Un tiers des PME européennes estiment qu’une fuite de données via des smartphones nuirait grandement à leur activité.
Continuer la lecture de Fuite de données via des smartphones nuirait aux entreprises
Tous les articles par Damien Bancal
Le pirate de SpamHaus arrêté dans un bunker informatique
La police espagnole aurait arrêté l’auteur du piratage informatique de SpamHaus, un informaticien de 35 ans. Jeudi dernier, la police espagnole a arrêté un informaticien Néerlandais de 35 ans, Sven Olaf Kamphuis, accusé d’être l’auteur du piratage informatique ayant visé SpamHaus. Un DDoS d’une telle ampleur que certains experts expliquaient que l’Internet avait ressenti, un peu, la secousse numérique malveillante.
Arrêté à son domicile de Granollers, banlieue de Barcelone, la police ibérique explique être tombé dans une maison transformée en véritable bunker informatique. L’homme a été présenté au tribunal de Madrid. Placé en prison, il attend son extradition vers les Pays-Bas. Une enquête internationale avait été lancée après ce Déni Distribué de Service ressenti aux USA, aux Pays-Bas et Royaume Uni. Une fiche Europol avait été lancée contre Sven Olaf Kamphuis. L’homme se déplaçait dans une camionnette qu’il utilisait comme un bureau informatique mobile. A première vue, le pirate a cru jouer au plus malin avec une tentative de Social Engineering bancale.
La police espagnole a expliqué qu’il s’était d’abord présenté comme un diplomate, puis comme le ministre des Télécommunications et des Affaires étrangères de la république Cyberbunker. Dans ce « bunker » (sic!), deux ordinateurs portables et des disques durs ont été saisis. Bref, pas de quoi crier à la cyber guerre ! Vous remarquez la photographie du présumé pirate, arborant le tee-shirt du Parti Pirate. Autant dire que l’amalgame est intéressant à visionner.
Synchronisation des mots de passe sous Chrome : une bien mauvaise idée…
La saisie automatique des mots de passe dans votre navigateur est une fonction que vous appréciez. En effet, comment retenir aujourd’hui tous les mots de passe dont on a besoin, d’autant qu’on sait désormais qu’il est impératif d’utiliser des mots de passe complexes ? Pourtant, à l’heure où Google vient d’annoncer les nouvelles versions de Chrome (pour Windows et Android), équipées de cette fonction que nous apprécions tous de synchronisation des mots de passe et des données de saisie automatique, il est temps de jeter un pavé dans la mare de nos certitudes : ce système n’est absolument pas sécurisé ! En effet, les mots de passe stockés par le navigateur ne sont pas protégés : on ne vous réclame aucun mot de passe pour vous connecter à Chrome. Ainsi, n’importe qui peut utiliser votre ordinateur et se connecter sans problème à vos différents comptes et donc à vos données privées.
De plus, l’utilisation de la synchronisation de Google (« Google Sync ») est doublement dangereuse : d’une part, vous laissez Google accéder potentiellement à vos mots de passe, ce qui est risqué lorsqu’on connait sa politique de collecte de données, et d’autre part, un jour ou l’autre Google peut être « hacké », ce qui rend vos mots de passe encore plus vulnérables, puisque les clés de cryptage appartiennent à Google. Il existe une option de sécurité dans Chrome, mais tellement bien cachée que personne ne l’utilise…
Protéger l’entreprise contre les cyberattaques est insatisfaisante
En France, les professionnels de la sécurité informatique estiment que leur capacité à protéger leur entreprise contre les cyberattaques est insatisfaisante. Juniper Networks, leader de l’innovation réseaux, annonce à datasecuritybreach.fr les résultats pour la France d’une étude mondiale réalisée par l’Institut Ponemon pour le compte de Juniper Networks. En France, les entreprises interrogées peinent à se protéger contre les attaques menaçant la sécurité de leur réseau en raison du nombre de terminaux grand public et d’applications introduits sur le lieu de travail, ainsi que du manque de visibilité des systèmes. 65 % des entreprises françaises sondées estiment que la migration des systèmes sur site vers des environnements cloud constitue également une menace importante pour la sécurité de leur réseau.
Réalisée auprès de 4 774 informaticiens et responsables de la sécurité informatique dans neuf pays, dont plus de 450 professionnels en France, l’enquête identifie les problématiques auxquelles les entreprises sont confrontées face aux nouvelles menaces et à leurs difficultés à s’en prémunir. L’enquête montre que la sophistication croissante des cyberattaques, l’évolution des menaces et la crainte croissante du vol de propriété intellectuelle et de secrets professionnels stimulent les investissements dans les technologies de sécurité réseau.
De nombreux professionnels de la sécurité informatique interrogés dans le monde estiment que les entreprises sont mal équipées pour détecter, bloquer et prévenir rapidement les attaques. En France, les personnes interrogées considèrent la stratégie mise en place par leur entreprise pour protéger le réseau contre ces attaques comme « insatisfaisante ». 60 % des professionnels français interrogés sont également convaincus que les nouvelles lois européennes relatives à la protection des informations personnelles auront un réel impact sur l’ensemble des opérations de leur entreprise. Cet impact sera notamment vrai quant à l’obligation pour les entreprises de signaler un vol de données sous 24 heures, la plupart des entreprises sondées ayant fait état d’un vol de données une fois par an au cours des deux dernières années.
L’étude identifie plusieurs problématiques de sécurité réseau auxquelles les professionnels de la sécurité informatique sont confrontés aujourd’hui en France :
· Les entreprises françaises se concentrent sur les menaces internes pour gérer les risques pesant sur la cybersécurité : 43 % des professionnels interrogés en France ont déclaré que leur entreprise utilise une solution de protection de réseau pour faire face aux menaces internes (menaces émanant du réseau) ;
· Il est important de sensibiliser les employés aux nouvelles menaces et aux risques relatifs au cloud : en France, 72 % des professionnels de la sécurité informatique ont déclaré que la sensibilisation aux nouvelles menaces est une priorité pour promouvoir l’utilisation des nouvelles technologies de sécurité ;
· Les préoccupations concernant les lois européennes relatives à la protection des informations personnelles : 60 % des professionnels interrogés en France ont déclaré que les nouvelles lois européennes relatives à la protection des informations personnelles auront un impact important sur l’ensemble des opérations des entreprises et leur mise en conformité.
LivingSocial piraté : 50 millions de clients hackés
Les comptes de 50 millions de membres du site Internet d’achats en ligne LivingSocial piratés. Le pirate a exploité une injection sql pour ponctionner le contenu de la base de données. Noms, dates de naissance, mails et mots de passe chiffrés (MD5) ont été copiés par me pirate informatique. D’après LivingSocial. aucune carte de crédit, ni données bancaires n’ont été volées. LivingSocial est un site commercial américain, basé à Washington. Il offre des réductions de prix à 70 millions de clients dans le monde, notamment aux Etats-Unis, en Asie, en Europe et en Amérique Latine.
Malware android
L’augmentation la plus importante pour les adwares (+34,47%) a été enregistrée entre novembre et décembre 2012, certains développeurs ayant profité des fêtes de fin d’année pour tenter de générer des revenus supplémentaires en misant sur le fait que les nouveaux utilisateurs ignorent le fonctionnement des adwares. Les chevaux de Troie ont connu une augmentation lente mais constante de septembre 2012 à janvier 2013 puis ont légèrement décru en février 2013 (-2,22%).
Les adwares devenant plus intrusifs et programmés plus précisément pour récupérer autant d’informations sensibles que possible, la différence est plus ténue que jamais entre les logiciels légitimes et les applications qui se révèlent en réalité être des malwares. Des adwares virulents portent ainsi de plus en plus préjudice à la vie privée des utilisateurs en recueillant et utilisant des informations personnelles à leur insu.
Bien que les adwares ne soient pas fondamentalement malveillants, data security breach vous montrent souvent qu’ils peuvent recueillir des numéros de téléphone, des coordonnées et des adresses e-mail, qui sont transmis à des tiers ou vendus au plus offrant. Le marché noir valorise énormément ces données qui peuvent être utilisées à des fins marketing pour créer des profils d’utilisateurs.
Puisque la plupart des utilisateurs utilisent leurs appareils personnels à des fins professionnelles, il est logique que l’accès aux fichiers confidentiels et sensibles soit souvent autorisé via ces appareils. Ce n’est donc pas seulement un problème de risques vis-à-vis de leurs données personnelles, mais cela concerne également les informations critiques des entreprises elles-mêmes. Des politiques de BYOD strictes doivent offrir une protection efficace à la fois contre les malwares et contre les adwares sous Android, puisqu’ils ont tous les deux un impact direct sur la préservation de la confidentialité des données.
La principale famille de chevaux de Troie s’intitule « FakeInst », elle escroque les utilisateurs en leur demandant de payer des applications qui sont normalement gratuites. Si les utilisateurs acceptent, l’application envoie des messages SMS à des numéros surtaxés, faisant ainsi grimper leur facture téléphonique.
Parmi les adwares agressifs, la famille Android.Adware.Plankton est la plus présente puisque les développeurs utilisent le framework intégré à l’appli pour monétiser leur développement. Les adwares peuvent également recueillir des informations personnelles telles que des adresses e-mail et des numéros de téléphone. Plus il y a de frameworks associés à une application, plus celle-ci devient intrusive puisqu’elle diffuse les données à plusieurs tiers.
La tendance à la hausse de ces deux types de détection indique que les pirates sont à la recherche d’argent et de moyens d’en obtenir en vendant les données personnelles des utilisateurs. L’argent est le moteur du développement de ces deux catégories.
Bitdefender annonce un antivirus gratuit pour protéger les appareils Android
Bitdefender, éditeur de solutions de sécurité, annonce Antivirus Free pour Android afin d’inciter les utilisateurs à protéger leur smartphone et tablette contre le nombre croissant de malwares ciblant les appareils Android. Bitdefender Antivirus Free pour Android est une solution antivirus gratuite, rapide et puissante qui utilise les dernières technologies d’analyse in-the-cloud de Bitdefender, garantissant ainsi un impact quasi nul sur la batterie et des mises à jour 24 heures sur 24 contre les dernières menaces. Dès son installation, Bitdefender Antivirus Free pour Android protège les utilisateurs en recherchant immédiatement les activités suspectes.
« L’an dernier, nous avons assisté à une explosion du nombre de malwares Android, il devient donc indispensable que les utilisateurs pensent à protéger leurs appareils Android comme ils le font pour leur ordinateur », déclare à data security Breach Fabrice Le Page, Chef de Produits Bitdefender chez Editions Profil. « Afin d’inciter le plus grand nombre des utilisateurs à se protéger contre ces nouvelles menaces, nous avons souhaité que notre solution soit gratuite mais sans concessions sur la qualité, l’efficacité et la légèreté ».
