Des leçons de sécurité sans sécurité : comment deux dames venues du monde des blocs-notes en ligne et des brochures publicitaires ont monté un théâtre mondial de la « protection »

Vous faites défiler le site de TradingView jusqu’en bas, et juste sous la ligne « © 2026 TradingView, Inc. » deux énormes boutons aux cadres sévères vous sautent aux yeux : SOC 2 Compliant avec son sceau rond et GDPR Compliant entouré des petites étoiles de l’Union européenne. C’est monumental — on se sent aussitôt plein de respect pour les intraitables gardiens de la sécurité de la plateforme. Vous cliquez sur ces badges par pure curiosité, pour voir comment cette armure imprenable a été forgée, et vous atterrissez sur la page trust.tradingview.com.

Et c’est là, dès qu’on commence à creuser, que s’ouvre une absurdité à ne plus savoir s’il faut en rire ou en pleurer.

En vitrine trônent les badges SOC 2, PCI DSS 4.0.1, GDPR et DORA, et à côté un voyant vert égrène gaiement : « Updated 4 minutes ago » — autrement dit, il y a quatre minutes nous avons vérifié toutes les serrures, la frontière est verrouillée. En dessous s’alignent vingt points imposants de protection de l’infrastructure : accès aux serveurs strictement par clés cryptographiques, réseaux cloisonnés, chiffrement actif, système de détection d’intrusion qui ne dort jamais.

Vous regardez les détails de plus près — et la colonne des statuts réels des contrôles est tout simplement vide. Les rapports eux-mêmes sont cachés derrière un bouton « Demander l’accès », où personne ne laissera entrer le premier venu. Mais le plus drôle n’est même pas là : aucun des vingt points redoutables de la page n’a été écrit par des ingénieurs de TradingView. Toute cette « forteresse » a été générée d’un bout à l’autre à partir d’un modèle tout prêt par une officine américaine tierce nommée Vanta.

Pour prouver qu’il n’y a pas de cambrioleurs dans la maison, laissez des inconnus entrer dans chaque chambre

Comment fonctionne ce business ? Dans le monde de l’entreprise, on exige des services un papier signé par un auditeur — le fameux certificat SOC 2. Autrefois, il fallait pour cela supporter pendant des mois des contrôleurs en chair et en os au bureau, qui fouillaient laborieusement les réglages des serveurs. Puis Vanta est arrivée et a proposé à l’industrie un code de triche génial : « Inutile de rassembler quoi que ce soit à la main. Branchez notre logiciel sur votre entreprise, nous cocherons nous-mêmes les cases de l’auditeur en arrière-plan, et au passage nous vous dessinerons sur votre site une jolie vitrine avec des badges. »

Et maintenant, regardez bien les mains. Pour accrocher dans le pied de page du site un fier bouton « Nous ne laissons personne approcher vos données », l’entreprise laisse volontairement une boîte extérieure fouiller sous son propre capot. Elle donne aux serveurs de Vanta l’accès à son infrastructure cloud (AWS, Google Cloud), à son code source sur GitHub, à sa messagerie d’entreprise et à sa base RH avec la liste de tous les employés. Et ce n’est pas tout : sur l’ordinateur portable professionnel de chaque développeur et de chaque admin, on installe d’office un programme espion de Vanta qui vérifie jour et nuit si un mot de passe est activé, si l’antivirus tourne et si la mise à jour a bien été téléchargée.

Officiellement, l’accès est « en lecture seule » — le script d’un autre n’effacera pas votre base tout seul. En revanche, sur les serveurs de l’officine tierce, on compile soigneusement une radiographie complète de l’entreprise : les plans de tout le réseau, les noms et adresses e-mail de tous les ingénieurs, les modèles de leurs portables et la liste en temps réel de toutes les vulnérabilités non corrigées.

Des remplisseurs de formulaires aux commandes de la sécurité mondiale

Qui sont donc, se dit-on, ces génies intraitables de la cryptographie et ces vétérans des cyberarmées à qui des milliers d’entreprises dans le monde confient les clés de leur arrière-cuisine ?

Ouvrons les biographies de la direction de Vanta et sortons le pop-corn.

