Tous les articles par Damien Bancal

Base de données, BYOD, Chiffrement, Communiqué de presse, cryptage, Cybersécurité, Entreprise, Fuite de données, Propriété Industrielle, RGPD, Sauvegarde, Securite informatique

Télétravail : risques de sécurité pour les entreprises

Télétravail  : Les résultats de l’enquête révèlent que seulement 11 % des PME se préoccupent des facteurs sécurité et informatique lorsqu’il s’agit du travail à distance de leurs employés.

Une étude vient de dévoiler les résultats d’une enquête sur le télétravail . Selon cette recherche, à partir de 586 répondants, les nouvelles pratiques de travail flexibles pourraient poser un risque pour la sécurité des petites entreprises. En effet, un employé sur cinq (9 %) estime être le plus productif lorsqu’il travaille dans des lieux publics comme un café ou une bibliothèque, mais seulement 11 % des employeurs sont préoccupés par les répercussions que cela pourrait avoir sur la sécurité de leur entreprise. Les PME doivent donc relever le défi de maintenir leur sécurité, tout en répondant aux besoins et aux attentes de leurs collaborateurs.

Une nouvelle norme

L’étude met en évidence les tendances et les attentes concernant le télétravail, plus d’un tiers (38 %) des personnes interrogées préférant accepter une réduction de salaire plutôt que de se limiter à travailler dans un bureau. Une autre tranche de 35 % choisirait la flexibilité du travail à domicile plutôt qu’une augmentation de salaire, même si on leur proposait une augmentation de 25 %. Alors que les entreprises se disputent les meilleurs talents, il sera vital de pouvoir attirer des personnes aptes à mettre en place des méthodes de travail modernes. Cependant, 38 % des répondants ont indiqué qu’ils ne reçoivent pas le soutien technologique ou l’expertise dont ils ont besoin lorsqu’ils travaillent à domicile ou dans un lieu public, faisant de la sécurité un problème croissant pour les petites entreprises qui ont recours au travail flexible.

« Le lieu de travail fonctionnant selon un horaire 9h – 17h appartient au passé, et les employés qui rejoignent le marché du travail aujourd’hui exigent une plus grande flexibilité en termes d’horaires, d’emplacement et d’avantages sociaux personnalisés, déclare Kevin Chapman, SVP et General Manager, chez Avast Business. Bien qu’il soit prouvé dans certains cas que ces pratiques augmentent la satisfaction et même la productivité des employés, il y a des problèmes de sécurité bien réels qu’il est nécessaire de résoudre. Les entreprises doivent être en mesure de fournir les outils qui leur permettent non seulement de faire preuve de flexibilité, mais aussi de le faire en toute sécurité. Il est également important de ne pas négliger les employés qui préféreraient conserver un environnement de bureau traditionnel. Il convient de trouver un équilibre pour permettre à tous de travailler de la manière qui leur est la plus bénéfique. »

Avantages du télétravail

Non seulement les PME seront en mesure d’attirer le meilleur personnel qui soit, mais le travail mobile semble présenter d’autres bénéfices. Interrogés sur les avantages que présente le télétravail pour les employés des petites entreprises, près d’un tiers d’entre eux (30 %) ont confié que cela les rendait plus heureux, et 31 % ont répondu que cela leur permettait d’apprécier leur travail. Cette étude a également révélé que la satisfaction des employés n’est pas la seule à augmenter : la flexibilité du travail pourrait avoir un impact positif sur sa qualité et sur la productivité ; 34 % des employés affirment être les plus productifs lorsqu’ils travaillent à domicile, contre 45 % au bureau.

Les petites entreprises qui souhaitent adopter de nouvelles pratiques de travail doivent relever de nombreux défis sécuritaires. Si le personnel accède à des données sensibles ou se connecte à des comptes professionnels via un réseau Wi-Fi non sécurisé, l’entreprise risque de subir une attaque. Il existe également un risque de violation de données si un employé enregistre des renseignements sensibles sur un ordinateur de bureau. Machine qui va disparaître. Les propriétaires de petites entreprises doivent prévoir des mesures de sécurité pour les travailleurs mobiles, telles que des solutions de réseau privé virtuel (VPN) à utiliser sur les connexions Wi-Fi ouvertes, et des logiciels anti-malware déployés aux points finaux sur tous les appareils personnels (BYOD – Bring Your Own Device) des employés. De plus, il convient de veiller à ce que les employés soient sensibilisés au rôle très important qu’ils ont à jouer dans la sécurité de l’entreprise.

Cybersécurité, double authentification, Entreprise, Fuite de données, Mise à jour, Patch, RGPD, Sécurité, Securite informatique

Microsoft obtient la certification FIDO2 pour Windows Hello

Un commentaire

FIDO2 : Une authentification sécurisée sans mot de passe pour plus de 800 millions de dispositifs Windows 10 actifs

L’Alliance FIDO annonce que Microsoft a obtenu la certification FIDO2 pour Windows Hello. Tout appareil compatible fonctionnant sous Windows 10 est ainsi désormais certifié FIDO2 dès sa sortie, une fois la mise à jour de Windows 10 de mai 2019 effectuée. Les utilisateurs de Windows 10 peuvent désormais se passer des mots de passe stockés de manière centralisée et utiliser la biométrie ou les codes PIN Windows Hello pour accéder à leurs appareils, applications, services en ligne et réseaux avec la sécurité certifiée FIDO.

FIDO21 est un ensemble de normes qui permettent de se connecter facilement et en toute sécurité à des sites Web et à des applications via la biométrie, des appareils mobiles et/ou des clés de sécurité FIDO. La simplicité de l’expérience utilisateur de FIDO2 s’appuie sur une sécurité cryptographique forte qui est largement supérieure aux mots de passe, protégeant les utilisateurs contre le phishing, toutes les formes de vols de mots de passe et les attaques par rejeu (replay attack). Pour en savoir plus sur FIDO2, rendez-vous sur : https://fidoalliance.org.

FIDO2

« Notre travail avec l’Alliance FIDO, le W3C et nos contributions aux normes FIDO2 ont été un élément déterminant dans l’engagement de Microsoft pour un monde sans mot de passe, confie Yogesh Mehta, Principal Group Program Manager, chez Microsoft Corporation. Windows Hello a été conçu pour s’aligner sur les normes FIDO2 et fonctionner avec les services Microsoft cloud ainsi que dans des environnements hétérogènes. L’annonce d’aujourd’hui boucle la boucle, permettant aux organisations et aux sites Web d’étendre l’authentification FIDO à plus de 800 millions de dispositifs actifs sous Windows 10 ».

Microsoft, l’un des leaders dans le domaine de l’authentification sans mot de passe, a fait de l’authentification FIDO un élément fondamental dans ses efforts visant à offrir aux utilisateurs une expérience de connexion transparente et sans mot de passe. En tant que membre du conseil d’administration de l’Alliance FIDO et l’un des principaux contributeurs au développement des spécifications FIDO2, Microsoft a proposé l’un des premiers déploiements FIDO2 du marché avec Windows Hello. L’entreprise prend en charge FIDO2 sur son navigateur Microsoft Edge et permet également la connexion au compte Windows avec les clés de sécurité FIDO.

Windows 10 prend en compte FIDO

La mise à jour Windows 10 de mai 2019 prend en charge l’authentification FIDO sans mot de passe via Windows Hello ou la clé de sécurité FIDO, sur Microsoft Edge ou les versions les plus récentes de Mozilla Firefox. Plus d’informations sont disponibles sur le blog de Microsoft.

« En tant que membre du conseil d’administration et contributeur clé au développement de FIDO2, Microsoft a été un ardent défenseur de la mission de l’Alliance FIDO qui est de faire évoluer le monde au-delà des mots de passe. Cette certification s’appuie sur la prise en charge de longue date par Microsoft des technologies FIDO2 sous Windows 10 et, par l’intermédiaire de l’écosystème Windows, donne la possibilité à ses clients et partenaires de bénéficier de l’approche de FIDO en matière d’authentification des utilisateurs, indique Andrew Shikiar, Directeur Marketing de l’Alliance FIDO. FIDO2 est désormais pris en charge par les systèmes d’exploitation et les navigateurs Web les plus utilisés au monde, ce qui permet aux entreprises, aux fournisseurs de services et aux développeurs d’applications d’offrir rapidement une expérience d’authentification plus simple et plus forte à des milliards d’utilisateurs dans le monde.»

FIDO2 et les navigateurs

En plus de Microsoft Edge, FIDO2 est également supporté par les principaux navigateurs Web Google Chrome et Mozilla Firefox (avec, en avant-première, la prise en charge par Apple Safari). Android a également été certifié FIDO2, ce qui permet aux applications mobiles et aux sites Web de tirer parti des normes FIDO sur plus d’un milliard d’appareils compatibles Android 7.0+. En outre, plusieurs produits certifiés FIDO2 ont été annoncés en vue d’appuyer la mise en œuvre.

Les fabricants d’appareils qui souhaitent bénéficier d’une certification prête à l’emploi et afficher le logo FIDO Certified sur leurs appareils Windows 10 doivent consulter le nouvel accord relatif à l’utilisation de la marque et des services de l’Alliance FIDO.

Adobe, Cybersécurité, Logiciels, Microsoft, Mise à jour, Patch, Social engineering

Patch Tuesday : 79 vulnérabilités dont 22 critiques

Ce Patch Tuesday de mai 2019 traite 79 vulnérabilités dont 22 classées critiques. Parmi ces dernières, 18 affectent les moteurs de scripts et les navigateurs.

Les quatre restantes concernent des exécutions de code à distance (RCE) sur le protocole Remote Desktop (RDP), le serveur DHCP, GDI+ et Word. Microsoft a également publié des recommandations sur les techniques MDS (Microarchitectural Data Sampling) récemment divulguées dont les failles ZombieLoad, Fallout et RIDL. Concernant Adobe, le Patch Tuesday comprend des correctifs pour des vulnérabilités dans Flash, Acrobat/Reader (83 vulnérabilités !) et Media Encoder.

Correctifs pour postes de travail

Le déploiement de patches pour les moteurs de script, les navigateurs, GDI+ et Word est une priorité pour les équipements de type poste de travail, c’est-à-dire tous les systèmes utilisés pour accéder à la messagerie ou à Internet depuis un navigateur. Sont également concernés les serveurs multi utilisateurs utilisés comme postes de travail distants par des utilisateurs.

Exécution de code RCE sur les services Remote Desktop (RDS)

Le protocole RDP (Remote Desktop Protocol) est affecté par la vulnérabilité par exécution de code à distance CVE-2019-0708. L’exploitation de cette vulnérabilité permet à un attaquant non authentifié d’exécuter du code de manière arbitraire sur un système affecté. Ce type de vulnérabilité peut faciliter la propagation de vers informatiques en raison du manque d’authentification et de l’omniprésence du service RDP. Même si un exploit Preuve de concept n’a pas encore été dévoilé, cette vulnérabilité doit être résolue en priorité absolue sur Windows 7, Server 2008 et Server 2008 R2.

Critiques : Exécution de code RCE sur le serveur DHCP

Le serveur DHCP de Windows est affecté par la vulnérabilité CVE-2019-0725 classée comme critique pouvant faciliter l’exécution de code à distance. Un quelconque attaquant non identifié peut envoyer des paquets à un serveur DHCP pour exploiter cette vulnérabilité, ce correctif est donc une priorité pour tous les déploiements DHCP Windows. Une vulnérabilité semblable au sein du serveur DHCP a été corrigée en février tandis qu’une autre vulnérabilité a été corrigée en mars sur le client DHCP.

Conseils pour les attaques MDS (Microarchitectural Data Sampling)

Microsoft a publié une documentation d’assistance concernant l’atténuation des attaques MDS (Microarchitectural Data Sampling). Les attaques de ce type s’appellent notamment ZombieLoad, Fallout et RIDL. Les CVE correspondant à ces vulnérabilités sont CVE-2018-12126, CVE-2018-12127, CVE-2018-12130 et CVE-2019-11091. Intel diffuse aussi une présentation ainsi qu’un document détaillé sur les techniques employées et les atténuations à déployer.

Des mises à jour du microcode pour les processeurs concernés devront être réalisées pour atténuer ces attaques tandis que des correctifs devront être déployés pour les systèmes d’exploitation. Microsoft précise que la désactivation de l’hyper-threading (alias Simultaneous Multi Threading ou SMT) pourra s’avérer nécessaire pour une atténuation complète, même si Intel déconseille cette procédure. Microsoft distribuera des mises à jour du microcode uniquement pour Windows 10. Pour les autres systèmes d’exploitation, c’est le fabricant OEM qui devra fournir ces mises à jour souvent sous la forme d’une mise à jour du BIOS.

