Autoblog de korben.info

Vercel, c'est la plateforme d'hébergement web utilisée par des milliers de développeurs et d'entreprises pour déployer leurs sites et applications (c'est eux qui font Next.js, entre autres).

Un de leurs employés s'est inscrit sur Context.ai, un assistant IA pour la bureautique, en utilisant son compte professionnel Google. Au moment de l'installation, l'app a demandé l'accès à ses emails, ses fichiers, son agenda, bref tout le Google Workspace de la boîte. Il a cliqué "autoriser tout". Erreur classique.

Sauf que Context.ai s'est fait pirater en février. Un de leurs propres employés a chopé un malware (Lumma, un voleur de mots de passe) en téléchargeant des scripts de triche pour Roblox. Le genre de bêtise qui ouvre la porte à tout le reste.

L'attaquant a récupéré l'accès que Context.ai avait sur le Google Workspace de Vercel, avec des permissions très larges : emails, fichiers internes, infrastructure de déploiement.

ShinyHunters, un groupe de pirates connu, a revendiqué le coup sur un forum et mis en vente des clés d'accès, du code source, des données de bases et des clés API de Vercel.

Le PDG de Vercel estime que le nombre de clients touchés est "assez limité", sans donner de chiffres. Mais côté crypto, plusieurs projets hébergés sur la plateforme ont quand même lancé en urgence un changement de tous leurs mots de passe et clés d'accès, ce qui donne une idée de l'ambiance.

Ce qui rend cette affaire intéressante, c'est le mécanisme. Personne chez Vercel n'a été directement attaqué. C'est un outil tiers, un outil IA installé par un employé, qui a servi de pont. L'employé donne un accès large à un service externe, le service se fait pirater trois mois plus tard, et tout le contenu professionnel de l'entreprise se retrouve exposé.

C'est exactement le scénario que les experts en sécurité décrivent depuis un an quand ils parlent des outils IA qui demandent des permissions tentaculaires sur vos comptes pro.

Bref, le vrai problème n'est pas Vercel. C'est le "autoriser tout" sur un outil IA qu'un employé a installé sans se poser de questions.

Source : SecurityWeek

L'ANTS vient de se faire hacker... 19 millions de fiches dans la nature, récupérées via une faille IDOR (Insecure Direct Object Reference, pour les intimes). Pour ceux qui connaissent pas le terme, IDOR c'est l'exercice qu'on donne aux étudiants le deuxième jour d'un cours de cybersécurité !

En clair, l'attaquant envoyait une requête sur l'API en remplaçant l'identifiant de son profil par un autre. Et hop, le serveur lui renvoyait le dossier d'un citoyen français en face, sans jamais vérifier qu'il avait le droit de le consulter. Aucun contrôle d'autorisation sérieux, aucun rate-limiting, et visiblement aucune alerte quand une IP aspire 19 millions de fiches. Que dalle !

Le gars qui a découvert le truc s'appelle Seblatombe, il tient le blog FrenchBreaches et il a balancé l'info ce 20 avril. Les données fuitées, ce sont vos noms, prénoms, dates de naissance, adresses postales, emails, numéros de téléphone, identifiants ANTS et numéros d'accréditation pro. Par contre, les mots de passe et les données bancaires n'ont pas filé, et c'est bien le seul truc qui sauve ce dossier du naufrage complet.

Quoiqu'il en soit, ce n'est pas un accident isolé puisque qu'en mars 2024, France Travail se fait éventrer avec 36,8 millions de victimes. Avant ça, en janvier 2024, Viamedis et Almerys lâchent 33 millions d'assurés sociaux. En novembre 2024, Pajemploi expose 1,2 million de dossiers. Et plus récemment en décembre 2025, la CAF perd 8,6 millions de comptes.

Et maintenant l'ANTS, avec 19 millions de plus.

Faites le cumul les amis. Près de 100 millions de lignes fuitées depuis début 2024, avec évidemment des doublons puisqu'un même citoyen est fiché sur plusieurs services. Pour un pays de 68 millions d'habitants, c'est un joli record je trouve ! On devrait avoir une médaille !

