Une faille découverte dans une base de données exposée

Le 16 juin 2025, le chercheur en cybersécurité Jeremiah Fowler a identifié une base de données ouverte, accessible à tous, sans aucune forme de protection. Elle contenait des paires email/mot de passe encore actives, obtenues illégalement via des infostealers – des logiciels malveillants conçus pour siphonner les identifiants sauvegardés sur les appareils compromis.

Cette base, rapidement analysée puis retirée du web le lendemain, regroupe des identifiants provenant de plateformes diverses : comptes utilisateurs de géants technologiques comme Apple, Microsoft ou Google, mais aussi de portails bancaires, médicaux et administratifs. Les données volées fournissent un accès privilégié à des services essentiels et ouvrent la porte à une cascade d’abus potentiels.

Un risque immédiat de contamination numérique

Bien que la base ne soit plus accessible publiquement, l’impact reste alarmant. Fowler a pu confirmer, en contactant certains utilisateurs affectés, que plusieurs identifiants étaient encore fonctionnels au moment de la découverte. Cette validité augmente considérablement le risque pour les victimes : chaque compte compromis devient un point d’entrée potentiel pour des attaques en chaîne.

Les informations récoltées facilitent la mise en œuvre de phishing ciblé, le vol d’identités ou encore l’accès à des données sensibles stockées dans les messageries électroniques. « Une fois que des cybercriminels ont accès à un email, ils peuvent lancer des attaques de phishing ou voler encore plus de données », avertit Jeremiah Fowler.

Des identifiants volés via phishing et logiciels malveillants

Les données compromises sont les fruits d’années de piratage discret orchestré par des infostealers. Ces malwares s’introduisent via des pages de phishing ou des mises à jour logicielles piégées. Une fois installés, ils récupèrent silencieusement les identifiants enregistrés dans les navigateurs ou applications, puis les transmettent aux serveurs des cybercriminels.

Les cyberattaquants compilent ensuite ces données pour les exploiter ou les revendre sur les marchés noirs. Dans le cas actuel, les données proviennent d’une collection non attribuée. Les adresses IP associées à la base pointaient vers deux domaines : l’un inactif, l’autre à vendre au moment de l’analyse. Aucune source ou entité n’a revendiqué cette fuite.

Les chiffres réels derrière la confusion des 16 milliards

Certains titres évoquent un chiffre spectaculaire de « 16 milliards de mots de passe » compromis. Toutefois, ce nombre semble refléter une agrégation historique de fuites diverses, plutôt qu’un incident unique. Le volume exact extrait par Jeremiah Fowler s’élève à 184 millions d’enregistrements authentiques.

Ce chiffre, bien que moindre comparé à celui circulant dans les médias grand public, reste l’un des plus importants signalés publiquement ces derniers mois. Il souligne la menace encore persistante de fuites silencieuses exploitées bien avant d’être découvertes.

Quels comptes sont concernés ?

Les données extraites couvrent un large spectre de services :

• Apple (identifiants iCloud, Apple ID)
• Google (Gmail, comptes associés à Android)
• Microsoft (Outlook, Live, Azure)
• Facebook et Instagram
• Snapchat et Roblox – plateformes particulièrement populaires chez les jeunes utilisateurs
• Portails bancaires et médicaux
• Sites gouvernementaux de plusieurs pays

Cette diversité rend la fuite encore plus préoccupante. Le mélange de comptes grand public et de portails sensibles (santé et administration) facilite une exploitation sophistiquée par des groupes organisés.

Que doivent faire les utilisateurs concernés ?

Face à l’ampleur de cette fuite, changer immédiatement vos mots de passe est impératif — même en l’absence de signe apparent de compromission. Il est recommandé de :

1. Générer des mots de passe uniques et complexes pour chaque service.
2. Activer l’authentification à deux facteurs (2FA) sur tous les comptes compatibles.
3. Éviter de réutiliser les mêmes identifiants d’un site à l’autre.
4. Surveiller vos courriels et relevés pour détecter comportements ou connexions anomales.

Vers une réponse plus systémique ?

La fuite met en lumière les limites persistantes des systèmes de stockage de mots de passe, surtout quand les utilisateurs s’en remettent à leurs navigateurs pour gérer leurs accès. Pour détecter de telles menaces futures, les analyses massives de données — via des outils comme R, Excel ou Tableau — deviennent des armes précieuses pour les journalistes d’investigation spécialisés en cybersécurité.

Elles aident à comprendre les mécanismes d’infiltration, à cartographier l’impact des fuites et à alerter les utilisateurs et entreprises avant que des dommages irréversibles ne surviennent.

Une alerte à ne pas négliger

Cette fuite rappelle violemment que le mot de passe reste aujourd’hui encore la clé de voûte de notre identité numérique. Sa compromission offre un accès direct à notre vie en ligne : messages privés, informations bancaires, historiques médicaux et davantage.

