WOCS'hAck 2026 : 24 heures de bug bounty et une deuxième place

Vingt-quatre heures de recherche offensive, sans interruption. Avec CHILL HUNT, nous avons terminé à la deuxième place de WOCS'hAck 2026, un challenge international de bug bounty, en représentant l’INSA Centre-Val de Loire.

Le nom de l’équipe résume bien notre approche : travailler avec calme, rester constants et laisser les résultats parler. Dans une compétition aussi longue, la performance ne dépend pas uniquement de la capacité à trouver une vulnérabilité. Elle dépend du rythme que l’équipe parvient à maintenir.

Trouver un rythme qui tient 24 heures

Une épreuve de bug bounty sur vingt-quatre heures impose des contraintes particulières. La fatigue s’installe, les pistes se multiplient et chaque choix peut coûter un temps précieux.

Pour rester efficaces, nous avons dû conserver une organisation simple :

• répartir les surfaces d’attaque selon les forces de chacun ;
• partager rapidement les découvertes et les hypothèses ;
• décider quand approfondir une piste ou l’abandonner ;
• relire les résultats avant de les transmettre ;
• préserver suffisamment d’énergie pour rester lucides jusqu’à la fin.

Cette discipline collective a fait la différence. La communication devait être courte, précise et immédiatement exploitable. Un détail découvert par un membre pouvait ouvrir une nouvelle voie pour un autre quelques minutes plus tard.

Une vulnérabilité ne suffit pas

Trouver une faille ne représente que la moitié du travail. Pour qu’elle soit comprise, reproduite et corrigée, elle doit être accompagnée d’un rapport irréprochable.

Chaque soumission devait raconter une histoire claire :

1. Où se trouve la faiblesse ?
2. Comment peut-elle être reproduite ?
3. Quel est son impact réel ?
4. Comment peut-elle être corrigée ?

La coordination de l’équipe ne portait donc pas seulement sur la chasse. Il fallait aussi prioriser les surfaces d’attaque, apporter du soutien technique lorsqu’une piste devenait complexe et vérifier que chaque preuve de concept était accompagnée d’une explication accessible.

Si un lecteur ne peut pas suivre le raisonnement sans deviner les étapes manquantes, le rapport n’est pas terminé. Cette exigence de clarté est aussi importante en entreprise qu’en compétition.

Une deuxième place construite en équipe

Aux côtés d’Abdelhadi Salah, de Brahim Saad et de mes coéquipiers, j’ai retrouvé ce qui fait la force de CHILL HUNT : une équipe capable de rester stable sous pression, de confronter ses idées sans perdre de temps et d’aider chacun à produire son meilleur travail.

Nous avons terminé deuxièmes parmi l’ensemble des équipes engagées. Au-delà du classement, ces vingt-quatre heures ont renforcé plusieurs convictions :

• la constance dépasse souvent les accélérations ponctuelles ;
• une bonne coordination augmente la valeur de chaque compétence individuelle ;
• la qualité d’un rapport fait partie intégrante de la recherche ;
• garder son calme permet de prendre de meilleures décisions techniques.

Félicitations à TéléHack, l’équipe de Télécom Paris, pour sa première place pleinement méritée.

Remerciements

Merci à toute l’équipe WOCSA pour l’organisation de cette édition : Alaric Becker, Ossama Mouddene, Diala Ribeiro, Aya Sahir, Amadéo Gilliéron, Alexandre Cabrol Perales, Marine Duchézeau, ainsi qu’à l’ensemble du staff.

Merci également à Charline Chaumet pour cette opportunité et aux partenaires de l’événement : Sopra Steria, Orange Cyberdefense, Bunkerity et Cyber’Occ.

WOCS'hAck 2026 restera une expérience exigeante et formatrice. Elle rappelle qu’en sécurité offensive, le résultat final repose autant sur la technique que sur la méthode, la communication et la confiance au sein de l’équipe.