Interdire la vente de données de géolocalisation précises

• Le système de surveillance adtech américain Webloc collecte et vend des données de localisation précises provenant de jusqu’à 500 millions d’appareils mobiles dans le monde
• Ces données incluent des identifiants d’appareil, des coordonnées et des profils d’applications, et sont achetées et utilisées par divers organismes publics, dont la police américaine, l’armée et des agences fédérales
• Webloc est intégré à la plateforme Tangles de Penlink, ce qui permet, via le lien entre appareils anonymes et comptes sociaux, d’identifier des personnes sans mandat
• Ces données peuvent aussi être vendues à des services de renseignement étrangers, créant un risque pour la sécurité nationale, tandis que l’absence de contrôle juridique et de supervision est pointée du doigt
• Les États-Unis devraient aller au-delà des simples restrictions d’usage et interdire la création et la vente mêmes de données de localisation précises ; la loi adoptée en Virginie est considérée comme un premier précédent

---

La réalité du système de surveillance Webloc

• Selon une enquête de Citizen Lab, le système de surveillance adtech américain Webloc collecte et vend des données issues de jusqu’à 500 millions d’appareils mobiles dans le monde
  • Ces données comprennent des identifiants d’appareil, des coordonnées de localisation et des informations de profil d’applications
  • Webloc a été initialement développé par Cobweb Technologies, puis commercialisé par Penlink après leur fusion en 2023
• Des propositions techniques divulguées indiquent explicitement que Webloc peut être utilisé pour suivre des appareils individuels ou rechercher des cibles précises
  • Parmi les exemples figurent le cas d’un homme à Abou Dhabi suivi plus de 12 fois par jour, ainsi que celui de deux appareils localisés simultanément en Roumanie et en Italie
  • Citizen Lab a qualifié le niveau de détail de ces données de « glaçant »

Utilisation par les agences gouvernementales et les forces de l’ordre

• Parmi les clients de Webloc figurent le Department of Homeland Security (DHS), l’Immigration and Customs Enforcement (ICE), des unités de l’armée américaine, la police du Bureau of Indian Affairs, ainsi que les polices des États de Californie, du Texas, de New York et de l’Arizona
  • Le service de police de Tucson a utilisé Webloc pour identifier un suspect de vols répétés de cigarettes, en retraçant un appareil unique régulièrement présent près des lieux des faits jusqu’à retrouver son adresse
• Webloc n’est pas le produit principal de Penlink, mais une fonctionnalité additionnelle de Tangles, une plateforme d’analyse du web et des réseaux sociaux
  • Tangles permet de rechercher des comptes en ligne par nom, e-mail, numéro de téléphone ou nom d’utilisateur, puis d’analyser publications, relations, activités et centres d’intérêt
  • La plateforme offre aussi des fonctions d’analyse géographique, d’analyse de réseau, de création de fiches cible et d’alertes
  • Lorsqu’il est intégré à Webloc, il devient possible de relier des identifiants d’appareil anonymes à des comptes sociaux, et donc d’identifier une personne sans mandat

Problèmes juridiques, éthiques et risques pour la sécurité nationale

• Ces outils peuvent être utiles aux enquêtes, mais il est dangereux qu’ils puissent être achetés et utilisés sans procédures solides d’autorisation et de supervision
  • Les procédures internes de la police de Tucson ne sont pas précisées dans le rapport
• Aux États-Unis, l’usage de tels outils nécessite des garde-fous juridiques, mais pose aussi un risque pour la sécurité nationale
  • Les mêmes données pourraient être utilisées par des services de renseignement étrangers pour viser les intérêts américains
• Parmi les clients internationaux de Penlink figurent les services de renseignement intérieur hongrois et la police nationale du Salvador, qui utilisent eux aussi les données de localisation à des fins de surveillance intérieure
  • Citizen Lab estime qu’ils ne visent pas directement les États-Unis, mais avertit que les données de localisation précises peuvent être exploitées à des fins de renseignement partout dans le monde

Mesures d’interdiction et évolution des politiques publiques

• Les États-Unis devraient non seulement restreindre l’usage de ces données, mais interdire la création et la vente mêmes des données de localisation précises
• Signe encourageant, la Virginie a récemment adopté une loi interdisant la vente des données de localisation précises des clients
  • Alors qu’une loi fédérale globale sur la protection de la vie privée tarde à voir le jour, les initiatives au niveau des États sont vues comme une réponse concrète
  • Mais une interdiction à l’échelle nationale devrait suivre