Le nombre de malwares a augmenté de 27% au cours des six derniers mois, et ce, en raison des efforts redoublés des créateurs de malwares pour dérober les informations personnelles des utilisateurs. Les formes les plus courantes de malwares Android peuvent entre autres rapidement faire grimper la facture téléphonique des utilisateurs en appelant discrètement des numéros surtaxés, dérobant des mots de passe, espionnant les e-mails professionnels et surveillant presque toutes les activités des utilisateurs.
Notre vie privée est de plus en plus affectée par la hausse du nombre d’adwares et de malwares Android Parce que les adwares (logiciels espions publicitaires) recueillent plus de données sur les appareils des utilisateurs que ce dont ils ont réellement besoin et que les développeurs ajoutent souvent plus d’un composant adware (framework adware) au sein de leurs applications, la vie des utilisateurs devient de moins en moins privée au profit des développeurs et des publicitaires. De plus en plus de tierces parties ont désormais accès à l’historique de navigation des utilisateurs, à leurs numéros de téléphone, à leurs adresses e-mail et à tout ce qui est nécessaire pour créer des profils complets et personnalisés.
C’est d’autant plus inquiétant que les adwares ciblant les appareils Android ont augmenté de 61% au niveau mondial, entre septembre 2012 et janvier 2013 et que les malwares ont progressé dans le même temps de 27%, allant jusqu’à une hausse de 37% pour les chevaux de Troie selon une étude des Laboratoires Bitdefender. L’adoption d’Android a régulièrement progressé au cours des cinq derniers mois, de même que le nombre de détections de malwares et d’adwares. Il n’est ainsi plus rare de dénicher des malwares et des adwares Android aussi bien sur les marchés dits « alternatifs » que sur la plate-forme officielle Google Play.
FIA-NET publie son Livre Blanc Certissim 2013 sur la fraude à la carte bancaire
Au cours de l’année 2012, avec 26 millions de transactions analysées pour un chiffre d’affaires de plus de 4 milliards d’euros, Certissim a constaté un taux de tentatives de fraude de 2,98 % en nombre et de 3,91 % en valeur. Cependant, datasecuritybreach.fr moins d’une tentative sur trente se traduit par un impayé frauduleux pour les e-commerçants. En supposant que tous les sites marchands disposent d’un système de lutte contre la fraude efficace et en extrapolant ces analyses à l’ensemble du e-commerce français, soit 45 milliards d’euros de chiffre d’affaires1, les tentatives de fraude auraient représenté plus de 1,7 milliard d’euros en 2012.
Professionnalisation et industrialisation de la fraude dans le e-commerce
Selon Certissim, deux facteurs ont contribué à l’augmentation du risque de fraude sur Internet ces dernières années. D’une part, la démocratisation de la vente en ligne a créée de nouvelles opportunités, tant en volume qu’en valeur, pour les fraudeurs. D’autre part, le secteur a fait face à l’arrivée de nouveaux fraudeurs, professionnels, intégrés au sein d’organisations criminelles, améliorant sans cesse leurs méthodes et cherchant à industrialiser la fraude afin de maximiser le gain.
Cette industrialisation est la différence majeure entre un fraudeur opportuniste et un fraudeur professionnel. Le premier ne donne pas suite à sa tentative lorsqu’elle est réussie alors que le second réitèrera autant que possible une fraude aboutie. Les secteurs traditionnellement fraudés, tels que l’électroménager, la téléphonie et la parfumerie restent parmi leurs cibles de choix. « Néanmoins, le contexte économique fait que toute marchandise est susceptible d’être fraudée et revendue, de l’alimentaire aux voyages jusqu’aux couches pour bébés » explique Alexandre Arcouteil, Responsable d’Activité Certissim.
Usurpations d’identités et procédés frauduleux
Cette professionnalisation implique une structuration des réseaux de fraudeurs. En amont des commandes, ils ont un besoin de données usurpées. Cet aspect est alimenté par des vols ayant lieu dans la vie de tous les jours comme sur Internet, par le biais de phishing ou de hacking. Les fraudeurs utilisent toutes sortes de données, coordonnées bancaires ou simple adresse de livraison. Elles leur permettent d’effectuer des commandes frauduleuses sur Internet en minimisant les risques d’être repérés. Juste après la commande, ils ont un besoin d’intermédiaires complices ou non pour récupérer les marchandises. Le fraudeur peut embaucher une personne honnête, une « mule », via des sites de petites annonces. Son travail est de réceptionner et réexpédier des colis depuis son domicile, sans savoir qu’il s’agit de marchandises volées.
Enfin, ces réseaux ont besoin de débouchés. Les marchandises doivent être revendues, ce qui sous-entend l’existence d’un marché parallèle et d’acheteurs potentiels, ce que datasecuritybreach.fr, ou encore zataz.com vous présente souvent dans leurs colonnes. Certissim rappelle que la vigilance est indispensable pour les e-commerçants comme pour les particuliers afin de se prémunir contre la fraude et les usurpations. Par exemple, appliquer une gommette sur le code CVV2 de la carte bancaire permet de limiter les risques de vol des données au moment d’un règlement en magasin.
2012, Certissim observe un taux de tentatives de fraude de 2,98 % (en nombre) alors que le taux de fraudes abouties n’est que de 0,10 %, soit moins d’une tentative sur trente se traduisant par un impayé frauduleux pour le e-commerçant. Le panier moyen des impayés frauduleux retrouve un niveau équivalent à celui de 2010 à 297 euros, soit 8 % de moins qu’en 2011 (323 euros). Cela s’explique par le fait que les fraudeurs ont compris que les paniers élevés faisaient systématiquement l’objet de contrôles. En conséquence, leurs tentatives portent désormais sur des montants moins importants mais leur nombre a augmenté. La forte capacité d’adaptation des méthodes employées pour détecter les fraudes est également à l’origine de la baisse de ce panier moyen. L’extrapolation des résultats des analyses de Certissim à l’ensemble du marché français identifié par la Fevad, soit 45 milliards d’euros de chiffre d’affaires, montre que l’impact de la fraude reste important. L’ensemble des tentatives de fraude se chiffrerait à plus de 1,7 milliard d’euros en 2012. La cybersécurité et la mutualisation des connaissances doivent donc être plus que jamais des éléments clés de la stratégie des e-commerçants, d’autant plus que tous ne disposent pas des mêmes moyens de contrôle.
Depuis 2000, FIA-NET édite un Livre Blanc annuel consacré à la fraude à la carte bancaire sur Internet. Sa finalité est d’apporter une vision objective de la fraude sur le marché du e-commerce et ainsi d’être un outil d’aide pour les marchands souhaitant optimiser leur gestion de la fraude. Le Livre Blanc Certissim présente les grands indicateurs de la fraude sur Internet, grâce aux chiffres provenant des déclarations d’incidents de paiement de ses sites marchands clients et des fraudes détectées par Certissim. Le savoir-faire de Certissim et son implication dans la lutte contre la fraude lui permet également de détailler les nouvelles techniques des cybercriminels.
Fraude sur Internet : tous responsables !
Le e-commerce en France continue sa progression, en phase mais encore à la traîne par rapport aux marchés anglais et allemands, qui donnent le La du commerce électronique en Europe. Selon la Fevad, la croissance des ventes en 2012 a atteint 19%, poussée notamment par l’explosion du m-commerce, qui représente désormais 6% des ventes totales (2% en 2011). Avec un taux de satisfaction après achat de 98%, le e-commerce en France a désormais atteint sa maturité, et s’est définitivement installé dans le quotidien des français. Ce constat idyllique contraste fortement avec l’évolution négative du taux de fraude sur Internet. En augmentation continue depuis 2007, celui-ci atteint, selon l’Observatoire de la sécurité des cartes de paiement, le taux record de 0,34%, sans aucun signe de retournement de tendance.
Ainsi l’ensemble des paiements sur Internet ne représente que 8,4% de la valeur des transactions nationales, mais déjà 61% du montant de la fraude sur les cartes de paiement (253 millions sur 413 millions d’Euros). Un chiffre d’autant plus inquiétant que le marché français du paiement en ligne recèle encore un très fort potentiel de croissance. A titre de comparaison, la taille du marché britannique est double de celle du marché français. Tout se passe comme si un boulevard s’ouvrait devant les fraudeurs, d’autant plus grand que l’écosystème du e-commerce français dans sa globalité ne semble pas avoir la volonté de le rétrécir.
Comment en sommes-nous arrivés là et quelles sont les solutions pour y remédier ? Principale cause de la fraude : l’usurpation des numéros de cartes. Ce n’est un secret pour personne : l’origine principale de la fraude sur Internet provient de l’usurpation des numéros de cartes bancaires. Selon l’Observatoire de la sécurité des cartes, cette cause représentait déjà près de 63% du total des fraudes en 2010, loin devant les cartes volées ou les cartes contrefaites. Il est donc évident pour tout le monde que ces numéros ne sont pas suffisamment sécurisés, et qu’il reste relativement simple de les usurper. La carte bancaire n’a pas été conçue au départ pour être utilisée pour des achats à distance. Il en résulte des failles de sécurité évidentes.
Hormis tout ce qui est stocké dans la puce, tous ses identifiants sont en clair par exemple, y compris le fameux cryptogramme visuel, valable deux ans. Les différents acteurs du marché e-commerce ont-ils conscience de cette réalité ? La réponse est oui. Une série de solutions de sécurité ont d’ailleurs été conçues depuis le milieu des années 2000 pour y remédier. A commencer par e-Carte Bleue et 3D Secure, conçu par les grands opérateurs de cartes bancaires, mis en place en Europe dès 2008, visant à introduire une seconde phase d’authentification par la génération d’un code à usage unique. En outre, le standard de sécurité PCI DSS, qui regroupe un ensemble de bonnes pratiques, s’impose désormais à tous les e-commerçants. Sur les sites marchands, d’autres technologies de sécurité peuvent également être mises en œuvre, telles que les certificats SSL déjà très répandus, les systèmes Capcha ou les emails certifiés.
Les solutions anti-fraude mises en œuvre : un constat d’échec La mise en œuvre en France de ces diverses solutions de sécurité anti-fraude a-t-elle été couronnée de succès ? La réponse est clairement non. L’échec de 3D Secure dans notre pays est patent. Aujourd’hui dans sa deuxième version, ce système de sécurité pourtant efficace n’a jamais réussi à s’imposer. Certes, 40% des e-commerçants l’utilisent aujourd’hui, mais ceux-ci ne représentent qu’environ 10% des paiements par carte et 15% seulement des montants. Toutes les banques l’ont certes adopté, mais avec retard et en ordre dispersé. Leur implémentation du système s’est révélée trop complexe. De fait, le processus d’authentification n’est pas normalisé et les consommateurs doivent jongler entre plusieurs systèmes différents selon les banques, ce qui n’encourage pas la simplicité d’utilisation … Du côté des e-commerçants, le rejet est encore plus net. Toutes les grandes enseignes, c’est-à-dire la vingtaine de sites qui réalisent la grande majorité des transactions en ligne, n’ont pas à ce jour adopté le système, notamment en raison de ses conséquences sur le taux d’abandon de commande.
