La French Connection

Synopsis

Karolynn Boulet est de retour pour parler de ce que l’intelligence artificielle est en train de faire au marché de l’emploi en cybersécurité. Des prompt injections cachées dans les CV pour tromper les ATS — une étude portant sur 200 000 CV réels en a trouvé dans 2 % d’entre eux. Des deepfakes en entrevue. Et surtout, des candidats qui lisent leurs réponses sur un deuxième écran pendant l’appel : elle raconte le « L3 SOC senior » qui lui a demandé ce qu’était un SIEM, et l’« expert Active Directory » à qui il a fallu expliquer ce qu’est une GPO. D’un bord des CV écrits par l’IA, de l’autre des filtres d’IA, et au milieu plus personne pour juger. Patrick rappelle qu’un téléprompteur et quelqu’un hors caméra suffisent pour que ça devienne indétectable.

Le débat dérape rapidement, comme d’habitude. Francis veut ramener les entrevues en présentiel, Karolynn explique pourquoi ce n’est pas toujours possible et pourquoi la décision en 90 secondes dont Patrick est si fier porte un nom : un biais cognitif. On parle du stress en entrevue, des processus à cinq étapes, de l’impossibilité de faire entrer un junior en sécurité parce que personne ne veut mentorer, et des certificats universitaires en cyber qui vendent de la gouvernance en faisant croire à de la technique. Puis la vieille chicane refait surface : est-ce qu’un CISO doit être technique ? Francis pose ses bases — actif, menace, vulnérabilité, et le risque qui n’est qu’une résultante — et explique pourquoi un policier retraité n’est pas automatiquement un bon directeur de la sécurité : en sécurité, on court après le sac d’argent, pas après le bandit.

Jacques nous ramène en Espagne avec une histoire qui ressemble à un film d’espionnage. Un groupe d’hacktivistes algériens en conflit avec le Maroc affirme détenir 2,7 Go de conversations extraites du téléphone de Pedro Sánchez, infecté par Pegasus, qui prouveraient son inaction lors de l’entrée massive de Marocains à Ceuta. L’ultimatum est simple : 62 heures pour démissionner, sinon tout sort. De l’extorsion politique en direct, à suivre.

On termine sur les caméras, et ça brasse. Le reportage de Ben Jordan sur Flock aux États-Unis : accès quasi ouvert à l’application, journalisation déficiente, caméras installées dans des gyms d’enfants et des parcs. La caméra dont on a parlé à Montréal est une Genetec, pas une Flock, contrairement à ce qu’ont rapporté plusieurs médias. Francis décortique le modèle d’affaires d’Axon — des tasers à 7 000 $, des caméras corporelles données, puis la facturation qui commence dès que tu enregistres — pendant qu’il existe des fabricants canadiens et québécois qui streament en temps réel plutôt que de stocker sur l’appareil. Patrick s’échauffe sur le registre public des caméras privées glissé dans le plan de la Ville, sur les lecteurs de plaques, et sur les métriques de Flock : des millions de caméras déployées en trois ans, et 0 % de baisse de criminalité. Richer ferme le débat en soulignant le vrai problème : il n’y a personne d’autre que nous pour en discuter publiquement.

Crew

Patrick Mathieu — Cofondateur de Hackfest.ca et fondateur de Hexius

Francis Coats — Expert, vulgarisateur et conférencier en sécurité et en technologie

Jacques Sauvé — PDG, Trilogiam

Richer Dinelle — Expert en sécurité informatique & Gestion de systèmes

Karolynn Boulet — Propriétaire et spécialiste en recrutement TI & Cybersécurité Talenty

Liens et ressources

Karolynn Boulet

Étude sur les prompt injections dans les CV (2 % de 200 000 CV analysés)

Publication LinkedIn de Karolynn sur le sujet

Talenty

Jacques

El grupo de hackers que ha puesto en jaque a Marruecos avisa que va a publicar los datos originales de Pegasus relacionados con Sánchez

Francis

Caméras de type Flock à Montréal : le SPVM s’en servait pour une enquête

Reportage de Benn Jordan sur Flock Safety — This Flock Camera Leak is like Netflix For Stalkers

Plan de la Ville de Montréal : caméras corporelles, interpellations et registre public des caméras privées

Patrick

Axon

Genetec

Ring Neighbors

Shamelessplug

Hackfest 2026 — inscriptions, formations et villages

Polar — Les places partent rapidement!