Perso, ce qui me fait halluciner, c'est le communiqué officiel de l'ANTS. Leur conseil aux citoyens c'est, je cite, que vous "n'avez aucune démarche à accomplir". LOL ! France Travail, au moins, avait pris la peine de prévenir les victimes une par une et de publier un plan de remédiation, parce qu'ils s'étaient fait visiblement taper sur les doigts par la CNIL. Avec l'ANTS, c'est à vous de gérer le bordel qu'ils ont créé.

Alors concrètement, qu'est-ce que vous pouvez faire ? Déjà, allez vérifier si votre email traîne déjà dans la nature sur haveibeenpwned.com. Ensuite, changez le mot de passe de votre compte ANTS et activez la 2FA partout où elle est dispo.

Attention aussi aux mails ou SMS qui mentionnent votre nom et votre date de naissance, c'est le jackpot des arnaqueurs pour ressembler à un vrai service. Et surveillez vos comptes bancaires parce qu'avec nom + adresse + date de naissance + téléphone, une demande de crédit frauduleuse passe comme une lettre à la poste.

D'ailleurs, j'avais déjà fait un bilan des hacks français en 2025 qui résumait l'ambiance. Visiblement rien n'a changé. Les mêmes failles basiques, les mêmes audits inexistants, les mêmes communiqués minimalistes. L'État a transformé vos données personnelles en open bar pour cybercriminels, et le seul vrai plan de remédiation qu'on nous propose c'est de croiser les doigts.

Bref, une IDOR sur une agence qui gère les données de 19 millions de Français, franchement, c'est selon moi pas une erreur mais clairement une faute grave.

Source

5 euros. C'est le prix du tracker Bluetooth qu'un journaliste néerlandais a caché dans une carte postale et envoyé à une frégate de la marine royale des Pays-Bas. Le navire, le HNLMS Evertsen, est un bâtiment de défense antiaérienne affecté à la protection du porte-avions français Charles de Gaulle en Méditerranée. Sa valeur est estimée à 585 millions de dollars.

Le journaliste, de la chaîne régionale Omroep Gelderland, a simplement utilisé le système postal officiel que le ministère de la Défense néerlandais met à disposition pour envoyer du courrier aux soldats et marins en mission.

Les instructions sont publiques, détaillées, et librement accessibles en ligne. Les cartes postales et enveloppes ne sont pas passées aux rayons X, contrairement aux colis. Du coup, le tracker est arrivé à bord sans être détecté.

Le tracker a fonctionné pendant environ 24 heures. Il a montré le navire quittant le port d'Héraklion en Crète, naviguant d'abord vers l'ouest le long de la côte, puis bifurquant vers l'est en direction de Chypre. Pour un groupe aéronaval en mission, la position d'un navire d'escorte est une information opérationnelle sensible, et un adversaire qui sait où se trouve l'Evertsen peut en déduire la zone probable du porte-avions Charles de Gaulle.

Le ministère de la Défense a réagi en interdisant les cartes de voeux contenant des piles dans le courrier militaire, forcément. C'est la réponse directe au test bien sûr, mais bon, l'info qui gêne le plus c'est que le système de courrier militaire néerlandais ne filtre pas le contenu des enveloppes classiques, c'est un peu étonnant.

Bref, seulement 5 euros de matériel et un timbre ont suffi à localiser un navire de guerre en pleine mission. Le rapport coût-efficacité est quand même étonnant.

Source : Business AM

Ma Hyundai Ioniq 5 est belle.

Elle est confortable, spacieuse, l'autonomie tient la route, la recharge rapide envoie vraiment du lourd, et la conduite au quotidien est chill.

Bref, sur le papier, j'aurais dû être ce client conquis pour 10 ans.