Attaques actives sur des vulnérabilités facilitant une élévation de privilèges pour le traitement des erreurs Windows
Microsoft a également publié un correctif pour une vulnérabilité facilitant une élévation de privilèges pour le traitement des erreurs Windows (CVE-2019-0863) et qui a été exploitée à l’aveugle. L’application de ce correctif est donc prioritaire pour toutes les versions Windows prises en charge.

Adobe Patch Tuesday

Adobe a publié des correctifs pour Flash, Acrobat/Reader et Media Encoder. Même si les correctifs pour Flash ne concernent qu’une seule exécution CVE et que les patches pour Media Encoder en traitent deux, les patches pour Acrobat/Reader concernent pas moins de 83 vulnérabilités. Il est recommandé de traiter en priorité tous les systèmes hôtes impactés et plus particulièrement les équipements de type poste de travail. (Publié par Jimmy Graham dans The Laws of Vulnerabilities)

Cybersécurité, Entreprise, Fuite de données, loi, RGPD, Securite informatique

L’arnaque à la mise en conformité RGPD toujours en pleine forme !

Je vous faisais écouter, voilà bientôt un an, un interlocuteur proposant de vendre une mise en conformité RGPD. Une arnaque qu’avait dénoncé la CNIL dans un avertissement à destination des entreprises françaises. L’arnaque ne cesse pas !

Entré en application, il y a un an (le 25 mai 2018), le RGPD est plus que jamais un prétexte idéal pour des campagnes d’arnaques ciblant les entreprises françaises. Le blog ZATAZ avait été l’un des premier à alerter sur ce sujet [1] [2]. Depuis quelques semaines, une nouvelle variante de l’arnaque à la mise en conformité RGPD cible les entreprises. Cette arnaque est déjà connue, mais ici la méthode semble différente et très efficace. Décryptage de l’arnaque par Vade Secure, entreprise basée dans les Hauts de France, à Hem (59).

Un premier contact par courrier

Les escrocs ciblent les entreprises au travers d’une campagne de courriers au sujet d’une plainte d’un client concernant la mise en conformité à la RGPD. La technique est efficace. Des couleurs qui font officielles et des qui font peur.

« Si nous nous arrêtons quelques secondes sur ce document, le titre de la société – Comité Européen de la protection des données CFFE – semble reprendre le nom du Comité Européen de la protection des données CEPD, présent dans le texte de la RGPD à la section 3 du Chapitre VII (articles 68 à 76) » indique Sébastien Gest, Tech Évangéliste de Vade Secure.

L’adresse associée au dit comité est en fait une adresse de domiciliation située dans le 8e arrondissement de Paris. Contacté, l’interlocuteur de la société explique qu’il croule sous les appels pour ce même sujet depuis 15 jours. Un numéro de téléphone indiqué dans le but de traiter cette plainte. La personne au bout du fil développe alors un argumentaire efficace dans le but de vendre une prestation d’audit de mise en conformité afin de résoudre cette situation. Ces numéros de téléphone sont largement commentés et dénoncés.

Le paiement demandé par mail

Suite à cet appel un email contenant un lien de paiement par carte bancaire est envoyé dans le but de finaliser la transaction. D’un montant de 1194€, la prestation semble correspondre à un « Audit et à la rédaction du référentiel de traitement des données ».

Nous retrouvons dans cet email l’email présent dans le document papier mais ici en tant qu’expéditeur. Un lien de paiement par carte bancaire est ainsi proposé et ainsi qu’une nouvelle adresse apparaissant dans le but de contacter le support. Les domaines utilisent des extensions .eu et .online et sont déposés via le registrar américain namecheap.

En signature de cet email apparaît également le nom d’une société Française experte dans les domaines de la RGPD. Il ne nous est pas possible de certifier une possible implication de cette société dans cette escroquerie, nous avons donc souhaité de ne pas la citer.

Une arnaque ressemblant fortement à l’arnaque au support téléphonique

L’entreprise pensant devoir se mettre en conformité va dans les faits consommer une prestation dont elle n’a pas le besoin. Il est difficile d’évaluer le nombre de sociétés escroquées. Le seul indicateur reste le nombre de signalements sur les sites anti-escroqueries qui augmentent de jour en jour.

Porter plainte et faire un signalement aux autorités ? Clairement oui ! Les services de l’état ont mis en place le site https://www.pre-plainte-en-ligne.gouv.fr/ permettant de déposer une pré-plainte. À l’issue de ce signalement, un rendez-vous en gendarmerie est proposé. Il est vivement recommandé de déposer plainte et de faire remonter les informations aux services de Gendarmerie compétents.

Base de données, Chiffrement, cryptage, Cybersécurité, double authentification, Entreprise, Fuite de données, ID, Identité numérique, Mise à jour, Particuliers, Patch, RGPD, Securite informatique, Vie privée

Problèmes dans un ancien logiciel G Suite

Google révèle, mardi 21 mai 2019, deux failles de sécurité dans un ancien outil de sa solution G Suite Pro. Le stockage des mots de passe des clients pas des plus sécurisé. Un problème depuis 14 ans.

Problème de stockage pour les mots de passe ! Voilà ce qu’indique le géant Google dans un communiqué de presse diffusé ce mardi 21 mai. Depuis 2005, un outil de la solution G Suite pour professionnel, situé dans la console d’administration, stockait les mots de passe « de manière simplifiée« . Seuls concernés, les clients d’entreprise G Suite. Pas les comptes Gmail classiques.

Deux bogues concernant les mots de passe

Cette faille de sécurité date d’un ancien outil des années 2000. « L’outil permettait aux administrateurs de charger ou de définir manuellement les mots de passe des utilisateurs de leur entreprise, indique la firme américaine. L’intention était d’aider à intégrer de nouveaux utilisateurs; par exemple, un nouvel employé pouvait recevoir les informations de son compte et le récupérer. » Google confirme avoir commis une erreur en mettant en œuvre la fonctionnalité de définition de mot de passe de cet outil en 2005. Les mots de passe créés via cet outil étaient stockés sur disque sans passer par l’algorithme de hachage de mot de passe standard de Google. « Les employés ou des intrus ne pouvaient ni voir ni lire les mots de passe en clair. » explique Google.

Problème minime ?

La société parle d’une découverte effectuée en 2019. Elle déconseille d’utiliser l’outil et corrige le problème. « Nous n’avons vu aucune preuve d’accès incorrect ou d’utilisation abusive des mots de passe concernés« , écrit Google.

L’entreprise a également révélé un deuxième incident au cours duquel la plate-forme G Suite avait stocké des mots de passe sans les transmettre via son algorithme habituel de hachage des mots de passe. Ce second incident a été mis au jour alors que le personnel « résolvait les nouveaux flux d’inscription des clients G Suite« .

Google affiche qu’à partir de janvier 2019, G Suite avait stocké les mots de passe définis lors de la procédure d’inscription sous une forme simplifiée. Comme lors du premier incident, les mots de passe ont finalement été chiffrés lors de leur enregistrement sur le disque. Ce deuxième lot de mots de passe non hachés stocké pendant 14 jours. La société a annoncé avoir déjà averti les administrateurs de G Suite et leur avait demandé de réinitialiser les mots de passe des utilisateurs définis à l’aide de l’ancien outil G Suite. « Par précaution, nous allons réinitialiser les comptes des administrateurs qui ne l’ont pas fait eux-mêmes« .

Risque minime donc pour la sécurité des clients impactés. Un malveillant aurait dû, pour intercepter les données, s’inviter dans l’infrastructure de Google et retrouver sa cible !

Une fuite bien loin de celle ayant impacté Facebook et Instagram, en mars 2019 et les millions de mots de passe stockés en clair. (Zdnet)

backdoor, Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Justice, Paiement en ligne, ransomware, Securite informatique

Des experts en sécurité paient les ransomwares et facturent leurs clients

Des experts en sécurité informatique annonçaient posséder une technologie pour déchiffrer le ransomware SamSam. Il s’avère qu’ils payaient les maîtres chanteurs pour récupérer les fichiers. Ils facturaient ensuite les clients piégés.

Deux entreprises spécialisées dans la sécurité informatique annonçaient posséder une technologie capable de déchiffrer les fichiers pris en otage par le ransomware SamSam.

Il s’avère que ces experts de la cybersécurité payaient les auteurs du rançonnage. Les sociétés facturaient ensuite les clients piégés.

C’est ProPublica qui a mené une enquête sur ce phénomène. Les entreprises, Proven Data Recovery et MonsterCloud, annonçaient être capable de déchiffrer les fichiers pris en otage par le ransomwate SamSam.

Samsam, une attaque informatique qui avait perturbé le port de San Diego ou encore les ville d’Atlanta (11 millions de dollars), de Newark, des hôpitaux (dont celui d’Epinal en France) … Au USA, le Hollywood Presbyterian Medical Center avait avoué avoir payé pour récupérer ses données.

SamSam (MSIL/Samas) s’attaque aux serveurs  JBoss obsolète. Pour déchiffrer une machine, cela coute 1.7 Bitcoin (BTC). Samsam aurait été créé par deux pirates Iraniens.

Payer pour mieux déchiffrer ?

De nombreuses sociétés agissent de la sorte, l’indiquent à leurs clients. Elles agissent de la sorte par facilité et permettre de retrouver les données ! Pour MonsterCloud et Proven Data Recovery, c’est différent. Elles affirmaient avoir la technologie pour déchiffrer les informations prises en otage. Proven Data Recovery indique que cela était nécessaire, quand par exemple la santé/vie de patients pouvaient être mis en danger.

Comme l’indiquait en mars 2019 l’ANSSI, SamSam cible des entreprises estimées très rentables, appartenant à des secteurs d’activités variés, ainsi que des entités publiques à même de payer un montant conséquent en guise de rançon.

Les deux pirates Iraniens ne peuvent plus être payés par bitcoin, du moins via une entreprise américaine. L’Oncle Sam a mis sous embargo le moindre commerce avec ce pays et des entreprises américaines ou basées aux USA, faisant commerce avec les Etats-Unis. Bilan, plus possible de payer !

Base de données, Cybersécurité, Entreprise, Justice, loi, Mise à jour, RGPD, Securite informatique, Social engineering

Prudence au site SCPI-Gouv.fr

Vous souhaitez simuler un investissement ? Vous souhaitez passer par le site gouvernemental SCPI-Gouv.fr ? Prudence !

Le portail web SCPI-Gouv*fr vous propose de simuler le montant que vous pourriez gagner via des Sociétés civiles de placement immobilier (SCPI). Le site est rapide, réclame quelques informations afin de vous permettre d’en savoir plus et d’acquérir des parts de SCPI. Le site indique être « indépendant« , et la simulation proposée est « non contractuelle« . Le logo de l’AMF, l’Autorité des marchés financiers est affiché plusieurs fois. Le domaine affiche un Gouv.fr rassurant.

Stop, rangez vos quelques économies

Ce site n’est aucunement de confiance. D’abord, il sauvegarde les informations. Le site explique que cette sauvegarde est réalisée pour « des raisons de sécurité […] elles ne seront jamais divulguées à des tiers« . Ce n’est malheureusement pas ce que nous a affiché notre navigateur en fournissant des numéros de téléphones, au hasard. Le site nous affiche bien la présence de certains numéros !

Second problème, l’utilisation du « Gouv », dans le nom de domaine. Clairement une envie de perturber l’utilisateur du portail et du nom de domaine. Un site du gouvernement ? Non ! Pour rappel, les sites gouvernementaux français sont sous la nomenclature xxxx.gouv.fr.

Ensuite, l’utilisation du logo de l’AMF. L’Autorité des marchés financiers a d’ailleurs mis en garde le public à l’encontre du site scpi-gouv.fr « utilisant abusivement son nom et son logo » explique l’AMF. « Les sites internet www.lascpi*fr et www.scpi-gouv*fr indiquent proposer aux épargnants des simulateurs de placement ainsi que des guides relatifs à l’investissement dans des sociétés civiles de placement immobilier (SCPI). L’association du nom et du logo de l’AMF à ces sites peut faire croire aux internautes que l’AMF en cautionne le contenu. Or, l’Autorité des marchés financiers ne produit ni ne supervise aucun simulateur de placement dans des sociétés civiles de placement immobilier (SCPI). » indiquait le 10 avril 2019 l’AMF. Un mois plus tard, logos et manipulations d’url sont toujours effectifs.

Banque, Base de données, Cybersécurité, Emploi, Entreprise, Fuite de données, Justice, loi, RGPD, Securite informatique

Equifax : le piratage à plus de 1,4 milliard de perte

Le piratage informatique a un vrai coût qu’il est difficile de quantifier tant les ramifications venant s’y greffer ne se découvrent pas du jour au lendemain. Un exemple avec le piratage de 2017 de la compagnie Equifax. Deux ans après l’intrusion, la facture ne cesse de gonfler.

