Actu - 30 août 2026
30 août 2026
Parce que... c'est l'épisode 0x339!
PME - CyberBBQ part 5 - La place de la gouvernance durant un incident
22 août 2026
Parce que... c'est l'épisode 0x338!
PME - CyberBBQ part 4 - La place du red teaming durant un incident
22 août 2026
Parce que... c'est l'épisode 0x337!
PME - CyberBBQ part 3 - La place de la protection des courriels durant un incident
22 août 2026
Parce que... c'est l'épisode 0x336!
PME - CyberBBQ part 2 - La place de la des postes et des serveurs durant un incident
22 août 2026
Parce que... c'est l'épisode 0x335!
PME - CyberBBQ part 1 - La place de la protection web durant un incident
22 août 2026
Parce que... c'est l'épisode 0x334!
Big bro au bureau par Cyber Citoyen et Polysécure
18 aoput 2026
Parce que... c'est l'épisode 0x333!
Actu - 23 août 2026
23 août 2026
Parce que... c'est l'épisode 0x332!
Spécial - Chronhr ou comment trouver la fraude (Propolys)
14 août 2026
Parce que... c'est l'épisode 0x331!
Teknik - Le CI/CD pour piéger les développeurs
09 juillet 2026
Parce que... c'est l'épisode 0x330!
PME - Retour d'expérience de la seconde cohorte de l'UQTR FORCE
11 juin 2026
Parce que... c'est l'épisode 0x32F!
Actu - 16 août 2026
16 août 2026
Parce que... c'est l'épisode 0x32E!
Teknik - Breaking the Backbone of Global ISP Networks (Troopers)
20 juillet 2026
Parce que... c'est l'épisode 0x32D!
Teknik - Pas besoin d'être un Mythos pour faire de l'offensif (leHACK)
30 juillet 2026
Parce que... c'est l'épisode 0x32C!
H'umain - identroad ou l'application de le souveraineté numérique au Québec (Propolys)
11 juin 2026
Parce que... c'est l'épisode 0x32B!
Actu - 09 août 2026
09 août 2026
Parce que... c'est l'épisode 0x32A!
PME - Impact de l'intelligence artificielle sur la cybersécurité et la fraude
02 juin 2026
Parce que... c'est l'épisode 0x329!
H'umain - Crypto-surprise (leHACK)
24 juillet 2026
Parce que... c'est l'épisode 0x328!
PME - Résilience et fermeture de crise
21 mai 2026
Parce que... c'est l'épisode 0x327!
Actu - 02 août 2026
02 août 2026
Parce que... c'est l'épisode 0x326!
PME - Résilience et préparation du nombril
21 mai 2026
Parce que... c'est l'épisode 0x325!
Teknik - N8ive by design - one leaked key, three attack chains (leHACK)
02 juillet 2026
Parce que... c'est l'épisode 0x324!
Peter Thiel et bro selon Cyber Citoyen et Polysécure
21 juillet 2026
Parce que... c'est l'épisode 0x323!
Actu - 26 juillet 2026
26 juillet 2026
Parce que... c'est l'épisode 0x322!
H'umain - Le futur s'invente avant-hier (nsec)
07 juillet 2026
Parce que... c'est l'épisode 0x321!
Spécial - Le 800e aka l'état de la recherche cybersécurité au Québec
12 août 2026
Parce que... c'est l'épisode 0x320!
PME - Résilience et eau bouillante
21 mai 2026
Parce que... c'est l'épisode 0x31F!
Actu - 19 juillet 2026
19 juillet 2026
Parce que... c'est l'épisode 0x31E!
Teknik - De Nessus à Bromure (SSTIC)
05 juin 2026
Parce que... c'est l'épisode 0x31D!
Teknik - La curiosité source de toutes les croissances en cybersécurité
08 juin 2026
Parce que... c'est l'épisode 0x31C!
Teknik - Posture de l'IA défensif ou comment nous apprenons de l'IA offensif
10 juillet 2026
Parce que... c'est l'épisode 0x31B!
Actu - 12 juillet 2026
12 juillet 2026
Parce que... c'est l'épisode 0x31A!
Teknik - Génération des mots de passe par LLM
03 juin 2026
Parce que... c'est l'épisode 0x319!
Teknik - A Needle in a Haystack - Identifying an Infostealer Attack Through Trillions of Events in a Large-scale Modern SOC
15 mai 2026
Parce que... c'est l'épisode 0x318!
PME - Retour d'expérience de deux étudiants de la première cohorte du programme UQTR FORCE
13 mai 2026
Parce que... c'est l'épisode 0x317!
Actu - 05 juillet 2026
05 juillet 2026
Parce que... c'est l'épisode 0x316!
Teknik - Living Off The Pipeline - Defensive Research, Weaponized
15 mai 2026
Parce que... c'est l'épisode 0x315!
Teknik - Au-delà des identifiants - le profilage des victimes dans l'économie des cleptogiciels
29 avril 2026
Parce que... c'est l'épisode 0x314!
