Le carnet d’Humanix
BLOG
Analyses, retours d’expérience et repères sur la cybersécurité offensive et défensive. Sans jargon inutile, au plus près du terrain.
Une journée, dix sujets, une même leçon
Panorama d’Auvergn’hack 2026 : l’IA au SOC sans GPU ni cloud, un entier qui déborde dans libfcgi, une ampoule connectée à 450 000 lignes de code, le bac à sable Linux que personne n’utilise, et l’échéance post-quantique désormais datée. Dix sujets en une journée, et un fil rouge qui revient sans cesse.
Là où l’EDR ne peut pas aller
Compte-rendu Auvergn’hack 2026 : un échographe sous système obsolète, un moniteur patient sans le moindre journal, un scanner qui accepte n’importe qui. Impossible d’y installer un agent, interdit d’y toucher. Reste une seule voie, écouter le réseau. Suricata, le jeu de règles PAW Patrules, et trois démonstrations qui font mal.
Personne n’a piraté Revolut
Passeports, selfies de vérification et historiques complets de transactions : l’entreprise a transmis ces données elle-même, en croyant répondre à une réquisition officielle. Le message venait du vrai domaine de l’administration et a passé tous les contrôles techniques. Voici pourquoi aucun correctif ne protège de cette attaque, et la procédure qui, elle, fonctionne.
Le code de sécurité livré sur votre répondeur
Compte-rendu BarbHack 2026 : on vous appelle pour occuper votre ligne, le code d’authentification part en messagerie vocale, et l’attaquant l’y écoute avec le code par défaut de votre opérateur. Aucun logiciel malveillant, aucun mot de passe volé. La technique a été présentée publiquement en 2018 et fonctionne toujours.
L’ISO 27001 n’est pas une norme informatique
Compte-rendu BarbHack 2026 : sur les 93 mesures de l’annexe A, 34 seulement sont techniques. Le reste est de l’organisation, du juridique, des ressources humaines et du physique. Ce que la norme demande vraiment, pourquoi elle est le meilleur levier d’un RSSI face à sa direction, et les trois questions à poser à un fournisseur qui se dit certifié.
Le composant que personne ne savait nommer
Compte-rendu BarbHack 2026 : tout commence par un ticket de performance, une génération de PDF qui prend cinq minutes et échoue par intermittence. Tout finit par une exécution de commande sur le serveur du client. Entre les deux, une brique open source que personne dans l’organisation ne savait nommer, et qui interprétait du JavaScript.
Quand la sécurité empêche vos clients de payer
Compte-rendu BarbHack 2026 : des clients incapables de régler leur facture d’énergie, sans message d’erreur, parce que leur adresse IP avait été jugée suspecte. Pourquoi le filtrage par réputation d’IP arrête surtout ceux qui n’y peuvent rien, et par quoi le remplacer sans renoncer à se défendre.
La faille qu’aucune mise à jour ne corrigera
Compte-rendu BarbHack 2026 : un objet connecté intime d’entrée de gamme, un canal de découverte Bluetooth détourné en canal de commande, et n’importe qui à portée radio capable de piloter l’appareil d’un tiers. Signalé publiquement depuis trois ans. Structurellement incorrigible, faute de tout mécanisme de mise à jour.
La double authentification vous protège, mais pas autant que vous le croyez
Activer le MFA est un bon réflexe, vraiment. Mais les attaquants ont appris à le contourner, et leurs techniques sont industrialisées. Voici ce que le code par SMS protège réellement, ce qu’il ne protège pas, et ce qui change avec les passkeys. Sans jargon et sans fausse promesse.
Un shell root depuis le trottoir
Compte-rendu BarbHack 2026 : chaîne d’exploitation complète sur une passerelle d’éclairage connecté, par la radio Zigbee, sans accès physique ni accès au réseau local. Débordement de tas dans la couche ZCL, écriture arbitraire, shellcode, shell root. Le vrai butin n’est pas la lumière, c’est le point d’entrée sur le réseau. Signalé et corrigé.
Orwell a manqué d’imagination
Compte-rendu BarbHack 2026 : un état des lieux critique de la surveillance de masse, de la Chine à la France, puis des chantiers européens en cours. Un plaidoyer assumé, que nous restituons sans en reprendre toutes les conclusions. Mais son dernier tiers, lui, est un sujet strictement professionnel : ce que vos outils bureautiques envoient déjà.
Un Raspberry Pi qui se fait passer pour une YubiKey
Compte-rendu BarbHack 2026 : Keycloak sait n’accepter que certains modèles de passkeys matérielles. Il suffisait de retirer un élément de la requête d’enregistrement pour qu’un Raspberry Pi à quelques euros soit accepté comme une YubiKey 5 NFC. L’authentification n’est pas contournée, mais la garantie matérielle disparaît entièrement. CVE-2026-6856, corrigée.