Outils / Actualités

Actualités

Mises à jour produit, couverture presse et annonces de VaultTools.

Presse 16 juil. 2026

Nextcloud GmbH expose 367 000 enregistrements internes via un cluster Elasticsearch mal configuré

Les chercheurs de Cybernews ont découvert une base Elasticsearch non protégée appartenant à Nextcloud GmbH contenant environ 367 000 enregistrements (8 Go), dont des factures, des contrats, des données d'employés et des scripts d'installation clients. L'exposition a été rendue publique le 8 juillet 2026 : même l'entreprise derrière le cloud auto-hébergé a raté une configuration d'hébergement.

→
Presse 27 juin 2026

La fuite Tata Electronics expose 630 Go de fichiers Apple et Tesla et des copies de passeports d'employés

Tata Electronics a confirmé une fuite après que le gang de rançongiciel World Leaks a publié 204 341 fichiers (630 Go) prétendument volés au fournisseur d'Apple et Tesla, dont des spécifications de fabrication, des plans relevant du secret commercial et des copies de passeports d'employés. Les données étaient sur le dark web depuis au moins le 10 juin ; Tata l'a confirmé le 22 juin 2026.

→
Presse 21 juin 2026

Une fuite chez un prestataire de licences du Texas expose 3 millions de permis de conduire et de numéros de passeport

Le Texas Parks and Wildlife Department a révélé une fuite chez son prestataire de licences de chasse et de pêche, exposant des données de permis de conduire et des numéros de passeport de 3 087 721 personnes. Le Texas Cyber Command a détecté l'intrusion ; le prestataire n'a pas été nommé. Révélé le 18 juin 2026.

→
Presse 18 juin 2026

Cannaleaks : 985 000 scans d'identité de clubs de cannabis laissés ouverts sur des URL publiques

Le chercheur en sécurité Sammy Azdoufal a découvert près de 985 000 passeports, cartes d'identité et permis de conduire de l'application de club de cannabis PuffPal stockés à des adresses web publiques prévisibles, sans mot de passe ni contrôle d'accès. Le système, conçu par la société irlandaise Nefos Solutions, contenait plus d'un million de profils de membres. High Times a révélé la fuite le 17 juin 2026.

→
Presse 13 juin 2026

ShinyHunters dérobe 40 Go à l'université de Nottingham et expose 454 600 étudiants

L'université de Nottingham a confirmé le 11 juin 2026 un incident informatique dans son système de dossiers étudiants. Le groupe ShinyHunters revendique 40 Go de données sur 454 600 étudiants actuels et anciens, dont des numéros de passeport, des relevés financiers et des exports du portail du campus. Les données proviennent d'un système Oracle PeopleSoft compromis dans une campagne plus large visant plus de 100 organisations.

→
Presse 8 juin 2026

Le Programme alimentaire mondial de l'ONU expose les donnees de 600 000 foyers de Gaza

Le Programme alimentaire mondial a confirme une fuite touchant son application d'auto-inscription pour la Palestine, exposant les noms, numeros d'identite, numeros de telephone et donnees de localisation d'environ 600 000 foyers de Gaza. Le PAM a detecte l'intrusion le 14 mai 2026 et l'a rendue publique le 31 mai.

→
Presse 6 juin 2026

Des chercheurs transforment la mémoire WebAssembly en bento box et renforcent les outils navigateur qui gardent les fichiers en local

Le 5 juin 2026, des chercheurs de l'institut paluno de l'université de Duisburg-Essen ont dévoilé une méthode qui utilise la fonctionnalité multi-mémoire de WebAssembly pour isoler automatiquement les zones mémoire des applications navigateur, bloquant les attaques de type Heartbleed sans ralentissement mesurable. Ces travaux renforcent le socle de sécurité du traitement de fichiers dans le navigateur, sans téléversement.

→
Presse 4 juin 2026

Pay Tel, fournisseur de telephonie carcerale, a laisse 3,4 millions de fichiers ouverts sur Azure, exposant 300 000 permis de conduire

Le 28 mai 2026, TechCrunch a rapporte qu'UpGuard avait trouve un bucket Microsoft Azure accessible publiquement appartenant a Pay Tel, fournisseur de telephonie carcerale. Il contenait 3,4 millions de fichiers (1,1 To) sans mot de passe, dont plus de 300 000 scans de permis de conduire non caviardes, des documents juridiques et des photos de famille porteuses de donnees de localisation GPS. Le bucket etait ouvert depuis 2018.