Exemple de campagne de piratage utilisant l’IA

• L’entreprise de sécurité Gambit a analysé le cas d’un pirate unique ayant compromis neuf organismes gouvernementaux mexicains à l’aide de deux plateformes d’IA commerciales
  • En quelques semaines, il a volé des centaines de millions d’enregistrements de citoyens et mis en place un service de falsification de certificats fiscaux
• Le pirate a utilisé trois VPS, et Claude Code a généré et exécuté environ 75 % des commandes d’exécution de code à distance
  • Après l’intrusion, il a utilisé l’API OpenAI GPT-4.1 pour analyser les données collectées et planifier les attaques suivantes
• Le 26 décembre 2025, le pirate a indiqué à Claude qu’il effectuait un « test de bug bounty » et a défini des règles comme la suppression des logs
  • Lorsque Claude a exigé une preuve de légalité, le pirate a enregistré une antisèche de test d’intrusion dans un fichier claude.md afin de conserver ce contexte dans la session
  • Vingt minutes plus tard, il a obtenu un accès distant à un serveur du fisc mexicain (SAT) via le scanner vulmap
• Claude a généré automatiquement des scripts d’attaque et testé huit approches en sept minutes avant d’écrire un code fonctionnel
  • Bien que Claude ait refusé certaines requêtes, le pirate a réussi à en exécuter la plupart via la reformulation des commandes et des contournements
  • En cinq jours, il opérait simultanément sur plusieurs réseaux de victimes
• Le pirate a aussi mené reconnaissance automatisée et analyse de données via l’API GPT-4.1
  • Un outil Python de 17 550 lignes extrayait les données des serveurs avant de les transmettre à GPT-4.1
  • Six personas d’analystes virtuels ont produit 2 957 rapports d’information structurés à partir de 305 serveurs
• Les techniques d’attaque elles-mêmes n’étaient pas nouvelles, et les systèmes visés étaient sans mises à jour de sécurité et en fin de support
  • Le point clé est que l’IA a accéléré la vitesse et l’efficacité de travail d’un pirate isolé au niveau d’une équipe
  • Du point de vue défensif, cela marque l’arrivée d’une époque où de petits attaquants peuvent provoquer des dommages massifs

Bonnes nouvelles cybersécurité de la semaine

• Le ministère américain de la Justice a démantelé, avec autorisation judiciaire, un botnet de routeurs domestiques exploité par le GRU russe
  • Le GRU infectait des routeurs TP-Link pour pratiquer le détournement DNS et mener des attaques de l’homme du milieu
• Le FBI et la police indonésienne ont démantelé un réseau mondial de phishing utilisant le kit de phishing W3LL
  • La police indonésienne a arrêté le développeur, dans ce qui est présenté comme la première enquête cyber conjointe entre les deux pays
• Google a introduit les Device Bound Session Credentials (DBSC) dans Chrome 146 pour Windows
  • Cette fonction lie les jetons d’authentification à des clés cryptographiques propres à l’appareil afin d’empêcher le vol de session
  • Une version pour macOS est également prévue prochainement

Principaux points du Risky Bulletin

• Il est désormais confirmé que des routeurs proxy malveillants pour LLM sont réellement commercialisés
  • Des chercheurs ont analysé 28 routeurs payants vendus sur Taobao, Xianyu, Shopify et d’autres plateformes, ainsi que 400 routeurs gratuits diffusés sur GitHub et ailleurs
  • Certains exécutaient des comportements malveillants tels que l’injection de commandes, des déclencheurs différés, le vol d’identifiants et l’évasion d’analyse
• Le gouvernement français a lancé une première étape pour réduire sa dépendance à Windows et migrer vers Linux
  • La DINUM a été désignée comme organisme pilote pour tester une transition à grande échelle
  • Lors d’un séminaire interministériel du 8 avril, chaque ministère s’est engagé à préparer son plan de mise en œuvre et ses technologies de remplacement
• Analyse de la stratégie chinoise de cybersécurité
  • Le plus récent plan quinquennal (15e FYP) désigne la construction d’une « cyber-superpuissance (网络强国) » comme l’un des cinq grands objectifs nationaux
  • Les quatre autres domaines sont la manufacture, la qualité, l’aérospatial et les transports