Bureau d'Analyse et d'Expertise Informatique

14/08/2026

Réseaux sociaux et contrôle d'âge : le rappel à l'ordre du Conseil constitutionnel

Ce 14 août, le Conseil constitutionnel a censuré le dispositif central de la loi française visant à interdire les réseaux sociaux aux moins de 15 ans.

Le motif est d'une clarté limpide : imposer une vérification d'âge généralisée crée une atteinte non proportionnée à la liberté de communiquer et met en péril la vie privée de l'ensemble des citoyens.

Cette décision retentissante illustre parfaitement le mur contre lequel se heurtent les tentatives de régulation par la contrainte d'identification :

Sur le plan du droit : La levée d'anonymat ou le contrôle d'identité ne peuvent être la règle par défaut à l'entrée du web.

Sur le plan technique : Obliger chacun à présenter ses preuves d'identité crée des risques majeurs de fuite de données et de phishing, tout en restant facilement contournable via un VPN.

Alors que l'exécutif français est renvoyé à sa copie et que le dossier belge est à l'étude à l'IBPT, il est temps de changer de paradigme : la sécurité de nos enfants sur Internet ne se gagnera pas par des usines à gaz d'identification constitutionnellement bancales, mais par l'éducation au jugement critique, la responsabilisation et des levées d'anonymat ciblées sous contrôle judiciaire.

https://www.lefigaro.fr/

A la Une : Retrouvez toute l'actualité en France, à l'international, l'actualité économique et politique avec Le Figaro

13/08/2026

« Bannissement numérique » : le vrai obstacle n'est pas l'anonymat.

La mesure portée par la ministre Vanessa Matz relance un débat légitime, mais sa faisabilité se joue sur un point que le débat public confond presque toujours.

On invoque « l'anonymat d'internet », alors que trois réalités différentes sont en jeu. L'anonymat vrai, sans aucune identité rattachée, est rare et fragile.

-Le pseudonymat, une identité masquée derrière un pseudo mais ré-identifiable par l'autorité sur réquisition, est l'état normal du réseau.
- L'identification forte au moment de l'inscription, elle, n'existe presque nulle part.

Ce qui fait échouer un bannissement n'est donc pas l'anonymat, puisqu'un condamné reste presque toujours identifiable a posteriori. C'est la facilité déconcertante de recréer un compte en quelques minutes, avec une autre adresse e-mail, un autre appareil, un VPN ou une plateforme hébergée hors UE.

La France l'a déjà éprouvé (loi SREN du 9 mai 2024, art. 131-35-1 du Code pénal). La charge d'empêcher cette recréation pèse sur les plateformes, et c'est précisément le maillon techniquement le plus faible.

Or c'est le même verrou manquant que pour la protection des mineurs. Bannir un condamné ou empêcher un enfant d'accéder à un service exigent une seule et même brique : un attribut vérifié au moment de l'accès.

La réponse honnête n'est pas la collecte massive de pièces d'identité, contraire au RGPD, mais l'attestation à divulgation sélective portée par le portefeuille eIDAS 2.0, attendu d'ici fin 2026, qui prouve « majeur » ou « non banni » sans livrer l'identité complète.

Aucune de ces mesures ne sera étanche.

Le rôle de l'expert est de le dire clairement, et d'expliquer les moyens réels autant que leurs limites.

La justice française vient de bannir numériquement deux streamers, la ministre du Numérique, Vanessa Matz (Les Engagés), veut instaurer la même mesure en...

11/08/2026

En voulant protéger nos enfants, on ouvre grand la porte aux escrocs.
Dès 2007, j'alertais sur les failles de spoofing (usurpation du n° ) sur le GSM. Vingt ans plus t**d, on construit un système d'identification de masse sur cette même technologie.
Voici ce que personne ne dit encore clairement.

En habituant des millions de parents et d'adolescents à valider leur identité en ligne sur demande, on crée le terrain parfait pour le phishing généralisé de masse.

Les cybercriminels n'ont qu'à copier le mécanisme officiel.
Un faux SMS, une fausse notification, une fausse page MyGov ou Itsme. Et la victime, conditionnée à obéir, donne ses données sans résistance.

Pendant ce temps, le mineur (-16% de la population) contourne tout ça avec un VPN en trois minutes.

On expose toute la population adulte à un risque cyber réel pour une efficacité nulle sur les enfants.

Et votre numéro de téléphone, sur lequel repose tout ce système ? Il ne vous appartient pas.

Il est la propriété de votre opérateur. Il peut être cédé à quelqu'un d'autre demain en cas de suppression.

On ne sécurise pas une population en l'identifiant mal.

Retrouvez mon analyse complète publiée ce jour dans L'Écho :

« Réseaux sociaux : comment mieux protéger les mineurs sans mettre en place une surveillance généralisée »

Lien vers la carte blanche : https://www.lecho.be/opinions/general/opinion-reseaux-sociaux-comment-mieux-proteger-les-mineurs-sans-mettre-en-place-une-surveillance-generalisee/10681596.html

Interdire les réseaux sociaux aux moins de 15 ans suppose de pouvoir contrôler leur âge. Un dispositif qui soulève des questions majeures de vie privée, d’anonymat et de sécurité des données.

