Une base de données monumentale, totalisant 96 Go et contenant 149 millions d’identifiants (noms d’utilisateur et mots de passe), a été découverte en accès libre sur internet. L’expert en cybersécurité Jeremiah Fowler a fait cette trouvaille alarmante. La base de données, non chiffrée et non protégée, exposait les informations de connexion de millions d’utilisateurs à travers le monde.

D’où proviennent ces données et quels services sont concernés ?

L’origine la plus probable de cette collecte massive est un malware de type infostealer. Un tel logiciel malveillant s’installe discrètement sur les appareils des victimes pour enregistrer les frappes au clavier et voler les informations de connexion.

La liste des services touchés est vertigineuse : 48 millions de comptes Gmail, 17 millions pour Facebook, 6,5 millions pour Instagram, 4 millions pour Yahoo, 3,4 millions pour Netflix, 1,5 million pour Outlook, 900 000 pour iCloud, 780 000 pour TikTok, et même 420 000 pour la plateforme de cryptomonnaies Binance.

Des accès à des services bancaires et des sites gouvernementaux de plusieurs pays figuraient également dans cette mine d’or pour les cybercriminels.

Source image : ExpressVPN

Comment la fuite a-t-elle été gérée ?

Après avoir découvert la base de données, Jeremiah Fowler a tenté de contacter l’hébergeur pour la faire supprimer. Le processus s’est avéré complexe et long.

 » Il a fallu près d’un mois et plusieurs tentatives avant que des mesures soient enfin prises « , déplore le chercheur (ExpressVPN). Pendant ce temps, la base de données continuait de s’enrichir avec de nouvelles informations volées.

Pour Jeremiah Fowler, cette situation souligne en outre une ironie :  » Même les cybercriminels ne sont pas à l’abri des violations de données.  » Les cybercriminels peuvent négliger la sécurité de leur propre infrastructure.

Un risque avec la réutilisation d’identifiants compromis

L’exposition de ces données crée des risques évidents pour les victimes, allant de l’usurpation d’identité à la fraude financière. Les cybercriminels peuvent utiliser de telles listes pour des attaques automatisées de credential stuffing.

Le credential stuffing est une attaque par force brute. Elle fait référence à un bourrage d’identifiants en enchaînant des combinaisons de noms d’utilisateur et de mots de passe. D’où l’intérêt de mesures comme l’authentification à plusieurs facteurs.

Dans le comté de Morrow, une région rurale de l’Oregon, une crise sanitaire silencieuse prend de l’ampleur. La nappe phréatique, unique source d’eau potable pour des milliers d’habitants, est gravement contaminée par les nitrates. Si l’agriculture intensive est la source originelle du problème, l’arrivée des gigantesques data centers d’Amazon Web Services (AWS) depuis 2011 a considérablement accéléré la dégradation de la situation, créant un cocktail toxique aux effets dévastateurs.

Comment les serveurs d’Amazon amplifient-ils la pollution existante ?

Les data centers, pour refroidir leurs serveurs surchauffés, consomment des millions de litres d’eau chaque année, puisés directement dans l’aquifère local (la nappe d’eau souterraine de la région). Cette eau est déjà chargée en nitrates provenant des engrais des méga-fermes de la région. Le processus de refroidissement aggrave le problème de manière significative.

En effet, lorsque l’eau circule dans les systèmes pour absorber la chaleur, une partie s’évapore, mais les nitrates, eux, restent. Le résultat est une concentration accrue de polluants. L’eau rejetée dans le système des eaux usées du Port de Morrow est donc encore plus toxique qu’à son entrée, atteignant parfois des concentrations huit fois supérieures à la limite de sécurité de l’Oregon. Ce cycle infernal contamine toujours plus la source même où les habitants puisent leur eau.

Les data centers d’Amazon à Portland (Oregon)

Quelles sont les conséquences sanitaires pour la population locale ?

Les effets sur la santé des résidents sont alarmants. Un ancien commissaire du comté, Jim Doherty, a tiré la sonnette d’alarme après avoir constaté une hausse de pathologies inhabituelles. Des tests menés sur des puits privés ont révélé des niveaux de nitrates dépassant largement les seuils fédéraux, avec des cas de cancer rares.

