Ces applis qui espionnent vos règles : le scandale des trackers intimes

LES DONNÉES DE VOS RÈGLES : UN PRODUIT COMME UN AUTRE

L’application Stardust, spécialisée dans le suivi des cycles menstruels, transmet à une entreprise non nommée dans sa politique de confidentialité des informations ultra-sensibles : type de contraception utilisé, statut de grossesse, humeurs, et même des symptômes précis comme des seins douloureux ou des crampes d’estomac. Ces données, qui relèvent de la santé reproductive, sont envoyées à une société tierce sans que les utilisatrices en soient informées. C’est ce que révèle une enquête de la BBC, basée sur un audit de la fondation Mozilla et du centre Berkman Klein de Harvard, qui a examiné six applications populaires de suivi menstruel.

Parmi ces applications, Euki se distingue comme un modèle d’éthique. Géré par une organisation à but non lucratif, ce tracker permet de suivre son cycle sans créer de compte, sans que les données ne quittent jamais le téléphone. Il offre même la possibilité de configurer un code PIN, de programmer la suppression automatique des données, ou d’afficher un écran leurre en cas de fouille du téléphone. Son seul point faible ? Une page de navigation intégrée pour consulter des informations éducatives qui charge, comme la plupart des sites web, des trackers classiques. Mais Euki limite les dégâts en réinitialisant les identifiants entre chaque visite.

APPLE ET GOOGLE SOMMÉS DE SUPPRIMER DES APPLICATIONS MALVEILLANTES

Le bureau du procureur de la ville de San Francisco a envoyé cette semaine des lettres de mise en demeure à Apple et Google. Les deux géants sont accusés d’héberger 13 applications de deepfake spécialisées dans le nudification de visages, presque exclusivement utilisées pour cibler des femmes et des jeunes filles. Ces applications, qui permettent de superposer un visage nu sur une photo, représentent une menace grave pour la vie privée et la sécurité des utilisatrices. San Francisco exige leur retrait immédiat des stores d’applications.

LA SURVEILLANCE URBAINE : UNE MENACE GRANULAIRE

Des heures de vidéos de surveillance aérienne du département de police de San Francisco ont été exposées sur le web sans protection. Ces images, d’une précision extrême, illustrent une nouvelle ère de surveillance urbaine aux conséquences lourdes. Les drones, capables de filmer des détails infimes dans les rues, transforment chaque ville en un Big Brother high-tech. Ces images, accessibles à tous, posent des questions majeures sur le respect de la vie privée et les dérives possibles de la technologie.

TRUMP : DES RÉVÉLATIONS MASSIVES. QUI N’EXISTENT PAS

Lors d’un discours jeudi, l’ancien président Donald Trump a continué à propager des allégations non fondées et démontées sur une prétendue fraude lors de l’élection présidentielle américaine de 2020. Il a même promis des révélations massives grâce à un ensemble de documents publiés sur le site de la Maison Blanche. Pourtant, ces fichiers ne contiennent aucune preuve de ses affirmations : dans certains cas, ils les contredisent même directement. Malgré l’absence de preuves, Trump maintient ses accusations, alimentant la désinformation autour de cette élection.

ANTHROPIC VEUT RÉGULER L’IA AUX ÉTATS-UNIS

Face à l’expansion rapide des Outils d’intelligence artificielle et à l’augmentation de leurs capacités, le géant tech Anthropic pousse les États américains à encadrer cette technologie. Lors d’une intervention cette semaine, Cesar Fernandez, responsable des relations avec les gouvernements locaux et étatiques aux États-Unis, a souligné l’importance des lois sur la transparence adoptées en 2025 en Californie et à New York. « Les projets de loi axés sur la transparence en matière de sécurité de 2025 ont marqué un début important, mais face à l’évolution rapide des capacités des systèmes d’IA, les réponses politiques doivent suivre le même rythme. »

LA RUSSIE : L’ESPIONNAGE CYBER CHANGE DE STRATÉGIE

Le FSB, le service de renseignement intérieur russe, a longtemps été connu pour ses opérations de cyberespionnage sophistiquées. Traditionnellement, les attaques cyber déstabilisatrices étaient plutôt l’apanage du GRU, le service de renseignement militaire russe. Mais cette semaine, des sanctions imposées par l’Union européenne et le Royaume-Uni, couplées à un avis conjoint du Cybersecurity and Infrastructure Security Agency américain, du FBI et de la NSA, ont attribué une cyberattaque contre le réseau électrique polonais à une unité du FSB appelée Center 16. Cette attaque, qui a frôlé la catastrophe en provoquant des perturbations proches d’une panne générale dans les services d’eau et d’électricité du pays, marque un tournant : le FSB s’engage désormais dans des opérations cyber agressives, autrefois réservées au GRU.