La norme PCI DSS n’ont plus n’a pas eu le résultat escompté. D’abord parce qu’elle n’est pas infaillible, des cas célèbres de vols massifs de données l’ont montré. Ensuite parce que la législation française ne l’impose pas formellement. Il en résulte un flou manifeste dans l’interprétation de sa liste de bonnes pratiques, notamment dans le durée de vie des données carte bancaire stockées. Certains sites les conservent pendant plusieurs années au-delà de la simple nécessité liée au paiement, voire ne les effacent jamais, ce qui augmente d’autant le risque de vol d’identifiants. D’autres systèmes de sécurité telles que l’email certifié, qui est pourtant l’arme absolue contre le « phishing », ne sont quasiment jamais utilisés.
Une seule victime : le consommateur Plusieurs raisons expliquent ce paradoxe, qui toutes convergent vers les principes élémentaires de la gestion du risque. En premier lieu, même si le coût financier de la fraude sur Internet est supporté environ à égalité par les banques et les commerçants, et non par les consommateurs, qui sont généralement remboursés, ce sont en fait ces derniers qui paient seuls les pots cassés. En effet, les banques sont assurées contre le risque de non-paiement, et répercutent le coût de cette assurance sur le prix de leurs services. De même les commerçants répercutent leurs pertes financières sur les prix de leurs produits, comme la fameuse ‘démarque inconnue’ de la grande distribution. Banques et commerçants ne sont donc pas directement impactés par la fraude, et se contentent de gérer le risque.
En second lieu, les commerçants sont avant tout concentrés sur la croissance de leurs ventes. Ils répondent aux attentes des internautes, et facilitent le processus d’achat au maximum, afin d’éviter tout abandon de panier. Résultat : les vérifications d’identité sont réduites au minimum, et la sécurisation des paiements est sacrifiée à l’autel de la simplicité d’utilisation. La montée en puissance des fonctions de ‘paiement en un clic’ sur les sites de e-commerce en est l’exemple le plus flagrant. Ces sites font tout pour simplifier la vie de leurs clients, mais la plupart ne maîtrisent pas les impacts que cela implique en matière de sécurité. La cohérence des comptes clients créés par exemple n’est quasiment jamais vérifiée.
En troisième lieu, les pouvoirs publics ne se sont jamais vraiment impliqués dans la résolution du problème. Pour 3D Secure par exemple, la Banque de France qui est pourtant garante de la sécurité des moyens de paiement, n’a pas le pouvoir d’imposer une règle précise au groupement qui gère les cartes bleues, n’ayant que le statut d’observateur. De même, l’administration n’a jamais communiqué en direction du grand public pour encourager l’adoption du système, comme ce fut le cas dans d’autres pays, ou pour le cadenas SSL.
Les acteurs doivent assumer leurs responsabilités La montée inexorable de la fraude sur Internet n’est pourtant pas une fatalité. Le cas du marché britannique en constitue un exemple éclatant. Dans ce pays, le taux de fraude en e-commerce se rapproche de celui constaté dans les points de vente ‘traditionnels’. 96% des transactions sur Internet utilisent 3D Secure, et le taux d’échec d’authentification 3D Secure ne dépasse pas 3%, alors qu’il est de 13% en France. La raison de ce succès réside dans l’établissement d’un cercle vertueux associant la mise en place d’une procédure unique d’authentification adoptée par toutes les banques et tous les opérateurs de cartes bancaires, et une adoption massive des commerçants. Pour inverser la tendance en France, plusieurs mesures de bon sens pourraient rapidement être mises en œuvre.
A commencer par une meilleure sensibilisation des consommateurs aux risques liés au paiement sur Internet. De la part des e-commerçants d’abord, qui doivent mieux informer leurs clients sur les risques qu’ils prennent lorsqu’ils saisissent des données personnelles sur Internet. Beaucoup de sites bancaires diffusent régulièrement des alertes de sécurité, aucun grand site de e-commerce ne fait de même par exemple. Il serait logique que la Fevad prenne en charge une réelle sensibilisation du grand public sur ce sujet. De la part des pouvoirs publics ensuite. Une véritable communication gouvernementale sur la sécurité des paiements devrait être développée, comme c’est le cas dans de nombreux autres pays. En France, ce sont surtout les entreprises qui sont sensibilisées sur la sécurité, et non les consommateurs. D’autre part, les banques doivent logiquement s’entendre sur une procédure unique d’authentification, simple à comprendre et à mettre en œuvre, qui permette d’obtenir l’adhésion à la fois des consommateurs et des commerçants. Enfin, les consommateurs ont également leur part de responsabilité, et doivent prendre conscience que le respect de règles élémentaires de sécurité s’impose à eux tout au long de leur acte d’achat sur Internet. Le taux de fraude ne pouvant continuer à croître indéfiniment, cette évidence finira par s’imposer. Pour l’intérêt des consommateurs comme celui de l’industrie du e-commerce, le mieux serait qu’elle le soit rapidement. (Par Fabien Dachicourt pour DataSecurityBreach.fr / RSSI de Coreye)
Les sites de jeu en ligne visés par une campagne de cyberespionnage active
L’organisation cybercriminelle « Winnti » cible les serveurs de jeu à travers le monde et dérobe de la propriété intellectuelle ainsi que des certificats numériques à des fins malveillantes. Selon le rapport de Kaspersky Lab reçu à la rédaction de Data Security Breach, le groupe Winnti, encore actif aujourd’hui s’attaque à des sites de jeu en ligne depuis 2009. Il a pour objectifs de dérober non seulement de la propriété intellectuelle – notamment le code source des jeux en ligne – mais aussi des certificats numériques signés par des éditeurs de logiciels légitimes.
Le premier incident qui a attiré l’attention sur les activités malveillantes du groupe Winnti s’est produit à l’automne 2011, lorsqu’un cheval de Troie a été détecté sur les ordinateurs d’un grand nombre d’utilisateurs à travers le monde. Le lien manifeste entre toutes les machines infectées est que celles-ci ont été utilisées pour jouer en ligne.
Peu de temps après, il est apparu que le programme malveillant à l’origine de l’infection faisait partie d’une mise à jour régulière du serveur officiel du site de jeu. Les utilisateurs contaminés et les joueurs en général ont soupçonné l’éditeur d’avoir installé le malware afin d’espionner ses clients. Cependant, il s’est avéré par la suite que le programme malveillant avait été installé sur les ordinateurs des joueurs par accident, alors que les cybercriminels visaient en réalité le site de jeu lui-même. En réponse, l’éditeur propriétaire des serveurs ayant propagé le cheval de Troie à ses utilisateurs a demandé à Kaspersky Lab d’analyser le programme malveillant. Le cheval de Troie s’est révélé être une bibliothèque DLL compilée pour un environnement Microsoft Windows 64 bits, utilisant une signature appropriée. Il s’agissait d’un outil de type RAT (Remote Administration Tool) aux fonctionnalités complètes, qui donne aux auteurs de l’attaque la possibilité de prendre le contrôle de l’ordinateur d’une victime à son insu. La découverte est de taille car ce cheval de Troie est le premier programme malveillant opérant sur une version 64 bits de Windows avec une signature numérique valide.
Plus de 30 sites de jeu en ligne avaient été infectés par celle-ci, la majorité d’entre eux appartenant à des éditeurs de logiciels du sud-est asiatique. Cependant, des entreprises du secteur situées dans d’autres pays (Allemagne, Etats-Unis, Japon, Chine, Russie, Brésil, Pérou, Biélorussie) ont également été identifiées comme des victimes de Winnti. En dehors de l’espionnage industriel, trois principales techniques susceptibles d’être employées par le groupe Winnti pour en tirer des profits illicites : accumulation et manipulation de sommes d’argent virtuelles utilisées par les joueurs, pour une conversion en argent réel ; exploitation du code source volé sur les serveurs de jeu en ligne pour la recherche de vulnérabilités dans les jeux en vue d’accentuer la manipulation d’argent virtuel et d’en accumuler sans éveiller les soupçons ; exploitation du code source volé sur des serveurs très fréquentés pour la création de sites pirates. Actuellement, le groupe Winnti est toujours actif.
Action malveillante possible pour BeatsByDrDre
Action malveillante possible pour BeatsByDrDre La marque hi-fi, Beats (le fameux b) souffre d’un problème de sécurité sur son site Internet qui pourrait nuire à ses visiteurs/clients. C’est Mazaki, un lecteur, qui nous a alerté sur le sujet. La vulnérabilité, une XSS, un cross-site scripting. L’idée de cette faille, provoquer un enchainement d’actions malveillantes à partir d’un site officiel. En gros, soit par courrier électronique (XSS non-permanent comme pour gMail, ndlr datasecuritybreach.fr) ou directement stocké sur le site incriminé par la faille (XSS permanent), le pirate peut orchestrer différents types de piratages.
Vous vous demandez comment, par exemple, un pirate a pu voler la session de votre compte de courrier électronique, votre accès web ? Tout « simplement » via un vol du cookies. Le XSS permet l’interception de ce document caché au fin fond de votre ordinateur. Le pirate peut aussi afficher de fausses informations à l’écran, mettre en place une page de type hameçonnage de données ou, plus vicieux encore, installer un code malveillant (logiciel espion, keylogger) dans l’ordinateur de l’espace visité. Il est aussi possible, dans certains cas, d’accéder à la base de données et à ses petits secrets (mails, mots de passe, messages privés). Bref, comme le précise un expert du genre dans notre émission tv d’avril sur zatazweb.tv, le Cross-Site Scripting n’est pas à prendre à la légère. Notre cas du jour, vise donc B. Le protocole d’alerte de ZATAZ a été déclenché au sujet de cette potentialité malveillante. En attendant une hypothétique correction, datasecuritybreach.fr vous déconseille fortement de cliquer sur le moindre lien renvoyant vers le portail de Beats. Préférez taper directement, dans votre navigateur, l’url concerné.
Une correction ? Il existe moult méthodes pour éviter un XSS. Nous vous passerons l’utilisation d’un firewall (pare-feu) qui permet de filtrer les informations envoyées au serveur/site. Un contrôle du flux de données rentrantes/sortantes loin d’être négligeable. Le coût est l’un des freins de son utilisation. Parmi les solutions, mettre son nez dans le code source de son « précieux ». D’abord, protéger les variables (form et/ou url et/ou cgi et/ou cookies). Pour cela, il faut définir « scriptProtect » du tag <cfapplication>.
Comme le rappel Wikipedia : « Filtrer les variables affichées ou enregistrées avec des caractères ‘<‘ et ‘>’ (en CGI comme en PHP). De façon plus générale, donner des noms préfixés par exemple par « us » (user string) aux variables contenant des chaînes venant de l’extérieur pour les distinguer des autres, et ne jamais utiliser aucune des valeurs correspondantes dans une chaîne exécutable (en particulier une chaine SQL, qui peut aussi être ciblée par une injection SQL d’autant plus dangereuse) sans filtrage préalable« . Dernier point, non négligeable, faites appels à des personnes compétentes à qui vous laisserez du temps pour auditer sérieusement code source et espaces numériques exploités.