Les témoignages recueillis sont affolants : des fausses couches inexpliquées, des maladies rénales, et même des cas de cancers rares chez des personnes sans antécédents, comme un cancer du larynx chez un non-fumeur. La situation est comparée à la crise de Flint, au Michigan, car elle touche une population économiquement précaire, avec peu de pouvoir politique et une connaissance limitée des risques encourus.

Quelle est la réponse d’Amazon et des autorités locales ?

Face à ces accusations, Amazon se défend en affirmant que ses activités représentent une fraction infime du système hydrique et n’ont pas d’impact significatif. La société souligne que les problèmes de qualité de l’eau sont bien antérieurs à son implantation. Pourtant, des documents internes révèlent que l’entreprise était consciente de l’enjeu, cherchant à se positionner en « entreprise citoyenne » tout en négociant des avantages fiscaux de plusieurs milliards de dollars.

Les autorités locales, quant à elles, ont été critiquées pour la lenteur de leur réaction et des conflits d’intérêts présumés. Des enquêtes ont mis en lumière des accords financiers suspects entre des responsables publics et des entreprises liées à l’infrastructure d’Amazon, soulevant des questions sur les véritables priorités des décideurs. La population, elle, se sent abandonnée, prise en étau entre les impératifs économiques et une urgence sanitaire grandissante.

Nouveau coup dur pour la confiance numérique. La société OpenAI, créatrice du célèbre agent conversationnel ChatGPT, se retrouve au cœur d’une affaire de fuite de données. L’incident ne provient cependant pas d’une faille directe de ses systèmes, mais bien d’une vulnérabilité identifiée chez l’un de ses partenaires.

La société en cause est Mixpanel, spécialisée dans l’analyse du comportement des utilisateurs sur des sites et applications. C’est via une intrusion dans les serveurs de ce prestataire que des informations sensibles ont pu être dérobées par des acteurs malveillants.

Quelles sont les données précisément compromises ?

Bien que les systèmes internes d’OpenAI n’aient pas été violés, cette fuite collatérale n’est pas sans conséquence. Le butin des pirates est bien identifié et concerne principalement les métadonnées des comptes de la plateforme API. Les informations compromises incluent :

• Le nom associé au compte utilisateur ;
• L’adresse e-mail de contact ;
• La localisation approximative, déduite de l’adresse IP ;
• Les identifiants d’organisation et d’utilisateur ;
• Des informations techniques sur le navigateur et le système d’exploitation.

OpenAI a cependant tenu à rassurer rapidement ses utilisateurs en confirmant que le cœur de son service, notamment les conversations avec ChatGPT ou les données de paiement, n’est absolument pas touché par cet incident. La brèche reste donc circonscrite à un périmètre bien défini.

Qui est réellement concerné par cette fuite ?

Il est crucial de comprendre que cet incident ne cible pas l’utilisateur grand public de ChatGPT. Les personnes directement affectées sont les développeurs et les entreprises qui exploitent l’interface de programmation (API) via le portail platform.openai.com. Ces données analytiques permettaient à OpenAI de comprendre comment les professionnels interagissaient avec ses outils, via les services de Mixpanel.

Aucune conversation privée, aucune requête envoyée à l’intelligence artificielle, ni aucune clé API ou information de paiement n’a été compromise. De même, les mots de passe et les identifiants de connexion restent en sécurité, car ils n’étaient pas gérés ou stockés par le partenaire affecté.

Quelles mesures ont été prises par OpenAI ?

Face à cet incident, la réaction d’OpenAI a été double. D’une part, la firme a immédiatement coupé les ponts avec Mixpanel, suspendant l’utilisation de l’outil d’analyse en attendant les conclusions complètes de l’enquête. D’autre part, une campagne de communication par e-mail a été lancée pour informer tous les utilisateurs potentiellement touchés.