Spécial - La géopolitique s'invite en cyber
04 mai 2026
Parce que... c'est l'épisode 0x313!
Actu - 28 juin 2026
28 juin 2026
Parce que... c'est l'épisode 0x312!
Teknik - Sold to the highest bidder - the escalation of ADINT from geolocation tracking to intrusion vector (nsec)
15 mai 2026
Parce que... c'est l'épisode 0x311!
Teknik - Cryptographie distribuée - la clé de la souveraineté quantique (Cybereco)
29 avril 2026
Parce que... c'est l'épisode 0x310!
Spécial - Cybersécurité, sureté, risque dans un grand groupe
12 février 2026
Parce que... c'est l'épisode 0x30F!
Actu - 21 juin 2026
21 juin 2026
Parce que... c'est l'épisode 0x30E!
Teknik - Panel nsec 2026
14 mai 2026
Parce que... c'est l'épisode 0x30D!
Spécial - L'IA au service de la cybersécurité - de l'optimisation à la transformation (Cybereco)
29 avril 2026
Parce que... c'est l'épisode 0x30C!
Le marché dérégulé selon Cyber Citoyen et Polysécure
11 juin 2026
Parce que... c'est l'épisode 0x30B!
Actu - 14 juin 2026
14 juin 2026
Parce que... c'est l'épisode 0x30A!
PME - Reconnaitre le bias cognitif pour mieux se protéger
07 mai 2026
Parce que... c'est l'épisode 0x309!
Teknik - Doxxing-proof authentic digital media - trust the asset, protect the source (nsec)
14 mai 2026
Parce que... c'est l'épisode 0x308!
H'umain - Horizon 2030 - Le cerveau humain, nouvelle infrastructure critique de la cybersécurité (Cybereco)
29 avril 2026
Parce que... c'est l'épisode 0x307!
Actu - 7 juin 2026
07 juin 2026
Parce que... c'est l'épisode 0x306!
PME - Mythos ou pas mythos
11 mai 2026
Parce que... c'est l'épisode 0x305!
Teknik - A systematic approach to evading antivirus software
14 mai 2026
Parce que... c'est l'épisode 0x304!
Teknik - GenAI en cybersécurité - cas concret d'utilisation et retour d'expérience (Cybereco)
29 avril 2026
Parce que... c'est l'épisode 0x303!
Actu - 31 mai 2026
31 mai 2026
Parce que... c'est l'épisode 0x302!
Teknik - Sécurité des sous-stations électriques
09 avril 2026
Parce que... c'est l'épisode 0x301!
Teknik - Private Key Leaks in the Wild - Insights from Certificate Transparency (nsec)
14 mai 2026
Parce que... c'est l'épisode 0x300!
Teknik - Stratégie de sécurité applicative adaptée à l'IA (Cybereco)
29 avril 2026
Parce que... c'est l'épisode 0x2FF!
Actu - 24 mai 2026
24 mai 2026
Parce que... c'est l'épisode 0x2FE!
Spécial - Retour sur Google Next 2026
02 mai 2026
Parce que... c'est l'épisode 0x2FD!
Teknik - État de la menace en 2026 (Cybereco)
28 avril 2026
Parce que... c'est l'épisode 0x2FC!
Parce que… c’est l’épisode 0x2FC!
Shameless plug
- 3 au 5 juin 2026 - Rennes, France - - SSTIC 2026
- 24 et 25 juin 2026 - Allemagne - - Troopers
- 26 et 27 juin 2026 - Paris, France - - leHACK
- 30 juin au 2 juillet 2026 - Lille, France - - Pass the SALT
- 6 au 9 août 2026 - Las Vegas, USA - - DEFCON 34
- 19 septembre 2026 - Montréal Canada - - Bsides Montréal 2026
- 22 septembre 2026 - Belgique - - BE-Cyber
- 24 au 25 septembre 2026 - Belgique - - BruCON
- 1er au 3 octobre 2026 - Krakow, Pologne - - AligatorCon
- 13 et 14 novembre 2026 - Worldwide - - DEATHCon
Description
Dans cet épisode spécial de Polysécure consacré à Cybereco, Charles F. Hamilton présente son analyse annuelle de l’état de la menace cyber en 2026. Comme chaque année, il s’efforce de distinguer le discours marketing des vendeurs de la réalité observée sur le terrain, fort de son expérience quotidienne en tests d’intrusion offensifs.
Azure et Entra ID : des failles par défaut
Une large partie de la discussion porte sur l’environnement Microsoft Azure et Entra ID (anciennement Azure Active Directory). Charles souligne un problème fondamental : beaucoup d’entreprises partent du principe que « si c’est Microsoft, c’est sécurisé », ce qui crée une forme de déresponsabilisation dangereuse. En réalité, la configuration par défaut d’Azure offre très peu de visibilité — les logs et informations de sécurité essentiels sont verrouillés derrière un paywall, rendant la validation quasi impossible sans un intervenant offensif.