Sauf qu'en vrai, cette voiture me stresse. Et ce n'est pas juste une impression puisqu'après 1 an d'utilisation, c'est un enchaînement de bugs, de pannes et de comportements routiers douteux qui m'a fait regretter carrément ma Toyota. Voici donc un retour honnête sur ce modèle 2025, après 1 an et bientôt 30 000 kilomètres au compteur.

Le plus flippant d'abord, c'est le contrôle de stabilité (l'ESP) qui décide de ralentir une seule roue arrière à bonne vitesse sur autoroute sans que je comprenne pourquoi... Et quand ça arrive, l'arrière de la voiture se met à chasser... La première fois que ça m'est arrivé, j'ai super flippé... j'ai coupé le régulateur, j'ai ralenti, et ça a recommencé au bout de quelques centaines de mètres. Ça m'est arrivé plusieurs fois à différents moment et pour régler le problème, il faut s'arrêter, rebooter, et prier pour que ça ne recommence pas avant d'arriver à la maison. Heureusement, ce n'est pas très fréquent mais sur une voiture de presque deux tonnes lancée à 110, c'est moyennement rassurant, j'avoue.

Le tableau de bord lui me fait autre chose. De temps en temps, de manière aléatoire, il s'éteint totalement puis se rallume et s'éteint...etc. Plus d'indicateur de vitesse, plus de niveau de batterie, plus rien. Juste un écran noir, voire parfois un message en rouge disant : "NO DISPLAY". Là encore, la solution c'est le reboot.

J'ai l'impression de conduire une bêta permanente.

Le moindre de mes problèmes mais un problème quand même, c'est également le niveau de liquide de lave-glace est toujours affiché comme bas, alors que le réservoir est plein à ras bord.

Et puis il y a les craquements. Dès que je passe sur une route un peu cabossée, ma Ioniq 5 fait un bruit de vieux plancher en bois. Ce sont les jointures métalliques ou les plastiques autour du coffre qui travaillent et qui craquent. Pour un véhicule électrique à ce prix, qui est censé être d'un silence monacal, c'est assez pénible je dois dire. J'ai presque envie de mettre la musique plus fort juste pour ne pas l'entendre.

Enfin, le bouquet final de y'a à peine 2 semaines c'est la panne sèche. Un matin, en emmenant les enfants à l'école, en redémarrant dans un rond point, d'un coup, plus aucune puissance. Dépanneuse, remorquage, direction le garage agréé. Verdict officiel : Les batteries sont OK mais tout s'est réinitialisé de lui-même. C'est ce qu'on m'a expliqué.

Ils ont reflashé, remis à jour, fait des trucs comme ça, puis repassé le diagnostic complet. Aucun souci détecté selon eux. Et pour le tableau de bord qui s'éteint ? Ils n'ont pas trouvé non plus. Quand à l'ESP qui fait valser l'arrière, on m'a dit d'attendre une mise à jour et j'attends toujours.

Bref, je dois dire que c'est pas des petits problèmes, et c'est assez stressant au quotidien.

Maintenant, pour être honnête la Ioniq 5 a de vraies qualités. La motorisation est une réussite technique complète. La recharge rapide en 15-20 minutes sur borne CCS est toujours un moment de plaisir, surtout comparé à la concurrence. L'autonomie annoncée est à peu près conforme à la réalité si on respecte les limitations. Le petit coffre à l'avant où je range les câbles de recharge + l'habitacle spacieux et modulable, les finitions plutôt chouettes, le confort général : tout ça est au rendez-vous. Et la conduite est effectivement chill, à condition d'accepter que la voiture décide parfois de prendre des initiatives cheloues.

Mais bon tout ça, ça ne suffit pas à compenser le stress parce que conduire, ce n'est pas juste rouler. C'est avoir confiance dans sa voiture, et là clairement, on n'y est pas. Surtout que d'un point de vue analyse au garage, y'a rien d'étrange qui ressort...

Bref, ma Ioniq 5 ne me rassure pas, et c'est peut-être le pire reproche que je puisse faire à un véhicule.

