Bruxelles examine l'interopérabilité des réseaux sociaux, le piratage des frigos européens révèle les mots de passe hérités

La proposition arrive alors que Bruxelles négocie encore le Kids Act. La Commission européenne a présenté la loi en septembre. Elle interdirait purement et simplement les moins de 13 ans, les admettrait progressivement ensuite et plafonnerait le temps d'écran à une heure par jour jusqu'à 15 ans, selon El País. Les think tanks estiment que rien de tout cela ne touche les conditions de marché qui produisent le préjudice.

Leur réponse, c'est l'interopérabilité. Elle permettrait à l'utilisateur d'une plateforme de lire et de publier sur une autre sans quitter son propre compte. Le texte est sorti de trois jours à Valence, accueillis par la Fundación Avanza, liée au PSOE espagnol. Des homologues d'Allemagne, de France, d'Italie et du Portugal y ont participé. « Nous voulons aider de notre réflexion les partis qui, généralement, ne peuvent pas prendre le temps de débattre en profondeur de ces questions », a déclaré au journal Berna León, directrice générale de la fondation. Le groupe veut remettre le document à des eurodéputés favorables et défavorables à Bruxelles avant le début des négociations sur la loi elle-même. La présidente de la Commission, Ursula von der Leyen, présentant l'initiative à Strasbourg, a indiqué que les jeunes Européens passent en moyenne quatre à six heures par jour devant un écran. Ceux qui ont commencé sur les réseaux sociaux avant 10 ans en passent sept à huit.

Plusieurs paragraphes du texte des think tanks attaquent ce qu'ils appellent l'« asymétrie de pouvoir » entre les grandes entreprises technologiques et les institutions. Les entreprises, dit le document, ont traité les amendes comme un coût commercial de plus. Savoir si l'interopérabilité y changerait quelque chose n'a pas été testé. Le texte est un document de lobbying, pas un texte législatif.

Les règles sur les paiements subissent le même examen

La fintech a sa propre version de l'argument. FinTech Futures rapporte le 2 novembre que des sites clonés figurent dans le projet européen de règles sur les paiements et ont peu attiré l'attention publique. Le rapport ne détaille pas la disposition. Le cadrage est connu : des règles écrites pour des institutions en place qui rencontrent des acteurs capables de les contourner.

Les capitaux continuent de circuler quoi qu'il arrive. Le récapitulatif hebdomadaire de Tech.eu, publié le 2 novembre, comptait plus de 60 opérations de financement pour plus de 1 300 000 000 € à travers l'Europe la semaine précédente. L'IA a pris 815 600 000 €, la healthtech 121 100 000 € et la fintech 104 100 000 €. Le Royaume-Uni menait avec 1 000 000 000 €, devant la Suisse à 74 400 000 € et l'Espagne à 59 500 000 €.

Des tours plus petits complètent le tableau. La startup portugaise Granter a levé 1 600 000 €, rapporte Tech.eu le 3 novembre. 3XP Global a mené l'opération via son Impact Innovation Fund, rattaché à la banque publique portugaise de développement, Banco Português de Fomento. La plateforme de Granter aide les PME à trouver des financements publics et à préparer leurs dossiers, portant le total levé à 2 000 000 €. Son activité dépend de la complexité des programmes de financement européens. C'est une histoire de réglementation autant que de logiciel.

Chambres froides, mots de passe par défaut

Reste la couche sécurité, là où la réglementation rencontre le matériel. Lundi, des systèmes de réfrigération de supermarchés en Belgique, au Luxembourg, aux Pays-Bas, en Suède, en Estonie, en Irlande et en Finlande ont été touchés, selon The Guardian. Les températures ont dans certains cas atteint 50 °C. CNBC rapporte qu'Ahold Delhaize a eu des dizaines de magasins Delhaize touchés en Belgique et au Luxembourg et a jeté de la nourriture. Carrefour a indiqué que 15 magasins belges avaient été attaqués et Intermarché 15 de ses 153.

Reuters, via CNBC, situe à cinq magasins belges le groupe Colruyt, propriétaire de Spar. IKEA a dit à CNBC qu'un incident sur un frigo avait touché son magasin de Mons entre dimanche et lundi. Au Royaume-Uni, la British Association of Independent Meat Suppliers a déclaré à la BBC que certains de ses 300 membres et plus étaient touchés. Les unités froides d'une entreprise ont atteint jusqu'à 100 °C ; elles étaient vides, donc aucune marchandise n'a été perdue, rapporte The Guardian.

« Il y a tellement de vulnérabilités dehors que… on pourrait dire qu'elles attendent d'être exploitées », a déclaré Richard Horne, directeur général du NCSC.

Paul Chichester, du National Cyber Security Centre, a affirmé que les attaques n'étaient pas assistées par l'IA. Elles exploitaient des failles « présentes depuis longtemps ». Xavier Bellekens, de l'entreprise de cyberdéfense Lupovis, a raconté au Guardian que son équipe avait enregistré 256 tentatives d'attaque venues de 91 sources entre le 20 octobre et le 30 octobre contre des automates Danfoss leurres. La plupart utilisaient les identifiants par défaut configurés en usine par le fabricant. L'attaque française précédente, rapporte Tom's Hardware le 2 novembre, s'appuyait sur du matériel ancien connecté à internet avec des mots de passe par défaut. La Commission européenne a indiqué avoir réuni sa task force interinstitutionnelle avec l'ENISA et Europol, selon CNBC.

La leçon vaut ailleurs. Un terminal de paiement ou un contrôleur de frigo livré avec un identifiant par défaut, c'est la même faille réglementaire. Ni le Kids Act ni le paquet sur les paiements à l'état de projet ne la comblent à eux seuls.