fous des LLM pour les jailbreaker.

Pour cela, ils utilisent 2 techniques en simultanée. La première dit à l'image "reste identique à l'originale, qu'aucun humain ne voie la moindre différence" et la seconde dit "pousse le modèle à cracher la réponse interdite". Ainsi, en poussant ces 2 curseurs d'un coup, ils obtiennent une photo qui au premier abord a l'air normale mais qui fait dérailler les modèles IA.

Vous, vous repérez un chat, des contours, une scène et vous lui courez derrière pour lui faire des papouilles. L'IA, elle voit une grille de chiffres et des corrélations entre pixels. Du coup sa vie est nulle mais surtout, une retouche minuscule, totalement invisible à votre œil, suffit à déplacer ce qu'elle comprend de l'image.

Sur leurs tests, l'image trafiquée a quasiment doublé la part de réponses dangereuses par rapport à la même image laissée intacte, la toxicité étant mesurée avec des outils standards du domaine. Dans l'un de leurs exemples, ils ont trafiqué une image de signalisation routière qui a permis au modèle ensuite d'expliquer OKLM comment ignorer les règles de circulation et éviter les PV.

Les chercheurs ont testé l'attaque sur deux modèles vision-langage open source, BLIP-2 et MiniGPT-4. GPT-4V, Gemini et les autres gros modèles fermés, eux, n'ont pas été testés dans l'étude. Donc non, contrairement à ce que j'ai pu lire par ci et par là, ce n'est pas une faille prouvée dans ChatGPT ou peu importe l'assistant IA que vous utilisez tous les jours.

Et tromper une IA avec une image bricolée, ça existe depuis une bonne dizaine d'années. Mais la nouveauté de JaiLIP, c'est surtout sa recette d'optimisation. En jouant sur les deux pertes à la fois, l'image reste plus discrète à l'œil tout en se montrant un cran plus efficace que les bidouilles précédentes.

Et ce genre de détournement nous concerne tous parce que des modèles qui regardent des images, il y en a partout maintenant. Les agents IA qui bossent à partir de captures d'écran, les assistants à qui vous balancez vos photos, sans oublier la modération automatique qui trie les images avant publication. À cause de ça, l'image est dorénavant un canal d'attaque, exactement comme l'était déjà le texte...

On l'a vu avec le son inaudible qui pirate les assistants vocaux , on l'a vu avec les IA qu'on manipule sans qu'elles s'en aperçoivent , et c'est toujours la même logique qui revient. Ce n'est pas parce qu'en tant qu'humain, nous ne percevons rien, que l'IA elle n'est pas capable de capter le message 5/5.

Le cousin de cette attaque, côté perception, c'est par exemple le sticker qui trompe une voiture autonome . Et côté parade, nos chercheurs esquissent une piste légère : virer au hasard 10 à 30% des mots passés en entrée, histoire de casser l'attaque sans réentraîner le modèle.

Prometteur d'après eux, mais c'est pas encore une solution blindée. Pour le reste, leurs conseils tiennent du bon sens : Ne passez pas d'infos sensibles en image à un modèle, limitez qui peut envoyer des images à vos systèmes, et auditez sérieusement la sécurité avant de mettre un VLM en prod.

C'est pas le graal mais c'est mieux que rien. Bref méfiez vous des images que vous donnez à vos IA. On ne sait jamais.

Source : le papier JaiLIP sur arXiv

Malgré les alertes, les mots de passe les plus simples restent massivement utilisés.

Méfiez-vous des faux sites liés à la Coupe du Monde qui imitent les plateformes officielles de vente de billets et de merchandising afin de vous dérober de l’argent mais aussi des données personnelles.

En 2026, les risque cyber ne cessent d’évoluer, propulsés par le détournement de l’intelligence artificielle à des fins criminelles.