Le Monde a réussi à localiser le porte-avions nucléaire français Charles-de-Gaulle grâce à l'application de sport Strava. Un officier a enregistré un footing de 7 km sur le pont du navire avec sa montre connectée, et son profil public a diffusé les coordonnées GPS en temps réel.

Le navire était déployé en Méditerranée orientale, au large de Chypre, en pleine mission liée au conflit au Moyen-Orient.

Un footing de 7 km qui trahit un navire de guerre

Le 13 mars, à 10h35, un jeune officier prénommé Arthur a lancé un jogging sur le pont du Charles-de-Gaulle. 35 minutes de course, un peu plus de 7 km, et sa montre connectée a transmis le tout à Strava via Bluetooth.

Son profil étant public, n'importe qui pouvait voir le tracé GPS de sa course, et donc la position exacte du porte-avions. Le Monde a vérifié en croisant avec une image satellite de l'Agence spatiale européenne, qui a confirmé la présence du navire à seulement six kilomètres du point GPS.

Le Charles-de-Gaulle se trouvait à ce moment au nord-ouest de Chypre, à une centaine de kilomètres des côtes turques, dans le cadre d'un déploiement lié au conflit au Moyen-Orient.

En remontant le profil du même officier, Le Monde a aussi pu reconstituer les déplacements du navire sur plusieurs semaines : au large du Cotentin le 14 février, en mer Baltique le 27 février, avec une escale à Copenhague.

Pas la première fois que Strava met l'armée dans l'embarras

L'affaire fait partie d'une enquête plus large baptisée "StravaLeaks", que Le Monde avait déjà lancée à l'automne 2024. Les journalistes avaient alors identifié les gardes du corps d'Emmanuel Macron, de Donald Trump et de Vladimir Poutine via leurs activités sportives sur l'application.

Des agents de la DGSE en mission en Irak avaient aussi été repérés de cette manière. Au total, plus de 450 utilisateurs de Strava liés à l'armée française ont été actifs sur la plateforme au cours de la dernière décennie, et certains ont enregistré des séances à proximité de sites où sont amarrés des sous-marins nucléaires, à l'Île Longue.

Le problème est connu depuis 2018, quand un analyste avait remarqué que la carte de chaleur de Strava révélait des bases et des patrouilles américaines en Syrie, en Irak et en Afghanistan. Le Pentagone avait alors interdit les montres connectées en déploiement. Visiblement, la leçon n'a pas traversé toutes les frontières.

L'état-major reconnaît le problème

Du côté de la Marine nationale, la réponse est laconique : cette diffusion d'informations "n'est pas conforme aux consignes en vigueur".

Par défaut, les comptes Strava sont paramétrés en mode public, ce qui veut dire que chaque séance enregistrée est visible par n'importe qui. Il suffit d'une montre connectée qui passe les contrôles de sécurité à bord, d'un profil mal configuré, et la position d'un navire de guerre en mission se retrouve sur internet.

On a quand même du mal à croire qu'en 2026, après toutes les alertes de ces dernières années, un officier de la Marine puisse encore courir sur le pont d'un porte-avions nucléaire avec sa montre GPS en mode public sur Strava.

C'est le genre d'erreur qui ne devrait plus arriver. Mais bon, tant que les smartwatches ne seront pas simplement interdites à bord des navires en opération, ce type de fuite continuera à se produire. Et on ne peut pas vraiment conclure que c'est uniquement la faute du marin : c'est aussi un problème de procédure, parce qu'une montre qui passe le portique de sécurité sans déclencher d'alerte, c'est probablement un peu gênant.

Source : France Info

Des documents obtenus par la presse révèlent que les douanes américaines ont utilisé les données de localisation issues du système publicitaire en ligne pour pister des téléphones. Et ce, sans mandat.

Le mécanisme repose sur les enchères publicitaires en temps réel, qui diffusent vos coordonnées GPS à des milliers d'entreprises chaque jour. Apple a limité la casse sur iPhone, mais ça ne suffit pas.

Comment vos applications vous trahissent

Le système est assez redoutable dans sa simplicité. À chaque fois qu'une publicité s'affiche dans une application sur votre smartphone, une enchère se joue en quelques millisecondes.

Votre téléphone envoie ce qu'on appelle une requête d'enchère, qui contient votre identifiant publicitaire, vos coordonnées GPS, votre adresse IP, le type d'appareil utilisé, et même vos centres d'intérêt supposés. Ces informations sont envoyées simultanément à des milliers d'annonceurs potentiels, et tous les participants reçoivent ces données, qu'ils remportent ou non l'enchère.

Des courtiers en données se font passer pour des acheteurs publicitaires et récoltent ces informations à grande échelle. Mobilewalla, par exemple, a collecté les données de plus d'un milliard de personnes, dont 60 % provenaient de ces enchères publicitaires selon la FTC (le gendarme du commerce américain).

Gravy Analytics, un autre courtier, a vu fuiter des données qui référençaient des milliers d'applications : Candy Crush, Tinder, Grindr, MyFitnessPal, des applications de grossesse ou religieuses. Beaucoup de développeurs ne savaient même pas que leurs applications alimentaient cette collecte.

Des agences fédérales clientes depuis des années

Entre 2019 et 2021, les douanes américaines ont mené un programme pilote pour tester si ces identifiants publicitaires pouvaient servir à reconstituer les déplacements de personnes sur le territoire. Le service de l'immigration (la célèbre ICE) et le FBI ont aussi acheté de la donnée de localisation auprès du courtier Venntel, et s'en sont servis pour identifier des immigrés ensuite arrêtés.

L'ICE a aussi acquis un outil appelé Webloc, qui collecte la position de millions de téléphones chaque jour et permet de lancer des recherches par zone géographique.

En mars 2026, 70 parlementaires américains ont demandé l'ouverture d'une enquête par l'inspecteur général du département de la sécurité intérieure. Le Montana est devenu le premier État à interdire aux autorités l'achat de données sensibles qui nécessiteraient normalement un mandat. Au niveau fédéral, une loi portée par le sénateur Ron Wyden a été votée par la Chambre en 2024, mais n'a pas passé le Sénat.

Ce que vous pouvez faire, et ce qu'Apple a déjà fait

Bonne nouvelle quand même pour les utilisateurs d'iPhone : depuis 2021, Apple demande systématiquement si vous autorisez le suivi publicitaire via la fonction "Demander à l'app de ne pas me suivre".

Résultat : 96 % des utilisateurs américains ont refusé le suivi, ce qui désactive l'identifiant publicitaire sur la plupart des iPhone. Une étude a même montré que les utilisateurs d'iPhone avaient subi moins de fraudes financières après cette mesure.

Côté Android, il est aussi possible de désactiver l'identifiant publicitaire, mais la démarche est bien moins visible. L'EFF (Electronic Frontier Foundation) recommande dans tous les cas de vérifier les permissions de localisation accordées à vos applications et de les limiter au strict minimum.

On savait que la publicité en ligne aspirait pas mal de données, mais là on parle quand même d'agences gouvernementales qui achètent tranquillement votre position GPS sans passer par un juge. Pour protéger sa vie privée , il ne suffit plus de refuser les cookies.

Le fait que par exemple, Apple, ait mis en place la transparence du suivi publicitaire sur iOS en 2021, et que 96 % des gens aient dit non, montre bien que personne ne souhaite être pisté. On ne peut pas vraiment conclure que le problème est réglé pour autant, car tout le système d'enchères publicitaires continue de fonctionner en arrière-plan, avec ou sans identifiant.

Source : Gizmodo

Proton vient de lancer Born Private, un programme qui permet aux parents de réserver une adresse mail chiffrée pour leur enfant dès la naissance. L'adresse reste verrouillée pendant 15 ans maximum, le temps que l'enfant soit en âge de s'en servir, sans aucune collecte de données entre-temps. Le tout pour un dollar symbolique, intégralement reversé à la Proton Foundation.

Un email chiffré dès la naissance

Les parents choisissent ici une adresse @proton.me pour leur enfant, versent un dollar minimum, et l'adresse est verrouillée pendant 15 ans. Pas de boîte de réception active, pas de collecte de données, pas de profilage publicitaire.

L'enfant n'existe tout simplement pas dans le système. Le jour venu, les parents transmettent un voucher sécurisé qui déverrouille le compte, et l'adresse devient un vrai compte Proton Mail avec chiffrement de bout en bout, protection anti-phishing et code open source vérifiable. Proton étant basé en Suisse, les données restent protégées par la législation helvétique, ce qui veut dire pas d'accès sans mandat.

71 % des enfants connectés avant 10 ans

Proton a mené une enquête auprès de 1 216 parents américains début 2026, et les résultats sont assez clairs. 32 % des enfants reçoivent un appareil connecté avant 5 ans, et 71 % en possèdent un avant 10 ans. Côté confiance, seulement 14 % des parents font vraiment confiance aux géants de la tech pour protéger les données de leurs enfants.

Et 63 % pensent que ces entreprises profitent des données des plus jeunes. Andy Yen, cofondateur et CEO de Proton, résume : "Nous avons été la première génération à devenir dépendante d'un internet basé sur la surveillance, mais la suivante n'est pas obligée de l'être."

Un film et un dollar

L'intégralité du dollar de réservation va à la Proton Foundation, l'actionnaire principal à but non lucratif de Proton. Pour le lancement, un court-métrage a été produit avec Uncommon Creative Studio et la réalisatrice Olivia de Camps, qui met en images le sentiment d'être observé et les profils fantômes que les grandes plateformes construisent autour des enfants. Vous pouvez le voir en cliquant ici .

Pour rappel, 43 % des mineurs possèdent déjà une adresse mail, et parmi eux, 74 % utilisent Gmail. Born Private arrive donc avant même que l'enfant ne commence à naviguer.

Réserver une adresse mail à la naissance de son gamin, ça sonne un peu comme réserver un nom de domaine dans les années 2000. C'est un coup de com malin de la part de Proton, mais il y a quand même un vrai sujet derrière : on laisse nos enfants débarquer sur des services qui monétisent leurs données avant même qu'ils sachent lire, et personne ne bronche.

Un dollar pour 15 ans, c'est symbolique, et ça a le mérite de poser la question au bon endroit. Bon maintenant, il faudra quand même voir comment Proton garantit la pérennité d'une adresse sur 15 ans, parce que dans la tech, 15 ans, c’est une éternité.

