Podcasts about brucon

Parce que… c'est l'épisode 0x31F! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Alexandre Fournier Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x31E! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell MCP Rethinking MCP Security: A Large-Scale Study of Runtime MCP Servers and Security Scanner Reliability State of MCP Security 2026 Someone Is Scanning for Your MCP Servers and AI Assistant Credentials Auto pentest Rethinking Penetration Testing for AI-Enabled Systems: From Resource Compromise to Behavioral Objective Violation Hugging Face Confirms AI-Driven Breach: Attackers used Autonomous Agents, defenders countered with AI Vibe for the fail Setup Complete, Now You Are Compromised: Weaponizing Setup Instructions Against AI Coding Agents AI-generated code has made security debt a governance problem Injection pour le bien et le mal 1M+ Emails Use Hidden Text to Dupe AI Security Filters How I tricked Claude into leaking your deepest, darkest secrets Prompt Injection Attacks Are Thwarting AI Hacking Agents Recherche A Fraud-Detection-Inspired Framework for LLM Agents Security xAI can't deny Grok makes CSAM anymore. So it's suing users. Agentic AI: Taming the Unpredictable You Cannot Defend What You Cannot Inspect Microsoft Patches a Record 570 Security Flaws Google fixing Android lock screen bug that lets Gemini send SMS without a PIN La guerre, la guerre, c'est pas une raison pour se faire mal! Adam Shostack :donor: :rebelverified:: “If we bomb Iranian water facil…” - Infosec Exchange Souveraineté ou vive le numérique libre! How Microsoft's ‘Little Workaround' Created a Major Threat to America's Defense Department South Korea making its own security-centric AI model Privacy ou cachez ces informations que je ne saurais voir A Video Screen That Is Also a Camera I am the law Blocage for the fail Contourner un géoblocage via VPN n'a rien d'illégal, dit la CJUE La Belgique bloque wawacity.pizza, mais les pirates se sont déjà mis au poker France Doubles Down On Restricting Access To Polymarket Le blocage DNS casse tout sauf le piratage (dixit Google) Media pas si social Why the Government's Plan for a Social Media Ban in Bill C-34 Is Unconstitutional The infinite scroll may become endangered if controversial Calif. law Social media limits are coming for teens across Europe Senator calls on Rubio, Blanche to push back against Canadian surveillance legislation It's official: EU will force Google to share search data and open up AI on Android San Francisco orders Apple, Google to remove nudify apps from app stores FAA lets Boeing issue 737 Max, 787 airworthiness certificates again Germany set to restrict its Freedom of Information Act UK's Burnham drops digital ID scheme to prioritise cost of living, say allies Red ou tout ce qui est brisé Microsoft's Secure Boot has been broken for a decade and no one noticed until now Cursor 0day: When Full Disclosure Becomes the Only Protection Left Weak Security Continues to Fuel Russian Cyberattacks 6 GHz Wi-Fi Flaws Could Disrupt Critical Systems Are There Cybersecurity Risks in Over-the-Air Tech Used in Autos? Windows 10 refuses to die, and the security bill is coming due LG monitors silently install software through Windows Update without user consent Blue ou tout ce qui améliore notre posture Qubes OS Security in the Public Record Microsoft Entra ID gets passkeys default authentication starting September Kevin Beaumont: “Remarkable transparency from C…” - Cyberplace Divers ou parce que j'ai aucune idée où les placer Trump Media to sell fast feed of ‘market-moving' posts to Wall Street Microsoft Restores Player's Hacked 25-Year-Old Account With Son's Baby Photos Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c'est l'épisode 0x31D! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description De Nessus à Tenable : les débuts d'une légende Dans cet épisode spécial de Polysécure, l'animateur reçoit Renaud Deraison, créateur de Nessus, le scanner de vulnérabilités développé il y a près de 30 ans, et cofondateur de Tenable où il a occupé le poste de CTO jusqu'à son départ il y a environ cinq ans. Deraison raconte la genèse de Nessus : à 16 ans, passionné par le réseau internet naissant, il découvre l'univers de la sécurité informatique à une époque où les failles étaient publiées sur la mailing list Bugtraq, suivie par une communauté restreinte d'environ 20 000 abonnés. Insatisfait des outils existants comme Satan, jugés trop complexes et peu accessibles, il développe Nessus en 1998 avec une cinquantaine de tests de sécurité au départ. Le succès est immédiat et inattendu, poussant Deraison à poursuivre le projet, d'abord en open source, puis en produit commercial via Tenable, qui étendra la portée de l'outil de la simple DMZ à l'ensemble de l'infrastructure numérique des entreprises. Le retour à la technique et la leçon de l'éloignement du clavier Un thème central de la discussion est l'importance de rester connecté à la pratique technique concrète. Deraison explique qu'en grandissant chez Tenable, il a dû délaisser le code pour devenir « plus stratégique », perdant ainsi une compréhension viscérale de la technologie au profit d'une compréhension purement intellectuelle. Il souligne l'écart immense, en cybersécurité, entre comprendre un concept en théorie et l'expérimenter réellement : c'est en manipulant les outils qu'on découvre les vrais problèmes de sécurité et les idées de produits pertinentes. Cette réflexion mène à une critique plus large de l'industrie de la cybersécurité, jugée parfois arrogante et déconnectée du vécu des utilisateurs, prompte à distribuer des leçons sans empathie pour les contraintes opérationnelles réelles (comme l'impossibilité de patcher immédiatement une machine critique sans interrompre un service). Bromure : le navigateur jetable réinventé Après son départ de Tenable, Deraison reprend goût au code, épaulé par les assistants IA, en commençant par ChatGPT puis Claude. L'élément déclencheur d'un nouveau projet est presque anecdotique : recevant de nombreux SMS frauduleux (offres de crédit douteuses, généré désormais dans un français impeccable et localisé grâce à l'IA), il souhaite savoir qui se cache derrière ces arnaques sans s'exposer lui-même. Il se remémore alors Bromium, une entreprise des années 2010 qui isolait Internet Explorer dans un hyperviseur, avec l'idée qu'il était inutile de patcher puisqu'il suffisait de fermer et rouvrir un environnement neuf en cas de compromission. Inspiré par ce concept, Deraison développe Bromur (bromur.io), un navigateur jetable pour Mac fonctionnant sous Linux dans une VM, avec une expérience utilisateur quasi native : glisser-déposer de fichiers entre le Mac et la VM, support webcam, contrôle fin des téléchargements et téléversements. Une version serveur permet aussi de faire travailler des contractants externes dans un environnement streamé et surveillé, où impression, captures d'écran et téléchargements peuvent être bloqués. Le projet intègre également un module (désactivé par défaut) utilisant un LLM pour analyser les pages visitées et détecter le phishing, en repérant par exemple des incohérences entre le contenu affiché et l'URL réelle, ou des tromperies visuelles comme l'usage de caractères d'un autre alphabet imitant des lettres latines. Deraison estime que le phishing reste un vaste chantier négligé par l'industrie, qui se contente trop souvent de solutions de formation jugées insuffisantes face à des attaques de plus en plus sophistiquées, y compris par deepfake vidéo. Bromure Agentic : sécuriser les développeurs sans les freiner Le second volet du projet, Bromure Agentic, s'attaque aux attaques de la chaîne d'approvisionnement logicielle (supply chain attacks), un risque majeur lorsqu'un package npm ou Python compromis vole les clés SSH, tokens d'authentification et autres identifiants sensibles présents sur la machine d'un développeur. Plutôt que d'imposer des restrictions punitives comme le font certaines sandboxes existantes, Bromure propose une VM Linux complète où l'utilisateur dispose de faux tokens et fausses clés SSH. Un mécanisme de type « man in the middle » observe le trafic sortant et substitue à la volée les vrais identifiants aux faux, uniquement au moment nécessaire. Ainsi, même en cas de compromission, aucun secret n'est réellement exposé sur la machine. L'outil ajoute aussi des alertes en cas de mauvaise configuration et permet désormais de restreindre les droits (par exemple en lecture seule) sur les accès Kubernetes ou Git, sans exiger du développeur qu'il devienne expert en administration système. Repenser des dogmes établis La conversation aborde aussi la remise en question de certains dogmes de sécurité, comme le caractère « intouchable » du trafic SSL, que Deraison juge paradoxal : on surveille tout le comportement d'une machine, sauf le trafic chiffré sortant. L'inspection de ce trafic ouvre selon lui de nouvelles possibilités, comme bloquer les téléchargements de packages npm en version « latest », souvent les plus vulnérables au piratage. Les deux interlocuteurs concluent sur une analogie automobile : de même que les usagers n'ont pas à comprendre le fonctionnement d'un moteur pour conduire, les utilisateurs et développeurs ne devraient pas avoir à devenir des experts en sécurité pour travailler efficacement. La responsabilité doit se déplacer vers des outils qui protègent sans punir, permettant à chacun de rester concentré sur son métier. Notes Bromure Collaborateurs Nicolas-Loïc Fortin Renaud Deraison Crédits Montage par Intrasecure inc Locaux réels par SSTIC

