Épisode d’été chargé, avec Patrick, Francis, Steve et Richer. On ouvre fort : un système de gestion de l’eau d’une ville québécoise a été piraté par un groupe russophone, une information confirmée dans le rapport annuel du Centre de la sécurité des télécommunications. Quelle ville? On ne le sait toujours pas. Et pendant ce temps, les municipalités n’ont ni le budget ni le monde pour se défendre.

On parle aussi du CST qui a mené des cyberopérations offensives ayant dérangé des réseaux criminels, de l’Environmental Protection Agency américaine qui a créé une section dédiée à la cybersécurité de l’approvisionnement en eau — pendant qu’Ottawa et Québec regardent ailleurs — et du site web d’une usine de traitement d’eau retiré en panique après notre dernier épisode.

Ensuite, gros morceau : les bornes de recharge Flo du Circuit électrique, leur interface web exposée, leurs cartes d’accès, et ce qui arrive quand un chercheur qui divulgue devient l’ennemi à abattre plutôt qu’un allié. On finit avec l’avis conjoint sur le durcissement des routeurs exposés à Internet, la cyber-hygiène IoT à la maison, un négociateur de rançongiciels qui travaillait en fait pour les attaquants, et une discussion franche sur le burn-out en cybersécurité.

On dit « 0x296 » à l’audio, mais il s’agit bien de l’épisode 0x297. On a perdu le compte 🤷

Le retour de Richer! Avec Patrick, Francis et Jacques, on se demande pourquoi la technologie s’invite dans nos affaires sans jamais demander la permission : des caméras infrarouges dans les prochains AirPods pour donner des yeux à Siri, de l’IA poussée dans le fond de la gorge à chaque mise à jour, et un buzz grandissant pour les téléphones « zen », les écrans e-ink et le retour à l’analogique — jusqu’au flip phone Callback 8020 de Commodore, sans navigateur ni réseaux sociaux.

Ensuite ça brasse : l’AI-washing dans les startups — payer des tokens pour ce qu’un script Python de dix lignes ferait aussi bien —, les 97 % d’applications vibe-codées qui meurent dans leur première année faute de soutien, et la grande question de la souveraineté numérique canadienne : autonomie réelle ou rêve pieux? Le sujet d’opinion revient sur nos fleurons vendus aux Américains — Element AI passé chez ServiceNow, les talents formés à Mila qui migrent au sud — et sur ce que ça veut dire de partir une entreprise ici. La démonstration du jour arrive d’ailleurs toute cuite : Washington ordonne à Anthropic de couper l’accès à Fable 5 et Mythos 5 pour tout ressortissant étranger, trois jours après leur lancement.

On termine avec les face scans au Royaume-Uni, l’interdiction des réseaux sociaux aux moins de 16 ans, le débat sur l’anonymat en ligne, les 3,5 G$ de fraude par usurpation rapportés par la FTC, et une statistique qui fait mal : une cinquantaine d’entreprises québécoises par année ferment à cause d’un rançongiciel — et on n’en entend jamais parler.

Pour cette édition spéciale, La French Connection débarque sur scène à ITSec 2026, au Centre des congrès de Saint-Hyacinthe, pour un enregistrement en direct devant public. Une heure de discussion sans flafla sur l’état de la cybersécurité au Québec, avec le crew au complet et les participants dans la salle… pas de montage, pas de filet.

Cette semaine, un épisode spécial commandité par GitGuardian avec leur fondateur et CEO Eric Fourrier qui se joint à Patrick, Steve et Francis depuis New York. On déroule le rapport annuel State of Secrets Sprawl et le constat est brutal : le nombre de secrets exposés sur GitHub explose, et l’IA n’arrange rien. Les utilisateurs de coding agents leakent deux fois plus de secrets que les développeurs traditionnels, et une nouvelle catégorie de “vibe codeurs” sans formation sécurité produit du code rempli de clés API directement dans les fichiers de config.

Eric détaille la nouvelle économie d’attaque où voler des secrets est devenu l’objectif #1 : que ce soit via du phishing, du social engineering ou des compromissions supply chain comme Shai-Hulud, LiteLLM ou l’attaque récente sur NX, tout converge vers le même but. Les machines des développeurs sont devenues la cible privilégiée parce qu’elles concentrent à la fois les accès, les secrets et maintenant les coding agents connectés à tout (GitHub, Jira, CRM, bases de données) via MCP et autres intégrations.

La conversation s’attaque ensuite au cas Axios et à la méthode des Nord-Coréens qui exploitent l’ingénierie sociale pour piéger les mainteneurs de packages open source — un faux call de business, un faux fichier joint, et c’est tout l’écosystème en aval qui se retrouve compromis. Patrick et Steve ramènent le débat sur la réalité des PME québécoises qui ne savent même pas où sont leurs secrets, et encore moins comment gérer un vault.