Source : Lbbonline

Depuis 2022, TOUS les policiers et gendarmes français ont accès à un logiciel de reconnaissance faciale directement sur leur téléphone de service. En vous prenant en photo lors d'un contrôle (chiiiiiz 😀), ils peuvent ensuite, en quelques secondes, consulter un énooOoorme fichier contenant 9 millions de portraits.

Tu parles d'un trombinoscope !!

Voilà, c'est ce que révèle une enquête impressionnante du média Disclose , documents internes du ministère de l'intérieur à l'appui.

En bref, les forces de l'ordre sont équipées d'un gros smartphone baptisé NEO, un genre de pavé noir rectangulaire qui ressemble à une tablette de poche et dessus, y'a une appli avec accès direct au TAJ (traitement d'antécédents judiciaires), un fichier qui couvre plus d'un quart de la population française. Nom, date de naissance, adresse, profession... et parfois des infos sensibles comme l'appartenance politique ou religieuse.

Ce logiciel, développé par l'allemand Cognitec (surement la contraction du mot "tech" et du mot "cogner"... rooooh) , affiche les 200 photos les plus ressemblantes en moins d'une minute. C'est comme la reco faciale de Yandex mais en encore plus facile ! On ouvre l'appli sur l'écran, on sélectionne la photo dans l'album, on clique sur le bouton "rapprocher", et le serveur crache ses résultats. C'est dingue.

Sauf que OH BIZARRE l'utiliser lors d'un contrôle d'identité, c'est totalement illégal ! En effet, le code de procédure pénale limite l'accès au TAJ à des agents "individuellement désignés et spécialement habilités", dans le cadre strict d'enquêtes judiciaires (et aux hackers qui font fuiter les datas ^^). Hé oui c'est pas fait pour scanner des gamins assis sous un platane sur une place à Marseille. Déso, hein.

Et pourtant ! Disclose a recueilli les témoignages de six personnes photographiées et identifiées entre 2021 et 2025, à Marseille, Paris et Lyon. Un gamin de 18 ans contrôlé sans même sortir sa carte d'identité... sa photo prise avec le téléphone a suffi. Un manifestant pro-Palestine forcé physiquement à faire face à la caméra, des mains gantées sur le visage.

Et un flic montre même la manip à Disclose sur son NEO, tranquille, en expliquant que "tout le monde y a accès dès la sortie de l'école de police". Hop, le portrait tombe en moins d'une minute. C'est chouette pour pour connaitre le prénom des gens sur Tinder, suffit de prendre en photo l'écran de son smartphone perso, hein.... bah quoi ?

L'IGPN elle-même le sait. En effet, dans son rapport 2023, la police des polices écrivait noir sur blanc que le TAJ est "très fréquemment utilisé sur la voie publique". Ah bah ça va, s'ils sont au courant, on est rassuré parce qu'ils ont surement dû faire quelque chose pour empêcher ça... ah bah non en fait parce que les consultations ont plus que doublé en 5 ans : 375 000 en 2019, près d'un million en 2024 !! Waaaaah, ça fait environ 2 500 tirage de portrait par jour, c'est fou !! Le problème, c'est que personne ne contrôle qui consulte quoi. Les accès sont tracés sur les serveurs, mais bon... tracer sans vérifier, ça sert pas à grand-chose. Et c'est pas forcément par manque de moyens car chaque consultation est horodatée et conservée trois ans, donc y'a le temps. Non, faut croire que c'est la flemme en fait.

Et là, Noémie Levain, juriste à La Quadrature du Net, pose les mots qui font mal : "Quand des policiers peuvent photographier qui ils veulent pour savoir qui est qui, c'est un renversement de l'État de droit."

Elle rappelle en effet, qu'en 1940, il a suffi d'un, je cite, "tout petit changement de curseur" dans les fichiers de police pour aller chercher les gens chez eux. Le parallèle fait froid dans le dos, mais il est factuel.

Et surtout c'est la deuxième fois, à vrai dire, que Disclose prend le ministère en flagrant délit sur ce sujet. En 2023, c'était Briefcam , un logiciel israélien de vidéosurveillance déployé illégalement. Le ministre avait dû le faire désactiver dans les semaines qui ont suivi. Hé bien, croyez le ou non, cette fois, le ministère n'a même pas daigné répondre aux questions de Disclose. Va savoir pourquoi... C'est trop bizaaaarre.

Maintenant si vous voulez savoir quels sont vos droits face à cette pratique, La Quadrature du Net a publié un guide en accès libre qui explique ce que la police peut et ne peut pas faire lors d'un contrôle. Franchement, c'est à lire et à partager !

Par contre, n'oubliez pas que cette technologie ne marche pas toujours. Par exemple, cette américaine vient de passer près de six mois en prison à cause d'un faux positif avec une technologie à la con de ce genre. Donc bon...

Bref, allez lire l'enquête complète de Disclose, c'est du journalisme d'investigation en accès libre et ça concerne directement vos libertés. Et si le cœur vous en dit, soutenez-les .

Source

La reconnaissance faciale vient encore de montrer ses limites aux États-Unis. Angela Lipps, 50 ans, grand-mère du Tennessee, a passé près de six mois en prison après qu'un algorithme l'a désignée à tort comme suspecte dans une affaire de fraude bancaire au Dakota du Nord.

Ses relevés bancaires ont prouvé qu'elle se trouvait à 2 000 kilomètres des faits. Elle attend toujours des excuses.

Un algorithme, une arrestation

Le 14 juillet 2025, des agents fédéraux américains débarquent chez Angela Lipps au Tennessee. Ils l'arrêtent sous la menace d'une arme, alors qu'elle garde quatre enfants. La police de Fargo, dans le Dakota du Nord, à environ 2 000 kilomètres de là, la soupçonnait d'avoir utilisé une fausse carte d'identité militaire pour retirer des dizaines de milliers de dollars dans plusieurs banques entre avril et mai 2025.

Pour identifier la suspecte filmée par les caméras de surveillance, les enquêteurs ont passé les images dans un logiciel de reconnaissance faciale. Le système a désigné Angela Lipps. Un détective a ensuite comparé la photo avec le permis de conduire et les réseaux sociaux de la quinquagénaire, et a validé l'identification. Sauf que ce n'était pas du tout elle.

108 jours sans la moindre audition

Classée comme fugitive, Angela Lipps est restée quatre mois en prison au Tennessee, sans caution et sans possibilité de se défendre. Elle n'a été transférée dans le Dakota du Nord que le 30 octobre, soit 108 jours après son arrestation.

Sa première comparution devant un tribunal a eu lieu le lendemain. Et c'est seulement le 19 décembre, cinq mois complets après l'arrestation, que la police de Fargo l'a interrogée pour la première fois.

Son avocat, Jay Greenwood, avait entre-temps obtenu ses relevés bancaires. Les documents montraient qu'Angela achetait des cigarettes et déposait ses chèques de sécurité sociale au Tennessee au moment même où la police la plaçait à Fargo. Les charges ont été abandonnées le 24 décembre, la veille de Noël. Cinq mois et dix jours d'incarcération pour une erreur de machine.

Tout perdu, zéro indemnisation

À sa sortie, Angela Lipps n'avait plus rien. Pas de manteau, pas d'argent, pas de moyen de rentrer chez elle. Pendant sa détention, elle a perdu sa maison, sa voiture et son chien. La police de Fargo n'a pris en charge aucun frais.

Ce sont des avocats de la défense locaux qui lui ont donné de quoi payer une chambre d'hôtel et de la nourriture le soir de Noël. Le lendemain, Adam Martin, fondateur de l'association F5 Project, l'a conduite en voiture jusqu'à Chicago pour qu'elle puisse regagner le Tennessee.

Un habitant de West Fargo, Michael Nessa, a depuis lancé une cagnotte GoFundMe en son nom, qui a récolté près de 20 000 dollars. Angela Lipps attend toujours des excuses de la police.

Ce n'est pas la première fois qu'une personne se retrouve derrière les barreaux à cause d'un faux positif de reconnaissance faciale aux États-Unis. Et dans la grande majorité des cas rendus publics, les victimes sont des femmes ou des personnes issues de minorités.

Côté procédure, qu'un détective ait "confirmé" l'identification en comparant une photo de surveillance avec un permis de conduire, ça en dit quand même long sur la rigueur du processus.

Si vous pensiez que ce genre de technologie était encadré par des garde-fous solides, l'affaire Lipps prouve le contraire. Six mois de prison, une vie brisée, et pas la moindre excuse. Franchement, on espère que ça fera réagir là-bas, mais on n'y mettrait pas notre main à couper. Un grand merci à Skribascode de nous avoir envoyé cette info !

Sources : Upper Michigan Source , KVRR

-- Article en partenariat avec Surfshark --

Les scams vocaux par IA, c’est un peu la nouvelle génération de coup de fil foireux. Sauf que cette fois, la voix au bout du fil peut être celle de votre mère, de votre boss, ou de vous-même cloné en haute définition. Et ça, c’est nettement moins drôle.

C’est quoi un scam vocal par IA ?

En gros, un scam vocal par IA, c’est une arnaque où des petits malins utilisent de l’intelligence artificielle pour copier votre voix (ou celle de quelqu’un que vous connaissez) et s’en servent pour vous soutirer du fric ou des infos sensibles. Il leur suffit de quelques secondes d’enregistrement pour recréer votre timbre, votre rythme, votre accent, et vous faire dire des choses que vous n’avez jamais prononcées. À l’autre bout, le scammer joue la carte de l’urgence (“je suis en garde à vue”, “on a besoin d’un virement tout de suite”) histoire que vous paniquiez et que vous obéissiez sans réfléchir.

Comment ils clonent votre voix ?

La matière première, c’est vous sur Internet. Vidéos TikTok, Reels Instagram, YouTube, podcasts, interviews, vocaux WhatsApp, hack d'applications ou d'IA générative dont vous avez utilisé les commandes vocales, le message d'accueil de votre messagerie vocale ... bref tout ce qui contient votre voix peut servir de base à un modèle d’IA. Juste vous téléphoner pour vous faire parler suffit. Le logiciel analyse tout ça, fabrique une version numérique de votre voix, puis peut générer n’importe quelle phrase avec votre timbre, comme si vous lisiez un script en direct. Ensuite, soit ils envoient des messages vocaux “ultra crédibles”, soit ils passent carrément des appels avec une voix clonée branchée sur un synthé vocal en temps réel.