Parce que… c'est l'épisode 0x31C! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Une conversation sur une terrasse, un sujet qui mijotait depuis longtemps L'épisode s'ouvre de façon informelle, en terrasse, un lundi ensoleillé. L'animateur et Martin Dubé annoncent qu'ils allaient enfin aborder un sujet qu'ils repoussaient depuis longtemps : un mandat de test d'intrusion que Martin avait réalisé sur un réseau LTE (4G) privé, à une époque où il n'avait qu'une connaissance limitée de cette technologie. Le fil conducteur de la discussion est la curiosité comme moteur de croissance professionnelle en cybersécurité, illustré par ce mandat devenu un succès marquant dans sa carrière. Se lancer dans l'inconnu : du pentest classique au LTE Martin explique que son parcours en test d'intrusion a toujours été motivé par la curiosité plutôt que par une expertise préalable. Il rappelle ses débuts chez Gocker, où une jeune équipe sans expérience formelle a appris « sur le tas ». Cette philosophie l'a suivi tout au long de sa carrière : il se dit attiré par les mandats qui le poussent hors de sa zone de confort. Le LTE constitue un univers à part, très différent du monde informatique traditionnel (Windows, Linux) : des protocoles propriétaires, complexes, empilés au fil des générations (3G, 4G, 5G) par l'organisme 3GPP, chaque itération apportant son lot de nouveaux acronymes déconnectés des précédents. Le mandat portait spécifiquement sur un réseau LTE privé, avec ses propres mécanismes de contrôle d'accès (notamment le verrouillage IMEI, qui lie une carte SIM à un appareil précis), absents des réseaux cellulaires publics. Une préparation intensive Pour se qualifier, Martin s'est procuré une carte Blade RF, a étudié le fonctionnement du matériel, préparé des payloads jusque dans sa chambre d'hôtel et dans l'avion, et a visionné une quinzaine de présentations DEF CON sur les attaques LTE. Il en retient que malgré la complexité apparente, les mêmes patterns d'attaque reviennent constamment : injections, services exposés, adresses IP mal protégées. Il livre un message clé aux auditeurs : ne pas laisser le syndrome de l'imposteur freiner les décisions. Selon lui, un « expert » est simplement quelqu'un qui a travaillé fort et qui continue d'apprendre ; s'accrocher au statut d'expert peut au contraire limiter la capacité à sortir de sa zone de confort. Martin insiste sur l'accumulation d'expérience comme capital réutilisable : après une quinzaine d'années en test offensif, il reconnaît que les fondamentaux (penser comme un attaquant) restent transférables d'une technologie à l'autre, seuls les acronymes changent. Il souligne aussi que l'accès à l'information (recherche en ligne, outils d'IA comme Copilot) a rendu l'apprentissage de nouveaux domaines beaucoup plus rapide qu'auparavant. Concrètement, pour écrire ses payloads en C, il a utilisé le framework open source srsRAN, qui permet de simuler un réseau LTE complet, et s'est appuyé sur Copilot pour comprendre le code et cibler les modifications nécessaires. Une soirée d'hôtel a suffi pour obtenir un premier résultat fonctionnel. Le pouvoir du threat modeling La deuxième moitié de l'échange se concentre sur la méthodologie du mandat. Le client, relativement mature, exigeait un atelier de modélisation des menaces (threat modeling) avant même la rédaction du plan de test, lequel devait ensuite être approuvé par les parties prenantes. L'équipe a suivi une approche inspirée de l'OWASP, réunissant plusieurs intervenants pour déterminer ce qu'il fallait sécuriser en priorité. Le sujet retenu a été le provisionnement des cartes SIM, élément central de l'accès au réseau LTE (les clés de chiffrement intégrées aux cartes, non extractibles, et leur copie détenue par le fournisseur). Cet atelier d'une semaine a permis de faire émerger, avant même les tests techniques, plusieurs hypothèses de vulnérabilités fondées sur les risques réels plutôt que sur un périmètre imposé arbitrairement. Martin partage un exemple marquant : lors des discussions, un accès jugé initialement comme « lecture seule » sur un système de surveillance des cartes SIM s'est révélé être un accès administrateur complet, supposément atténué par des règles de pare-feu… qui, après vérification, n'avaient en réalité jamais été mises en place. Ce test, qui n'a demandé que cinq minutes, a révélé un manque de communication majeur entre les équipes du client et son fournisseur. Les deux interlocuteurs comparent cette dynamique aux défaillances observées dans les grandes organisations complexes, où plusieurs fournisseurs interviennent sans coordination claire. L'animateur cite en parallèle l'incident de la porte de l'avion Boeing, causé par une rupture de communication entre le fournisseur et le fabricant plutôt que par une seule erreur isolée — illustrant que les systèmes complexes multiplient les angles morts. Les résultats techniques du mandat Une fois le plan de test bâti sur les risques identifiés, Martin a pu tester des contrôles précis : usurpation d'IMEI, mouvements latéraux via des réseaux industriels mal segmentés (FTP non sécurisés, plusieurs sauts de jump host), et surtout des attaques par déni de service. Il détaille l'attaque par injection sur la « tracking area update » : contrairement au Wi-Fi, où l'appareil mesure lui-même la force du signal, un appareil LTE fait confiance à la force annoncée par l'antenne, ce qui permet à un attaquant de se faire passer pour une tour plus puissante sans nécessiter une grande puissance d'émission. Cette faille est reconnue comme un compromis de conception du 3GPP entre sécurité et fiabilité du roaming. Dans le cas testé, la vulnérabilité existait bel et bien, mais un mécanisme de type « watchdog » redémarrait automatiquement les appareils affectés, limitant l'impact réel grâce à un contrôle compensatoire. Conclusion L'épisode se termine sur une note d'enthousiasme partagé : les deux interlocuteurs concluent que la curiosité, la volonté d'expérimenter dans l'inconnu et la capacité à capitaliser sur une expérience accumulée sont les véritables leviers de progression en cybersécurité, bien plus que la spécialisation figée dans un domaine unique. Collaborateurs Nicolas-Loïc Fortin Martin Dubé Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c'est l'épisode 0x31B! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Un an de progrès vertigineux Dans cet épisode spécial de Polysécure, l'animateur reçoit Mickael Nadeau pour discuter de l'évolution de l'intelligence artificielle entre deux éditions du concours NorthSec (NSec). Le point de départ est frappant : il y a environ un an et demi, lors de l'avant-dernier NorthSec, les participants commençaient tout juste à expérimenter l'IA en mode « full force », mais les capacités restaient limitées à un simple chatbot capable, au mieux, de générer un script rapide pour automatiser une tâche SSH. Aujourd'hui, le paysage est méconnaissable : les agents autonomes, les architectures de type RAG et les compétences (« skills ») spécialisées ont complètement transformé la façon dont les équipes offensives opèrent. Le point de vue privilégié d'une entreprise défensive Mickael explique que son entreprise, active en cyberdéfense, occupe une position d'observation unique. Grâce à un « mode surveillance » qui laisse les systèmes clients actifs sans bloquer les attaques (plutôt que de les stopper), l'équipe peut observer en temps réel les nouveaux outils et méthodologies utilisés par les équipes de pentest lors de leurs tests d'intrusion. Cette visibilité lui permet presque de dresser un classement informel des équipes selon leur niveau, un peu à la manière d'un « wall of shame » inspiré de DEF CON : certaines équipes s'appuient sur leur réputation sans se renouveler, utilisant des outils et méthodologies dépassés, tandis que d'autres repoussent les limites grâce à une utilisation avancée de l'IA. Du couteau suisse au tireur d'élite spécialisé Un des axes centraux de la discussion porte sur le passage d'agents génériques (le « couteau suisse ») à des sous-agents hautement spécialisés. Mickael illustre ce changement avec l'exemple des injections SQL : au lieu d'utiliser un outil bruyant comme SQLMap qui teste systématiquement toutes les possibilités, on peut désormais entraîner un agent dédié, nourri de toute la documentation existante sur les failles SQL connues, capable de reconnaître un scénario familier et d'aller directement à la solution avec un minimum de requêtes. Le résultat est un attaquant beaucoup plus silencieux, difficile à repérer avec les mécanismes de détection traditionnels basés sur le volume de bruit réseau. Ce changement de paradigme complique considérablement le travail défensif. Les équipes de sécurité, historiquement habituées à trier les faux positifs et à repérer les comportements bruyants et erratiques, doivent maintenant chasser des signaux beaucoup plus subtils, dans une fenêtre de temps réduite à quelques secondes plutôt qu'à plusieurs jours. L'apprentissage machine au service de la défense Contrairement à l'approche probabiliste des grands modèles de langage utilisés côté offensif, l'entreprise de Mickael s'appuie depuis longtemps sur l'apprentissage machine plus déterministe pour détecter les menaces. Ce socle a permis d'atteindre un certain niveau de précision, mais un nouveau défi émerge : la gestion des modèles frontières et des agents eux-mêmes. Beaucoup de clients sont, selon ses mots, « hystériques » face à cette nouvelle réalité, car la majorité des solutions du marché n'ont pas encore intégré une stratégie pour encadrer les agents IA, que ce soit du côté de leurs propres outils ou de ceux fournis par des tiers (pare-feu, plateformes de sécurité, etc.). Des gains opérationnels concrets Au-delà de la détection, les agents transforment aussi les tâches opérationnelles quotidiennes : renouvellement de certificats, requêtes de cache, diagnostics de configuration client complexes — autant d'opérations qui pouvaient auparavant nécessiter plusieurs appels et une expertise pointue peuvent maintenant être gérées via une simple conversation avec un agent, même depuis un téléphone. Mickael raconte un cas concret où un agent a diagnostiqué un problème de pare-feu propre à un client en quelques requêtes, un problème qu'il n'aurait pas su résoudre lui-même immédiatement malgré sa connaissance approfondie du produit. L'avenir des services MDR et la montée des benchmarks La conversation aborde également l'impact sur le marché des services MDR (Managed Detection and Response). Selon Mickael, l'automatisation permise par les agents va permettre à ces équipes de gérer un nombre de clients beaucoup plus important avec les mêmes ressources humaines, tout en relevant le niveau minimal de qualité du secteur. Il prédit également l'émergence de benchmarks formels pour évaluer non seulement les modèles d'IA, mais aussi les fournisseurs de services de sécurité eux-mêmes — un peu comme les leaderboards actuels qui comparent les performances des différents modèles de langage face à des scénarios d'attaque réels. Ces chiffres deviendront un argument de vente central, remplaçant progressivement les discours marketing par des données concrètes et vérifiables. Vers l'automatisation de la conformité Enfin, les deux interlocuteurs discutent du potentiel des agents pour transformer les processus de conformité (comme PCI-DSS), aujourd'hui perçus comme une lourde corvée administrative. Mickael envisage un futur où des « skills » standardisés permettront d'appliquer automatiquement les bonnes pratiques de conformité, réduisant la tentation de sauter des étapes. Il conclut en mentionnant qu'il prépare une présentation avec démonstration en direct pour partager plus en détail cette évolution avec la communauté, dans le but de sensibiliser les organisations à moderniser leur posture défensive à l'ère des agents IA. Collaborateurs Nicolas-Loïc Fortin Mickael Nadeau Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x31A! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell Secret Claude tracker shocks users after Anthropic's anti-surveillance stance Automatic Association of Cloud Security Controls and Quantifiable Metrics for Certification This work is partially supported Beyond the Syntax: Do Security Experts Trust LLMs for NIDS Rule Engineering? From Beats to Breaches: How Offensive AI Infers Sensitive User Information from Playlists “God has helped us, and so will AI”: How the Terrorist Group Boko Haram Uses Frontier AI What the New AI Executive Order Means for GovTech Hidden Web Prompts Trick AI Agents Into Sending Money Build your own vulnerability harness T3MP3ST Security Framework With 35 Tools, Turns AI Coding Agents Into 0-Day Bug Hunters US Cyber Agency Is Using Anthropic's Mythos To Audit Government Code Microsoft warns customers AI will mean busier Patch Tuesdays AI meets Cryptography 1: What AI Found in Cloudflare's CIRCL - ZK/SEC Quarterly La guerre, la guerre, c'est pas une raison pour se faire mal! Rien Souveraineté ou vive le numérique libre! Why Being Locked Out of Frontier AI is The Sovereignty Threat Canada Missed Facing US export controls, China's DeepSeek plans to make its own chips Privacy ou cachez ces informations que je ne saurais voir Footage Shows Cop Stalking Woman He Met on a TV Set After Surveilling Her With a License Plate Reader All Cars Sold in the EU Now Require a Camera Aimed at Your Face. It's Still Not Clear Where That Data Goes The Masks We (Think We) Wear: Privacy Threats of Browser-Extension Wallets in the Web3 Ecosystem Microsoft to enable Windows settings backup by default for orgs Facial Recognition in UK Shops Will Soon Instantly Alert Police About Offenders I am the law Control ton chat EU now one step away from reviving private message scanning rules Chat Control 1.0 vs 2.0 - Fight Chat Control Chat control 1.0 has renewed till 2028 Showdown in Strasbourg: The unexpected return of Chat Control 1.0 GitHub - SmtimesIWndr/gdid-reversal · GitHub Blocked Twice: How Bill C-34's Kids' Social Media Ban Would Compound the Online News Act's Harm to Young Canadians' News Access Supreme Court Allows Texas To Require Age Verification For Mobile Apps Red ou tout ce qui est brisé Google pays $250K for Linux vulnerability allowing guest VM escapes Bug in top AI coding agents shows that Unix-era security headaches never really die Software Is Now Written at the Speed of Thought. Security Isn't. Finding vulnerabilities was never the hard part Blue ou tout ce qui améliore notre posture The Cathedral and the Bazaar of Software Vulnerabilities: From the NVD to the CNAs Microsoft closes book on Nightmare Eclipse's RoguePlanet zero-day Divers ou parce que j'ai aucune idée où les placer The growing list of European organisations that ban personal messaging apps at work Vos vieux disques Mac chiffrés ont une date de péremption Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c'est l'épisode 0x319! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Contexte de la recherche Dans cet épisode de Polysécure, l'animateur reçoit Gaëtan Ferry, chercheur en sécurité chez GitGuardian, pour discuter d'une recherche originale sur la génération de mots de passe par les grands modèles de langage (LLM). Le point de départ est un article publié début 2026 par Irregular, une entreprise israélienne, qui avait démontré que les mots de passe générés par les LLM présentaient des biais statistiques importants, variables selon les modèles. Cette découverte a poussé l'équipe de GitGuardian à se demander si ces mots de passe biaisés se retrouvaient réellement « dans la nature », c'est-à-dire utilisés par de vraies personnes sur de vrais systèmes. GitGuardian dispose d'un avantage unique pour répondre à cette question : son activité principale consiste à détecter des secrets (mots de passe, clés API, etc.) exposés publiquement, notamment sur GitHub. L'entreprise possède donc une base de données massive de secrets, dont une catégorie dite « générique » — des chaînes de caractères qui ressemblent à des mots de passe mais ne suivent aucun format standardisé identifiable. Méthodologie : les chaînes de Markov Pour détecter automatiquement si un mot de passe avait été généré par un LLM, l'équipe a eu l'idée de reconstruire une structure statistique classique : les chaînes de Markov, l'ancêtre technique des LLM, utilisées par exemple dans la prédiction de texte sur les claviers de téléphone. Ces chaînes excellent à capturer des biais statistiques dans une séquence de caractères. La méthode a consisté à interroger 40 modèles de LLM différents, en leur demandant de générer des centaines de mots de passe chacun. À partir de ces échantillons, plusieurs types de chaînes de Markov ont été construits, prenant en compte (ou non) la position des caractères dans le mot de passe. Ces structures permettent ensuite, face à un mot de passe arbitraire, d'estimer la probabilité qu'il ait été généré par un LLM, un peu comme une mesure d'entropie relative à une base de référence précalculée. Des biais spectaculaires Les résultats ont confirmé, voire amplifié, les observations d'Irregular. L'exemple le plus frappant concerne un modèle (Opus, à l'époque de l'étude) qui ne générait des mots de passe uniques que dans 35 % des cas — autrement dit, il répétait le même mot de passe dans 65 % des requêtes. Un modèle de Mistral faisait encore pire : il ne générait qu'un seul et unique mot de passe, toujours identique, laissant penser qu'il se contentait de restituer une valeur mémorisée durant son entraînement plutôt que d'en générer une nouvelle. Gaëtan Ferry explique ce phénomène par la tokenisation : certains modèles (comme GPT, étudié par Irregular) découpent le mot de passe en plusieurs tokens indépendants, ce qui introduit une certaine variabilité, alors que d'autres semblent traiter le mot de passe comme un token unique, menant à une quasi-absence de diversité. Un biais récurrent, observé sur presque tous les modèles, est l'alternance rigide entre catégories de caractères (minuscule, majuscule, chiffre, symbole) selon un schéma répétitif — un pattern idéal à capturer dans une chaîne de Markov. Sur un modèle donné, par exemple, un symbole « # » est suivi d'un « 8 » dans 90 % des cas. Ce comportement s'explique par la nature même des LLM : entraînés à reproduire des régularités linguistiques, ils sont fondamentalement conçus pour être prévisibles — l'exact opposé de ce qu'exige une bonne génération de mot de passe, qui requiert une forte entropie. Résultats sur les données réelles En appliquant cette classification à un échantillon d'environ 3 millions de secrets génériques collectés entre janvier et mars 2026, l'équipe a identifié environ 28 000 mots de passe présentant une très forte probabilité d'avoir été générés par un LLM, avec un seuil de confiance élevé. Bien que ce nombre représente une fraction modeste de l'échantillon total, la tendance est constante : environ 1 500 à 2 500 nouveaux mots de passe générés par LLM apparaissent chaque semaine sur GitHub, un rythme jugé préoccupant compte tenu qu'il ne s'agit que du sous-ensemble visible publiquement — la réalité en environnements privés étant probablement plus large encore. L'analyse du contexte d'apparition de ces mots de passe révèle deux scénarios typiques : soit un humain a manifestement demandé au LLM de générer un mot de passe pour l'insérer dans un fichier de configuration (par exemple une base de données), soit — plus troublant — un agent de développement autonome a lui-même pris la décision de générer et d'intégrer le mot de passe dans du code, comme dans un fichier de configuration Terraform observé par l'équipe, le tout dans un commit signé par l'agent d'IA lui-même, sans intervention humaine apparente. Une anecdote marquante Lors d'une présentation de ces résultats en conférence, Gaëtan Ferry a vu une personne quitter précipitamment la salle en voyant une diapositive listant des exemples de mots de passe faibles générés par un LLM. Cette même personne est revenue lui expliquer qu'elle avait justement demandé, ce matin-là, à un LLM de générer un mot de passe pour un service en ligne — et qu'elle venait de réaliser qu'il s'agissait exactement du même mot de passe affiché à l'écran. Un exemple frappant, selon lui, du fait que même des publics avertis en sécurité adoptent ce genre de pratique risquée. Conclusion Gaëtan Ferry conclut que le problème dépasse la simple question de la qualité du mot de passe généré : demander à un LLM hébergé chez un tiers de générer un secret expose potentiellement ce secret avant même qu'il n'apparaisse à l'écran de l'utilisateur, via les journaux et infrastructures du fournisseur. Il y voit une incompréhension plus profonde de la nature du LLM et des bonnes pratiques de gestion des secrets, et espère que ce partage contribuera à faire évoluer les pratiques des développeurs. Collaborateurs Nicolas-Loïc Fortin Gaetan Ferry Crédits Montage par Intrasecure inc Locaux réels par SSTIC

Parce que… c'est l'épisode 0x318! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Contexte Dans cet épisode spécial, l'animateur reçoit François Labrèche, scientifique de données, pour discuter de la façon dont son entreprise traite l'immense volume de signaux de sécurité générés par son SOC à grande échelle (managed XDR). Contrairement à un SOC traditionnel, François travaille en back-end et a accès aux données de tous les clients, ce qui lui permet de construire des modèles et des filtres globaux applicables à l'ensemble des alertes. L'objectif de l'épisode est double : expliquer le pipeline de filtrage des données, puis illustrer son fonctionnement à l'aide d'un cas réel. Le pipeline de filtrage Étape 1 — Les détecteurs Le point de départ, ce sont des billions d'événements bruts. La première étape repose sur des règles de détection simples et peu coûteuses en calcul : correspondances avec des IOC (indicateurs de compromission), domaines ou IP malveillants, ainsi que des règles de corrélation basiques détectant des anomalies (par exemple, un utilisateur qui se connecte pour la première fois à une machine de développement). Ces règles ne prouvent rien de malveillant en soi, mais elles servent à isoler tout ce qui sort de l'ordinaire pour l'envoyer plus loin dans le pipeline. Après cette étape, il ne reste que 0,03 % des données initiales — un filtre énorme, mais qui représente encore 2,6 milliards d'événements sur deux semaines, un volume toujours impossible à traiter manuellement. Étape 2 — Déduplication et corrélation La deuxième étape combine deux mécanismes. La déduplication regroupe les alertes générées en grand nombre par une même attaque (comme un déni de service ou un scan) visant la même cible, réduisant ainsi des dizaines de milliers d'alertes en une seule. La corrélation, elle, relie des alertes distinctes provenant de détecteurs différents mais concernant la même activité (par exemple, plusieurs signaux liés à un même utilisateur et une même machine). Pour rendre ce travail possible, une équipe dédiée normalise en amont tous les signaux — qu'ils proviennent des senseurs propriétaires ou de fournisseurs tiers — dans un format standardisé, en capturant les éléments clés (nom de l'alerte, entités impliquées, IP, nom d'hôte, etc.). La corrélation s'appuie sur une fenêtre d'analyse fixe (environ un mois) et sur des bases de données de comptage historique, sans recours au machine learning à ce stade. Étape 3 — La suppression Cette étape cible des cas précis, propres à un client ou une situation donnée. Certaines alertes sont bénignes uniquement dans un contexte particulier : par exemple, un client qui effectue des scans de vulnérabilité hebdomadaires de façon planifiée, ou du trafic DNS provenant de Cloudflare, connu comme légitime. Ces règles de suppression sont paramétrées en collaboration avec le client ou l'ingénieur qui le supporte, et nécessitent une connaissance fine de son environnement. Des règles similaires sont aussi créées lorsque les équipes de recherche de menaces identifient des indicateurs malveillants publiés par erreur, afin de bloquer ces faux indicateurs pour l'ensemble des clients. Étape 4 — La priorisation C'est ici qu'intervient le machine learning. Les alertes sont divisées en deux groupes selon leur sévérité : haute et moyenne/basse. Un modèle supervisé, entraîné chaque semaine sur des données historiques (les décisions passées des analystes), est appliqué aux alertes de sévérité élevée pour prédire une probabilité de menace réelle. Ce modèle sert à deux fins : fermer automatiquement les alertes jugées très peu probables (réduisant le bruit pour les analystes), ou ajuster la sévérité des alertes jugées menaçantes. Les alertes de sévérité plus basse ne sont pas ignorées : elles sont réutilisées pour enrichir le contexte autour d'une menace identifiée par le modèle, en allant chercher toutes les alertes liées au même utilisateur et à la même machine durant la même période. Un point important soulevé dans la discussion concerne la dégradation des modèles : si un modèle supervisé était réentraîné sur ses propres prédictions (sans validation humaine), il se dégraderait progressivement, un peu comme les modèles de langage qui s'effondrent lorsqu'ils apprennent sur leurs propres données. Pour éviter ce piège, l'équipe conserve un échantillon de 5 à 10 % des données sur lequel le modèle n'agit jamais automatiquement — ces alertes sont envoyées aux analystes pour un triage normal, ce qui permet de mesurer en continu la performance réelle du modèle (faux négatifs, dérive) et de générer des données d'entraînement non biaisées pour les futurs modèles. Étude de cas : détection d'un info stealer Pour illustrer concrètement le pipeline, François présente un cas réel portant sur deux semaines de données : à partir de 9,7 billions d'événements, le filtrage complet aboutit à seulement 81 000 alertes, soit environ 50 par client. Pour le client étudié, seulement sept alertes émergent — deux de haute sévérité liées à un vol de mot de passe, et cinq autres jugées bénignes (vol d'identifiants légitime confirmé par le client). Grâce au modèle de priorisation, les deux alertes à forte probabilité de menace sont sélectionnées, puis l'analyste ramène toutes les alertes liées au même utilisateur et à la même machine, incluant trois alertes de sévérité plus basse. L'ensemble reconstitue une chronologie claire : un exécutable déguisé en éditeur PDF s'exécute, établit une connexion réseau anormale vers un serveur de commande, puis déclenche des détections successives de vol de mots de passe et de données de navigateur — signature typique d'un info stealer. Isolément, chaque alerte de type « info stealer » génère énormément de faux positifs ; c'est la combinaison de plusieurs signaux corrélés dans le temps, pour la même entité, qui permet à l'analyste de conclure avec confiance à une véritable compromission et de recommander la réimagerie de la machine du client. L'épisode se conclut sur l'idée que ce type de pipeline permet non seulement de filtrer efficacement le bruit à très grande échelle, mais aussi de reconstruire, a posteriori, une histoire cohérente de l'attaque à partir des données brutes. Notes A Needle in a Haystack - Identifying an Infostealer Attack Through Trillions of Events in a Large-scale Modern SOC Collaborateurs Nicolas-Loïc Fortin François Labrèche Crédits Montage par Intrasecure inc Locaux réels par nsec