L’épisode se termine sur une réflexion essentielle : la sécurité n’est pas une valeur absolue, c’est un trade-off. Les approches les plus parfaites sont souvent celles qui découragent les équipes et finissent par ne jamais être implémentées. Eric annonce aussi la récente levée de fonds de 50 M$ de GitGuardian et leur recrutement actif.

Cette semaine, Patrick et Jacques reçoivent Jonathan Bastille, technicien informatique avec mandat sécurité au Cégep de Rivière-du-Loup. Jonathan raconte sa transition du privé vers le secteur public, et le contraste brutal entre la rapidité de décision en PME et le rythme « paquebot » d’un milieu où chaque changement passe par un conseil d’administration. La discussion bifurque rapidement vers la loi 25, l’illusion de conformité par bouts de papier, et l’attitude de trop de PME québécoises : « la sécurité, c’est pas important — j’attends que ça le devienne ».

Le trio s’attaque ensuite à un sujet récurrent du podcast : la futilité de la majorité des campagnes de phishing simulé. Renforcement positif vs punition, tests qui ne mesurent que le clic au lieu du processus de détection en arrière, et l’argument central de Patrick — si vos employés deviennent bons à reconnaître votre simulation, ils ne deviennent pas pour autant bons à reconnaître les vraies attaques. Jonathan partage aussi une histoire concrète où il a bloqué le device code flow dans Microsoft, juste avant qu’une attaque réelle utilisant exactement cette technique frappe l’organisation.

Côté actualités, plusieurs nouvelles passent au crible : le retour forcé au bureau qui a accouché du néologisme « téléprésentiel », la sortie maladroite du chef du CST qui blâme la proximité avec les États-Unis pour les cyberattaques canadiennes, et surtout le combo explosif CopyFeld + cPanel — une vulnérabilité Linux d’escalade de privilèges présente depuis 2007 et un piratage massif de panneaux d’administration d’hébergeurs.

L’épisode se ferme sur une campagne de phishing déployant ScreenConnect chez 80+ organisations, un faux positif retentissant de Microsoft Defender sur des certificats DigiCert, et un rappel martelé : tant que les utilisateurs travaillent en local admin, aucun EDR ne va vous sauver.

Épisode spécial de La French Connection avec Jean-François Courteau, président et fondateur de 4DS Technologie, venu présenter son rapport sur la souveraineté des données au Québec. Patrick, Francis et Steve décortiquent avec lui les résultats d’une étude qui a fait jaser jusqu’à Radio-Canada : analyse géographique de l’hébergement Web et courriel des ministères, des 40 plus grandes villes, des 30 plus grandes entreprises et des 40 plus grandes PME du Québec. Le constat est sans équivoque : le Québec n’est pas maître de ses données. Plus de 90 % des organisations gouvernementales ont leurs courriels chez Microsoft, plus de 82 % de l’ensemble des organisations analysées ont leurs courriels filtrés ou hébergés par des entreprises américaines.

Le trio revient sur le CLOUD Act américain, cette loi adoptée en 2018 qui donne aux agences fédérales le droit d’exiger les données de tout client d’une entreprise américaine, sans mandat canadien, et avec une clause bâillon qui empêche le fournisseur d’aviser son client. Jean-François explique pourquoi l’emplacement physique des serveurs ne veut rien dire si la compagnie qui les opère est soumise à une juridiction étrangère - et pourquoi la nationalité du fournisseur pèse trois fois plus lourd dans son système de pointage.

Francis apporte une perspective critique : le rapport est un bon point de départ mais ne couvre pas toutes les dépendances cachées - Cloudflare, AWS, GitHub, les tenants Microsoft des clients et fournisseurs. La panne Cloudflare du 18 novembre 2025 a démontré à quel point l’économie numérique repose sur une poignée de joueurs. Patrick ramène le palmarès gênant des partis politiques québécois et canadiens : même le PQ et Québec Solidaire, ardents défenseurs de l’achat local, hébergent leurs services chez Cloudflare, Google et Microsoft.

L’épisode se termine sur des pistes concrètes : l’annonce du ministre Gilles Bélanger de février 2026 qui marque un virage à 180 degrés vers le logiciel libre, l’exemple du Schleswig-Holstein en Allemagne qui économise 15 M€ par an en sortant de Microsoft 365, et l’idée d’un package “PME souveraine” basé sur Nextcloud, Postfix, Dovecot et LibreOffice pour donner aux entreprises une alternative clé en main aux géants américains.

Cette semaine, l’équipe est rejointe par Éric Parent comme invité spécial. L’épisode débute avec un tour des conférences à venir : Halsecon à Halifax, Channel Next East où plusieurs membres de l’équipe présentent, la conférence CyberEco en juin sur la cybersécurité dans les contrats de défense, ITSEC la semaine suivante avec un enregistrement live du podcast, et Nordsec. Jacques annonce avoir obtenu sa certification de cybersécurité canadienne et participe au comité de révision de la norme CAN/DGSI-104.