CTF de 24 heures au Hackfest

Join Discord

securite.fm

Formations Sécurité 101,101 cloud, 102,103

Crédits

Montage audio par Hackfest Communication

Locaux virtuels par Streamyard

Synopsis

Épisode spécial : Patrick et Steve reçoivent Jean-Luc Trussart et Jean-François Poulin, deux des artisans de Sociable, la coopérative de solidarité qui construit une plateforme communautaire pour le Québec. Jean-Luc enseigne l’UX, l’UI et les médias interactifs au collégial, dirige la firme de formation en ligne Vecteurs et Leviers et a co-signé un livre sur l’usage intelligent de l’IA pour apprendre. Jean-François, lui, cumule trente ans de numérique et près de vingt ans d’UX, entre l’Apéro UX et sa chronique dans Mon Carnet. Les deux sont bénévoles sur le projet — comme tout le monde autour de la table.

Sociable, c’est un projet né dans la foulée du Panier bleu, mais construit à l’envers des gros projets numériques québécois : coop sans but lucratif, open source, grassroots, sans levée de fonds et sans échéancier imposé. L’équipe explique la vision — un réseau où on peut valider que les comptes sont de vraies personnes, où l’utilisateur garde le contrôle de ses données, où les médias et les PME n’ont plus à se mettre à genoux devant Meta pour être vus. Et surtout, une plateforme pensée pour le territoire du Québec plutôt que pour la langue française seulement : anglais, espagnol, arabe, langues autochtones.

La conversation dérive vite vers le fond du problème. Nos écoles sont sur Classroom, nos villes et nos gouvernements sur Teams : si Microsoft plante demain matin, les trois paliers arrêtent de fonctionner. Steve rappelle qu’on parle beaucoup de souveraineté des données sans jamais nommer qui opère l’infrastructure derrière. Patrick raconte l’échec de trouver un processeur de paiement canadien pour une plateforme de sécurité, et lance l’idée qu’il faut recréer un Visa canadien. L’équipe revient aussi sur le lobby Microsoft à la Ville de Montréal, sur les appels d’offres au plus bas soumissionnaire, et sur le vrai débat autour de l’âge minimum sur les réseaux sociaux — frapper Facebook plutôt que les jeunes.

Gros bloc sur l’IA et le développement : le flot design → code qui a permis de coder en une semaine ce qui traînait depuis six mois, la fin de Figma pour le prototypage, le passage de programmeur à architecte, le hackathon Soignons la tech où des médecins ont bâti leurs propres interfaces, la gestion des permissions des agents, et une astuce concrète — demander à l’IA le script Python qu’elle génère en arrière-plan et le rendre déterministe, plutôt que de brûler des dizaines de milliers de dollars en jetons d’API. Puis les questions de fond de Sociable : définir un algorithme qui n’en est pas un, concevoir l’hygiène numérique sans surveiller les gens, chiffrer le clavardage de bout en bout tout en gardant un fil public. On termine avec les nouvelles : les infrastructures essentielles frappées par les groupes Cyber Av3ngers et Handala, et Desjardins qui s’en va héberger des données financières chez un fournisseur américain — alors que des nuages canadiens existent et que personne ne les connaît.

Crew

Patrick Mathieu — Cofondateur de Hackfest.ca et fondateur de Hexius

Steve Waterhouse — Conférencier, consultant en cybersécurité, vétéran et chroniqueur

Nos invités

Jean-Luc Trussart — enseignant en intégration multimédia, cofondateur de Vecteurs et Leviers et bénévole chez Sociable

Jean-François Poulin — architecte UX, chroniqueur UX à Mon Carnet et bénévole chez Sociable

Liens et ressources

Sociable

Sociable — coopérative de solidarité

Sociable, un nouveau média social coopératif pour redonner une place publique aux francophones (Mon Carnet)

Un réseau social québécois pour redonner une voix aux citoyens (Les Affaires)