On retrouve quelques classiques déjà bien rodés et qui ne sont déjà plus de la science-fiction futuriste  :

• Le faux appel d’urgence d’un proche : accident, arrestation, enlèvement fictif, avec demande de virement immédiat, souvent via des moyens impossibles à rembourser.
• Le “CEO fraud” 2.0 : un dirigeant cloné qui demande à un employé un virement discret pour un “projet stratégique” ou une “opération confidentielle”.
• Le faux conseiller bancaire ou crypto qui vous parle comme un pro, avec jargon et numéro de dossier, pour vous pousser à transférer des fonds “pour sécurité”.
• Le contournement d’authentification vocale : la voix clonée sert à passer les systèmes qui utilisent la voix comme facteur de sécurité.
• Les appels de masse en voix synthétique “propre” pour du support technique bidon, des fausses dettes ou des impôts.

Comment repérer le fake (et éviter de se faire plumer)

Même si la techno devient très bonne, il reste souvent des indices. Comme un rythme de parole un peu bizarre, des émotions mal placées, un ton trop lisse pour une situation censée être dramatique, une micro-latence avant les réponses ou encore un refus catégorique de passer en visio ou de rappeler sur un numéro officiel.

La bonne pratique c'est de ne jamais céder sous la pression d’un seul appel. Posez des questions que seul le vrai proche peut connaître, vous raccrochez et vous vérifiez via un autre canal (appel direct, message, numéro de la banque trouvé par vous-même, pas dans le mail ou le SMS reçu). Et plus vous limitez votre empreinte vocale publique, moins vous donnez de matière à ces outils de clonage.

Où Surfshark entre en jeu dans cette histoire

Soyons clairs : aucun outil ne peut empêcher un escroc de cloner une voix qu’il a déjà récupérée. Par contre, vous pouvez rendre sa vie beaucoup plus compliquée, et c’est là que l’écosystème Surfshark devient intéressant.

• Le VPN Surfshark chiffre votre trafic et masque votre IP, ce qui limite la quantité d’infos qu’un attaquant peut recouper sur vous et rend le ciblage plus difficile.
• Surfshark Alert vous signale si des données personnelles finissent dans une fuite, ce qui vous permet de réagir avant qu’elles soient utilisées pour rendre une arnaque vocale encore plus crédible.
• L’antivirus Surfshark bloque les malwares, keyloggers et autres joyeusetés souvent utilisés en combo avec ce genre d’arnaque pour vider vos comptes une fois que vous avez mordu à l’hameçon.

Vous combinez ça avec un peu d’hygiène numérique (mots de passe costauds, double authentification, méfiance par défaut au téléphone), et vous devenez tout de suite une cible beaucoup moins rentable pour les arnaques vocales dopées à l’IA. Arrêtez aussi de répondre aux appels de numéros masqués, inconnus ou que vous ne connaissez pas.

Les principales fonctionnalités de Surfshark VPN

Surfshark VPN ne se contente pas de chiffrer votre connexion, il vient avec tout un arsenal de fonctionnalités pensées pour limiter la quantité de données que les arnaqueurs peuvent exploiter contre vous. Parmi les plus utiles, on retrouve le chiffrement de bout en bout du trafic, le masquage d’adresse IP, ainsi qu’une politique stricte de non-conservation des logs.

Vous pouvez aussi utiliser la connexion simultanée sur un nombre illimité d’appareils pour protéger en une fois votre smartphone, PC, tablette et même certains appareils connectés de la maison. Le Kill Switch coupe automatiquement votre connexion Internet si le VPN décroche, ce qui évite que votre trafic repasse à nu sans que vous ne vous en rendiez compte.

Les serveurs multi-hop (double VPN) permettent de faire transiter votre trafic par plusieurs pays à la fois, rendant le traçage encore plus compliqué pour quiconque essaierait de remonter jusqu’à vous. La fonction CleanWeb, elle, bloque pubs, trackers et une partie des sites malveillants, ce qui réduit les risques de tomber sur des pages de phishing utilisées en parallèle de scams vocaux.

Enfin, avec les serveurs spécialisés (par exemple pour le P2P) et les options de tunneling fractionné, vous pouvez décider quelles applications passent par le VPN et lesquelles utilisent une connexion normale. Ça vous permet d’ajuster finement le niveau de confidentialité sans sacrifier le confort d’usage au quotidien.

Avec un abonnement Starter Pack 2 ans à moins de 64.5 € TTC (plus 3 mois offerts), cela revient à moins de 2,39 € TTC par mois pour protéger en continu tous les appareils de la maison, 24h/24 et 7j/7. Ou 2.98€/mois TTC pour Surfshark One (avec l'antivirus, alert, alternative ID ...). C'est moins cher que le prix des abonnements en 2023, pas d'inflation chez la firme au requin.

🔗 Profiter de l'offre Surfshark VPN ici

Si vous pilotez un drone DJI, vos logs de vol finissent probablement sur Airdata ou un service cloud du même genre. En gros ce sont des trucs qui aspirent vos trajectoires GPS, vos altitudes en mètres, vos tensions de batterie en millivolts... et qui stockent tout ça sur des serveurs quelque part dans le cloud. Ouais, bof.

Eh bien Open DroneLog , c'est exactement l'inverse à savoir un carnet de vol open source qui garde tout en local, dans une base DuckDB (une base de données embarquée ultra-légère) sur votre machine.

Avec cet outil, vous importez vos fichiers .txt DJI (tous les modèles : Mini, Mavic, Air, Phantom...), les CSV de l'app Litchi, ou même les exports Airdata, et hop, le logiciel mouline tout ça pour vous afficher vos vols sur une carte 3D interactive avec le replay de la trajectoire. Vous pouvez alors accélérer jusqu'à x16, voir la télémétrie en temps réel (altitude, vitesse, signal RC, tensions des cellules de batterie) et même visualiser les mouvements des joysticks.

Pas mal donc pour comprendre pourquoi votre Mavic a décidé de faire un plongeon kamikaze ce jour-là !

Visualisation 3D d'une trajectoire de vol dans Open DroneLog

Un truc bien pensé dans l'appli, c'est l'auto-tagging car le logiciel détecte automatiquement les vols de nuit, les passages à haute vitesse, les situations de batterie froide... et colle des étiquettes sur chaque vol sans que vous ayez à lever le petit doigt. Pour ceux qui se demandent à quoi ça sert de tenir un journal de vol, disons que le jour où l'aviation civile vous pose des questions sur vos habitudes de pilotage, avoir un historique propre de tous vos vols avec coordonnées et télémétrie, ça peut clairement vous sauver la mise (surtout si vous volez près de zones sensibles).

Côté déploiement, vous avez le choix : app desktop (Windows, macOS, Linux), image Docker pour l'auto-héberger, ou la webapp pour tester sans rien installer. Le Docker est clairement le meilleur choix parce que vous pouvez monter un dossier de logs et configurer une synchro automatique via cron. Genre, votre drone se pose, vous branchez la carte SD sur le NAS, copiez les fichiers .txt dans le dossier monté, et l'import se fait tout seul toutes les 8 heures. Ça tourne même sur un Raspberry Pi !

D'ailleurs, ça me rappelle l'époque lointaine où on construisait son propre drone dans le garage.

Les graphiques de télémétrie : altitude, vitesse, batterie, tout y passet'as anal

Le géocodage inversé (qui transforme vos coordonnées GPS en noms de lieux) se fait hors-ligne donc c'est top pour la vie privée et d'ailleurs, si le sujet vous parle, le projet OwnTracks applique la même philosophie à la géolocalisation perso.

Le logiciel gère aussi les profils multiples (pratique si vous avez plusieurs pilotes ou flottes), le suivi de la santé des batteries avec historique des cycles, la maintenance avec seuils configurables, et l'export dans à peu près tous les formats imaginables : CSV, JSON, GPX, KML. Y'a même un générateur de "FlyCards" pour partager vos stats de vol sur les réseaux en format 1080x1080 ! Et le tout est traduit en 11 langues, dont le français.

Le projet est sous licence AGPLv3, et pour l'instant c'est DJI-only (pas de Parrot ni Autel en natif). Bref, si vous cherchez un carnet de vol drone qui ne balance pas vos coordonnées GPS dans le cloud, c'est tout trouvé !

Bon, j'avoue qu'en 2026, la question n'est plus "faut-il quitter les GAFAM ?" mais plutôt "par quoi on les remplace ?". Entre les politiques de confidentialité qui changent tous les 4 matins, le CLOUD Act qui permet au gouvernement US d'accéder à vos données même si les serveurs sont en Europe, et un contexte géopolitique disons... tendu (merci Donaldi Trumpovich)... bref, il y a de quoi vouloir garder ses billes sur le vieux continent.

Et la bonne nouvelle, c'est que les alternatives européennes ne sont plus des gadgets de libristes barbus dans leur garage. On parle de vrais services, solides, souvent conformes RGPD par design, et qui n'ont plus à rougir face aux mastodontes américains. Du coup, je vous ai concocté LE guide pour vous y retrouver dans cette jungle d'alternatives made in EU.

Les 4 annuaires incontournables pour trouver des alternatives européennes

Avant de rentrer dans le vif du sujet catégorie par catégorie, sachez qu'il existe maintenant plusieurs annuaires spécialisés qui font le taf de curation pour vous. Parce que oui, trouver l'alternative européenne qui va bien, c'est pas toujours évident quand on ne sait pas où chercher.

Go European est celui qui a tout déclenché. Le projet est né en février 2025 sur le subreddit r/BuyFromEU et en à peine un mois, plus de 150 000 personnes avaient rejoint le mouvement. Aujourd'hui c'est plus de 1 000 produits et services indexés par une soixantaine de bénévoles. Le truc cool, c'est qu'il y a des extensions pour Firefox et Chrome qui vous suggèrent automatiquement une alternative européenne quand vous visitez un site US. Pas de prise de tête, pas de configuration complexe, juste ce qu'il faut.

European Alternatives est probablement le plus complet du lot. On parle de 61 catégories couvrant absolument tout : du web analytics (31 alternatives à Google Analytics !) au cloud computing, en passant par les VPN, les services de paiement, les outils de visioconférence, les chatbots IA et même les gestionnaires de mots de passe. Le site propose aussi une section " Alternatives to " super pratique où vous cliquez sur le logo de Slack, Dropbox, Zoom ou Stripe pour voir instantanément tous les concurrents européens. En gros, c'est devenu LA référence.

Et pour les devs parmi vous, TechAlternatives.eu recense plus de 550 alternatives GDPR-compliant dans plus de 70 catégories, avec un focus particulier sur l'infrastructure (Kubernetes managé, FaaS, PaaS...). C'est clairement le plus orienté tech des trois.