Le piratage informatique est déjà psychologiquement difficile à vivre pour toute personne et entreprise impactée par cette malveillance. L’aspect financier l’est encore plus, d’autant que la facture peut continuer à gonfler durant des mois, des années. La banque Equifax en fait les frais depuis 2017. Entre mai et juillet 2017, un pirate s’est invité dans ses informations. Quelques mois plus tard, la société américaine spécialisée dans les crédits à la consommation, révélait une infiltration informatique et le vol des données personnelles d’environ 150 millions de clients.

Elle ne s’était même pas rendue compte du vol. C’est le Department of Homeland Security (DHS) qui informait la société d’une vulnérabilité logicielle ayant permis la ponction.

1,4 milliard de perte depuis 2017

Le dernier Comité d’Entreprise a annoncé une perte de 1.4 milliard de dollars. Perte liée à ce piratage. Cerise sur le gâteau, la société de crédit doit faire face à plusieurs centaines de procès devant des tribunaux Américains, canadiens, Anglais, sans oublier le FTC de l’Oncle sam. Le CEO a tenté de rassurer les actionnaires en indiquant, par la bouche du directeur général, Mark Begor, que plusieurs plaintes avaient été levée via des accords de règlement avec certains recours collectifs et enquêteurs du gouvernement.

Bref, l’assureur a payé ! Il reste encore 2 500 plaintes de consommateurs, des recours collectifs internationaux et nationaux, des litiges entre actionnaires et des actions en justice intentées par des gouvernements et des villes américaines (clientes Equifax). A noter que l’enquête sur ce piratage est toujours en cours aux USA et à l’étranger.

Plus de 2 500 plaintes

Début mai, un groupe de membres du Congrès a présenté un nouveau projet de loi proposant certaines modifications réglementaires qui imposeraient des peines plus lourdes pour toutes les infractions futures liées aux données des américains. Cette modification exige aussi des inspections de cybersécurité et une obligation d’indemnisation des consommateurs en cas de vol de données. La loi propose qu’un bureau de la cybersécurité soit mis en place à la FTC.

Il aurait pour mission d’inspecter et superviser la cybersécurité des structures telles que les agences de notation. Du côté des pénalités, imposer des sanctions obligatoires en matière de responsabilité pour les violations impliquant des données. Une pénalité de base de 100 dollars pour chaque consommateur pour lequel un élément personnel (PII) compromis. 50$ pour chaque PII supplémentaire.

En vertu de ce projet de loi, Equifax aurait payé une amende d’au moins 1,5 milliard de dollars.

Argent, Arnaque, Banque, Bitcoin, Cybersécurité, Entreprise, escroquerie, Paiement en ligne, Particuliers, Securite informatique, Social engineering

Traders home, le trading forcé aux risques multiples

10 commentaires

Depuis plusieurs jours, une société de trading harcèle ses interlocuteurs, par téléphone, pour leur vendre du trading et le rêve de gagner des milliers d’euros sans se fatiguer. Prudence !

L’appel débute souvent quelques jours avant d’être en tête à tête, par téléphone, avec un commercial de chez Traders Home. Le premier appel dure rarement plus de 3 secondes. Vous décrochez, et on vous raccroche au nez. Il s’agit d’un bot. D’un système automatisé qui doit permettre à Traders Home, comme à plusieurs autres arnaqueurs (rénover vos combles pour 1 euros ; devenir le parrain d’un jeune enfant en Afrique, …), de s’assurer qu’un humain est bien derrière la ligne téléphonique. Les numéros sont le plus souvent généré automatiquement. Ils sont aussi récupérés via différents itinéraires. Et être inscrit chez bloctel n’y changera rien !

Traders Home

Pour le cas de Traders home, la méthode est simple. Votre interlocuteur vous fait miroiter de l’argent, beaucoup d’argent, en devenant un trader. Vous allez pouvoir miser sur les monnaies (Euros, Dollars), l’or, les cryptymonnaies (bitcoin, …) ou encore sur l’énergie (gaz, électricité…)

Votre commercial (homme ou femme) vous indique que cela ne vous coûtera quasiment rien. Juste une centaine d’euros. Et comme vous êtes des débutants, ils mettent 50 euros de leur poche. Vous voilà ferré. Vous risquez de finir plumé par cette entreprise qui affiche une adresse basée dans les fins fond de l’océan indien. Autant dire que pour râler, il va falloir prendre les rames… et ramer !

Installer un logiciel et reg. arder les euros défilés

La communication peut-être longue. L’interlocuteur vous prend en main. Vous dirige dans les méandres du site web de Traders Home. On vous explique que « c’est super simple […] sans aucun risque« . Il faut juste s’inscrire, choisir l’espace « étudiant » (débutant), fournir un numéro de téléphone (pour votre coach), faire virer 100€ et installer un logiciel « Dans votre téléphone portable ou tablette pour plus de confort » !

Pour rappel, le trading est une véritable activité à risque. Un trader doit être connu favorablement auprès d’une autorité financière. Et devinez quoi… L’AMF, l’Autorité des Marchés Financiers en France n’aime pas du tout Tradershome Ltd. TD est même dans la liste noire de l’AMF.

L’arnaque

« J’ai été contacté en mars, explique Jacqueline à Data Security Breach. Mon interlocuteur m’a fait rêver. Il m’a expliqué que je pouvais gagner énormément d’argent en investissant dans le trading. Je n’ai aucune expérience. Le monsieur m’a indiqué que ce n’était pas utile. Tradershome allait m’aider. Je n’avais rien à faire que de – regarder les euros défiler« .

« J’ai fait un premier versement de 100€. Tout c’est enchaîné très rapidement. J’ai reçu des appels qui m’étaient indiqué provenant de Hong-Kong. On m’appelait chaque jour. Mon – coach – souhaitait que j’augmente mon capital. Plus je verserai, plus je gagnerai, m’affirmait-t-il. Le plus fou c’est qu’au début, je recevais bien mes profits. J’avais versé 1 000€ en mars 2019. J’ai reçu un premier versement de 250€. Bilan, les appels et cette entrée d’argent m’ont incité à placer 4 000 euros. Bilan, 5 000 euros chez eux. Pour me garder, j’ai reçu 740€ sur mon compte en banque, en avril 2019. Sauf que trois semaines plus tard, ma courbe a chuté à 4 700 euros. Il ne me restait plus que 300€. Je n’ai plus jamais eu de nouvelles. J’ai perdu 4 260 dans ce piège.« 

Biométrie, Chiffrement, Cybersécurité, Entreprise, Securite informatique

Authentification biométrique : notre identité en ligne de mire des attaquants

Alors que la CNIL a publié, le 28 mars 2019, « un règlement type qui précise les obligations des organismes souhaitant se doter de dispositifs biométriques à des fins de contrôle d’accès aux locaux, aux applications et aux outils de travail », à destination des employeurs, les organisations doivent poursuivre leur transformation digitale tout en gardant le cap sur la protection des données sensibles, dont les données biométriques font partie.

Pour David Higgins, Director of Customer Development EMEA, chez CyberArk, l’engouement pour l’authentification biométrique et son rôle dans la cybersécurité ne cesse de croître, et divise de plus en plus. Perçue par certains experts comme l’avenir de la sécurité numérique, la biométrie suscite cependant des craintes quant à la confidentialité. « Autrefois réservés aux films de science-fiction, les lecteurs biométriques d’empreintes digitales, de reconnaissance faciale, ou encore les scanneurs rétiniens, ont prouvé leur efficacité ces dernières années pour authentifier les consommateurs et permettre l’usage de leurs terminaux. Tant et si bien que de nombreuses entreprises ont souhaité explorer l’authentification biométrique comme un moyen de protéger leurs données sensibles. Or, il faut d’abord en comprendre les enjeux. »

Pour être utiles à des fins d’identification et de contrôle d’accès, les marqueurs biométriques doivent être totalement individuels, permanents et enregistrables. Les exemples de données biométriques incluent des caractéristiques propres à chaque individu comme la structure faciale d’une personne, l’iris de l’œil, les empreintes digitales, le timbre de la voix, ou encore la géométrie d’une main. Ces caractéristiques uniques sont collectées et stockées dans une base de données, offrant un moyen sécurisé aux utilisateurs pour se connecter à plusieurs périphériques, ou systèmes, sans avoir à utiliser et à mémoriser de nombreux mots de passe.

Or, l’authentification biométrique préoccupe beaucoup du point de vue de la sécurité et de la protection de la vie privée, notamment parce que leur caractère permanent tend à vulnérabiliser les systèmes. En effet, partant du principe qu’il n’est pas possible de modifier son visage, la structure des veines de ses mains ou ses empreintes digitales, comme on modifie un mot de passe traditionnel, si une personne vole, utilise ou duplique l’identité biométrique d’un individu, ce dernier ne peut rien y faire – ses comptes et appareils resteront vulnérables ad vitam aeternam. Par ailleurs, le fait que l’authentification biométrique soit permanente pourrait facilement conduire certaines personnes et/ou organisations à devenir trop confiantes dans la technologie et à abandonner d’autres bonnes pratiques de sécurité, telles que les stratégies de mot de passe fort ou l’authentification multifactorielle (MFA). Cette relâche de la sécurité n’a pas échappé aux pirates qui ont ainsi lancé une vague d’attaques contre ces nouveaux marqueurs biométriques allant des micropuces aux services génétiques, en passant par les bases de données biométriques.

Les technologies d’authentification biométrique ne sont pas encore totalement infaillibles. Bien que l’avenir des mots de passe traditionnels ne semble pas prometteur, il reste encore beaucoup à faire en cybersécurité, et au niveau de la réglementation de la confidentialité, pour permettre aux organisations d’adopter cette approche d’authentification facilement et en toute confiance.

Bref, comme sur Internet, notre vie privée est malmenée. Sur le web, le VPN devient un outil INDISPENSABLE. Voici d’ailleurs une possibilité avec un classement des meilleurs VPN. Prudence, cependant, aux VPN gratuits. Certains peuvent être plus dangereux qu’autre chose comme expliqué ici.

backdoor, Cybersécurité, IOT, Securite informatique

Faille iLnkP2P : découverte de 2 millions d’objets connectés affectés

Faille de sécurité dans iLnkP2P : 2 millions d’objets connectés sont affectés. Trois mois après la divulgation de cette faille, le correctif n’est toujours pas disponible.

En tout, iLnkP2P présente deux failles de sécurité. L’une d’elle permet à un attaquant de se connecter à un périphérique. L’autre problème permet de voler les données d’accès au périphérique et de prendre le contrôle total.
Un vrai danger, surtout si une webcam impactée est située dans une zone telle que la chambre d’un enfant ou votre chambre à coucher.
De nombreux appareils intelligents utilisent des composants prêts à l’emploi. Une partie de ces composants exploite la communication P2P. Cette communication fluide et sans problème permet de relier les périphériques entre-eux.

iLnkP2P dangereux !

Une des solutions prêtes à l’emploi s’appelle iLnkP2P, fabriquée par la société chinoise Shenzen Yunni Technologies.
L’approvisionnement en composants auprès de fournisseurs externes est une pratique courante dans de nombreux secteurs. Par exemple, les constructeurs automobiles achètent souvent certains groupes de composants, tels que des faisceaux de câbles, auprès de fournisseurs externes. En conséquence, tout problème avec un composant fabriqué par un fournisseur donné affecte plusieurs fournisseurs.
Parmi les sociétés affectées par les failles de sécurité : VStarcam, Eye Sight et HiChip.
Il serait «difficile» d’énumérer tous les fournisseurs concernés, comme l’a expliqué Paul Marrapese. À ce stade, aucun correctif n’est en vue – et il est peu probable qu’il en existe un prochain, étant donné que le fournisseur de iLnkP2P n’a pas réagi à plusieurs tentatives d’alertes.
Le chercheur a rendu publique les vulnérabilités au bout de trois mois.
APT, Cyber-attaque

L’exploitation des rootkits Scranos se mondialise

Un commentaire

Les menaces sophistiquées demeurent l’une des principales préoccupations des entreprises. Au fur et à mesure que les environnements se complexifient, les attaquants trouvent des moyens innovants d’infiltrer le réseau, s’y dissimulant pour faire des ravages tout en gardant une discrétion totale.

Les experts Threat intelligence viennent d’analyser les subtilités d’une nouvelle opération de spyware multiplateforme. Pour Harish Agastya VP of Enterprise Solutions de Bitdefender : « Cette campagne, nommée Scranos basée sur les rootkits s’étendra – au moins – aussi largement que l’opération de fraude Zacinlo, un logiciel espion extrêmement sophistiqué qui fonctionne secrètement depuis le début de 2012, générant des revenus pour ses opérateurs et compromettant la vie privée de ses victimes ».

Scranos infecte déjà les utilisateurs du monde entier en raison de sa capacité à survivre sur toutes les plates-formes, en obtenant une gamme plus étendue de endpoints d’entreprise, en particulier des appareils Android.

Comment fonctionne Scranos ?