Jean-Luc Trussart

Vecteurs et Leviers — conception de formation en ligne

« L’IA, ton alliée pour apprendre » — le livre

Jean-François Poulin

Apéro UX

Mon Carnet, le balado de Bruno Guglielminetti

jfpoulin.com

Soignons la tech — l’initiative du Collège québécois des médecins de famille

Lovable

Magic Patterns

Patrick

Claude Code

Claude Design

Simnet — infonuagique canadienne

Projets de transformation numérique du gouvernement du Québec : des changements de gouvernance et d’encadrement s’imposent (Autorité des marchés publics)

News de sécurité

Steve

Infrastructures essentielles et secteur de l’eau

Reportage TVA Rimouski sur l’incident de St-Noël (31 juillet 2026)

Hacks on U.S. Water Supply Follow Years of Warnings and Neglect (New York Times)

ICS/OT Water Sector Cyberattacks Reportedly Hit at Least 12 States (SecurityWeek)

New Jersey, Alabama Join States Targeted in Water Cyberattacks (SecurityWeek)

Over 4,400 Rockwell PLCs Exposed Online, 22 Found in Water Attack Cities (The Hacker News)

The water sector just got its wake-up call. Again. (CyberScoop)

How volunteer cyber experts are helping protect rural water systems (Cybersecurity Dive)

Water utilities group partners with DEF CON offshoot for Water Watch Center (The Record)

Poland uncovers second heat plant cyberattack that went hidden for months (The Record)

Attackers crossed from IT to OT through a private APN in Poland (Security Affairs)

North Carolina Ports confirms cyberattack disrupting operations (BleepingComputer)

China ship spotted lurking over US-Taiwan undersea cable (Newsweek)

Rançongiciels

U.S., South Korean agencies caution to be on lookout for Gunra ransomware gang (CyberScoop)

CISA Advisory AA26-222A — #StopRansomware: Gunra Ransomware

Gunra Ransomware Exploits Fortinet VPN Flaws to Bypass MFA and Steal Enterprise Data (Cyber Security News)

Vulnérabilités et correctifs

Cisco Patches 12 SD-WAN and IOS XE Flaws, Including Three 9.9 CVSS Score Bugs (The Hacker News)

Cisco Warns of High-Severity ClamAV Vulnerabilities With Public PoC (SecurityWeek)

Metabase SQL Zero-Day Attacks Could Have Wide Blast Radius (Dark Reading)

Apple Issues Single But Important Security Fix For Mac Screen Sharing (Forbes)

Google Chrome 151 Update: Bounty Hunters Discover 12 New Security Bugs (Forbes)

IA, santé et vie privée

Hugging Face hack marks start of dangerous AI cyber era (CNBC)

Experts say healthcare faces cybersecurity crisis: « These are patient safety issues » (Cybersecurity Dive)

How to Find Out If There Are Flock Cameras Near You (CNET)

Souveraineté des données (sujet proposé par Jacques)

Cartes de crédit Desjardins : les données seront hébergées aux États-Unis (Journal de Montréal)

Shamelessplug

Sociable — on cherche des contributeurs

Joindre le Discord

securite.fm

Hackfest — Québec, inscriptions ouvertes

Crédits

Montage audio par Hackfest Communication

Locaux virtuels par Streamyard

Synopsis

Épisode d’été chargé, avec Patrick, Francis, Steve et Richer. On ouvre fort : un système de gestion de l’eau d’une ville québécoise a été piraté par un groupe russophone, une information confirmée dans le rapport annuel du Centre de la sécurité des télécommunications. Quelle ville? On ne le sait toujours pas. Et pendant ce temps, les municipalités n’ont ni le budget ni le monde pour se défendre.

On parle aussi du CST qui a mené des cyberopérations offensives ayant dérangé des réseaux criminels, de l’Environmental Protection Agency américaine qui a créé une section dédiée à la cybersécurité de l’approvisionnement en eau — pendant qu’Ottawa et Québec regardent ailleurs — et du site web d’une usine de traitement d’eau retiré en panique après notre dernier épisode.

Ensuite, gros morceau : les bornes de recharge Flo du Circuit électrique, leur interface web exposée, leurs cartes d’accès, et ce qui arrive quand un chercheur qui divulgue devient l’ennemi à abattre plutôt qu’un allié. On finit avec l’avis conjoint sur le durcissement des routeurs exposés à Internet, la cyber-hygiène IoT à la maison, un négociateur de rançongiciels qui travaillait en fait pour les attaquants, et une discussion franche sur le burn-out en cybersécurité.