10/08/2026

Un parquet financier fédéral : bonne intention, une seule couche renforcée ?
Le Conseil supérieur de la Justice vient de rendre son avis sur la proposition de loi créant un parquet financier, en tant que section « criminalité financière » au sein du parquet fédéral.
L'objectif est salué : mieux poursuivre la criminalité économique, financière et fiscale grave, la fraude sociale organisée et la corruption, en déplaçant l'effort vers la détection, le gel rapide et la confiscation des profits.
Le CSJ formule toutefois des réserves de fond : une section « autonome » qui crée un « parquet dans le parquet » au statut hiérarchique incertain, une nouvelle fonction de procureur fédéral adjoint financier sans présentation par le CSJ ni exigence de capacités dirigeantes, une compétence exclusive rigide et floue, et des effectifs posés sans analyse de besoins.
Le point le plus structurant rejoint une conviction que je défends souvent : on renforce un maillon, les capacités de recherche et de poursuite, sans effort équivalent sur le reste de la chaîne pénale. Instruction, siège en première instance et en appel restent sous-dotés, avec un risque d'engorgement, singulièrement à Bruxelles.
J'ajouterais un angle que le texte passe sous silence : le dimensionnement s'arrête aux magistrats, fonctionnaires fiscaux, juristes et greffiers.
Il ignore les auxiliaires de justice sans lesquels ces dossiers ne se traitent pas.
Un dossier financier d'envergure, c'est de la traduction et de l'interprétation, et de l'expertise technique, comptable comme informatique. Renforcer les poursuites sans prévoir ces moyens, c'est programmer le goulot d'étranglement ailleurs.
Une chaîne pénale ne vaut que par son maillon le plus faible. Spécialiser l'amont sans dimensionner l'aval déplace le blocage plutôt qu'il ne le résorbe.
Le CSJ conclut à une « occasion manquée ».

La proposition de loi vise la création d'un parquet financier, en tant que section de criminalité financière au sein du parquet fédéral, chargé de la lutte contre les infractions économiques, financières et fiscales, la fraude organisée et la corruption.

09/08/2026

Phishing bancaire : le débat se déplace de la victime vers la preuve technique.
La médiatisation actuelle insiste beaucoup sur les profits des banques.
C'est un angle.
Il en masque un autre, infiniment plus structurant pour notre pratique : le déplacement de la charge de la preuve

L'ordonnance du président du tribunal de l'entreprise d'Anvers du 26 mai 2026 l'a rappelé avec force : en vertu de l'article VII.43 du Code de droit économique, une transaction non autorisée doit être remboursée au plus t**d à la fin du premier jour ouvrable suivant. Le principe est clair : « payer d'abord, contester ensuite ».

C'est ensuite à la banque d'établir l'éventuelle négligence grave du client.
Mais que recouvre exactement cette fameuse « négligence grave », si floue en droit ?

C'est précisément là que l'expertise judiciaire en informatique devient un élément déterminant des litiges. Le rôle de l'expert change la donne :

- Audit des barrières bancaires : l'algorithme a-t-il détecté l'anomalie ? Les standards de marché (scoring en temps réel, temporisation, vérification nom/IBAN) ont-ils été appliqués ?

- Analyse forensique côté victime : s'agit-il d'une imprudence grossière ou d'un piège ultrasophistiqué (spoofing, prise de main à distance, social engineering redoutable) où le consentement a été extorqué par la manipulation ?

Traduction factuelle : aider le juge à trancher entre ce qui relevait d'une cyberattaque imparable pour un utilisateur moyen et d'une réelle faute.

Avec l'explosion du social engineering (où la victime valide elle-même l'opération), la technique seule ne suffit plus à tout intercepter.

La vraie question n'est donc plus seulement « qui a été négligent ? », mais « qu'était-il techniquement préventivement, et par qui ? ».

Une question d'ingénierie autant que de droit.

- Et vous, observez-vous cette même évolution dans la gestion des dossiers de fraude au sein de vos organisations ?

Pendant 25 ans, il a contribué à instaurer la confiance numérique entre les Belges et leurs banques. Aujourd’hui, Geert Van Mol, ancien directeur numérique de Belfius, se montre inquiet face au fléau du phishing dont il a été lui-même victime. “Regardez les profits colossaux réalisés d...

07/08/2026

Comme le résumait Luc Ferry en audition : légiférer sur l'interdiction sans maîtrise de l'architecture technique est une illusion. Un simple VPN contourne le contrôle. Quand la norme juridique ignore les réalités de la plomberie réseau, la loi ne protège rien : elle crée simplement du droit inapplicable. »

Nouvelle vidéo : Luc Ferry et Laurent Alexandre s'associent pour un...

03/08/2026

NIS 2 : la Belgique a légiféré.
Et les groupes transfrontaliers ?