Même si la base exposée ne représente « que » 184 millions de comptes, elle illustre un problème systémique : le stockage distribué, mal protégé, et la réutilisation chronique de mots de passe. Ce défaut structurel alimente un marché noir florissant et permanent.

Conclusion : un signal d’alarme pour l’ensemble du Web

Derrière ce nouvel incident, la leçon est claire : aucun mot de passe n’est sûr à vie. L’exposition d’autant d’identifiants appelle à une réforme urgente des pratiques d’authentification — aussi bien chez les utilisateurs que les entreprises qui hébergent ces données.

En attendant une généralisation de systèmes plus solides (authentification biométrique, clés de sécurité physiques, login sans mot de passe), les utilisateurs doivent adopter une hygiène numérique exemplaire, condition sine qua non pour limiter leur exposition aux cybermenaces.

L’article Fuite massive de données : 184 millions de comptes Apple, Google et Facebook brutalement exposés est apparu en premier sur TechPi.

Un géant en crise : faillite, incertitude et relance

Fondée en 2006, 23andMe s’est imposée comme un pionnier des tests ADN à domicile, permettant à quelque 15 millions de personnes d’accéder à des informations sur leur santé, leur ascendance et leurs traits génétiques. Pourtant, en mars 2024, l’entreprise s’est placée sous la protection du chapitre 11 du Code des faillites américains, dénonçant une pression financière croissante et des pertes continues.

Une procédure de vente s’est alors ouverte, donnant lieu à une rude compétition pour la reprise des actifs de l’entreprise. Le 28 juin, Anne Wojcicki a annoncé avoir franchi la ligne d’arrivée, récupérant le contrôle de 23andMe via son TTAM Research Institute, une entité à but non lucratif, pour un montant de 305 millions de dollars. Cette opération vise à recentrer l’entreprise sur la recherche médicale, selon Wojcicki. Néanmoins, elle n’efface pas l’inquiétude profonde de nombreux usagers concernant la gestion de leurs données génétiques sensibles.

Pourquoi supprimer ses données ADN ?

La faillite de 23andMe a soulevé un spectre délicat : celui de la potentielle vente ou mauvaise utilisation des données personnelles. Contrairement aux données classiques, les données génétiques touchent à notre identité biologique la plus fondamentale. L’absence de régulations fédérales strictes aux États-Unis accroît cette vulnérabilité.

Craig Konnoth, professeur à l’Université de Virginie, estime que « l’utilisation des informations des clients est essentiellement réglementée par les dispositions des accords de confidentialité et d’utilisation que 23andMe a contractés avec les consommateurs ». Face à une protection juridique incertaine, nombreux sont ceux qui choisissent la prudence en supprimant leurs données personnelles de la plateforme.

Procédure étape par étape pour supprimer ses données 23andMe

Pour les utilisateurs souhaitant effacer leurs données de la base de données de l’entreprise, voici la démarche à suivre :

1. Connectez-vous à votre compte via le site de 23andMe à l’aide de votre identifiant et mot de passe. Activez l’authentification à deux facteurs si nécessaire.
2. Accédez au menu en cliquant sur votre nom de profil en haut à droite, puis choisissez « Paramètres du compte ».
3. Faites défiler jusqu’à la section « Données 23andMe » et cliquez sur « Afficher ». Une vérification par date de naissance pourrait être demandée.
4. Téléchargez vos données personnelles, y compris vos résultats ADN bruts et rapports de santé, pour les conserver de manière sécurisée avant suppression.
5. Dans la section de suppression, cliquez sur « Supprimer définitivement les données ». Un e-mail de confirmation vous sera envoyé pour valider la demande.
6. Revenez ensuite dans les paramètres pour révoquer les autorisations de recherche et mettre fin au partage avec des tiers et partenaires externes.
7. Pour terminer, vous pouvez soumettre une demande spécifique visant à détruire les échantillons biologiques restants dans les laboratoires de 23andMe. Cette démarche se fait séparément.

Ce que 23andMe conserve malgré tout

La suppression de vos données génétiques n’efface pas entièrement toute trace. La société peut conserver certaines informations, notamment votre sexe, votre date de naissance, des éléments contractuels, et la preuve de votre demande de suppression. Ceci est justifié par des exigences réglementaires et juridiques internes en matière d’archivage des interactions.

Un vide réglementaire inquiétant

Alors que la technologie avance plus vite que la législation, les États-Unis ne disposent pas encore de lois fédérales robustes encadrant la collecte, le stockage et le partage des données ADN. Contrairement à ce que garantit par exemple le RGPD en Europe, les utilisateurs américains bénéficient d’une protection inégale, largement dépendante des politiques de confidentialité des entreprises elles-mêmes.

Dans ce contexte, la suppression volontaire de ses données constitue un levier de contrôle crucial pour tout client soucieux de son droit à l’oubli génétique.

