Numéro 5 | Août 2026
Ce mois-ciLeo Grove, président et directeur général de SSL, explique pourquoi nous offrons la confiance et comment cela aide les innovateurs à surmonter les obstacles.
PlusQu’est-ce que le vishing ? Explorez également les impacts des cyberattaques, des grandes entreprises à des cibles beaucoup plus proches de chez vous : le robinet de votre cuisine.
Message de Leo Grove, président-directeur général de SSL
Au fil des ans, j'ai vu suffisamment de normes de sécurité stagner pour savoir pourquoi : la voie d'accès est souvent trop coûteuse pour tous sauf les plus grands acteurs.
Alors que C2PA continue de relever la barre avec des exigences mises à jour, SSL offre désormais des certificats de signature de réclamation de niveau d'assurance 1 gratuits, avec 10 000 horodatages fiables pour les produits conformes admissibles.
In mon dernier article de blogJ'y explique en détail pourquoi nous faisons cela et ce que cela signifie, selon moi, pour l'avenir de la norme.
Si vous travaillez dans le domaine de la provenance du contenu ou en lien avec celle-ci, j'aimerais beaucoup connaître votre avis, surtout si vous développez un système conforme à la norme C2PA.
Actualités récentes : Le point sur le paysage de la confiance numérique
Les entreprises américaines font face à une vague croissante de cyberattaques De plus en plus d'entreprises américaines majeures, dont Nike, West Pharmaceutical Services et Carnival, ont révélé avoir été victimes de cyberattaques cette année. Ces attaques ont entraîné le vol de données, la divulgation d'informations clients et des perturbations de leurs opérations. Découvrez qui figure sur la liste et vérifiez si vos propres données y sont déjà concernées. Histoire complète
Les plus grands fonds de Wall Street victimes d'attaques de vishing Des pirates informatiques ont récemment lancé une vague d'attaques sophistiquées contre d'importants gestionnaires d'actifs, dont Point72, Millennium, Citadel et Two Sigma. Ils ont utilisé le phishing vocal (ou « vishing ») basé sur l'intelligence artificielle pour inciter les employés à divulguer leurs identifiants. Découvrez comment les fonds spéculatifs gérant des milliards de dollars réagissent et ce que cela révèle sur l'impact de l'IA sur les méthodes des attaquants. Histoire complète
Des piratages du réseau d'approvisionnement en eau révèlent des années d'avertissements ignorés. Les autorités fédérales et étatiques s'efforcent de contrer une attaque de grande ampleur contre le réseau d'approvisionnement en eau du pays, qu'elles attribuent probablement à des pirates informatiques iraniens, après des années d'efforts infructueux pour renforcer les cyberdéfenses du secteur. Découvrez l'étendue de la faille et ce qu'elle révèle sur l'infrastructure qui protège votre eau du robinet. Histoire complète
Coup de projecteur sur l'industrie : des solutions pratiques aux défis du monde réel
Quand votre serveur de vidéoconférence devient un système de diffusion de logiciels malveillants
Un groupe de cybercriminels connu sous le nom de Head Mare exploite des failles de sécurité dans les serveurs TrueConf non patchés afin de remplacer les installateurs clients officiels de la plateforme. Cette menace utilise des versions infectées qui déploient la porte dérobée PhantomCore et un cheval de Troie d'accès à distance dans les systèmes de toute personne les téléchargeant. L'attaque ne repose pas sur la tromperie des utilisateurs, qui ne sont pas incités à cliquer sur un lien suspect ou à ouvrir une pièce jointe malveillante. Elle exploite le mécanisme de mise à jour auquel les utilisateurs font déjà confiance.
Cette faille de sécurité permet aux attaquants d'exécuter du code arbitraire avec des privilèges système sur le serveur. Ils peuvent ensuite installer un shell web pour un accès persistant et remplacer la distribution légitime du client TrueConf par une version infectée. Dès lors, chaque employé qui télécharge ce qu'il croit être le client de visioconférence officiel de son organisation installe un logiciel malveillant.
L'impact sur l'entrepriseKaspersky a détecté ces attaques en juillet 2026, ciblant des organisations des secteurs de l'instrumentation, de l'électronique, des transports, de l'énergie, des technologies de l'information et du développement logiciel. Une fois installé, PhantomCore confère aux attaquants un accès distant persistant, la capacité de collecter des identifiants et un point d'ancrage leur permettant de se déplacer latéralement sur le réseau. L'attaque est particulièrement difficile à détecter car son mécanisme de diffusion repose sur un serveur interne de confiance, et non sur un acteur malveillant externe envoyant des fichiers non sollicités. Au moment où la compromission est identifiée, l'attaquant peut avoir infiltré le réseau pendant des semaines.