On dit « 0x296 » à l’audio, mais il s’agit bien de l’épisode 0x297. On a perdu le compte 🤷

Crew

Patrick Mathieu — Cofondateur de Hackfest.ca et fondateur de Hexius

Francis Coats — Expert, vulgarisateur et conférencier en sécurité et en technologie

Steve Waterhouse — Conférencier, consultant en cybersécurité, vétéran et chroniqueur

Richer Dinelle — Expert en sécurité informatique & Gestion de systèmes

IrResponsible disclosure / OPSEC FAIL

ICSA-26-188-01 – Hydro-Québec Le Circuit Électrique (CISA)

Usines de traitement d’eau – Ville de Québec (le site est maintenant en ligne sans la visite 3D)

News de sécurité

Patrick

Russian group hacked Quebec water system, spy agency says (Yahoo News Canada)

Government of Alberta uses Claude to find and fix cybersecurity vulnerabilities across government systems (Anthropic)

Le Québec et le Luxembourg unissent leurs forces en cybersécurité (Québec.ca)

Ransomware negotiator helped attackers extort his own clients, gets 6-year sentence (Ars Technica)

Steve

Canadian spy agency reports hacking three criminal groups in 2025 (The Record)

Improve Router Hygiene to Protect Against Russian State-Sponsored Targeting (PDF, NSA/CISA)

Statement of condemnation by the North Atlantic Council of Russia’s malicious cyber activities (OTAN)

Russian cyberattacks stretching back 15 years prompt European sanctions (WSJ)

Russia hacks doorbell cameras to spy on NATO bases (The Telegraph)

Russia turned civilian security cameras across Europe into spy network (United24 Media)

Canada regulator cited Anthropic’s Claude Mythos in warning to banks on cyber risks (Reuters)

What happens if China hacks the US water supply? I went to a secret war game to find out (WIRED)

Microsoft expects more Windows security updates from AI-discovered flaws (BleepingComputer)

Progress urges ShareFile admins to shut down servers over « credible » threat (BleepingComputer)

GigaWiper: anatomy of a destructive backdoor assembled from multiple malware (Microsoft)

Apple says former employee exploited « rare » bug to download confidential files after leaving for OpenAI (TechCrunch)

One target, two flags : rival espionage actors converge on Pakistani law enforcement (SentinelOne)

EU leaders eye social media ban for children under age 13 (The Record)

Netherlands warns dependence on US tech could have « major consequences » for society (Cybernews)

Une conseillère de Vancouver veut que les projets d’IA soient mieux encadrés (Radio-Canada)

Les notes enfin accessibles après une panne informatique (La Presse)

Samsung Health will delete your data if you refuse AI training consent (Gadget Review)

All new EU cars require a camera aimed at your face — where that data goes is still anyone’s guess (Gadget Review)

Using your iPhone to show a digital ID at a traffic stop could legally be interpreted as consenting to a full phone search (Gadget Review)

Shamelessplug

Hackfest 2026 - Québec

Discord Hackfest

securite.fm

Crédits

Montage audio par Hackfest Communication

Locaux virtuels par Streamyard

Synopsis

Le retour de Richer! Avec Patrick, Francis et Jacques, on se demande pourquoi la technologie s’invite dans nos affaires sans jamais demander la permission : des caméras infrarouges dans les prochains AirPods pour donner des yeux à Siri, de l’IA poussée dans le fond de la gorge à chaque mise à jour, et un buzz grandissant pour les téléphones « zen », les écrans e-ink et le retour à l’analogique — jusqu’au flip phone Callback 8020 de Commodore, sans navigateur ni réseaux sociaux.

Ensuite ça brasse : l’AI-washing dans les startups — payer des tokens pour ce qu’un script Python de dix lignes ferait aussi bien —, les 97 % d’applications vibe-codées qui meurent dans leur première année faute de soutien, et la grande question de la souveraineté numérique canadienne : autonomie réelle ou rêve pieux? Le sujet d’opinion revient sur nos fleurons vendus aux Américains — Element AI passé chez ServiceNow, les talents formés à Mila qui migrent au sud — et sur ce que ça veut dire de partir une entreprise ici. La démonstration du jour arrive d’ailleurs toute cuite : Washington ordonne à Anthropic de couper l’accès à Fable 5 et Mythos 5 pour tout ressortissant étranger, trois jours après leur lancement.