Les données stockées dans son réseaux
Les entreprises sont souvent impuissantes face à la protection de leur bien le plus précieux : les données stockées dans leurs réseaux. Alors que les services concernés ont souvent une bonne vue d’ensemble des données conservées au sein de la société et peuvent très facilement évaluer les dommages éventuels, une nouvelle étude commanditée par Kaspersky Lab, que datasecuritybreach.fr a pu consulter, révèle que la plupart des entreprises ont une idée peu précise des données de l’entreprise que les employés stockent sur leurs propres terminaux mobiles. Ceux-ci étant de plus en plus nombreux à utiliser des équipements personnels à des fins professionnelles, une telle méconnaissance pose des problèmes inédits.
Cette enquête, menée par TNS Infratest, révèle que, parmi les sondés en France, : seuls 33% des responsables informatique ont mis en place des règles suffisamment strictes pour disposer d’une vision complète et précise des informations stockées sur ces terminaux mobiles. 45% indiquent ne pas savoir où se trouvent toutes les données, mais avoir un aperçu raisonnable de la situation. 17% reconnaissent n’en avoir aucune idée.
Globalement, il ressort que ce sont les entreprises britanniques et espagnoles qui ont mis en place les règles les plus complètes en matière de protection des données. Ainsi : 57% des responsables interrogés au Royaume-Uni et 54% en Espagne déclarent avoir une vision complète de l’emplacement de leurs données. En Suède; ce chiffre descend à 19%. L’Espagne est également le pays présentant le plus faible nombre de responsables informatiques admettant n’avoir aucune idée à ce sujet (5%). Les entreprises scandinaves, à titre de comparaison, sont, soit très honnêtes, soit font implicitement confiance à leurs employés. En Suède (26%) et au Danemark (22%), soit un nombre exceptionnellement élevé de responsables informatiques reconnaissent ne pas avoir une idée claire des données présentes sur les terminaux mobiles.
« En cas de perte ou de vol d’un appareil mobile d’un employé, il est crucial de savoir ce qu’il contenait en termes de données et surtout de pouvoir mettre en œuvre rapidement les mesures nécessaires pour réagir efficacement », commente à datasecuritybreach.fr Tanguy de Coatpont, directeur général de Kaspersky Lab France. « Si, pour une raison ou pour une autre, il n’est pas possible de savoir où se trouvent les informations de l’entreprise, il convient au moins de pouvoir les crypter afin de les rendre inaccessibles à toute personne malveillante. »
Cyber-attaques d’entreprises : de plus en plus d’inquiétude
Datasecuritybreach.fr a reçu une étude indépendante, commandée par Corero Network Security, leader mondial des systèmes de défense contre les attaques par déni de service (DoS/DDoS) et les intrusions en première ligne de défense, qui indique que les entreprises redoutent plus que jamais de devenir la cible d’attaques par déni de service distribué (DDoS).
Cette enquête réalisée auprès d’entreprises britanniques révèle que 41% des responsables informatiques sont « très » ou « extrêmement » préoccupés et craignent d’être victimes d’une attaque, contre 29% en 2012. Réalisée par l’Institut de sondages Vanson Bourne, l’enquête compare l’attitude de 100 moyennes et grandes entreprises, au cours des deux dernières années. Ce sondage dévoile également que le nombre d’entreprises ayant eu à faire face à des attaques a atteint 25% en 2013, contre 18% en 2012. Les responsables informatiques du secteur financier sont les plus inquiets. Actuellement, 56% d’entre eux expriment un niveau de préoccupation élevé ou extrême contre 28% l’année dernière.
Une impression de protection trompeuse 31% des personnes interrogées disent avoir déjà mis en place une technologie anti-DDoS spécialisée. 36% déclarent ne compter que sur leur pare-feu pour les protéger des attaques DDoS et ne projettent pas d’accroître leur protection. Par contre, 24% disent avoir l’intention d’acquérir une technologie anti-DDoS spécifique en plus du pare-feu en place.
Les analystes s’accordent à penser que les entreprises estiment être protégées contre les attaques ciblées comme les DDoS, alors qu’en fait, elles se réfèrent à des technologies de sécurité traditionnelles. Il semblerait que beaucoup comprennent l’évolution des menaces actuelles mais surestiment leur propre capacité à les contrer.
Fun, argent et espionnage Une évolution majeure par rapport au sondage de l’année dernière, porte sur les motivations des attaques. En 2012, les motifs politiques ou stratégiques étaient le plus souvent invoqués. C’était la principale motivation pour 33% des personnes interrogées. En 2013, 36% des sondés estiment également que c’est « juste pour rire ». Cependant, les motivations varient radicalement d’un secteur économique à l’autre. Les secteurs de la distribution et des finances considèrent que l’extorsion d’argent est la motivation principale des attaques, le secteur industriel pour sa part invoque unanimement les raisons politiques. Une autre conclusion intéressante de l’enquête est la variété des attaques ciblées et leur sophistication croissante. 33% des attaques ciblées sont des attaques DDoS de la couche applicative, 37% des attaques volumétriques et 30% des attaques d’un autre type ou des attaques zero-day. Emmanuel Le Bohec, Regional Manager de Corero Network Security en France, commente à Data Security Breach : « Il est intéressant de noter qu’en dépit de l’augmentation significative de protection contre les attaques par déni de service au cours de l’année passée, les responsables informatiques redoutent plus que jamais la menace d’une attaque. Il ressort en outre clairement de cette enquête que les responsables IT n’appréhendent toujours pas la variété et la sophistication des attaques DDoS ainsi que les risques pris par leurs entreprises en faisant confiance à leur seul pare-feu pour les protéger. »
Le Botnet ZeroAccess Générant des Bitcoins a été la Principale Menace au premier trimestre 2013
Le Botnet ZeroAccess Générant des Bitcoins a été la Principale Menace au premier trimestre 2013 Fortinet, l’un des leaders de la sécurité réseau haute-performance, a communiqué à DataSecurityBreach.fr sa nouvelle recherche sur les principales menaces menée par FortiGuard au cours de la période du 1er Janvier au 31 Mars 2013. Data Security Breach a observé que le botnet ZeroAccess générant des Bitcoins, a été la principale menace de ce trimestre d’après les données recueillies par les boitiers FortiGate situés à travers le monde. Le rapport livre également une analyse des cyber-attaques de la Corée du Sud ainsi que deux nouvelles variantes d’adware sur les appareils Android au cours des 90 derniers jours.
ZeroAccess ne montre aucun signe de ralentissement “Au premier trimestre 2013, nous avons vu les propriétaires du botnet ZeroAccess assurer et augmenter le nombre de bots sous son contrôle,” déclare à dataSecurityBreach.fr Richard Henderson, stratégiste de sécurité et chercheur en menaces au sein de FortiGuard Labs de Fortinet. “Au cours des derniers 90 jours, les propriétaires de ZeroAccess ont envoyé à leurs hôtes infectés 20 mises à jour logicielles.”
ZeroAccess est la principale menace en matière de botnets que l’équipe a observé. ZeroAccess est principalement utilisé pour la fraude par clic et la création de Bitcoins. La valeur de la monnaie électronique, décentralisée et basée sur l’open source, continue à exploser, ce qui signifie probablement que la somme d’argent qui est générée par ZeroAccess se chiffre en millions de dollars ou plus. “Comme la popularité et la valeur de Bitcoin augmente, nous pourrions voir d’autres propriétaires de botnets tenter de les utiliser à l’identique ou pour perturber le marché des Bitcoins,” poursuit Henderson.
En Mars et Avril, Mt. Gox, la plus grande bourse d’échange Bitcoin du monde, a lutté contre une attaque continue par déni de services distribués (DDoS) visant à déstabiliser la devise et/ou à en profiter. L’analyse de ZeroAccess par FortiGuard Labs, qui peut charger des modules DDoS sur les machines infectées, révèle que le botnet ne dispose pas actuellement d’un module DDoS attaché à son arsenal. Ceci indique que d’autres propriétaires de botnets tentent de profiter des fluctuations de la devise Bitcoin.
Le développement de nouvelles infections ZeroAccess est resté régulier au cours des 90 derniers jours. Depuis Août 2012, FortiGuard Labs surveille activement ZeroAccess, et l’équipe a constaté une croissance quasiment linéaire en matière de nouvelles infections. Plus récemment, l’équipe a noté 100 000 nouvelles infections par semaine et près de 3 millions d’adresses IP uniques rapportant des infections. On estime que ZeroAccess pourrait générer à ses propriétaires jusqu’à 100 000$ par jour en recettes publicitaires frauduleuses.
L’Attaque Wiper Touche les Entreprises Sud Coréennes Une attaque massive de malwares ciblant les institutions financières et réseaux de télévision Sud Coréens en Mars a causé d’énormes dommages, détruisant des milliers de disques durs. FortiGuard Labs, s’appuyant sur son partenariat avec les secteurs publics et privés en Corée du Sud, a découvert des informations relatives à la nature de l’attaque et à la façon dont le malware s’est propagé. La recherche de l’équipe montre que les assaillants ont réussi à reprendre le contrôle des systèmes de gestion des correctifs et utiliser la nature fiable de ces systèmes pour distribuer des malwares dans les réseaux de leurs cibles. Le nettoyage et la remise en état continuent, et les coupables responsables de ces faits restent non identifiés.
Deux Nouvelles Variantes d’Adware se Propageant sur les appareils Android Deux nouvelles variantes d’adware sur les appareils Android, Android.NewyearL.B et Android.Plankton.B, ont provoqué un grand nombre d’infections mondiales au cours des 90 derniers jours. “Les nouveaux kits de publicité que nous avons observé indiquent que les auteurs font de leur mieux pour éviter la détection,” déclare à datasecuritybreach.fr David Maciejak, chercheur sénior de FortiGuard Labs chez Fortinet. “Il est également possible que Newyear et Plankton soient créés par le même auteur, mais maintenus distincts afin de générer plus d’infections.” Les deux malwares sont intégrés dans diverses applications et peuvent afficher des publicités, pister les utilisateurs à travers le numéro IMEI du téléphone et modifier l’écran du téléphone.
“La forte augmentation d’adware sur Android peut très vraisemblablement être attribuée aux utilisateurs qui croient installer des applications légitimes contenant un code embarqué d’adware,” déclare à data security Breach Guillaume Lovet, Responsable Senior à FortiGuard Labs. “Cela indique que quelqu’un ou un groupe a été capable de monétiser ces infections, probablement par le biais de programmes illicites d’affiliation publicitaires.” Les utilisateurs peuvent se protéger en prêtant une attention particulière aux droits demandés par l’application au moment de l’installation. Il est également recommandé de télécharger des applications mobiles qui ont été très bien notées et vérifiées.