Enfin, European Tech Map se distingue avec sa carte interactive qui permet d'explorer plus de 500 entreprises tech européennes classées dans une trentaine de catégories et filtrables par pays. C'est le plus visuel du lot, et c'est super pratique pour voir d'un coup d'œil ce qui se fait chez vos voisins.

Cloud et stockage : adieu Dropbox et Google Drive

C'est probablement la catégorie où l'Europe a le plus à offrir. pCloud (Suisse) propose du stockage cloud avec chiffrement côté client et des offres à vie qui font mal à la concurrence... genre vraiment mal. Nextcloud (Allemagne) c'est carrément toute une suite collaborative open source que vous pouvez auto-héberger ou utiliser chez un hébergeur européen. Infomaniak (Suisse) propose kDrive avec 15 Go gratuits et une suite bureautique intégrée, le tout sur des serveurs alimentés en énergie renouvelable. Pas mal pour de la Suisse !

Côté infrastructure, OVHcloud (France) et Scaleway (France) rivalisent sérieusement avec AWS et Google Cloud, avec des datacenters 100% européens. Si vous êtes une boîte et que vous cherchez à rapatrier vos workloads, c'est clairement par là qu'il faut commencer.

Email et messagerie : Proton Mail n'est que la partie émergée

Proton Mail (Suisse) c'est un peu le poster child des alternatives européennes, et à raison : chiffrement de bout en bout, zéro accès à vos données, juridiction suisse. Mais il n'est pas seul ! Tuta (ex-Tutanota, Allemagne) offre une approche similaire avec en prime un calendrier chiffré. Infomaniak Mail propose aussi un service email pro solide et RGPD-compliant. Et si vous avez besoin d' adresses email jetables pour vos inscriptions douteuses, il y a des solutions européennes pour ça aussi (on ne juge pas).

Côté messagerie instantanée, Element (UK) basé sur le protocole Matrix est décentralisé et chiffré de bout en bout. Olvid (France) a carrément été certifiée par l'ANSSI et est utilisée par le gouvernement français (si ça c'est pas un gage de confiance). Et Threema (Suisse) fonctionne sans numéro de téléphone, ce qui en fait un vrai rempart pour la vie privée.

Moteurs de recherche et navigation web

Pour la recherche, Qwant (France) a son propre index et ne trace rien du tout. Startpage (Pays-Bas) vous donne les résultats de Google sans que Google sache que vous existez... c'est assez malin comme approche. Et Ecosia (Allemagne) plante des arbres avec les revenus publicitaires, si vous cherchez l'utile à l'agréable.

Côté navigateurs, Vivaldi (Norvège) est une vraie usine à gaz de la personnalisation (dans le bon sens du terme !), avec un bloqueur de pubs intégré et un respect de la vie privée qui change de Chrome. Mullvad Browser (Suède), développé en collab avec le Tor Project, pousse le curseur encore plus loin en minimisant votre empreinte numérique.

Et pour le DNS, sachez que DNS4EU est le résolveur DNS européen co-financé par l'UE et supervisé par l'ENISA. Une brique d'infrastructure que la plupart des gens ignorent mais qui est fondamentale pour la souveraineté numérique européenne.

Bureautique et productivité : on peut bosser sans Microsoft

Microsoft 365 et Google Workspace dominent le marché, mais les alternatives européennes arrivent en force. OnlyOffice (Lettonie) propose une suite complète compatible avec les formats MS Office. CryptPad (France) pousse le concept encore plus loin avec des documents collaboratifs chiffrés de bout en bout, idéal pour ceux qui ne veulent pas que leurs docs se baladent dans la nature. Et Nextcloud Office intègre Collabora Online pour de l'édition collaborative directement dans votre cloud.

Pour la gestion de projet, Zenkit (Allemagne) peut remplacer Trello et Notion, et Odoo (Belgique) c'est carrément un ERP/CRM open source complet qui fait tourner des boîtes entières. Et si vous cherchez un Zapier-like européen , Automatisch fait le taf en auto-hébergé.

IA et traduction : l'Europe a rattrapé son retard

C'est LE secteur où ça a bougé le plus vite. Mistral AI (France) avec Le Chat propose un assistant IA qui tient la comparaison avec ChatGPT, et leurs modèles open source font le bonheur des développeurs du monde entier. Aleph Alpha (Allemagne) cible les entreprises et les institutions avec des modèles souverains. Et Hugging Face (France), même si c'est plus une plateforme qu'un service grand public, c'est devenu THE place pour les modèles open source d'IA.

Pour la traduction, DeepL (Allemagne) n'a franchement plus besoin d'être présenté. La qualité de traduction est souvent supérieure à Google Translate, et le service traite des milliards de traductions. C'est probablement l'alternative européenne la plus aboutie de toute cette liste... et de loin.

VPN et sécurité : protéger ses données à l'européenne

Mullvad VPN (Suède) accepte les paiements en cash par courrier (oui oui, vous envoyez des billets dans une enveloppe) et ne demande aucune information personnelle à l'inscription. Proton VPN (Suisse) propose une offre gratuite généreuse et bénéficie de toute la réputation de l'écosystème Proton.

Pour les mots de passe, Proton Pass (Suisse - pas européen) et pCloud Pass font très bien le job. Et n'oubliez pas que des consortiums européens bossent même sur des alternatives open source à Google Play Integrity pour sécuriser Android sans dépendre de Google. Ça bouge à tous les étages !

Le vrai défi : passer à l'acte (progressivement)

Je sais ce que vous vous dites : "C'est bien joli tout ça mais changer tous ses outils d'un coup c'est l'enfer." Et vous avez raison. La bonne stratégie, c'est d'y aller progressivement. Commencez par un truc simple : remplacez votre moteur de recherche par Qwant ou Startpage, ça prend 30 secondes. La semaine d'après, essayez Proton Mail pour vos mails perso. Et ainsi de suite. Un service à la fois, sans se mettre la pression.

Ce qui est certain, c'est que l'écosystème européen n'a jamais été aussi mature. Entre la consultation de Bruxelles sur l'open source qui veut faire du logiciel libre une infrastructure essentielle, les communautés comme r/BuyFromEU qui fédèrent des centaines de milliers de personnes, et des boîtes européennes qui lèvent des millions... on n'est plus dans le "un jour peut-être" mais dans le "c'est maintenant".

Installez l'extension Go European , bookmarkez European Alternatives , TechAlternatives et European Tech Map , et explorez. Vous serez surpris de voir à quel point l'Europe a rattrapé son retard. Et avec le RGPD comme filet de sécurité, vos données restent chez vous. Pas mal, non ?

Article initialement publié le 29 décembre 2025 et mis à jour le 13 mars 2026

-- Article en partenariat avec Incogni --

Vous n'avez probablement pas besoin d’un énième sermon sur la "vie privée". Vous avez besoin d’outils qui font le sale boulot à votre place. Incogni fait exactement ça : il passe ses journées à frapper à la porte des courtiers en données pour leur dire de supprimer vos infos , pendant que vous faites autre chose de vital. Comme préparer une raclette parce que l'hiver n'est pas terminé.

On imagine souvent les fuites comme des gros piratages de bases de données. Cela arrive parfois bien évidemment, sauf qu'en pratique, le plus gros de la collecte part de choses beaucoup plus banales : formulaires, programmes de fidélité, inscriptions sur des sites gratuits et désormais, les extensions IA qui se greffent au navigateur .

Une étude d’Incogni montre que plus de la moitié des extensions Chrome “dopées à l’IA” collectent au moins un type de données utilisateur. Sur presque 450 extensions analysées, 52% aspirent quelque chose, et près de 30% récupèrent des infos personnelles identifiables. Votre nom, adresse, email, parfois même du contenu que vous tapez (mails, formulaires, documents en ligne) et des éléments de localisation. Des outils archi populaires comme Grammarly ou QuillBot se retrouvent pointés du doigt pour le volume et la sensibilité des données auxquelles ils ont accès, tout en étant installés par des millions d'utilisateurs.

Le problème, c’est que ces flux ne restent pas cantonnés aux éditeurs d’extensions. Ils alimentent des courtiers en données ( data brokers ) qui recoupent, enrichissent et revendent ce qu’ils savent de vous. Ça concerne aussi bien les coordonnées, le profil socio‑démographique, les centres d’intérêt, comportement de navigation, historique d’achats, etc. Vous ne verrez jamais leur nom sur un bandeau de cookie, mais eux vous connaissent très bien.

Incogni : un service qui supprime vos données à grande échelle

Pour attaquer ce problème à la racine, Incogni automatise tout ce que vous pourriez théoriquement faire à la main, mais que personne ne fait vraiment :

• repérer quelles sociétés ont probablement vos données,
• leur envoyer des demandes de suppression basées sur le RGPD, CCPA & co,
• les relancer si elles traînent des pieds,
• vérifier que vos données ne réapparaissent pas quelques mois plus tard.

Concrètement, à l’inscription, vous fournissez quelques informations d’identification (nom, email, adresse postale) pour permettre à Incogni de vous retrouver dans les bases des brokers. Une fois la procuration numérique signée, la plateforme commence à envoyer des demandes d’effacement à plus de 420 sites de courtage et bases marketing, recrutement, scoring, etc., en votre nom. On peut parler d’un service “quasi mains libres” qui économise des dizaines d’heures de démarchage manuel en automatisant ces requêtes et les relances qui suivent.

Sur le tableau de bord, on voit très concrètement tout ce qui se passe :

• combien de demandes ont été envoyées,
• quels brokers ont répondu,
• combien ont confirmé la suppression,
• lesquels sont encore en attente ou en cours de relance.

Une fois la première vague passée (souvent 30 à 45 jours pour les réponses, selon mon test perso et ce que j'ai vu en ligne), Incogni continue à surveiller les mêmes acteurs et à renvoyer des demandes périodiques pour éviter les “résurrections” discrètes de votre profil dans leurs fichiers. C’est cette dimension continue qui en fait un outil pratique : au lieu de faire un gros ménage une fois et d’oublier, vous déléguez la routine.

Le mode sniper : faire retirer vos données d’un site précis

Le détail intéressant pour les cas particuliers : avec l’offre illimitée, vous pouvez demander à Incogni de s’attaquer à des sites spécifiques, au-delà de sa liste standard de brokers. Ça couvre par exemple :

• un annuaire de recherche de personnes qui expose votre adresse,
• une base obscure où votre numéro apparaît,
• une plateforme pro qui indexe trop bien vos données.

