2. Le marché : acteurs, modèles économiques, double discours

Personne ne vend de « logiciel pour espionner son conjoint ». Le vocabulaire de ce marché est calibré avec soin : contrôle parental, gestion de flotte, localisation familiale. Ce n’est pas un accident de communication, c’est une stratégie. Elle permet d’éviter la censure des stores d’applications, de rester référencé sur les moteurs de recherche, et de limiter l’exposition judiciaire des éditeurs en transférant la responsabilité vers l’utilisateur final.

Le double discours est pourtant facile à mettre en évidence. FlexiSpy met en avant dans ses pages de vente des fonctions comme call interception (écoute d’appels en direct), ambient listening (activation du microphone à distance), et revendique ouvertement d’être « 100% hidden ». Aucun outil de contrôle parental légitime n’a besoin de ces capacités. mSpy se présente aujourd’hui comme outil de « parental safety », mais des archives de son site de 2012 affichaient sans détour l’argument « découvrez si votre partenaire vous trompe ». La communication a changé. Les usages, beaucoup moins, comme en témoignent les tickets de support exposés lors de la fuite de 2024.

Tableau analytique des principales opérations

Les prix exacts ne sont pas indiqués : ils varient fréquemment selon les promotions, le nombre d’appareils et les fonctionnalités activées. Les informations sur les opérations fermées (Cocospy, Spyic, Spyzie) sont labellisées avec leur date de fermeture connue.

Ce que les chiffres disent, et ce qu’ils taisent

Le rapport State of Stalkerware 2023 de Kaspersky, la référence sectorielle la plus complète disponible, documente 31 031 cas uniques détectés dans le monde sur l’année, en hausse de 5,8 % par rapport à 2022. En Europe, 2 645 cas recensés : Allemagne (577 cas), France (332), Royaume-Uni (271). La France se positionne au deuxième rang européen.

Ces chiffres ne portent que sur les appareils couverts par Kaspersky Security Network avec les critères de la Coalition intégrés. Ils excluent tous les utilisateurs d’autres solutions, les appareils non protégés, les cas où le stalkerware contourne la détection. Dès 2021, la Coalition estimait que le chiffre réel approchait le million d’instances par an à l’échelle mondiale. En France, 34 % des personnes interrogées dans l’enquête Kaspersky/Arlington Research (21 000 répondants, janvier 2024) déclaraient avoir été victimes de harcèlement ou le soupçonner.

Les chiffres officiels sont le bas de la fourchette. Personne ne sait où se situe le plafond.

Source : Kaspersky, State of Stalkerware 2023, mars 2024.

3. Un marché qui espionne… et qui fuit ses propres données

Ce secteur présente une caractéristique que ses éditeurs ne mettent évidemment pas en avant : il est structurellement incapable de protéger les données qu’il collecte. Et ces données ne sont pas anodines, ce sont les messages, photos, localisations et communications intimes de personnes surveillées, souvent à leur insu, souvent dans des situations de violence conjugale.

mSpy : compromission documentée au printemps 2024, révélée en juillet 2024. Des attaquants ont exfiltré l’intégralité du système de support client de mSpy, hébergé sur Zendesk. Le jeu de données dépassait 100 gigaoctets : millions de tickets de support remontant à 2014, adresses email, noms, pièces jointes, documents personnels. Troy Hunt (Have I Been Pwned) a recensé 2,4 millions d’adresses email uniques dans le dataset et en a confirmé l’authenticité. L’analyse des tickets par TechCrunch a révélé que la majorité des demandes de support concernaient l’installation de mSpy sur le téléphone d’un partenaire, confirmation directe, par les données internes de l’éditeur lui-même, que le produit est massivement utilisé hors de son cadre légal affiché. Parmi les emails exposés : des demandes émanant de hauts responsables militaires américains, d’un juge fédéral d’appel, d’organismes de forces de l’ordre. La société mère Brainstack, entreprise ukrainienne identifiée grâce aux données internes, n’a jamais reconnu l’incident publiquement. C’est la troisième fuite documentée pour mSpy depuis 2015.

Cocospy, Spyic, Spyzie : fuite documentée en février 2025, extinction en mai 2025. Un chercheur en sécurité a découvert une faille critique commune aux trois applications, qui partagent en réalité le même code source sous des marques différentes. La vulnérabilité permettait à n’importe qui d’accéder aux données exfiltrées de n’importe quel appareil compromis : messages, photos, journaux d’appels, localisation en temps réel. Elle exposait également les adresses email de l’ensemble des clients ayant créé un compte. Le chercheur a extrait 3,2 millions d’adresses clients et les a transmises à Have I Been Pwned. Les données des victimes, dont beaucoup ignoraient être surveillées, étaient stockées sur Amazon Web Services sans chiffrement adéquat. Après publication par TechCrunch, les trois opérations ont cessé de fonctionner. Leurs serveurs AWS ont été supprimés. Aucune explication officielle, aucune notification aux victimes.

