Ce midi, Clément Domingo (alias SaxX sur les réseaux sociaux) explique, capture d’écran à l’appui, que « le site internet de l'euro-députée Sara Knafo expose toutes les données personnelles des parisiens qui expriment leurs souhaits pour un futur Paris ! ».

🚨🔴 Élections Municipales - Le site internet de l'euro-députée Sara Knafo expose toutes les données personnelles des parisiens qui expriment leurs souhaits pour un futur Paris ! 😬

Attention aux sites internet "vibecodé"... qui exposent/exposeront les données personnelles des… pic.twitter.com/S6pojT781V

— SaxX ¯\_(ツ)_/¯ (@_SaxX_) January 9, 2026

1h30 plus tard, CheckNews confirme. En quelques clics, nos confrères ont « pu constater que ces données privées étaient effectivement accessibles ce vendredi midi. Parmi les 607 contributions enregistrées, nous avons pu distinguer 458 mails uniques, 437 adresses IP, et 187 numéros de téléphone renseignés ».

Lorsque SaxX a publié son message sur X, la faille était donc toujours présente, permettant ainsi à n’importe qui de récupérer les données. D’ailleurs, sur Breachforum, on retrouve déjà des publications à ce sujet. Un des membres « s’amuse » d’ailleurs de la situation : « Ce n'est pas une divulgation responsable, tu es un pirate informatique, SaxX ! Bienvenue du côté obscur ».

La coupe est pleine ? Peut être pas… selon Seblatombe, toujours sur X : « Pire encore, les cartes et photos d'identités apparaissent en clairs dans le code. Les photos ne sont pas demandées par le site. Elles sont publiées de manière volontaire par certaines personnes ayant rédigé un commentaire. Certains commentaires n’en contiennent aucune, tandis que d’autres en affichent », explique-t-il.

D’après nos constatations, il y a une petite vingtaine de photos, dont une seule avec une pièce d’identité tronquée. Pour le reste, ce sont des photos de la ville de Paris, de personnes… Il y a aussi un chien et des poubelles.

Pire encore, les cartes et photos d'identités apparaissent en clairs dans le code.. https://t.co/LQyKbJ8TaG pic.twitter.com/3HdagY1vBM

— Seb (@seblatombe) January 9, 2026

CheckNews a aussi repéré un même email « utilisé jusqu’à 20 fois, avec des pseudonymes différents ». Des propositions étaient aussi associées à un email de Sarah Knafo, mais cette dernière affirme à nos confrères qu’elle n’est pas à l’origine des messages. Dans ce genre de formulaire, il est possible d’indiquer n’importe quel email pour rappel.

La principale intéressée, qui s'est déclarée le 7 janvier dernier candidate à la mairie de Paris, affirme à nos confrères avoir « corrigé » l’erreur. Le site participatif Paris à cœur ouvert de la candidate du parti d’extrême droite Reconquête fondé par son compagnon Eric Zemmour affiche désormais une « information importante » : « L'ultra gauche n'aime pas la démocratie et tente de pirater le site ». Rappelons qu’il n’y a a priori pas de piratage ici puisque les données étaient lisibles directement depuis la console des navigateurs.

La première ligne de la politique de confidentialité du site affirme que « Sarah Knafo pour Paris (ci-après, « Nous »), s'engage, en tant que responsable du traitement de vos Données Personnelles, à protéger votre vie privée ».

Dans la même journée, ce site de Sarah Knafo faisait l’objet d’un signalement à la procureure de la République par le sénateur Ian Brossat : « À peine en ligne, le site participatif de Mme Knafo est déjà un déferlement de propos racistes, y compris d’appels au meurtre. Le racisme n’est pas une opinion. C’est un délit », indique-t-il sur X, avec une copie de son signalement.

Check News parlait de 607 contributions à 13h30, il y en a 634 à l’heure actuelle. Mais, pour le moment, la page des contributions n’affiche plus que l’« information importante ».

Le ministère des Armées et des Anciens Combattants a annoncé [PDF] ce jeudi 8 janvier avoir signé un accord-cadre avec Mistral.