La fondatrice et patronne inamovible de l’entreprise s’appelle Christina Cacioppo. Où a-t-elle forgé sa légendaire expérience de la sécurité de l’information ? Dans les laboratoires secrets du Pentagone ? En concevant la protection des systèmes centraux des banques ? Non. La jeune femme a appris à programmer, a bricolé pendant quelques années de petits projets qui n’ont jamais décollé, puis s’est fait embaucher comme product manager chez Dropbox. Et là-bas, elle ne s’occupait même pas du stockage de fichiers ni du chiffrement des disques. Le sommet de sa carrière, c’est Dropbox Paper — un petit bloc-notes en ligne secondaire pour rédiger des notes à plusieurs au sein d’un service de partage de fichiers, dont neuf utilisateurs de Dropbox sur dix ignoraient jusqu’à l’existence. Pendant qu’elle bricolait ce petit bloc-notes, on l’a obligée à remplir d’ennuyeux tableaux pour les auditeurs — et elle s’est dit qu’il serait bien plus rentable de vendre à d’autres entreprises de petits formulaires web pour collecter automatiquement ces mêmes tableaux.

Continuons : qui est la deuxième femme forte à bord de ce navire ? La directrice marketing Sarah Scharf. Cette dame vient de Google, où elle a fait pendant sept ans du « marketing produit pour la confidentialité, la sécurité et Android ». Réfléchissez un instant à l’intitulé du poste : cette personne n’écrivait pas de code et ne traquait pas de hackers, elle a passé sept ans à composer des contes publicitaires sur le soin que Google prend de votre vie privée, pendant que le groupe constituait un dossier sur chaque habitant de la planète.

Le reste de l’équipe est à l’avenant : le directeur produit et technique gérait auparavant chez GitHub des modules annexes et des vitrines secondaires, et le directeur financier vient de Calendly — un site qui fabrique des petits formulaires pour réserver un appel dans votre agenda.

Voilà la dream team — la créatrice d’un petit bloc-notes dans le cloud, une communicante de Google spécialisée dans la « confidentialité » et un comptable sorti d’un agenda en ligne — qui distribue aujourd’hui les normes de sécurité à la fintech mondiale.

Un gardien en pantoufles et le paradoxe des commerciaux au bureau

Mais la vraie comédie commence quand on regarde comment est organisée l’arrière-cuisine des « contrôleurs » eux-mêmes. L’entreprise qui conserve chez elle des empreintes des vulnérabilités de milliers d’autres sociétés fonctionne officiellement en mode « remote-first ». Dès le printemps 2022, elle écrivait joyeusement sur son site : « Nous travaillons avec succès depuis n’importe où. »

Si vous allez maintenant sur leur page d’offres d’emploi, 52 des 83 postes sont en télétravail intégral aux États-Unis, au Canada, au Royaume-Uni et en Irlande. Et ceux qui bossent depuis leur canapé ne sont pas du tout des dessinateurs d’icônes :

• Sr. Manager, Security Operations (à distance). Cette personne configure la propre défense de Vanta et dirige la riposte aux attaques de hackers. L’offre d’emploi lui promet avec sollicitude « une indemnité pour l’aménagement du poste de travail à domicile, la connexion internet et le téléphone portable ». Le grand chef de la riposte aux cyberattaques pilote la défense depuis sa box internet, aux frais de la maison.
• Ingénieur pour le cloud gouvernemental GovCloud (à distance, avec astreintes en cas d’incident). La seule exigence de sécurité pour travailler avec le secteur public : se connecter « physiquement depuis le territoire des États-Unis ». Depuis quel diner de bord de route ou quel appartement de location exactement — tout le monde s’en fiche.
• Senior Engineer, Enterprise Resilience et Senior Security Engineer (à distance). Les gens chargés de la résilience de la production, qui jurent dans le texte de l’offre d’être des « gardiens de confiance des données sensibles », restent eux aussi chez eux.
• Staff Engineer, Program Structure & Trust (à distance). Et ce poste-là, retenez-le bien : ce spécialiste en télétravail est chargé de veiller à ce que les données secrètes des différents clients ne se mélangent pas entre elles.

Savez-vous où est la plus grande absurdité ? Les simples commerciaux de Londres et de Dublin sont obligés par la direction de Vanta de venir au bureau trois jours par semaine. Autrement dit, des gens qui se contentent d’appeler des clients et de montrer des présentations doivent rester sous surveillance dans un centre d’affaires. Les ingénieurs qui détiennent les clés de la production et les cartes d’infrastructure de milliers d’entreprises, eux, restent en pantoufles dans leur cuisine, entourés de leur famille, de voisins, de livreurs et de plombiers. Et cela à une époque où les entreprises tech américaines démasquent à la pelle de faux télétravailleurs — quand c’est un acteur engagé qui passe l’entretien en visio et que l’ordinateur portable professionnel part par la poste tout droit vers une ferme de hackers nord-coréens.