Parce que… c'est l'épisode 0x317! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Dans cet épisode spécial de Polysécure, deux invités partagent leur expérience du programme Force, une formation destinée aux personnes provenant de domaines hors cybersécurité mais souhaitant développer des compétences dans ce champ, particulièrement dans le contexte des PME. Alain Dubois, administrateur système chez Métalus (une usine de transformation de métal) depuis deux ans, et Keven Landry, analyste fonctionnel chez UV Assurance depuis environ six mois, racontent chacun leur parcours et ce que le programme leur a apporté, tant sur le plan professionnel que personnel. Deux parcours, une même formation Keven a découvert le programme grâce à un collègue, Dominique Villeneuve, qui donnait un cours à l'UQTR et qui avait remarqué sa curiosité pour la cybersécurité. Bien qu'il ait déjà touché à plusieurs aspects techniques par le passé (développement, gestion d'infrastructure), il n'avait jamais approfondi ces connaissances de façon structurée. Le programme Force lui a permis d'acquérir une façon de penser applicable autant au travail qu'au quotidien, notamment pour reconnaître des situations à risque qui semblent anodines en apparence. Alain, de son côté, possédait déjà une base en administration système et en cybersécurité. Également mis en contact avec la formation par Dominique, un ancien patron, il est arrivé chez Métalus dans une entreprise dont le réseau avait environ 25 à 30 ans d'existence, hérité d'une mentalité informatique dépassée. Le programme Force lui a permis d'identifier des lacunes importantes dans l'infrastructure de son employeur. En pratiquant des tests d'intrusion (pentests) sur son propre réseau, il a découvert des failles majeures qui l'ont mené à reconfigurer entièrement les routeurs et pare-feu, ainsi qu'à resegmenter les réseaux virtuels (VLAN). Il raconte même avoir démontré à son patron qu'il pouvait intercepter des conversations téléphoniques sur le réseau de l'entreprise, preuve concrète que la sécurité en place était insuffisante. Le top 3 des apprentissages marquants Interrogés sur les éléments qui les ont le plus marqués, les deux invités convergent sur plusieurs points. Le crochetage de serrures (lock picking) a impressionné les deux participants, qui ont réalisé à quel point il est facile de contourner certaines sécurités physiques d'un bâtiment avec un simple jeu de crochets. Cet aspect leur a rappelé que la cybersécurité ne se limite pas au monde numérique : la sécurité physique des lieux est tout aussi cruciale. Alain souligne également la découverte de logiciels de sécurité accessibles financièrement pour les PME, souvent gratuits et développés par des communautés, mais tout aussi performants que des solutions payantes coûteuses. Il mentionne aussi la qualité générale du programme et des tests pratiques réalisés en conditions réelles simulées. Keven, pour sa part, insiste sur son expérience avec Kali Linux, une distribution qu'il a installée sur son propre ordinateur portable pour scanner son réseau Wi-Fi et tester la robustesse de ses mots de passe, allant jusqu'à réussir à craquer son propre mot de passe Windows. Il évoque également les tests liés aux objets connectés (IoT), ayant notamment scanné le réseau domestique de son père pour découvrir un nombre surprenant de caméras vulnérables accessibles publiquement. Il mentionne aussi l'utilisation du Flipper Zero, un petit appareil permettant de réaliser des attaques de type “homme du milieu” (man-in-the-middle), ainsi que des exercices avec l'équipe de cybersécurité pour mettre en place des attaques Evil Twin. Les deux insistent sur l'importance d'utiliser ces outils de façon responsable et éthique, et non pour s'en prendre au réseau du voisin. Une communauté qui perdure Même après la fin officielle du programme, les liens tissés durant la formation continuent de vivre. Alain mentionne un groupe Discord actif regroupant anciens et nouveaux apprenants, où l'entraide se poursuit : un participant y a notamment obtenu de l'aide après avoir été victime d'un rançongiciel, et Alain lui-même y a sollicité des conseils pour choisir un logiciel de surveillance réseau. Keven, quant à lui, décrit un rôle plus communautaire au sein même de son entreprise, où il agit désormais comme une sorte de porte-parole pour l'équipe de cybersécurité. Alors qu'auparavant la cybersécurité était perçue par certains collègues comme une contrainte imposée sans explication, il est maintenant en mesure d'expliquer le pourquoi des décisions et des orientations prises, un rôle reconnu et apprécié dans son milieu de travail. Une formation axée sur la pratique En conclusion, les deux invités reviennent sur ce qui distingue, selon eux, le programme Force d'autres formations plus théoriques ou superficielles en cybersécurité. Keven raconte l'exemple d'un stagiaire suivant une autre formation en cybersécurité qui ne connaissait pas des concepts de base comme l'OSINT ou les attaques par pass-the-hash, illustrant selon lui les limites de certains cursus trop généraux. Le programme Force, à l'inverse, offre un contenu détaillé, constamment mis à jour, sans nécessiter des années d'études. Alain, qui donne lui-même des formations en cybersécurité à ses employés, explique que le programme lui a permis de saisir la différence fondamentale entre sensibiliser les gens à faire attention et former de véritables protecteurs de systèmes. Il affirme avoir modifié sa façon de former ses employés depuis, en insistant davantage sur la réalité concrète des menaces (rançongiciels, acteurs malveillants) pour les rendre plus vigilants. Keven ajoute que la pédagogie du programme, alternant théorie et exercices pratiques concrets lors de séances synchrones aux trois semaines avec Dominique, lui a permis d'apprendre beaucoup plus efficacement que les approches purement théoriques auxquelles il avait été confronté par le passé, notamment durant son parcours scolaire. L'animateur conclut l'épisode en saluant la passion manifeste des deux invités et l'importance de voir des personnes issues de domaines connexes rayonner la cybersécurité autour d'elles, contribuant ainsi à améliorer la posture de sécurité des PME québécoises, un secteur souvent moins bien outillé que les grandes entreprises face aux cybermenaces. Collaborateurs Nicolas-Loïc Fortin Alain Dubois Keven Landry Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x316! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell À la frontière de l'impossible Fable 5 Update: Still Willing To Cybercrime After spooking Trump into safety testing, Anthropic AI models get global release OpenAI Released GPT-5.6 Sol With Limited Access and Strong Cyberattack Protections Disclosed CVEs: 3.5× Spike After Claude Mythos China's AI Matches Anthropic in Cybersecurity, Causing Worry Over US Restrictions We have Mythos at Home: GLM 5.2 beats Claude in our Cyber Benchmarks Anthropic Details Claude Fable 5 Cybersecurity Safeguards and Jailbreak Framework À la frontière de l'amertume AI may be good at finding security vulnerabilities, but it can't beat human stupidity Infosec professionals sour on automated pentesting tools Godot says bye bye AI, bans vibe-coded contributions Are Frontier LLMs Ready for Cybersecurity? Evidence for Vertical Foundation Models from Dual-Mode Vulnerability Benchmarks New attack provides one more reason why AI browsers are a bad idea Seven Security Challenges in Cross-domain Multi-agent LLM Systems Cybersecurity is the True Frontier for Generative AI Success or Failure EnclaveX: End-to-End Confidential AI with CPU/GPU TEEs AI-Infra-Guard Technical Report Generative AI and Federated Learning for Intrusion Detection Systems: A Survey Agentic AI Has an Identity Problem and Attackers Know It AI-Generated Workflows Are a Silent Security Disaster An AI just carried out a cyber attack without any human oversight for the first time Un dépôt GitHub trop propre suffit à pirater Claude Code - Korben La guerre, la guerre, c'est pas une raison pour se faire mal! Are Wars Blurring Lines Between Corporate and National Security? Four years into Ukraine invasion, Russia turns influence-ops back to US and Europe Arrest of Iranian Hacker Spotlights Iran's Movement into Economic Espionage and IP Theft Souveraineté ou vive le numérique libre! European digital ID wallets are a gift to Google and Apple Digital Sovereignty as a Quality Attribute for Software Architectures Espionage Against the European Parliament: Member of Committee Investigating Spyware Hacked with Pegasus Privacy ou cachez ces informations que je ne saurais voir Vérifier ou pas Age verification is just a precursor to attribution of speech The Data on Australia's Social Media Ban: The Better the Privacy Protection, The Less Effective the Ban What's wrong with EU age verification? Now open source: our Zero-Knowledge Proof (ZKP) libraries for age assurance Où es-tu? US supreme court rules geofence warrants require constitutional privacy protections US Agency Cancels Contract For Warrantless Tracking of Mobile Devices Shaky Ground Gets Shakier: What the U.S. Supreme Court's Location Data Decision Means for Bill C-22 Apple ‘Hide My Email' Vulnerability Reveals Peoples' Real Email Addresses Musk's X poses “serious risk to Americans' privacy,” advocates warn FTC Google veut scanner votre main pour prouver que vous êtes humain https://mysysinfo.com I am the law Control ton chat Chat Control 1.0: EU Council forces messenger scans via fast-track “Double Threat” to Private Communications: Undemocratic Chat Control Backroom Deals and Imminent Concessions Spark Relaunch of fightchatcontrol.eu Google loses fight over record $4.7 billion EU antitrust fine Red ou tout ce qui est brisé Are Checks Sent Through the Mail Vulnerable to Theft? Blue ou tout ce qui améliore notre posture Your iphone Will Alert You in Real Time if You Are Falling Victim to a Scam How to scale your patches without scaling your team (the patch wave) Divers ou parce que j'ai aucune idée où les placer What Is a Quantum Computer Good For? Absolutely Nothing - Yet Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c'est l'épisode 0x315! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Un rendez-vous annuel sur la sécurité de la chaîne d'approvisionnement logicielle Ce podcast fait le point sur la présentation de François Proulx à NorthSec, où il aborde depuis quatre ans la sécurité de la chaîne d'approvisionnement logicielle (supply chain security). Chaque année a marqué une étape : la première présentait une vue d'ensemble du problème; la deuxième introduisait Poutine, un outil d'analyse statique open source destiné aux équipes défensives pour détecter les vulnérabilités dans les pipelines CI/CD; la troisième présentait les règles internes développées par son employeur, Boost Security, pour réduire les faux positifs de Poutine à grande échelle. La découverte troublante : les attaquants ont pris de l'avance Le tournant de cette année vient d'un constat inquiétant. Fin 2024, François a découvert sur Breach Forums (un forum cybercriminel aujourd'hui disparu ou renommé) des mentions du mot « Poutine » associées au nom de son employeur. Un utilisateur anonyme, visiblement non anglophone, discutait ouvertement de l'exploitation de pipelines de build et partageait des vulnérabilités zero-day encore non exploitées au moment de la publication. Quelques heures plus tard, le projet Python très populaire Ultralytics (des millions de téléchargements hebdomadaires) était compromis. Le même compte est revenu peu après pour se plaindre du faible gain obtenu (quelques bitcoins via un mineur rapidement neutralisé), puis n'a plus jamais été réutilisé. Cet épisode a révélé que certains attaquants surveillaient activement les publications de l'équipe et exploitaient les vulnérabilités presque en temps réel — un comportement inhabituel, car les attaquants sont généralement en retard sur les chercheurs. L'entreprise de François a elle-même été victime d'une attaque similaire (un employé compromis), ce qui a servi de signal d'alarme interne, même si l'incident a été contenu sans dommage. Pourquoi la chaîne logicielle est si vulnérable François explique que l'effet multiplicateur des dépendances transitives (parfois des milliers, même pour une application simple utilisant React et quelques librairies npm) crée une surface d'attaque énorme. Beaucoup de ces micro-projets sont maintenus par des développeurs isolés, parfois inactifs, épuisés, ou disparus, ce qui laisse des vulnérabilités non corrigées, parfois même non divulguées publiquement. GitHub Actions, utilisé par environ 90 % des projets open source sur GitHub, est identifié comme un vecteur clé. Bien que sa conception initiale limitait l'impact d'un code malveillant exécuté via une pull request (aucun accès aux secrets de publication), l'ajout progressif de fonctionnalités plus puissantes a ouvert la porte à des scénarios où des tiers non-mainteneurs peuvent déclencher l'accès à des secrets sensibles. De Poutine à Smoke Meat : automatiser l'exploitation Face à ce constat, François a pris la décision — difficile pour lui, davantage orienté « blue team » — de créer un outil offensif : Smoke Meat. Il le compare à Metasploit, créé par HD Moore au début des années 2000, qui a démocratisé l'exploitation de vulnérabilités classiques. Smoke Meat vise à faire de même pour les vulnérabilités des pipelines CI/CD : rendre leur exploitation accessible à tous, pas seulement aux experts, afin de forcer une prise de conscience collective. L'outil combine l'analyse statique de Poutine avec un moteur qui filtre les vulnérabilités les plus fiables et à fort impact (« blast radius »), génère automatiquement les payloads d'attaque, puis permet une exploitation réelle et un pivot latéral — comme un « meterpreter » adapté au contexte CI/CD. La terminologie choisie file la métaphore du barbecue : le « counter » (interface de l'opérateur), le « kitchen »/C2 (serveur de commande), et le « brisket » (l'implant qui s'exécute chez la victime, le « smoker »). Une fois actif, le brisket collecte rapidement (en une fraction de seconde) les secrets disponibles en mémoire, les trie selon leur potentiel de pivot, puis peut soit se retirer immédiatement, soit maintenir un tunnel pour une exploration plus poussée. Des zero-days accessibles à grande échelle Contrairement à Metasploit qui exploite généralement des vulnérabilités connues, Smoke Meat cible des zero-days présents dans une infrastructure publique que n'importe qui peut découvrir en scannant des dépôts GitHub. François souligne que les dépôts privés, souvent perçus comme moins exposés que les dépôts publics (vitrines soignées des entreprises), contiennent en réalité davantage de négligences : clés temporaires oubliées, projets expérimentaux mal sécurisés, etc. L'exemple concret : Team PCP et Trivy L'attaque du groupe Team PCP, discutée dans de précédents épisodes du podcast, illustre parfaitement ce mécanisme. Le groupe a exploité une vulnérabilité connue depuis longtemps dans l'outil populaire Trivy (développé par Aqua), infectant les utilisateurs consommant automatiquement les dernières versions. Le malware exfiltrait ensuite les secrets des nouveaux environnements infectés, permettant de répéter l'opération ailleurs — une propagation quasi-autonome, proche d'un ver informatique, bien que semi-manuelle. Un appel à l'action pour les défenseurs François conclut sur un ton presque désabusé : après quatre ans à répéter le même message, seuls les attaquants semblent l'avoir vraiment entendu. Il insiste sur le caractère déterministe de Smoke Meat — aucun recours à des modèles de langage, uniquement des payloads fiables et reproductibles — et sur la simplicité des correctifs, souvent limités à quelques lignes dans un fichier YAML plutôt qu'à des refontes architecturales majeures. L'objectif de l'outil est de rendre le danger tangible et immédiat pour les équipes qui, autrement, resteraient indifférentes, en reproduisant l'esprit des débuts du hacking où la démonstration technique primait sur le simple discours théorique. Notes Living Off The Pipeline - Defensive Research, Weaponized Collaborateurs Nicolas-Loïc Fortin François Proulx Crédits Montage par Intrasecure inc Locaux réels par nsec