Initialement, des firmes de cybersécurité comme Dragos et ESET avaient attribué cette attaque à Sandworm, une unité du GRU également connue sous le nom de Unit 74455. Cette unité est tristement célèbre pour son rôle actif dans la guerre cyber que la Russie mène contre l’Ukraine depuis des années. Cependant, l’équipe polonaise de réponse aux incidents informatiques avait contesté cette attribution dès le début, liant l’attaque au FSB. Cette conclusion est désormais soutenue par un large consensus parmi les gouvernements occidentaux. Cet incident suggère que le FSB adopte les méthodes, et peut-être les cibles, de son homologue du GRU.

UN HACKER LIÉ À KASPERSKY : LA PREUVE D’UNE LIAISON AVEC LE GOUVERNEMENT RUSSE ?

Pendant des années, la société russe de cybersécurité Kaspersky a été suspectée d’avoir des liens avec le gouvernement russe. Cette suspicion a été renforcée par des responsables américains qui ont finalement interdit l’utilisation des produits Kaspersky dans les administrations et entreprises américaines. Pourtant, les preuves directes de ces connexions restaient rares. Une enquête de Reuters vient aujourd’hui éclairer cette affaire : Denis Obrevko, un Russe accusé de piratage informatique à Boston et membre présumé d’un groupe de hackers appelé Void Blizzard ou Laundry Bear, a travaillé pendant deux ans chez Kaspersky avant de rejoindre une autre entreprise de cybersécurité, Yutek-NN. Selon les procureurs américains, il aurait participé à une campagne de piratage ayant volé des données et communications à de nombreux gouvernements de l’OTAN et à au moins 11 entreprises américaines. Avant son passage chez Kaspersky, Obrevko aurait également travaillé pour le FSB, bouclant ainsi une carrière qui semble étroitement liée aux services de renseignement russes.

Obrevko a plaidé non coupable des accusations de piratage. Kaspersky, contacté par Reuters, a déclaré dans un communiqué que « les infractions reprochées ne peuvent être liées au rôle ou aux responsabilités de l’individu pendant son emploi chez Kaspersky. »

LE DÉPARTEMENT DE LA SÉCURITÉ INTÉRIEURE AMÉRICAIN : DEUX ERREURS QUI COÛTENT CHER

Une faille de sécurité dans le réseau du Department of Homeland Security (DHS) américain montre à quel point les institutions peuvent être vulnérables face aux cyberattaques. À deux reprises, des responsables du DHS ont conclu à tort que des signes d’intrusion dans sa plateforme de partage de données Homeland Security Information Network (HSIN) n’étaient que des faux positifs. En réalité, ces alertes signalaient une intrusion bien réelle. Le HSIN, utilisé pour échanger des données non classifiées entre agences fédérales, locales, et partenaires étrangers, a été piraté il y a deux mois. Des analystes de la Federal Emergency Management Agency avaient détecté dès mi-mai des activités suspectes : modification de fichiers et de code, détournement d’un serveur web légitime, et suppression des logs d’activité des hackers. Pourtant, ces signaux d’alerte ont été ignorés.