Cyber-attaques : la menace s’amplifie, la résistance s’organise
Dire que les attaques par DDoS (Déni de Service Distribué) sont de plus en plus fréquentes et de plus en plus graves est une lapalissade. La menace est diffuse, souvent discrète, mais bien réelle. La gravité du phénomène est difficile à cerner avec précision, mais on peut affirmer que la plupart des grandes entreprises et administrations ont subi des intrusions. Plusieurs études révèlent en effet que 65 à 70 % des entreprises ont été victimes de cyber-attaques ciblées en 2012. Une enquête de Ponemon Institute aux Etats-Unis dévoile que l’année dernière, les deux tiers des banques et entreprises du secteur financier ont été frappées par des attaques DDoS. Pourtant, seules 17% d’entre elles se disent bien protégées.
L’alerte est donnée Autrefois, servant exclusivement dans les tentatives d’intrusion pour désactiver des équipements réseau ou sécurité, puis plus récemment utilisées comme moyen d’expression idéologique par les Anonymous – bien que ce but annoncé puisse parfois laisser dubitatif – les cyber-attaques apparaissent désormais comme un problème beaucoup plus grave et plus global, devenu surtout géopolitique et économique. Bien que peu d’entreprises admettent encore publiquement en être la cible, certains éléments montrent qu’il s’agit d’un phénomène généralisé. La question est assez préoccupante pour que l’administration américaine ait donné l’alerte et milite activement pour une meilleure protection des infrastructures du pays En effet, les États-Unis, particulièrement concernés, prennent la chose très au sérieux. Les responsables des services de renseignement ont récemment fait part au Sénat de la vulnérabilité de la nation face au cyber-espionnage, au cyber-crime et à la destruction des réseaux informatiques, à la suite d’attaques menées par certains états, par les cyber-terroristes, les cybercriminels ou encore les hacktivistes. En France, on note un certain retard de prise de conscience de la menace malgré l’alerte donnée par Jean-Marie Bockel et la montée en puissance de l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI), appartenant aux services du Premier Ministre. Dans son rapport, le sénateur critique les moyens alloués par l’Etat pour se défendre contre des attaques informatiques de grande ampleur et contre une cyber-guerre. On ne peut que s’inquiéter de cette situation. Bercy, l’Elysée – tout comme des institutions publiques de plusieurs pays – n’ont-ils pas déjà été l’objet d’attaques ?
Le risque du chaos La lutte contre les cyber-attaques s’inscrit dans une conception globale de défense. Elle est aujourd’hui devenue prioritaire, au même titre que la lutte contre le terrorisme ou la prolifération nucléaire, et tout ce qui risque de mettre en cause la sécurité nationale. La remise prochainement au gouvernement du Livre blanc « Sécurité & Défense 2013 » insiste bien, à la fois sur cette nécessité et sur le retard pris par la France. Des mesures de protection propres aux activités socio-économiques doivent être prises, tout comme elles le sont pour la sécurité du territoire ou la garantie des institutions. Cela devrait se traduire en particulier par la prise de dispositions rendant obligatoire la mise en place d’outils de sécurité sur les systèmes d’information. L’attaque des systèmes d’information ne pourrait-elle pas conduire à la prise de commande des organes vitaux de la Nation, via les fameux Opérateurs d’Importance Vitale (OIV), menant au chaos dans les transports, l’énergie, la distribution, les médias et la finance ? Cette éventualité est prise très au sérieux et ne relève pas d’un scenario de film catastrophe.
Data Securit Breach se pose la question : Mensonge ou aveuglement ? Devons-nous craindre un manque de moyens de défense face à la multiplication des agressions subies par les entreprises ? On observe une lente mobilisation des Etats et une prise de conscience encore très limitée des entreprises dans le monde. Beaucoup, lorsqu’elles n’y sont pas obligées, ne signalent pas les attaques qu’elles subissent, craignant pour leur image. Ce qui est potentiellement dangereux pour leurs clients, leurs partenaires… et tous ceux qui échangent régulièrement avec elles. La prise de conscience n’est pas partagée par tous et le déni des attaques s’apparente à l’aveuglement, allant même jusqu’au mensonge sur la gravité des faits.
Aux Etats-Unis, les 27 plus grandes entreprises américaines cotées en bourse, ont nié avoir enregistré des pertes financières importantes à cause des attaques subies. Cela est contraire aux affirmations des autorités fédérales américaines pour lesquelles des milliards de dollars de secrets confidentiels ont été dérobés par ce biais. Le décalage s’explique. Les sociétés déclarent qu’elles ont été attaquées mais minimise les conséquences.
Le rapport Bockel préconise également l’obligation de déclarer les attaques importantes du système d’information. Informer qu’on a été attaqué est sans aucun doute une démarche responsable. Bien qu’elles soient encore trop peu, on note que de plus en plus d’entreprises prennent vraiment conscience des dangers du piratage informatique, en révélant les tentatives des hackers pour infiltrer leurs réseaux et dérober des données sensibles. C’est le cas par exemple d’EADS et ThyssenKrupp, qui selon Der Spiegel ont été les cibles, l’année dernière, de cyber-attaques venues de Chine. Officiellement, EADS confirme qu’il s’agit d’une « attaque standard » sans conséquence. Mais pour l’hebdomadaire allemand, la cyber-attaque a été jugée suffisamment importante pour que le groupe aéronautique et aérospatial civil et militaire alerte le gouvernement allemand.
Le cyber-espionnage s’amplifie Les attaques DDoS augmentent en fréquence mais aussi en gravité. Au-delà des attaques impliquant un très gros débit, ce sont surtout les attaques par déni de service applicatif qui ont le vent en poupe. Plus faciles à mettre en œuvre, plus discrètes, elles n’en sont pas moins dévastatrices et représentent désormais entre 60 et 80% des attaques, selon les études. Et la tendance ne semble pas prête à s’inverser. Mais le plus important est de comprendre que les attaques par déni de service, quel que soit leur type, ne sont que la partie émergée de l’iceberg. L’attaque vise en réalité à pénétrer le réseau de l’entreprise-cible. D’ailleurs, les entreprises sont les premières visées car détentrices de brevets, de données personnelles, financières, géographiques, météorologiques, sanitaires… Et, chaque attaque par déni de service majeure a donné lieu par la suite, à une seconde vague prenant la forme d’une divulgation d’informations volées au moment de l’attaque. Comme si, au cas où les effets du DDoS n’auraient pas été suffisamment remarqués et la réputation de l’entreprise entachée, l’attaquant voulait s’assurer que ses actions éclatent bien au grand jour et soient révélées au plus grand nombre. Chaque entreprise, PME ou grand compte, est une cible potentielle pour les criminels informatiques. A la demande de Corero Network Security, le Ponemon Institute a mené une enquête. 650 professionnels de l’informatique et de la sécurité, représentant 351 banques dont les plus importantes au monde, ont été interrogés. Il s’avère que 64% des professionnels sondés révèlent que leur banque a subi de multiples attaques DDoS en 2012 et 78% d’entre eux s’attendent à ce que le phénomène persiste voire s’amplifie. Les attaques DDoS et les attaques zero-day – qui exploitent une vulnérabilité jusqu’alors inconnue – sont les menaces les plus graves. On observe d’ailleurs de plus en plus la combinaison des deux. Une personne sur deux interrogées dans le cadre de l’enquête, déclare que la pénurie de personnels compétents, le manque de technologies de sécurité efficaces et l’insuffisance de ressources budgétaires sont les obstacles majeurs qui empêchent de contrer les attaques par déni de service distribué.
Toute entreprise connectée à Internet peut subir une attaque DDoS. Pourtant, on s’aperçoit avec inquiétude que la grande majorité des organisations compte sur des solutions inefficaces (parce que non conçues pour cela) comme les anti-virus et les pare-feu pour se protéger contre ces attaques par DDoS.
Chaque technologie doit pouvoir jouer son rôle Face à ce danger omniprésent, l’inquiétude est légitime. Nos entreprises sont-elles bien préparées à contrer les attaques de nouvelle génération ? Font-elles les bons choix techniques et stratégiques de défense ? Des solutions nouvelles existent pour résister à la déferlante des attaques DDoS, des attaques ciblées, des botnets, des attaques force-brute et empêcher la fuite et le vol de données. Datasecuritybreach.fr vous rappelle qu’il s’agit d’unités qui filtrent les flux et éliminent le trafic de l’attaque avant qu’il ne frappe le réseau et sans que le trafic légitime ne soit ralenti ou bloqué. Parce que les attaques DDoS visent de plus en plus fréquemment la couche applicative du système d’information, une nouvelle approche est nécessaire pour se défendre. La technologie traditionnelle des pare-feu, proxies et IPS détectant sur signatures, n’a pas été conçue pour arrêter les attaques visant la couche applicative et cherchant à simuler des acteurs légitimes. Les attaquants le savent.
De plus, l’attaque par DDoS n’est parfois qu’une diversion pour pénétrer sur le réseau et effectuer une invasion plus insidieuse. Pour ce faire, les pirates ciblent le pare-feu, mis en place par l’organisation pour se protéger et qu’ils utilisent contre elle ! Aussi convient-il de disposer une première ligne de défense – moyen simple pour bloquer le trafic indésirable avant qu’il n’atteigne le pare-feu et l’IPS – laissant ces derniers faire le travail pour lequel ils ont été conçus. Pourquoi s’en priver ? Les attaques n’arrivent pas qu’aux autres. Par Emmanuel Le Bohec, pour Data Security Breach, Regional Manager chez Corero Network Security.
Documents électroniques d’identité (eID et e-Passeport): quels sont les défis à relever ?
La gestion des documents d’identité est en pleine mutation : avec la généralisation des programmes de cartes nationales d’identification électronique (appelés également CNIe), les gouvernements souhaitent déployer un véritable bouclier contre les fraudes et la contrefaçon à grande échelle. Cependant, certains programmes nationaux prennent du retard – notamment en France – et certains écueils ne semblent toujours pas résolus.
Quels sont les défis technologiques auxquels les administrations et gouvernements doivent faire face ?
Sur le terrain, la sécurité des documents officiels d’identité reste une préoccupation majeure : les populations n’ont jamais été aussi mobiles et nous sommes toujours plus nombreux à passer les frontières ; du côté de l’administration électronique, le but est de gagner en simplicité. Car les administrations ont besoin non seulement de documents d’identification robustes et multiservices bénéficiant d’une sécurité optimale, mais facilitant aussi les mouvements transfrontaliers et l’accès à des services sociaux ou de santé.
En 2015, 85% des documents d’identification seront électroniques, et les gouvernements qui proposeront ces CNIe seront jusqu’à 4 fois plus nombreux que ceux qui resteront sur des formats plus classiques (sans technologie), selon l’analyste Acuity Market Intelligence. L’utilisation d’identifiants multi-applicatifs semble devenir la norme pour le développement de carte d’identité multiservice et durable, et, dans ce contexte, la prévention des fraudes, le déploiement de programmes de bout en bout et l’expertise en matière d’intégration sont essentiels pour le développement de programmes d’identification nationaux.
