Cybersécurité

En avril 2025, une autorité de certification indienne a fabriqué huit clés secrètes avec un tirage aléatoire défaillant. Elles étaient calculables à partir d’informations publiques, donc utilisables par n’importe qui pour se faire passer pour n’importe quel site. Personne ne l’a vu pendant dix-huit mois. Le samedi 17 octobre 2026 à 18:05 UTC, un chercheur signe six mots avec les huit clés et prévient les éditeurs de navigateurs. À 19:45, Chrome a bloqué. Mozilla à 22:59, Apple le dimanche, Microsoft le lundi. Le billet de mise à jour de ChromeOS du 20 octobre classe l’affaire en gravité moyenne, ne nomme personne et ne renvoie à rien, alors que Google publiait le même jour un billet complet sur le sujet. Le 27 octobre, une racine de confiance disparaît de Chrome et des sites cesseront de s’ouvrir.

La facturation électronique est devenue obligatoire le 1er septembre 2026. En un mois, deux plateformes du secteur ont fuité, alors que l’État jurait offrir la sécurité la plus élevée d’Europe.

Un compte d’enseignant compromis a suffi pour atteindre les données fiscales de 678 000 contribuables. Entre les deux, le réseau interministériel de l’État : un million d’agents, quatorze mille sites, et pas un contrôle documenté publiquement entre ministères. L’ANSSI avait pourtant écrit la réponse en juin 2025 : le cloisonnement reste obligatoire, l’authentification seule ne suffit pas.

Google a reconnu le 3 septembre qu’une faille Chrome est activement exploitée, mais le canal stable de ChromeOS n’a pas bougé depuis la veille de la divulgation. Au sommaire également, quatre fuites de données françaises revendiquées en un week-end et le démontage de la Pixel Watch 5 par iFixit.

Le 4 septembre 2026, un pirate a diffusé une base attribuée à l’Association des maires de France : environ 114 000 lignes, avec des mots de passe stockés en clair dans une des tables. L’AMF a confirmé et saisi la CNIL, mais auprès de la presse spécialisée seulement, son propre site restant muet.

Tour d’horizon des brèves du 31 août 2026. Chrome supprime définitivement du Web Store les dernières extensions Manifest V2, clôturant une transition lancée en 2022. Côté cybersécurité, la Fédération française de tir fait l’objet d’une nouvelle revendication de fuite, tandis que Zéro Logement Vacant reste muet une semaine après une intrusion revendiquée par ZeroBytes.

Sept jours après la conférence de presse où Bercy mettait en garde contre la banalisation des fuites, ZeroBytes revendiquait une intrusion dans Zéro Logement Vacant, service public de repérage des logements vides. Cinquième fuite de l’été dans la sphère publique française.

À trois jours de l’obligation, l’association AC !! Anti-Corruption dépose plainte contre X au parquet national financier après le piratage du fisc, et réclame le report de la facturation électronique tant que la cybersécurité n’est pas garantie. Bercy, lui, maintient le calendrier. Décryptage d’un bras de fer à contretemps.

SFR est en cours de démantèlement : Orange, Free et Bouygues se partagent ses 25 millions d’abonnés pour 20,35 milliards d’euros, au moment même où sa base clients fuite sur un forum. Décryptage des conséquences pour l’opérateur (risque de sanction CNIL, valeur du rachat qui s’abîme) et pour l’abonné (le mythe de la résiliation gratuite, les vrais recours via le RGPD).

Un mois après l’intrusion du 25 juillet 2026, le ministère de l’Éducation nationale communique des chiffres précis sur la rentrée : 98 % des préparations réalisées, quatre cents applications à sécuriser, une seule académie encore privée d’accès. Sur le nombre de personnes dont les données ont été volées, en revanche, il reconnaît ne pas disposer d’évaluation précise.