L’actualité locale frappe fort avec la panne de DonnezQuébec.ca, causée par un simple domaine expiré pendant le congé pascal. Steve et Éric décortiquent le manque de procédures administratives de base au gouvernement, avec des registraires multiples et aucun inventaire centralisé. La discussion enchaîne sur le rapport de CATDS.ca sur la souveraineté des données au Québec, révélant que seulement 30% des hébergeurs web du gouvernement québécois sont canadiens. Le débat s’enflamme sur la dépendance à Microsoft, l’initiative EuroOffice en Europe, et le manque de vision à long terme du gouvernement.

Jacques revient sur une nouvelle vulnérabilité critique chez Fortinet (FortiClient EMS), avec un appel à une poursuite collective qui circule dans la communauté. Steve enchaîne avec Blue Hammer, une vulnérabilité divulguée par un employé du Microsoft Security Response Center directement sur GitHub, frustré par le processus interne. La discussion dérive sur les termes d’utilisation de Microsoft Copilot, classé comme outil de « divertissement », et les risques de l’IA dans le développement logiciel — Éric partage son expérience de coder avec l’IA et soulève le problème des juniors qui n’apprennent plus les bases.

L’épisode se conclut sur une note positive avec Steve qui présente Olvid, une messagerie française sécurisée comme alternative à WhatsApp et Signal. Francis ajoute une nuance importante : contrairement à Signal, les données locales d’Olvid résistent encore aux outils d’informatique judiciaire grand public.

Dans l’épisode 0x290, Patrick, Steve et Francis reviennent sur une semaine chargée en cybersécurité. Un marin français a révélé la position du porte-avions Charles de Gaulle en Méditerranée via Strava — un problème d’OPSEC récurrent qui rappelle le cas du capitaine de sous-marin russe traqué et exécuté grâce à ses données de course à pied. L’équipe en profite pour discuter de l’utilisation des téléphones personnels par les policiers et militaires canadiens.

L’équipe décortique ensuite ce qui pourrait être une des plus grosses brèches au Canada : TELUS Digital compromis par le groupe Shiny Hunters, avec un pétaoctet de données exfiltrées. Le tout via des outils de base comme TruffleHog, en scannant des mots de passe en clair dans les données internes. L’ampleur touche TELUS Santé, la domotique (ADT) et bien plus.

Parmi les autres sujets : Google qui finalise l’acquisition de Wiz, Microsoft Copilot qui contourne les règles d’accès pour lire des courriels restreints, la Commission d’accès à l’information du Québec sous enquête, le démantèlement de quatre botnets majeurs avec la participation de la SQ et de la GRC, la vente de son visage et sa voix à l’IA, les pannes informatiques récurrentes dans les hôpitaux québécois, et les menaces cyber liées au conflit au Moyen-Orient qui touchent directement le Canada — incluant l’attaque destructrice contre le conglomérat biomédical Stryker via Microsoft Intune.

L’épisode se termine avec un hommage humoristique au décès de Chuck Norris et une réflexion sur la vulnérabilité des infrastructures essentielles canadiennes, d’Hydro-Québec aux stations radar du Grand Nord.

Dans l’épisode 0x289, Patrick, Richer, Francis, Steve et Jacques explorent une question de plus en plus inquiétante: l’impact réel de l’intelligence artificielle sur l’anonymat en ligne. De nouvelles recherches montrent que des modèles de langage peuvent identifier des utilisateurs pseudonymes à grande échelle simplement en analysant leurs traces d’écriture.

L’équipe discute aussi de plusieurs dérives possibles liées à l’IA. Entre des services qui permettent à des agents automatisés de louer des humains pour accomplir des tâches, et des scénarios où un patron pourrait être une intelligence artificielle, la frontière entre automatisation et contrôle humain devient de plus en plus floue.

Enfin, l’épisode couvre plusieurs nouvelles de sécurité importantes, dont de faux guides d’installation utilisés pour diffuser des infostealers, les implications juridiques du remboursement des victimes de phishing par les banques en Europe, et quelques réflexions sur la résilience technologique dans un monde très dépendant des systèmes numériques.

Dans l’épisode 0x288, Patrick, Richer, Francis, Steve et Jacques reçoivent Dominique Sigouin. Le fil conducteur de la discussion, c’est une vague de cyberattaques qui frappe des organisations québécoises, avec des impacts très concrets sur les opérations, la continuité des services et la préparation réelle des équipes.

On revient notamment sur des incidents qui touchent une station de radio, le milieu scolaire et des entreprises, avec un constat simple: quand la préparation est faible, le retour au papier, les interruptions et les décisions improvisées reviennent vite au premier plan. L’équipe échange aussi sur l’évolution des menaces, l’automatisation de certaines attaques et la facilité avec laquelle des vulnérabilités nouvellement publiées peuvent être exploitées.

En parallèle, l’épisode couvre aussi la hausse du jackpotting des guichets automatiques selon le FBI, l’exploitation active d’une faille BeyondTrust dans des attaques ransomware, ainsi que des enjeux de sécurité dans des applications Android manipulant des données sensibles.