Vos données ont déjà fuité. Avec l'IA, c'est devenu plus dangereux

Le 26 février 2026, un reportage de France 2 a révélé une cyberattaque contre Cegedim Santé. Un logiciel utilisé par des cabinets médicaux avait laissé fuiter les données de 11 à 15 millions de patients. Surtout des données administratives, mais aussi, pour certains patients, les notes libres que leur médecin avait écrites à leur sujet (Journal du Geek).

Un mois plus tôt, l'URSSAF annonçait un accès frauduleux à une API exposant les données de 12 millions de personnes (Le Monde Informatique).

Ce n'est pas qu'un problème français. Aux États-Unis, les données de santé de 15 millions de clients de l'assureur dentaire DentaQuest ont été volées cette année (TechCrunch). Au Brésil, où nous sommes basés, une base de 251 millions de numéros d'identification fiscale a été mise en vente en avril (Hardware.com.br).

Ce qui a changé, c'est ce qu'on peut faire de ces données aujourd'hui.

Comment l'IA a changé la valeur des données volées

Transformer un fichier volé en arnaque demandait du travail. Il fallait le lire, recouper les informations et écrire un message crédible pour chaque victime. L'IA le fait en quelques secondes, sans une faute d'orthographe, et sait désormais cloner une voix ou un visage.

Selon le rapport annuel d'IBM sur le coût des fuites de données, une attaque malveillante sur quatre est désormais pilotée par l'IA (IBM).

Parfois, c'est l'IA elle-même qui ouvre la porte. En début d'année, des pirates ont pris le contrôle de milliers de comptes Instagram en demandant au chatbot d'assistance de Meta d'envoyer des codes de réinitialisation de mot de passe à des adresses e-mail de leur choix (TechCrunch).

Et parfois, elle agit seule. En juillet, OpenAI a reconnu que des agents d'IA, lancés dans un test de cybersécurité, étaient sortis de leur environnement isolé, avaient accédé à Internet et s'étaient introduits dans les systèmes de Hugging Face pour voler les réponses du test. Personne ne leur avait demandé. Les agents avaient conclu tout seuls que tricher était le plus simple (Malwarebytes).

Même les entreprises d'IA ne retiennent pas leurs données

En juillet 2025, des conversations ChatGPT partagées par lien ont commencé à apparaître dans Google. Certaines parlaient d'addiction, de santé mentale ou de problèmes au travail, parfois avec assez de détails pour identifier la personne. OpenAI a désactivé la fonction et demandé le retrait des liens (Cybersecurity News).

En novembre 2025, ce sont les noms, adresses e-mail et localisations approximatives d'utilisateurs d'OpenAI qui ont fuité. L'attaque n'a pas visé OpenAI, mais Mixpanel, un outil d'analytics que l'entreprise utilisait pour mesurer l'usage de son produit (OpenAI).

Ce deuxième cas en dit long. Vos données ne restent pas chez l'appli que vous avez installée. Elles passent par l'outil d'analytics, le SDK publicitaire, le service de connexion, le serveur de synchronisation. Chacun de ces partenaires est une porte de plus qu'on peut forcer.

Les données les plus sûres ne quittent jamais votre téléphone

Une fuite, on ne peut pas l'effacer. Mais on peut arrêter d'en fournir de nouvelles.

Beaucoup d'applis demandent un accès à Internet sans en avoir besoin. Un rappel de médicaments ou un rappel pour boire de l'eau n'a pas besoin de serveur pour fonctionner. Pourtant, ces applis exigent souvent un compte, affichent de la pub et envoient votre usage ailleurs.

Et certaines de ces données sont sensibles. Le médicament que vous prenez, et à quelle heure, en dit beaucoup sur votre santé. Le RGPD classe d'ailleurs les données de santé parmi les catégories particulières de données personnelles.

Gota et Kapsu : des applis qui fonctionnent sans Internet

Nos deux applis publiées sur Google Play suivent la même règle : tout reste sur l'appareil.

• Kapsu – Rappel de Médicaments sonne à l'heure de chaque prise et garde l'historique de vos prises. Plus d'infos sur la page Kapsu.
• Gota vous rappelle de boire de l'eau et compte vos verres jusqu'à votre objectif du jour.

Aucune des deux n'a de compte, de pub ou d'analytics. Et un détail technique vaut plus que n'importe quelle promesse : sur Android, une appli ne peut accéder à Internet que si elle déclare la permission INTERNET. Gota et Kapsu ne la déclarent pas. Même si quelqu'un le voulait, l'appli n'aurait aucun moyen d'envoyer vos données où que ce soit. Elles ne demandent que les notifications et les alarmes, pour vous prévenir à l'heure.

Vous pouvez le vérifier vous-même dans la fiche Play Store de chaque appli, dans la liste des autorisations sous « À propos de l'appli ».

Ce qui dépend encore de vous

Les données stockées sur votre téléphone sont aussi protégées que le téléphone lui-même. Quelques réflexes valent pour toutes les applis :

• Verrouillez votre écran. Qui tient votre téléphone déverrouillé a accès à tout ce qu'il contient.
• Sachez ce que fait la sauvegarde. Si la sauvegarde Android est activée, le système peut stocker une copie chiffrée des données de vos applis dans votre compte Google. C'est votre choix, et vous pouvez la désactiver dans les paramètres.
• Regardez les autorisations avant d'installer. Une appli lampe torche qui veut vos contacts, c'est un signal d'alerte.
• Méfiez-vous des messages qui en savent trop. Si un inconnu cite votre numéro de sécurité sociale, votre banque ou votre date de naissance, cela ne le rend pas digne de confiance. Cela prouve seulement que vos données circulent.