Quatre jours la braguette grande ouverte

Où mène une sécurité assurée par des créatrices de blocs-notes et des télétravailleurs sur le Wi-Fi de la maison, on n’a pas eu à se le demander longtemps.

Vous vous souvenez de l’offre pour l’ingénieur à distance censé veiller à ce que les bases des différentes entreprises ne se mélangent pas ? En mai 2025, les remplisseurs de formulaires de Vanta ont déployé une mise à jour bancale, et les données secrètes de certains clients se sont tout bêtement retrouvées dans les espaces clients d’autres (rapport d’incident INC-868).

Les secrets de centaines d’entreprises se sont simplement déversés sur des écrans étrangers. Des inconnus ont reçu les listes des employés d’autres sociétés, leurs fonctions et — cerise sur le gâteau — les réglages de leur authentification à deux facteurs (MFA). Bref, une antisèche toute prête pour un piratage : qui fait quoi et qui n’a pas activé la protection de son compte.

Mais toute l’ampleur de ce numéro de clowns tient en deux détails :

1. La brèche est restée ouverte pendant quatre jours. Le monitoring automatique tant vanté de Vanta, qui dessine des coches vertes sur les sites des clients toutes les quatre minutes, n’a pas vu pendant quatre jours, alors que ça lui crevait les yeux, qu’il distribuait les bases des uns à des voisins pris au hasard. L’erreur n’a été découverte que lorsqu’un client abasourdi a vu dans son propre espace l’arrière-cuisine d’un autre et a écrit au support.
2. Un culot de manuel. Quand la honte a éclaté au grand jour, les marketeurs de Vanta ont publié un rapport et, sans ciller, ont qualifié la fuite des données de centaines d’entreprises vers des mains étrangères d’incident « sans lien avec la sécurité » (non-security related). Bah, on a mélangé des bases, et alors — l’essentiel, c’est que les coches des rapports soient vertes !

Un bouclier en papier

Voilà ce que valent vraiment les redoutables boutons SOC 2 Compliant et GDPR Compliant dans le pied de page d’un site.

Une personne ordinaire regarde ces badges et pense que son service est protégé comme la mallette nucléaire. En réalité, pour un papier bureaucratique, les entreprises percent elles-mêmes un trou dans leur propre mur, déversent tout le schéma de leur défense dans une auge commune tenue par d’anciennes managers de bloc-notes et de pub, et confient la garde de cette auge à des gens branchés sur leur box internet, dont le logiciel n’est même pas capable de remarquer qu’il distribue à tout-va, quatre jours d’affilée, les secrets des autres.

La leçon de sécurité sans sécurité a été parfaitement retenue : le badge brille sur le site, et ce qu’il y a derrière la porte — mieux vaut que personne ne le sache.

En guise d’épilogue : qui est un « ingénieur sécurité à distance » dans la vraie vie

Quand les grands groupes affichent dans leurs présentations l’expression Remote Security Engineer, le client imagine un pro concentré dans un bureau inondé de soleil, qui garde les secrets des autres via une liaison satellite sécurisée.

En réalité, un télétravailleur est une boîte noire dont l’employeur ne contrôle absolument pas le contenu. Les entreprises n’ont aucune idée de ce qui se passe de l’autre côté de la webcam dès que la visio matinale d’un quart d’heure est terminée. Et ce qui s’y passe, c’est la vraie vie dans toute sa splendeur.

1. Un psychisme dans le brouillard, des ISRS et du microdosage de champignons Au bureau, vous voyez au moins la personne en vrai : si ses mains tremblent, si son regard est normal, s’il s’est lavé cette semaine et s’il ne parle pas aux murs. En télétravail, tout le contact avec quelqu’un qui détient les accès root aux serveurs de milliers d’entreprises se résume à un petit carré dans Zoom avec un arrière-plan flouté.

Quinze minutes par jour, au stand-up, ce type s’arrache un sourire de circonstance et annonce d’un ton enjoué : « Pas de blocage, je pousse la mise à jour en prod. » Puis il coupe la caméra — et personne au siège n’a la moindre idée de son état. Peut-être qu’il est depuis trois mois sous doses de cheval d’antidépresseurs lourds (ISRS), qui ont complètement atrophié son sens du danger, et qu’il se fiche éperdument de savoir quelles bases il va faire fuiter et où. Peut-être que, à la mode de la Silicon Valley, il s’est envoyé dès le matin un microdosage de champignons à psilocybine, ou qu’il carbure à l’Adderall mêlé à une thérapie à la kétamine pour sortir de sa dépression post-divorce. Pour l’entreprise, il est une pastille verte dans Slack. En réalité, aux commandes d’un réacteur nucléaire se trouve une personne en profonde dispersion cognitive.