Une affaire à suivre de près

À l’heure où l’ADN devient une nouvelle forme de devise numérique, la trajectoire de 23andMe continue de poser des questions essentielles sur les droits individuels, l’éthique de la génomique et les responsabilités des entreprises de biotechnologie. Pour les consommateurs, la vigilance reste de mise.

Pour aller plus loin sur la confidentialité en ligne et la gestion des données personnelles, consultez nos dossiers sur la cybersécurité.

L’article 23andMe en faillite : pourquoi des millions d’utilisateurs paniquent pour la sécurité de leur données ADN est apparu en premier sur TechPi.

Une application encore jeune mais déjà controversée

Lancée le 29 avril 2025, l’application Meta AI affiche à ce jour 6,5 millions de téléchargements, un chiffre modeste pour une plateforme issue d’un géant technologique comme Meta. Cette croissance lente n’a pas empêché l’émergence de critiques majeures, notamment en matière de vie privée. Selon une analyse récente, Meta AI recueille 32 types de données sur 35 catégories étudiées, ce qui en ferait l’une des applications les plus intrusives disponibles sur le marché.

Ce profil de collecte agressive contraste avec la présentation lisse que fait Meta de son assistant doté d’intelligence artificielle, censé aider l’utilisateur à formuler des requêtes, poser des questions ou recevoir des recommandations en toute confidentialité. La réalité, cependant, semble bien plus préoccupante.

Des conversations privées rendues publiques

Le problème de confidentialité mis en lumière repose sur une fonction de partage intégrée directement dans l’interface de l’application. Ce bouton permettait aux utilisateurs de publier sur Internet des échanges réalisés avec Meta AI, souvent sans être pleinement conscients du caractère public de leur action. Dans de nombreux cas documentés, les utilisateurs ont partagé sans le savoir des données personnelles sensibles — noms complets, adresses postales, antécédents judiciaires et même informations médicales.

La chercheuse en cybersécurité Rachel Tobac a repéré plusieurs exemples de fuites disponibles publiquement, certains comportant des adresses de membres de la famille, des dossiers juridiques en cours ou des diagnostics de santé particulièrement privés. En cause : une opacité des paramètres de confidentialité et un manque d’avertissements clairs. Les conversations menées via un compte Instagram public, utilisé pour se connecter à l’application, deviennent ainsi accessibles à toute personne en ligne.

Conception défectueuse ou négligence institutionnelle ?

Contrairement à une simple faille logicielle ou à une attaque externe, cette fuite est le résultat d’une fonctionnalité conçue par intention. Le bouton de partage faisait partie intégrante de l’expérience utilisateur. Toutefois, dans le flou des paramétrages par défaut, il devient difficile pour un internaute non averti de faire la distinction entre un contenu privé et un contenu publiable librement.

L’absence de réaction immédiate de la part de Meta n’a fait que renforcer le sentiment d’inquiétude. Aucun communiqué officiel n’a encore été diffusé concernant la portée précise de la fuite ni sur les mesures prévues pour y remédier. Cette inertie interroge sur les obligations réglementaires en matière de protection des données, notamment dans un contexte de conformité au RGPD en Europe ou au CCPA en Californie.

Les experts sonnent l’alerte

Pour de nombreux spécialistes de la cybersécurité, cette affaire constitue un signal d’alarme. Le fait que la divulgation d’informations privées découle d’un choix de design — et non d’un dysfonctionnement technique — suggère un déficit grave de supervision éthique dans la conception des systèmes d’IA. On parle ici de données pouvant affecter la vie personnelle, professionnelle ou juridique des utilisateurs impliqués.

Ces révélations interviennent dans un climat de plus en plus sensible concernant la place des chatbots conversationnels dans la vie quotidienne. À mesure que ces technologies s’intègrent dans les services médicaux, financiers ou éducatifs, la question de la gestion des données personnelles devient aussi centrale que celle de leur efficacité technologique.

Appel urgent à davantage de transparence

L’affaire Meta AI illustre une tension croissante entre la rapidité du développement technologique et la lenteur des régulations en matière de confidentialité. Si les entreprises souhaitent conserver la confiance des utilisateurs, elles doivent garantir non seulement la performance de leurs IA, mais aussi leur fiabilité éthique.

À l’heure où l’utilisation de l’IA conversationnelle devient quasi omniprésente, il est impératif que les entreprises mettent en place des mesures de sécurité robustes. Cela inclut des paramètres de confidentialité explicites, des alertes claires sur les contenus diffusés et un encadrement strict des fonctions de partage.

Pour les consommateurs, cet incident constitue un rappel : chaque interaction avec une IA génère des données, souvent stockées, parfois réutilisées — et désormais, potentiellement exposées. À l’avenir, la prudence n’est pas simplement une bonne pratique, elle devient une nécessité.

L’article Fuite massive chez Meta AI : vos conversations privées exposées à cause d’une fonction mal conçue est apparu en premier sur TechPi.