Ces deux cas ne sont pas des exceptions. Selon le décompte de TechCrunch publié en mai 2025, au moins 25 opérations de stalkerware ont été compromises ou ont exposé les données de leurs victimes depuis 2017. Au moins 10 de ces opérations ont fermé dans la foulée d’une fuite, souvent en silence, parfois pour réapparaître sous un autre nom.

Le constat est simple : les personnes surveillées à leur insu ne font pas face à une seule menace. Leurs données sont entre les mains de l’agresseur, stockées sur des serveurs mal sécurisés, et susceptibles d’être exposées publiquement à tout moment. L’outil de contrôle devient un risque supplémentaire pour la victime.

Sources : TechCrunch, juillet 2024 (mSpy) ; TechCrunch, février 2025 (Cocospy/Spyic) ; TechCrunch, mai 2025 (extinction) ; Have I Been Pwned, mSpy 2024.

4. Détection : réalité opérationnelle

La vraie question n’est pas de savoir si un antivirus « marche » ou « ne marche pas ». Elle est : quel produit détecte quoi, sous quelle dénomination, et quel risque cette alerte crée-t-elle pour la victime au moment où elle se déclenche ?

Ce que voit un antivirus et ses angles morts

Les moteurs antivirus fonctionnent principalement par détection à base de signatures : ils comparent les fichiers présents sur un appareil à une base de données de menaces connues. Les stalkerware distribuent leurs applications via leurs propres sites, hors des stores, signées avec des certificats valides. Ils n’apparaissent pas spontanément dans les bases généralistes.

La Coalition Against Stalkerware a établi des critères consensuels permettant aux éditeurs de sécurité membres de référencer ces applications sans ambiguïté juridique. Le test AV-Comparatives / EFF publié en novembre 2025, à partir d’essais réalisés en septembre 2025, conduit sur 13 solutions de sécurité Android et 17 applications de stalkerware, montre des écarts importants selon les produits : certains atteignent une couverture quasi complète, d’autres restent médiocres. Et une alerte générique de type « application indésirable détectée » n’aide pas nécessairement une victime à comprendre qu’elle fait l’objet d’une surveillance intime, la dénomination et le message associé comptent autant que la détection elle-même.

Un antivirus ne peut pas détecter la surveillance via iCloud (famille 2) : aucun code malveillant n’est présent sur l’appareil. Il ne détecte pas non plus un profil MDM légitime détourné. Les angles morts sont structurels, pas des défauts de configuration.

Ce que voit un scan réseau et les limites de SpyGuard

TinyCheck, l’outil open source développé par Kaspersky en 2020, est désormais déprécié et n’est plus maintenu. La Coalition Against Stalkerware recommande depuis mai 2025 d’utiliser SpyGuard, son successeur développé par le même auteur, Félix Aimé, anciennement Kaspersky, aujourd’hui chez Sekoia.io. Les Indicateurs de Compromission (IoC) de SpyGuard sont depuis lors gérés par ECHAP, association française spécialisée dans la lutte contre les cyberviolences sexistes.

©TinyCheck, le détecteur de stalkerware

SpyGuard est un outil de triage réseau, pas un outil forensique. Installé sur un Raspberry Pi ou un ordinateur Linux, il crée un réseau Wi-Fi dédié et analyse le trafic sortant de l’appareil à examiner, à la recherche de communications vers des serveurs associés à des stalkerware connus.

Ce qu’il ne voit pas :

• un stalkerware configuré pour transmettre uniquement en 4G/5G, hors Wi-Fi ;
• un implant qui n’a pas communiqué pendant la durée du scan (minimum recommandé : 15 minutes) ;
• toute surveillance opérant via iCloud, dont le trafic ne génère aucun indicateur identifiable comme malveillant.

Un résultat négatif n’exclut pas la présence d’un stalkerware. La Coalition recommande de ne jamais procéder à un scan sans avoir préalablement contacté une ONG partenaire et établi un plan de sécurité. Supprimer un stalkerware détecté peut alerter l’agresseur.

Ce que révèlent les comportements et que les outils ne voient pas

Les stalkerware modernes sont conçus pour minimiser leur empreinte système. Les signes techniques classiques, batterie, données mobiles, applications suspectes, sont souvent absents ou masqués.

Le signal le plus fiable reste comportemental :

• un entourage qui dispose systématiquement d’informations sur vos déplacements, conversations ou activités qu’il ne devrait pas connaître ;
• qui réagit à des événements avant d’en être informé ;
• qui exerce un contrôle disproportionné sur vos communications.

Ce type d’éléments peut contribuer à étayer un faisceau d’indices utile dans une démarche de protection, de signalement ou de plainte, même en l’absence de preuve technique immédiate.

Sources : AV-Comparatives / EFF, Stalkerware Test 2025, novembre 2025 ; Coalition Against Stalkerware, recommandation SpyGuard, mai 2025 ; GitHub, SpyGuard/SpyGuard.

5. Cadre juridique en France

En France, l’installation d’un stalkerware sans le consentement de la personne ciblée est une infraction pénale. Plusieurs textes s’appliquent de manière cumulative selon les faits.

• Article 226-1 du Code pénal : protège la vie privée et sanctionne notamment la captation, l’enregistrement ou la transmission de la localisation d’une personne sans son consentement.
• Article 226-15 : punit l’interception frauduleuse de correspondances. Depuis la loi du 20 juillet 2020, ces deux articles prévoient une circonstance aggravante lorsque l’auteur est le conjoint, concubin ou partenaire pacsé de la victime : les peines passent à 2 ans d’emprisonnement et 60 000 euros d’amende.
• Article 323-1 : sanctionne l’accès frauduleux à un système informatique.
• Article 323-3 : vise non seulement l’introduction frauduleuse de données dans un système, mais aussi leur extraction, détention, reproduction, transmission, suppression ou modification frauduleuses.
• Article 323-3-1 : peut couvrir la détention, l’offre, la cession ou la mise à disposition d’outils logiciels conçus ou spécialement adaptés pour commettre les infractions prévues aux articles 323-1 à 323-3.

La qualification exacte dépend des faits, du mode d’installation, des données collectées et des preuves disponibles.

Le fossé entre le texte et la réalité

Les textes existent. Leur application effective bute sur des obstacles structurels que le droit n’a pas encore vraiment résolus.

La preuve numérique est difficile à obtenir sans analyse forensique de l’appareil, compétence hors de portée de la plupart des victimes, et procédure qui, si elle est mal conduite, peut alerter l’agresseur avant toute démarche judiciaire. Les éditeurs opèrent presque tous depuis des juridictions non européennes et se protègent via des clauses de « responsabilité exclusive de l’utilisateur » : l’outil est commercialisé ouvertement, son usage ne les regarde pas. En l’absence de jurisprudence européenne consolidée visant directement les éditeurs, cette défense reste pour l’instant opérante.

À titre de repère : le ministère de la Justice recensait 44 condamnations de première instance en 2021 pour des faits de géolocalisation sans consentement avec circonstance aggravante conjugale, pour un phénomène dont l’ampleur réelle est estimée en centaines de milliers de cas par an.

À noter : la Suisse a introduit en janvier 2026 un délit spécifique de stalking dans son Code pénal. La France ne dispose pas d’une qualification autonome équivalente. Les textes existants couvrent le périmètre, mais leur dispersion et les difficultés probatoires laissent une marge de manœuvre considérable à ceux qui veulent s’y glisser.

Sources : Légifrance, articles 226-1, 226-15, 323-1, 323-3, 323-3-1 du Code pénal ; Politis, enquête stalkerware 2022 (chiffres ministère de la Justice) ; Conseil fédéral suisse, communiqué novembre 2025.

6. Protocole si vous êtes concerné·e

Une priorité avant tout : votre sécurité physique prime sur toute action technique. Supprimer un stalkerware peut alerter l’agresseur et aggraver une situation déjà difficile. Chaque étape ci-dessous doit être évaluée dans votre contexte spécifique, idéalement avec l’aide d’un professionnel.,

Ressources

• France Victimes : 116 006 (disponible 7j/7)
• 3919 : ligne nationale pour les femmes victimes de violences : écoute, information, orientation
• 3018 : numéro national contre les cyberviolences, particulièrement adapté aux jeunes victimes et aux situations de harcèlement numérique
• Cybermalveillance.gouv.fr : cybermalveillance.gouv.fr
• ECHAP : association française contre les cyberviolences sexistes, gestionnaire des IoC de SpyGuard : echap.eu.org
• Coalition Against Stalkerware : stopstalkerware.org

7. Méthodologie

Cette page repose exclusivement sur des sources primaires vérifiables : rapports annuels publiés par des organisations de cybersécurité (Kaspersky, AV-Comparatives/EFF), enquêtes journalistiques sourcées (TechCrunch, Malwarebytes Labs), textes législatifs officiels (Légifrance), documentation technique des outils cités (GitHub SpyGuard, Coalition Against Stalkerware), données de notification de fuites (Have I Been Pwned).

Aucun éditeur de stalkerware n’a été contacté pour cette page et aucune de leurs déclarations commerciales n’est reprise sans mise en contexte critique. Les prix des applications ne sont pas indiqués en valeur absolue, ils varient trop fréquemment. Les informations sur les opérations fermées (Cocospy, Spyic, Spyzie) sont labellisées avec leur date de fermeture connue.

Cette page sera mise à jour au fil des publications du rapport annuel State of Stalkerware de Kaspersky et des incidents documentés par TechCrunch et la Coalition Against Stalkerware. Dernière mise à jour : mars 2026.

Pour renforcer notre série d’articles sur l’histoire de l’hacking, explorons aujourd’hui l’univers du Bug Bounty. Contrairement à ce que l’on pourrait penser, ce n’est pas une référence à une bestiole qui aurait avalé une barre de chocolat, mais plutôt à une chasse aux vulnérabilités informatiques.

Qu’est-ce qu’un Bug Bounty ?

Un bug bounty est une invitation rémunérée et officielle que les entreprises lancent aux hackers pour découvrir des bugs potentiels et/ou des failles de sécurité dans leurs systèmes. Grâce à ces programmes, les problèmes peuvent être détectés et résolus avant d’être connus ou subis par le grand public.

On parle aussi de programme de bug bounty.

Est-ce que c’est nouveau les programmes de Bug Bounty ?

C’est un des pionniers d’Internet qui a lancé le principe au milieu des années 90. Netscape Communication, connu pour son navigateur, fédérait à l’époque une communauté zélée d’ingénieurs très inspirés. Ces fans comptaient également des employés de l’entreprise. À cette époque, un des responsables du service technique eut l’idée de mettre en place le premier programme de Bug Bounty. Les employés étaient encouragés à aller encore plus loin dans la recherche de bugs et de failles de sécurité au moyen de primes. Internet était également invité à faire de même par l’intermédiaire des forums consacrés à Netscape et de nombreux sites non-officiels.

Le succès d’un tel programme perdure encore aujourd’hui. Il n’y a pas que les entreprises qui en proposent, mais également, certains gouvernements et les armées. La France, également, dispose de ses propres programmes de chasse aux bugs et aux vulnérabilités.

Ce ne sont pas les entreprises ou les développeurs des logiciels testés qui sont les principaux acteurs d’un programme Bug Bounty, ce sont les hackers. Ils portent d’ailleurs différents noms, chercheurs ou encore hunters (chasseurs). Les hackers sont alors considérés comme non-hostiles et portent le nom de hackers éthiques quand ils œuvrent à la découverte d’une faille de sécurité. Même s’ils sont rémunérés pour leurs découvertes, le défi que constituent certains programmes de Bug Bounty suffit à en motiver plus d’un.

Les entreprises n’ont-elles pas déjà leurs propres prestataires en matière de sécurité ?

L’intérêt des programmes de Bug Bounty réside essentiellement dans le fait qu’une entreprise dispose, en théorie, d’un nombre très élevé de hackers motivés aux compétences multiples 24 h sur 24 et disséminés dans le monde entier. Les hunters les plus actifs sont respectivement en Inde, en Russie et aux Etats-Unis.

Le Bug Bounty est devenu rapidement un standard en matière de cybersécurité. En effet, si les sociétés prestataires en matière d’audit de sécurité auront toujours leur utilité, leurs missions sont généralement axées sur des points bien spécifiques.
Les programmes de Bug Bounty sont beaucoup plus ouverts, encouragent la créativité et offrent une couverture continue : un chercheur peut découvrir une faille six mois après le lancement du programme, là où un audit classique serait déjà terminé.

Au départ, l’idée de convier des hackers à venir forcer leurs systèmes avait de quoi rebuter bon nombre de chefs d’entreprise, mais les découvertes ainsi que le nombre important de reports de vulnérabilités système d’une grande pertinence ont fini par convaincre les derniers sceptiques. En France, les programmes de Bug Bounty ont commencé à se démocratiser à partir de 2015.

Bug Bounty : Comment ça se passe ?

C’est essentiellement la sécurisation des données sensibles qui motive les entreprises à avoir recours à des chercheurs. Si des géants comme Microsoft, Facebook ou encore Google peuvent se permettre de coordonner et d’administrer un programme de Bug Bounty par eux-mêmes, ce n’est pas le cas pour toutes les entreprises. En effet, il existe des plateformes qui permettent la mise en place de ces parties de chasse. En Europe, les plateformes YesWeHack et Yogosha sont des références reconnues qui permettent aux entreprises de lancer leur programme de Bug Bounty et aux hunters d’être informés qu’un nouveau challenge les attend.

Quelles sont les règles d’un Bug Bounty ?

Les programmes de Bug Bounty sont soumis à des règles strictes, ne pas s’y soumettre pour un hacker constitue une violation et pourrait avoir pour conséquence de ne toucher aucune compensation financière ou d’être tout simplement banni.
Un chercheur doit veiller à ne pas détériorer les biens ou les données pendant ses tests d’intrusion. Toutes les vulnérabilités qui sont signalées doivent être directement exploitables. Même s’il existe un barème concernant les primes, le montant de celles-ci est directement soumis à la discrétion de la société qui a lancé le programme de chasse.

Chaque rapport doit être accompagné d’une déclaration de principe et d’une description détaillée avec les étapes à suivre. Le pentesteur* doit également expliquer en quoi la faille qu’il a détectée peut affecter les données d’un utilisateur et/ou le bon fonctionnement d’une application/logiciel/système.

*Pentesteur : Hacker qui explore différents scénarios d’intrusion dans un système d’informations.

Pourquoi c’est important ?

Au-delà de la simple détection de bugs, les programmes de Bug Bounty représentent une démarche de transparence. Une entreprise qui ouvre ses systèmes à l’examen public montre qu’elle prend la sécurité au sérieux et qu’elle est prête à investir pour améliorer continuellement ses protections.
La différence avec un audit de sécurité classique ? Un audit est ponctuel, souvent limité dans le temps et le périmètre.
Un bug bounty, lui, reste actif et s’adapte : de nouveaux chercheurs peuvent arriver avec de nouvelles techniques, et les systèmes continuent d’être testés au fil des évolutions logicielles.
Cette approche bénéficie directement aux utilisateurs finaux. Invisible pour le grand public, cet éternel ballet, cette chasse sans fin apporte son lot d’avantages : bon nombre d’applications et de services sécurisés ne pourraient pas l’être sans ce type d’initiatives.

Exemples dans le domaine des VPN

Les Réseaux Privés Virtuels ne font pas exception à cette tendance. Certains services ont adopté cette approche et communiquent publiquement sur leurs programmes de Bug Bounty.

CyberGhost maintient un programme de bug bounty actif. Ce VPN pas cher gère l’intégralité du programme et invite des experts en sécurité indépendants à découvrir les éventuelles vulnérabilités dans ses systèmes. 

ExpressVPN dispose également d’un programme bug bounty public. Le service communique régulièrement sur cette initiative dans le cadre de sa politique de transparence.

Il est important de noter que d’autres VPN peuvent avoir des programmes bug bounty sans communication publique. Ce choix ne reflète pas forcément la qualité de leur sécurité : certains préfèrent gérer ces programmes en interne ou via des circuits privés, sans faire de communication autour.
La présence d’un programme public est un indicateur de transparence, mais son absence ne signifie pas automatiquement un manque de sérieux en matière de sécurité ou qu’il n’existe pas de programme.

En résumé

Les programmes de Bug Bounty représentent une évolution novatrice dans la façon dont les entreprises abordent la cybersécurité. En mobilisant une communauté mondiale de chercheurs, elles bénéficient d’une expertise diversifiée et d’une vigilance continue qui dépasse largement ce qu’un audit ponctuel pourrait offrir.
Pour les services qui traitent des données sensibles ou dont le coeur de métier est la confidentialité en ligne, cette démarche prend une dimension particulière. Elle montre un engagement concret envers la sécurité des utilisateurs.

Ah le fameux gars en capuche noire dans une cave sombre ! Génie pour certains, fléau pour d’autres, le hacker revêt de nombreux visages ou devrais-je dire chapeaux. Faisons le point sur les différents types de hackers.

Un hacker est généralement défini comme une personne qui utilise des compétences techniques pour accéder à des systèmes informatiques ou des réseaux sans y être autorisé. Les hackers peuvent mettre à profit leur savoir-faire à des fins éthiques, comme la recherche de vulnérabilités dans les systèmes pour en faire corriger les potentielles erreurs et les rendre plus surs.
Il existe différents types de hackers qui utilisent leurs compétences de différentes manières, certains sont éthiques et d’autres malveillants, certains cherchent à protéger les systèmes, d’autres cherchent à les compromettre. La définition exacte de ce qu’est un hacker, un pirate ou encore un cybercriminel varie en fonction du contexte et des motivations.

Tableau récapitulatif des différents types de hackers

Les hackers malveillants (black hat)

Les black hat sont considérés comme des cybercriminels qui utilisent leurs compétences pour des activités illégales. Ces pirates sont les auteurs de nombreux faits comme la violation de la sécurité informatique, le vol de données, le rançongiciel, le vol d’identité.

Les black hat peuvent également utiliser leurs compétences pour nuire aux entreprises et/ou aux individus. Ils agissent souvent dans le but de gagner de l’argent, mais pas seulement, parfois le simple plaisir de causer des gros dégâts suffit à les motiver. La vengeance peut également être une de leur motivation.

Les hackers grey hat

Rien n’est jamais vraiment tout noir ou tout blanc, les hackers n’échappent pas à cette règle.

Dans le contexte de la sécurité informatique, le terme gris se réfère à des activités ou des individus qui se situent entre les white hat et les black hat. Les grey hat sont des hackers qui utilisent leurs compétences pour des raisons à la fois légitimes et illégitimes ou pour des activités à la fois éthiques et non-éthiques. En termes simples, ils font un peu ce qu’il veulent.

©Ghost in the Shell

Ils peuvent par exemple découvrir une vulnérabilité dans un système et la signaler à la société concernée sans l’exploiter ou ils peuvent accéder à un système sans autorisation pour découvrir des vulnérabilités et les exploiter pour leur propre bénéfice.

Les hacktivistes

L’hacktivisme est une forme de militantisme, ce terme est la contraction de hacker et activisme.

Les hacktivistes sont des personnes qui utilisent les techniques de piratage informatique pour promouvoir des idéologies ou des causes politiques. Ils peuvent cibler des gouvernements, des entreprises ou des organisations qui, selon eux, sont en désaccord avec leurs convictions.

Les actions des cybermilitants peuvent inclure des attaques DDoS pour perturber les sites web, la publication de données privées volées, ou la propagation de logiciels malveillants.

Les hacktivistes peuvent être considérés comme des grey hat ou des black hat en fonction de la nature de leurs actions et de leurs motivations. Ça dépend surtout de la perception de la population par rapport à leurs actions et revendications.

Il est compliqué de nommer des groupes d’hacktivistes, les anonymous sont sans aucun doute les plus connus.

Les script-kiddies

Le terme script-kiddies est assez péjoratif et pourtant les dégâts causés par ces personnes peuvent être assez important.

Souvent sous estimés, les script-kiddies (gamins à script) sont des personnes qui utilisent des scripts ou des outils de piratage préécrits pour effectuer des attaques informatiques, sans avoir une compréhension réelle des techniques utilisées.

Ils peuvent être considérés comme des hackers amateurs ou des utilisateurs non expérimentés. Leur impact est généralement moins important que celui des hackers expérimentés.

Les script-kiddies peuvent utiliser des outils tels que les programmes de déni de service distribué (DDOS), des kits d’exploitation de failles, et des scripts de piratage pour pourrir ou s’introduire un système. Ces gamins à script sont majoritairement considérés comme des black hat.

De nos jours, il n’y a plus vraiment de profil type pour un script-kiddie, mais pendant longtemps, la plupart d’entre eux étaient des adolescents.

Autres couleurs

©Mr Robot

En plus des termes white hat, black hat et grey hat (je vois parfois passer le terme gray), il existe d’autres termes couramment utilisés pour décrire différents types de hackers.

• Les Green Hats (chapeau vert) sont souvent des débutants dans le monde de la cybersécurité qui cherchent à apprendre les compétences nécessaires pour devenir des hackers éthiques.
• Les Blue Hats (chapeaux bleus) constituent une catégorie de pirates novices, souvent motivés par la vengeance envers une personne ou une organisation qui les a contrariés. Contrairement aux Script Kiddies, ils n’ont aucun désir d’apprendre ou de développer de réelles compétences techniques, et se contentent d’utiliser des méthodes de cyberattaque simples.

  À l’origine, le terme BlueHat avait été utilisé par Microsoft pour désigner des hackers invités à tester des failles de sécurité avant la sortie d’un produit. Cependant, dans le milieu actuel de la cybersécurité, les experts s’accordent à dire que cette terminologie n’a plus vraiment cours, le rôle correspondant ayant été absorbé par celui de pentesteur.

• Les Red Hats (chapeau rouge) sont des hackers qui cherchent à protéger les systèmes en utilisant des méthodes plus agressives que les hackers éthiques. Leur objectif est la traque et la neutralisation des cybercriminels. Les moyens qu’ils utilisent ne sont d’ailleurs pas toujours légaux.

Ces termes ne sont pas aussi couramment utilisés que les autres et les hackers eux-mêmes sont parfois dubitatifs avec ces couleurs… d’autant qu’il en existe d’autres. Disons simplement que c’est communément admis.

Les Teams : un modèle d’organisation, pas une question d’éthique

À la différence des chapeaux (White Hat, Black Hat, etc.) qui décrivent une intention qu’elle soit morale ou légale, c’est-à-dire pourquoi un hacker agit, les Teams désignent une fonction opérationnelle dans une structure de cybersécurité, autrement dit ce que ces professionnels font.
On les retrouve souvent dans les entreprises, les administrations ou les exercices militaires de cyberdéfense.

En d’autres termes, les chapeaux définissent l’éthique, les teams définissent le rôle.

Les principales Teams de cybersécurité

Dans la pratique, ces équipes colorées représentent les différents rôles opérationnels au sein d’un dispositif de défense numérique.
Elles s’affrontent, coopèrent ou s’observent selon le type d’exercice. Certaines se concentrent sur l’attaque, d’autres sur la défense, et d’autres encore sur la coordination.

Red Team : L’attaque contrôlée

C’est l’équipe offensive.
Son rôle est de simuler des attaques réelles contre une infrastructure pour tester les défenses : intrusion réseau, phishing ciblé, exploitation de failles logicielles, voire tests physiques (accès aux locaux).
Les membres d’une Red Team sont souvent des pentesteurs expérimentés capables de penser comme des cybercriminels, mais agissent avec autorisation.
Leur mission est de trouver les failles avant que les vrais attaquants ne les exploitent.
Si vous voulez creuser le sujet côté pratique, jetez un œil à Synacktiv, des pentesteurs français qui publient beaucoup et organisent des formations sur le red teaming.

© Synacktiv 2025

Blue Team : La défense en action

C’est l’équipe défensive.
Elle surveille les systèmes, analyse les journaux, repère les intrusions et met en place des contre-mesures.
Son objectif est d’assurer la détection, la réaction et la résilience face aux attaques.
Leur mission est de défendre le terrain et renforcer les lignes après chaque assaut.

Purple Team : Le pont entre attaque et défense

La Purple Team fait le lien entre les deux précédentes.
Elle favorise la collaboration : les Red Teams partagent leurs techniques d’attaque, les Blue Teams les transforment en leçons pratiques.
Leur mission est de transformer les simulations en apprentissage collectif.

Green Team : L’équilibre et la prévention

La Green Team est un ajout plus récent, issu du monde DevSecOps.
Elle se concentre sur la prévention : construire des systèmes plus sûrs, automatiser la détection et intégrer la sécurité dès la conception.
Mais elle joue aussi souvent un rôle d’arbitre et de coordinateur entre les autres équipes.
Leur mission est de maintenir l’équilibre et traduire les enseignements en actions concrètes.

Dans les exercices plus anciens (comme les compétitions CTF ou les entraînements militaires), ce rôle d’arbitrage revenait à la White Team, chargée de poser les règles et d’évaluer les performances.
Dans les environnements plus récents, la Green Team a repris cette fonction, avec une approche plus adaptative et orientée amélioration continue.

Yellow Team : Les développeurs du changement

Elle se concentre sur la sécurité logicielle.
La yeallow Team travaille main dans la main avec la Green Team pour intégrer des pratiques sûres dès le développement.
Leur mission est de faire de ce que l’on appelle le code propre un premier rempart de sécurité.

Pour conclure

En conclusion, non, tous les hackers ne sont pas des mecs en sweat noir cloitrés dans un vieux hangar, il y a aussi des pirates barbus qui rôdent dans leur salon et parfois même dans le votre si votre réseau domestique n’est pas assez sécurisé.

Le Programme et Équipements Prioritaires de Recherche (PEPR) « Cybersécurité » a été lancé en 2021 dans le cadre de la stratégie nationale d’accélération de la cybersécurité. Il visait à tripler le chiffre d’affaires du secteur d’ici 2025, tout en renforçant la souveraineté de la France et en réduisant sa dépendance aux technologies étrangères.
L’ensemble de cette stratégie avait été annoncé avec un budget supérieur à un milliard d’euros, mais le PEPR représentait une enveloppe annuelle d’environ 65 millions d’euros. Aujourd’hui en 2025, le programme a-t-il atteint ses objectifs ?

Les fondations du PEPR Cybersécurité

Il y a quatre ans, le Président Emmanuel Macron affirmait que le nouveau plan cybersécurité soutiendrait et stimulerait le secteur, Gildas Avoine a été nommé pilote scientifique CNRS du PEPR.
Le programme devait fédérer l’informatique, les mathématiques, l’électronique et le traitement du signal, en mettant l’accent sur la cryptographie et la sécurisation des données, du matériel, des systèmes numériques, des logiciels et des réseaux.

Le CNRS, l’un des trois opérateurs nationaux chargés de la recherche, reconnaissait déjà en 2021 les défis du secteur : améliorer la sécurité nationale et se protéger contre les menaces liées au télétravail, aux achats en ligne ou à la télémédecine. Gildas Avoine avait identifié dix projets prioritaires impliquant plus de 1000 personnes au sein des trois organisations.

Intégration au plan France 2030

En février 2022, le site du gouvernement rendait compte des premiers résultats du programme et annonçait son intégration au plan d’investissement France 2030. Le rapport soulignait que trois appels à projets avaient été lancés et que des technologies cyber innovantes et stratégiques seraient financées à hauteur de 150 millions d’euros.
Un soutien significatif à l’entrepreneuriat a également été mis en place : trois start-ups ont été incubées dès les premiers mois, et 50 autres dossiers étaient en cours d’examen.

Une ambition à long terme

La dépendance de la France aux technologies étrangères pourrait exposer le pays à des risques. En soutenant la recherche sur la cryptographie post-quantique, la conception sécurisée de matériel et les infrastructures numériques, le gouvernement entendait s’assurer que la France ne serait pas laissée pour compte.

Le programme reflète une prise de conscience : la cybersécurité touche tous les aspects de la vie quotidienne. Les experts incitent souvent le public à adopter des mesures simples, installer un antivirus, mettre à jour ses appareils, ou installer un VPN pour naviguer plus sereinement mais la stratégie nationale exige un investissement plus profond dans la recherche et l’innovation.

Comment améliorer la sécurité nationale grâce à la cybersécurité ?

Les cyberattaques perturbent souvent des infrastructures critiques, comme les hôpitaux ou les réseaux de transport. Accroître les investissements dans des domaines comme l’intelligence artificielle ou les infrastructures cloud sécurisées permet de réduire les vulnérabilités.
L’innovation est également clé : encourager la collaboration entre recherche publique, entreprises privées et agences de défense est essentiel pour la cybersécurité d’un pays.

D’autres pays ont adopté des approches similaires. Les États-Unis, par exemple, lient cybersécurité et dépenses de défense, l’Allemagne investit massivement pour protéger ses systèmes industriels, y compris ses réseaux de transport et ses sites de production.

Pourquoi la cybersécurité est-elle une préoccupation ?

Ces dernières années ont montré la vulnérabilité des pays et des entreprises face aux cyberattaques. Des incidents très médiatisés ont mis en évidence l’ampleur et la sophistication des menaces de nouvelle génération. Les attaques par ransomware ont ainsi perturbé des hôpitaux, des réseaux de transport et des chaînes d’approvisionnement, interrompant parfois des services critiques pendant plusieurs jours.

En 2021, l’attaque du Colonial Pipeline aux États-Unis a provoqué des pénuries de carburant sur toute la côte Est, tandis que l’attaque contre Kaseya a ciblé des centaines d’entreprises via une seule faille logicielle.

Les institutions gouvernementales sont également des cibles de choix. En 2020, plusieurs pays ont signalé des intrusions dans des agences de santé et des laboratoires de recherche, certaines liées au développement rapide des vaccins contre le COVID-19. Ces attaques ont montré que des données sensibles, allant des informations de santé aux plans d’infrastructures critiques, pouvaient être volées ou prises en otage, avec des conséquences potentiellement graves.

La fréquence et la complexité de ces attaques s’expliquent par plusieurs facteurs : la digitalisation accrue des services, le télétravail, et la professionnalisation des cybercriminels, parfois soutenus par des États. C’est pourquoi des nations comme la France investissent massivement dans la recherche et l’innovation en cybersécurité : défendre contre les cybermenaces est un enjeu central de sécurité nationale.

Qu’est-ce que la cryptographie post-quantique ?

La cryptographie post-quantique (PQC) désigne un ensemble d’algorithmes cryptographiques conçus pour rester sécurisés face aux ordinateurs quantiques à grande échelle. Les systèmes classiques (RSA ou cryptographie à courbe elliptique) reposent sur des problèmes mathématiques difficiles pour les ordinateurs classiques. Par exemple, la sécurité de RSA dépend de la factorisation de très grands nombres.

Les ordinateurs quantiques, eux, utilisent des principes différents, superposition, intrication, pour résoudre certains problèmes beaucoup plus rapidement. L’algorithme de Shor, par exemple, permettrait à un ordinateur quantique puissant de casser RSA et d’autres schémas similaires, rendant une grande partie de la sécurité actuelle d’internet vulnérable.

Ordinateur quantique – image d’illustration

L’objectif de la PQC est de développer de nouveaux algorithmes résistants aux attaques quantiques tout en restant efficaces sur les infrastructures numériques actuelles. Les chercheurs travaillent sur plusieurs familles d’algorithmes, basées sur différents problèmes mathématiques jugés difficiles à résoudre pour les ordinateurs classiques et quantiques.

Le concept de « récolter aujourd’hui, déchiffrer demain » illustre l’urgence de la PQC. Les informations sensibles transmises aujourd’hui,données financières, secrets d’État, informations personnelles, pourraient être interceptées et stockées en attendant que les ordinateurs quantiques soient suffisamment puissants pour les décrypter. La recherche et la normalisation sont donc capitales dès maintenant, même avant la généralisation des ordinateurs quantiques.
Des gouvernements et organisations du monde entier travaillent sur ce défi. Le NIST aux États-Unis organise un concours pluriannuel pour identifier et standardiser des algorithmes post-quantiques adoptables à grande échelle. En Europe, des initiatives comme le PEPR français mettent également l’accent sur la PQC.
En anticipant les menaces liées à l’informatique quantique, la PQC vise à protéger les données sensibles et les infrastructures critiques pour les décennies à venir, garantissant ainsi la sécurité nationale sur le long terme.

Où en est le programme français aujourd’hui ?

Les résultats financiers du PEPR n’ont pas été rendus publics, mais le programme a créé une dynamique : universités et institutions publiques collaborent, et les start-ups sont encouragées. La France s’est positionnée comme un acteur crédible en cybersécurité, capable de contribuer aux stratégies européennes.
Le succès du PEPR dépendra de la manière dont les initiatives de recherche se traduiront en adoption généralisée. Les prochaines années montreront si la France est moins vulnérable aux cyberattaques et plus autonome technologiquement.
En termes de chiffres purs, il est difficile de mesurer si les objectifs ont été atteints, mais la dynamique et les ambitions du plan demeurent.