Parce que… c'est l'épisode 0x314! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Dans cet épisode de Polysécure, l'animateur reçoit Andréanne Bergeron et Olivier Bilodeau, chercheurs chez Flare, pour discuter d'une recherche sur le profilage des victimes de kleptogiciels (infostealers). L'objectif de cette recherche n'était pas de blâmer les individus, mais bien d'identifier de grandes tendances comportementales afin de bâtir des campagnes de sensibilisation mieux ciblées, plutôt que des messages génériques auxquels personne ne s'identifie. Méthodologie L'équipe s'est appuyée sur un échantillon représentatif tiré d'une année complète de compromissions (2025), afin d'éviter tout biais lié à des campagnes ponctuelles. Les données proviennent de tout ce qu'un kleptogiciel peut dérober : cookies de session, mots de passe, identifiants, liste des logiciels installés, documents personnels et historique de navigation. À partir de ces informations, les chercheuses ont codifié une série de variables binaires (présence ou absence d'un élément donné : outils techniques, jeux, sites à risque, indices démographiques comme la localisation ou l'âge probable) pour ensuite dégager des profils types par recoupement statistique. Le travail s'est fait en va-et-vient : Olivier explorait manuellement les journaux pour repérer des motifs intéressants, qu'Andréanne validait ensuite statistiquement. Les grands profils de victimes Plusieurs profils récurrents ont émergé de l'analyse : Les utilisateurs de divertissement : joueurs qui téléchargent des jeux piratés, des mods ou des « cheats » (l'exemple de Roblox est cité), ainsi que les consommateurs de contenu pornographique, une catégorie quasi systématiquement présente dans ce type d'échantillon. Les ordinateurs partagés en famille : des cas où plusieurs identifiants portant le même nom de famille apparaissent dans un même journal, suggérant qu'un parent prête son ordinateur de travail à ses enfants pour jouer. Les profils techniques : de façon contre-intuitive, 82 % de l'échantillon présente des compétences techniques (présence d'IDE comme VS Code, historique GitHub/GitLab, etc.), après élimination des faux positifs comme les runtimes C++ préinstallés. Les chercheuses insistent sur la distinction entre « technique » et « conscient des enjeux de cybersécurité » : de nombreuses personnes maîtrisent l'informatique sans connaître l'écosystème des logiciels malveillants qui les cible spécifiquement. Un exemple concret est donné : un développeur de Flare a failli installer une fausse version de Slack trouvée via une publicité Google malveillante, ne s'en rendant compte qu'après avoir reçu un avertissement de signature invalide. Le risque de chaîne d'approvisionnement (supply chain) : certaines victimes ont accès, via leur poste, à de multiples systèmes cloud de tiers (l'exemple donné est un consultant en marketing numérique avec accès à plusieurs comptes cloud de clients). Les chercheurs évoquent la brèche historique de Target, qui aurait pu être causée par un incident de type infostealer chez un fournisseur de climatisation. Les acteurs de la menace eux-mêmes : certains cybercriminels se font voler leurs propres outils en utilisant des « crypters » gratuits piégés (backdoorés), exposant du même coup leur infrastructure (comptes Cloudflare, hébergement à l'épreuve des balles, etc.). Le « Capitaine Get Things Done » : profil moins technique cherchant désespérément à résoudre un problème ponctuel (ex. : réinitialiser une imprimante Epson) et téléchargeant un utilitaire douteux trouvé en ligne, parfois repérable via l'historique de traductions Google Translate. L'« Unlocky Executive » : cadre ayant accès à des systèmes RH ou comptables, généralement infecté via une version piratée de logiciels bureautiques comme PowerPoint. Interprétation criminologique Andréanne, dont la formation est en criminologie, explique la surreprésentation des profils techniques par la combinaison de deux mécanismes classiques en victimologie : se trouver dans un environnement à risque (fréquenter des sites de jeux, télécharger des bibliothèques de code, etc.) et adopter un comportement à risque (cliquer, télécharger, faire confiance à des sources non vérifiées). Les deux facteurs doivent être réunis pour qu'il y ait victimisation — un joueur de cartouches Genesis hors ligne ne court aucun risque, contrairement à quelqu'un qui télécharge régulièrement des modules Python ou des jeux piratés. Vers une sensibilisation adaptée Plutôt que de produire une campagne complète, l'équipe a créé des affiches-exemples destinées à inspirer les organisations à concevoir leurs propres campagnes, fondées sur des statistiques réelles issues de la recherche plutôt que sur du marketing générique. Parmi les exemples cités : 26 % des victimes de kleptogiciels ont accès à de l'infrastructure d'entreprise, illustrant qu'un usage personnel d'un ordinateur professionnel peut faire basculer toute une organisation. Le principe clé avancé est qu'être exposé à un patron de fraude constitue la meilleure protection contre celui-ci — d'où l'importance de raconter des anecdotes concrètes et « relatables » (par exemple, un cas vécu par un collègue) plutôt que des modules de formation génériques et vite oubliés, comme les anciens modules chez Bell surnommés « le petit chevalier ». Prochaines étapes Andréanne travaille désormais avec sa collègue Estelle Ruellan à essayer de prédire l'apparition de nouvelles campagnes de kleptogiciels afin d'alerter les gens en amont. Olivier, de son côté, développe un outil de réponse aux incidents assisté par IA qui analyse les journaux de vol de données pour identifier le vecteur d'infection probable et évaluer le « rayon d'explosion » (blast radius) d'une compromission, tout en gardant un analyste humain aux commandes. Vu la sensibilité de l'outil, son accès sera limité aux praticiens vérifiés de la communauté Discord éducative Flare Academy, avant une mise en ligne publique prévue dans les prochaines semaines. Notes What Infostealer Victims Have In Common: 2 Behavioral Patterns That Should Reshape Cybersecurity Training Collaborateurs Nicolas-Loïc Fortin Andréanne Bergeron Olivier Bilodeau Crédits Montage par Intrasecure inc Locaux réels par Cybereco

Parce que… c'est l'épisode 0x313! Shameless plug 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Cet épisode spécial de Polysécure réunit un panel international : Geneviève Lajeunesse (spécialiste en cybersécurité, actuellement en gouvernance à Radio-Canada, à titre personnel), Fanny Tan (journaliste tech et chercheuse à l'Observatoire des conflits multidimensionnels de la Chaire Raoul-Dandurand), Christophe Darlhac (consultant en sécurité, ex-secteur aérospatial et défense) et William Sampietro (RSSI dans le cloud privé, avec un long passé en sécurité opérationnelle nationale et en normalisation). L'animateur ouvre le débat en notant qu'un acteur majeur a, depuis un an et demi, remis la géopolitique au cœur de la cybersécurité : on ne parle plus seulement de menaces venues de l'étranger, mais aussi de tensions internes qui ont des répercussions cyber. Le cyber comme levier de puissance Les intervenants s'accordent : le cyber n'est plus un simple enjeu technique mais un véritable levier de puissance pour les États, les entreprises privées et les groupes criminels. On est passé d'attaques isolées à une confrontation continue et souvent invisible. Les groupes d'attaquants sont aujourd'hui catégorisés (APT, groupes sponsorisés par des États), et le phishing, loin d'être artisanal, mène régulièrement à des acteurs identifiables poursuivant des objectifs géopolitiques précis. Un phénomène frappant est évoqué : la Birmanie et le Cambodge, où des dizaines de milliers de jeunes gens se voient confisquer leur passeport pour être forcés de mener des cyberattaques — une réalité suffisamment préoccupante pour que la Chine elle-même exerce une pression sur le Cambodge à ce sujet. Dépendance matérielle et logicielle Un thème central est la dépendance de l'Occident envers du matériel et des logiciels étrangers. La flambée du prix de la RAM, détournée vers des acheteurs privés ayant précommandé, illustre la fragilité des chaînes d'approvisionnement. Le matériel chinois (Huawei, par exemple) est souvent moins cher et parfois plus transparent que son équivalent américain, mais son adoption soulève des questions de confiance à long terme — un composant piégé peut rester dormant pendant des années avant d'être activé. La Chine a par ailleurs habilement orienté les normes techniques (comme le standard 5G) pour imposer ses propres équipements, une stratégie qualifiée de « soft power » plus subtile que les attaques directes russes. Doctrines nationales différenciées Les panélistes soulignent une différence de doctrine notable : les États-Unis assument une capacité de riposte cyber offensive inscrite dans leur politique nationale, alors qu'en Europe (à l'exception partielle de la France) cette capacité reste cantonnée au domaine militaire et n'est pas assumée publiquement. Cela crée une asymétrie dans la réponse aux attaques étatiques. Portraits par pays La Russie est associée à des campagnes de déstabilisation et de désinformation, rappelant des précédents comme Cambridge Analytica. La Chine privilégie le renseignement économique et l'espionnage industriel plutôt que la destruction — l'exemple d'une antenne suspecte de 15 mètres installée près d'un site sensible à Toulouse est mentionné. Les États-Unis, quant à eux, ne sont plus perçus comme des alliés inconditionnels : le rachat de VMware par Broadcom, ou l'utilisation du droit américain (via Microsoft) dans l'affaire Alstom-Pierucci, illustrent des formes de pression économique et juridique qui affectent directement les entreprises européennes. Le paradoxe de la souveraineté numérique Une large partie de la discussion porte sur la souveraineté numérique, jugée abondamment discutée mais peu mise en pratique, autant en France qu'au Québec. L'exemple de WhatsApp, massivement utilisé par des Européens pourtant critiques envers les États-Unis, illustre cette contradiction, malgré l'existence d'alternatives comme Signal ou Olvid. Les intervenants pointent l'absence de définition claire de la souveraineté numérique, notamment au Québec où le concept vient d'entrer dans la loi sans balises précises. Ils proposent de la penser par couches : souveraineté de l'individu (sur ses données), de l'entreprise, de l'État, puis de blocs régionaux (Europe, Amérique, Asie). Aucune souveraineté à 100 % n'est jugée réaliste ; il s'agit plutôt d'une question de priorisation selon la criticité des usages. Deux leviers concrets sont proposés pour sortir de l'inaction : la décision politique (imposer des fournisseurs nationaux ou alliés dans la commande publique) et le financement structurel des acteurs souverains, afin qu'ils puissent rivaliser avec les géants américains. Le retard technologique européen, estimé à environ 40 ans depuis l'essor de Windows, est jugé quasiment impossible à rattraper sans rupture volontaire — la Russie et la Chine, elles, ont innové par nécessité en étant coupées de l'accès à certaines technologies occidentales. La fuite des talents vers les géants américains, qui offrent des salaires nettement supérieurs à ceux du secteur public, est également citée comme un frein majeur à l'autonomie technologique. Reconfiguration des alliances En conclusion, le panel aborde la refonte des alliances internationales (Five Eyes, Union européenne, rapprochement Canada-Europe), accélérée par le désengagement relatif des États-Unis sous l'administration Trump. Les intervenants insistent : une alliance solide repose sur des valeurs communes et la confiance plutôt que sur des structures figées, et les alliances évoluent comme des relations humaines, avec des hauts et des bas. La frontière n'est plus seulement physique mais cyber, une dimension qui touche désormais la souveraineté, les infrastructures, la politique et la défense. La question de l'intégration formelle du Canada à l'Europe est jugée secondaire face à la volonté réelle de coopérer. L'épisode se termine sur la promesse d'un prochain volet, faute de temps pour aborder d'autres sujets comme l'informatique quantique. Collaborateurs Nicolas-Loïc Fortin Christophe D'ARLHAC Geneviève Lajeunesse Fanny Tan William Sampietro Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x312! Préambule Test d'enregistrement en mouvement, mais dans un environnement plus contrôlé que l'épisode d'actualité précédent. Shameless plug 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell Mythos… Anthropic's Mythos AI Model Reportedly Breached NSA Classified Systems in Hours How Anthropic may have talked itself into an AI export ban Anthropic Confirms Claude Mythos 5 Redeployment for US Critical Infrastructure Organizations Mythos discovers ‘Squidbleed,' a memory leak that's gone undetected since Clinton era Chinese cybersecurity company claims it's built a better-than-Mythos bug finder Asian AI startups launch Mythos-like models as Anthropic's export ban drags on Surviving the Mythos Era: Richard Bejtlich on the Case for NDR Cybersecurity in the post-mythos era: Keep calm and carry on! Plus ça change Intel agencies: Frontier AI models will reshape cybersecurity faster than expected OpenAI Releases GPT‑5.5‑Cyber With Full Automation for Vulnerability Detection and Patching It's looking like a hot, messy summer for security teams as AI finds countless previously hidden vulns Vulnerability Reports Are Not Special Anymore How Your Credentials Are Leaked by LLM Agent Skills: An Empirical Study Defense Effectiveness Across Architectural Layers: A Mechanistic Evaluation of Persistent Memory Attacks on Stateful LLM Agents Amplify, Don't Create: Temporal Accumulation for Slow-Burn Prompt Injection Think Twice Before You Act: Protecting LLM Agents Against Tool Description Poisoning via Isolated Planning Honeyquest for LLMs: Rethinking Cyber Deception for AI Attackers Microsoft uses AI to link two malware operations in racketeering suit More Malicious OpenClaw Skills Threaten AI Supply Chain Fake AI Agent Skill Passed Security Scans and Reportedly Reached 26,000 Agents FALCON: Transforming Cyber Threat Intelligence into Deployable IDS Rules with Self-Reflection Open-source security is posing challenges governments can't easily solve What happened after 2,000 people tried to hack my AI assistant La guerre, la guerre, c'est pas une raison pour se faire mal! Ukraine Says Russian Intelligence Used Fake Support Texts to Steal Messaging Credentials Souveraineté ou vive le numérique libre! US Bill Would Mandate AI Chip Location Tracking to Thwart China and Other Adversaries Privacy ou cachez ces informations que je ne saurais voir Flock-Powered Police Chiefs Stalking Women Shows Why Warrants Are Needed (Public Report) The ‘papers, please' era of the internet will decimate your privacy White House drastically shortens deadline for dropping quantum-vulnerable crypto New Rights, New Powers, Long Delays: Bill C-36's Seven-Step Process for Privacy Reform to Take Effect I am the law Chasser les enfants UK Official Promises Statements ‘Around VPNs' and Further Teen Restrictions on Chatbots and Social Media Won't Somebody Please Think Of Banning The British Children! Pluralistic: Spying on kids to save kids from spying is very, very stupid (23 Jun 2026) The KIDS Act Would Require Age Checks To Get Online Canada's Spy Agency Used First-of-Its-Kind Warrant to Clean Botnet-Infected Devices BrianKrebs: “WaPo reports the Justice Depar…” - Infosec Exchange DNS4EU refuse de bloquer les sites pirates de la BREIN Red ou tout ce qui est brisé Brazil begins investigating emergency alert system breach FortiBleed: 86,644 Fortinet Firewalls Compromised AWS Warns Outbound Traffic Blind Spots Can Enable Cloud Data Exfiltration Dialog Claims It Was Hacked. A Misconfigured Website Left Its Members Exposed The Pentagon Is Looking Into the Dialog Data Exposure for Unmasking National Security Officials Blue ou tout ce qui améliore notre posture The Rust Ecosystem Gets an AI Security Engineer in Residence Microsoft Adds Another Year To Windows 10 Extended Update Program New Initiative Secures End-of-Life Open Source Software Divers ou parce que j'ai aucune idée où les placer Raphael Robert: “The Mullvad founder gave milli…” - Mastodon Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par CitizenM CDG