→
Presse 2 juin 2026

Des chercheurs ont trouvé 19,6 milliards de fichiers en accès libre dans des buckets cloud publics, sans aucun mot de passe

Le 28 mai 2026, Security Affairs a relayé une étude de Mysterium VPN qui a trouvé 19,6 milliards de fichiers exposés dans 535 480 buckets cloud listables publiquement, dont plus d'un million de fichiers nommés « password » et autant nommés « passport ». Les fichiers étaient accessibles à tous, sans identifiant. Les outils dans le navigateur ne déposent jamais un fichier dans un bucket.

→
Presse 31 mai 2026

Un faux site de visa britannique a laissé 100 000 passeports et selfies téléversés en accès libre

Le 27 mai 2026, TechCrunch a révélé que UK Visa Portal, un site sans lien avec le gouvernement britannique, avait laissé au moins 100 000 passeports et selfies d'identité téléversés en accès libre dans un bucket Amazon S3 mal configuré. Les données GPS EXIF des selfies exposaient même l'adresse du domicile. Les outils dans le navigateur évitent tout téléversement.

→
Presse 23 mai 2026

Un million de scans de passeports exposés dans un stockage cloud public. Le traitement dans le navigateur évite tout ce mode de défaillance.

Le 15 mai 2026, TechCrunch a rapporté que le système d'enregistrement hôtelier japonais Tabiq avait exposé plus d'un million de scans de passeports, de permis de conduire et de photos de vérification via un bucket Amazon S3 public. La leçon pour les outils de fichiers est structurelle.

→
Presse 12 mai 2026

Vimeo confirme la fuite de 119 000 dossiers utilisateurs via un prestataire d'analyse tiers

ShinyHunters n'a pas piraté Vimeo. Le groupe a compromis Anodot, le prestataire d'analyse voisin, et reparti avec 106 Go de données clients. La leçon vaut pour tout SaaS qui traite des fichiers utilisateurs.

→
Presse 30 avr. 2026

Fuite de données au portail d'identité ANTS : 11,7 millions de citoyens français exposés

Le 22 avril 2026, l'ANTS (renommée France Titres), agence française des titres sécurisés, a confirmé une fuite de données exposant au moins 11,7 millions de comptes citoyens. Les attaquants « breach3d » et « ExtaseHunters » revendiquent 18 à 19 millions d'enregistrements et mettent en vente le jeu de données sur des forums criminels. Les scans de documents n'ont pas été touchés ; en revanche, noms, dates et lieux de naissance, adresses, numéros de téléphone et e-mails ont été exposés.

→
Presse 28 avr. 2026

OpenAI publie Privacy Filter, un modèle open source qui supprime les données personnelles localement avant qu'elles ne quittent la machine

Le 22 avril 2026, OpenAI a publié Privacy Filter, un modèle open source de 1,5 milliard de paramètres sous licence Apache 2.0 qui détecte et masque huit catégories de données personnelles directement sur l'appareil. Il obtient 96 % de F1 sur le benchmark PII-Masking-300k, tourne sur un CPU avec 4 à 8 Go de RAM et est publié sur Hugging Face et GitHub.

→
Presse 21 avr. 2026

30 000 déclarations fiscales, pièces d'identité et contrats : les fichiers privés des utilisateurs de Fiverr retrouvés dans Google

Un chercheur en sécurité a révélé le 16 avril 2026 que Fiverr stockait les PDF téléversés par les utilisateurs sur Cloudinary derrière des URL publiques non authentifiées et sans expiration. Des formulaires fiscaux, permis de conduire, dossiers médicaux et identifiants d'administrateur ont été indexés par Google. Fiverr avait été prévenu 40 jours plus tôt sans réagir. L'entreprise nie qu'il s'agisse d'un incident de cybersécurité.

→
Presse 16 avr. 2026

Ouvrir un PDF suffisait : le zero-day vieux de cinq mois d'Adobe enfin corrigé

Adobe a corrigé CVE-2026-34621 le 11 avril 2026, une vulnérabilité de pollution de prototype dans Acrobat et Reader qui permettait l'exécution arbitraire de code rien qu'en ouvrant un fichier PDF malveillant. L'exploitation était active depuis au moins décembre 2025. La CISA l'a ajoutée à son catalogue des vulnérabilités connues exploitées deux jours après le correctif.