Je regrette carrément ma Toyota. Pas pour la techno, qui était plus simple, mais pour la fiabilité silencieuse. Pour cette impression qu'une voiture doit juste faire son boulot. Hyundai a clairement les compétences techniques sur l'électrique, mais tant que la partie "automobile" + "soft" autour de la batterie ne sera pas au même niveau, la promesse ne sera pas tenue.

Bref, je suis encore coincé avec un petit moment malheureusement. J'espère que des mises à jour viendront régler ces soucis.

Merci à Jacques qui m'a suggéré de faire un retour.

Quand une startup ferme, ses conversations Slack, ses emails, ses tickets Jira et ses téraoctets de Google Drive ne disparaissent pas. Et maintenant, certaines les revendent.

SimpleClosure, une boîte spécialisée dans la fermeture d'entreprises, propose aux fondateurs de monétiser ce qu'elle appelle l'"exhausteur opérationnel" de leur défunte société en le vendant comme données d'entraînement pour des modèles d'IA.

C'est ce qu'a fait Shanna Johnson, l'ancienne patronne de cielo24, une entreprise de sous-titrage et transcription qui a fermé après 13 ans d'activité. Conversations internes, échanges clients, documentation technique, tout est parti dans le lot.

SimpleClosure supprime les données personnelles identifiables avant la vente, mais le contenu des échanges reste intact. En un an, la boîte a bouclé une centaine de transactions de ce type et récupéré plus d'un million de dollars pour les fondateurs concernés, avec des prix entre 10 000 et 100 000 dollars par entreprise.

SimpleClosure lance d'ailleurs Asset Hub, une plateforme dédiée où les sociétés en fermeture peuvent mettre en vente leurs dépôts de code, leurs archives Slack, leurs emails et leurs documents internes. Le marché se structure.

Le problème évident, c'est que les gens qui ont écrit ces messages ne savaient pas qu'ils finiraient dans un jeu de données d'entraînement. Marc Rotenberg, fondateur du Center for AI and Digital Policy, résume assez bien : "Les problèmes de vie privée ici sont quand même conséquents."

Un employé qui discute de son salaire, de ses problèmes personnels ou d'un conflit avec un collègue sur Slack n'a jamais donné son accord pour que ça serve à calibrer un modèle de langage.

Côté juridique, c'est complètement le flou. Les données appartiennent à l'entreprise, pas aux employés, et quand l'entreprise est en liquidation, le liquidateur ou le fondateur dispose de fait des actifs.

Du coup, dans les faits rien n'interdit aujourd'hui la revente de conversations internes anonymisées aux États-Unis, même si le RGPD en Europe pose des limites que les boîtes américaines n'ont pas.

Bref, si votre ancienne startup a coulé, vos messages Slack sont peut-être déjà dans un dataset quelque part.

Source : TechSpot

Ruby Central, l'association qui gère l'écosystème Ruby (RubyGems, Bundler, les conférences RubyConf et RailsConf), est en "vrai péril financier".

Le conseil d'administration l'a annoncé en se séparant de sa directrice exécutive, Shan Cureton, dans le cadre d'un plan de réduction des coûts. Les finances de l'organisation dépendaient trop "du timing optimiste de la réception des fonds par rapport aux dates fixes de nos dépenses", selon les administrateurs.

Le contexte, c'est un conflit qui dure depuis des mois. Fin 2025, Ruby Central a retiré plusieurs mainteneurs historiques de RubyGems et Bundler sans les prévenir.

Les mainteneurs concernés ont visiblement mal pris ce move, et ont lancé un fork rival appelé Gem Cooperative (gem.coop). Dans la foulée, ils ont publiquement accusé Ruby Central de prise de contrôle autoritaire. L'ancienne directrice avait en fait justifié les retraits par des demandes de sponsors et d'entreprises dépendantes de Ruby, inquiètes de problèmes de supply chain et de gestion des accès.

Le résultat, c'est un écosystème fracturé. D'un côté, Ruby Central avec le registre officiel RubyGems.org et les conférences. De l'autre, des mainteneurs expérimentés partis avec leur savoir-faire et une partie de la communauté. Et entre les deux, des sponsors qui hésitent à mettre de l'argent dans une organisation en crise de gouvernance.