Parce que… c'est l'épisode 0x311! Shameless plug 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Introduction Cet épisode spécial, enregistré à Montréal lors de la conférence NorthSec, réunit Coline Chavane et Maxime Arquillière, venus de France présenter leur recherche sur l'ADINT (advertisement-based intelligence). Leur équipe CTI, spécialisée dans le suivi des fournisseurs privés de logiciels espions (spyware) et membre de l'initiative Pall contre les abus de ces technologies, a identifié cette tendance émergente en cherchant à documenter les nouveaux vecteurs d'intrusion utilisés par ces entreprises, au-delà des exploits « zero-click » déjà connus (comme ceux exposés par Citizen Lab ou Amnesty International sur WhatsApp). Comment fonctionne la publicité en ligne Coline explique le mécanisme du real-time bidding : en moins de 100 millisecondes, chaque fois qu'un espace publicitaire s'affiche dans une application, un système d'enchères se déclenche. Les données de l'utilisateur (type d'appareil, identifiant publicitaire mobile, centres d'intérêt) sont transmises à de multiples annonceurs qui enchérissent pour diffuser leur publicité. Fait crucial : même les annonceurs qui perdent l'enchère reçoivent ces données, sans qu'aucun contrôle ne soit possible sur leur usage ultérieur. Cet identifiant publicitaire mobile (MAID), censé être pseudo-anonymisé, permet en réalité un suivi cross-plateforme très précis, exploitable à grande échelle pour désanonymiser les individus. Maxime souligne que ce système est mondialement fragmenté par des cadres légaux disparates (RGPD en Europe basé sur l'opt-in, régimes opt-out ailleurs), créant des zones grises que certaines entreprises exploitent. Les trois catégories d'ADINT Les intervenants ont catégorisé les usages détournés de ces données en trois types : ADINT passif : collecte massive de données publicitaires (directement ou via des data brokers) pour établir des profils. Exemple donné : identifier les employés d'un site sensible (agence de renseignement, site de défense) en observant les téléphones qui s'y rendent quotidiennement, puis recouper avec leur domicile et leurs fréquentations pour du profilage. ADINT actif : au lieu d'observer passivement, l'acteur configure une alerte déclenchée dès qu'un identifiant mobile spécifique participe à une enchère publicitaire dans un périmètre donné, permettant un suivi quasi temps réel d'une cible précise. Ces données sont ensuite revendues à des gouvernements, forces de police ou entreprises privées. ADINT offensif : le plus préoccupant, il utilise le processus d'enchère lui-même comme vecteur d'intrusion, en délivrant une publicité vérolée à une cible spécifique pour compromettre son appareil. Documenté notamment par Amnesty International dans les dossiers Intellexa, ce vecteur « stratégique » complète les vecteurs « tactiques » nécessitant une proximité physique. Un écosystème sophistiqué et concentré Maxime explique que cette diversification des vecteurs d'intrusion est stratégiquement vitale pour les fournisseurs de spyware, surtout après la condamnation de NSO Group aux États-Unis lui interdisant de cibler WhatsApp — une décision qui menace la viabilité économique d'entreprises dépendantes d'un vecteur unique. Fait notable révélé par Recorded Future : au sein du consortium lié à Intellexa figure une entreprise publicitaire propriétaire d'un SSP (plateforme utilisée par les éditeurs d'applications), directement intégrée au processus d'enchères. Cela confirme que l'ADINT offensif reste réservé à des acteurs sophistiqués et bien financés, souvent israéliens ou américains, employant d'anciens membres de services de renseignement en cyberintrusion. Ces sociétés se déploient notamment en Asie, marché en expansion, comme l'ont découvert Coline et Maxime via des brochures commerciales trouvées en source ouverte — notamment celles de la société « Patterns », qui vante la désanonymisation à partir d'un simple numéro de téléphone. Usages à grande échelle et actualité Interrogés sur des attaques plus larges que le ciblage individuel, les invités distinguent l'ADINT du malvertising (opportuniste et large). Ils citent toutefois un cas documenté en Syrie (2015-2016) où le ciblage publicitaire a servi à comptabiliser et suivre les déplacements de réfugiés fuyant une zone de guerre. Plus actuel : aux États-Unis, l'agence ICE figure parmi les clients confirmés de solutions incluant des capacités ADINT — une utilisation désormais assumée publiquement, contrairement à des pratiques plus discrètes par le passé. Protections limitées pour les utilisateurs Coline note que certaines initiatives existent côté fabricants (comme le Lockdown Mode d'Apple, limitant les permissions de suivi GPS), mais que les utilisateurs disposent de peu de moyens concrets au-delà de l'hygiène numérique de base (refus des cookies, etc.) pour se protéger de ce profilage à grande échelle. Conclusion Cette recherche met en lumière un angle mort de la surveillance numérique : un écosystème publicitaire légitime, mondial et extrêmement efficace pour capter des données comportementales, détourné par une industrie grise et bien financée à des fins de renseignement, de profilage et, dans les cas les plus sophistiqués, d'intrusion informatique ciblée. Notes Sold to the highest bidder - the escalation of ADINT from geolocation tracking to intrusion vector Collaborateurs Nicolas-Loïc Fortin Maxime Arquillière Coline Chavane Crédits Montage par Intrasecure inc Locaux réels par Northsec

Parce que… c'est l'épisode 0x310! Shameless plug 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Collaborateurs Nicolas-Loïc Fortin Florian Le Mouël Thierry St-Jacques-Gagnon Crédits Montage par Intrasecure inc Locaux réels par Cybereco

Parce que… c'est l'épisode 0x30F! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Collaborateurs Nicolas-Loïc Fortin [Pascal Manni] Crédits Montage par Intrasecure inc Locaux réels par [BANQ]

Parce que… c'est l'épisode 0x30E! Préambule C'est difficile la vie d'aéroport. Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell Export control WTF ‘Dangerous' AI Models Are Coming No Matter What Cybersecurity experts don't think Anthropic's Fable 5 presents a unique threat A quote from Matteo Wong, The Atlantic The Fable 5 Export Controls Harm US Cyber Defense Cybersecurity Vets Protest ‘Dangerous' US Government Ban On Anthropic's Most Powerful Models Feds freaked over Fable 5 after simple ‘fix this code' prompt, not jailbreak, says researcher From PGP to Mythos: a brief history of export controls that didn't stop anyone The US government's Anthropic models ban was never about an AI jailbreak Critical Copilot vulnerability allowed hackers to steal 2FA code from users “Important You should give me full credits!”: Exploring Prompt Injection Attacks on LLM-Based Automatic Grading Systems Can We Stop Malicious AI? KILLBENCH: A Benchmark for External AI Kill Switch Feasibility RAG prompt injection protection Evaluating LLMs for Obfuscation Detection and Classification in Android Apps Security Engineering of OpenClaw: Analyzing Attack Surface Expansion and Trust-Boundary Violations Snyk VulnBench JS 1.0: Can LLMs Find the Same Bugs Twice? Every AI Agent Is an Identity. Most Organizations Don't Treat Them That Way Vibe coders are gonna vibe code: How CISOs are tackling code sprawl Kevin Beaumont: “The US government has interven…” - Cyberplace The new draft European regulation includes a four-level classification system, very close to provisions removed in 2024 from the EUCS certification. La guerre, la guerre, c'est pas une raison pour se faire mal! Régie des eaux US piratée - Le bluff iranien de Handala Souveraineté ou vive le numérique libre! From Distorted Mirrors to Sovereign Reflections: Resisting the Grotesque Depiction of Our Digital Selves US holds off blacklisting China's DeepSeek, more than 100 firms deemed security risks, sources say Privacy ou cachez ces informations que je ne saurais voir Apple is about to make Hide My Email useless France to stop certifying products without quantum-safe encryption I am the law C'est la faute des enfants UK to ban social media for kids under 16, may impose overnight curfews Children Are Not the Enemy: Child-Fit Security as an Alternative to Bans and Surveillance UK set to announce social media ban for under-16s From Australia to Europe, countries move to curb children's social media access Norway imposes near ban on AI in elementary school The UK's Teen Social Media Ban Is Political Theater, Not Child Safety Policy Ô Canada Canada's Digital Super-Regulator: Bill C-36 Pushes Out the Privacy Commissioner and Hands Private Sector Privacy to an Overloaded Commission Midnight Madness: The Government Rushes Lawful Access Bill Through the House Without Debate or a Recorded Vote The Commission: How Bill C-34 Creates an Internet Super-Regulator That Will Touch the Lives of Millions of Canadians Red ou tout ce qui est brisé Massive breach spills credentials for thousands of sensitive networks FortiBleed — 75k Fortinet firewalls have admin passwords cracked The Internet Runs on Names India temporarily blocks Telegram over medical exam cheating fears Telegram admits it couldn't police exam-leak channels, India tells court 27-Year-Old OpenBSD Vulnerability Allows Attackers to Bypass PAP Authentication Entirely Microsoft Confirms Defender RoguePlanet 0-Day Exploit and Working to Release Patch New iPhone BootROM Vulnerability Exposes Apple SoCs to Full Chain-of-Trust Compromise When Does a Threat Intelligence IOC Expire? Most CISOs Report Pressure to Bury Bad Security News Stressors, AI Forcing Changes to Cybersecurity Teams I discovered a large-scale malware distribution on GitHub Microsoft Discovers Cryptocurrency Stealer That Spreads Through USB Drives and Uses Tor Crooks found a new way to collaborate using Teams – by hiding command-and-control traffic Cyber offenses now account for around a third of all crime across Asia and South Pacific Microsoft site throwing warnings after someone forgot to renew cert Blue ou tout ce qui améliore notre posture [curl summer of bliss daniel.haxx.se](https://daniel.haxx.se/blog/2026/06/15/curl-summer-of-bliss/) Divers ou parce que j'ai aucune idée où les placer AMD FTW Users cry foul after AMD stripped memory crypto from its consumer CPUs AMD will reinstate memory encryption on Ryzen 9000 CPUs through a BIOS update in July — TSME is coming back after ‘valuable community feedback' Cabal How the Peter Thiel-Linked Dialog Club Secretly Ranks Its Members Leak Exposes Members of Peter Thiel's Secretive ‘Dialog' Society Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par YUL

Parce que… c'est l'épisode 0x30D! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Collaborateurs Nicolas-Loïc Fortin François Labrèche François Proulx Charles F. Hamilton Christian Paquin Philippe Pépos Petitclerc Crédits Montage par Intrasecure inc Locaux réels par Northsec

Parce que… c'est l'épisode 0x30C! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Dans cet épisode, je reçois Samuel Bonneau, venu présenter Cybereco la transformation profonde que son entreprise — une société de développement logiciel établie depuis quinze ans, qui intègre l'intelligence artificielle depuis huit ans — a opérée au cours de la dernière année. Contrairement à plusieurs entreprises qui se contentent d'un discours marketing autour de l'IA, l'organisation a réellement transformé ses façons de faire en profondeur. D'un objectif de 50 % à un changement de mentalité radical L'histoire débute par un objectif ambitieux fixé aux employés : devenir 50 % plus performants grâce à l'IA, sur une période d'un an. Plusieurs équipes ont dépassé largement cette cible en cours de route, ce qui a mené l'entreprise à revoir entièrement son approche. Samuel illustre ce changement par une analogie automobile : viser 50 % plus de vitesse revient à accélérer davantage avec le même véhicule, alors que viser une multiplication par dix ou vingt force à repenser entièrement le moyen de transport. C'est ce changement de paradigme — un mindset de croissance exponentielle plutôt qu'incrémentale — que l'entreprise a adopté, en parallèle de l'arrivée de modèles et d'outils de codage de plus en plus performants, dont Claude Code, qui a rapidement surpassé les outils utilisés jusque-là. Cette transformation ne s'est pas limitée aux équipes techniques : les ressources humaines, la finance et le reste du back-office ont aussi été intégrés, développant leurs propres flux de travail avec des agents, des compétences (skills) partagées entre équipes, et même de nouveaux outils et plateformes internes. Samuel souligne que la petite taille de l'équipe administrative et une culture d'innovation déjà bien ancrée ont facilité cette adoption, réalisée sur une période de trois à six mois pour la cinquantaine de personnes moins familières avec ces outils. Une urgence stratégique et des risques émergents Samuel explique que ce virage n'était pas optionnel : dans un domaine où l'IA évolue très rapidement, ne pas adopter ces outils aurait signifié perdre en pertinence face à des concurrents capables de développer plus vite et à moindre coût. Ce sentiment d'urgence (« do or die ») a guidé les décisions de l'entreprise. Or, cette accélération massive amène son lot de défis en cybersécurité. Les employés développant leurs propres agents et automatisations utilisent souvent leurs propres identifiants, ce qui peut devenir dangereux si ces agents ne sont pas correctement encadrés. Samuel cite l'exemple de la sandboxing des agents codeurs, un besoin pour lequel peu de solutions matures existaient sur le marché — l'outil le plus prometteur, Nvidia Open Shell, étant encore en préalpha, ce qui illustre bien le décalage entre la rapidité de l'innovation en IA et la maturité des outils de protection. Une plateforme cybersécurité développée à l'interne Face à ce constat, l'équipe a bâti sa propre plateforme de cybersécurité, intégrée à un robot Slack déjà utilisé pour les demandes liées à la sécurité. Cette plateforme analyse automatiquement les demandes d'utilisation d'outils ou de compétences (skills) externes, attribue des scores de risque et permet d'approuver ou de rejeter les requêtes. Plutôt que de gérer cela à travers du code traditionnel, l'équipe travaille désormais par spécifications : il suffit de modifier les spécifications fonctionnelles pour que le système se régénère avec les nouvelles règles, par exemple en ajoutant un critère lié à la localisation des données. L'élément le plus distinctif de cette plateforme est sa capacité à puiser dans toute la documentation interne d'un projet client — transcriptions de réunions, documents de conception, échanges — afin de déterminer automatiquement le niveau de criticité, les enjeux de disponibilité et les risques associés à un système avant même son développement. Cette information alimente ensuite la génération de spécifications de sécurité sur mesure, adaptées au contexte d'affaires réel du client plutôt qu'à des standards génériques. Encadrer les agents : god rails et supervision Une partie importante de l'entretien porte sur la façon de limiter les comportements destructeurs que pourraient avoir des agents autonomes. Samuel explique que chaque agent développé par l'entreprise comporte une douzaine de composantes, dont des mécanismes de garde-fous (« god rails ») qui valident que son comportement reste dans les limites prévues. Il illustre cela avec l'exemple d'un agent d'intégration des nouveaux employés (onboarding), qui ne doit jamais pouvoir exécuter des actions de désactivation de comptes (offboarding), même s'il possède techniquement les droits nécessaires pour créer des comptes. Un agent superviseur additionnel surveille les actions des agents opérationnels pour détecter et bloquer tout comportement anormal. Cette approche de décomposition en agents très spécialisés, plutôt qu'en un seul agent polyvalent, réduit non seulement les risques d'erreurs ou d'hallucinations liées à une fenêtre de contexte trop chargée, mais permet aussi de réduire les coûts en tokens en choisissant des modèles adaptés à la complexité réelle de chaque tâche. Choix des modèles et expertise interne L'entreprise s'appuie sur une équipe d'une quarantaine de spécialistes en IA, plusieurs détenant un doctorat, qui combinent rigueur scientifique et application concrète (programmation, entraînement et ajustement de modèles). Leur rôle a évolué : alors qu'ils entraînaient autrefois des modèles sur des infrastructures dédiées, ils se concentrent aujourd'hui davantage sur le choix du modèle optimal selon le contexte, qu'il soit local ou hébergé via une API externe, agissant essentiellement comme un routeur intelligent entre différents modèles de langage. Vers la commercialisation et les prochains défis Développée depuis janvier, la plateforme interne sert déjà à la fois à protéger l'entreprise et à soutenir des contrats clients de longue durée. Samuel évoque un potentiel de commercialisation, possiblement sous forme de produit en mode SaaS, déjà testé auprès de grands clients déployant des systèmes agentiques complexes. En clôture, Samuel partage sa vision des prochains défis : l'arrivée de robots humanoïdes en milieu industriel, déjà amorcée chez certains clients, qui posera de nouveaux enjeux de sécurité et de sûreté (safety) lorsque ces robots, connectés à des systèmes intelligents, devront être encadrés pour éviter des actions dangereuses. L'entreprise prévoit relancer une division spécialisée pour anticiper cette vague, prévue dans un horizon de deux à cinq ans. Collaborateurs Nicolas-Loïc Fortin Samuel Bonneau Crédits Montage par Intrasecure inc Locaux réels par Cybereco

