Bureau d'Analyse et d'Expertise Informatique

31/08/2026

Apprendre l'IA aux jeunes : oui. Les ficher pour y accéder : non.

Comme le souligne souvent Laurent Alexandre, la maîtrise de l'intelligence artificielle est la compétence clé des générations futures. Interdire ou ignorer l'IA à l'école serait une erreur stratégique majeure.

Mais attention à ne pas confondre éducation aux usages et fichage des accès :

Acculturation ≠ Collecte de données : Apprendre à prompter, à détecter les biais et à utiliser l'IA comme levier d'apprentissage n'a jamais nécessité de fournir une carte d'identité à un tiers.

L'esprit critique avant le bouton "valider" : Pour former des citoyens éclairés face à l'IA, il faut d'abord consolider les fondamentaux analytiques pour leur permettre de remettre en cause la machine.

Réguler les algorithmes, pas les utilisateurs : La vraie protection des mineurs face aux dérives du web et de l'IA passe par le Safety by Design (DSA) et la responsabilisation des éditeurs, pas par une barrière numérique nominative et illusoire.

L'avenir appartient à ceux qui sauront piloter l'IA avec discernement, pas à ceux qui auront abandonné leur vie privée pour pouvoir se connecter.

https://www.facebook.com/reel/1077537301352808

20/08/2026

La Sécurité informatique.

Une extension de navigateur utilisée pour se connecter aux services publics belges via la carte d'identité électronique a fait l'objet d'une vulnérabilité récemment documentée lors de la conférence DEF CON.

Il convient de préciser que la carte eID et sa puce ne sont pas concernées. Le composant visé est un logiciel tiers assurant la liaison entre le navigateur et le lecteur de carte.

Selon les informations publiées, le problème résidait dans une absence de vérification de l'origine des demandes de connexion.

Le Centre pour la Cybersécurité Belgique indique n'avoir constaté aucune preuve d'exploitation effective. La correction a été finalisée le 22 juillet 2026.

Cet épisode illustre, plus généralement, l'importance des mécanismes de vérification d'origine dans les architectures d'authentification, ainsi que celle de délais de correction maîtrisés pour les composants logiciels intermédiaires.

Source : presse spécialisée et communiqué du CCB.

Un hacker éthique a mis au jour de graves failles de sécurité dans une extension de navigateur permettant de se connecter au moyen d’une carte d’identité électronique belge (eID). Des sites malveillants auraient ainsi pu recueillir des données d’identité, sans que rien n’indique que c...

17/08/2026

Contrôle d'âge des mineurs : l'illusion France Identité

Certains voient dans les attestations d'âge dématérialisées (France Identité, eIDAS 2.0) la solution idéale pour filtrer les réseaux sociaux sans révéler l'identité des utilisateurs.

Si la preuve à divulgation sélective (Zero-Knowledge Proof) est élégante en théorie, prétendre qu'elle résout aujourd'hui le contrôle des moins de 15 ans relève de la fiction :

-Déficit d'équipement : Générer ce justificatif exige une CNIe à puce NFC et un smartphone compatible.
Très peu de mineurs disposent de cette chaîne technique.

-Déplacement du risque : Pour certifier l'attribut « +15 ans », une autorité doit contrôler l'identité réelle en amont. La collecte n'est pas supprimée, elle est déportée.

-Risque cyber massif : Centraliser les données de millions de citoyens crée un honeypot géant. L'intrusion à la DGFiP (700 000 citoyens touchés) rappelle qu'aucun coffre-fort n'est inviolable et que ces fuites alimentent le phishing de masse.

-Usurpation d'usage : Aucun jeton cryptographique ne vérifie qui tient l'appareil. Prêt de téléphone ou VPN contournent le filtre en deux clics.

En voulant protéger nos enfants par un contrôle d'accès généralisé, on ouvre grand la porte aux escrocs.

C'est le sens de la décision du Conseil constitutionnel : la protection des mineurs ne peut se faire au détriment de la vie privée de tous.