Le principe est simple : vous copiez l’URL du site ou de la page concernée dans l’interface, et l'outil ajoute ce cas à la liste des demandes à traiter. Il n’y a pas de limite de nombre de requêtes sur ce mode, ce qui en fait une option assez puissante pour “nettoyer” au fur et à mesure ce que vous découvrez dans Google. D'ailleurs petit conseil perso, n'hésitez pas à créer une alerte sur votre nom pour recevoir un mail dès qu'il apparaît quelque part, vous serez peut-être étonné.

Il y a des bornes logiques : Incogni ne pourra pas effacer des dossiers judiciaires publics, des registres gouvernementaux, ni vos propres contenus sur les réseaux sociaux, blogs ou forums. L’idée est de cibler les usages commerciaux de vos données, pas de réécrire l’histoire.

Ce que vous y gagnez concrètement

Sur le papier, “moins de données chez les brokers” sonne abstrait. Dans la pratique, ça se traduit par plusieurs bénéfices très concrets :

• Moins de démarchage ciblé : les listes marketing qui tournent avec votre mail et votre téléphone s’appauvrissent, ce qui se voit dans la baisse de certains spams ultra personnalisés.
• Moins de contexte pour les arnaques : un escroc qui ne connaît plus votre adresse, vos anciennes boîtes, vos habitudes, aura plus de mal à composer un message crédible.
• Moins d’exposition dans les moteurs de recherche de personnes ou annuaires douteux : vos fiches disparaissent au fil des suppressions, ce qui réduit les risques de harcèlement, doxxing ou simple curiosité mal placée.
• Moins de données à gérer en cas de fuite : si un broker se fait pirater, le volume d’informations vous concernant est moindre, donc l’impact potentiel aussi.

Et pour être utilisateur du service, on sent bien le côté progrès visible sans effort technique. Au bout de quelques semaines, le tableau de bord compte déjà des dizaines de suppressions confirmées, et le flux de courrier indésirable le plus ciblé commence à se tasser.

Et les extensions IA dans tout ça ?

Le rapport d’Incogni sur les extensions IA Chrome montre bien que le problème ne va pas disparaître. Tant qu’on installera des assistants magiques qui demandent un accès à tous les sites et à tout ce qu’on tape, les brokers auront de nouveaux tuyaux pour s’alimenter. La réponse ne peut pas être seulement “n’installez plus rien”, on a besoin de ces outils. Le service de Surfshark prend donc le problème par l’autre bout. Même si certaines données fuient via ces extensions ou d’autres services, il s’occupe de retrouver les endroits où elles se centralisent et d’exiger qu’elles soient effacées.

Le duo gagnant, c’est donc : limiter les permissions des extensions (et éviter celles qui demandent l’accès à tous les sites sans raison), comme le recommandent les chercheurs, et derrière, faire tourner un service comme Incogni pour vider régulièrement les réservoirs où vos infos finissent de toute façon.

Un outil de fond, pas un gadget de plus

Beaucoup de solutions privacy ajoutent une couche d’interface ou de jargon sans changer grand-chose au fond. Ici, la valeur est très terre à terre : du temps économisé, des démarches que vous n’auriez jamais faites vous‑même, et un suivi qui tourne en tâche de fond. Les analyses récentes en font un des services les plus rentables si votre objectif est simplement de faire disparaître votre fiche de la plupart des fichiers commerciaux sans y consacrer votre week‑end.

En résumé, Incogni ne promet pas l’invisibilité totale, mais il fait quelque chose que peu de gens ont la patience de faire. En 2026, ce n’est pas un luxe, c’est presque le minimum syndical pour que votre historique ne soit pas la matière première des prochaines dérives de l’IA ou du prochain mail d’arnaque trop bien informé.

Et vous pouvez en profiter à partir de 86€/an TTC pour la version standard (et même moins, 77€, avec le code KORBEN55). Pour la version illimitée, il faut compter 173€/an (ou 155 avec mon code).

→ Cliquez ici pour en savoir plus sur Incogni ←

Et si vos fichiers .env se transformaient en un joli tableau avec des astérisques partout afin d'assurer la confidentialité de vos clés API et autres crédentials ? Hé bien c'est exactement ce que propose Dotenv Mask Editor , une extension VS Code qui remplace carrément l'éditeur texte par une grille.

Du coup, vos clés API, tokens AWS, mots de passe PostgreSQL et autres STRIPE_SECRET_KEY s'affichent sous forme de ****** et vous pouvez bosser dessus même si quelqu'un mate par-dessus votre épaule.

En gros, dès que vous ouvrez un fichier .env (ou .env.local, .env.production... bref, tout ce qui matche le pattern), l'extension vous présente vos variables dans un tableau à deux colonnes. Les clés à gauche, les valeurs masquées à droite. Pour modifier une valeur, hop, vous cliquez dessus et elle se dévoile le temps de l'édition. Vous cliquez ailleurs, c'est re-masqué. Pas de sauvegarde manuelle à faire, ça se fait tout seul.

Le masquage se déclenche à partir de 6 caractères (en dessous, c'est probablement pas un secret... genre PORT=3000 ou DEBUG=true, on s'en fiche). Et le truc cool, c'est que tout tourne en local sur votre machine.

Si vous vous dites "mais attends, y'a pas déjà Camouflage pour ça ?"... oui et non. Camouflage masque vos secrets avec un overlay pendant les démos et le partage d'écran, mais vous continuez à éditer dans l'éditeur texte classique. Dotenv Mask Editor, lui, change complètement l'interface, c'est un éditeur de tableau dédié aux variables d'environnement. Deux approches différentes du coup, et rien ne vous empêche d'utiliser les deux.

L'extension est sous licence MIT, fonctionne sur toutes les plateformes (Windows, Linux, macOS, même VS Code Web) et vous pouvez ajouter des patterns de fichiers personnalisés dans vos settings.json.

D'ailleurs, si vous voulez l'installer, c'est du classique : Ctrl+Shift+X dans VS Code (Cmd+Shift+X sur Mac), vous tapez "dotenv mask" et voilà.

Avec ça, vos secrets restent secrets mais faut quand même pas oublier de mettre votre .env dans le .gitignore hein. ^^

C'est fou hein, mais un CD-ROM de catch sorti en 1999 a gardé ses vidéos sous DRM durant 25 piges et tout ça juste parce que le serveur qui filait les clés de déchiffrement a disparu. Du coup personne pouvait plus rien lire.

Jusqu'à maintenant.

Le WCW Internet Powerdisk, c'était un disque promo glissé dans le magazine WCW. 61 clips vidéo de catch dessus, des matchs Hogan vs Goldberg, des profils de Sting, des intros Monday Nitro... le tout en MPEG-1 à 320x240, 30 fps, et audio MP2 mono à 64 kbps. Pour lire ces vidéos, fallait passer par UlPlayer.exe qui allait chercher une clé sur un serveur distant. Et quand le serveur a disparu vers 2000, 51 minutes de contenu sont devenues inaccessibles. Du jour au lendemain. Verrouillé pour TOUJOURS... enfin presque.

Car un dev a décidé de s'attaquer au problème en analysant le programme de chiffrement utilisé à l'époque. Et le chiffrement PAVENCRYPT (oui c'est son petit nom), c'est juste une clé qui boucle sur chaque octet du fichier. Chaque fichier a sa propre clé, mais on est clairement sur du niveau exercice de première année en crypto, dans l'esprit du ROT13.

Et comme les fichiers MPEG-1 ont une structure connue, il suffit de regarder la fin du fichier chiffré pour deviner la clé. Un simple calcul, quelques secondes, et c'est plié. Sauf si le fichier est corrompu (là bon courage).

Résultat, 61 fichiers sur 61 récupérés ! 51 minutes de catch WCW avec des matchs, des promos, des segments scénarisés... tout ça converti en H.264 et mis en ligne sur l' Internet Archive . Le déchiffreur est en Python mais attention par contre, ça ne marche que sur les fichiers .PAV au format PAVENCRYPT, et pas sur n'importe quel chiffrement des années 90 ^^.

D'ailleurs, ce genre de DRM propriétaire des années 90, c'était monnaie courante. Y'a tout un tas de vieux contenus numériques qui pourrissent derrière des verrous obsolètes . Ici la protection a survécu plus longtemps que l'entreprise qui l'a fabriquée, qui a purement et simplement disparu.

Après, le chiffrement était tellement basique que c'est pas non plus un exploit de DINGUE. N'importe qui avec Python et des notions de crypto aurait pu faire pareil, sauf que personne n'avait essayé, donc voila, bravo !!

Comme quoi, un DRM n'a pas besoin d'être costaud pour bloquer du contenu pendant un quart de siècle. Suffit que personne ne s'y intéresse.

Les services de renseignement néerlandais ont révélé qu'une campagne de hackers russes cible les comptes Signal et WhatsApp de hauts fonctionnaires, militaires et journalistes dans le monde entier.

Des employés du gouvernement néerlandais ont déjà été compromis, et le chiffrement de bout en bout n'a même pas eu besoin d'être cassé. Eh oui, là on parle de social engineering, tout simplement.

Des codes de vérification, pas du piratage

La méthode est assez simple, et c'est peut-être ça le pire. Les hackers contactent directement leurs cibles en se faisant passer pour le support technique de Signal. Ils demandent de partager le code de vérification à six chiffres ou le code PIN, sous prétexte de « sécuriser » le compte.

Une fois le code récupéré, ils se connectent et accèdent à l'ensemble des conversations. L'autre technique est un peu plus discrète : les attaquants envoient un QR code piégé qui lie un appareil supplémentaire au compte de la victime, via la fonction « appareils liés » de Signal ou WhatsApp. À partir de là, les messages arrivent en temps réel sur un appareil qu'ils contrôlent, sans que la victime ne s'en rende compte. Pratique.

Des comptes gouvernementaux déjà touchés

L'AIVD et le MIVD, les deux agences de renseignement néerlandaises, ont confirmé que des employés du gouvernement et des journalistes avaient été piégés. Simone Smit, directrice générale de l'AIVD, a tenu à préciser que Signal et WhatsApp en tant que plateformes n'étaient pas compromis : ce sont des comptes individuels qui ont été visés. Le chiffrement tient bon, mais ça ne sert à rien quand c'est l'utilisateur qui donne la clé.

Le vice-amiral Peter Reesink, directeur du MIVD, a de son côté rappelé que ces messageries ne devaient tout simplement pas être utilisées pour échanger des informations classifiées ou sensibles. Les hackers auraient déjà accédé à des données sensibles.