Parce que… c'est l'épisode 0x30B! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Dans cette 17e collaboration entre les balados Cyber Citoyen et Polysécure, Catherine anime la discussion avec Sam et Nicolas autour de quatre grands thèmes : la surveillance étatique en Russie, les abus du système de surveillance routière Flock, une étude sur les noms de domaine malveillants et le couplage de cette tendance avec le phishing, et enfin une anecdote sur les véhicules de livraison Amazon. Le système Sorm en Russie Sam ouvre l'épisode en présentant le Sorm, un système russe de surveillance des communications téléphoniques et internet datant de 1995. Conçu au départ pour donner au FSB un accès direct aux infrastructures téléphoniques, il a été étendu en 1998 aux fournisseurs d'accès internet, puis intensifié autour des Jeux olympiques de Sochi sous prétexte sécuritaire. Les fournisseurs doivent installer cet équipement à leurs propres frais, ce qui pousse les petits opérateurs à résister, sous peine d'amendes ou de retrait de licence pendant dix ans. Le système permet désormais des recherches par mots-clés et centralise des données extrêmement sensibles : adresses, passeports, coordonnées bancaires, géolocalisation, adresses IP et courriels. Les intervenants soulignent le parallèle avec les pratiques américaines révélées par Snowden, et notent que cette intensification coïncide avec le mécontentement intérieur lié à la guerre en Ukraine. La discussion s'élargit aux blocages d'internet ailleurs (Iran, listes blanches), à la conférence SplinterNet sur la fragmentation du réseau mondial, puis à des tendances similaires dans les démocraties occidentales (Chat Control en Europe, le projet de loi C-2 au Canada, les lois britanniques), illustrant que l'identification obligatoire (numéros de téléphone, cartes SIM, interdiction des téléphones jetables aux États-Unis) n'est pas l'apanage des régimes autoritaires. Nicolas évoque aussi son expérience personnelle en Corée du Sud, où l'identité est systématiquement liée aux services numériques. Le segment se conclut sur l'inquiétude que cette centralisation des données personnelles russes constitue elle-même une cible de choix pour des puissances rivales, et sur le constat plus large d'une incompréhension généralisée des conséquences à long terme de ces choix technologiques. Les dérives du système Flock Nicolas revient ensuite sur Flock, le système de reconnaissance de plaques d'immatriculation, déjà abordé dans un épisode précédent. Grâce au site DeFlock, des citoyens ont découvert que leur plaque avait été recherchée des centaines de fois sans justification : un cas où un policier avait consulté la plaque d'une victime plus de cent fois, et un chef de police pris à espionner sa propre conjointe. La réponse de l'entreprise Flock, qui se targue de transparence plutôt que de reconnaître le problème, est jugée particulièrement maladroite, surtout après la révélation qu'une quarantaine de nouveaux cas d'abus ont été recensés en un seul mois. Les animateurs saluent le rôle du journalisme d'enquête (notamment celui de 404 Media) dans la mise en lumière de ces dérives, et comparent l'absence de garde-fous chez Flock aux systèmes d'alerte automatique utilisés dans les réseaux hospitaliers ou les agences gouvernementales, où une consultation anormale d'un dossier déclenche immédiatement une enquête. Le débat se conclut sur la question de savoir si cette absence de contrôle relève de l'incompétence ou d'un choix délibéré de ne pas investir dans la prévention des abus. Noms de domaine, phishing et marché de la fraude Sam présente ensuite une étude d'Interisle sur les noms de domaine enregistrés en 2025 : sur 85 millions de domaines créés, 8,5 millions ont fini bloqués pour usage frauduleux, soit un plancher d'environ 10 %, probablement plus proche de 15 à 20 % en réalité. Cinq bureaux d'enregistrement concentrent la moitié des domaines bloqués, l'un d'eux affichant un taux de 88 %, souvent via l'enregistrement automatisé en masse de domaines à très bas coût. Le groupe critique l'approche du rapport, trop centrée sur l'autorégulation du marché, alors qu'aucun mécanisme structurel n'empêche ces registraires de continuer leurs pratiques. L'exemple belge du CCB, qui bloque au niveau national les domaines jugés dangereux, est cité comme une approche plus efficace, comparable à une mesure de santé publique. La conversation aborde aussi la difficulté d'agir à l'échelle internationale, faute de coordination entre les autorités américaines et européennes. En lien avec ce sujet, Sam note une diminution du volume des attaques de phishing de 20 % en 2024 et 2025, non pas parce que la menace recule, mais parce que les attaquants privilégient désormais des campagnes plus sophistiquées et ciblées plutôt que des envois massifs peu rentables, une tendance facilitée par les outils d'intelligence artificielle générative. L'anecdote des camionnettes Amazon et la question de l'authenticité Le dernier sujet porte sur une mise à jour logicielle des camions de livraison Amazon qui coupe la climatisation après seulement trente secondes d'inactivité, exposant les chauffeurs à des chaleurs dangereuses, notamment au Texas. La réponse officielle d'Amazon, qui présente cette mesure comme un gain de confort et d'autonomie de batterie, est tournée en dérision par les animateurs, qui y voient un exemple typique d'absence d'accountability corporative. Cette anecdote sert de tremplin à une réflexion plus large sur le manque d'authenticité des communications d'entreprise contemporaines, illustrée par le retrait du slogan « Don't Be Evil » chez Google, et une brève mention du manifeste controversé du dirigeant de Palantir, sujet que le groupe prévoit de traiter dans un épisode futur dédié. Collaborateurs Nicolas-Loïc Fortin Catherine Dupont-Gagnon Samuel Harper Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x30A! Préambule Expérimentation avec une nouvelle approche d'enregistrer en itinérance. Le son n'est pas idéal, mais pas trop loin de l'objectif. Un nouvel essai aura lieu le 21 juin, où j'améliorerai l'approche pour atteindre une qualité suffisante en limitant la quantité de choses que j'apporte lorsque je suis en voyage. Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell Fable ou fiction Claude Fable 5 Doesn't Change the Mythos Security Story Anthropic says these topics are too dangerous to let its Fable 5 model talk about Cybersecurity researchers aren't happy about the guardrails on Anthropic's Fable Il était une fois… l'export control ou la fable de l'accès universel Statement on the US government directive to suspend access to Fable 5 and Mythos 5 Anthropic Anthropic's Claude Fable 5 Alleged Jailbreak to Generate Stack Exploits Anthropic shuts down Fable, Mythos models following Trump admin directive Our response to the US ban on Fable 5 and Mythos 5 How Amazon and the White House ended Anthropic's Fable US ban on Anthropic's Fable 5 and Mythos 5 has ‘Amazon link': Researchers from Amazon used a series of prompts to … Tech Things: There is a massive shadow hanging over this Fable thing Lawsuit: ChatGPT validated suicidal woman's distrust of crisis lines Zcash - Une IA déniche en 24h une faille vieille de 4 ans Extracting Recurring Vulnerabilities from Black-Box LLM-Generated Software Friend or Foe? Language as an ideological switch in open-weight LLMs under Russian disinformation stress AI Code Sandboxes: A Comparative Security Study Part 1 of 2 — Engine-Level Properties (Attack Surface, Leakage, Stackability, CVE History, Patch Cadence, Fuzzing) Sample-Efficient LLM-Based Detection of Malicious Web Server Logs with Forensically Explainable Reasoning SecureClaw: Clawing Back Control of LLM Agents Security Risks of Apple's AI Changing Your Passwords Blame AI: Patch Tuesday Hits Record 206 CVEs Un ver informatique qui raisonne tout seul China-linked operators revive botnet, stir AI datacenter debate Are Frontier LLMs Ready for Cybersecurity? Evidence for Vertical Foundation Models from Dual-Mode Vulnerability Benchmarks Bypassing Prompt Guards in Production with Controlled-Release Prompting Mind your key: An Empirical Study of LLM API Credential Leakage in iOS Apps GenAI Is Both Hunter and Hunted at Pwn2Own Berlin 2026 La guerre, la guerre, c'est pas une raison pour se faire mal! Iran Signed a Ceasefire — Its Hackers Didn't The Strange Defeat of Nuclear Deterrence Souveraineté ou vive le numérique libre! Digital Sovereignty Becomes An Imperative As the US Reads Dutch Emails All the Ways Europe Is Ditching American Technology Euro-Office 1.0 Arrives To Open-Source Infighting: ‘Compatibility Is Not Sovereignty' Infineon to Open German Chip Fab as Part of EU Sovereignty Push AI Sovereignty: A Qualitative Model of Strategic Competition as AI Becomes an Instrument of National Power Canada: Artificial Intelligence as a Pillar of Digital Sovereignty - INCYBER NEWS Kevin Beaumont: “I'm on year 3 of trying to con…” - Cyberplace Germany

Parce que… c'est l'épisode 0x309! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Collaborateurs Nicolas-Loïc Fortin Emeline Manson Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x308! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Notes Doxxing-proof authentic digital media - trust the asset, protect the source Collaborateurs Nicolas-Loïc Fortin Christian Paquin Crédits Montage par Intrasecure inc Locaux réels par Northsec

Parce que… c'est l'épisode 0x307! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Collaborateurs Nicolas-Loïc Fortin Mélissa Canseliet Crédits Montage par Intrasecure inc Locaux réels par Cybereco

Parce que… c'est l'épisode 0x306! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell Mythos Anthropic invites EU to access Mythos hacking tech Anthropic scales Claude Mythos to critical infrastructure in 15+ countries Anthropic Expands Project Glasswing Claude Mythos Preview to 150 New Organizations Kevin Beaumont: “Mythos is not great btw. Runni…” - Cyberplace Free AI model powers self-spreading worm in enterprise test network Instapassword Hackers Used Meta's AI Support Bot to Seize Instagram Accounts Instagram Meta AI Vulnerability Allegedly Enables Password Reset for Accounts Hackers duped Meta AI support chatbot to steal celebrity Instagram accounts Instagram Fixes Password Reset Flaw That Exposes User Emails and Phone Numbers Hackers Simply Asked Meta AI to Give Them Access to High-Profile Instagram Accounts. It Worked Kevin Beaumont: “How people hacked Meta account…” - Cyberplace Injecte moi ça ChatGPT for Google Sheets Exfiltrates Workbooks New Google Gemini Vulnerability Exploited via Prompt Injections from WhatsApp, Slack, and SMS New ChatGPT Lockdown Mode Limits Tools That Could Enable Data Exfiltration Irresponsable Florida sues OpenAI, Sam Altman after multiple ChatGPT-linked murders School shooting survivor sues AI gun detection firm after system failed to spot weapon AI Agents Get Their Own Directory Built Atop DNS Remove all LLM generated commits before people get hurt by this nonsense. · Issue #934 · RsyncProject/rsync Amazon Shuts Down Internal AI Leaderboard After Employees Cheated Open source project contains hidden instruction for “AI” agents: delete my code DOD wants to integrate cyber in all operations, and integrate security into AI Trump plan to test AI models has a problem—US security teams were gutted by DOGE Kevin Beaumont: “xAI have asked a court to stri…” - Cyberplace Commvault says it's time to rethink resiliency as AI crooks leave victims in a ‘dark, dead' state Attackers Use AI to Automate EDR Evasion Testing Pluralistic: Delusion as a service (04 Jun 2026) – Pluralistic: Daily links from Cory Doctorow These LLMs are the best at resisting Russian propaganda RAG Security and Privacy: Formalizing the Threat Model and Attack Surface From Attack Simulation to SIEM Rule: Deterministic Detection-as-Code Synthesis with Probe-Level Traceability Will the Agent Recuse Itself? Measuring LLM-Agent Compliance with In-Band Access-Deny Signals Critical Hugging Face Transformers Vulnerability Enables Remote Code Execution Attacks La guerre, la guerre, c'est pas une raison pour se faire mal! Iran-Linked Hackers Destroy IT, Backups, and Recovery Systems in Cyberattack targeting Middle East Pentagon raised threat of Israeli spying on U.S. to highest level, sources say Souveraineté ou vive le numérique libre! EU plots long game against US digital supremacy OSI welcomes the European Union's “Tech Sovereignty” package Cable lobby warns of chaos if FCC doesn't relax ban on foreign routers Privacy ou cachez ces informations que je ne saurais voir The Pentagon Finally Admits That Location Data Is a Battlefield Problem Age verification for social media – the beginning of the end for a free internet? Privacy isn't dead: it's just that tech companies have made it inconvenient Amazon-owned Ring should pay Americans for scanning their faces, lawsuit says Elon Musk tries again to escape FTC audits of X data handling I am the law Policy-Compliant Cloud Storage Systems GrapheneOS user reported to authorities for using GrapheneOS Red ou tout ce qui est brisé Cachez ce fiasco que j'ai fait Microsoft's Zero-Day Legal Threats Spark Backlash Microsoft Clarifies It Won't Sue Security Researchers Amid Nightmare-Eclipse Controversy Microsoft reaches for olive branch after public dustup with 0-day researcher Nightmare Eclipse incident shows the researcher-vendor fights may never fully go away Another bug hunter leaks Microsoft exploits in defiance of company's handling of vulnerability disclosures Microsoft MSRC Allegedly Dismissed Dependency Confusion Vulnerability, Claims Researcher Just LOL BIN BAS Kevin Beaumont: “Wake up babe, new lolbins and …” - Cyberplace Microsoft's Coreutils project brings Linux commands to Windows Microsoft Investigates MFA Setup Failure and MySigns-In Portal Outage Dozens of Red Hat packages backdoored through its official NPM channel Inspector general finds NIST mistakes have made vulnerability database ineffective Sur le serveur X.Org, neuf nouvelles failles de sécurité dont huit débusquées par une IA HTTP/2 Bomb : une mini-requête suffit pour faire tomber nginx, Apache ou IIS Blue ou tout ce qui améliore notre posture - An Analysis of GrapheneOS's Server Infrastructure - Android phones will soon be able to detect spoofed calls and impersonation scams - Kernel-Level Ground Truth: Why eBPF is Replacing User-Space Agents for Security Observability - Dashlane explains how attackers managed to download encrypted password vaults - Let's Encrypt Unveils Merkle Tree Certificates to Secure the Web Against Quantum Threats Divers ou parce que j'ai aucune idée où les placer - The Infosec Phrasebook - United Airlines Flight To Spain Pulls U-Turn Over Bluetooth Device Name - Cyber Insurance Rates Are Dropping, but Exclusions Widen - DNS is for people - not for IT infrastructure - The US Military Quietly Turned GPS Into a Global ‘Numbers Station,' Evidence Suggests - I led the 2014 U.S. CDC Ebola response. An action plan is needed now - Teen social media ban risks strengthening Big Tech dominance: Bluesky Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c'est l'épisode 0x302! Préambule Finalement, ce n'est pas tant concluant la nouvelle façon d'enregistrer. J'aurai d'autres tests à faire si je désire continuer avec cet équipement. Shameless plug 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell Retour de l'enfant Mythos Anthropic to release Mythos-class models to the public Anthropic's Restricted Claude Mythos Moves Toward Public Release via Claude Code and Security Mythos Detected 23,000 Vulnerabilities Across 1,000 OSS Projects Anthropic confirms Claude Mythos-class models will roll out to the public Raz le bol AI is becoming increasingly unpopular Fed up with vibe coders, dev sneaks data-nuking prompt injection into their code Menteur menteur LLMs believe false statements even after explicit warnings that they're false AI bots ignore evidence. Can we trust them with science? Kevin Beaumont: “If anybody is wondering how th…” - Cyberplace SecuClaude Anthropic Releases Free Security Plugin for Claude Code Terminal to Detect Vulnerabilities Anthropic Updates Claude Code With Security Plugin and Faster Performance Aider ce qui ne veut pas se faire aider Open-Weight LLM Fine-Tuning Defenses are Susceptible to Simple Attacks Jailbreaking and Mitigation of Vulnerabilities in Large Language Models Provably Secure Agent Guardrail Millions of AI agents imperiled by critical vulnerability in open source package The pressure Agentic AI Isn't Risky; the Way Orgs Deploy It Is Leak@