L’entreprise met en garde contre les risques accrus de phishing. Les pirates pourraient en effet se servir des informations volées pour monter des arnaques plus crédibles et personnalisées. La vigilance est donc de mise face aux emails ou messages inattendus qui sembleraient provenir d’OpenAI. Pour renforcer la sécurité des comptes, l’entreprise rappelle l’importance capitale d’activer l’authentification à deux facteurs, une barrière efficace contre les accès non autorisés.

L’affaire est un véritable casse-tête juridique. En avril 2024, la justice canadienne a exigé d’OVHCloud la communication de métadonnées liées à quatre adresses IP dans le cadre d’une enquête criminelle.

Le problème ? Ces informations ne sont pas au Canada, mais sur des serveurs en France, au Royaume-Uni et en Australie. La demande a été faite à la filiale locale d’OVHCloud, qui n’a techniquement pas accès à ces informations, car elle est juridiquement distincte de la maison mère française.

Pourquoi la justice canadienne s’acharne-t-elle ?

La Cour de l’Ontario ne lâche rien. Dans une décision rendue en septembre, la juge Heather Perkins-McVey a balayé les arguments techniques d’OVHCloud. Pour la justice canadienne, la « présence virtuelle » du groupe au Canada suffit à le soumettre à la juridiction locale, peu importe où se trouvent physiquement les serveurs. C’est une interprétation très large du droit qui change complètement la donne pour les opérateurs internationaux.

La Gendarmerie royale du Canada (RCMP) a délibérément choisi de contourner les traités d’entraide judiciaire existants entre la France et le Canada. Une voie plus rapide, mais qui heurte de plein fouet les principes de coopération internationale et la souveraineté des États. OVHCloud a désormais un délai très court, jusqu’au 27 octobre 2025, pour obtempérer sous peine de lourdes sanctions pénales.

Quelle est la défense d’OVHCloud et de la France ?

Le fournisseur français OVHCloud est pris entre le marteau et l’enclume. S’il obéit à l’injonction canadienne, il viole la loi de blocage française. Cette loi interdit formellement à toute entreprise française de communiquer des informations sensibles à des autorités étrangères en dehors des canaux officiels. Les dirigeants risqueraient jusqu’à six mois de prison et des amendes conséquentes pour chaque infraction.

Face à ce que Paris considère comme une atteinte à sa souveraineté, l’État français est monté au créneau. Le Service de l’Information Stratégique et de la Sécurité Économique (SISSE), rattaché à Bercy, a envoyé deux courriers pour rappeler l’illégalité de la démarche. Le ministère de la Justice a également proposé une coopération accélérée, mais via la voie légale d’une commission rogatoire. Une main tendue que les autorités canadiennes ont pour l’instant ignorée.

Quelles sont les conséquences pour le secteur du cloud ?

Cette affaire est bien plus qu’un simple bras de fer juridique. Elle met à mal toute la stratégie d’OVHCloud, qui a bâti sa réputation sur la séparation stricte, juridique et technique, de ses filiales pour protéger les données de ses clients contre les lois extraterritoriales comme le Cloud Act américain. Ironiquement, le danger ne vient pas de Washington, mais d’Ottawa.

Si la décision canadienne est confirmée en appel, elle créerait un précédent mondial dévastateur. N’importe quel pays pourrait exiger l’accès à des informations hébergées à l’autre bout du monde, du moment qu’un fournisseur de services y a une activité commerciale. C’est toute l’architecture de la confiance dans le cloud qui serait remise en cause. OVHCloud a fait appel devant la Cour supérieure de l’Ontario pour tenter de désamorcer cette bombe à retardement.

Foire Aux Questions (FAQ)

Qu’est-ce que la loi de blocage française ?

C’est une loi qui interdit aux entreprises françaises de transmettre des données à caractère économique, commercial, industriel, financier ou technique à des autorités publiques étrangères, sauf dans le cadre de traités d’entraide judiciaire internationaux. Le but est de protéger la souveraineté et les intérêts stratégiques français.

Pourquoi le Canada n’utilise-t-il pas les voies légales ?

Les enquêteurs canadiens semblent privilégier la rapidité d’une ordonnance directe (« Production Order ») plutôt que les procédures de coopération internationale. Ces dernières sont jugées plus lentes et bureaucratiques, même si elles sont légalement prévues pour ce type de situation et respectent la souveraineté de chaque État.

Cette affaire remet-elle en cause la souveraineté numérique ?

Absolument. Si la localisation physique des données n’est plus une protection suffisante, le principe même de souveraineté numérique est menacé. Cela signifie que les données pourraient ne plus être exclusivement soumises aux lois du pays où elles sont stockées, créant une insécurité juridique majeure pour les entreprises et les citoyens.

L’exécutif européen semble avoir entendu le soupir collectif des internautes fatigués. Qui n’a jamais pesté devant ces fenêtres pop-up incessantes qui bloquent l’accès aux sites web ? Au-delà de l’agacement quotidien, c’est toute une stratégie de compétitivité que l’UE tente de redéfinir.

En proposant d’économiser jusqu’à 5 milliards d’euros de coûts administratifs d’ici 2029, Bruxelles envoie un signal fort aux entreprises : la bureaucratie ne doit plus étouffer la croissance, surtout face aux géants américains et chinois qui avancent à marche forcée.

La fin du calvaire des clics incessants est-elle pour bientôt ?

C’est la mesure la plus visible pour le grand public : simplifier drastiquement la gestion des traceurs publicitaires. La proposition vise à réduire la fréquence d’apparition des bannières de cookies, véritable fléau de la navigation moderne.

L’idée est séduisante de simplicité : permettre aux utilisateurs de donner leur consentement en un seul clic pour une durée de six mois, ou de centraliser leurs préférences directement dans les paramètres du navigateur. Fini le temps perdu à configurer chaque site individuellement ; l’objectif est de fluidifier le web tout en gardant le contrôle.

Pourquoi l’Europe appuie-t-elle sur la pédale de frein pour la régulation ?

La Commission européenne a fait un constat amer : ces règles, bien que vertueuses, freinent l’innovation. Sous la pression de la France, de l’Allemagne et des géants de la Tech comme OpenAI, Bruxelles accepte de reporter l’application stricte de l’AI Act.

Concrètement, les entreprises développant des systèmes à « hauts risques » auront jusqu’à fin 2027, au lieu de 2026, pour se mettre en conformité. C’est un ballon d’oxygène vital pour les start-up européennes qui craignaient d’être noyées sous la paperasse avant même d’avoir pu lancer leurs produits.

Nos informations privées sont-elles sacrifiées sur l’autel du progrès ?

C’est le revers de la médaille qui inquiète les défenseurs des libertés. Pour entraîner les modèles d’IA, l’Europe envisage d’autoriser l’utilisation de données privées sous couvert d' »intérêt légitime ».

Cette notion floue fait bondir les associations comme NOYB de Max Schrems, qui y voient une attaque frontale contre le RGPD et nos données personnelles. Le pari de Bruxelles est risqué : assouplir les règles pour booster l’économie, au risque d’affaiblir le bouclier protecteur qui faisait la spécificité numérique de l’Europe.

Foire Aux Questions (FAQ)

Quand ces changements seront-ils effectifs ?

Ce ne sont pour l’instant que des propositions de la Commission. Elles doivent encore être débattues et validées par le Parlement européen et les États membres, ce qui promet des discussions houleuses, notamment sur la question des données privées.

Est-ce que je ne verrai plus aucune bannière cookie ?

Pas tout à fait. Les bannières existeront toujours pour la première visite, mais si la réforme passe, votre choix (accepter ou refuser) pourrait être mémorisé pour six mois, ou géré globalement par votre navigateur, rendant la navigation beaucoup plus fluide.

Pourquoi reporter l’AI Act ?

L’objectif est de laisser le temps aux entreprises de s’adapter sans casser leur dynamique d’innovation. Les obligations pour les systèmes d’IA critiques (santé, sécurité) sont lourdes, et un délai supplémentaire permet d’éviter un désavantage concurrentiel trop brutal face aux USA.