Déguisé en logiciel craqué ou en applications légitimes telles que des lecteurs d’ebooks, des lecteurs vidéo, des pilotes ou même des produits antimalware, Scranos fait maintenant partie d’un projet plus vaste. Les serveurs de commande et de contrôle poussent d’autres programmes malveillants.

Cela indique clairement que le réseau pris en main par des personnes tierces, dans un schéma de paiement à l’installation.

Les acteurs derrière Scranos apportent en permanence des modifications au logiciel malveillant, en ajoutant de nouveaux composants aux utilisateurs déjà infectés et en améliorant les fonctionnalités les plus évoluées.

Les employés constituent l’un des premiers points d’entrée dans une entreprise. Selon des études récentes, ils restent le maillon faible de la sécurité informatique des entreprises et les acteurs de la menace les contournent facilement pour s’infiltrer dans les entreprises. Les cybercriminels exploitent également la myriade d’outils qu’utilisent les entreprises auprès de fournisseurs tiers. Leurs derniers vecteurs d’attaque comprennent le ciblage des fournisseurs de petites entreprises et qui sont moins protégés.

Scranos tire parti de l’infrastructure de l’entreprise pour lancer de nouvelles attaques

Prenant en charge les rootkits, Scranos est conçu pour ne pas être détecté par un système et peut facilement désactiver les pares-feux et les logiciels antimalwares traditionnels, si toutefois le système le demande. Il est persistant et exploite les capacités de camouflage pour revenir même après sa détection et son élimination.

L’objectif principal étant l’exfiltration de données, les enjeux sont importants : des problèmes de gestion, des risques au vol de propriété intellectuelle et atteintes à la réputation de la marque. La conformité est également une préoccupation majeure. En effet, « accélérer la réglementation en matière de protection de la vie privée » a dépassé la « pénurie de talents » dans les principaux risques émergents pour les entreprises, au premier trimestre 2019, selon une étude récente de Gartner.

Scranos tire parti de l’infrastructure de l’entreprise pour lancer de nouvelles attaques. Ce qui pose de graves problèmes juridiques, affecte la réputation de la marque et, en fin de compte, les bénéfices financiers.

Communiqué de presse, Cybersécurité, Justice

Délit d’usurpation d’identité numérique et liberté d’expression

Le cabinet LAZARÈGUE AVOCATS spécialisé dans la cybercriminalité et le droit de la presse a obtenu une décision importante en matière de liberté d’expression.

Selon Maître Lazarègue : « La rédaction confuse du délit d’usurpation d’identité numérique prévu dans le code pénal pouvait laisser entendre que le seul fait de « faire usage d’une ou plusieurs données de toute nature permettant d’identifier un individu en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération pouvait faire l’objet d’une condamnation d’un an d’emprisonnement et de 15 000 € d’amende ».

De nombreuses entreprises tentaient ainsi d’échapper aux contraintes de la loi sur la liberté de la presse (notamment à son délai de prescription limité à trois mois) en invoquant le délit d’usurpation d’identité numérique pour étouffer toute expression publique critique à leur égard.

Dans un jugement du 18 avril 2019, la 17e chambre du Tribunal de Grande Instance de Paris spécialisée dans les questions de presse et internet a réaffirmé son attachement à la liberté d’expression et la primauté de la loi sur la liberté de la presse en matière d’expression publique.

La 17e chambre a ainsi jugé que la loi pénale est d’interprétation stricte et l’interprétation de l’article 226-4-1 du code pénal au regard des travaux préparatoires de cette loi permet de restreindre le champ de l’infraction à celui d’une usurpation d’identité ou à une utilisation des données de toute nature permettant d’identifier quelqu’un dans le but de se faire passer pour cette personne, telle étant la volonté du législateur. »

Cybersécurité, Mise à jour, Patch, Securite informatique

Patch Tuesday avril 2019 : 74 vulnérabilités, dont 16 critiques corrigées par Microsoft

Le Patch Tuesday du mois d’avril 2019 traite 74 vulnérabilités dont 16 classées critiques.

Dans ce Patch tuesday mensule, huit de ces vulnérabilités critiques concernent les moteurs de script et des composants de navigateur et impactent les navigateurs Microsoft ainsi que la suite Office, tandis que 5 vulnérabilités critiques affectent MSXML. Deux vulnérabilités facilitant l’exécution de code à distance (RCE) sont corrigées dans GDI+ et IOleCvt. Deux vulnérabilités permettant une élévation de privilèges dans Win32k sont signalées comme activement attaquées tandis qu’une autre dans le service de déploiement AppX Windows fait l’objet d’un exploit PoC public.

Correctifs pour postes de travail

Le déploiement de patches pour le moteur de script et MSXML est une priorité pour les équipements de type poste de travail, c’est-à-dire tous les systèmes utilisés pour accéder à la messagerie ou à Internet depuis un navigateur. Sont concernés les serveurs multi utilisateurs utilisés comme postes de travail distants.

Attaques actives sur des vulnérabilités facilitant une élévation de privilèges dans Win32k

Deux vulnérabilités (CVE-2019-0803 et CVE-2019-0859) dans Win32k entraînent une élévation des privilèges si elles sont exploitées. Microsoft signale que ces deux vulnérabilités sont activement attaquées. Les correctifs doivent être déployés en priorité pour tous les postes de travail et les serveurs.

Preuve de concept (PoC) avec élévation de privilèges dans le service de déploiement AppX Windows

Le service de déploiement AppX (AppXSVC) de Windows héberge une autre vulnérabilité facilitant une élévation des privilèges. Ce service est chargé du déploiement des applications du Windows Store. La vulnérabilité concerne la gestion des liens en dur par le service. Un PoC a été diffusé dans le domaine public. Les correctifs doivent être déployés en priorité pour les postes de travail et les serveurs car ce service existe sous Windows 10 et sur Server 2019.

Vulnérabilités facilitant des RCE dans GDI+ et IOleCvt

Deux vulnérabilités critiques permettant l’exécution de code à distance (RCE) sont corrigées dans GDI+ et IOleCvt. Ces vulnérabilités nécessitent une interaction de l’utilisateur et un correctif doit être déployé en priorité pour les systèmes de type poste de travail.
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0853
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0845

Élévation de privilèges sur le serveur SMB

Une vulnérabilité facilitant l’élévation de privilèges a été corrigée sur le serveur SMB. Pour exploiter cette vulnérabilité, l’attaquant doit être connecté au système ciblé et accéder à un fichier malveillant via SMB.

Correctifs Adobe

Adobe diffuse aussi un grand nombre de correctifs en ce mois d’avril 2019, notamment pour Flash Player, Acrobat et Reader, Shockwave Player, Dreamweaver, Adobe XD, InDesign, Experience Manager Forms et Bridge CC. Le patch pour Flash Player corrige une exécution de code à distance (RCE) critique et une vulnérabilité importante. Microsoft a également classé les correctifs pour Flash comme critiques. Les correctifs pour Acrobat/Reader traitent 21 vulnérabilités différentes, dont 12 concernent des RCE critiques. Les patches pour Adobe Flash et Acrobat/Reader doivent être déployés en priorité pour tous les systèmes de type poste de travail. (Par Jimmy Graham – The Laws of Vulnerabilities)

APT, backdoor, Communiqué de presse, Cybersécurité, Securite informatique

SneakyPastes : une opération basique mais efficace du cybergang Gaza frappe des cibles liées au Moyen-Orient dans 39 pays

En 2018, le cybergang Gaza, dont nous savons désormais qu’il comprend plusieurs groupes plus ou moins sophistiqués, a lancé une opération de cyberespionnage ciblant des personnes et des institutions ayant un intérêt politique en lien avec le Moyen-Orient. La campagne, nommée SneakyPastes, utilisent des adresses e-mail jetables pour propager l’infection par phishing, avant de télécharger le malware par étapes successives depuis divers sites gratuits. Cette méthode peu coûteuse mais efficace a permis au groupe de frapper environ 240 victimes d’envergure dans 39 pays à travers le monde, notamment des responsables politiques, des diplomates, des activistes ou des médias.

Le cybergang Gaza est un collectif arabophone à motivations politiques, rassemblant des groupes malveillants étroitement liés qui ciblent activement le Moyen-Orient et l’Afrique du Nord, en particulier les Territoires palestiniens. Kaspersky Lab a identifié au moins trois de ces groupes ayant des objectifs et des cibles similaires – pour du cyberespionnage lié à des intérêts politiques dans la région – mais présentant des outils, techniques et niveaux de sophistication très différents. Il existe cependant des éléments communs à chacun d’entre eux.

Le cybergang Gaza

Parmi ces groupes, les plus avancés sont Operation Parliament et Desert Falcons, identifiés respectivement depuis 2018 et 2015, aux côtés d’un groupe sous-jacent moins complexe, également connu sous le nom de MoleRats, actif depuis au moins 2012. Au printemps 2018, ce groupe de base a lancé l’opération SneakyPastes.

SneakyPastes a commencé par des attaques de phishing autour de thèmes politiques, propagées à l’aide d’adresses e-mail et de domaines « jetables » (à usage unique). Les liens ou fichiers joints malveillants sur lesquels les destinataires cliquaient ou où qu’ils téléchargeaient installaient ensuite l’infection sur leur machine.

SneakyPastes

Afin d’échapper aux systèmes de détection et de masquer la localisation du serveur de commande et de contrôle (C&C), un malware supplémentaire était téléchargé sur les machines des victimes par étapes successives depuis divers sites gratuits, notamment Pastebin et Github. Les différents implants malveillants utilisaient PowerShell, VBS, JS et dotnet pour assurer leur résilience et leur persistance à l’intérieur des systèmes infectés. La dernière étape de l’intrusion était un cheval de Troie à accès distant (RAT), qui contactait le serveur C&C puis collectait, compressait, cryptait et transférait vers celui-ci un large éventail de documents volés (tableaux de chiffres, par exemple). L’opération SneakyPastes tire son nom de l’utilisation massive, par les auteurs de l’attaque, de sites de collage (paste) pour infiltrer progressivement le RAT dans les systèmes des victimes.

Les chercheurs ont collaboré avec les autorités afin de mettre au jour le cycle complet d’attaque et d’intrusion de l’opération SneakyPastes. Ces efforts ont permis d’aboutir, non seulement à une connaissance détaillée des outils, techniques, cibles, etc., mais aussi au démantèlement effectif d’une grande partie de l’infrastructure.

Territoires palestiniens, en Jordanie, en Israël et au Liban

L’opération SneakyPastes a connu son pic d’activité entre avril et mi-novembre 2018, se concentrant sur une liste restreinte de cibles constituées d’entités diplomatiques et gouvernementales, d’ONG et de médias. D’après les données télémétriques, il semble exister environ 240 victimes d’envergure – individus ou institutions – dans 39 pays à travers le monde, dont la majorité se trouve dans les Territoires palestiniens, en Jordanie, en Israël et au Liban. Il s’agit notamment d’ambassades, d’administrations, de médias et de journalistes, d’activistes, de partis politique ou de particuliers, ainsi que d’établissements dans les secteurs de l’éducation, de la banque et de la santé ou encore des organisations contractantes.

« La découverte de Desert Falcons en 2015 a marqué un tournant dans le paysage des menaces car il s’agissait alors de la première APT connue qui soit entièrement arabophone. Nous savons à présent que ses auteurs, le cybergang Gaza, ciblent activement des intérêts moyen-orientaux depuis 2012. Celui-ci s’appuyait au départ sur les activités d’une équipe assez peu sophistiquée mais acharnée, à l’origine de l’opération SneakyPastes en 2018. SneakyPastes montre que le manque d’infrastructures et d’outils avancés n’est pas un obstacle au succès. Nous nous attendons à voir les dommages causés par les trois groupes du cybergang Gaza s’intensifier et leurs attaques s’étendre à d’autres régions du monde qui sont également liées à la question palestinienne », commente Amin Hasbini, responsable du centre de recherche pour le Moyen-Orient au sein de l’équipe GReAT (Global Research & Analysis Team).

backdoor, Leak

TajMahal, le petit palais de la malveillance numérique

TajMahal, une rare plate-forme de cyberespionnage forte de 80 modules malveillants, avec des fonctionnalités inédites et sans liens connus avec des menaces existantes.

Des chercheurs ont mis à jour une plate-forme de cyberespionnage techniquement très élaborée, active depuis au moins 2013 et sans liens apparents avec des menaces connues. Cette plate-forme, nommée TajMahal par les chercheurs, compte environ 80 modules malveillants et présente des fonctionnalités jusque-là inédites dans une menace persistante avancée (APT), par exemple la capacité de voler des informations dans les files d’attente d’imprimante et de capturer des fichiers, repérés précédemment sur une clé USB, lors de sa connexion suivante. Kaspersky Lab a observé jusqu’à présent une seule victime, une ambassade d’un pays d’Asie centrale, mais il est probable que d’autres ont été touchées.