Podcast: PrOTect It All (LS 26 · TOP 10% what is this?)Episode: Inside OT Penetration Testing: Red Teaming, Risks, and Real-World Lessons for Critical Infrastructure with Justin SearlePub date: 2025-06-16Get Podcast Transcript →powered by Listen411 - fast audio-to-text and summarizationIn this episode, host Aaron Crow sits down with OT security expert Justin Searle, Director of ICS Security at InGuardians, for a deep dive into the ever-evolving world of OT and IT cybersecurity.  With over 25 years of experience, ranging from hands-on engineering and water treatment facilities to red-team penetration testing on critical infrastructures such as airports and power plants, Justin brings a wealth of insight and real-world anecdotes. This episode unpacks what it really takes to assess and secure operational technology environments. Whether you're a C-suite executive, a seasoned cyber pro, or brand new to OT security, you'll hear why network expertise, cross-team trust, and careful, collaborative engagement with engineers are so crucial when testing high-stakes environments. Aaron and Justin also discuss how the industry has matured, the importance of dedicated OT cybersecurity teams, and why practical, people-first approaches make all the difference, especially when lives, reliability, and national infrastructure are on the line. Get ready for actionable advice, hard-earned lessons from the field, and a candid look at both the progress and the ongoing challenges in protecting our most critical systems.   Key Moments:  05:55 Breaking Into Cybersecurity Without Classes 09:26 Production Environment Security Testing 13:28 Credential Evaluation and Light Probing 14:33 Firewall Misconfiguration Comedy 19:14 Dedicated OT Cybersecurity Professionals 20:50 "Prioritize Reliability Over Latest Features" 24:18 "IT-OT Convergence Challenges" 29:04 Patching Program and OT Security 32:08 Complexity of OT Environments 35:45 Dress-Code Trust in Industry 38:23 Legacy System Security Challenges 42:15 OT Cybersecurity for IT Professionals 43:40 "Building Rapport with Food" 47:59 Future OT Cyber Risks and Readiness 51:30 Skill Building for Tech Professionals   About the Guest :  Justin Searle is the Director of ICS Security at InGuardians, specializing in ICS security architecture design and penetration testing.  He led the Smart Grid Security Architecture group in the creation of NIST Interagency Report 7628 and played critical roles in the Advanced Security Acceleration Project for the Smart Grid (ASAP-SG), National Electric Sector Cybersecurity Organization Resources (NESCOR), and Smart Grid Interoperability Panel (SGIP).     Justin has taught hacking techniques, forensics, networking, and intrusion detection courses for multiple universities, corporations, and security conferences.  His current courses at SANS and Black Hat are among the world's most attended ICS cybersecurity courses.  Justin is currently a Senior Instructor for the SANS Institute and a faculty member at IANS. In addition to electric power industry conferences, he frequently presents at top international security conferences such as Black Hat, DEFCON, OWASP, HITBSecConf, Brucon, Shmoocon, Toorcon, Nullcon, Hardware.io, and AusCERT.     Justin leads prominent open-source projects, including The Control Thing Platform, Samurai Web Testing Framework (SamuraiWTF), and Samurai Security Testing Framework for Utilities (SamuraiSTFU).  He has an MBA in International Technology and is a CISSP and SANS GIAC certified Incident Handler (GCIH), Intrusion Analyst (GCIA), Web Application Penetration Tester (GWAPT), and GIAC Industrial Control Security Professional (GICSP)   How to connect Justin:  https://www.controlthings.io https://www.linkedin.com/in/meeas/ Email: justin@controlthings.io Connect With Aaron Crow: Website: www.corvosec.com  LinkedIn: https://www.linkedin.com/in/aaronccrow   Learn more about PrOTect IT All: Email: info@protectitall.co  Website: https://protectitall.co/  X: https://twitter.com/protectitall  YouTube: https://www.youtube.com/@PrOTectITAll  FaceBook:  https://facebook.com/protectitallpodcast    To be a guest or suggest a guest/episode, please email us at info@protectitall.co   Please leave us a review on Apple/Spotify Podcasts: Apple   - https://podcasts.apple.com/us/podcast/protect-it-all/id1727211124 Spotify - https://open.spotify.com/show/1Vvi0euj3rE8xObK0yvYi4The podcast and artwork embedded on this page are from Aaron Crow, which is the property of its owner and not affiliated with or endorsed by Listen Notes, Inc.

Parce que… c'est l'épisode 0x500! Shameless plug 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 29 septembre au 2 octobre 2024 - FAIR Conference 2024 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Vincent Groleau Crédits Montage par Intrasecure inc Locaux réels par Vincent

Parce que… c'est l'épisode 0x490! Préambule Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 29 septembre au 2 octobre 2024 - FAIR Conference 2024 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes Blast-RADIUS Collaborateurs Nicolas-Loïc Fortin Alexandre Chéron Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x489! Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 29 septembre au 2 octobre 2024 - FAIR Conference 2024 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes The Mandiant Approach to Operational Technology (OT) Security Collaborateurs Nicolas-Loïc Fortin Camille Felx Leduc Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x488! Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 29 septembre au 2 octobre 2024 - FAIR Conference 2024 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes ÉFVP Collaborateurs Nicolas-Loïc Fortin Emeline Manson Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x487! Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 29 septembre au 2 octobre 2024 - FAIR Conference 2024 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Thomas Veynachter Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x486! Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 29 septembre au 2 octobre 2024 - FAIR Conference 2024 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Anglade Perrier Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x485! Shameless plug 8-11 août 2024 - DEFCON 7 et 8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 19 au 21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea février 2025 - SéQCure 2025 9 au 11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Davy Adam Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x484! Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Benoit Gagnon Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x483! Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 29 septembre au 2 octobre 2024 - FAIR Conference 2024 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Vanessa Deschênes Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x482! Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Thomas Foubert Crédits Montage par Intrasecure inc Locaux réels par Northsec

Parce que… c'est l'épisode 0x481! Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 29 septembre au 2 octobre 2024 - FAIR Conference 2024 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Jean-Philippe Décarie-Mathieu Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x480! Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Crédits Montage par Intrasecure inc Locaux réels par Northsec

Parce que… c'est l'épisode 0x479! Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes PowersheLLM : Un Large Language Model à l'épreuve de l'horreur Collaborateurs Nicolas-Loïc Fortin Frédéric Grelot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x478! Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Soleïca Monnier Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x477! Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 29 septembre au 2 octobre 2024 - FAIR Conference 2024 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Jonathan Papin Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x476! Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Olivier Bilodeau Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x475! Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Stéphane Laberge Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x474! Préambule La qualité sonore n'est pas à parité avec l'habituel. Malgré les traitements que j'ai effectués, pour atténuer les défauts. Cela dit, j'ai effectué un test avec un nouvel équipement d'enregistrement. Il y a eu quelques ratés dans ma configuration. Ça m'a permis d'évaluer la faisabilité d'enregistrer dans des environnements bruyants, tout en maintenant une fluidité de communication. Il y aura au moins deux ou trois autres tests avant d'arriver à une configuration optimale. L'objectif, c'est de capter tout ce qui est en pré-show… qui, la plupart du temps, vaudrait la peine d'être enregistré. Merci Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes Corsek Collaborateurs Nicolas-Loïc Fortin Martin Dubé Crédits Montage par Intrasecure inc Locaux réels par Northsec

Parce que… c'est l'épisode 0x473! Préambule Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Anglade Perrier Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x472! Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes Maximizing Employee Protection by Rethinking Expectations of Phishing Awareness and Email Security Collaborateurs Nicolas-Loïc Fortin Andréanne Bergeron Crédits Montage par Intrasecure inc Locaux réels par Northsec

Parce que… c'est l'épisode 0x471! Shameless plug 8-11 août 2024 - DEFCON 7 et 8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 19 au 21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea février 2025 - SéQCure 2025 9 au 11 avril 2025 - Google Next ‘25 Description Notes Intelligence artificielle: la nouvelle barbarie Collaborateurs Nicolas-Loïc Fortin Davy Adam Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x470! Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes NorthSec GitHub/NorthSec Collaborateurs Nicolas-Loïc Fortin Éric Boivin Emile Filteau Laurent Desaulniers Anne-Sophie Letellier Simon Carpentier Crédits Montage par Intrasecure inc Locaux réels par NorthSec

Parce que… c'est l'épisode 0x469! Préambule Shameless plug 8-11 août 2024 - DEFCON 7 et 8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 19 au 21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea février 2025 - SéQCure 2025 9 au 11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Benoit Gagnon Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x468! Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes Boost Security.io Unveiling ‘poutine': An Open Source Build Pipelines security scanner Opening Pandora's box - Supply Chain Insider Threats in Open Source projects boostsecurityio/poutine boostsecurityio/lotp Collaborateurs Nicolas-Loïc Fortin François Proulx Crédits Montage par Intrasecure inc Locaux réel par Northsec

Parce que… c'est l'épisode 0x467! Shameless plug 12-19 mai 2024 - NorthSec 8-11 août 2024 - DEFCON 7 et 8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 19 au 21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea février 2025 - SéQCure 2025 9 au 11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Clément Cruchet Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x466! Shameless plug 12-19 mai 2024 - NorthSec 8-11 août 2024 - DEFCON 7 et 8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 19 au 21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea février 2025 - SéQCure 2025 9 au 11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Thomas Foubert Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x465! Shameless plug 12-19 mai 2024 - NorthSec 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Steve Bélanger Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x464! Shameless plug 12-19 mai 2024 - NorthSec 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Régis Desmeules Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x463! Shameless plug 12-19 mai 2024 - NorthSec 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin David Décary-Hétu Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x462! Shameless plug 12-19 mai 2024 - NorthSec 8-11 août 2024 - DEFCON 7 et 8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 19 au 21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea février 2025 - SéQCure 2025 9 au 11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Camille Felx Leduc Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x461! Shameless plug 12-19 mai 2024 - NorthSec 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Davy Adam Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x460! Shameless plug 12-19 mai 2024 - NorthSec 8-11 août 2024 - DEFCON 7 et 8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 19 au 21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea février 2025 - SéQCure 2025 9 au 11 avril 2025 - Google Next ‘25 Description Notes HEXACON2022 - 0-click RCE on the Tesla Model 3 by David Berard & Vincent Dehors GreHack 2023: Unlocking The Drive: Exploiting Tesla Model 3 - David Berard & Vincent Dehors 0-Click RCE on the Tesla infotainment through cellular network Collaborateurs Nicolas-Loïc Fortin David Bérard Vincent Dehors Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x459! Shameless plug 12-19 mai 2024 - NorthSec 8-11 août 2024 - DEFCON 7 et 8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 19 au 21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea février 2025 - SéQCure 2025 9 au 11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin David Girard Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x457! Shameless plug 12-19 mai 2024 - NorthSec 8-11 août 2024 - DEFCON 7 et 8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 19 au 21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea février 2025 - SéQCure 2025 9 au 11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Matthieu Faou Mathieu Tartare Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x456! Shameless plug 12-19 mai 2024 - NorthSec 8-11 août 2024 - DEFCON 7 et 8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 19 au 21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea février 2025 - SéQCure 2025 9 au 11 avril 2025 - Google Next ‘25 Description Notes EXFILES Collaborateurs Nicolas-Loïc Fortin Renaud Feil Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x455! Shameless plug 12-19 mai 2024 - NorthSec 8-11 août 2024 - DEFCON 7 et 8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 19 au 21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea février 2025 - SéQCure 2025 9 au 11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Nicolas Bédard Crédits Montage par Intrasecure inc Locaux réels par Pub Victoria

Parce que… c'est l'épisode 0x454! Shameless plug 12-19 mai 2024 - NorthSec 8-11 août 2024 - DEFCON 7 et 8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 19 au 21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea février 2025 - SéQCure 2025 9 au 11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Alexandre Fournier Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x452! Shameless plug 12-19 mai 2024 - NorthSec 8-11 août 2024 - DEFCON 7 et 8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 19 au 21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea février 2025 - SéQCure 2025 9 au 11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Franck Desert Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x452! Shameless plug 12-19 mai 2024 - NorthSec 8-11 août 2024 - DEFCON 7 et 8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 19 au 21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea février 2025 - SéQCure 2025 9 au 11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Crédits Montage par Intrasecure inc Locaux réels par INCYBER FORUM EUROPE

Parce que… c'est l'épisode 0x451! Shameless plug 12-19 mai 2024 - NorthSec 8-11 août 2024 - DEFCON 7 et 8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 19 au 21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea février 2025 - SéQCure 2025 9 au 11 avril 2025 - Google Next ‘25 Description Notes Best Practices for Securely Deploying AI on Google Cloud Collaborateurs Nicolas-Loïc Fortin Nicolas Bédard Crédits Montage par Intrasecure inc Locaux réels par Beerhaus

Speaker Intro Aseem Jakhar is the Director, R&D at Payatu https://payatu.com a research-powered cyber security services company specialized in IoT, Embedded, cloud, mobile and infrastructure security. He is the founder of null-The open security community, a registered not-for-profit organization and one of the largest security communities in Asia https://null.co.in and also organizes https://nullcon.net and https://hardwear.io security conferences. He is currently working on solving the IoT Security problem with his latest venture EXPLIoT. He is an active speaker and trainer at various security conferences like AusCERT, Black Hat, Defcon, Brucon, Hack.lu, Hack in Paris, Hack In The Box, PHDays, Zerocon and many more. He has authored various open source security software including: EXPLIoT - IoT Exploitation Framework https://expliot.io DIVA Android (Damn Insecure and Vulnerable App for Android) Jugaad/Indroid - Linux Thread injection kit for x86 and ARM Dexfuzzer - Dex file format fuzzer Murtuja Bharmal is a cybersecurity entrepreneur with a 20-year track record in the industry. His accomplishments include the creation of a dynamic cybersecurity ecosystem encompassing "null - The open security community" (http://null.community), the well-known nullcon security conference (https://nullcon.net), and the Hardware Security Conference (https://hardwear.io). These platforms serve as essential hubs for connecting like-minded individuals, facilitating the exchange of cutting-edge research, building professional connections, and keeping organizations updated about the latest developments in the cybersecurity industry for their protection. Murtuja currently holds the position of Director of Services at Payatu, a leading provider of cybersecurity testing services. In this role, he oversees day-to-day operations, leveraging his extensive expertise to drive the company's growth. You can reach out to them on X (Twitter) & LinkedIn, Aseem Jakhar - https://www.linkedin.com/in/aseemjakhar/ @aseemjakhar Murtuja Bharmal - https://www.linkedin.com/in/murtujabharmal/ @murtuja_bharmal Bsides Odisha - 2nd Dec 2023 Tickets - https://www.townscript.com/v2/e/bsides-odisha-conference-430040/booking/tickets Follow "Stories of Infosec Journeys" podcast on LinkedIn - Stories of Infosec Journeys Twitter - @InfosecJourneys Instagram & Facebook - @storiesofinfosecjourneys Kindly rate the podcast on Spotify and leave a review on Apple podcast.

