Mathieu Millet

Linux, Industrial Networks and Telecoms, Security and Gaming on Linux (Hearthstone, Borderlands, Fallout, Star Wars...)

[Kruptos @KuptoKosmos]

‼️🤔 Le Crédit Agricole qui transforme une faille de gouvernance en meme national

Qui, exactement, avait les droits pour déclencher une notification à tous les utilisateurs de l’application en production ? Un stagiaire ? Un développeur junior ? Une équipe marketing qui teste ses campagnes ?

Et surtout... pourquoi ce système permet-il d’envoyer à l’ensemble des clients sans validation, sans petit lot test, sans canary release, sans approbation de niveau supérieur ?

📱 Aujourd'hui, des milliers de clients de l’application "Ma Banque" reçoivent une notification : "Test cedric"

Rien de plus. Pas de message marketing, pas d’alerte fraude

Résultat immédiat : panique !!

Des milliers de personnes ouvrent l’appli en urgence pour vérifier si leur compte a été vidé, piraté, ou si c’est le début d’une campagne de phishing ciblée. Pic de connexions

L’application et le site web deviennent inaccessibles. Downdetector explose à plus de 7 700 signalements en quelques minutes. Certaines agences ne répondent même plus au téléphone !!

La banque confirme rapidement :

"erreur interne, notification de test envoyée par mégarde à tous les clients de l’application, nos systèmes ne sont pas compromis, Ouf"

Sauf que si...

Parce que le vrai problème n’est pas qu’il y ait eu une "erreur". Le vrai problème, c’est qu’une erreur aussi basique ait été possible dans une banque systémique qui gère les données financières de millions de Français !!

On parle d’une application bancaire

Celle qui contient vos soldes, vos virements, vos IBAN, parfois vos données biométriques ou vos justificatifs KYC

Celle qui vous serine en boucle "méfiez-vous des messages suspects, activez la double authentification, nous protégeons vos données"

Et leur propre canal de communication officiel (les notifications push, qui sont des données personnelles au sens du RGPD) est si mal sécurisé, si mal gouverné, qu’une simple confusion entre environnement de test et production suffit à créer un mini-DDoS interne et à affoler des milliers de clients !

Mais le plus beau arrive après 😤

Au lieu d’un communiqué sobre, d’un audit public des accès, d’une explication sur les mesures correctives immédiates (séparation stricte dev/prod, workflow d’approbation obligatoire pour tout envoi en production, revue des droits, etc)... le compte officiel @CreditAgricole change sa photo de profil, modifie sa bio en Test cedric et poste fièrement :

"Quand on est la première banque des Français, on ne laisse personne tomber. Et surtout pas Cédric"

Ils ont subtilement transformé une défaillance opérationnelle et un incident de confiance en contenu viral 😉

Et pendant ce temps, on nous explique que tout doit passer par l’application, que les agences ferment, que la digitalisation est l’avenir, que la confiance dans les services financiers en ligne est essentielle

Mais si une notification de test suffit à paralyser l’accès aux comptes et à générer de la peur collective, qu’est-ce qui se passe le jour où ce n’est pas un test ?

Les tokens push de millions de clients ont été sollicités pour rien. Leurs appareils ont vibré. Leur anxiété a été activée. Leur temps a été gaspillé. Et la banque, elle, rigole et change de photo de profil !??

Bienvenue dans la France de la "résilience numérique" et de la "protection des données"

Dormez tranquilles. Vos données sont entre de bonnes mains.

#CyberSécurité 🇫🇷🤡

[Alexis Poulin @Poulin2012]

La gendarmes dans leurs missions de lutte contre le crime ⤵️

[AuBonTouiteFrançais 🍾🍾🍾 @VictorSinclair3]

Au fur et à mesure qu’on en apprend sur les contrats entre Pfizer et la France on réalise l’ampleur de la trahison de nos autorités au profit de cette horrible société.
Ont ils été bakchichés ?
C’est impossible de baisser sa culotte à ce point, sans une confortable contrepartie…

[JBG 🇫🇷 @j_bg]

Avec @flamme_liberte nous défendons la liberté d'expression attaquée par le #DSA et l'ARCOM en France. C'est le même principe qu'avec le #DMA qui prive les européens de l'accès à l'innovation.

C'est factuel, la Commission Européenne a progressivement marginalisé le rôle du parlement EU et s'est soustraite au contrôle des députés européens.

Comment ? En faisant voter des règlements qui contiennent des backdoors pour ajouter des guides de conduite (DSA : 153 pages ajoutées sans vote aux 102 pages votées initialement) ou en interprétant seule, sans contre pouvoir, les clauses imprécises ou trop génériques. Tout cela en secret, sans aucun compte rendu de réunion. C'est une dérive bureaucratique dangereuse que nous documentons tous les jours.

👉 Rejoignez notre initiative en signant notre Manifeste sur https://t.co/L2bBTFnjn0. D'autres initiatives à venir très prochainement.