Les chercheurs de Kaspersky Lab ont découvert TajMahal vers la fin de 2018. Il s’agit d’une plate-forme APT techniquement très élaborée, conçue pour des activités poussées de cyberespionnage. L’analyse du malware révèle que la plate-forme a été développée et utilisée depuis au moins cinq ans, l’échantillon le plus ancien datant d’avril 2013 et le plus récent de 2018. Le nom « TajMahal » est celui du fichier servant à exfiltrer les données volées.

TajMahal 2.0

Il semble que la plate-forme TajMahal comporte deux principaux packages, qui se nomment eux-mêmes « Tokyo » et « Yokohama ».

Tokyo est le plus petit des deux, comptant environ trois modules. Il contient les principales fonctionnalités du backdoor (la porte dérobée) et se connecte périodiquement aux serveurs de commande et de contrôle (C&C). Tokyo exploite PowerShell et demeure présent sur le réseau même après le passage à la phase 2 de l’intrusion.

Cette seconde phase est Yokohama, une plate-forme dotée d’armes complètes d’espionnage. Celle-ci comprend un système de fichiers virtuel (VFS) regroupant l’ensemble des modules, des bibliothèques tierces open source et propriétaires, ainsi que des fichiers de configuration. On y dénombre en tout près de 80 modules, notamment de chargement, d’orchestration, de communication C&C, d’enregistrement audio, d’enregistrement des frappes clavier, de copie d’écran et de piratage de webcam ou encore destinés au vol de documents et de clés cryptographiques.

TajMahal peut également dérober des cookies de navigateur, collecter la liste de sauvegarde des appareils mobiles Apple ou de voler les données d’un CD gravé par une victime ainsi que des documents dans la file d’attente d’une imprimante. Le malware peut aussi commander le vol d’un fichier particulier sur une clé USB vue précédemment, fichier dérobé lors de la prochaine insertion de celle-ci dans l’ordinateur.

Les systèmes ciblés infectent à la fois par Tokyo et Yokohama

Cela donne à penser que Tokyo constituait la première phase de l’infection, déployant les fonctionnalités complètes de Yokohama chez les victimes qui présentent un intérêt, puis restant sur place à des fins de sauvegarde. Jusqu’à présent, une seule victime identifiée : une représentation diplomatique d’un pays d’Asie centrale, infectée en 2014. Les vecteurs de diffusion et d’infection de TajMahal sont pour l’instant inconnus.

« La plate-forme TajMahal est une découverte très intéressante et très curieuse. Sa complexité technique ne fait aucun doute et elle présente des fonctionnalités encore jamais observées auparavant dans une menace avancée. Un certain nombre de questions se posent. Par exemple, il paraît hautement improbable qu’un tel investissement ait été engagé à l’encontre d’une seule victime. Cela laisse penser qu’il existe d’autres victimes non encore identifiées et/ou que des versions supplémentaires de ce malware sont en circulation. Les vecteurs de diffusion et d’infection de la menace sont eux aussi inconnus. D’une manière ou d’une autre, celle-ci a échappé aux radars pendant plus de cinq ans. Que ce soit dû à son inactivité relative ou à une autre raison, cela constitue un autre mystère. Aucun indice ne nous permet d’attribuer cette menace ni de la relier à des groupes malveillants connus », commente Alexey Shulmin, analyste principal en malware.

Chiffrement, cryptage, Cybersécurité, ID, Identité numérique, Particuliers, Securite informatique

Secure File Transfer : nouveau site de téléchargement en mode chiffré

3 commentaires

Une société néerlandaise met en ligne un concurrent à Wetransfer. Originalité du service, utiliser le chiffrement bout-à-bout pour sécuriser les communications.

L’entreprise KPN vient de mettre en ligne un nouveau service de transfert de fichiers. Son nom : Secure File Transfer. SFT permet de diffuser ses fichiers comme Wetransfer.

A la différence de ce dernier, Secure File Transfer propose un chiffrement de type bout-en-bout. Le système est assez étonnant.

Si vous souhaitez envoyer un fichier, un code QR apparaît. Il faut transférer l’information à votre destinataire sous forme de photographie. Ce dernier doit scanner l’image avec sa webcam afin de pouvoir télécharger le document que vous souhaitez lui transmettre. Vous pouvez communiquer jusqu’à 4go de données. L’expéditeur peut paramétrer la durée de disponibilité et le nombre de téléchargement possible.

Une fois votre fichier téléchargé, un QR Code est généré, ainsi qu’un lien de transfert. Il est possible de rajouter un mot de passe.

La version bêta de ce service est accessible.

Cybersécurité, Entreprise, escroquerie, Fuite de données, ID, Identité numérique, Logiciels, Microsoft, Mise à jour, Particuliers, Patch, Securite informatique, Social engineering

Faille pour Windows : possible de copier vos fichiers à distance

Un chercheur en cybersécurité découvre comment des pirates pourraient vous voler des fichiers via Internet Explorer… même si le navigateur est fermé.

Un chercheur en sécurité informatique, John Page (Hyp3rlinx), a découvert comment il était possible de prendre la main sur vos fichiers via un ordinateur sous Windows 7, 10 et Server 2012. Une attaque qui exploite Internet Explorer.

Le plus inquiétant est que le navigateur n’a pas besoin d’être ouvert pour que l’infiltration fonctionne. Un pirate doit motiver son interlocuteur à ouvrir un fichier, envoyé par mail ou via un lien. Mission, ouvrir un fichier MHT particulièrement formulé.

Via ce MHT, le pirate peut copier les fichiers de votre ordinateur. Comme le précise ZDNET, Microsoft alertée. La réaction peu rapide du géant américain a motivé John Page a révélé la faille.

python -m SimpleHTTPServer

Lors de l’ouverture locale du fichier « .MHT » malveillant, il convient de lancer Internet Explorer. Ensuite, les interactions utilisateur telles que l’onglet en double « Ctrl + K » et d’autres interactions, telles que les commandes « Aperçu avant impression » ou « Imprimer » effectuées par un clic droit sur la page Web peuvent également déclencher la vulnérabilité.

Testé avec succès dans le dernier navigateur Internet Explorer (11), avec les derniers correctifs de sécurité.

Microsoft indique « qu’une solution à ce problème serait prise en compte dans une future version de ce produit ou service. Pour le moment, nous ne fournirons pas de mises à jour régulières sur l’état du correctif relatif à ce problème, et nous avons classé cette affaire ».

backdoor, Chiffrement, Communiqué de presse, Cybersécurité, Mise à jour, Patch, Securite informatique

De nouvelles vulnérabilités des routeurs Verizon exposent des millions de consommateurs

Selon une étude Tenable, des pirates pourraient obtenir le contrôle complet des routeurs domestiques Verizon et l’accès au trafic du réseau sans avoir besoin d’un accès physique à l’appareil.

Une équipe de recherche a découvert de multiples vulnérabilités dans les routeurs Verizon Fios Quantum Gateway. Si elles étaient exploitées, les vulnérabilités donneraient à l’attaquant un contrôle total sur le routeur et une visibilité sur tout ce qui y est connecté. Des millions de ces appareils sont actuellement utilisés dans les foyers américains.

L’essor de la maison intelligente a fait du simple routeur une cible de choix pour les cybercriminels. Ces dernières vulnérabilités découvertes par Tenable Research (CVE-2019-3914, CVE-2019-3915 et CVE-2019-3916) ouvrent la voie à un certain nombre de scénarii d’attaque qui permettent d’accéder aux dispositifs intelligents, comme les systèmes de sécurité domestiques, qui sont connectés au routeur et peuvent être compromis à distance. Un attaquant pourrait altérer les paramètres de sécurité de l’appareil, modifier les règles du pare-feu ou supprimer les contrôles parentaux. Ils pourraient surveiller le trafic réseau pour compromettre davantage les comptes en ligne d’une victime, voler ses coordonnées bancaires et récupérer ses mots de passe.

« Les routeurs sont aujourd’hui la plaque tournante de toute la maison intelligente. Ils nous permettent de rester connectés à Internet, de sécuriser nos maisons et même de déverrouiller les portes à distance, explique Renaud Deraison, cofondateur et CTO chez Tenable. Mais ils servent aussi de point d’entrée virtuel au cœur même de la maison moderne, contrôlant non seulement ce qui sort, mais aussi qui entre. »

Verizon a indiqué que la version 02.02.00.13 du firmware traitera ces vulnérabilités et que les périphériques concernés seront mis à jour à distance.

Chiffrement, Cloud, Communiqué de presse, Cybersécurité, Entreprise, Mise à jour, Patch, RGPD, Securite informatique

Buckets open cloud : 52 secondes suffisent pour qu’un Serveur Cloud se fasse attaquer par des pirates

Buckets open cloud : Une étude indique qu’il suffirait de 52 secondes pour qu’un serveur cloud soit sous les tirs d’une cyberattaque. L’étude porte sur 10 serveurs cloud honeypots, répartis dans le monde. L’enquête révèle un réel besoin en visibilité et de sécurité pour protéger ce que les entreprises mettent sur des plateformes hybrides et tout-cloud.

Il a fallu moins de 40 minutes en moyenne pour que des cybercriminels attaquent des serveurs cloud honeypots déployés sur 10 sites différents répartis dans le monde entier, le site de São Paolo au Brésil faisant l’objet de l’attaque la plus rapide, au bout de 52 secondes seulement. Les serveurs basés à Paris ont subi une première tentative de connexion malveillante au bout de 17 minutes et 20 secondes seulement, ce qui fait de Paris la ville d’Europe touchée le plus rapidement par ces attaques (et la 4ème ville au niveau mondial).

Paris est la deuxième ville d’Europe la plus ciblée en terme de nombre d’attaques – les honeypots hébergés sur des serveurs à Paris ont subi 612 885 attaques en trente jours (juste derrière l’Irlande avec 616 232 attaques). Les serveurs cloud ont été, en moyenne, la cible de 13 tentatives d’attaque par minute et par honeypot.

5 millions d’attaques

Plus de 5 millions de tentatives d’attaques ont été détectées sur tous les honeypots, et ce sur une période de 30 jours.

Ces 10 centres de données parmi les plus populaires au niveau d’Amazon Web Services (AWS) dans le monde, ont été testés pendant 30 jours. On compte parmi eux des emplacements à Paris, à Francfort, à Londres, en Irlande, en Californie, en Ohio, à Mumbai, à São Paulo, Singapour ou encore à Sydney.

Les résultats montrent ainsi comment les cybercriminels recherchent automatiquement les buckets open cloud vulnérables. Si les attaquants réussissent à entrer, les entreprises peuvent alors voir des données vulnérables exposées. Les cybercriminels utilisent également des serveurs cloud compromis comme relais pour accéder à d’autres serveurs ou réseaux.   « Le rapport Sophos ‘Exposed: Cyberattacks on Cloud Honeypots’ identifie les menaces auxquelles font face les entreprises qui migrent vers des plateformes hybrides et tout-cloud. La rapidité et l’ampleur des attaques contre les honeypots prouvent le niveau de menace persistant des cybercriminels et montrent qu’ils utilisent des botnets pour cibler les plateformes cloud d’une entreprise. Il peut s’agir parfois d’attaquants humain, mais quoi qu’il en soit, les entreprises ont besoin d’une stratégie de sécurité pour protéger ce qu’elles mettent sur le cloud », déclare Matthew Boddy, spécialiste cybersécurité chez Sophos. « La question de la visibilité et de la sécurité au niveau des plateformes cloud est un défi majeur pour les entreprises. Et avec la migration croissante vers le cloud, cette tendance se confirme ».    

 

Android, Apple, Chiffrement, Communiqué de presse, Cybersécurité, ID, Identité numérique, ios, iOS, Logiciels, Microsoft, Mise à jour, Particuliers, Patch, Sécurité, Securite informatique, Smartphone, VPN

Reborn 3 : le premier navigateur de bureau prêt pour le Web 3, l’Internet du futur

Reborn 3, le plus récent navigateur Opera pour Mac, Windows et Linux comprend dorénavant un portefeuille Crypto, un explorateur Web 3 et un VPN gratuit. Reborn 3 est conçu pour donner aux gens un sentiment de contrôle sur leur vie en ligne et un aperçu du Web de l’avenir.

Pari osé pour les Norvégiens de chez Opera. Le navigateur concurrent de Chrome, Firefox et autre Edge, pour ne citer qu’eux, devient le premier navigateur sur ordinateur à inclure un portefeuille Crypto natif et un navigateur Web 3. Des nouveautés pour les 24 ans d’existence du navigateur.

Blockchain

D’abord, cette nouvelle fonctionnalité permet aux gens d’effectuer des transactions et d’interagir avec l’Internet du futur basé sur une blockchain. Egalement connu sous le nom de Web 3. En fournissant également un VPN gratuit,  les utilisateurs restent en sécurité.