Ce qui aurait pu l'empêcher : Le programme d'installation de TrueConf possédait une signature légitime. L'attaque opérait à un autre niveau, remplaçant le logiciel en cours d'exécution après l'installation grâce à l'exploitation d'une vulnérabilité du service lui-même. Détecter ce type de substitution exige un contrôle strict des applications. Des outils comme AppLocker et le Contrôle des applications de Windows Defender peuvent être configurés pour vérifier la signature de chaque binaire avant son exécution, non seulement lors de l'installation, mais aussi lors de l'exécution. Un binaire remplacé ou altéré, incapable de présenter une signature valide et fiable, est bloqué avant son exécution. Pour que cette politique soit efficace, les logiciels légitimes doivent impérativement être correctement signés dès le départ. Certificats de signature de code SSL Fournir le cadre cryptographique que les politiques de contrôle des applications appliquent. Sans binaires signés, ces outils ne disposent d'aucun référentiel de confiance pour fonctionner.
La leçon plus généraleL'intégrité de la chaîne d'approvisionnement, notamment celle des logiciels distribués en interne, représente une surface d'attaque de plus en plus importante. Le correctif des vulnérabilités des serveurs demeure essentiel, mais ne suffit pas à lui seul. Les organisations qui signer cryptographiquement leur logicielet configurent leurs points de terminaison pour appliquer ces signatures, ajoutant ainsi une couche de défense qui persiste même lorsque l'infrastructure de distribution est compromise.
Source:
https://thehackernews.com/2026/08/head-mare-exploits-trueconf-flaws-to.html
Événements passés et à venir : conférences, réunions sur les normes et plus encore
Vous avez manqué notre dernier webinaire ? Pas de souci ! Vous pouvez maintenant le visionner. regarder la rediffusion à la demande.
La conférence « Au-delà des spécifications : instaurer une véritable confiance dans le C2PA » était animée par Dominique Guinard, directrice produit SSL – authenticité du contenu et IoT, et Tony Rodriguez, directeur technique de Digimarc.
Ce webinaire explore les exigences d'une confiance de niveau production ; comment rendre les identifiants de contenu plus fiables, durables et interopérables en pratique ; et les points de vue des praticiens des équipes qui utilisent aujourd'hui C2PA. Regarder maintenant.
Article 50 de la loi européenne sur l'intelligence artificielle
Retour effectif sur 2 août 2026Toute organisation qui conçoit ou déploie des systèmes d'IA générative destinés à toucher des personnes dans l'UE a une nouvelle obligation légale : elle doit indiquer que le contenu est généré par l'IA. En savoir plus sur le règlement ici.
Loi californienne sur la transparence de l'IA (SB 942 / AB 853)
La loi californienne est également entrée en vigueur le 2 août 2026. AB 853 La date d'entrée en vigueur initialement prévue pour janvier 2026 a été repoussée afin de s'aligner sur le calendrier de l'UE. Les principaux fournisseurs d'IA générative opérant en Californie doivent intégrer des données de provenance, proposer un outil de détection gratuit et rendre les résultats générés par leurs systèmes d'IA détectables par machine. La loi AB 853 renvoie directement à des normes telles que C2PA pour satisfaire aux exigences de provenance. Consultez l'intégralité du document. Les dernières échéances réglementaires en matière d'IA sont disponibles ici..
Liens rapides : Guides, articles et ressources sectorielles
- Validation d'identité pour les certificats SSL.com : un guide complet — Apprenez comment effectuer la validation d'identité SSL, notamment en consultant les documents d'identité acceptés par pays, en suivant des conseils sur la vidéo de présence et en découvrant les étapes à suivre pour corriger une soumission ayant échoué.
- Validation DNS CNAME pour SSL/TLS Certificats — Apprenez comment vérifier la propriété d'un domaine avec la validation DNS CNAME pour SSL/TLS Certificats utilisant GoDaddy, Namecheap, Amazon Route 53 et Cloudflare.
- Premiers pas avec votre certificat de signature de code : installation, configuration et première opération de signature — Apprenez à installer, configurer et utiliser votre certificat de signature de code SSL.com pour signer des logiciels en toute sécurité et vérifier l'authenticité de votre application.
- Qu'est-ce que le protocole ACME ? — Découvrez le protocole ACME, une méthode automatisée de gestion SSL/TLS Cycles de vie des certificats. Découvrez comment il simplifie l'émission et le renouvellement des certificats et améliore la sécurité des sites web grâce à une automatisation standardisée.
Vous avez des questions sur ces sujets ou souhaitez discuter de vos solutions de confiance numérique avec nos experts ? Contactez-nous ci-dessous :