→
Presse 8 avr. 2026

Le canal DNS caché de ChatGPT permettait à des GPT malveillants de voler silencieusement les fichiers importés

Check Point Research a révélé une vulnérabilité dans le bac à sable d'exécution de code de ChatGPT qui permettait d'exfiltrer silencieusement des fichiers importés, des conversations et des dossiers médicaux via des requêtes DNS. Une faille distincte dans OpenAI Codex permettait le vol de tokens GitHub par l'injection de commandes dans des noms de branches. Les deux ont été corrigées en février 2026.

→
Presse 6 avr. 2026

BrowserGate : LinkedIn scannait 6 000 extensions

Une enquête de Fairlinked e.V. publiée en avril 2026 révèle que LinkedIn analyse silencieusement les navigateurs des visiteurs à la recherche de 6 167 extensions Chrome et collecte 48 attributs d'empreinte matérielle à chaque visite, sans en faire mention dans sa politique de confidentialité. Ce scandale montre comment la surveillance dans le navigateur peut opérer avant même qu'un fichier soit téléversé.

→
Presse 5 avr. 2026

Proton lance sa suite chiffrée face à Google

Le 31 mars 2026, Proton a lancé Proton Workspace, un ensemble d'outils professionnels réunissant Mail, Drive, Docs, Sheets, Calendar, VPN, Pass et le nouvel outil de visioconférence chiffré de bout en bout Proton Meet. Ce lancement confirme la demande pour des outils de productivité respectueux de la vie privée, tout en illustrant les limites structurelles de toute approche fondée sur le cloud.

→
Presse 3 avr. 2026

Faille pre-auth ShareFile : 30 000 serveurs exposés

Les chercheurs de watchTowr ont divulgué le 2 avril 2026 deux vulnérabilités chaînées dans Progress ShareFile permettant à des attaquants non authentifiés d'exécuter du code et d'exfiltrer tous les fichiers stockés sur les serveurs affectés. Environ 30 000 instances sont exposées sur l'internet public.

→
Presse 31 mars 2026

UK Online Safety Act : Ofcom impose le scan des fichiers

De nouvelles obligations de scan prévues par le UK Online Safety Act sont entrées en vigueur le 8 janvier 2026. Les services de partage et de stockage de fichiers doivent détecter et supprimer les contenus illégaux. Ofcom a condamné un service à 20 000 livres sterling et en a contraint deux autres à déployer le perceptual hash matching. Des orientations sur les technologies agréées sont attendues au printemps 2026.

→
Presse 30 mars 2026

ShinyHunters compromet le compte AWS de la Commission européenne. 350 Go de contrats, e-mails et documents internes dérobés.

Le 24 mars 2026, des attaquants ont accédé au compte Amazon Web Services de la Commission européenne hébergeant son infrastructure Europa.eu. Le groupe ShinyHunters revendique le vol de 350 Go de données, dont des exports de serveurs mail, des bases de données, des contrats et des documents internes. La Commission a confirmé l'attaque trois jours plus tard.

→
Presse 28 mars 2026

55 % des organisations victimes d'une attaque via le navigateur en un an. Deux nouvelles études confirment que le risque augmente.

Deux études indépendantes publiées en mars 2026 établissent que le navigateur est devenu le maillon le plus faible de la sécurité en entreprise. Les employés y téléversent des fichiers sensibles, les attaquants l'exploitent activement, et 85 % des équipes informatiques augmentent leurs dépenses pour le sécuriser.

→
Presse 27 mars 2026

Une suite bureautique open source en WebAssembly modifie désormais des documents entièrement dans le navigateur

ZIZIYI Office, lancée début 2026, est une alternative sans téléchargement aux outils bureautiques cloud. Elle exécute les moteurs de documents d'ONLYOFFICE sous forme de WebAssembly dans le navigateur, avec prise en charge de Word, Excel et PowerPoint, sans contact avec un serveur ni compte requis.

→
Presse 26 mars 2026

Deux zero-days Chrome ciblent V8 (WebAssembly)

CVE-2026-3909 et CVE-2026-3910 sont confirmées exploitées dans la nature. CVE-2026-3910 vise V8, le moteur JavaScript et WebAssembly de Chrome — le même runtime qui propulse tous les outils de traitement de fichiers respectueux de la vie privée fonctionnant dans le navigateur. Délai CISA : 27 mars 2026.