Il s’agit, en effet, d’éliminer les problématiques d’interopérabilité technologique, d’assurer les mises à jour des cartes existantes et des systèmes sous-jacents, et d’encourager la longévité des documents d’identification, autant de vecteurs qui peuvent induire des coûts supplémentaires. C’est la raison pour laquelle une expertise en matière de conception, de technologie et de fabrication est essentielle pour s’assurer que les documents d’identification soient conformes aux normes internationales qui régissent leurs dimensions, leur sécurisation, leurs fonctionnalités et leur longévité.
Une longévité optimale
La longévité des documents d’identification est un point crucial : ces documents doivent en effet résister à une utilisation intensive et à différents vecteurs d’usure. Les matériaux comme le polycarbonate se sont imposés en tant que matériau de choix en matière de durabilité et de résistance. On note néanmoins que l’ajout de technologies intelligentes embarquées telles que le RFID ou les puces avec ou sans contact pourraient être considérés comme des freins potentiels à la durabilité des supports en plastique.
Ce constat est à l’origine du développement de nouvelles technologies qui, à l’image de la technologie polycarbonate prévenant la formation de fissure, brevetée de HID Global, assure l’intégrité de la structure des documents d’identification.
La mise à jour des documents d’identification
Le retour sur investissement des programmes CNIe évolués fait l’objet de nombreux débats. En effet, les discussions portent notamment sur l’investissement initial du projet, qui varie selon les fonctionnalités et la durée de vie des cartes d’identité. La possibilité et le processus de mise à jour des cartes déjà en circulation sont essentiels en matière de conception du programme et d’allocation des budgets.
Pourquoi en effet payer pour une carte qui devra être rapidement renouvelée (par ex. suite à un changement d’adresse)? Dans un tel scénario, les cartes à puce déployées dans le cadre d’applications embarquées et sécurisées de gestion des données peuvent être mises à jour. Grâce à ces programmes, la mise à niveau des informations sur la carte est assurée, incluant la possibilité de télécharger de nouvelles applications ou d’activer de nouveaux services, dès que ces derniers sont disponibles. Cette évolutivité offre aux gouvernements la possibilité d’étendre leurs programmes de manière sécurisée, même lorsque les cartes sont déjà entre les mains des citoyens.
Des technologies innovantes, telles que l’OSM (Optical Security Media) facilitent les mises à jour des documents d’identification en circulation. D’ailleurs, cette technologie a fait ses preuves et a été utilisée dans le cadre de la délivrance des permis de résident américains dits « Green Cards » . L’information présente sur la piste optique de ces cartes ne peut être modifiée de manière frauduleuse, et ne peut être mise à jour que par des instances légitimes, le tout, sans avoir à remplacer la carte.
Un document d’identification valable 10 ans, durera-t-il vraiment 10 ans ?
Le remplacement des cartes d’identité traditionnelles par des cartes de type eID, l’intégration d’une ou de plusieurs technologies de carte à puce en d’identification, et l’innovation qui favorise la durabilité des cartes sont autant de leviers qui assurent la pérennité des identifiants de demain.
Dans les 5 années à venir, les priorités porteront sur les fonctionnalités des cartes multi-technologiques, davantage d’intégration au niveau de la conception des cartes, l’amélioration des systèmes de délivrance, les différentes possibilités de mise à jour, et l’innovation en matière de production des cartes. Ce sont ces facteurs, entre autres, qui feront de la carte d’identité à puce, valable 10 ans, une réalité. (Par Craig Sandness, pour Data Security Breach, Vice-président chez HID Global, en charge des solutions d’identification officielle.)
Les entreprises sont informées trop tardivement du risque de fuite de données
Communiquer sur la disparition d’un équipement informatique ne semble pas une priorité pour tous les employés européens. Une nouvelle étude révèle que les employés belges (dont 19% attendent au moins trois ou quatre jours), néerlandais (17%) et allemands (16%) sont les plus lents à signaler la disparition d’un équipement. Leurs homologues portugais et danois sont les plus rapides (30% et 31% d’entre eux, respectivement, effectuent le signalement dans l’heure qui suit).
Seul un employé sur cinq, au sein des petites et moyennes entreprises, informe son service informatique dans l’heure qui suit la perte d’un équipement appartenant à la société, selon une enquête que Data Security Breach a pu consulter, et réalisée par TNS Infratest auprès d’un échantillon de PME européennes. Ce chiffre est encore plus alarmant sachant que la majorité des responsables informatiques sont convaincus qu’un mot de passe suffit à protéger les données sensibles stockées sur les terminaux mobiles.
En cas de vol d’un ordinateur portable, d’une tablette ou d’un smartphone d’entreprise, les malfaiteurs disposent d’au moins plusieurs heures devant eux pour tenter d’accéder à son contenu avant que le service informatique ne puisse prendre des mesures préventives ou réactives. Seuls 21% des responsables informatiques, interrogés sur le laps de temps qui s’écoule avant que leurs employés signalent la perte d’un tel équipement, pensent être informés dans l’heure qui suit. 12% estiment ce délai supérieur à une journée, ce qui laisse le temps à un cybercriminel d’extraire des données sensibles de l’entreprise stockées sur l’appareil (contacts, e-mails professionnels…), voire d’accéder à des comptes personnels en ligne (sur Twitter ou Facebook, par exemple) et de modifier les mots de passe de l’utilisateur.
« Un cybercriminel chevronné n’a besoin que de quelques minutes pour contourner une protection par mot de passe à 4 chiffres telle que celle utilisée sur la plupart des appareils, notamment les smartphones », souligne à Data Security Breach David Emm, chercheur senior en sécurité chez Kaspersky Lab. « C’est pourquoi, en cas de perte ou de vol de votre mobile, il est essentiel d’en informer votre service informatique le plus vite possible. Celui-ci pourra alors bloquer l’accès de l’appareil au réseau de l’entreprise et, dans le meilleur des cas, en effacer toutes les données. »
A cet égard, il est plutôt alarmant de constater que seulement 39% des responsables informatiques interrogés admettent que, pour la protection des terminaux mobiles, le chiffrement des données constitue une méthode bien plus efficace qu’un simple mot de passe. « Malheureusement, trop souvent, les utilisateurs n’emploient même pas de mot de passe du tout. Ou, dans le cas contraire, ils ont tendance à se servir d’un simple code PIN de quatre chiffres au lieu d’un mot de passe complexe, c’est-à-dire composé d’au moins douze signes combinant des lettres, des chiffres et des caractères spéciaux », ajoute à datasecuritybreach.fr David Emm. « L’utilisation d’un tel mot de passe fait gagner un temps précieux à l’entreprise après la perte ou le vol d’un appareil : les données professionnelles demeurent en effet protégées jusqu’à ce que l’employé signale la disparition de l’équipement et que le service informatique efface son contenu. »
Une nouvelle solution contre l’exécution de code malveillant sur les ordinateurs équipés d’UEFI
Une nouvelle solution contre l’exécution de code malveillant sur les ordinateurs équipés d’UEFI. Kaspersky Lab annonce à Data Security Breach le lancement d’une nouvelle solution baptisée KUEFI, un antimalware capable de protéger le PC de l’utilisateur avant même le chargement du système d’exploitation.
La norme UEFI (Unified Extensible Firmware Interface ou « interface micrologicielle extensible unifiée »), élaborée par l’Unified EFI Forum, est un modèle d’interface intermédiaire entre le micrologiciel (firmware) et le système d’exploitation (OS) d’un ordinateur.
Présenté comme « l’héritier spirituel » du BIOS (Basic Input/Output System), UEFI offre la prise en charge de nouvelles technologies, un développement optimisé et une meilleure expérience utilisateur entre la mise sous tension de la machine et le chargement du système d’exploitation. Pour de multiples interfaces, la norme offre un système plus sécurisé, un temps d’amorçage plus court, des performances améliorées, et des fonctionnalités innovantes sur la plate-forme. Parmi ses autres caractéristiques, la norme UEFI prévoit la possibilité d’embarquer une solution de sécurité « sur la puce ». Kaspersky Lab a saisi cette opportunité pour développer le premier – et, pour l’instant, le seul – antimalware compatible UEFI, qui sera en mesure d’analyser certains fichiers système et emplacements mémoire avant même le début du chargement du système d’exploitation.
Les avantages d’une telle approche sont clairs. Jusqu’à présent, les rootkits et bootkits pouvaient s’ancrer profondément dans le système et se charger avant tout antimalware classique, dissimulant ainsi leur activité à l’antivirus, dont ils pouvaient même bloquer le chargement. Désormais, en se chargeant à partir d’une mémoire ROM garantie exempte de défauts, KUEFI pourra examiner les fichiers système avant leurs propres chargements afin de détecter tout code malveillant susceptible de s’y cacher.
Hacknowledge Contest Benelux
Suivez, en temps réel, avec ZATAZ.COM, ACISSI et CPEHN (Charleroi) le Hacknowledge-contest 2013 Benelux.
13h30 – Découverte du système d’alerte ZATAZ.COM avec Damien Bancal.
Fonctionnement, actions, … Plus de 40.000 sociétés aidées, bénévolement, depuis bientôt 17 ans (anniversaire en juin 2013).
14h30 – RFID, Le sans fil nous parle par Sébastien Lasson
Un jouet à 30 euros cache, en son sein, un outil professionnel dédié au RFID vendu sous sa forme « pro », 300€.
16h00 – Social Engineering par Sébastien Baudru de Drastic Sécurité.
Explication sur cet « art » d’étudier une cible humaine… avant de s’occuper de son informatique. De multiples outils pour le SE : Tailgating, shoulder surfing, trashing, phishing, Cross site Scripting, Mass Human Deny Of Service. Prudence aux courriers d’entreprises ayant un nom trés proche de celui de l’administration fiscale. Possibilité de détourner de l’argent en jouant sur la peur des Impôts, URSAFF, …
17h00 – De son côté, François Goffinet est venu parler de migration IPv6 et sécurité.
« Ipv6 n’est pas sécurisé comme on veut nous le faire entendre, indique l’enseignant, Chrome, n’est pas compatible IPv6 ; les commentaires dans le code source de Wireshark, ne sont pas flatteurs pour IPv6« .
18 h – La sécurité informatique – Etat des lieux en Belgique par Rudi Réz (CPEHN).
Du côté des forces de l’ordre dédiées au cyber-crime : 37 policiers pour la FCCU (Federal Cyber Crime Unit) ; 180 pour les 25 zones régionales RCCU (Regional Cyber Crime Unit). Le CERT Belge (CERT.BE) a lancé +1400 enquêtes en 2011, pour plus de 2100 alertes. Il n’existe pas de loi obligeant les entreprises à notifier la justice/le public en cas de piratage/fuite de données. Le gouvernement conseille de le faire, mais ne l’oblige pas.
21 h – Le concours !
Plus de trente participants, 70 épreuves. La nuit s’annonce riche et… studieuse.
Lancement des hostilités … H -1.
21h30 – C’est parti … mon kiki !