Le conseil a voté en avril la transition vers un "working board" bénévole, ce qui veut dire moins de salariés et plus de travail non rémunéré. C'est le genre de restructuration qui peut effectivement sauver les finances à court terme, mais qui fatigue forcément les contributeurs au bout d'un moment.

Pour les développeurs Ruby, c'est quand même préoccupant. RubyGems est l'équivalent de npm pour JavaScript ou pip pour Python, c'est l'infra de base sur laquelle tournent des milliers de projets en production. Une association gestionnaire en péril financier et en conflit avec ses propres mainteneurs, ça fragilise clairement toute la chaîne.

Bref, Ruby Central doit trouver un modèle viable sans ses mainteneurs historiques et sans directrice. Pas simple.

Source : The Register

En Indonésie, avant de vendre un jeu vidéo, les éditeurs doivent le soumettre à un organisme de classification (l'IGRS) pour obtenir une note d'âge, un peu comme le PEGI en Europe.

Pour obtenir leurs notes, les éditeurs envoient des vidéos de gameplay, des infos sur le contenu du jeu, et leurs coordonnées professionnelles. Le tout est stocké sur un serveur géré par le gouvernement indonésien.

Sauf que voilà, ce serveur était mal configuré. Un utilisateur Reddit, Me_Finity, a découvert qu'en tapant les bonnes adresses web, il pouvait accéder à la totalité des fichiers déposés par les éditeurs, sans mot de passe, sans vérification, sans rien du tout.

Il a récupéré environ 1 000 adresses email de développeurs (dont des gros studios) et surtout des vidéos de jeux pas toujours annoncés : 007 First Light, Echoes of Aincrad (le futur Sword Art Online de Bandai Namco), Castlevania Belmont's Curse, et le remake d'Assassin's Creed Black Flag.

En clair, les éditeurs avaient envoyé ces vidéos en toute confiance pour une simple formalité administrative, et n'importe qui pouvait les consulter depuis l'extérieur. Le système n'avait en fait aucune protection d'accès.

Le ministère indonésien de la Communication a lancé une enquête le 17 avril et coupé l'accès au système en attendant. Les développeurs concernés n'ont visiblement pas été prévenus avant, et plusieurs ont découvert la fuite en même temps que tout le monde.

Pour les éditeurs, c'est un double problème. D'abord les vidéos de jeux secrets qui se retrouvent sur Internet.

Et puis les adresses email pro exposées, qui peuvent servir à envoyer des tentatives de piratage ciblées à des gens qui travaillent sur des projets confidentiels.

Bref, un site gouvernemental mal protégé qui se transforme en plus grosse fuite jeu vidéo de l'année, rien de très étonnant.

Source : The Register

GIMP 3.2.4 est sorti le 19 avril avec une fournée de corrections de bugs, dont une qui remonte à 1999 dans le code de gestion du format XCF, le format natif de GIMP. 26 ans. Le bug traînait dans le code source depuis les premières versions du logiciel et n'avait jamais été repéré ni corrigé.

Pour ceux qui ne connaissent pas, XCF est au GIMP ce que PSD est à Photoshop : le format de fichier natif qui stocke calques, masques, chemins et métadonnées.

Un bug dans le parsing XCF, même mineur, peut entraîner des pertes silencieuses de données ou des comportements incohérents à la réouverture d'un projet commencé des mois plus tôt.

La version précédente, GIMP 3.2.2, avait en fait introduit une régression en essayant de corriger un autre problème. Certains calques de texte devenaient impossibles à éditer après avoir été rechargés depuis un fichier XCF. GIMP 3.2.4 corrige ça, et corrige au passage le bug historique de 1999 qui était à l'origine de comportements erratiques dans le parsing du format.

L'autre correction notable concerne la fonction "Ouvrir en tant que calques" avec des fichiers XCF multi-calques. Les noms de calques étaient modifiés à l'import, ce qui posait des problèmes dans les workflows automatisés ou les scripts qui comptent sur des noms stables.