Comment savoir si vous êtes touché

Quelques signaux doivent vous alerter : un contact qui apparaît en double dans une conversation de groupe, ou un numéro connu qui affiche soudainement « compte supprimé ». La règle de base reste simple : ne jamais communiquer un code de vérification, même si la demande semble venir du support officiel. Et pensez à faire un tour dans les paramètres de Signal ou WhatsApp pour vérifier la liste des appareils liés à votre compte.

C'est couillon parce que ce type d'attaque n'a rien de sophistiqué, et c'est bien ça le problème. Pas besoin de casser le chiffrement quand il suffit de demander poliment le code à la personne en face.

C'est du social engineering, ça marche depuis des années, et ça continuera de marcher parce qu'on a quand même tendance à faire confiance à un message qui a l'air officiel (et c'est bien normal).

Le fait que des fonctionnaires gouvernementaux soient tombés dans le piège en dit long sur le niveau de sophistication requis : aucun. Mais bon, il serait peut-être bon de former un peu plus les gens qui manipulent des données sensibles à ce genre de risques.

Source : Reuters

Gaël Musquet, mon copain hacker, me parlait déjà de tracking TPMS en 2020. Du coup, quand je vois des chercheurs publier un document de recherche en 2026 pour "découvrir" qu'on peut pister une voiture via ses capteurs de pneus, bon, comment dire... je suis pas tombé de ma chaise.

Mais faut reconnaître que l'étude en question va quand même plus loin qu'une discussion entre 2 stands au FIC. En effet, une équipe d'IMDEA Networks et d'armasuisse (le labo de défense suisse, rien que ça) a posé 5 récepteurs SDR dans une ville pendant 10 semaines. Coût du matos, environ 100 dollars par capteur, qui est en gros un Raspberry Pi 4 avec un dongle RTL-SDR à 25 balles. Et grâce à cela, ils ont capté plus de 6 MILLIONS de messages, provenant de plus de 20 000 véhicules !

un Raspberry Pi 4 avec un dongle RTL-SDR - Source

Car oui, vous ne le savez peut-être pas, mais les capteurs de pression des pneus (TPMS pour les intimes) émettent régulièrement dès que le véhicule roule, sur 433 MHz en Europe. Et ces signaux contiennent un identifiant unique... qui bien sûr est en clair ^^. Pas de chiffrement, pas d'authentification, QUE DALLE. Donc avec un logiciel open source comme rtl_433 , ça devient vite facile de capter tout ça à plusieurs dizaines de mètres à la ronde.

En croisant les identifiants captés par plusieurs récepteurs, les chercheurs ont pu reconstituer les trajets des véhicules, identifier leurs horaires de travail, détecter les jours de télétravail et même estimer les variations de charge du véhicule (et potentiellement déduire la présence de passagers, même si c'est encore approximatif). Le tout sans caméra, sans GPS, et sans accès au réseau du véhicule !

Il suffirait de trouver l'identifiant d'une voiture précise pour déclencher par exemple automatiquement un lâcher de confettis en papier parfaitement inoffensifs à son passage, si vous voyez ce que je veux dire.

Alors attention, tous les véhicules ne sont pas logés à la même enseigne. Les TPMS dits "directs" (dTPMS), qu'on trouve souvent chez Toyota, Peugeot, Citroën, Hyundai ou Mercedes, émettent ces fameux signaux radio captables. Alors que les systèmes "indirects" (iTPMS), utilisés par la plupart des modèles Volkswagen, Audi ou Skoda, se basent sur les capteurs ABS et n'émettent rien par radio. Bref, si vous roulez en Golf de base, y'a de bonnes chances que vous soyez tranquilles sur ce coup-là même si certaines versions sportives ou haut de gamme (Golf R, GTI selon les marchés) peuvent embarquer du dTPMS.

Et le pire dans tout ça c'est que la réglementation UN R155 sur la cybersécurité automobile n'impose pas explicitement le chiffrement des TPMS. En gros, les constructeurs ne sont pas forcés de sécuriser ces transmissions. Pirelli et Bosch bossent bien sur un "Cyber Tyre" en Bluetooth Low Energy, mais c'est réservé au haut de gamme et c'est pas demain que ça arrivera sur votre Clio.

Donc côté protection, soyons honnêtes, y'a pas grand-chose à faire côté utilisateur. Vous ne pouvez pas désactiver vos TPMS (c'est obligatoire depuis 2014 pour les voitures neuves en Europe), et les capteurs ne proposent aucune option de chiffrement. Sauf si vous roulez en véhicule vintage d'avant 2014, c'est open bar. Une des parades serait que les constructeurs implémentent un système de rotation d'identifiants, un peu comme le fait déjà le Bluetooth avec les adresses MAC aléatoires, mais pour l'instant on en est loin.

Pour ceux qui veulent creuser le sujet, j'avais fait une rencontre avec Gaël Musquet il y a quelques années, où il expliquait déjà comment reprendre le contrôle de nos véhicules connectés. Et si vous voulez comprendre comment on hacke une voiture de manière plus générale, c'est un rabbit hole sans fond !

Bref, la prochaine fois que vous gonflez vos pneus... dites-leur bonjour de ma part.

Source

Les Ray-Ban Meta, c'est quand même le gadget parfait pour les voyeurs technophiles. Ce sont quand même des lunettes qui filment, prennent des photos et diffusent en live... le tout sans que PERSONNE autour ne s'en rende compte (ou presque). Alors forcément, quelqu'un a fini par coder une app pour les détecter !

Nearby Glasses , c'est une application Android développée par Yves Jeanrenaud qui scanne en permanence les signaux Bluetooth Low Energy autour de vous. Chaque appareil BLE diffuse en fait des trames pour s'annoncer avec un identifiant constructeur et les lunettes caméra de Meta utilisent les IDs 0x01AB et 0x058E (Meta Platforms) ainsi que 0x0D53 (Luxottica/Ray-Ban). Donc cette app écoute ces identifiants et vous balance une alerte dès qu'elle en capte un.

La détection repose sur le RSSI, en gros la puissance du signal reçu et par défaut, le seuil est à -75 dBm, soit environ 10-15 mètres en extérieur et 3-10 mètres en intérieur. Donc c'est pas foufou non plus mais c'est configurable, évidemment. Vous pouvez donc le durcir un peu pour ne choper que les lunettes vraiment proches, ou l'assouplir pour ratisser large (au prix de faux positifs en pagaille).

Les faux positifs, parlons-en d'ailleurs... Les casques Meta Quest utilisent les mêmes identifiants constructeur, du coup ça ne marche pas à tous les coups. Par exemple, si votre voisin joue en VR, votre téléphone va sonner ! L'app détecte aussi les Snap Spectacles (0x03C2)... pour les trois personnes qui en portent encore ^^.

Ah et l'app est UNIQUEMENT pour Android. La version iOS serait "on the way" selon le développeur... faut donc pas être pressé mais au moins c'est open source (AGPL-3.0), du coup n'importe qui peut vérifier ce que l'app fait de vos données Bluetooth.

Si le sujet vous parle, vous connaissez peut-être Ban-Rays , un projet hardware à base d'Arduino et de LEDs infrarouges qui détecte les Ray-Ban Meta via infrarouge et Bluetooth ! Hé bien Nearby Glasses, c'est l'approche 100% logicielle plutôt que hardware, ce qui est plus accessible mais forcément plus limitée... pas besoin de fer à souder, cela dit ^^.

C'est une rustine mais bon, c'est mieux que de se retrouver à poil sans permission sur le web.

Source

Amazon, fournisseur officiel de mauvaises idées en matière de vie privée depuis 1870 vient de nous pondre une nouvelle trouvaille !! À partir du 25 mars, si quelqu'un vous achète un cadeau via votre liste de souhaits Amazon, le vendeur tiers récupère votre adresse de livraison. Oui, votre VRAIE adresse !! Après en tant que français on a l'habitude que tous les escrocs de la planète aient nos infos persos . Mais rassurez-vous, Amazon a trouvé une solution ! Est-ce qu'il s'agit de corriger le problème ? Que nenni !! Ils nous recommandent simplement d'utiliser une boîte postale. Sympa !

Parce que jusqu'ici, quand un pote vous envoyait un truc depuis votre wishlist, le vendeur tiers voyait votre ville et votre région... c'est déjà pas top, mais bon. Sauf que maintenant, c'est l'adresse COMPLÈTE qui part chez le vendeur. Numéro, rue, code postal, la totale...

Et vous vous en doutez, ça touche en premier lieu les créateurs de contenu, les streamers, et tous les crevards qui ont une wishlist publique pour que leur communauté puisse leur offrir des trucs net d'impôts ^^.

Donc suffit qu'un harceleur crée un faux compte vendeur sur Amazon Marketplace (La vérification d'identité ? Minimale !), met un article à 3 euros, attend qu'un fan l'achète via la wishlist de sa cible... et hop, il a l'adresse complète récupérée. Pas besoin d'être un génie. Ou alors suffit d'attendre que le vendeur tiers laisse fuiter le fichier Excel dans lequel il stocke ses commandes... La vie est toujours pleine de surprises quand il s'agit de leaker des données perso.

EDIT : Merci à Matthieu qui m'a envoyé la preuve ! Amazon.fr vient d'envoyer un email à ses utilisateurs pour confirmer que ce changement arrive bien en France à compter du 25 mars 2026. L'option permettant de restreindre les achats auprès de vendeurs tiers pour les articles de vos listes sera supprimée. Donc c'est plus une hypothèse, c'est confirmé... faites le ménage dans vos wishlists MAINTENANT.

Et côté RGPD ?

En Europe, le RGPD impose que le partage de données personnelles repose sur une base légale. Consentement explicite, intérêt légitime, ou exécution d'un contrat et pas une case pré-cochée planquée dans les CGU.

Le problème, c'est qu'Amazon change les règles du jeu en cours de route, sans demander un consentement spécifique pour ce nouveau partage d'adresse avec des tiers. Et bien sûr, le moment venu, la CNIL pourrait avoir deux mots à dire là-dessus... après, on sait comment ça se passe, les amendes mettent des années à tomber. D'ailleurs, Amazon s'est déjà pris 746 millions d'euros par le Luxembourg en 2021 pour non-respect du RGPD mais visiblement, ça ne les a pas trop calmés.

Pour ceux qui s'intéressent à la suppression de leurs données perso en ligne , c'est le genre de truc qui fait grincer des dents.

Comment protéger votre adresse ?