70 épreuves : hack, chiffrement, décryptage, code barre, lock picking, … A noter de la pointure parmi les participants dont le gagnant du SANS NetWars tournament of Champion 2012.
05h30 – La lutte est serrée pour les concurrents.
Les épreuves s’enchaînent, les défis tombent, un par un. Physiques, numériques, certaines autres « briques » résistent.
Oracle Critical Patch Update – Avril 2013
Oracle a publié deux mises à jour de sécurité critiques. Tout d’abord, une nouvelle version de Java corrige 42 vulnérabilités, dont 19 ayant le score CVSS le plus élevé (10) qui permet à un attaquant de prendre le contrôle total de la machine. Cette mise à jour corrige également les vulnérabilités découvertes lors de la compétition PWN2OWN à CanSecWest, en mars, où Java a été exploité par trois chercheurs en sécurité différents. Oracle a également modifié les alertes qui surgissent lorsque l’on exécute une applet Java, en introduisant des états distincts donnant plus d’informations sur la nature de l’applet. Les nouvelles versions sont Java v7 update 21et Java v6 update 45.
Dans l’ensemble, le CPU d’avril 2013 corrige plus de 120 vulnérabilités dans 13 gammes de produits. Une cartographie précise des logiciels installés sera cruciale dans l’application de ces correctifs en raison du grand nombre de produits couverts. Nous recommandons de commencer par les services exposés sur Internet, puis de mettre à jour en priorité les produits contenant des vulnérabilités avec un score CVSS élevé.
Le SGBDR d’Oracle dispose de quatre mises à jour pour des vulnérabilités ayant un score CVSS de 10. Les organisations doivent s’assurer en priorité que leurs bases de données Oracle ne sont pas exposées et appliquer les correctifs en conséquence.
La base de données MySQL dispose de 25 vulnérabilités corrigées, avec un score CVSS maximum de 6.9. Un score de niveau moyen qui donnent plus de temps aux administrateurs informatiques pour réagir.
Les solutions Oracle Fusion ont 29 vulnérabilités corrigées, avec un score CVSS de 10. Nous recommandons d’appliquer les patchs aussi rapidement que possible. Une des vulnérabilités se trouve dans le produit Oracle Outside-In, qui est utilisé par Microsoft Exchange Server. Il est noté 6.8, ce qui signifie que nous aurons une mise à jour d’Exchange très bientôt.
Oracle Solaris est affecté par 16 failles avec un score de 6.4, dont deux vulnérabilités exploitables à distance. Les administrateurs informatiques doivent se concentrer dans un premier temps sur ces deux vulnérabilités.
Les autres produits mis à jour comprennent Peoplesoft, Supply-Chain, E-Business, CRM.
En complément des mises à jour d’Oracle, Apple a également publié deux mises à jour de sécurité. La première adresse Java 6 qui est maintenu par Apple sur Mac OS X. La seconde corrige une vulnérabilité dans Webkit, le moteur de rendu HTML de Safari. La vulnérabilité dans Webkit a également été découverte lors de la compétition PWN2OWN, mais en l’occurrence dans le navigateur Chrome de Google. Google a corrigé cette vulnérabilité le mois dernier. (Wolfgang Kandek, CTO de Qualys pour Datasecuritybreach.fr)
L’Institut Léonard de Vinci ouvre un MBA « Sécurité des réseaux numériques ».
Lutter contre les cyber-attaques et prévenir la menace numérique L’Institut Léonard de Vinci ouvre un MBA « Sécurité des réseaux numériques ». Au moment où les cyber attaques contre les entreprises ou les états sont monnaie courante et où de nouveaux besoins en compétences émergent, Data Security Breach revient sur ce nouveau MBA « Sécurité des réseaux numériques » de L’Institut Léonard de Vinci. Un MBA qui aura pour mission de former des experts et des stratèges du management de la sécurité des réseaux numérique dans tous les secteurs de l’économie mondialisée, arrive à point nommé.
En effet, selon le rapport du sénateur Jean-Marie Bockel sur la cyberdéfense (juillet 2012), les formations dédiées ne couvriraient qu’un quart des besoins de recrutement, estimés actuellement à 1000 par an (200 pour les administrations et 800 pour le secteur privé). Ce MBA qui combine 6 mois de formation à l’université et 6 mois de formation en entreprise, traite donc des problématiques pratiques et actuelles sous l’angle de la sécurité globale, telles que le cloud, le big data, la sécurité des réseaux, la mobilité dans les réseaux sans fil, le multimédia, mais il assure aussi les bases indispensables de la connaissance du droit (communication, pénal, finance, assurance, social), de la gestion (management) et de la science politique (communication de crise, réseaux sociaux). Pour comprendre le contexte et les enjeux de l’ouverture de ce MBA DataSecurityBreach.fr revient sur l’échange avec M. Yves ROUCAUTE, directeur du MBA « Sécurité des Réseaux numériques », Professeur agrégé des facultés, Président du conseil scientifique de l’Institut National des Hautes Etudes de Sécurité et de Justice.
Pourriez-vous nous présenter le MBA « Sécurité des Réseaux numériques » de l’Institut Léonard de Vinci ?
Yves ROUCAUTE : Le MBA « Sécurité des Réseaux Numériques » a pour objectif de former des experts de l’information technologique et des stratèges incontournables du management de la sécurité des réseaux numériques et de l’économie numérique. Et cela dans tous les secteurs de l’économie : entreprises privées ou publiques, états, collectivités territoriales, institutions de régulation ou encore lobbys. Il combine apprentissage théorique et pratique de la maîtrise de la sécurité du fonctionnement des systèmes d’information dans l’économie numérique et management opérationnel technico-économique et juridique pour gérer et prévoir l’évolution des stratégies face aux risques et menaces liés aux réseaux numériques. Tous les postes à responsabilités liés aux secteurs économiques utilisant les technologies numériques ainsi que les métiers liés au conseil et à l’audit de systèmes numériques sont concernés. Les débouchés sont donc nombreux dans les entreprises privées et publiques, les industries, le commerce, les banques, les assurances, mais aussi au sein des organismes étatiques ou des collectivités territoriales, des institutions de régulation et des lobbys.
Comment s’assurer que les élèves ne soient pas dépassés par le développement constant des nouvelles technologies et actualisent constamment leurs connaissances ? Nous offrons à la fois un contenu d’enseignement performant et un personnel enseignant à la pointe des questions de sécurité soulevées par l’information technologique à l’heure de la mondialisation. En effet, avec Michel Riguidel, Professeur émérite de Paris Tech, ex-directeur du département «Informatique et Réseaux », directeur adjoint du MBA, nous avons appelé des professionnels du management du risque numérique, réputés internationalement, qui travaillent à la direction d’entreprises spécialisées dans la sécurité des réseaux. Ainsi, les élèves vont savoir gérer le risque numérique imminent mais aussi prévoir son évolution. Ils comprendront la sécurité des systèmes d’information tout en saisissant l’écosystème numérique dans sa globalité, dans ses diverses dimensions technologiques, juridiques, financières, assurantielles, psychologiques et sociologiques.
Comment concrètement les étudiants du MBA « Sécurité des Réseaux numériques » seront-ils en mesure de prévenir les cyber-attaques ? Les cyber-attaques sont devenues une menace constante pour les entreprises mais aussi pour les Etats. Depuis 2007 et la cyber attaque contre l’Estonie de la part de sites russes, le danger a été pris en compte. Dernièrement, les attaques contre Lockheed, Google et Twitter ont fait grand bruit et montrent que nul n’est à l’abri. Ce sont des centaines d’entreprises qui, chaque année, sont victimes de cette nouvelle forme de criminalité. En premier lieu, les étudiants de notre MBA, formés par des professionnels de renom, seront en mesure d’éviter et de prévoir ce type de cyber attaque. Au Luxembourg, comme lors de l’organisation d’un cycle de conférences au Sénat, les dirigeants de ce MBA ont eu l’occasion de faire des recommandations sur la gestion des infrastructures vitales (appelées « critiques » dans les pays anglo-saxons) de la France. Il n’est pas anodin que l’Association internationale de science politique m’ait permis d’organiser, avec trois des enseignants de ce master, le premier grand colloque européen sur la sécurité des réseaux numériques critiques au Luxembourg en mars 2010. Ou que Michel Riguidel soit coordinateur dans le 6ème programme cacdre recherches et développement, de l’Union européenne, expert de l’ANR, membre du Conseil d’Evaluation Télécommunications à la DGA, alors qu’il a notamment conçu le premier pare-feu certifié ITSEC E4 en Europe ou inventé le mot « tatouage ». Pas anodin non plus que Gérard Peliks, expert sécurité chez Cassidian Cyber sécurité, soit Président de l’atelier sécurité du Forum ATENA. Pour ne citer que quelques uns de nos enseignants. Indéniablement, les étudiants seront pleinement confrontés aux vulnérabilités, aux risques et aux menaces liées aux réseaux numériques. Ils seront, en même temps, en position de distinguer les vraies menaces des jeux en trompe l’œil de certaines entreprises voire de certains services, via de prétendus risques d’attaque et, ainsi, de mesurer les dangers de l’utilisation de certains softwares qui sont en vérité des machines de guerre de l’intelligence économique, parfois seulement utilisés pour vendre des produits informatiques, parfois pour connaître les projets et intentions de concurrents, mais aussi qui sont parfois utilisés pour maîtriser les systèmes d’information des entreprises ou des Etats, voire les détruire.
Le MBA « SECURITE DES RESEAUX NUMERIQUES » propose 447 heures (6 mois) de cours et séminaires répartis en 4 modules et 6 mois de formation en entreprise. Objectifs : former des experts et des stratèges incontournables du management de la sécurité des réseaux numériques et de l’économie numérique. Public visé : Etudiant Bac +4 ou équivalent – Les épreuves d’admissibilité se font sur dossier et les épreuves d’admission se font sur examen oral devant le comité d’orientation pédagogique. Une remise à niveau est possible. Débouchés professionnels : secteurs des technologies de l’information, de l’informatique, des télécommunications, des activités numériques et des services fournis aux entreprises et aux collectivités ainsi que les métiers liés au conseil et à l’audit des systèmes numériques dans les entreprises privées ou publiques, Etats ou collectivités territoriales, institutions de régulation ou lobbys.
Internet traque le/les terroristes de Boston
Sur le forum 4chan, les internautes se sont lancés dans la traque du/des terroristes de Boston. Impressionnant ! Et si les Internautes réussissez à retrouver le/les terroriste(s) de Boston ? Sur plusieurs espaces web, dont le forum 4chan, les images des bombes de Boston sont décortiquées. Autant dire que la traque est impressionnante. Plusieurs suspects ont été remontés grâce à des détails tirés des photos, vidéos. Parmi les détails, des documents tirés d’appareils photos de sportifs, supporteurs et du FBI. Certaines comparaisons sont assez saisissantes. Surtout l’analyse des sacs à dos, en comparaison de ceux qui semblent avoir caché les « cocottes minutes ». Maintenant, une chasse aux sorcières peut, aussi, montrer du doigt des personnes n’ayant aucun rapport avec cette atrocité.