On termine avec les face scans au Royaume-Uni, l’interdiction des réseaux sociaux aux moins de 16 ans, le débat sur l’anonymat en ligne, les 3,5 G$ de fraude par usurpation rapportés par la FTC, et une statistique qui fait mal : une cinquantaine d’entreprises québécoises par année ferment à cause d’un rançongiciel — et on n’en entend jamais parler.

Crew

Patrick Mathieu — Cofondateur de Hackfest.ca et fondateur de Hexius

Richer Dinelle — Expert en sécurité informatique & Gestion de systèmes

Francis Coats — Expert, vulgarisateur et conférencier en sécurité et en technologie

Jacques Sauvé — PDG, Trilogiam

Sujet d’opinion

Registraire des entreprises du Québec — immatriculer une entreprise au Québec

Element AI vendue à l’américaine ServiceNow (Radio-Canada)

Mila – Institut québécois d’intelligence artificielle

Québec débloque 36 M$ pour Mila (La Presse)

Cohere et Mila collaborent pour mettre au point une IA québécoise (La Presse)

Richer veut savoir

La souveraineté numérique au Canada remise en question par un rapport fédéral (Radio-Canada)

La souveraineté numérique est-elle hors d’atteinte? (La Presse)

Énoncé de politique de souveraineté numérique du Québec (PDF)

CIRANO – Souveraineté numérique (PDF)

News de sécurité

Patrick

Anthropic – Statement on the US government directive to suspend access to Fable 5 and Mythos 5

Anthropic coupe Fable et Mythos après une directive de contrôle des exportations (Fortune)

SpaceX en bourse : deux FNB canadiens couverts en CAD lancés la même journée (Wealth Professional)

Commodore Callback 8020 – le flip phone sans navigateur ni réseaux sociaux

METR – Measuring the Impact of Early-2025 AI on Experienced Open-Source Developer Productivity (19 % plus lents, alors qu’ils se croyaient 20 % plus rapides)

Rapport sur la spécificité du taux de faillites d’entreprises au Québec (PDF, gouvernement du Québec)

Francis

Apple veut mettre des caméras dans les AirPods (The Verge)

Les meilleurs téléphones minimalistes de 2026 (The Gadgeteer)

« I Studied 1,000 Vibe-Coded Apps. 97% Failed for the Same 3 Reasons »

91,5 % des applications vibe-codées contiennent au moins une vulnérabilité (recherche Q1 2026)

Jacques

UK to require ID or face scan before you can make social media accounts (BleepingComputer)

Keir Starmer annonce l’interdiction des réseaux sociaux aux moins de 16 ans (Euronews)

L’Australie montre déjà les limites du dispositif (Le JDD)

FTC warns of record $3.5 billion losses to imposter scams in 2025 (BleepingComputer)

Communiqué original de la FTC

Shamelessplug

Hackfest 2026 - Québec

Discord Hackfest

securite.fm

Crédits

Montage audio par Hackfest Communication

Locaux virtuels par Streamyard

Synopsis

Pour cette édition spéciale, La French Connection débarque sur scène à ITSec 2026, au Centre des congrès de Saint-Hyacinthe, pour un enregistrement en direct devant public. Une heure de discussion sans flafla sur l’état de la cybersécurité au Québec, avec le crew au complet et les participants dans la salle… pas de montage, pas de filet.

Crew

Francis Coats — Expert, vulgarisateur et conférencier en sécurité et en technologie

Jacques Sauvé — PDG, Trilogiam

Patrick Mathieu — Cofondateur de Hackfest.ca et fondateur de Hexius

Steve Waterhouse — Conférencier, consultant en cybersécurité, vétéran et chroniqueur

Liens et ressources

Page de l’événement : Podcast – La French Connection à ITSec

Site de la conférence : it-sec.ca

Commanditaire de l’épisode : Blue Eden

Discord de la communauté : discord.hackfest.ca

Shamelessplug

securite.fm

Discord Hackfest

Hackfest 2026 - Québec

Crédits

Enregistré en direct à ITSec 2026 au Centre des congrès de Saint-Hyacinthe

Épisode commandité par Blue Eden

Montage audio par Hackfest Communication

Merci à IT-Sec 2026 et au public présent dans la salle