Le projet GIMP fête ses 30 ans cette année, et le passage à la branche 3.x était le plus gros chantier depuis son lancement. Ici on est sur une release de maintenance, pas de nouvelles fonctions, mais corriger des bugs de fond dans le format de fichier natif quand on est en pleine transition majeure, ça évite que les utilisateurs se retrouvent avec des fichiers corrompus ou des calques cassés sur la durée.

Bref, si vous bossez avec GIMP et des fichiers XCF, la mise à jour est recommandée.

Source : Phoronix

Quelqu'un a fait tourner l'interface Steam sur une Nintendo Switch. Pas via un hack douteux ni un émulateur bricolé, mais en utilisant la beta officielle de Proton 11 que Valve a publiée avec, pour la première fois, le support des appareils ARM sous Linux.

Le résultat a été posté sur BlueSky ( par ici ) par AAGaming, qui a aussi partagé les fichiers pour reproduire la manip chez vous.

[Embed: https://bsky.app/profile/did:plc:owu62bybwircbrojnru5axov/post/3mjnka7iur22l]

Concrètement, Proton 11.0-Beta1 embarque FEX 2604, un traducteur d'instructions x86 vers ARM qui permet de faire tourner du code Windows x86 sur un appareil ARM sous Linux. C'est ce qui rend le tout possible. Cette Switch rootée tourne sous Ubuntu, Proton s'installe par-dessus, et l'UI Steam parvient bien à se lancer. Alors, certes, pour l'instant, on en est surtout au stade de la démonstration, et pas franchement au stade "jouer à Elden Ring sur sa Switch", mais le client fonctionne.

Si Valve a bossé sur ce support ARM, c'est en fait pour le Steam Frame, son casque de jeu qui tourne sur un Snapdragon 8 Gen 3 avec 16 Go de LPDDR5X. L'appareil avait été montré en novembre dernier, présenté comme un appareil de streaming d'abord, mais avec la capacité de faire tourner des jeux en local aussi.

Lors d'une démo, un représentant Valve avait fait tourner Hades 2 en standalone à 1400p sur ARM, avec des performances correctes. "C'est du Linux, sur ARM", avait-il précisé. Du coup, le support public dans Proton n'est que la suite logique.

L'intérêt va au-delà de la Switch. Tous les handhelds ARM sous Linux (Retroid, AYN, Ayaneo, et les futurs modèles) deviennent des cibles potentielles pour Steam. Valve travaille d'ailleurs sur un système de certification "Verified" pour le matériel ARM, comme ce qui existe déjà sur Steam Deck. 

Les joueurs sauront quels jeux tournent bien en local et lesquels il vaut mieux streamer.

Côté jeux, la beta Proton 11 certifie aussi une fournée de titres pour SteamOS : Resident Evil, Dino Crisis, Warhammer Vermintide 2, SHOGUN Total War, Breath of Fire IV, entre autres. Et Valve a corrigé le Steam Overlay qui ne marchait pas avec les jeux EA, un bug qui traînait depuis un moment.

Bref, Steam sur Switch c'est surtout un proof of concept pour l'instant, mais Valve pose les bases d'un écosystème ARM qui pourrait devenir très concret avec le Steam Frame.

Source : Tom's Hardware

Attention les amis, si vous avez une chaîne YouTube, vous allez probablement recevoir ce mail d'un certain "Edward Evans" ou autre qui vous explique très poliment que vous avez utilisé sa musique dans une vidéo, qu'il a déposé une plainte, et qu'il serait ravi de résoudre ça "peacefully".

Surtout ne répondez pas !

J'en ai reçu un hier sur ma boite mail... Un message courtois où le type explique qu'il y a eu une petite incompréhension et qu'on va arranger ça entre gens biens. Sauf que ce mail, c'est en fait le premier étage d'une arnaque bien ficelée qui a pour but final de dérober votre compte Google et de détourner votre chaîne.