La France, l'Irlande, l'Espagne, les Pays-Bas et le Luxembourg n'ont pas encore transposé NIS2 en droit national.
La France est même devant la CJUE pour ce ret**d, bloquée par un désaccord interne sur le chiffrement des communications.

La Belgique a été le premier État membre de l'UE à transposer la directive et ce depuis avril 2024, entrée en vigueur en octobre 2024.
Le CCB est l'autorité compétente nationale.

Pour les groupes opérant dans plusieurs États membres, la question de la compétence est plus complexe qu'il n'y paraît. La directive NIS2 prévoit des mécanismes de coordination entre autorités nationales, et la détermination de l'autorité compétente dépend notamment de la localisation de l'établissement principal pas nécessairement de celle d'une filiale accessoire.

Ce que je constate dans la pratique : cette question n'est souvent pas posée en amont. Elle l'est après un incident.

Les directions générales et les conseils d'administration des groupes transfrontaliers gagneraient à clarifier, avec leurs conseils juridiques, leur périmètre de conformité réel et ce avant que les régulateurs ne le fassent à leur place.

Et pour les États membres qui n'ont pas encore légiféré : la directive s'applique. Seules les modalités nationales diffèrent encore.
L'attente législative ne suspend pas l'exposition au risque.
Quelle autorité sera compétente pour vos entités le jour où un incident surviendra, l'avez-vous déjà déterminé ?
https://itsocial.fr/cybersecurite/cybersecurite-articles/transposition-de-nis2-et-secret-de-la-correspondance-le-blocage-qui-dure-desormais-depuis-plus-dun-an/

La directive européenne NIS2 devait être transposée en droit français depuis octobre 2024, avec dix-sept mois d'écart déjà constatés au moment de la mise en demeure initiale. La Commission européenne a saisi la Cour de justice de l'Union européenne début juillet, aux côtés de l'Irlande,...

31/07/2026

« La loi sur les mineurs, un prétexte à une surveillance de masse ? »

Ravi de voir mon alerte reprise par la presse aujourd'hui dans Presse Agence. Agence

En interdisant les réseaux sociaux aux -15 ans, la France veut protéger ses enfants .
L'intention est louable. Mais l'envers du décor technique est majeur : pour contrôler l'âge des mineurs, il faut obligatoirement identifier et ficher 100 % des citoyens adultes. , , Télévisions /

6 mois après une loi similaire en Australie, le bilan est clair : les ados la contournent en 2 minutes via VPN, mais l'infrastructure de surveillance, elle, reste.

🔗 L'article complet à lire ici : https://presseagence.fr/bruxelles-thierry-mansvelt-la-loi-sur-les-mineurs-un-pretexte-a-une-surveillance-de-masse/

L'expert Thierry Mansvelt alerte sur les dérives de la loi française interdisant les réseaux sociaux aux mineurs.

23/07/2026

Protection des mineurs en ligne : une question que personne ne pose.
Pour vérifier qu'un utilisateur est mineur, il faut identifier tout le monde. L'exception devient la règle générale.

La progression est inévitable :
Identification = Fichage = Profilage

Le profilage, c'est la capacité de connaître avec précision qui vous êtes, ce que vous pensez, ce que vous consommez, vos opinions politiques, vos convictions religieuses, votre état de santé.
Le tout déduit de vos comportements en ligne, rattaché à votre identité réelle et supprimant l'anonymat.

Ces données valent des milliards.
Elles permettent de vous cibler commercialement, de vous influencer politiquement, et de vous surveiller + la reconnaissance faciale et c'est complet.

Est-ce le prix acceptable pour protéger les mineurs en ligne ?

"La France a eu le courage de poser le bon seuil", a affirmé mercredi la ministre fédérale en charge du Numérique, Vanessa Matz, après l'adoption la...

20/07/2026

Pourquoi vos données numériques sont-elles convoitées ?

A partir de vos courriels, de votre activité sur les réseaux sociaux et de vos prises de position, un modèle d'apprentissage automatique peut construire un profil : centres d'intérêt, orientations, traits de personnalité, parfois vulnérabilités.

Techniquement, il ne « lit » pas votre pensée, il corrèle des signaux (comportement de navigation, engagements, métadonnées) pour prédire des attributs que vous n'avez jamais déclarés.

Ce profil a une valeur marchande parce qu'il alimente le microciblage : la diffusion d'un message calibré, non pas pour une audience large, mais pour un segment défini par ces attributs inférés.

La capacité de personnalisation sous-jacente est neutre ; seul l'usage la qualifie :

Exemple : En médecine, le séquençage compare le génome d'une tumeur à celui du patient pour identifier des mutations exploitables et orienter une thérapie ciblée.
Dans le champ politique, le même principe de segmentation prédictive permet d'adresser un message différencié à chaque profil.

L'affaire Cambridge Analytica en a documenté la mise en œuvre.

A retenir, sur le plan économique : lorsqu'un service est gratuit, le modèle repose sur la monétisation de l'attention et des données.

Vous n'êtes pas le client, c'est vous le produit.
La valeur tient précisément à la capacité du profil à prédire ce que vous êtes et ce que vous ferez.