La vraie régulation (DSA) doit imposer le Safety by Design et neutraliser les algorithmes d'addiction à la source, plutôt que de ficher les accès au web.

https://www.frandroid.com/culture-tech/web/2962099_france-identite-voici-une-solution-propre-pour-prouver-son-age-sans-donner-son-nom-ni-son-age-exact

L'application France Identité teste actuellement une fonction pour prouver votre majorité sans révéler ni votre nom, ni votre date de naissance. C'est

17/08/2026

Le fisc a confirmé avoir subi deux intrusions, fin juin sur son système fiscal, fin juillet sur les fichiers cadastraux.
D'après les informations environ 678 000 usagers sont concernés et informés à partir de lundi.

Le point qui interroge n'est pas l'attaque, aucune administration n'y échappe, la DGFiP dit en avoir déjoué près de 7 000 en 2025. C'est la chronologie.
Dès juin, les services détectent la compromission du compte d'un agent et coupent l'accès. Ils considèrent le dossier clos. L'attaquant, lui, avait déjà récupéré un volume important de données, sans générer d'activité anormale, donc sans être vu.

La CNIL n'a été saisie qu'après la revendication publique du 12 août, soit près de deux mois plus t**d.

Or le RGPD est clair : la CNIL doit être notifiée dans les 72 heures à compter de la connaissance d'une violation susceptible de présenter un risque.
Toute la question se joue sur une date.

Quand l'administration a-t-elle su, ou aurait dû savoir, que des données avaient été exfiltrées, et pas seulement qu'un compte avait été usurpé ?
L'obligation de notifier est pourtant identique pour une administration et pour une entreprise.

La sanction, elle, ne l'est pas.
En France, la CNIL ne peut pas infliger d'amende à l'État, seulement un rappel à l'ordre ou une injonction. Et le seul dispositif qui responsabiliserait directement les dirigeants, la directive NIS 2, n'a toujours pas été transposé. L'obligation existe, mais le mécanisme de responsabilité reste presque vide.

En tant qu'expert judiciaire en informatique, je m'en tiens aux faits : l'intrusion et l'extraction sont confirmées, l'ampleur exacte reste à établir. Cela ne change rien à la question de fond.

L’assaillant a accédé aux données de 678 000 usagers du site de la Direction générale des finances publiques. Le gouvernement reconnaît «certaines dettes techniques».

15/08/2026

Le 13 août 2026, la DGFiP a confirmé une intrusion dans son système, survenue fin juin après une usurpation d'identité, avec extraction de données de particuliers et de professionnels.
Ce n'est pas une faille logicielle exploitée de l'extérieur.
C'est le détournement d'un accès légitime.

Et c'est la deuxième fois en six mois : en février, le fichier FICOBA avait déjà cédé selon le même scénario, l'usurpation des identifiants d'un agent habilité. La même faiblesse, au même endroit.

Un incident isolé relève du risque. Un incident qui se reproduit à l'identique relève de l'absence de correction.

Entre février et juin, la leçon n'a pas été tirée.

Les données en cause sont parmi les plus sensibles qu'une administration détienne : identifiant fiscal, état civil, adresses, revenu de référence, taux de prélèvement.

De quoi alimenter durablement l'hameçonnage ciblé, contre des citoyens qui n'ont pas le choix de confier ces données.

La responsabilité d'un service public ne se mesure pas à l'absence d'incident. Elle se mesure à ce qu'il fait après le premier. Ici, le premier n'a pas suffi.

En tant qu'expert judiciaire, je m'en tiens aux faits : ce qui est confirmé l'est, le volume revendiqué reste à établir. Cela ne change rien à la gravité.

Impôts : plus de 678 000 personnes concernées par... victime d'une fuite de données revendiquée. 678 438 personnes potentiellement concernées. Les données...

14/08/2026

Réseaux sociaux et contrôle d'âge : le rappel à l'ordre du Conseil constitutionnel

Ce 14 août, le Conseil constitutionnel a censuré le dispositif central de la loi française visant à interdire les réseaux sociaux aux moins de 15 ans.

Le motif est d'une clarté limpide : imposer une vérification d'âge généralisée crée une atteinte non proportionnée à la liberté de communiquer et met en péril la vie privée de l'ensemble des citoyens.

Cette décision retentissante illustre parfaitement le mur contre lequel se heurtent les tentatives de régulation par la contrainte d'identification :

Sur le plan du droit : La levée d'anonymat ou le contrôle d'identité ne peuvent être la règle par défaut à l'entrée du web.

Sur le plan technique : Obliger chacun à présenter ses preuves d'identité crée des risques majeurs de fuite de données et de phishing, tout en restant facilement contournable via un VPN.