Maintenant concrètement, voici ce que vous pouvez faire (ça ne marche pas à 100% mais c'est mieux que rien) :

Allez dans votre compte Amazon, section "Listes" puis "Gérer la liste". Vérifiez que votre wishlist est bien en mode "Privée" si vous ne voulez pas que n'importe qui la voie. Attention, le réglage par défaut c'est "Publique"... donc si vous n'avez jamais touché à ça, c'est probablement ouvert aux quatre vents.

Et si vous VOULEZ la garder publique (streamers, créateurs), utilisez une adresse qui n'est pas votre domicile. En France, une boîte postale La Poste coûte ~50 euros par an. Y'a aussi les Amazon Locker ou les points Mondial Relay... ce qui revient quand même à dire "débrouillez-vous", j'en ai bien conscience.

Le vrai problème

Le fond du problème, vous l'aurez compris, n'est pas technique. C'est qu'Amazon traite l'adresse de livraison comme une donnée de transaction banale alors que c'est une info sensible. Mais non, une adresse postale c'est pas un numéro de commande. Et surtout ça casse tout le principe d'anonymat des wishlists surtout quand la plateforme encourage les wishlists publiques depuis des années.

Bref, c'est confirmé pour la France au 25 mars, alors prenez les devants et prévenez votre influenceur préféré de faire le switch.

Source

Votre pseudo de justicier masqué sur Reddit ne vaut plus grand-chose, les amis... En effet, des chercheurs de l'ETH Zurich viennent de prouver qu'un LLM peut retrouver votre vraie identité à partir de vos posts anonymes, avec 67% de réussite... et pour moins de 4 dollars par profil.

L' étude a été publiée sur arXiv par six chercheurs, dont Nicholas Carlini d'Anthropic (les créateurs de Claude) et le principe fait flipper. En fait ils ont mis au point des agents IA qui analysent vos commentaires publics, créent un profil structuré... ou plutôt un portrait-robot de vos habitudes et centres d'intérêt, puis ratissent des milliers de candidats pour trouver à qui ça correspond.

Budget total de l'opération : environ 2 000 dollars pour 338 profils Hacker News passés au crible. Et sur tout ça, 226 ont été identifiés correctement, 25 sont des erreurs et 86 sont des "abstentions" quand le modèle doutait trop. Ça revient à 1 à 4 dollars par profil, et quand le modèle est assez sûr de lui pour donner une réponse (donc hors abstentions), il tape juste 9 fois sur 10. Pas cher payé donc pour s'offrir la fin de votre anonymat TOTAL !

Le truc, c'est que Hacker News c'était juste l'apéro. La même technique a été lâchée ensuite sur des interviews anonymisées, des profils LinkedIn et ce bon vieux Reddit. Même recette, et surtout mêmes résultats.

Le côté obscur de cette recherche, c'est que ça ouvre encore plus la porte aux arnaques d'ingénierie sociale sur mesure, au ciblage pub ultra-personnalisé sans votre consentement, et pire... à la traque de journalistes ou d'activistes planqués derrière un pseudo...

Notez que ce taux de 67%, c'est sur des profils Hacker News où les gens qui postent beaucoup de contenu technique assez spécifique. Mais sur un compte avec trois commentaires génériques, ça ne marche pas aussi bien. Mais bon, qui poste que 3 fois sur un forum ? Le piège, c'est qu'on finit toujours par en dire plus qu'on croit...

Maintenant côté protection, attention, c'est pas la fête. Si vous voulez éviter de vous faire traquer, faudra varier votre style d'écriture entre les plateformes, éviter de balancer trop de détails perso (ville, job, stack technique) dans vos commentaires, et surtout utiliser des comptes séparés plutôt qu'un seul pseudo partout. D'ailleurs le fingerprinting de navigateur c'est déjà un problème connu, mais là on parle de fingerprinting de votre STYLE D'ÉCRITURE donc carrément autre chose !

Perso, ça confirme finalement ce qu'on savait depuis le documentaire Rien à cacher : l'anonymat en ligne c'est surtout une illusion. Sauf que maintenant, même pas besoin d'être la NSA pour lever le voile... un LLM à 4 balles suffit.

Le pseudonymat face à un LLM c'est un grillage face à une perceuse... Bon courage aux anonymes qui me lisent...

Source

-- Article en partenariat avec Surfshark VPN --

Salut les amis du net ! Aujourd'hui, on va encore parler d'un outil que j'utilise au quotidien et dont on me demande souvent des nouvelles : Surfshark VPN. Pas de blabla corporate, pas de langue de bois. Juste du concret, du testé, du validé.

Si vous cherchez une solution pour naviguer peinard, débloquer vos séries préférées ou simplement éviter que votre FAI ne sache que vous regardez des vidéos de chats à 3h du mat', restez par là. On décortique tout.

Les perfs : ça tient la route ou c'est du vent ?

J'ai testé. Pas juste cliqué sur "Quick Connect" en croisant les doigts. J'ai lancé des speed tests, streamé en 4K, téléchargé des torrents, joué en ligne. Voici ce que ça donne :

Scénario	Résultat	Mon ressenti
Navigation web	90-95% de la vitesse initiale	Fluide comme un dimanche matin
Streaming Netflix US	Aucun buffering, qualité max	Ça charge, ça joue, nickel
Téléchargement P2P	Vitesses stables, IP masquée	Tranquille, pas de fuites détectées
Gaming en ligne	Ping +15-30ms sur serveurs proches	Jouable, même en prsque compétitif

Le secret ? WireGuard, le protocole moderne qui allie vitesse et sécurité. Surfshark l'a optimisé avec sa techno maison FastTrack (dispo sur macOS pour l'instant) qui peut booster les connexions jusqu'à 70% en routant intelligemment votre trafic. Et si la connexion saute ? Pas de panique : Everlink, leur feature brevetée, rétablit automatiquement le tunnel VPN sans que vous ayez à lever le petit doigt. C'est discret et efficace, exactement ce qu'on veut.

On est d'accord, la sécurité c'est pas optionnel

Un VPN qui ne protège pas, c'est comme un parapluie avec des trous. Heureusement, Surfshark coche toutes les cases :

• Chiffrement AES-256-GCM : le standard militaire, point.
• MultiHop : doublez votre protection en passant par deux serveurs.
• Kill Switch (soft et strict) : coupe internet si le VPN lâche, pour éviter les fuites.
• CleanWeb 2.0 : bloque pubs, trackers, malware… et oui, même les pubs YouTube (utilisez Firefox ou Safari pour ça).
• Mode Camouflage : pour contourner les restrictions dans les pays où internet est... disons "sélectif".
• Politique no-logs vérifiée : auditée par Deloitte en 2024 et 2025, ils ne gardent rien de ce que vous faites.

Et cerise sur le gâteau : Alternative ID est désormais inclus pour tous les utilisateurs. Créez un profil secondaire (nom, email, âge) pour vous inscrire sur des sites sans exposer vos vraies infos. Malin, non ?

Si vous voyagez à l'étranger : ça marche ou pas ?

Alors, la vraie question, celle qui revient en boucle : "Ouais, mais ton VPN, il fonctionne si je suis à la plage ou pas ?". Je vous comprends. Personne n'a envie de payer pour un service et se retrouver avec un catalogue limité quand on est en déplacement. J'ai passé plusieurs semaines à tester Surfshark en conditions réelles : soirée binge-watching, téléchargement de gros fichiers, sessions de gaming avec des potes restés en France (roooh la loose). Le constat est simple : ça marche, et plutôt bien.

Pour le streaming, Surfshark ne joue pas la carte des serveurs "spécialisés" avec des étiquettes flashy. À la place, ils ont optimisé l'ensemble de leur infrastructure pour que la majorité des nœuds fonctionnent avec les grandes plateformes. Concrètement, si vous êtes en voyage aux États-Unis et que vous voulez retrouver votre catalogue Netflix français, vous vous connectez à un serveur en France, vous lancez l'application, et ça lit. Sans chorégraphie compliquée. J'ai testé plusieurs plateformes : même constat. Si par hasard un serveur rencontre un souci (ça arrive, les détections automatisées évoluent constamment), un simple changement de ville dans le même pays d'origine suffit généralement à rétablir l'accès. L'application est suffisamment intuitive pour que ça prenne dix secondes, montre en main.

Important à noter : les VPN sont légaux dans la plupart des pays mais utiliser un VPN pour accéder à un service en dehors de sa région licenciée peut violer les conditions d'utilisation de la plateforme. Surfshark ne garantit pas le contournement systématique des restrictions géographiques, et cette fonctionnalité est surtout utile pour retrouver l'accès à vos abonnements légaux lorsque vous voyagez à l'étranger.

Côté téléchargement de fichiers lourds, c'est là que WireGuard montre ses muscles. J'ai vérifié l'absence de fuites DNS et IPv6 avec plusieurs outils en ligne et rien ne filtre. La vitesse reste stable (proche de votre connexion native) grâce à un chiffrement efficace qui ne plombe pas le débit. Et si vous vous connectez depuis un réseau restreint (hôtel, aéroport, certaines entreprises), le mode Camouflage rend votre trafic VPN indiscernable d'un trafic HTTPS classique. Tranquillité assurée.

Petite astuce en passant : activez CleanWeb dans les paramètres. En plus de bloquer les pubs et les trackers, il filtre les domaines connus pour héberger des malwares. Utile quand on télécharge un peu à l'arrache sur des forums obscurs. On ne sait jamais.

Le rapport 2025 de Surfshark : les chiffres qui parlent

Chaque année, Surfshark publie un " Annual Wrap-up ". Celui de 2025 est particulièrement intéressant si vous aimez creuser sous le capot. J'ai épluché le rapport et voici ce qui mérite vraiment votre attention, côté technique.

D'abord, l'infrastructure. Surfshark a franchi la barre des 4 500 serveurs physiques et virtuels, répartis dans plus de 100 pays. Mais le nombre ne fait pas tout : la majorité de ces nœuds tournent désormais sur du matériel RAM-only, ce qui signifie qu'aucune donnée n'est stockée physiquement. En cas de saisie ou d'intrusion, il n'y a tout simplement rien à récupérer. C'est du hardening au sens propre.

Côté protocoles, WireGuard est évidemment le standard par défaut, mais Surfshark a poussé l'optimisation plus loin avec FastTrack, leur algorithme de routage dynamique. En analysant en temps réel la latence, la perte de paquets et la charge des serveurs, FastTrack peut rediriger votre trafic vers le chemin le plus efficace, gagnant jusqu'à 70% de vitesse sur certaines connexions macOS. C'est transparent pour l'utilisateur, mais ça se sent : moins de buffering, des temps de réponse plus courts, une expérience globalement plus fluide.