2. Un braquage au café et un MacBook ouvert Les pôles technologiques américains comme San Francisco, Seattle ou Austin sont depuis longtemps devenus des parcs d’attractions du crime. À San Francisco, il existe même tout un métier de rue — le laptop snatching : des voleurs font irruption dans des cafés branchés, arrachent des mains des informaticiens des MacBook ouverts et déverrouillés, avec des sessions VPN déjà actives et des terminaux ouverts, et les emportent dans une voiture qui attend devant la porte.

Ou plus simple encore : le soir après le travail, ce « gardien des données sensibles » sort s’acheter un burrito avec son téléphone pro et son portable dans son sac à dos. À deux rues de chez lui, deux gars armés d’un pistolet l’abordent, le frappent à la tête et lui expliquent très clairement que, sur-le-champ, il va non seulement leur donner tout son matériel, mais aussi poser son doigt sur Touch ID et leur dicter son code PIN. Aucun pare-feu cloud ni aucun badge SOC 2 Compliant n’a encore jamais sauvé personne d’un coup de barre de fer dans une ruelle sombre.

3. Épouses, amants et accès volés directement sur l’oreiller Même si l’ingénieur ne sort jamais de chez lui, son appartement est un vrai moulin. Derrière son dos défilent épouses, ex et petites amies actuelles, colocataires, femmes de ménage, livreurs et invités des soirées du vendredi.

Aux États-Unis, ce n’est plus de la théorie mais des pièces de dossiers judiciaires. En 2024, la Securities and Exchange Commission (SEC) a démantelé une charmante combine familiale : le mari d’une salariée en télétravail du géant pétrolier BP se promenait tout simplement dans la maison et partageait sa chambre d’hôtel lors des déplacements, pendant qu’elle travaillait depuis chez elle sur des fusions confidentielles. Il écoutait ses appels, jetait un œil sur l’écran ouvert de son portable professionnel quand elle passait à la cuisine, a acheté des actions de la bonne chaîne et a empoché près de deux millions de dollars grâce à des informations d’initié.

Et maintenant, imaginez un scénario plus terre à terre : un ingénieur sécurité à distance en plein divorce difficile ou en pleine dispute avec sa moitié. L’épouse blessée ou le colocataire entreprenant attend simplement que le « gardien de l’infrastructure » parte sous la douche ou s’endorme, photographie avec son téléphone l’écran ouvert avec les clés d’accès, les jetons et les conversations Slack — ou branche tout bêtement une clé USB dans l’ordinateur du maître des lieux, dont le mot de passe a été repéré par-dessus son épaule depuis longtemps.

4. La fatigue de trois heures du matin Et enfin, le grand classique qui a fait trébucher ces dernières années des géants, d’Uber au service d’authentification Okta. Quand des pirates achètent le mot de passe volé d’un employé à distance, il ne leur reste plus qu’à contourner l’authentification à deux facteurs (MFA). Que font-ils ? Ils attendent que le télétravailleur se couche chez lui, et à trois heures du matin ils se mettent à bombarder son téléphone de dizaines de notifications push : « Confirmez la connexion ». Dans la foulée, ils lui écrivent sur sa messagerie personnelle au nom du « support technique de l’entreprise » : c’est juste un bug du système, appuyez sur « Confirmer » pour que les notifications arrêtent de sonner. Et l’homme ensommeillé en caleçon, pour que le téléphone se taise enfin et le laisse dormir, fait entrer, de son propre doigt, les hackers dans le saint des saints.

Voilà de quel chaos humain — cachets, drames familiaux, criminalité de rue et paresse nocturne — est en réalité fait le socle sur lequel repose toute l’industrie moderne de la « confiance dans le cloud ». Et la prochaine fois que vous verrez au bas d’un beau site financier les sévères badges SOC 2 Compliant et GDPR Compliant, souvenez-vous simplement que quelque part de l’autre côté de l’océan, en ce moment même, une personne épuisée sous antidépresseurs s’est éloignée de son portable ouvert pour se verser un café, pendant que sa copine fait défiler d’un air songeur, sur son écran, les listes des serveurs des autres.