Le fait

Le FBI vient de tirer la sonnette. Son centre de plaintes cybercriminelles, l’IC3 (Internet Crime Complaint Center), a publié le 1er septembre une alerte sur une attaque qui ne casse rien du tout. Elle te fait ouvrir la porte toi-même.

Le mécanisme s’appelle le hameçonnage par consentement OAuth, le protocole derrière le bouton « Se connecter avec Google » et les autorisations que tu accordes aux applications. Tu l’as cliqué cent fois. C’est là que ça se joue.

Voilà comment ça marche. Un inconnu te contacte, par message ou par mail. Il se fait passer pour un journaliste, un universitaire, un responsable public. Il t’envoie un lien vers ce qui ressemble à un service de partage de fichiers. Tu cliques. Et là, tu tombes sur un vrai écran Google ou Microsoft. Pas une contrefaçon. Le vrai. Celui qui te demande d’autoriser une application à lire ta boîte mail et tes fichiers. Tu valides, comme d’habitude.

Et c’est fini pour toi.

L’application qui vient de recevoir les clés appartient à l’attaquant. Elle n’a pas volé ton mot de passe. Elle n’en a pas besoin. Elle détient un jeton d’accès, un laissez-passer que Google ou Microsoft lui a remis parce que tu as dit oui.

Et ton double-facteur d’authentification ? Hors-jeu. Le MFA (Multi-Factor Authentication), ce code ou cette notification qui vérifie que c’est bien toi, sert à contrôler une connexion. Sauf qu’ici, personne ne se connecte. L’attaquant ne franchit pas ta porte, tu la lui as ouverte. Le deuxième verrou ne sert à rien quand tu tends toi-même le trousseau.

Le pire, changer ton mot de passe n’y change rien. Le jeton survit. Pour couper l’accès, il faut aller le révoquer à la main dans les réglages de sécurité de ton compte. Tant que tu ne l’as pas fait, l’inconnu reste chez toi.

Deux précisions, parce que Mac Souverain ne fait pas dans la panique. L’attaque tourne depuis fin 2025 et vise pour l’instant des personnalités en vue, leurs proches, leur entourage. Le FBI n’a nommé ni les coupables ni les victimes. Mais la porte qu’ils poussent est la même sur ton compte que sur le leur.

Pourquoi ça compte pour toi

Pose-toi une question simple. Combien de choses sont accrochées à ton compte Google ou Microsoft ?

Ta boîte mail. Tes fichiers. Tes photos. Ton agenda. Tes contacts. Et surtout, ce bouton « Se connecter avec Google » que tu as utilisé sur trente autres sites. Ton compte Google n’est pas seulement un compte. C’est le passe-partout de toute ta vie numérique.

C’est là qu’est le vrai problème. Pas un piratage. Google n’a pas été piraté, Microsoft non plus. Le trou, c’est qu’ils te vendent cette sécurité comme du blindé alors que c’est du carton : un écran de consentement qui distribue les clés bien trop facilement, et un jeton qui se moque de ton MFA.

Confier ton identité et ta sécurité à Google et Microsoft, c’est leur laisser gérer le trousseau de ta maison entière. Le jour où tu tends une clé au mauvais type, et ça arrive en un clic, tu ne perds pas une pièce. Tu perds la maison.

Pour la sécurité, ce modèle-là, c’est du toc. Un seul point de défaillance, un seul clic, et tout s’effondre. Google et Microsoft t’ont vendu le confort d’un compte unique. Ils ont oublié de préciser qu’un compte unique, c’est aussi une cible unique.

La vraie parade, ce n’est pas de fuir chez un autre géant. C’est d’arrêter d’empiler toute ta vie derrière une seule porte, et de reprendre la main sur qui détient tes clés.

Si tu es intéressé par ta privacy et que tu lis le site, alors c’est déjà probablement en cours. Si ce n’est pas encore le cas, tu peux toujours attaquer par-là.

À lire : Qu’est-ce que la souveraineté digitale et comment la pratiquer

Ce que tu fais maintenant

1. Avant d’autoriser une application, lis ce qu’elle réclame. « Lire et gérer tes mails », « accéder à tous tes fichiers », ça n’a rien à faire dans un simple partage de fichiers. Si la demande dépasse le service rendu, tu fermes l’onglet.

2. Fais le ménage, maintenant. Va dans les réglages de sécurité de ton compte et regarde la liste des applications tierces qui y ont accès, chez Google, chez Microsoft, chez Apple. Tout ce que tu ne reconnais pas, ou que tu n’utilises plus, tu le retires.

3. Un lien de partage de fichiers qui débarque d’un inconnu, tu ne cliques pas. Vérifie l’identité de l’expéditeur par un autre canal avant quoi que ce soit.

4. Si tu as le moindre doute sur un accès, révoque les jetons. Changer ton mot de passe ne suffit pas, il faut couper l’accès des applications dans les réglages de sécurité du compte.

Sources

• Help Net Security, média cybersécurité, première remontée de l’alerte (02/09)
• Alerte FBI IC3 (PSA260901, réf. I-090126-PSA), 1er septembre 2026, source primaire
• Cybernews, reprise avec la liste des cibles