« Le Web a transformé nos vies. Nous sommes maintenant en ligne en permanence. Mais plus nous passons de temps en ligne, plus nous avons besoin d’outils qui nous aident à contrôler la sécurité et la confidentialité de notre vie numérique « , explique Krystian Kolondra, vice-président exécutif d’Opera,responsable des navigateurs à Data Security Breach. « Avec cette mise à niveau majeure, nous faisons le premier pas vers le Web 3, le nouveau Web, où les utilisateurs ont le contrôle. Nous pensons que chaque navigateur en 2019 devrait être prêt pour le Web 3. »

Naviguez sur le Web 3 sur votre PC, signez des transactions avec votre smartphone

Ensuite, le portefeuille Crypto du navigateur Opera se synchronise avec le portefeuille Crypto du navigateur Opera pour Android. Cela signifie que les clés de portefeuille ne quittent jamais les smartphones.

En pratique, chaque fois qu’ils ont besoin de s’identifier sur un site Web 3 ou de signer une transaction sur la blockchain, vous recevrez une notification sur le téléphone. La fonction Porte-monnaie Crypto devrait également être ajoutée au navigateur iOS d’Opera, Opera Touch, prochainement.

Un service VPN plus rapide pour plus de sécurité et de confidentialité

Pour conclure avec ce Reborn 3, la demande de services VPN ne cesse de croître. Actuellement, un tiers des utilisateurs de VPN à travers le monde utilisent cette solution avec l’intention de rester anonyme sur le Web. Opera est le seul éditeur à fournir un VPN rapide et gratuit. Le VPN illimité du navigateur améliore la confidentialité en ligne des utilisateurs et améliore leur sécurité lorsqu’ils utilisent des réseaux publics auxquels ils ne font pas confiance.

Enfin, le VPN du navigateur établit un tunnel sécurisé et chiffré qui protège les données de tiers. Il permet de cacher leur position géographique aux sites Web. Le service VPN du navigateur est également un service sans journal, ce qui signifie que les serveurs VPN n’enregistrent et ne conservent aucune donnée d’activité, tout cela pour protéger la vie privée des utilisateurs.

Télécharger ici.

Communiqué de presse, Cybersécurité, Entreprise, Fuite de données, RGPD, Sauvegarde, Securite informatique

Stratégie vs tactique, les fournisseurs cybersécurité sont-ils trop nombreux ?

Si vous demandez à n’importe quel membre d’un comité de direction ou d’un comité exécutif quelle place il accorde à la cybersécurité, il vous répondra qu’il la prend « très au sérieux ». Et c’est certainement vrai. Personne ne souhaite voir son entreprise citée lorsque l’on parlera de la prochaine faille de cybersécurité qui aura exposé des millions de consommateurs au vol d’identité ou causé de lourdes pertes financières et une chute du cours de l’action. Pourtant, si tous semblent partager ce sentiment, pourquoi la stratégie de cybersécurité des entreprises parait-elle encore si confuse ?

Ce désordre n’est ni le fait des fournisseurs ni des utilisateurs. Il est la conséquence des défis de plus en plus complexes à relever en matière de sécurité et de la tendance humaine naturelle à vouloir s’attaquer à chaque problème qui survient. Cependant, cette approche crée un environnement où les tactiques et les solutions ponctuelles absorbent toute l’énergie et toutes les ressources – éloignant ainsi la possibilité de mener une véritable réflexion stratégique sur le problème.

En réalité, bien qu’ils puissent contribuer à structurer, à gérer ce chaos, les fournisseurs de technologie peuvent également être acteurs du problème. Qu’il s’agisse de petites structures ou de fournisseurs de renom, ils offrent une vaste gamme de produits et de services qui tirent parti de la crainte suscitée par les dernières actualités en matière de cybersécurité. Mais la conséquence est qu’il y a souvent trop d’acteurs impliqués, un avis que partagent les principaux fournisseurs de solutions de cybersécurité.

Dans le cas de grandes entreprises, on peut facilement dénombrer jusqu’à 80 ou 90 fournisseurs différents. Chacun prétendra être impliquée dans un aspect ou un autre de la cybersécurité. Privilégier une gestion distincte de chacun de ces fournisseurs et des vulnérabilités spécifiques que ces derniers adressent, risque de mener les responsables de la sécurité de l’information (RSSI) à suspendre la planification et les stratégies de sécurité à long terme, pour consacrer leur temps et les ressources critiques en personnel à combattre les derniers malwares, piratages et autres crises.

A contrario, les pirates informatiques sont concentrés sur la planification de leur prochaine attaque, s’efforcent de trouver la prochaine vulnérabilité – et non la dernière, et bien entendu, ils ont une stratégie !

Comment les entreprises se préparent-elles pour combattre ces nouvelles attaques ?

Dans l’idéal, elles veulent que la sécurité soit intégrée partout et constamment. Mais comment y parvenir sans collaborer avec toujours plus de fournisseurs, qu’elles devront gérer ? Comment faire face aux éventuels risques de failles de leur protection que les hackers s’empresseront d’exploiter ?

Pour y répondre, une approche par le réseau constitue une étape cruciale. Car le réseau touche tous les actifs de l’entreprise, d’une architecture informatique hybride à l’ensemble des utilisateurs, partenaires et clients. Un réseau inattaquable est le fondement de la sécurité d’entreprise dans un monde hautement connecté.

Opter pour une organisation « network first » a un impact sur toutes les décisions liées à la sécurité. Il est alors possible de l’intégrer aux fondements du réseau, comme le font les fournisseurs de réseaux globaux.

Les fournisseurs de réseaux globaux sont chargés de protéger les services publics qui circulent sur leur réseau, y compris internet lui-même. Ils ont donc développé une grande expertise en matière de protection des réseaux afin de sécuriser leur propre activité.

Certains de ces fournisseurs surveillent constamment le trafic Internet, les botnets, les serveurs de domaine utilisés par les attaquants potentiels et d’autres menaces actuelles et émergentes à l’échelle globale, et mettent en place des stratégies d’attaque et de défense.

Network first

Cette technologie et cette expertise en cybersécurité sont déjà intégrées au réseau.

En s’associant à ce type de fournisseur de services de sécurité managés (MSSP), les entreprises ont accès aux outils et à l’expertise que ces derniers utilisent pour se protéger. Des ressources qui leur permettent d’adapter des services à valeur ajoutée basé sur un réseau intégré pour répondre aux besoins spécifiques des entreprises en matière de cybersécurité.

S’appuyer sur un MSSP ne signifie pas qu’elles ne peuvent pas profiter de l’expertise d’une petite structure, qui travaille sur la meilleure protection possible contre un type d’exploitation très particulier. Cela induit surtout la possibilité de concentrer les ressources de l’entreprise sur son cœur de métier pendant que les experts en cybersécurité du MSSP évalue cette solution spécifique et l’intègre dans un cadre prédéfini.

Les stratégies globales « network first » impliquant un fournisseur de services de sécurité managés vont de pair avec une évolution du rôle du RSSI. Celui-ci passe d’une position de veilleur à une position plus proactive concentrée sur les futures attaques et la mise en place d’une véritable stratégie de défense en matière de cybersécurité. Voilà ce que signifie vraiment prendre la cybersécurité « très au sérieux  ».  

Par Alain Khau, Spécialiste Cybersécurité EMEA, CenturyLink
Android, Chiffrement, Communiqué de presse, Cybersécurité, ID, Identité numérique, IOT, Logiciels, Mise à jour, Patch, Sécurité, Securite informatique, Smartphone, Téléphonie

Vulnérabilité dans les applications Xiaomi

Les smartphones sont généralement fournis avec des applications préinstallées, dont certaines sont utiles et d’autres ne sont jamais utilisées. Un utilisateur ne s’attend toutefois pas à ce qu’une application préinstallée soit réellement dommageable pour sa vie privée et sa sécurité.

Check Point Research a récemment découvert une vulnérabilité dans l’une des applications préinstallées de Xiaomi, l’un des plus importants fabricants de téléphones mobiles au monde, qui avec près de 8 % de parts de marché en 2018, se classe troisième sur le marché de la téléphonie mobile. Ironiquement, l’application de sécurité préinstallée « Guard Provider », qui est censée protéger les téléphones contre les logiciels malveillants, expose les utilisateurs à des attaques.

En raison de la nature non sécurisée du trafic réseau entre Guard Provider et les différents SDK utilisés par l’application, un pirate pourrait se connecter au même réseau wifi que la victime et déclencher une attaque de type Man-in-the-Middle. Des failles dans les communications entre les différents SDK permettraient au pirate d’injecter n’importe quel logiciel malveillant de son choix, par exemple pour dérober des mots de passe ou surveiller les activités de l’utilisateur, un logiciel rançonneur ou tout autre type de logiciel malveillant. Pour plus de détails techniques, veuillez consulter Check Point Research.

Comme toutes les applications préinstallées telles que Guard Provider, ce type d’application est présent sur tous les appareils mobiles et ne peut être supprimé. Conformément à sa politique de communication responsable, Check Point a notifié Xiaomi, qui a publié un correctif peu de temps après.

Les avantages et les inconvénients des SDK

 Un kit de développement logiciel (SDK) est un ensemble d’outils de programmation permettant aux développeurs de créer des applications pour une plate-forme spécifique. Dans le cas des appareils mobiles, les SDK mobiles permettent aux développeurs de gagner du temps en leur évitant d’avoir « à réinventer la roue » et d’améliorer la stabilité du back-end pour les fonctionnalités qui ne sont pas liées au cœur de leur application.

À mesure que le développement de SDK s’accroit, de nouvelles opportunités d’apporter de meilleures fonctionnalités à leurs utilisateurs se présentent aux développeurs d’applications.

Mais lorsque de plus en plus de codes tiers s’ajoutent à une application, les efforts pour maintenir la stabilité de son environnement de production, protéger les données des utilisateurs et contrôler les performances, deviennent beaucoup plus complexes.

SDK fatigue

On emploie le terme « d’usure par SDK » (de l’anglais « SDK fatigue ») pour décrire cette utilisation accrue de plusieurs SDK au sein de la même application, qui rend l’application plus vulnérable à des problèmes de plantage, de virus, de logiciels malveillants, de failles de confidentialité, de consommation d’énergie, de ralentissement et bien d’autres problèmes.

Les inconvénients cachés de l’utilisation de plusieurs SDK au sein d’une même application résident dans le fait qu’ils partagent tous le contexte et les autorisations de l’application. Ces principaux inconvénients sont :

  1. Un problème dans un SDK compromettant la protection de tous les autres.
  2. Les données de stockage privées d’un SDK ne peuvent pas être isolées et sont donc accessibles à un autre SDK.

Selon un rapport récent, l’utilisation de plusieurs SDK dans une seule application est beaucoup plus courante qu’on ne le pense. Plus de 18 SDK sont implémentés en moyenne dans la même application. Ce faisant, les développeurs exposent les entreprises et les utilisateurs à des dangers potentiels qui peuvent être exploités par les pirates pour perturber le fonctionnement normal des appareils.

2 + 2 n’est pas toujours = à 4

Le personnel de sécurité informatique d’une entreprise n’est pas censé connaître les tenants et les aboutissants des kits de développement logiciel (SDK) utilisés pour créer les applications que les employés installent éventuellement sur leurs appareils. Il est cependant important de savoir que la façon dont les applications sont développées peut comporter des risques pour la sécurité. On pourrait supposer que les éléments utilisés dans une application de sécurité sont sécurisés, mais comme le montre la vulnérabilité dans les applications préinstallées de Xiaomi, c’est loin d’être le cas.

Les développeurs et les entreprises doivent également comprendre qu’un élément sécurisé associé à un autre élément sécurisé dans une application sur un téléphone ne signifie pas nécessairement que l’ensemble restera sécurisé lorsque ces deux éléments seront mis en œuvre conjointement.

La seule défense contre ces menaces cachées et obscures consiste à garantir que le parc d’appareils mobiles de votre entreprise est protégé contre les attaques de type Man-in-the-Middle.

APT, Argent, backdoor, Banque, Base de données, Cybersécurité, Entreprise, Fuite de données, ID, Particuliers, Securite informatique, Téléphonie

Anubis : cheval de Troie bancaire décortiqué

Anubis 2 est apparu dans le « paysage des menaces » en 2017 en tant que cheval de Troie bancaire en location (disponible pour les fraudeurs dans des forums undergrounds), l’auteur et créateur du malware se surnomme « maza-in ». Si ce dernier a disparu des radars, son outil malveillant est toujours en action.

En tant que malware bancaire, Anubis incite ses victimes à fournir des informations personnelles et sensibles, telles que les logins bancaires, des codes de sécurité bancaire et même des informations de carte de crédit. Mais ce logiciel malveillant va au-delà des attaques « overlay » bien connues, utilisées par les chevaux de Troie bancaires, car il combine des fonctionnalités avancées telles que le streaming d’écran du téléphoné infecté, l’accès à tous les fichiers à distance, l’enregistrement sonore, le key-logging et même un proxy réseau, ce qui en fait un malware bancaire efficace, mais également un potentiel outil pour espionnage.

D’un point de vue opérationnel, Anubis peut être considéré comme l’un des chevaux de Troie bancaires Android les plus utilisés depuis fin 2017. En ce qui concerne les banques Françaises, les suivantes sont ciblées : Axa, Banque Populaire, BNP Paribas, Boursorama, Caisse d’Épargne, Crédit Agricole, Crédit Mutuel, LCL, Palatine ou encore la Société Générale.

L’auteur a disparu, par son code malveillant

Au cours du premier trimestre 2019, l’auteur et créateur du cheval de Troie a disparu, laissant les clients existants sans assistance ni mises à jour; mais le risque demeure et pourrait même augmenter. Les campagnes d’infection d’Anubis comptent parmi les plus importantes jamais enregistrées pour les malwares bancaires : De nombreuses victimes ne sont pas conscientes du fait que le malware ne se déguise pas comme l’app de la banque, il se déguise principalement en tant qu’application tierce et reste inaperçu par les usagers. Anubis se fait par exemple passer pour : de faux jeux mobiles, de fausses mises à jour de logiciels, de fausses applications postales, de fausses applications Flash Player, de fausses applications utilitaires, de faux navigateurs et même de fausses applications de réseau social et de communication.

Les caractéristiques du cheval de Troie en font une menace importante : Habituellement, les chevaux de Troie bancaires effectuent principalement des attaques de type « overlay » afin de collecter les informations personnelles puis volent les SMS pour acquérir les codes bancaires, mais Anubis va plus loin que ça avec la streaming de l’écran du téléphone infecté, l’accès de fichiers à distance (accès au stockage du téléphone), l’enregistrement sonore, le key-loggign et même un proxy réseau (permettant au criminel de se connecter à la banque via le téléphone infecté).

300 banques dans le monde ciblées

Les campagnes d’infection d’Anubis ciblent en moyenne, plus de 300 banques dans le monde: La liste observée dans les campagnes Anubis contient environ 360 cibles, contenant la plupart des banques les plus grandes et les plus connues dans le monde, mais également des applications de communication et de réseautage social largement utilisées, ce qui signifie que personne n’est vraiment protégée, car même si une victime ne fait pas de banque en ligne le malware abusera d’autres applications (Liste complète de cibles en Annexe du blog).

Les malware qui deviennent orphelins ne sont pas toujours un bon signe : Beaucoup de gens pourraient penser que lorsque le propriétaire / auteur du malware disparaît, les opérations s’arrêtent… Malheureusement, ce n’est pas toujours le cas, surtout pas avec Anubis. Bien que l’acteur ait disparu, le cheval de Troie est toujours actif et le pire est que son code a été divulgué/fuit, ce qui pourrait amener de nombreux autres criminels à utiliser le programme malveillant. Toute l’analyse complète à découvrir sur Threat fabric.

Communiqué de presse, Cybersécurité, Securite informatique

La confiance : plus qu’un simple mot dans le monde de la cybersécurité

La notion de confiance est aujourd’hui au centre de nombreux débats dans le secteur de la cybersécurité. Elle revêt une dimension stratégique qui amène sans cesse de nouvelles questions et les tensions géopolitiques, fortement perceptibles en 2018, ont eu de nouvelles répercussions dans le cyberespace. Les exemples ne manquent pas à ce sujet.

Outre les soupçons sur l’origine étatique de cyberattaques majeures ou l’ouverture d’écoles de cyber-espionnage dans certains pays, l’année 2018 a été marquée par l’annonce d’embargo contre certains fournisseurs pour risque d’espionnage, ou encore de nouvelles suspicions sur la présence de portes dérobées dans des technologies étrangères. Huawei, notamment, en a fait les frais. Ce contexte crée le doute en termes de fiabilité et d’intégrité des produits logiciels, notamment en ce qui concerne les solutions de cybersécurité. En effet, ces dernières sont particulièrement sensibles de par leur fonction de « gardien du temple ». Avoir le contrôle sur les systèmes de protection, c’est obtenir un accès direct aux ressources protégées. C’est pourquoi, le choix des partenaires cybersécurité n’a jamais été aussi crucial pour les entreprises et les institutions.

Sur l’épineuse question des portes dérobées ou de l’affaiblissement des mécanismes de chiffrement, les positions prises par les États diffèrent. La Russie a déjà légiféré pour obliger les éditeurs à fournir aux autorités un moyen d’accéder à des communications chiffrées. Les Etats membres de l’Alliance des Five Eyes* souhaitent également imposer l’introduction de faiblesses dans les logiciels. L’objectif principal et officiel est de pouvoir déchiffrer certains échanges qui pourraient être liés à des activités terroristes et de partager l’information entre les services de renseignement.

Bien entendu, lutter contre le terrorisme est une cause prioritaire. On peut cependant s’interroger sur le bien-fondé de cette volonté de créer des backdoors qui pourraient être un moyen détourné d’accéder aux informations sensibles des entreprises ou des particuliers. Tous les scénarii sont alors envisageables : espionnage étatique, accès à des secrets industriels, atteinte aux libertés individuelles, etc. Autant d’éléments qui ne sont en aucun cas liés à la guerre contre le terroriste et qui pourraient nuire gravement à la protection du patrimoine informationnel des entreprises et des institutions.

Comme évoqué précédemment, ces backdoors ne font pas l’unanimité. L’Europe notamment se positionne très clairement contre leur mise en place et préconise un chiffrement de bout en bout dans les communications afin d’en garantir une totale sécurité. Déjà en 2017, le Vice-Président de la Commission Européenne martelait cette position en mettant en avant la menace induite par l’utilisation de portes dérobées qui peuvent être exploitées par la cybercriminalité. En effet, l’affaiblissement d’un système de protection ou de chiffrement pourrait tout à fait être découvert puis utilisé par des personnes malintentionnées, leur offrant ainsi une voie royale pour réaliser leurs méfaits.

Ce constat montre encore une fois que la notion de confiance numérique va bien au-delà de considérations purement technologiques et fonctionnelles pour intégrer une dimension éminemment géopolitique. L’origine des technologies numériques, et notamment celles qui manipulent ou protègent des données sensibles, est un pilier de cette confiance numérique. Les entreprises doivent prendre en compte cette donnée stratégique dans leur raisonnement avant de confier les clés de la sécurisation de leur système d’information à un fournisseur. En ce sens, un travail de sensibilisation continue est nécessaire auprès des organisations privées et publiques. Les éditeurs européens doivent, de leur côté, être plus transparents sur leurs positions et adopter une posture commune. On peut également se féliciter des travaux en faveur de la confiance numérique entrepris à l’échelle européenne et par différentes agences gouvernementales à l’image de l’ANSSI. La qualification de produits de sécurité portée par l’agence française impose, par exemple, une revue de code source pour s’assurer du niveau de robustesse des fonctions de protection et de l’absence de portes dérobées. Gageons que cette initiative sera reprise plus largement dans le futur cadre de certification européen pour lequel a été récemment mandaté l’ENISA. (Matthieu Bonenfant – CMO Stormshield)

*Alliance qui réunit les services de renseignement des États-Unis, Australie, Nouvelle-Zélande, Royaume-Uni et Canada.

Communiqué de presse, Cybersécurité, Securite informatique

De la cybersécurité à la cyber-immunité

À l’époque où je travaillais sur notre premier antivirus, rares étaient les foyers équipés d’un ordinateur, technologie au prix alors quelque peu prohibitif. Le nombre d’internautes a explosé ces dernières années. On compte aujourd’hui 4 388 milliards d’internautes actifs[1] et de plus en plus de personnes sur la planète possèdent désormais un ou plusieurs appareils connectés à Internet. Pendant bon nombre d’années, nous étions connus comme l’entreprise qui vendait des logiciels antivirus.

Aujourd’hui, les solutions de protection des terminaux ne constituent que l’un de nos nombreux segments d’activité. Nous nous concentrons depuis plusieurs années déjà sur des domaines tels que la cybersécurité industrielle, l’apprentissage automatique, la sécurité de l’Internet des objets (IoT), la Threat Intelligence ou encore la cybersécurité des systèmes de transport. En 1998, soit un an après la création de notre entreprise, nous recensions chaque jour une cinquantaine de nouveaux échantillons de malware ; en 2019 – 21 ans plus tard –, ce sont 360 000 échantillons uniques de malware qui sont détectés quotidiennement !

Mais pourquoi ces comparaisons nostalgiques entre la fin des années 1990 et aujourd’hui ? Eh bien, nous évoluons à présent dans un cybermonde ultra-connecté guidé par la « révolution industrielle 4.0 ». Dans cet univers, la connectivité est vectrice d’opportunités remarquables, mais aussi source de vulnérabilités majeures pour les entreprises ordinaires, pour le secteur industriel et pour l’infrastructure critique. Un changement s’impose selon moi dans notre manière de protéger l’ensemble des technologies qui nous entourent.

Cybersécurité

Existe-t-il une solution miracle pour faire face aux menaces en apparence insurmontables de cette ère digitale ? Je crains bien que non. S’il y en avait une, je pourrais d’ores et déjà planifier ma retraite. En revanche, j’ai ma petite idée quant au futur de la cybersécurité, à la prochaine grande évolution de notre secteur ! À vrai dire, nous y travaillons déjà : il s’agit du concept de la « cyber-immunité », poussé à son paroxysme. Comment définir cette évolution ? Comme ceci : le coût d’une cyberattaque devrait excéder celui des dommages (pour la victime) ou des gains potentiels (pour le cyberpirate). En revanche, des entreprises comme All4tec, développe des solutions pour faire face au problème de cybersécurité notamment avec de la protection préventive.

Comment y parvenir ?

En revoyant notre manière de penser la sécurité des systèmes et des produits. À l’heure actuelle, notre travail consiste à bâtir une couche de protection autour d’une architecture informatique existante. Ne serait-il pas nettement plus simple de disposer de solutions « secure » à tous les niveaux dès leur conception et ne nécessitant en principe aucune protection supplémentaire ? Cette idée nous paraissant excellente, nous avons commencé à la mettre en œuvre dans le domaine de l’IoT. Plus de 20 milliards d’objets devraient être connectés l’an prochain[2], avec toutefois un niveau de protection quasi inexistant, les appareils connectés étant fréquemment exploités pour mener des attaques DDoS massives ou pour constituer des botnets. Comment résoudre ce problème ? Il nous faut concevoir de A à Z des appareils connectés « intelligents » dotés d’une architecture à micro-noyau ainsi que d’une couche de sécurité isolant l’ensemble de ses modules pour empêcher tout comportement inhabituel des équipements IoT. Il est déjà possible de mettre en œuvre ce concept à l’aide de notre système d’exploitation KasperskyOS, destiné aux technologies embarquées. Nous pouvons bien sûr en faire de même pour les systèmes et les produits plus complexes.

Peut-on espérer passer de la cybersécurité à la cyber-immunité dans un très proche avenir ?

J’aimerais beaucoup pouvoir répondre « oui », mais il faut savoir que la route sera longue et que le monde n’a pas encore amorcé cette transformation. D’ici là, il nous faut simplement continuer à communiquer sur les dangers d’un monde connecté vulnérable, pour que chacun prenne conscience de la nécessité de protéger toutes les technologies connectées qui nous entourent. Nous pouvons le faire ! Nous pouvons donner vie à la cyber-immunité ! (Tribune d’Eugene Kaspersky)

[1] We Are Social and Hootsuite’s latest collection of Global Digital 2019 reports.
[2] Gartner : « Leading the IoT »

backdoor, Cybersécurité, Mise à jour, Patch, Securite informatique

Des pirates mettent la main sur des mises à jour du logiciel ASUS

Des pirates informatiques ont réussi à s’infiltrer dans les mises à jour du constructeur Coréen ASUS. Ils ont installé, durant plusieurs semaines, des backdoors sur des milliers d’ordinateurs.

Imaginez, 12% des ordinateurs ASUS en France seraient concernés par cette infiltration. Selon des chercheurs de la société de cybersécurité Kaspersky Lab, « des pirates ont réussi l’année dernière à installer des logiciels malveillants à plus d’un million de propriétaires de PC de la marque ASUS – l’un des plus grands fabricants d’ordinateurs au monde –« . Ils auraient exploité le système de mise à jour logicielle du fabricant. Le fichier malveillant a été signé avec des certificats numériques ASUS légitimes pour donner l’impression qu’il s’agit d’une mise à jour logicielle authentique de la société.

Les certificats de signature de code utilisés pour savoir quelles sont les mises à jour à faire et quelles sont les machines à qui nous pouvons faire confiance. Ils sont dans les applications qui alimentent les voitures, les ordinateurs portables, les avions et plus encore. Presque tous les systèmes d’exploitation dépendent de la signature de code, et nous verrons beaucoup plus de certificats dans un avenir proche en raison de l’essor des applications mobiles, des DevOps et des périphériques IoT. « Cependant, les cybercriminels considèrent les certificats de signature de code comme une cible précieuse en raison de leur puissance extrême. explique à Data Security Breach Kevin Bocek, VP security strategy and threat intelligence chez Venafi. Avec un certificat de signature de code, les hackers peuvent donner l’impression que leurs logiciels malveillants sont dignes de confiance et échapper aux systèmes de protection contre les menaces.« 

Infiltration et manipulation

Malheureusement, dans de nombreuses organisations, la protection des processus de signature de code incombe principalement aux développeurs qui ne sont pas prêts à défendre ces actifs. En fait, la plupart des équipes de sécurité ne savent même pas si leurs développeurs utilisent la signature de code ou qui peut avoir accès au processus de signature de code. « Il est impératif que les organisations sachent quels certificats de signature de code elles utilisent et où, d’autant plus qu’il est probable que des attaques similaires se produiront à l’avenir.« 

Cette nouvelle attaque utilisant le matériel ASUS est parfaitement emblématique du nouveau cyber-monde dans lequel nous vivons. Elle présente toutes les caractéristiques d’une opération précise : ciblée, exige beaucoup de ressources et presque impossible à détecter. « Tout acteur menaçant aurait besoin de ressources et d’un soutien considérables pour acquérir les certificats authentiques d’ASUS afin de faire son entrée dans la chaîne logistique. Ceci initie bien sûr le jeu qui consiste à deviner qui pourrait être derrière la campagne et il n’est pas exagéré de prétendre que des États manquant de lois sur les cyber-infractions et hébergeant des réseaux internationaux de cyber-crimes pourraient être à l’origine de cette activité. » indique Justin Fier, de chez Darktrace.

Ciblage !

Mais la nature très ciblée de l’attaque est peut-être encore plus alarmante: c’est là que nous devrions concentrer notre attention. Dans le monde entier, ces pirates ne ciblaient que 600 machines. Ce n’est qu’une question de temps avant que nous apprenions que ces machines ou ces personnes ciblées ont un fil conducteur unique les reliant entre elles. Pour l’instant, la question pour toutes les entreprises utilisant du matériel ASUS devrait être d’identifier si l’une de leurs machines se trouvait dans la cible. Et au-delà de cela, toutes les organisations doivent réaliser qu’ASUS n’est qu’une seule entreprise. Y aura-t-il des attaques similaires contre Dell et Apple ?

Voler des certificats authentiques et les utiliser pour signer des codes malveillants ne fait que renforcer les arguments en faveur de technologies d’IA sophistiquées capables d’identifier même les plus petites anomalies indiquant une menace. Ce type de comportement serait si proche de la normale que seule l’IA pourrait comprendre la différence entre normal et malveillant. En luttant contre des attaques aussi sophistiquées que celles-ci, les approches traditionnelles deviendront inefficaces: la cyber IA doit être la voie à suivre.

Communiqué de presse, Cybersécurité

Patch Tuesday – Mars 2019 : 65 vulnérabilités dont 18 critiques

Le Patch Tuesday du mois de mars corrige 65 vulnérabilités dont 18 identifiées comme critiques. 13 de ces vulnérabilités critiques concernent les moteurs de scripts et des composants de navigateur et impactent les navigateurs Microsoft ainsi que la suite Office. Le Patch Tuesday de février 2019 comportait 74 vulnérabilités dont 20 critiques

Trois vulnérabilités entraînant une exécution de code à distance (RCE) sont corrigées sur le client DHCP de Windows de même qu’une vulnérabilité RCE sur le serveur TFTP exécutant des services de déploiement Windows et une élévation de privilèges dans Microsoft Dynamics 365. Le volume de patches publiés par Adobe ce mois-ci est plutôt léger et corrige seulement deux vulnérabilités et exposition courantes (CVE) dans Photoshop CC et Digital Editions.

Correctifs pour les postes de travail

Les patches pour les navigateurs, le moteur de script, ActiveX et MSXML sont une priorité pour les équipements de type poste de travail, c’est-à-dire tous les systèmes utilisés pour accéder à la messagerie ou à Internet depuis un navigateur. Sont concernés les serveurs multi-utilisateurs qui servent de postes de travail distants à des utilisateurs.

Client DHCP Windows

Le client DHCP Windows étant utilisé sur les postes de travail et les serveurs, le déploiement de patches pour résoudre les trois vulnérabilités RCE doit être une priorité pour tous les systèmes Windows.

Serveur TFTP exécutant des services de déploiement Windows (WDS)

Si vous utilisez les services de déploiement Windows, ce patch doit être déployé en priorité dans la mesure où l’exploitation de la vulnérabilité affectant ces services peut entraîner l’exécution de code à distance sur le serveur concerné.

Microsoft Dynamics 365

Les déploiements sur site de Microsoft Dynamics 365 sont vulnérables aux élévations de privilèges si bien que le déploiement de correctifs pour ce système doit également être traité en priorité.

Avis de sécurité Microsoft

Microsoft a également publié trois avis de sécurité qui traitent différents sujets :

L’avis ADV190009 annonce la prise en charge de la signature du code SHA-2 pour Windows 7 SP1 et Windows Server 2008 R2. Cette mise à jour sera nécessaire pour tous les nouveaux correctifs publiés après juillet 2019. Les versions plus anciennes du serveur WSUS (Windows Server Update Services) doivent également être mises à jour afin de pouvoir distribuer les nouveaux patchs signés par l’algorithme de hachage SHA-2.

L’avis ADV190010 fournit des recommandations sur le partage entre plusieurs utilisateurs d’un même compte utilisateur. Microsoft déconseille ce comportement qu’il considère comme un risque de sécurité majeur.

L’avis ADV190005 fournit quant à lui des atténuations pour un possible déni de service dans http.sys lors de la réception de requêtes HTTP/2. Le patch permet de définir une limite pour le nombre de paramètres SETTINGS à envoyer lors d’une même requête.

Adobe

Adobe a publié des correctifs non sécuritaires pour Flash ainsi que des patchs de sécurité critiques pour Photoshop CC et Digital Editions, chacun de ces deux produits étant affecté par une vulnérabilité. (Jimmy Graham dans The Laws of Vulnerabilities)

APT, backdoor, Communiqué de presse, Cybersécurité, Securite informatique

Un nouveau malware BabyShark cible les « Think Tanks » américains en charge de la sécurité intérieure

En février 2019, les chercheurs de l’Unité 42 au sein de Palo Alto Networks ont identifié des mails d’hameçonnage ciblé (spear phishing) envoyés en novembre 2018 qui contenaient un nouveau malware partageant la même infrastructure avec des playbooks(c’est-à-dire des feuilles de route listant les actions et les objectifs utilisés par un malware ou une famille de malware) associés aux campagnes nord-coréennes.

Ces mails étaient écrits comme s’ils émanaient d’un expert en sécurité nucléaire travaillant actuellement comme consultant pour des think tanks liés à la sécurité intérieure aux États-Unis. Ils ont été envoyés depuis une adresse publique avec le nom de l’expert et un sujet faisant référence au nucléaire nord-coréen. Ces messages avaient en pièce jointe un document Excel avec une macro infectée, qui ,quand elle était exécutée, menait à une nouvelle famille de malwares basée sur Microsoft Visual Basic (VB) que nous avons surnommé « BabyShark »

BabyShark est un malware récent. La version la plus ancienne que nous avons pu trouver dans des dépôts open source et nos propres jeux de données internes remontent à novembre 2018. Le malware se lance en exécutant à distance une requête HTML, qui peut être alors livrée au travers de différents types de fichiers comme des fichiers contenant des exécutables ou des documents malveillants. Babyshark extrait alors les informations du système vers un serveur C&C (Command and Control), se maintient au cœur du système et attend de nouvelles instructions de la part de l’opérateur.

BabyShark est utilisé pour une campagne limitée de spear phishing toujours en cours depuis novembre 2018. L’acteur derrière cette menace cherche clairement à glaner des informations liées à la sécurité nationale (américaine) en Asie du Nord-Est. Le soin apporté à la conception des mails d’hameçonnage et du camouflage laisse à penser que cet acteur connaît bien les cibles, et surveille de près les événements de cette communauté pour y récupérer les dernières informations. Sans pouvoir en être certains, nous pensons que l’acteur derrière BabyShark doit être en relation avec l’acteur (ou être le même groupe) qui a utilisé la famille de malwares KimJongRAT, et qui du moins partage des ressources avec l’acteur responsable de la campagne STOLEN PENCIL. Nous avons également remarqué des tests qui semblent indiquer que les attaquants travaillent sur de nouvelles versions d’exécutables pour envoyer BabyShark. Dans les prochaines campagnes, l’attaquant pourrait utiliser différentes méthodes pour déployer BabyShark.

Communiqué de presse, Cybersécurité, Securite informatique

Cyber-sensibilité, cyber-indiscipline et employés « fantômes », les entreprises doivent faire le tri

Les organisations ne protègent toujours pas correctement les accès à leurs données critiques, selon une étude CyberArk, conduite auprès de 1 000 employés britanniques. Il ressort que la moitié de ces derniers auraient accès à des informations sensibles, auxquelles seules des personnes habilitées devraient pouvoir accéder. Bien que la sensibilisation à la cybersécurité s’améliore dans les milieux professionnels, de mauvaises pratiques contribuent encore à la croissance des cybermenaces.

  • Près de la moitié (48 %) des employés ont, ou ont eu, accès à des documents financiers sensibles ;
  • 46 % ont pu accéder à des informations RH confidentielles ;
  • Près d’un tiers (29 %) ont, ou ont eu, un accès direct aux comptes en banque de leur entreprise ;
  • 37 % ont pu prendre connaissance des plans de recherche et développement (R&D) ou plans pour des nouveaux produits et services.

Ces chiffres démontrent que beaucoup plus d’employés que nécessaire accèdent à des informations sensibles, et que les organisations en général doivent absolument limiter la gestion des accès aux données sensibles, afin de mieux se protéger, ainsi que leurs clients.

Se méfier des « employés fantômes »

Comme démontré lors de récentes violations de données, le vol d’identifiants de connexion reste le moyen le plus courant et le plus efficace pour réussir une cyberattaque. Une approche laxiste de la protection des accès administrateurs – ou accès à privilèges – peut augmenter directement le risque d’une compromission de données. C’est pourquoi la gestion des privilèges est essentielle ; or, de nombreuses entreprises ne parviennent pas à verrouiller ces comptes clés, suite aux changements de personnel : un employé de bureau sur cinq (21 %) admet avoir quitté un emploi et gardé des identifiants donnant toujours accès à au moins un système confidentiel de l’entreprise (serveurs internes, résultats financiers ou bases de données RH). Ces employés « fantômes », soit d’anciens collaborateurs en possession d’informations de connexion professionnelles, peuvent alors accéder, sans autorisation, à des données sensibles de l’entreprise.

Pour Rich Turner, VP EMEA, chez CyberArk, « ces « employés fantômes » représentent une préoccupation majeure pour toute organisation. Non seulement, ils augmentent le risque de violation des données clés de l’entreprise en cas de cyberattaque ; mais ils offrent aussi la possibilité aux employés mécontents, ou aux entreprises concurrentes, de manipuler les données existantes, causant de graves dommages administratifs et financiers. Ces résultats sont symptomatiques des entreprises qui continuent de consacrer d’importantes sommes d’argent à la défense du périmètre, alors que l’approche la plus intelligente consiste à envisager l’inévitable – que les attaquants parviendront à s’introduire dans les systèmes – et à les empêcher de mettre la main sur les actifs et données sensibles. »

 Cyber-sensibilité vs cyber-indiscipline

Il ressort cependant que l’implication des employés s’améliore, montrant l’effet positif de la cyber-éducation, et l’espoir d’un avenir plus sûr pour les entreprises :

  • Près de quatre employés de bureau sur cinq (79 %) informeraient immédiatement le service informatique s’ils ouvraient une pièce jointe malveillante ;
  • Les trois quarts (75 %) exprimeraient leurs préoccupations s’ils ne comprenaient pas les communications de l’IT concernant la sécurité ;
  • Près des trois quarts (74 %) sont convaincus que leur équipe de sécurité protège efficacement l’ensemble de la société contre les menaces.

Une confiance qui contraste avec le comportement de nombreux employés, qui affichent toujours de mauvaises cyber-pratiques, avec un grand nombre de personnes qui continuent de dissimuler leur cyber-indiscipline à leurs collègues chargés de la sécurité – augmentant ainsi considérablement la vulnérabilité de leur entreprise :

  • Plus de la moitié (54 %) n’informent personne lorsqu’ils laissent leurs collègues utiliser leurs informations de connexion ;
  • 45 % des répondants déclarent télécharger des applications non-autorisées sur leur poste de travail à l’insu de leur service informatique. (CyberArk)