→
Presse 25 mars 2026

Mandiant : les attaquants exploitent les vulnérabilités cloud en moyenne 7 jours avant que les correctifs n'existent

Le rapport M-Trends 2026 de Mandiant, fondé sur 500 000 heures de réponse à incident, révèle que le délai moyen d'exploitation des vulnérabilités atteint moins 7 jours. Les outils de fichiers hébergés dans le cloud reposent sur une infrastructure compromise avant même qu'un correctif soit disponible.

→
Presse 25 mars 2026

Backdoor APT PDFSIDER exploite l'outil PDF24

Resecurity a découvert une backdoor Windows sophistiquée qui utilise l'application de bureau légitime PDF24 comme vecteur d'attaque par DLL side-loading. Le malware a compromis avec succès une entreprise du Fortune 100 et a depuis été adopté par des groupes de ransomware dont Qilin.

→
Presse 24 mars 2026

Deux failles dans jsPDF, utilisé par 1,5 million de développeurs par semaine, permettent l'injection PDF et un XSS critique

CVE-2026-25755 et CVE-2026-31938 révèlent un risque fondamental dans la génération de PDF côté navigateur en JavaScript : les entrées utilisateur non filtrées s'intègrent directement dans les flux PDF. Corrigé dans jsPDF 4.2.0 et 4.2.1.

→
Presse 23 mars 2026

Faille LexisNexis : 400 000 comptes exposés

Un attaquant a exploité une vulnérabilité non corrigée dans l'infrastructure AWS de LexisNexis en février 2026, dérobant 2 Go de données utilisateurs incluant des comptes de juges fédéraux, d'avocats du DOJ et d'agents de la SEC.

→
Presse 20 mars 2026

Adobe poursuivi : IA entraînée sur livres piratés

Deux recours collectifs déposés en décembre 2025 et février 2026 allèguent qu'Adobe a entraîné son IA documentaire SlimLM sur près de 200 000 livres piratés sans consentement. Une enquête de mars 2026 révèle qu'un photographe ayant tenté d'empêcher Adobe d'utiliser ses images pour Firefly a été contraint d'abandonner son arbitrage après qu'Adobe a réclamé 24 000 dollars rien que pour examiner sa demande d'exonération de frais.

→
Presse 20 mars 2026

Le chef cyber des USA a partagé des fichiers à ChatGPT

Le directeur par intérim de la CISA, Madhu Gottumukkala, a téléversé en 2025 au moins quatre documents classifiés 'Usage officiel uniquement' dans ChatGPT public, déclenchant des alertes de sécurité DHS et une enquête interne. Révoqué en février 2026, il a précipité l'interdiction de ChatGPT, Claude et de tous les outils d'IA commerciaux pour les agents du DHS.

→
Presse 20 mars 2026

Un seul attaquant a compromis 50 entreprises via leurs portails de partage de fichiers cloud. Sans exploit.

Une campagne suivie sous le nom 'Zestix' a utilisé des identifiants volés par des infostealers pour s'introduire dans les instances ShareFile, Nextcloud et OwnCloud d'une cinquantaine de grandes entreprises mondiales début 2026. Aucune faille logicielle requise. Seulement des fichiers hébergés et un MFA absent.

→
Presse 20 mars 2026

Les 25 autorités de protection des données européennes viennent de lancer un audit coordonné des services en ligne

L'EDPB a formellement lancé son action 2026 sur la transparence RGPD le 19 mars. Les outils de fichiers en ligne qui collectent des données sont directement dans le viseur.

→
Presse 20 mars 2026

Le FBI a qualifié les convertisseurs de fichiers en ligne gratuits de vecteur de ransomware 'endémique'. Écoles, universités et organismes publics les interdisent désormais.

Après qu'un avertissement du FBI a identifié des sites de conversion de fichiers en ligne comme outils actifs de diffusion de malwares, des chercheurs indépendants ont confirmé des domaines malveillants spécifiques. Une vague d'interdictions institutionnelles a suivi. Une attaque par ransomware en février 2026 contre un grand groupe de presse américain est soupçonnée de remonter à l'un d'eux.

→
Presse 20 mars 2026

Firefox 149 intègre un VPN gratuit. Voici ce qu'il ne peut pas protéger.