In this episode listen to Vivek talk about how he was introduced to computers & how an internship in Switzerland helped him find his calling in infosec, his journey from SecurityTube.net to Pentester Academy , to writing comic-books for security enthusiast and eventually starting his current venture SquareX . This episode brings you the exclusive story of Vivek's infosec journey which he confirmed about talking for the 1st time on a podcast. Tune in to this almost 2 hour long episode to learn in detail about his journey. Speaker Intro Vivek Ramachandran is the Founder of SquareX, which is building a productivity-first consumer security product and has raised a 6M USD seed round from Sequoia Capital SEA. Previously, he was the Founder, CEO of Pentester Academy which trained thousands of customers from government agencies, Fortune 500 companies, and smaller enterprises from over 90 countries. Pentester Academy was acquired by INE in 2021. Vivek has been researching Wi-Fi security for over a decade. He discovered the Caffe Latte attack, broke WEP Cloaking, conceptualized enterprise Wi-Fi Backdoors, created Chellam (Wi-Fi Firewall), WiMonitor Enterprise (802.11ac monitoring), Chigula (Wi-Fi traffic analysis via SQL), Deceptacon (IoT Honeypots) and others. He is the author of multiple five star rated books on Wi-Fi security which have together sold over 20,000+ copies worldwide and have been translated to multiple languages. He is a regular speaker/trainer at top security conferences such as Blackhat USA, Europe and Abu Dhabi, DEFCON, Brucon, HITB, Hacktivity and others. Vivek's work on wireless security (Caffe Latte attack) has been quoted in BBC online, InfoWorld, MacWorld, The Register, IT World Canada and others. You can reach out to him on Twitter - https://twitter.com/vivekramac LinkedIn - https://www.linkedin.com/in/vivekramachandran/ SquareX - https://sqrx.com/ SquareX LinkedIn - https://www.linkedin.com/company/squarexonline/ Follow "Stories of Infosec Journeys" podcast on LinkedIn - Stories of Infosec Journeys Twitter - @InfosecJourneys Instagram & Facebook - @storiesofinfosecjourneys Kindly rate the podcast on Spotify and leave a review on Apple podcast.

Paul Asadoorian is a security veteran that has spent time “in the trenches” implementing comprehensive security programs across a wide array of industries. A proven cybersecurity leader and innovator, Paul founded “Security Weekly” – a podcast network providing free knowledge for the entire security community to benefit from. As former Product Evangelist for Tenable, Paul built a library of materials on the topic of vulnerability management. He has also spent time as an instructor for The SANS Institute, an IANS faculty member and has presented at security conferences including RSA, Derbycon, BruCon, SOURCE Conference and more.I run into him at the bar, and we chat about his journey into cyber, the ability to deliver quality content to his audience while staying ahead of the game, his thoughts on vulnerability researchers, the public portrayal of hackers, and the one finding you'd see in a gap analysis of the entire cybersecurity industry.Tony the Bartender cranks up a “King's Jubilee”.Support the show (https://www.patreon.com/barcodepodcast)

Kai Jern (xwings), is Lab Director of The ShepherdLab, of JD Security. His research topic mainly on embedded device, hardware security, blockchain security, reverse engineering and various security topics. He presented his findings in different international security conferences like Defcon, HITB, Codegate, QCon, KCon, Brucon, H2HC and etc. He conducted hardware Hacking course in various places around the globe. He is also the owner of hackersbadge.com, actively involved in Unicorn (https://unicorn-engine.org) development and founder of Qiling Framework (https://qiling.io)

Огляд процесу створення та проведення сучасних хакерських змагань в форматі CTF. Інтерв'ю з серійним організатором CTF Сергієм Короленком.   P.S. Всі завдання OWASP Ukraine CTF для самостійного розгортання: https://github.com/Annihilat0r/owaspctf  ...

Огляд процесу створення та проведення сучасних хакерських змагань в форматі CTF. Інтерв'ю з серійним організатором CTF Сергієм Короленком.   P.S. Всі завдання OWASP Ukraine CTF для самостійного розгортання: https://github.com/Annihilat0r/owaspctf 

Огляд процесу створення та проведення сучасних хакерських змагань в форматі CTF. Інтерв'ю з серійним організатором CTF Сергієм Короленком.   P.S. Всі завдання OWASP Ukraine CTF для самостійного розгортання: https://github.com/Annihilat0r/owaspctf  ...

Aseem Jakhar is the Director, research at Payatu Software Labs payatu.com a boutique security testing company. He is a renowned security researcher with extensive experience in system programming, security research and consulting. He is well known in the hacking and security community as the founder of null - The open security community, registered not-for-profit organization http://null.co.in and also the founder of nullcon security conference nullcon.net and hardwear.io security conference http://hardwear.io He currently spends his time researching on IoT security and hacking things. He is an active speaker and trainer at security conferences like AusCERT, Black Hat, Brucon, Defcon, Hack.lu, Hack in Paris, PHDays and many more. He has authored various open source projects including Linux thread injection kit – Jugaad and Indroid which demonstrate a stealthy in-memory malware infection technique, DIVA (Damn Insecure and Vulnerable App) for Android which gamifies Android App vulnerabilities and Expliot - Internet of Things Exploitation framework.

Materials Available here:https://media.defcon.org/DEF%20CON%2023/DEF%20CON%2023%20presentations/DEFCON-23-David-Mortman-Docker-UPDATED.pdf Docker, Docker, Give Me The News, I Got A Bad Case Of Securing You David Mortman Chief Security, Architect & Distinguished Engineer, Dell Software Docker is all the rage these days. Everyone is talking about it and investing in it, from startups to enterprises and everything in between. But is it secure? What are the costs and benefits of using it? Is this just a huge risk or a huge opportunity? There's a while lot of ranting and raving going on, but not nearly enough rational discourse. I'll cover the risks and rewards of using Docker and similar technologies such as AppC as well as discuss the larger implications of using orchestration systems like Mesos or Kubernetes. This talk will cover the deep technical issues to be concerned about as well as the pragmatic realities of the real world. David Mortman is the Chief Security Architect and Distinguished Engineer at Dell Software and is a Contributing Analyst at Securosis. Before Dell, he ran operations and security for C3. Formerly the Chief Information Security Officer for Siebel Systems, Inc., Previously, Mr. Mortman was Manager of IT Security at Network Associates. Mr. Mortman has also been a regular panelist and speaker at RSA, Blackhat, DEF CON and BruCon as well. Mr.Mortman sits on a variety of advisoryboards including Qualys, Lookout and Risk I/O. He holds a BS in Chemistry from the University of Chicago. David writes for Securosis, Emergent Chaos and the New School blogs.

Chigula — a framework for Wi-Fi Intrusion Detection and Forensics Vivek Ramachandran, Founder, SecurityTube.net and Pentester Academy Most of Wi-Fi Intrusion Detection & Forensics is done today using million dollar products or spending hours applying filters in Wireshark :) Chigula aims to solve this by providing a comprehensive, extensible and scriptable framework for Wi-Fi intrusion detection and forensics. A non-exhaustive list of attacks which will be detected using this framework include: Attack tool detection - Aireplay-NG, Airbase-NG, Mdk3 etc. Honeypot, Evil Twin and Multipot attacks Rogue devices Vulnerable clients based on Probed SSIDs Hosted network based backdoors MAC spoofing Deauthentication attacks Disassociation attacks Channel Jamming attacks using duration field Vivek Ramachandran discovered the Caffe Latte attack, broke WEP Cloaking and publicly demonstrated enterprise Wi-Fi backdoors. He is the author of "Backtrack 5: Wireless Penetration Testing" which has sold over 13,000+ copies worldwide. He is the founder of SecurityTube.net and runs SecurityTube Training & Pentester Academy which has trained professionals from 90 countries. He has spoken/trained at DEF CON, Blackhat USA/Europe/Abu Dhabi, Brucon, Hacktivity etc. conferences. Twitter: @securitytube Facebook: https://www.facebook.com/pagesectube

Materials Available here: https://media.defcon.org/DEF%20CON%2023/DEF%20CON%2023%20presentations/DEFCON-23-Vivek-Ramachadran-Chellam.pdf Chellam – a Wi-Fi IDS/Firewall for Windows Vivek Ramachandran Founder, SecurityTube.net and Pentester Academy This talk will introduce techniques to detect Wi-Fi attacks such as Honeypots, Evil Twins, Mis-association , Hosted Network based backdoors etc. on a Windows client without the need for custom hardware or drivers. Our attack detection techniques will work for both Encrypted (WPA/WPA2 PSK and Enterprise) and Unencrypted networks. We will also release a proof of concept tool implementing our detection techniques. Even though the focus of this talk is Windows, the same principles can be used to protect other Operating Systems, both workstation and mobile. Vivek Ramachandran discovered the Caffe Latte attack, broke WEP Cloaking and publicly demonstrated enterprise Wi-Fi backdoors. He is the author of "Backtrack 5: Wireless Penetration Testing" which has sold over 13,000+ copies worldwide. He is the founder of SecurityTube.net and runs SecurityTube Training & Pentester Academy which has trained professionals from 90 countries. He has spoken/trained at DEF CON, Blackhat USA/Europe/Abu Dhabi, Brucon, Hacktivity etc. conferences. Twitter: @securitytube Facebook: https://www.facebook.com/pagesectube

Materials Available here: https://media.defcon.org/DEF%20CON%2023/DEF%20CON%2023%20presentations/DEFCON-23-Mickey-Shkatov-Jesse-Michael-Scared-poopless-LTE-and-your-laptop-UPDATED.pdf Scared Poopless – LTE and *your* laptop Mickey Shkatov Security researcher, Intel Advanced Threat Research. Jesse Michael Security researcher With today’s advancement in connectivity and internet access using 3G and LTE modems it seems we all can have a device that’s always internet capable, including our laptops, tablets, 2 in 1’s ultrabook. It becomes easier to be online without using your WiFi at all. In our talk we will demonstrate and discuss the exploitation of an internal LTE modem from Huawei which can be found in a number of devices including laptops by HP. Mickey Shkatov is a security researcher and a member of the Intel Advanced Threat Research team. His areas of expertise include vulnerability research, hardware and firmware security, and embedded device security. Mickey has presented some of his past research at DEF CON, Black Hat USA, BruCON, and BsidesPDX Twitter: @laplinker Jesse Michael has been working in security for over a decade and is currently a security researcher at a Fortune 50 company who spends his time causing trouble and finding low-level hardware security vulnerabilities in modern computing platforms. Twitter: @jessemichael

EL is back! Outage Explained. Brucon, and lots of it. M$/Danger Fail. Much much more.

EL is back! Outage Explained. Brucon, and lots of it. M$/Danger Fail. Much much more.

Slides Here: https://defcon.org/images/defcon-22/dc-22-presentations/Mortman/DEFCON-22-Fail-Panel-Defcon-Comedy-Jam-VII.pdf DEF CON Comedy Jam Part VII, Is This The One With The Whales? David Mortman @MORTMAN Rich Mogull @RMOGULL Chris Hoff @BEAKER Dave Maynor @ERRATADAVE Larry Pesce @HAXORTHEMATRIX James Arlen @MYRCURIAL Rob Graham @ERRATAROB Alex Rothman Shostack @ARS_INFOSECTICA Weeeeeeeeee're baaaaaack. Bring out your FAIL. It's the most talked about panel at DEF CON! A standing room only event with a wait list at the door. Nothing is sacred, not the industry, not the audience, not even each other. Last year we raised over $2000 for the EFF and over $5000 over the last 5 years, let's see how much we can raise this year.... David Mortman is the Chief Security Architect and Distinguished Engineer at Dell Enstratius and is a Contributing Analyst at Securosis. Before enStratus, he ran operations and security for C3. Formerly the Chief Information Security Officer for Siebel Systems, Inc., Previously, Mr. Mortman was Manager of IT Security at Network Associates. Mr. Mortman has also been a regular panelist and speaker at RSA, Blackhat, DEF CON and BruCon as well. Mr.Mortman sits on a variety of advisoryboards including Qualys, Lookout and Virtuosi. He holds a BS in Chemistry from the University of Chicago. David writes for Securosis, Emergent Chaos and the New School blogs. James Arlen, CISA, is a senior consultant at Leviathan Security Group providing security consulting services to the utility, healthcare and financial verticals. He has been involved with implementing a practical level of information security in Fortune 500, TSE 100, and major public-sector corporations for over 20 years. James is also a contributing analyst with Securosis, faculty at IANS and a contributor to the Liquidmatrix Security Digest. Best described as: "Infosec geek, hacker, social activist, author, speaker, and parent." His areas of interest include organizational change, social engineering, blinky lights and shiny things. Larry is a Senior Security Analyst with InGuardians performing penetration testing, wireless assessments, and hardware hacking. He also diverts a significant portion of his attention co-hosting the Paul's Security Weekly podcast and likes to tinker with all things electronic and wireless, much to the disappointment of his family, friends, warranties, and his second Leatherman Multi-tool. Larry is an Extra Class Amateur Radio operator (KB1TNF) and enjoys developing hardware and real-world challenges for the Mid-Atlantic Collegiate Cyber Defense Challenge.

We talk to Marisa Fagan from Bugcrowd about the upcoming "Bug Bash" events at OWASP AppSec USA and BruCON More information about the AppSec USA 2014 "Bug Bash" can be found here --> https://2014.appsecusa.org/2014/speaker/bugbash/ More information about the BruCON "Bug Bash" can be found here --> http://2014.brucon.org/index.php/The_Bug_Bash

Matt is a long time volunteer of BruCON and is going to let us know all the great things in store for 2013. Ira Winkler, CISSP is President of Secure Mentem. Ira is one of the foremost experts in the human elements of cyber security and is known for the extensive espionage and social engineering simulations that he has conducted for Fortune 500 companies globally, and has been named a "Modern Day James Bond" by the media.

Matt is a long time volunteer of BruCon and is going to let us know all the great things in store for 2013.

Iftach 'Ian' Amit returns to FIRST2011 and talks to Chris John Riley about his presentation while also touching on the importance of making connections at conferences such as FIRST and his uphill struggle with pulling together a non-government CERT team in Israel. Amit first presented at the FIRST Conference in 2010. He has over a decade of experience in the information security industry and has presented at leading industry conferences such as BlackHat, DefCon, Infosec, Hacker-Halted, BruCon and SOURCE. Join him on Monday, 13th of June in the Scissors Track at 16:00.

So this is what Paul was doing at BruCon, Lots of it too. Here is the recording from the podcasters meet up at BruCon 2010. Its actually not a train wreck for once. Download, pour your self a Duvel and enjoy! Brucon 2010 PodCaster Meetup direct download Audio Feeds:

Episode 212 Show Notes While Paul is away across the pond at BruCon (drinking RandomStorm provided beer) the mice play. We bid a final (for now) in studio fair well to Twitchy, who is feeling much better. Twitchy is leaving Rhode Island for bigger and better things to the south. Do not cry, because we welcome someone new to the show, Dan King, who will give us the low down on some fun we can have with WarVox and a permissible VoIP provider. Episode 212 Part 2 - Direct Audio Download Hosts: Paul Asadoorian,John Strand,Larry Pesce,Carlos Perez Audio Feeds:

Episode 212 Show Notes While Paul is away across the pond at BruCon (drinking randomstorm provided beer) the mice play, and Travis Goodspeed joins us on the show to discuss Sonic Screwdrivers of neighborliness, Clouds of black toxic smoke, imbedded security, and why real men have pink pagers. Episode 212 Part 1 - Direct Audio Download Hosts: Paul Asadoorian,John Strand,Larry Pesce,Carlos Perez Audio Feeds:

Episode 210 Show Notes Join us for the release of the upSploit project. We are also up to the challenge of mentioning 'RandomStorm' as many times as possible, each mention and Paul gets a beer. He has to go to BruCon to get it. Enjoy all the beer Paul. Don't pass out at a Con that would be silly... Episode 210 Part 1 - Direct Audio Download Hosts: Paul Asadoorian,John Strand,Larry Pesce,Carlos Perez Audio Feeds: