La French Connection

Hackfest Communication

Podcast international sur la sécurité et le hacking. Nouvelles et opinions du Québec et de l’Europe!

  1. 19 mai

    Épisode 0x295 - Pourquoi GitGuardian voit exploser les fuites de secrets

    Synopsis Cette semaine, un épisode spécial commandité par GitGuardian avec leur fondateur et CEO Eric Fourrier qui se joint à Patrick, Steve et Francis depuis New York. On déroule le rapport annuel State of Secrets Sprawl et le constat est brutal : le nombre de secrets exposés sur GitHub explose, et l’IA n’arrange rien. Les utilisateurs de coding agents leakent deux fois plus de secrets que les développeurs traditionnels, et une nouvelle catégorie de “vibe codeurs” sans formation sécurité produit du code rempli de clés API directement dans les fichiers de config. Eric détaille la nouvelle économie d’attaque où voler des secrets est devenu l’objectif #1 : que ce soit via du phishing, du social engineering ou des compromissions supply chain comme Shai-Hulud, LiteLLM ou l’attaque récente sur NX, tout converge vers le même but. Les machines des développeurs sont devenues la cible privilégiée parce qu’elles concentrent à la fois les accès, les secrets et maintenant les coding agents connectés à tout (GitHub, Jira, CRM, bases de données) via MCP et autres intégrations. La conversation s’attaque ensuite au cas Axios et à la méthode des Nord-Coréens qui exploitent l’ingénierie sociale pour piéger les mainteneurs de packages open source — un faux call de business, un faux fichier joint, et c’est tout l’écosystème en aval qui se retrouve compromis. Patrick et Steve ramènent le débat sur la réalité des PME québécoises qui ne savent même pas où sont leurs secrets, et encore moins comment gérer un vault. L’épisode se termine sur une réflexion essentielle : la sécurité n’est pas une valeur absolue, c’est un trade-off. Les approches les plus parfaites sont souvent celles qui découragent les équipes et finissent par ne jamais être implémentées. Eric annonce aussi la récente levée de fonds de 50 M$ de GitGuardian et leur recrutement actif. Crew Patrick Mathieu Steve Waterhouse Francis Coats Eric Fourrier - Fondateur et CEO de GitGuardian Liens et ressources Eric Fourrier / GitGuardian GitGuardian - site officiel Rapport State of Secrets Sprawl 2026 Rapport State of Secrets Sprawl 2025 Levée de fonds Série C - 50M$ GitGuardian Careers Attaques supply chain mentionnées Shai-Hulud npm worm LiteLLM compromise Compromission Axios via mainteneur Concepts abordés MCP - Model Context Protocol Principe du moindre privilège Shamelessplug Join Discord securite.fm Hackfest 2026 - Québec iHack 2026 Crédits Montage audio par Hackfest Communication Locaux virtuels par Streamyard Épisode commandité par GitGuardian

    56 min

  2. 9 mai

    Épisode 0x294 - Cybersécurité au cégep : 1 tech VS 1200 étudiants

    Synopsis Cette semaine, Patrick et Jacques reçoivent Jonathan Bastille, technicien informatique avec mandat sécurité au Cégep de Rivière-du-Loup. Jonathan raconte sa transition du privé vers le secteur public, et le contraste brutal entre la rapidité de décision en PME et le rythme « paquebot » d’un milieu où chaque changement passe par un conseil d’administration. La discussion bifurque rapidement vers la loi 25, l’illusion de conformité par bouts de papier, et l’attitude de trop de PME québécoises : « la sécurité, c’est pas important — j’attends que ça le devienne ». Le trio s’attaque ensuite à un sujet récurrent du podcast : la futilité de la majorité des campagnes de phishing simulé. Renforcement positif vs punition, tests qui ne mesurent que le clic au lieu du processus de détection en arrière, et l’argument central de Patrick — si vos employés deviennent bons à reconnaître votre simulation, ils ne deviennent pas pour autant bons à reconnaître les vraies attaques. Jonathan partage aussi une histoire concrète où il a bloqué le device code flow dans Microsoft, juste avant qu’une attaque réelle utilisant exactement cette technique frappe l’organisation. Côté actualités, plusieurs nouvelles passent au crible : le retour forcé au bureau qui a accouché du néologisme « téléprésentiel », la sortie maladroite du chef du CST qui blâme la proximité avec les États-Unis pour les cyberattaques canadiennes, et surtout le combo explosif CopyFeld + cPanel — une vulnérabilité Linux d’escalade de privilèges présente depuis 2007 et un piratage massif de panneaux d’administration d’hébergeurs. L’épisode se ferme sur une campagne de phishing déployant ScreenConnect chez 80+ organisations, un faux positif retentissant de Microsoft Defender sur des certificats DigiCert, et un rappel martelé : tant que les utilisateurs travaillent en local admin, aucun EDR ne va vous sauver. Crew Patrick Mathieu Jacques Sauvé Jonathan Bastille (invité spécial) Liens et ressources Patrick Microsoft Attack Surface Reduction Rules Device code phishing - Microsoft Microsoft Digital Defense Report Téléprésentiel – retour au bureau, 3 h de trafic pour Teams (Journal de Montréal) Proximité avec les États-Unis et cyberattaques – Radio-Canada cPanel / WHM – exploitation massive du contournement d’authentification (TechCrunch) Copy Fail – exploitation pour obtenir root sur Linux (CISA / BleepingComputer) Jacques Campagne phishing ScreenConnect 80+ organisations Microsoft Defender faux positif DigiCert / Cerdigent Jonathan Microsoft Defender for Endpoint Microsoft Sentinel Microsoft Intune Shamelessplug Inscriptions Hackfest 2026 Hackfest CTF Polar - journée pour les gestionnaires en cybersécurité Call for Paper Hackfest 2026 (mai à fin août) iHack - 30 mai 2026 (Québec, Trois-Rivières, Chicoutimi, Montréal) Discord Hackfest securite.fm Crédits Montage audio par Hackfest Communication Musique par Caleidisco – Candy Island - Much Too Loose Locaux virtuels par Streamyard

    1 h 9 min

  3. 17 avr.

    Épisode 0x292 - Souveraineté numérique : Québec n'est pas maître de ses données

    Synopsis Épisode spécial de La French Connection avec Jean-François Courteau, président et fondateur de 4DS Technologie, venu présenter son rapport sur la souveraineté des données au Québec. Patrick, Francis et Steve décortiquent avec lui les résultats d’une étude qui a fait jaser jusqu’à Radio-Canada : analyse géographique de l’hébergement Web et courriel des ministères, des 40 plus grandes villes, des 30 plus grandes entreprises et des 40 plus grandes PME du Québec. Le constat est sans équivoque : le Québec n’est pas maître de ses données. Plus de 90 % des organisations gouvernementales ont leurs courriels chez Microsoft, plus de 82 % de l’ensemble des organisations analysées ont leurs courriels filtrés ou hébergés par des entreprises américaines. Le trio revient sur le CLOUD Act américain, cette loi adoptée en 2018 qui donne aux agences fédérales le droit d’exiger les données de tout client d’une entreprise américaine, sans mandat canadien, et avec une clause bâillon qui empêche le fournisseur d’aviser son client. Jean-François explique pourquoi l’emplacement physique des serveurs ne veut rien dire si la compagnie qui les opère est soumise à une juridiction étrangère - et pourquoi la nationalité du fournisseur pèse trois fois plus lourd dans son système de pointage. Francis apporte une perspective critique : le rapport est un bon point de départ mais ne couvre pas toutes les dépendances cachées - Cloudflare, AWS, GitHub, les tenants Microsoft des clients et fournisseurs. La panne Cloudflare du 18 novembre 2025 a démontré à quel point l’économie numérique repose sur une poignée de joueurs. Patrick ramène le palmarès gênant des partis politiques québécois et canadiens : même le PQ et Québec Solidaire, ardents défenseurs de l’achat local, hébergent leurs services chez Cloudflare, Google et Microsoft. L’épisode se termine sur des pistes concrètes : l’annonce du ministre Gilles Bélanger de février 2026 qui marque un virage à 180 degrés vers le logiciel libre, l’exemple du Schleswig-Holstein en Allemagne qui économise 15 M€ par an en sortant de Microsoft 365, et l’idée d’un package “PME souveraine” basé sur Nextcloud, Postfix, Dovecot et LibreOffice pour donner aux entreprises une alternative clé en main aux géants américains. Invité Spécial Jean-François Courteau Crew Patrick Mathieu Francis Coats Steve Waterhouse Liens et ressources Rapport sur la souveraineté des données au Québec (2025) PowerOn Energy - Solutions de souveraineté numérique Le CyberPanier - Marché numérique souverain AugureAI - IA canadienne (tarification) 8x8 Video Conferencing Nextcloud Talk High Performance Backend avec Docker (Arno Welzel) Outil “Vérifier où est hébergé votre site Web” 4DS Technologie Décret 38-2019 (PCCTI) Annonce du ministre Bélanger - Politique de souveraineté numérique (février 2026) CLOUD Act - Quelle souveraineté sur les données numériques? Panne Cloudflare du 18 novembre 2025 Schleswig-Holstein sort de Microsoft 365 - 15 M€ d’économies Danemark abandonne Microsoft Office pour LibreOffice Lyon abandonne Microsoft Office 4,1 M$ par semaine envoyés à Microsoft par le Québec Nextcloud - alternative libre à Microsoft 365 Micrologic - “Projet Cirrus” LibreOffice Shamelessplug Join Discord securite.fm Hackfest iHack POLAR conference La French Connection sur YouTube Crédits Montage audio par Hackfest Communication Locaux virtuels par Streamyard

    1 h 7 min

  4. 6 avr.

    Épisode 0x291 - Souveraineté numérique : le Québec dépend à 70% des Américains

    Synopsis Cette semaine, l’équipe est rejointe par Éric Parent comme invité spécial. L’épisode débute avec un tour des conférences à venir : Halsecon à Halifax, Channel Next East où plusieurs membres de l’équipe présentent, la conférence CyberEco en juin sur la cybersécurité dans les contrats de défense, ITSEC la semaine suivante avec un enregistrement live du podcast, et Nordsec. Jacques annonce avoir obtenu sa certification de cybersécurité canadienne et participe au comité de révision de la norme CAN/DGSI-104. L’actualité locale frappe fort avec la panne de DonnezQuébec.ca, causée par un simple domaine expiré pendant le congé pascal. Steve et Éric décortiquent le manque de procédures administratives de base au gouvernement, avec des registraires multiples et aucun inventaire centralisé. La discussion enchaîne sur le rapport de CATDS.ca sur la souveraineté des données au Québec, révélant que seulement 30% des hébergeurs web du gouvernement québécois sont canadiens. Le débat s’enflamme sur la dépendance à Microsoft, l’initiative EuroOffice en Europe, et le manque de vision à long terme du gouvernement. Jacques revient sur une nouvelle vulnérabilité critique chez Fortinet (FortiClient EMS), avec un appel à une poursuite collective qui circule dans la communauté. Steve enchaîne avec Blue Hammer, une vulnérabilité divulguée par un employé du Microsoft Security Response Center directement sur GitHub, frustré par le processus interne. La discussion dérive sur les termes d’utilisation de Microsoft Copilot, classé comme outil de « divertissement », et les risques de l’IA dans le développement logiciel — Éric partage son expérience de coder avec l’IA et soulève le problème des juniors qui n’apprennent plus les bases. L’épisode se conclut sur une note positive avec Steve qui présente Olvid, une messagerie française sécurisée comme alternative à WhatsApp et Signal. Francis ajoute une nuance importante : contrairement à Signal, les données locales d’Olvid résistent encore aux outils d’informatique judiciaire grand public. Crew Patrick Steve Waterhouse Jacques Sauvé Francis Coats Éric Parent Liens et ressources Jacques New FortiClient EMS flaw exploited in attacks, emergency patch released Fortinet Issues Emergency Patch for FortiClient Zero-Day CISA orders feds to patch exploited Fortinet EMS flaw by Friday Device code phishing attacks surge 37x as new kits spread online Patrick DonneesQuébec.ca Rapport sur la souveraineté des données au Québec Steve La messagerie française Olvid dit pourquoi elle n’est pas sous alerte rouge Microsoft links Medusa ransomware affiliate to zero-day attacks LinkedIn secretly scans for 6,000+ Chrome extensions, collects data Disgruntled researcher leaks “BlueHammer” Windows zero-day exploit Microsoft Copilot Terms of Service - Entertainment Purposes Only FBI: Cyber fraud surges to $17.6 billion in losses Massachusetts emergency communications system impacted by cyberattack Municipal emergency warning service offline after hackers steal user data Automated Credential Harvesting Campaign Exploits React2Shell Flaw Souveraineté numérique : Québec donne un nouveau contrat à Amazon Shamelessplug Join Discord securite.fm ATLSECCON - Halifax, NÉ - 9-10 avril 2026 ChannelNEXT East - St-Sauveur - 13-14 avril 2026 : Éric & Jacques y seront Conférence CYBERECO - Montréal - 28-29 avril 2026 Conférence certifications appro défense - Québec - 12 mai 2026 NorthSEC - Montréal - 11-17 mai 2026 Matinée conférence CPQ - Montréal - 29 mai 2026 Consortium national pour la cybersécurité - Montréal - 16-19 juin 2026 IT-Sec.ca 2026 - L’équipe y sera! Crédits Montage audio par Hackfest Communication Musique par Open Source – Ego Killer - High Progressive Locaux virtuels par Streamyard

    1 h 3 min

  5. 29 mars

    Épisode 0x290 - Strava trahit un porte-avions, TELUS perd 1 pétaoctet

    Synopsis Dans l’épisode 0x290, Patrick, Steve et Francis reviennent sur une semaine chargée en cybersécurité. Un marin français a révélé la position du porte-avions Charles de Gaulle en Méditerranée via Strava — un problème d’OPSEC récurrent qui rappelle le cas du capitaine de sous-marin russe traqué et exécuté grâce à ses données de course à pied. L’équipe en profite pour discuter de l’utilisation des téléphones personnels par les policiers et militaires canadiens. L’équipe décortique ensuite ce qui pourrait être une des plus grosses brèches au Canada : TELUS Digital compromis par le groupe Shiny Hunters, avec un pétaoctet de données exfiltrées. Le tout via des outils de base comme TruffleHog, en scannant des mots de passe en clair dans les données internes. L’ampleur touche TELUS Santé, la domotique (ADT) et bien plus. Parmi les autres sujets : Google qui finalise l’acquisition de Wiz, Microsoft Copilot qui contourne les règles d’accès pour lire des courriels restreints, la Commission d’accès à l’information du Québec sous enquête, le démantèlement de quatre botnets majeurs avec la participation de la SQ et de la GRC, la vente de son visage et sa voix à l’IA, les pannes informatiques récurrentes dans les hôpitaux québécois, et les menaces cyber liées au conflit au Moyen-Orient qui touchent directement le Canada — incluant l’attaque destructrice contre le conglomérat biomédical Stryker via Microsoft Intune. L’épisode se termine avec un hommage humoristique au décès de Chuck Norris et une réflexion sur la vulnérabilité des infrastructures essentielles canadiennes, d’Hydro-Québec aux stations radar du Grand Nord. Crew Patrick Mathieu Steve Waterhouse Francis Coats Liens et ressources Steve StravaLeaks : le porte-avions Charles-de-Gaulle localisé en temps réel grâce à l’application de sport TELUS Digital confirms breach after hacker claims 1 petabyte data theft US seizes domains and infrastructure used in sprawling botnet campaigns Justice Department disrupts botnet networks that hijacked 3 million devices La Commission d’accès à l’information visée par des enquêtes Canada should ‘absolutely’ match Poland’s Chinese EV ban at military bases: expert Stryker attack wiped tens of thousands of devices, no malware needed Seriez-vous prêt à vendre votre voix ou à louer votre visage pour entraîner une IA? Switzerland built a secure alternative to BGP ‘Source of data’: are electric cars vulnerable to cyber spies and hackers? Max severity Ubiquiti UniFi flaw may allow account takeover The US bans all new foreign-made network routers Patrick Crunchyroll data breach Wiz acquisition finalisée par Google Anthropic finds 22 Firefox vulnerabilities using Claude Disnat serre la vis - MFA enfin activé L’hôpital Maisonneuve-Rosemont affecté par une panne informatique Google Chrome - 26 CVE patchés Microsoft error sees confidential emails exposed to AI tool Copilot Francis ITSEC 2026 : j’y serai! Shamelessplug Join Discord — channel 🎙la-french-connection-podcast securite.fm Humanitek 2026 - Patrick - 1er avril, Québec Rencontre Université-Défense (UNIDEF) - 26 mars 2026, Québec Forum stratégique sur la défense et la sécurité - 2 avril 2026, Montréal ATLSECCON - 9-10 avril 2026, Halifax Conférence CYBERECO - 28-29 avril 2026, Montréal Conférence certifications appro défense - 12 mai 2026, Québec NorthSEC - 11-17 mai 2026, Montréal Matinée conférence CPQ - 29 mai 2026, Montréal Conférence du Consortium national pour la cybersécurité - 16-19 juin 2026, Montréal Crédits Montage audio par Hackfest Communication Locaux virtuels par Streamyard

  6. 16 mars

    Épisode 0x289 - L’IA peut maintenant révéler votre identité sur Internet

    Synopsis Dans l’épisode 0x289, Patrick, Richer, Francis, Steve et Jacques explorent une question de plus en plus inquiétante: l’impact réel de l’intelligence artificielle sur l’anonymat en ligne. De nouvelles recherches montrent que des modèles de langage peuvent identifier des utilisateurs pseudonymes à grande échelle simplement en analysant leurs traces d’écriture. L’équipe discute aussi de plusieurs dérives possibles liées à l’IA. Entre des services qui permettent à des agents automatisés de louer des humains pour accomplir des tâches, et des scénarios où un patron pourrait être une intelligence artificielle, la frontière entre automatisation et contrôle humain devient de plus en plus floue. Enfin, l’épisode couvre plusieurs nouvelles de sécurité importantes, dont de faux guides d’installation utilisés pour diffuser des infostealers, les implications juridiques du remboursement des victimes de phishing par les banques en Europe, et quelques réflexions sur la résilience technologique dans un monde très dépendant des systèmes numériques. Crew Patrick Mathieu Richer Dinelle Francis Coats Steve Waterhouse Jacques Sauvé Liens et ressources Francis Fin de Radio-Météo - La technologie c’est bien, mais la résilience c’est mieux! Et si votre prochain patron était une intelligence artificielle? Les AI peuvent maintenant louer des humains Jacques Fake Claude Code install guides push infostealers in InstallFix attacks EU court adviser says banks must immediately refund phishing victims LLMs can unmask pseudonymous users at scale with surprising accuracy Shamelessplug Join Discord ITSEC 2026 : Nous y serons Crédits Montage audio par Hackfest Communication Locaux virtuels par Streamyard