Dans les semaines qui ont suivi, les pirates sont revenus, ont été à nouveau détectés, et leurs activités ont encore été qualifiées de mirages. Les raisons de ces erreurs d’appréciation restent floues, mais ces incidents pourraient refléter les difficultés croissantes des analystes fédéraux à détecter les techniques de piratage dites « living off the land ». Ces méthodes utilisent des fonctionnalités légitimes des réseaux pour accéder aux ressources cibles, plutôt que de recourir à des malwares plus facilement repérables. Bien que le HSIN ne contienne que des données non classifiées, celles-ci sont « hautement sensibles », selon une déclaration de Mark Warner, vice-président de la commission du renseignement du Sénat américain. « Leur exposition met en danger la sécurité nationale. »

SUNO : L’IA MUSICALE QUI A PILLÉ DES MILLIONS DE CHANSONS

La startup d’intelligence artificielle Suno, spécialisée dans la génération de musique par IA, a scrapé des millions de chansons, paroles et podcasts sur YouTube Music, Deezer, Genius, et plusieurs bibliothèques d’audio libre de droits pour entraîner ses modèles. C’est ce que révèle une enquête de 404 Media, basée sur l’analyse de données internes obtenues par un hacker ayant infiltré l’entreprise. Cette intrusion a également exposé les informations personnelles de centaines de milliers de clients : adresses e-mail, numéros de téléphone, et données de paiement via Stripe.

Les notes de jeu de données présentes dans le code source de Suno, datant de 2023 et 2024, révèlent un volume colossal : 113 879 heures d’audio issues de YouTube Music, plus des dizaines de milliers d’heures supplémentaires provenant de Pond5, Deezer et d’autres bibliothèques. Au total, ce sont des décennies de musique qui ont été utilisées sans autorisation. D’autres fichiers montrent que Suno a utilisé des proxys de Bright Data pour masquer ses activités de scraping sur YouTube, et a ciblé environ un million d’heures de podcasts via PodcastIndex. Le hacker, connu sous le pseudonyme ellie.191, affirme avoir compromis un employé avec le ver Shai-Hulud pour pénétrer les systèmes de l’entreprise.

Ces fichiers confirment l’accusation principale de l’industrie musicale : Suno a bien extrait directement des chansons depuis YouTube. La startup, qui défend l’idée que son entraînement relève du fair use et a signé un accord avec Warner Music Group en novembre 2024, affirme que la faille concernait du code obsolète et qu’aucune information personnelle sensible n’a été compromise. Pourtant, des clients dont les données figuraient dans un échantillon partagé avec 404 Media affirment n’avoir jamais été informés de cette fuite.

LE SCRAPING : UNE PRATIQUE ILLÉGALE MAIS RÉPANDUE

Le scraping, ou moissonnage de données, consiste à extraire automatiquement des informations depuis des sites web ou des bases de données. Cette pratique, bien que souvent utilisée pour des projets légitimes comme la veille concurrentielle ou l’analyse de marché, peut devenir illégale lorsqu’elle viole les conditions d’utilisation d’un service ou les droits d’auteur. Dans le cas de Suno, le scraping massif de contenus protégés par le droit d’auteur soulève des questions juridiques majeures. L’industrie musicale accuse la startup de voler des œuvres pour entraîner ses modèles, une pratique qui pourrait coûter cher à l’entreprise en termes de réputation et de sanctions financières.

LES TECHNIQUES DE PIRATAGE : COMMENT LES HACKERS OPÈRENT

Les cybercriminels utilisent une multitude de techniques pour infiltrer les systèmes informatiques. Parmi elles, le phishing (hameçonnage) reste l’une des plus courantes : il s’agit d’envoyer des e-mails ou messages frauduleux pour inciter les victimes à divulguer des informations sensibles ou à installer des malwares. Une autre méthode, le exploit zero-day, consiste à profiter d’une faille de sécurité inconnue des éditeurs de logiciels pour s’infiltrer dans un système. Enfin, les attaques par living off the land exploitent les outils légitimes déjà présents sur un réseau pour éviter d’être détectées par les antivirus. Ces techniques, de plus en plus sophistiquées, rendent la tâche des défenseurs de plus en plus complexe.

QUEL AVENIR POUR LA PROTECTION DES DONNÉES ?

Face à l’augmentation des cybermenaces et à la multiplication des scandales liés à la vie privée, la question de la protection des données devient cruciale. Les utilisateurs doivent être conscients des risques liés à l’utilisation d’applications qui collectent des informations sensibles, comme les trackers menstruels ou les outils d’IA musicale. Les gouvernements et les entreprises doivent travailler ensemble pour renforcer les réglementations et garantir que les données personnelles restent protégées. Sans une action concertée, la surveillance de masse et l’exploitation des données privées risquent de devenir la norme.