Mozilla a annoncé le 18 mars un VPN proxy gratuit dans Firefox 149, disponible le 24 mars. Il masque votre adresse IP. Il n'empêche pas les outils cloud de recevoir, stocker et traiter vos documents.

→
Presse 20 mars 2026

GeminiJack : un Doc Google volait Gmail et Drive

Des chercheurs de Noma Security ont divulgué le 8 décembre 2025 'GeminiJack' : une faille zero-click dans Google Gemini Enterprise permettant à un attaquant d'incorporer des instructions cachées dans un document partagé, forçant l'IA de Gemini à parcourir et exfiltrer l'intégralité de Gmail, Docs et Agenda d'une cible sans aucune action de l'utilisateur.

→
Presse 20 mars 2026

Rapport Microsoft : 32 % des incidents de sécurité impliquent des outils IA. Les employés téléversent des fichiers sensibles hors du contrôle de l'entreprise.

Le Data Security Index 2026 de Microsoft, basé sur 1 700 responsables sécurité, révèle que l'utilisation d'outils IA est un facteur majeur d'incidents. La solution commence par ne jamais envoyer les fichiers sur un serveur.

→
Presse 20 mars 2026

Office.eu lance une suite bureautique à La Haye

Office.eu s'est lancé le 4 mars 2026 comme alternative entièrement européenne à Microsoft 365 et Google Workspace, avec toutes les données stockées exclusivement dans des infrastructures UE. Gartner prévoit que les investissements européens dans le cloud souverain vont presque tripler d'ici 2027. Le moteur : une incompatibilité juridique structurelle entre les fournisseurs cloud américains et le RGPD.

→
Presse 20 mars 2026

OneDrive a silencieusement transféré les fichiers des utilisateurs dans le cloud, puis les a supprimés. La réaction illustre pourquoi la garde des fichiers est cruciale.

Début 2026, OneDrive de Microsoft s'est activé automatiquement sur des machines Windows, a migré des fichiers dans le cloud sans consentement explicite et les a supprimés lorsque le stockage gratuit était épuisé. Des milliers d'utilisateurs ont signalé des pertes de données.

→
Presse 20 mars 2026

16 failles zero-day dans des outils PDF cloud montrent pourquoi envoyer ses fichiers en ligne est risqué

Des chercheurs ont découvert 16 vulnérabilités dans Foxit et Apryse en février 2026, permettant vol de compte et exfiltration de données. La cause est le traitement serveur des fichiers.

→
Presse 20 mars 2026

Vingt États américains appliquent des lois sur la vie privée. Les outils en navigateur sont la réponse.

Trois nouvelles lois sont entrées en vigueur le 1er janvier 2026. Avec 20 États imposant la minimisation des données, le traitement local des fichiers est devenu une architecture de conformité.

→
Presse 20 mars 2026

WASI 0.3 apporte l'async natif à WebAssembly

La Bytecode Alliance a publié WASI 0.3 en février 2026, apportant l'async/await natif à WebAssembly via le Component Model. La mise à jour rend Wasm viable pour des charges de travail concurrentes complexes sans serveur, renforçant la justification du traitement de fichiers dans le navigateur comme architecture de production.

→
Presse 11 mars 2026

Rapport Google : les failles logicielles ont dépassé les mots de passe volés comme principal vecteur d'intrusion dans les systèmes cloud

Le rapport Threat Horizons H1 2026 de Google révèle que les vulnérabilités logicielles exploitées représentent désormais 44,5 % des intrusions cloud, dépassant pour la première fois le vol de credentials depuis la création du rapport.

→
Presse 11 mars 2026

L'Espagne inflige 950 000 € RGPD à Yoti

L'AEPD espagnole a prononcé le 10 mars 2026 une sanction RGPD de 950 000 € contre Yoti pour traitement biométrique illicite, cases précochées et conservation de modèles faciaux et de données de localisation bien au-delà des finalités déclarées.

→
Presse 3 mars 2026

Cegedim : 15,8 M de dossiers patients volés

Des pirates ont dérobé début 2026 15,8 millions de fichiers patients et 165 000 notes médicales sur la plateforme cloud MonLogicielMedical de Cegedim Santé, confirmé le 3 mars. L'entreprise avait déjà été condamnée à 800 000 euros d'amende par la CNIL en 2024 pour le traitement des données de santé sur ce même système.

→