Un exemple frappant illustre ce problème : lorsqu’une entreprise configure une politique d’accès conditionnel imposant le MFA pour toutes les applications mais ajoute une seule exception (par exemple pour un compte d’automatisation), Microsoft ajoutait silencieusement Microsoft Graph et Azure Active Directory dans les exceptions. Or, Microsoft Graph est le point d’entrée vers pratiquement tous les services cloud. Un attaquant disposant d’un identifiant et mot de passe pouvait donc s’authentifier via Microsoft Graph sans aucun MFA. Bien que Microsoft ait corrigé ce comportement récemment, toute exception créée avant le correctif reste active. Charles en découvre encore quotidiennement, ce qui pose un problème majeur — notamment pour les assureurs, dont les questionnaires de conformité ne détectent pas ces failles.
Le décalage entre sécurité offensive et défensive
Charles défend l’idée que la sécurité offensive a une longueur d’avance considérable sur la défensive. Les produits de sécurité défensive bloquent souvent des menaces qui datent de plusieurs années, pas celles d’aujourd’hui. Il prend l’exemple du device code phishing, une technique qu’il utilise depuis une dizaine d’années et que les attaquants malveillants commencent seulement à découvrir en 2026. Les entreprises qui ont investi dans des tests offensifs il y a cinq ou six ans sont déjà protégées ; les autres paniquent aujourd’hui.
Il insiste sur la valeur du Red Team : contrairement à un scan automatisé qui produit des milliers de vulnérabilités toutes marquées « critiques », un Red Team raconte une histoire — il identifie le chemin qu’un attaquant emprunterait pour atteindre ce qui a réellement de la valeur pour l’entreprise. Charles mentionne également le score EPSS (Exploit Prediction Scoring System), encore trop méconnu, qui permet de prioriser les vulnérabilités en fonction de leur probabilité réelle d’exploitation plutôt que de leur sévérité théorique.
Infostealers et ClickFix : les menaces du quotidien
La conversation aborde ensuite les infostealers, des logiciels malveillants qui récupèrent les mots de passe stockés dans les navigateurs. Leur efficacité tient à leur discrétion : ils ne touchent pas aux processus surveillés par les EDR/XDR et sont donc très peu détectés. Pire, ils se propagent souvent via des installeurs gratuits pour des jeux populaires comme Roblox ou Minecraft, ciblant les enfants. Quand un parent prête son ordinateur professionnel à son enfant, les identifiants corporatifs se retrouvent compromis. Charles rapporte des chiffres vertigineux : un de ses contacts dans le domaine possède des logs provenant de 600 millions de postes uniques infectés par des infostealers.
Quant aux attaques ClickFix, Charles se dit fasciné qu’elles fonctionnent, car elles demandent à l’utilisateur d’exécuter une série d’étapes complexes — copier du PowerShell dans une invite de commande, par exemple. Mais l’utilisateur moyen ne comprend tout simplement pas ce qu’il fait : les extensions de fichiers, les commandes, tout cela n’a aucun sens pour lui. Le succès du phishing repose uniquement sur l’expérience utilisateur : plus c’est simple, plus ça marche.
Supply chain et cas extrêmes
Charles partage des histoires marquantes de sa carrière. Il a testé la sécurité d’avions dont les interfaces pilotes tournaient sous Flash et Windows embarqué. Bien que l’avion soit physiquement déconnecté d’internet, le laptop de mise à jour, lui, y passait — ouvrant la porte à des attaques de supply chain. Il raconte aussi le cas de guichets ATM dont le système de gestion acceptait des mises à jour non signées, permettant l’injection de code malveillant.
Plus récemment, il a travaillé sur des cas d’infiltration d’employés nord-coréens se faisant passer pour des développeurs. Fait surprenant : ces individus étaient de bons ingénieurs et se faisaient toujours démasquer par des anomalies humaines (incohérences de localisation), jamais par leur code.
IA, vibe coding et secrets exposés
L’essor du vibe coding assisté par IA aggrave un problème existant : des développeurs qui ne comprennent pas ce qu’ils produisent. Charles a trouvé plus de 124 000 résultats sur GitHub pour « remove client secret » — des commits où des développeurs retirent des secrets Azure (tenant ID, application ID, client secret) sans jamais les révoquer. Beaucoup de ces commits portent les traces caractéristiques de code généré par IA, avec des emojis dans les commentaires.
Le paradoxe de l’industrie cyber
En conclusion, Charles soulève un paradoxe central : on n’a jamais eu autant de produits de sécurité, de solutions et de technologies pour prévenir les brèches, et pourtant on n’a jamais eu autant de brèches. Les entreprises s’étouffent sous les abonnements coûteux et les promesses marketing, mais négligent l’hygiène de base — segmentation réseau, gestion des correctifs, inventaire des systèmes. L’industrie souffre aussi d’un manque de conséquences réelles pour les entreprises négligentes, ce qui pousse beaucoup d’entre elles à faire le strict minimum. Le vrai travail reste à faire, et il commence par les fondamentaux.
Collaborateurs
Crédits
- Montage par Intrasecure inc
- Locaux réels par Intrasecure inc
Tags: azure, cloud, cybereco, entra