  7. 12 mars

    Épisode 0x288 - Une vague de cyberattaques frappe le Québec

    Synopsis Dans l’épisode 0x288, Patrick, Richer, Francis, Steve et Jacques reçoivent Dominique Sigouin. Le fil conducteur de la discussion, c’est une vague de cyberattaques qui frappe des organisations québécoises, avec des impacts très concrets sur les opérations, la continuité des services et la préparation réelle des équipes. On revient notamment sur des incidents qui touchent une station de radio, le milieu scolaire et des entreprises, avec un constat simple: quand la préparation est faible, le retour au papier, les interruptions et les décisions improvisées reviennent vite au premier plan. L’équipe échange aussi sur l’évolution des menaces, l’automatisation de certaines attaques et la facilité avec laquelle des vulnérabilités nouvellement publiées peuvent être exploitées. En parallèle, l’épisode couvre aussi la hausse du jackpotting des guichets automatiques selon le FBI, l’exploitation active d’une faille BeyondTrust dans des attaques ransomware, ainsi que des enjeux de sécurité dans des applications Android manipulant des données sensibles. Invité Dominique Sigouin Crew Patrick Mathieu Richer Dinelle Francis Coats Steve Waterhouse Jacques Sauvé Liens et ressources Patrick Article choisir fournisseur sécurité pour les PMEs Video tiger team Francis Tuerie de Tumbler Ridge : des employés d’OpenAI ont envisagé d’alerter les autorités après des échanges troublants – entrevue Fin de la permanence à vie des fonctionnaires : Drainville, le futur Trump du Québec, selon les syndicats 20260220 - FBI Reports 1,900 ATM Jackpotting Incidents Since 2020, $20M Lost in 2025 Jacques Du vinaigre: Une véritable vague de cyber incidents! Cyberattaque au CSS du Fer: retour forcé au papier et au crayon dans les écoles Le groupe Abbatiello, propriétaire des restaurants Salvatore, victime d’une cyberattaque AI-assisted threat actor compromises Android mental health apps with 147M installs filled with security flaws Get started in cybersecurity with 53 training course deal Learn ethical hacking with this hands-on hacking course deal Train for CompTIA AWS Cisco and more with this 40 course deal This 20 CISSP course bundle helps you study for this grueling certification Steve La délocalisation de 20 000 emplois décriée par les syndicats Poland restricts Chinese-made cars at protected military sites Microsoft error sees confidential emails exposed to AI tool Copilot FIRST - AI-augmented threat actor accesses FortiGate devices at scale CISA: BeyondTrust RCE flaw now exploited in ransomware attacks Proof-of-concept (PoC) exploits for CVE-2026-1731 became available shortly after, and in-the-wild exploitation started almost immediately. Shamelessplug Join Hackfest/La French Connection Discord #La-French-Connection Join Hackfest us on Masodon POLAR - Québec - 29 Octobre 2026 Hackfest - Québec - 29-30-31 Octobre 2026 Crédits Montage audio par Hackfest Communication Music par Ender - Fierce Equanimity - Shields Up Locaux virtuels par Streamyard

  8. 16 févr.

    Épisode 0x287 - Les gardiens de la garderie

    Synopsis Dans l’épisode 0x287, Patrick Mathieu, Jacques, Francis et Richer reçoivent Patrick Roy. Le fil conducteur, c’est la surveillance qui rassure sur papier, mais qui échoue au moment critique. On décortique le réflexe “check the box”, les tests qui ne sont jamais faits, et ce que ça coûte quand des systèmes supposés protéger deviennent des angles morts. On parle notamment d’un cas où des caméras ne fonctionnent pas pendant des heures, sans détection, avec des rapports validés quand même, puis une vague de sanctions qui remet l’imputabilité au centre. La discussion touche aussi à la sécurité du quotidien (garderies) et à la vie privée, ainsi qu’à l’actualité CISA et VMware ESXi liée à des campagnes ransomware. Invité Patrick Roy Crew Patrick Mathieu Jacques Sauvé Francis Coats Richer Dinelle Liens et ressources Patrick Roy Vie privée https://nophonehome.com/ Banque sur papier Francis La sécurité dans les garderies: C’EST MAL! Imputabilité: 15 responsables d’une prison, y compris le directeur, sanctionnés!!! Elton John accuse le daily mail d’écoute électronique de ses lignes privées Jacques CISA orders US federal agencies to replace unsupported edge devices CISA confirms exploitation of VMware ESXi flaw by ransomware attackers Shamelessplug Join Hackfest/La French Connection Discord #La-French-Connection Join Hackfest us on Masodon POLAR - Québec - 29 Octobre 2026 Hackfest - Québec - 29-30-31 Octobre 2026 Crédits Montage audio par Hackfest Communication Music par Planewalker - Psychic Evolution - First Light Locaux virtuels par Streamyard

Tout afficher (100)

5
sur 5
10 notes

À propos

Podcast international sur la sécurité et le hacking. Nouvelles et opinions du Québec et de l’Europe!

Informations

  • Création
    Hackfest Communication
  • Années d’activité
    2017 - 2026
  • Épisodes
    100
  • Classification
    Contenu explicite
  • Copyright
    © CC BY 4.0
  • Site web de l’émission
    La French Connection

Vous aimeriez peut‑être aussi