[La Flamme de la Liberté @flamme_liberte]

"EU law is not-negotiable" affirme T. Regnier, porte parole de la tech pour la Commission. Sauf que ces règlements #DMA et #DSA sont interprétés par la commission en dehors de tout contrôle du parlement EU. Ces lois ne sont pas démocratiques.
👉Rejoignez https://t.co/tgDpHxF8aU

[AlertesInfos @AlertesInfos]

🇫🇷 FLASH | Rachida Dati aurait SOLLICITÉ l’aide de Gérald Darmanin pour RÉINTÉGRER la magistrature, plus de 20 ans après l’avoir quittée. L’ancienne candidate à la mairie de Paris VISERAIT un poste au parquet général, alors qu’elle doit être JUGÉE en septembre prochain pour CORRUPTION et TRAFIC D’INFLUENCE dans l’affaire Renault. Il lui est notamment reproché d’avoir perçu 900.000€ de rémunération lorsqu’elle était avocate du constructeur automobile. (Le Canard enchaîné)

[Antton Rouget @AnttonRouget]

- @EmmanuelMacron, président depuis 2017 : « Je ne veux pas entendre parler de moyens.»

- @GDarmanin, au gouvernement depuis 2017 (Comptes publics, Intérieur, Justice) : « Il ne nous a manqué ni de moyens, ni de lois.»

Un rapport officiel, tenu secret depuis 2022👇

[Brèves de presse @Brevesdepresse]

🔴🇫🇷FLASH - Des rassemblements sont en cours devant les tribunaux de plus de 200 villes et au ministère de la Justice à Paris pour dénoncer les dysfonctionnements dans l’affaire #Lyhanna et les carences systémiques dans le traitement des affaires de #pédocriminalité en France.

[Direction interministérielle du numérique @Numerique_Gouv]

ℹ️ #Tchap : la DINUM et @ANSSI_FR ont été informés d'une revendication de compromission suite à une usurpation de compte qui a été détectée et neutralisée.

Des investigations pour identifier et corriger de potentielles vulnérabilités sont en cours.

→ https://t.co/0adNMk8MCj

[Nicolas Hervieu @N_Hervieu]

Violences en manifestation : La France est mise en cause devant la CEDH en raison des graves blessures de manifestants ("gilets jaunes").

Du fait de l'explosion d'une grenade GLI-F4 lancée par un policier (lequel a été relaxé).

Grenade retirée en 2020 du fait de sa dangerosité.

[It's FOSS @Itsfoss]

Legend for a reason 💪

[Maitre Eolas🇫🇷 @Maitre_Eolas]

On supprime les cours d'assises pour les criminels mais on les instaure pour les magistrats.

[Alexis Poulin @Poulin2012]

Entre Brigitte Lahaie et Nagui, le banquier d’affaire Pigasse est en campagne Face à Léa Glucksmann, qui anime Quelle époque, l’émission du service public, véritable thermomètre dans le cul de la bourgeoisie.

Je ne mentionne pas Roland Lescure, également sur le plateau, notre ministre de la dette et de la conciergerie des milliardaires. Dont la présence décorative est largement inutile au débat public.

La où Macron, ancien banquier d’affaire de Rotschild, avait joué le « ni droite ni gauche », Pigasse choisi la stratégie Pierre Bergé du « riche de gauche et cool ». À la différence de Bergé, il ne choisit pas d’être le parrain mafieux du PS de 1981, mais se rêve en candidat rassembleur de à gauche, de la social démocratie molle de droite à la frontière de la France Insoumise.

Pauvre petit pays.

[Alexis Poulin @Poulin2012]

C’est un système dont chaque rouage pourri protège les pedocriminels

Ici, un recteur , devenu conseiller de Attal puis conseiller « jeunesse » de Lecornu.

Vous n’avez pas idée de l’ampleur du ménage à faire dans ce pays ⤵️

[Maryline Maubois @MaryMbois]

Mais à quoi a servi la Révolution ?!?
À part décapiter des nobles ?

...

[Rima Hassan @RimaHas]

10 années pour arrêter un pédocriminel, malgré plusieurs signalements et plaintes. Combien d’années faudra-t-il pour arrêter le réseau d’Epstein en France ? Fabrice Aidan diplomate français, ayant servi dans l’armée israélienne, très proche d’Epsetin à qui il transmettait des documents et informations confidentielles, était visé par une enquête américaine en 2013 pour consultation d'images pédopornographiques, enquête signalée au ministère des affaires étrangères, il a été protégé et promu.
Il est toujours libre.

[J'SUIS PAS CONTENT TV @gregtabibian]

Il pourrait au moins leur proposer un HLM !

[Patrick Roziel @patrickroziel]

"Des proches de Macron, de Ari Abitttan à Laurent Bigorgne, laissent en sang, droguent et violent en toute impunité.

Des magistrats mettent en location leur fille ou téléchargent des millions d’images pédopornographiques sans faire un jour de prison."