Cela doit permettre « à l'ensemble des armées, directions et services du ministère, ainsi qu'à des établissements publics dont le ministère a la tutelle, dont le Commissariat à l'énergie atomique et aux énergies alternatives, l'Office national d'études et de recherches aérospatiales et le Service hydrographique et océanographique de la marine, d'accéder aux solutions d'intelligence artificielle avancées proposées par Mistral AI ».

C'est la récente Agence ministérielle pour l'intelligence artificielle de défense (AMIAD) qui pilotera cet accord-cadre. Celui-ci permet à toutes les entités du ministère d'accéder « aux modèles, logiciels et prestations d'IA de pointe développés par Mistral AI ».

Chargée de mettre en oeuvre la stratégie ministérielle pour l’IA de défense, l'AMIAD a inauguré en septembre dernier son supercalculateur classifié installé au Mont-Valérien à Suresnes, aux portes de Paris, dont la construction avait été confiée à Orange et HPE.

Contacté par Next, Mistral n'a pas souhaité en dire plus au sujet de cet accord-cadre.

De l'autre côté de l'Atlantique, fin décembre, le ministère de la Guerre (DoW, ex-ministère de la Défense renommé en septembre) de Donald Trump annonçait des accords avec Google Gemini et xAI afin d'alimenter sa nouvelle plateforme GenAI.mil.

Dans un rapport pour Infostealers, la société spécialisée en cybersécurité Hudson Rock explique qu’un pirate est « en train de mettre aux enchères des données exfiltrées des portails de partage de fichiers d’environ 50 grandes entreprises mondiales ». Le pirate est entré dans des applications comme ShareFile, OwnCloud et Nextcloud qui permettent de stocker et partager des fichiers. Il n’avait plus qu’à se servir.

Le rapport explique que « ces défaillances catastrophiques de sécurité n’étaient pas le résultat d’exploitation de faille zero-day dans l’architecture de la plateforme, mais plutôt des suites d’infections malveillantes sur les appareils des employés, combiné à manque cruel de mise en place de l’authentification multi-facteurs (MFA) ».

• [Édito] Mots de passe, double authentification : grrrrr… il est temps d’agir !

Une des plateformes concernées, ownCloud, s’est fendue d’un billet de blog pour alerter ses utilisateurs. Elle rappelle qu’il ne s’agit pas d’une faille ni d’un piratage. Elle enjoint ses utilisateurs à activer la double authentification (ou authentification multi-facteurs) au plus vite si ce n’est pas déjà fait : « Des acteurs malveillants ont obtenu des identifiants utilisateurs via des logiciels malveillants de type infostealer installés sur les appareils des employés ». Sans double authentification, le pirate peut accéder au compte.

Ce rapport n’est qu’une goutte d’eau dans l’océan des manquements liés à la cybersécurité, mais il illustre bien les risques causés par un problème sur un compte. Si la double authentification n’est pas une protection absolue contre le piratage, c’est déjà une barrière de sécurité robuste et facile à mettre en œuvre, du moins si le service la propose.

La CNIL recommande évidemment d’utiliser l’authentification multifacteurs et va même plus loin. « En raison du grand nombre de violations intervenues l’an dernier [il était question de 2024, mais 2025 n’était pas mieux, ndlr] sur des bases de clients/prospects et usagers, la CNIL estime qu’un effort spécifique de sécurisation est nécessaire », expliquait-elle en avril dernier.

Ainsi, elle « renforcera dès 2026 sa politique de contrôle pour s’assurer de la mise en place de l’authentification multifacteur pour ces grandes bases de données. L’absence de cette mesure pourra justifier que soit initiée une procédure de sanction ».

Enfin, la Commission rappelle « que la mise en place d’une authentification multifacteur était déjà jugée en principe nécessaire au titre du RGPD pour des bases de données comprenant des données sensibles ou des données dont la violation exposerait les personnes à des risques importants (données bancaires et numéro de sécurité sociale notamment) ».