Alors que l'exécutif français est renvoyé à sa copie et que le dossier belge est à l'étude à l'IBPT, il est temps de changer de paradigme : la sécurité de nos enfants sur Internet ne se gagnera pas par des usines à gaz d'identification constitutionnellement bancales, mais par l'éducation au jugement critique, la responsabilisation et des levées d'anonymat ciblées sous contrôle judiciaire.

https://www.lefigaro.fr/

A la Une : Retrouvez toute l'actualité en France, à l'international, l'actualité économique et politique avec Le Figaro

13/08/2026

« Bannissement numérique » : le vrai obstacle n'est pas l'anonymat.

La mesure portée par la ministre Vanessa Matz relance un débat légitime, mais sa faisabilité se joue sur un point que le débat public confond presque toujours.

On invoque « l'anonymat d'internet », alors que trois réalités différentes sont en jeu. L'anonymat vrai, sans aucune identité rattachée, est rare et fragile.

-Le pseudonymat, une identité masquée derrière un pseudo mais ré-identifiable par l'autorité sur réquisition, est l'état normal du réseau.
- L'identification forte au moment de l'inscription, elle, n'existe presque nulle part.

Ce qui fait échouer un bannissement n'est donc pas l'anonymat, puisqu'un condamné reste presque toujours identifiable a posteriori. C'est la facilité déconcertante de recréer un compte en quelques minutes, avec une autre adresse e-mail, un autre appareil, un VPN ou une plateforme hébergée hors UE.

La France l'a déjà éprouvé (loi SREN du 9 mai 2024, art. 131-35-1 du Code pénal). La charge d'empêcher cette recréation pèse sur les plateformes, et c'est précisément le maillon techniquement le plus faible.

Or c'est le même verrou manquant que pour la protection des mineurs. Bannir un condamné ou empêcher un enfant d'accéder à un service exigent une seule et même brique : un attribut vérifié au moment de l'accès.

La réponse honnête n'est pas la collecte massive de pièces d'identité, contraire au RGPD, mais l'attestation à divulgation sélective portée par le portefeuille eIDAS 2.0, attendu d'ici fin 2026, qui prouve « majeur » ou « non banni » sans livrer l'identité complète.

Aucune de ces mesures ne sera étanche.

Le rôle de l'expert est de le dire clairement, et d'expliquer les moyens réels autant que leurs limites.

La justice française vient de bannir numériquement deux streamers, la ministre du Numérique, Vanessa Matz (Les Engagés), veut instaurer la même mesure en...

11/08/2026

En voulant protéger nos enfants, on ouvre grand la porte aux escrocs.
Dès 2007, j'alertais sur les failles de spoofing (usurpation du n° ) sur le GSM. Vingt ans plus t**d, on construit un système d'identification de masse sur cette même technologie.
Voici ce que personne ne dit encore clairement.

En habituant des millions de parents et d'adolescents à valider leur identité en ligne sur demande, on crée le terrain parfait pour le phishing généralisé de masse.

Les cybercriminels n'ont qu'à copier le mécanisme officiel.
Un faux SMS, une fausse notification, une fausse page MyGov ou Itsme. Et la victime, conditionnée à obéir, donne ses données sans résistance.

Pendant ce temps, le mineur (-16% de la population) contourne tout ça avec un VPN en trois minutes.

On expose toute la population adulte à un risque cyber réel pour une efficacité nulle sur les enfants.

Et votre numéro de téléphone, sur lequel repose tout ce système ? Il ne vous appartient pas.

Il est la propriété de votre opérateur. Il peut être cédé à quelqu'un d'autre demain en cas de suppression.

On ne sécurise pas une population en l'identifiant mal.

Retrouvez mon analyse complète publiée ce jour dans L'Écho :

« Réseaux sociaux : comment mieux protéger les mineurs sans mettre en place une surveillance généralisée »

Lien vers la carte blanche : https://www.lecho.be/opinions/general/opinion-reseaux-sociaux-comment-mieux-proteger-les-mineurs-sans-mettre-en-place-une-surveillance-generalisee/10681596.html

Interdire les réseaux sociaux aux moins de 15 ans suppose de pouvoir contrôler leur âge. Un dispositif qui soulève des questions majeures de vie privée, d’anonymat et de sécurité des données.

