SecFall EN FR

This site is also in English.

Read in English →

Paris, France

Cheikh Tidiane Fall

Je casse des systèmes, avec autorisation, puis je note ce qui a marché.

Je suis étudiant en cybersécurité à Epitech, à Paris. Je construis du logiciel, puis j’essaie de le casser : tests d’intrusion, sécurité applicative, et les outils qui facilitent les deux.

Je cherche un stage de 4 à 6 mois en pentest ou en sécurité applicative à partir de fin mars 2027, puis une alternance à la rentrée 2027.

Télécharger le CV

Projets choisis

  1. Keter

    1er prix

    Permettre à un investisseur de prouver qu’il a le droit d’échanger un titre réglementé, sans révéler qui il est. Équipe de quatre : j’ai construit l’application et je l’ai reliée à la blockchain ; un coéquipier a écrit la partie cryptographique. Après coup, j’ai relu le code et noté où il cède.

  2. AYZE

    Un marché du prêt sur le XRP Ledger où l’on voit qui paie quand un prêt tourne mal. Équipe de trois, en hackathon : j’ai fait les identifiants qui permettent aux vendeurs de protection de garantir les prêts, la connexion des portefeuilles, le tableau de bord, les tests et un parcours complet scripté sur le réseau de test.

  3. Juice Shop : vider le portefeuille

    Avec un coéquipier, on a vidé le portefeuille crypto de la boutique volontairement vulnérable de l’OWASP, puis on l’a documenté comme un vrai rapport : comment on l’a trouvé, ce que ça coûterait à une entreprise, comment corriger.

  4. Write-ups Juice Shop

    Des attaques web sur la même boutique d’entraînement, chacune documentée avec captures d’écran pour que quelqu’un d’autre puisse la suivre et la reproduire.

  5. REDTEXT

    Un outil open source qui rédige des scénarios de phishing et d’arnaque téléphonique pour des tests de sécurité autorisés, adaptés au secteur visé.

  6. gvm-blackarch

    Tous les tutoriels OpenVAS supposent Kali. J’utilise BlackArch, où le scanner de vulnérabilités ne s’installait même pas : j’ai écrit les scripts d’installation et documenté chaque correctif.

  7. ChainBreak

    La plateforme d’entraînement au hacking sur laquelle je travaille pour les ateliers de PoC Innovation : terminaux isolés, challenges, flags vérifiés côté serveur.

    Non public

Aussi

  • Radegast — une appli d’investissement avec des preuves qui protègent la vie privée, conçue à ETHGlobal
  • SAMPO — un agrégateur d’offres d’emploi, mon projet de fin d’année à Epitech
  • GitHub ↗

Expérience

  1. Avr. 2026 – auj.

    Responsable Événements Cybersécurité

    PoC Innovation, association étudiante · Paris

    Je conçois et j’anime des ateliers pratiques d’attaque et de défense, et j’accompagne les participants le jour J.

    Je travaille sur ChainBreak, la plateforme sur laquelle tournent ces ateliers.

  2. Été 2026

    Stagiaire en sécurité applicative

    Bank of Africa · France

    J’ai testé les applications web et les API de la banque, reproduit chaque faille trouvée et rédigé des rapports qui expliquaient aux équipes comment corriger. Certaines étaient critiques.

  3. Janv. – juin 2026

    Lead Security Engineer

    Une startup SaaS · Paris

    J’étais responsable de la sécurité de la plateforme en production : qui a accès à quoi, comment les données sont protégées, et la correction des vulnérabilités au fil de l’eau.

  4. 2024 – avr. 2026

    Évaluateur de modèles d’IA

    Outlier, puis Alignerr · Télétravail

    Je notais les réponses de modèles d’IA en expliquant pourquoi chacune était juste ou fausse. J’y ai appris à dire exactement ce qui ne va pas, et rien de plus.

  5. 2020 – 2025

    Administrateur serveurs

    Scarlet-Community, un réseau de serveurs de jeu · Sénégal, à distance

    À quinze ans, on m’a confié l’accès root à un serveur en production avec une seule consigne : que ça ne tombe pas. J’y suis resté cinq ans, j’ai écrit l’anti-triche, encadré les modérateurs, et appris à quoi servent les sauvegardes, à la dure.

Formation

Bachelor en Cybersécurité

Epitech · Paris · 2025 – 2028

Pentest, sécurité applicative, threat modeling, réponse à incident.

Compétences

Attaquer
Pentest web et API, ingénierie sociale
Défendre
Durcissement, contrôle d’accès, détection
Construire
Python, TypeScript, Bash, C, Solidity
Langues
Français et anglais

À propos

Moi à cinq mois, assis à côté d’un ordinateur portable ouvert.
Moi à cinq mois, à côté d’un ordinateur ouvert. Bénin, 2005.

Je suis né au Bénin, j’ai grandi au Sénégal, et je suis arrivé à Paris à dix-huit ans.

Tout a commencé avec un serveur de jeu. À quinze ans, j’aidais à faire tourner Scarlet-Community : de vrais joueurs, de vraies pannes, et des gens qui cherchaient activement à tricher. Cinq ans de ce régime m’ont appris que la production n’est pas la machine sur laquelle on a testé, et que ce qu’on n’a pas sauvegardé est justement ce qui casse.

C’est pour ça que je suis passé à la sécurité, volontairement. J’aime construire, et j’aime encore plus comprendre comment les choses cèdent. La plupart de mes projets sont les deux à la fois : je fabrique quelque chose, je l’attaque, puis j’écris ce que j’ai trouvé pour que le suivant n’ait pas à le refaire.

L’écriture compte pour moi. Noter des réponses d’IA m’a appris à dire exactement ce qui ne va pas, et rien de plus. C’est ce que j’essaie de mettre dans chaque rapport de sécurité.

Loin de l’écran

  • Sports de combat

    Judo et taekwondo, et de la callisthénie les jours sans.

  • Golf

    De temps en temps.

  • Art

    La peinture néo-expressionniste, surtout Basquiat et Baselitz. Ma préférée : In This Case, de Basquiat (1983).

Corrections

Ce que je croyais, rayé plutôt que caché.

  1. être conforme, c’est être sécurisé la conformité est une preuve, pas une garantie

    Une réglementation décrit ce qu’un auditeur veut voir, pas ce qu’un attaquant va chercher. Construire un système de conformité pour Keter me l’a rendu évident : cocher la liste, c’est le plancher, pas le plafond.

  2. si ça marche en dev, ça marche en prod la prod, ce sont d’autres utilisateurs

    Sur le serveur de jeu, du code qui passait tous les tests cassait dès qu’un vrai joueur tentait ce que personne n’avait prévu. Après assez d’incidents comme ça, j’ai arrêté de tester pour me donner raison et j’ai commencé à tester pour me donner tort.

  3. je m’en souviendrai, pas besoin de l’écrire écrire pour soi, dans trois semaines

    Un jour, je n’ai pas rédigé un audit parce que tout était dans ma tête. Trois semaines plus tard, un partenaire m’a demandé quelles parties de l’application j’avais couvertes, et ce n’était plus dans ma tête.

Écrire

Pour un stage, un projet sécurité, ou simplement pour discuter. Je réponds en général sous quelques jours.