Le premier red flag qui saute tout de suite quand on clique sur le nom de l'expéditeur c'est le display name qui affiche "Edward Evans", mais dont l'adresse réelle derrière est sigourneyphoebe1847@gmail.com. Deux prénoms féminins + 4 chiffres au pif, c'est très typique d'un Gmail jetable créé pour la campagne.

Perso, je m'en fous qu'un ayant droit utilise Gmail, car ça arrive. Par contre, un nom totalement différent entre ce qui est affiché et la vraie boîte mail, ça c'est un premier signal probable qu'on vous balade !

Le deuxième truc qui trahit l'arnaque, c'est le vide complet du mail. Aucune URL de la vidéo incriminée, aucun nom de morceau, aucun timestamp... juste "my audio track/music" bien générique. Le problème, c'est qu'un vrai détenteur de droits qui contacte en direct fournit généralement la vidéo exacte, l'œuvre concernée avec son numéro d'enregistrement et le passage précis.

Là, y'a rien.

Le mail est en fait volontairement flou pour maximiser les réponses, peu importe le contenu réel de votre chaîne. Par acquit de conscience, je suis allé chercher le gars sur GitHub, Twitter, Reddit, Gravatar, et compagnie mais zéro trace nulle part. C'est un pur Gmail fantôme créé juste pour l'occasion.

Et si vous répondez un truc du genre "bonjour, quelle vidéo exactement ?", ce que j'ai failli faire avant de me raviser, vous recevrez un deuxième mail avec un lien vers un prétendu dossier de preuve. Le hic, c'est que le lien pointe vers dmca-notification[.]info ou une variante, un site documenté récemment par Malwarebytes .

En fait le site clone l'interface YouTube, récupère votre vraie photo de profil, vos vrais subs, votre dernière vidéo, et vous invite très naturellement à vous connecter avec Google pour "consulter la réclamation". Et peu importe que vous soyez sur macOS, Windows ou Linux, le piège fonctionnera dans n'importe quel navigateur. Et si vous tombez dans le panneau, BAM, ça part en credentials volés, et donc en compte Google récupéré, et dont la chaîne est ensuite souvent renommée, pillée et détournée, tout ça en quelques heures !

L'arnaque fonctionne en mode Phishing-as-a-Service. Plusieurs attaquants partagent le même backend, chacun avec son affiliate ID. Un peu comme Uber Eats, mais pour l'extorsion... sympa hein ? Selon l'analyse Malwarebytes, le kit cible spécifiquement les chaînes sous les 3 millions d'abonnés plutôt que les gros YouTubeurs, parce qu'au-dessus les créateurs ont des contacts directs chez YouTube et le kit se fait démonter trop vite. Du coup, attention si vous bossez sur votre chaîne sans équipe juridique derrière comme moi, vous êtes clairement pile dans la cible.

Voici donc ce qu'il faut faire si vous recevez ce mail. Premier réflexe, ne pas répondre et signaler comme phishing directement dans Gmail. Ensuite, il faut bloquer l'expéditeur pour couper les relances. Enfin, vérifiez que votre compte Google a bien la double authentification activée, idéalement avec une clé physique type YubiKey au lieu d'un SMS (plus costaud parce qu'un SIM swap, ça peut se faire en quelques minutes avec un minimum d'ingénierie sociale.

Allez faire aussi un tour sur myaccount.google.com/security pour lister les sessions actives et les apps autorisées, et virez tout ce que vous ne reconnaissez pas. Ne zappez pas non plus les gestionnaires tiers sur votre chaîne dans YouTube Studio, y'a souvent des vieilles autorisations qui traînent.

Et n'oubliez pas, LA source de vérité pour tout problème de copyright, c'est YouTube Studio, dans l'onglet Contenu, colonne Restrictions. Si y'a pas de restriction affichée en Studio, alors le mail c'est du phishing de merde, point.

Voilà, si vous avez une chaîne ou pas, parlez-en aussi à vos potes créateurs autour de vous car cette arnaque tourne fort en ce moment.

Source