10/08/2026

Un parquet financier fédéral : bonne intention, une seule couche renforcée ?
Le Conseil supérieur de la Justice vient de rendre son avis sur la proposition de loi créant un parquet financier, en tant que section « criminalité financière » au sein du parquet fédéral.
L'objectif est salué : mieux poursuivre la criminalité économique, financière et fiscale grave, la fraude sociale organisée et la corruption, en déplaçant l'effort vers la détection, le gel rapide et la confiscation des profits.
Le CSJ formule toutefois des réserves de fond : une section « autonome » qui crée un « parquet dans le parquet » au statut hiérarchique incertain, une nouvelle fonction de procureur fédéral adjoint financier sans présentation par le CSJ ni exigence de capacités dirigeantes, une compétence exclusive rigide et floue, et des effectifs posés sans analyse de besoins.
Le point le plus structurant rejoint une conviction que je défends souvent : on renforce un maillon, les capacités de recherche et de poursuite, sans effort équivalent sur le reste de la chaîne pénale. Instruction, siège en première instance et en appel restent sous-dotés, avec un risque d'engorgement, singulièrement à Bruxelles.
J'ajouterais un angle que le texte passe sous silence : le dimensionnement s'arrête aux magistrats, fonctionnaires fiscaux, juristes et greffiers.
Il ignore les auxiliaires de justice sans lesquels ces dossiers ne se traitent pas.
Un dossier financier d'envergure, c'est de la traduction et de l'interprétation, et de l'expertise technique, comptable comme informatique. Renforcer les poursuites sans prévoir ces moyens, c'est programmer le goulot d'étranglement ailleurs.
Une chaîne pénale ne vaut que par son maillon le plus faible. Spécialiser l'amont sans dimensionner l'aval déplace le blocage plutôt qu'il ne le résorbe.
Le CSJ conclut à une « occasion manquée ».

La proposition de loi vise la création d'un parquet financier, en tant que section de criminalité financière au sein du parquet fédéral, chargé de la lutte contre les infractions économiques, financières et fiscales, la fraude organisée et la corruption.

09/08/2026

Phishing bancaire : le débat se déplace de la victime vers la preuve technique.
La médiatisation actuelle insiste beaucoup sur les profits des banques.
C'est un angle.
Il en masque un autre, infiniment plus structurant pour notre pratique : le déplacement de la charge de la preuve

L'ordonnance du président du tribunal de l'entreprise d'Anvers du 26 mai 2026 l'a rappelé avec force : en vertu de l'article VII.43 du Code de droit économique, une transaction non autorisée doit être remboursée au plus t**d à la fin du premier jour ouvrable suivant. Le principe est clair : « payer d'abord, contester ensuite ».

C'est ensuite à la banque d'établir l'éventuelle négligence grave du client.
Mais que recouvre exactement cette fameuse « négligence grave », si floue en droit ?

C'est précisément là que l'expertise judiciaire en informatique devient un élément déterminant des litiges. Le rôle de l'expert change la donne :

- Audit des barrières bancaires : l'algorithme a-t-il détecté l'anomalie ? Les standards de marché (scoring en temps réel, temporisation, vérification nom/IBAN) ont-ils été appliqués ?

- Analyse forensique côté victime : s'agit-il d'une imprudence grossière ou d'un piège ultrasophistiqué (spoofing, prise de main à distance, social engineering redoutable) où le consentement a été extorqué par la manipulation ?

Traduction factuelle : aider le juge à trancher entre ce qui relevait d'une cyberattaque imparable pour un utilisateur moyen et d'une réelle faute.

Avec l'explosion du social engineering (où la victime valide elle-même l'opération), la technique seule ne suffit plus à tout intercepter.

La vraie question n'est donc plus seulement « qui a été négligent ? », mais « qu'était-il techniquement préventivement, et par qui ? ».

Une question d'ingénierie autant que de droit.

- Et vous, observez-vous cette même évolution dans la gestion des dossiers de fraude au sein de vos organisations ?

Pendant 25 ans, il a contribué à instaurer la confiance numérique entre les Belges et leurs banques. Aujourd’hui, Geert Van Mol, ancien directeur numérique de Belfius, se montre inquiet face au fléau du phishing dont il a été lui-même victime. “Regardez les profits colossaux réalisés d...