L'autre avancée majeure l'année dernière c'est Everlink. Cette technologie brevetée gère les micro-coupures réseau (changement de Wi-Fi, passage en 4G, instabilité du FAI) en maintenant une session VPN "en suspens" plutôt que de la terminer brutalement. Résultat : plus besoin de se reconnecter manuellement, et surtout, plus de fuite accidentelle d'IP pendant la transition. C'est le genre de feature qu'on ne remarque que quand elle n'est pas là et une fois qu'on l'a testée, on ne revient pas en arrière.

Enfin, Surfshark anticipe l'après-quantique. Le rapport 2025 mentionne le déploiement progressif de serveurs équipés de chiffrement post-quantique, basé sur des algorithmes résistants aux futures capacités de calcul. C'est encore marginal aujourd'hui, mais c'est exactement le genre de vision long terme qui différencie un fournisseur sérieux d'un simple revendeur de tunnels chiffrés. Et depuis son apparition, Surfshark est sans doute l'un des VPN les plus proactifs et qui pousse les autres à monter le niveau.

Et pour ceux qui aiment les preuves plutôt que les promesses, les audits no-logs par Deloitte se sont poursuit en 2025. Avec une vérification approfondie de l'infrastructure, du code client et des processus internes. Le rapport est public, les méthodologies sont documentées. Pas de langage flou, pas de "we take privacy seriously" générique. Juste des faits.

Mon petit avis

Alors, est-ce que je vous recommande toujours Surfshark en 2026 ? Oui, sans hésiter. Mais pas forcément pour les raisons habituelles.

Ce n'est pas "juste" le VPN le moins cher du marché, même si son rapport qualité-prix est objectivement difficile à battre. Ce n'est pas non plus l'outil miracle qui transformera votre connexion ADSL en fibre optique. Non, ce qui fait la différence, c'est l'équilibre rare qu'il parvient à trouver entre simplicité d'usage, transparence technique et respect réel de la vie privée.

Beaucoup de VPN promettent la lune. Surfshark livre une expérience cohérente, à savoir une application qui ne vous noie pas sous les options tout en laissant les réglages avancés accessibles, une infrastructure qui tient la route même aux heures de pointe et une politique de confidentialité qui ne se contente pas d'être écrite en petit, mais qui est vérifiée, auditée, assumée. Et cela devrait continuer dans ce sens en 2026 avec une volonté annoncée de subir encore plus d'audits extérieurs.

Est-ce qu'il y a des limites ? Bien sûr. Comme tout VPN, vous perdrez un peu de vitesse (minime avec WireGuard). Comme tout service cloud, vous dépendez de la disponibilité de leurs serveurs. Et comme tout outil de protection, il ne remplace pas une hygiène numérique globale (mots de passe robustes, mises à jour régulières ou bon sens face aux phishings). Mais si vous cherchez un compagnon de route pour naviguer plus librement, protéger vos données sans devenir ingénieur réseau, et accéder à vos contenus préférés où que vous soyez... Surfshark est l'un des rares choix qui ne vous demandera pas de sacrifier l'un pour l'autre.

L'offre du moment (parce que oui, il y a un deal)

En ce moment, Surfshark propose 87% de réduction + 3 mois offerts sur l'abonnement 24 mois.  Ça revient donc à 1,99 €/mois (soit moins de 65€ TTC pour 27 mois), avec garantie satisfait ou remboursé de 30 jours. Vous testez puis vous restez ou vous vous faites rembourser. Aucun risque. Juste de la tranquillité en plus.

Du 25 février et jusqu'au 23 mars (ou jusqu'à épuisement des stocks), Surfshark propose en plus une offre combinée avec CALM, l'application de méditation et de sommeil la plus téléchargée au monde. En souscrivant à n'importe quel abonnement Surfshark de 1 ou 2 ans, vous recevez 12 mois de CALM Premium gratuitement (peu importe la durée du plan choisi).

Comment ça marche ? Après la période de garantie satisfait ou remboursé (30 jours), votre code d'activation apparaîtra directement dans l'application web Surfshark. Vous avez jusqu'au 23 mai pour le réclamer et activer votre abonnement CALM. C'est l'occasion de sécuriser votre connexion tout en prenant soin de votre santé mentale (et vous en avez bien besoin), une combinaison plutôt maline pour l'ère numérique.

🔗 Profiter de l'offre Surfshark ici

(lien affilié, ça me permet de continuer à tester des outils pour vous, sans pubs intrusives sur le site)

– Article invité, rédigé par Vincent Lautier –

Le CNRS vient de confirmer un incident de cybersécurité qui a mené au téléchargement non autorisé de fichiers contenant des données personnelles d'anciens agents. Noms, adresses, numéros de sécurité sociale, RIB : la totale donc. L'organisme a déposé plainte et prévenu la CNIL.

Des données très sensibles

C'est ce lundi 16 février que le CNRS a informé ses agents d'une fuite de données sur un de ses serveurs. Des fichiers contenant des informations de ressources humaines ont été téléchargés sans autorisation. Et on ne parle pas de données anodines : noms, prénoms, dates de naissance, adresses postales, numéros de sécurité sociale et RIB. Le tout accompagné du statut de l'agent, du type de contrat et de la structure d'affectation. Le serveur a été isolé et arrêté dès la découverte de l'incident, et l'organisme assure que la fuite ne s'est pas propagée au reste de ses infrastructures.

Qui est concerné ?

Seuls les personnels recrutés avant le 1er janvier 2007 sont touchés, qu'ils aient été titulaires ou non. Si vous avez travaillé au CNRS après cette date, vous n'êtes pas concerné. Le nombre exact de victimes n'a pas été communiqué, mais vu la taille de l'organisme, on parle potentiellement de plusieurs milliers de personnes. Le CNRS recommande de prévenir sa banque, de surveiller ses comptes, de vérifier si ses données circulent sur haveibeenpwned.com, et de rester vigilant face aux tentatives de phishing ou d'usurpation d'identité. La CNIL et l'ANSSI ont été prévenues, et une plainte a été déposée auprès de la section cybercriminalité du parquet de Paris.

Les institutions françaises en ligne de mire

On n'est pas vraiment sur une première niveau cyberattaques sur des services de l'état. Le ministère de l'Intérieur, celui des Sports, et d'autres organismes avaient été visés. L'URSSAF a aussi confirmé une fuite touchant les données de 12 millions de salariés. Le CNRS lui-même avait été la cible d'un défacement de plusieurs de ses sous-domaines fin janvier. Deux incidents distincts, mais la tendance est claire, et c'est franchement moche.

On va quand même saluer le fait que le CNRS a communiqué rapidement, avec un communiqué officiel et une FAQ pour les personnes concernées. C'est loin d'être toujours le cas. Mais on va quand même se questionner sur le fait que des RIB et des numéros de sécu trainent sur un serveur, alors qu'on parle de données parfois veilles depuis presque 20 ans... Pourquoi ces informations étaient-elles encore accessibles ? La question du stockage prolongé de données sensibles revient sur la table, et visiblement, personne n'a encore de bonne réponse. En attendant, si vous avez porté la blouse du CNRS avant 2007, un petit tour sur votre relevé bancaire ne serait pas du luxe.

Article invité publié par Vincent Lautier . Vous pouvez aussi faire un saut sur mon blog , ma page de recommandations Amazon , ou lire tous les tests que je publie dans la catégorie "Gadgets Tech" , comme cette liseuse Android de dingue ou ces AirTags pour Android !

Je suis complètement passé à côté de ce truc jusqu'à ce que David (merci à lui !) m'envoie un petit message pour me dire : "Hé Korben, t'as vu Anytype ? C'est comme Notion mais en mieux". Du coup, j'ai testé et j'ai vraiment halluciné.

Si vous êtes du genre à noter tout ce qui vous passe par la tête dans Notion ou Evernote, vous connaissez le problème. Vos données sont hébergées on ne sait où, et le jour où la boite décide de changer ses conditions d'utilisation ou de fermer boutique, vous êtes marron.

Hé bien Anytype, c'est la réponse à cette angoisse.

C'est une application local-first et chiffrée de bout en bout qui permet de créer votre propre "internet personnel". Petite nuance importante : Anytype n'est pas "open source" au sens strict de l'OSI. Leurs protocoles (notamment AnySync) sont bien open source sous licence MIT, mais les applications elles-mêmes sont distribuées sous une licence "source available" ( Any Source Available License 1.0 ). Concrètement, le code est consultable et modifiable, mais l'utilisation commerciale est restreinte. C'est pas du tout la même chose, et c'est important de ne pas confondre pour éviter l'openwashing. Cela dit, l'équipe est transparente là-dessus , ce qui est appréciable.

En gros, tout ce que vous créez (notes, tâches, documents, tableaux) est stocké localement sur votre machine. Pas de cloud obscur, pas de tracking, c'est votre disque dur, vos règles.

Leur point fort, c'est leur protocole AnySync car ça permet de synchroniser vos données entre vos appareils (ordi, téléphone, tablette) en peer-to-peer comme ça y'a pas besoin de serveur central. Vos appareils discutent directement entre eux, un peu comme si vous aviez votre propre réseau privé.

Au niveau de l'interface, on retrouve ce système de blocs qu'on aime bien chez la concurrence, mais avec une approche "objet". Dans AnyType comme chez Ikea, tout est un objet : une tâche, une personne, une note, un livre. Et vous pouvez lier tous ces objets entre eux pour créer un véritable graphe de connaissances tel un grand architecte de la matrice du dimanche).

Ce qui est cool aussi, c'est que l'équipe a déjà ajouté une fonction de publication web (vos pages peuvent devenir des pages publiques statiques) et propose une API côté desktop qui tourne en local. Elle travaille aussi sur l'intégration d'une IA locale . Parce que oui, avoir une IA qui vous aide à trier vos notes sans envoyer vos données à l'autre bout du monde, c'est quand même plus rassurant.

Si vous voulez aller encore plus loin, vous pouvez même héberger votre propre "noeud" de sauvegarde sur un serveur à la maison. D'ailleurs si vous aimez ce genre d'outils souverains, jetez un oeil à Local Deep Research pour vos recherches. Comme ça, vous avez une copie de secours chiffrée, accessible 24/7, sans dépendre de personne.

Bref, si vous cherchez une alternative souveraine pour gérer votre vie numérique, foncez voir ça. C'est gratuit jusqu'à 100 MB de stockage, c'est beau, et ça respecte votre vie privée. Que demande le peuple ?

Merci encore à David pour la découverte et à Alexandre pour la précision sur la licence !

Source