Sara travaillait chez Meridian Financial depuis un peu plus d'un an, et elle était fière de la rapidité avec laquelle elle s'était intégrée. Son bureau était bien rangé, ses délais étaient respectés, et son téléphone — un élégant Android personnel qu'elle possédait depuis trois ans — était pratiquement collé à sa main de 8 h à 18 h.

Personne ne lui avait jamais dit que c'était un problème.

Un mardi matin de mars, le Wi-Fi du bureau semblait lent, alors Sara fit ce qui lui parut tout à fait naturel : elle connecta son téléphone personnel au réseau de l'entreprise en utilisant les identifiants invités épinglés sur le tableau d'affichage de la cuisine. Elle devait télécharger une nouvelle application de scan PDF qu'elle avait vue en publicité sur les réseaux sociaux — DocuScan Pro — afin de numériser des reçus papier pour un rapport de dépenses de campagne.

L'application était gratuite. Elle avait une note de quatre étoiles et plus de 50 000 téléchargements. Elle semblait légitime.

Pendant l'installation, un écran d'autorisations apparut. Sara le parcourut rapidement, comme la plupart des gens le font.

« Autoriser DocuScan Pro à accéder à vos contacts, microphone, caméra, localisation et fichiers ? »

Elle appuya sur Tout autoriser sans y réfléchir à deux fois. Elle avait une réunion dans quatre minutes.

Ce que Sara ignorait, c'est que DocuScan Pro était une application repackagée — un clone d'un outil légitime, téléversé sur une boutique d'applications tierce à laquelle elle avait accédé via une publicité sur les réseaux sociaux. Enfoui dans son code se trouvait un module espion léger. Dans les heures suivant l'installation, l'application avait discrètement collecté sa liste de contacts, lu plusieurs pièces jointes stockées dans son dossier de téléchargements, et enregistré les identifiants de connexion au réseau Wi-Fi auquel elle était connectée.

Parce que le téléphone de Sara était désormais connecté au réseau de l'entreprise Meridian, les données collectées comprenaient quelque chose de bien plus dangereux que ses courriels personnels : elles incluaient les identifiants de connexion qu'elle avait récemment reçus par courriel pour le nouveau portail client de l'entreprise — un portail contenant des dossiers financiers de plus de 200 clients professionnels.

Trois semaines plus tard, le responsable de la sécurité informatique de Meridian, Daniel, convoqua Sara dans une petite salle de conférence. Son expression était calme mais sérieuse.

« Sara, nous avons détecté des tentatives de connexion inhabituelles sur le portail client, » dit-il en faisant glisser un rapport imprimé sur la table. « Plusieurs ont réussi. Le schéma d'accès remonte à un appareil qui s'est connecté via notre réseau à la mi-mars. Reconnaissez-vous cette adresse MAC ? »

Sara fixa la suite de caractères. Son estomac se noua.

« C'est… c'est peut-être mon téléphone, » dit-elle doucement.

S'ensuivirent deux semaines d'enquête judiciaire, une notification de violation obligatoire aux clients concernés, et un audit d'urgence de chaque appareil personnel ayant jamais été connecté au réseau de l'entreprise. Le coût — en heures informatiques, en consultations juridiques et en confiance des clients — s'éleva à des dizaines de milliers de dollars.

Sara ne fut pas licenciée. Daniel et les ressources humaines s'accordèrent à dire qu'elle avait agi sans malveillance et sans aucune sécu