Insulter votre patron, mais pas à plus de 4 personnes
Insulter son patron sur Facebook est possible, à condition que vous ne dépassiez pas un nombre d’auditeur trop important ! Legalis.net est revenu sur un arrêt de la Cour de cassation du 10 avril 2013 qui confirme que le paramétrage des comptes des réseaux sociaux constitue le critère du caractère public d’une publication. Pour la Cour, des propos qui s’adressaient à quatre personnes autorisées par le titulaire du compte Facebook utilisé ne constituent pas des injures publiques. Un employé avait, sur Facebook et MSN, tenues des propos que son ancien employeur avait qualifiait d’injure publique. La Cour de cassation a estimé que le public susceptible de les lire était trop restreint. L’injure non publique est punie d’une contravention de 38 €. L’injure publique est punie d’une amende maximale de 12 000 €.
Cyber criminels se penchent sur Bitcoin
Comment les cybercriminels exploitent les monnaies virtuelles comme Bitcoin. D’abord, petit rappel de DataSecurityBreach.fr sur ce qu’est le Bitcoin. Bitcoin est une monnaie virtuelle décentralisée en ligne basée sur une source ouverte, le protocole P2P. Les Bitcoins peuvent être transférés sur un ordinateur sans avoir recours à une institution financière. La création et le transfert Bitcoin est effectué par des ordinateurs appelés «mineurs» qui confirment la création du bitcoin en ajoutant les informations dans une base de données décentralisée. Les Bitcoins deviennent plus difficiles à produire. Il n’y a plus « que » 10 millions de bitcoins en circulation aujourd’hui. La conception Bitcoin permet uniquement de créer 21 millions de pièces virtuelles. Cette limite sera atteinte au cours de l’année 2140. Le portefeuille Bitcoin est ce qui vous donne la propriété d’une ou plusieurs adresses Bitcoin. Vous pouvez utiliser ces adresses pour envoyer et recevoir des pièces provenant d’autres utilisateurs/internautes. Il existe les « piscines ». Espace qui permet à plusieurs internautes de « fabriquer » des Bitcoins. L’idée, travailler ensemble pour faire des bitcoins et partager les bénéfices de manière équitable. Enfin, vous pouvez acheter et vendre des bitcoins en utilisant plusieurs monnaies du monde réel (Euro, Dollar, …) à l’aide de plusieurs espaces d’échanges tels que MtGox, BTC-E ou encore Virtex.
En raison de la popularité croissante du Bitcoin, cette monnaie est devenue une cible intéressante et rentable pour les cybercriminels. Au cours des dernières années, DataSecurityBreach.fr vous a relayé d’une augmentation du nombre d’attaques et de menaces impliquant la monnaie virtuelle. Les « vilains » ont adapté leurs outils afin de voler des bitcoins à leurs victimes, utiliser des systèmes compromis pour exploiter des bitcoins et, bien évidement, traduire la monnaie virtuelle en billets biens réels. D’autre part les échanges virtuels sont également des victimes potentielles : phishing, déni de service. Dans ce dernier cas, la mission est clairement la déstabilisation du taux de change et des profits.
Au cours des dernières années, la capacité de voler le fichier wallet.dat (Le portefeuille Bitcoin, ndlr Data Security Breach) a été ajoutée à plusieurs familles de logiciels malveillants. En outre, de nouvelles familles de logiciels malveillants sont apparus dans le but de voler ce fichier à partir des machines infectées. Par exemple, une version du malware Khelios a été utilisée pour envoyer de faux courriels et inciter le téléchargement du malveillant. Mission finale, voler des données provenant des systèmes infectés. En conséquence, si un utilisateur du Bitcoin est infecté, le keylogger intercepte les frappes claviers dédiés aux Bitcoins. Le fichier porte-monnaie peut être protégé par un mot de passe… sauf que la majorité des logiciels pirates dédiés aux vols de données bancaires ont intégré le moyen de cracker le mot de passe du portefeuille. A noter que des botnets IRC s’exécutent sur la base du « AthenaIRCBot », un code source qui a la capacité de voler le fichier portefeuille (exemple : 928296a933c8eac9282955d47a811aa2759282973b8789bcfd567fb79282908ea).
En plus de voler le porte-monnaie Bitcoin, le nombre de logiciels malveillants qui permettent aux pirates d’utiliser la puissance de l’ordinateur des victimes est grandissante. Il permet aux escrocs numériques de générer des Bitcoins. Des variantes de Zeus/Zbot utilisent des « plugin » qui visent BitCoin. L’année dernière, zataz.com vous parlait d’attaques de sites web, avec l’installation d’iframe « bizarres » dans les sites infectés. Les iframes dirigés les internautes vers le site anshaa[*]com. L’attaque visait Bitcoin. Au cours des derniers mois, plusieurs variantes de Dorkbot, y compris celui qui visait Skype, était exploité pour ajouter la capacité mining pool dans les ordinateurs infectés. Une fois que le système compromis, une version de la Ufasoft mining pool est lancée. Le pirate produit du Bitcoin sans se fatiguer. Derrière ce botnet, le même groupe. Il exploit(ait)e : cantvenlinea[*]biz, revisiondelpc[*]ru, cantvenlinea[*]ru, hustling4life[*]biz.
Alors que ce premier groupe a fait tourner son arnaque durant près de 6 mois, un autre groupe de pirates exploite, depuis 1 an, Dorkbot. Si le premier gang semble être des pays de l’Est, le second passe par l’Asie pour agir. Ce groupe exploite aussi une autre monnaie virtuelle, Litecoins. Dans ces cas, les pirates exploitent de faux logiciels diffusés via le P2P et les fameux iFrames installés dans des sites compromis via des kits Exploits de type Blackhole. Comme vous pouvez le voir dans notre capture écran de comptes pirates, plusieurs escrocs utilisent des adresses Bitcoin. Bilan, il est possible de voir les transactions effectuées par ces comptes. Certains affichent plus de 38.000 dollars de recettes ! Pas mal pour un petit Botnet !
Mtgox est le plus grand lieu d’échange Bitcoin. Il est possible de transformer ses Bitcoins en Euros ou Dollars. Ces dernières semaines, la popularité croissante de Bitcoin et Mtgox a attiré les pirates. Début avril, le site mtgox-chat[*]info ciblait les utilisateurs Mtgox. Mission de ce piège, inciter l’internaute à télécharger une applet Java malveillante. Marrant, le serveur pirate de gestion (C&C) se nommait « tamere123 ». Il faut dire aussi qu’avec 20.000 comptes Mtgox créé par jour (le nombre de comptes pirates n’est pas connu, ndlr DataSecuritybreach.fr), l’intérêt des escrocs ne fait que suivre le mouvement.
Vous commencez à comprendre pourquoi le Bitcoin a plongé de 50% la semaine dernière, passant de 36 euros le 16 mars pour atteindre 200 euros, 1 mois plus tard. Le Bitcoin se stabilise autour de 75 euros. Jusqu’au prochain problème, comme celui vécu début avril, chez Bitcoin central !
Près de 1.000.000 de WordPress en danger
Un plugin pour WordPress dangereux. Il permet de diffuser des messages non sollicités à partir de 935.000 WordPress ainsi piégés. Si vous utilisez le plugin « widget Media social » dans votre WordPress, un conseil de datasecuritybreach.fr, effacez-le de votre site. Sucuri, expert en sécurité informatique a découvert que le plugin était utilisé pour injecter des messages non sollicités sur votre site. L’outil, qui se veut être un allier dans votre communication sur les réseaux sociaux et aussi, et avant tout, un piége.
Avec plus de 935.000 téléchargements, le plugin a de quoi faire de gros dégâts. Dans le code source de l’application, un url caché, qui est diffusé dans de faux messages. L’intérêt du pirate, faire référencer dans un maximum de sites, donc ensuite sur Google, son espace malveillant. L’url caché a pour mission d’injecter « PayDay Loan » et de renvoyer les lecteurs des WordPress sur le site paydaypam.co.uk, un site de prêt d’argent.
Le code malveillant a été ajouté dans la dernière version du plugin, SMW 4.0. Les utilisateurs sont vivement invités par Datasecuritybreach.fr à retirer le plug-in de leur site. Le plugin a été supprimé du WordPress Plugin.
Activistes Tibétains piégés par une application pirate
Lookout, leader des solutions de sécurité pour téléphones mobiles et tablettes vient d’informer DataSecurityreach.fr qu’un programme malveillant a été à l’origine d’un harponnage des comptes Email d’activistes tibétains. Le 25 mars dernier, le compte mail d’un activiste tibétain a été piraté et utilisé pour harponner, par la technique dite du spear-phishing, tous les contacts présents dans son carnet d’adresses. Cette attaque cherchait à faire croire aux personnes visées qu’elles avaient reçu un mail contenant des informations relatives à une conférence destinée aux activistes chinois, tibétains, mongols et turciques organisée lors du « Congrès mondial des Ouïghours » (WUC) organisé du 11 au 13 mars 2013.
Le mail contenait une pièce jointe censée être une lettre émanant du WUC, mais il s’agissait en réalité d’un fichier APK pour Android appelé « WC’s Conference.apk » contenant une nouvelle souche de programme malveillant appelée Chuli. Si ce type d’attaque très ciblée contre les appareils mobiles reste marginal, ce n’est pas une première. D’autres souches de programmes nocifs créées spécifiquement pour ces attaques ont déjà été mises au jour par le passé – FinSpy / FinFisher est un exemple conçu pour Android à des fins d’espionnage. L’éditeur Lookout suit de très près cette nouvelle tendance. Le mode d’attaque Les dernières versions d’Android (3.0 et supérieures) empêchent les applications de se lancer automatiquement. Chuli a été conçu pour contourner cette protection : le programme se présente comme un support de conférence, s’appelant même « conférence », une fois qu’il est installé.
Il s’agit d’un subterfuge sophistiqué visant à pousser l’utilisateur à exécuter l’application. Et une fois lancé, pour asseoir sa légitimité, Chuli affiche un message prétendant émaner d’un représentant officiel du Congrès mondial des Ouïghours, concernant la conférence. Mais en fait, l’application récupère l’ensemble des SMS, du carnet d’adresses et l’historique des appels présents sur l’appareil, pour les télécharger sur un serveur C&C distant. Bien que ce serveur soit hébergé aux Etats-Unis, il est en langue chinoise et les noms de domaine qui renvoient vers lui ont été enregistrés le 8 mars 2013 par le déclarant chinois Peng Jia de Pékin, au nom de la société Shanghai Meicheng Technology Information Development Co Ltd. Data Security Breach rappel que si ces informations laissent penser que les pirates sont probablement d’origine chinoise, le gouvernement chinois n’est pas pour autant impliqué.
Une fois que le programme malveillant s’est exécuté, le message qui s’affiche provient d’un fichier texte « assets/m.txt », ce qui laisse penser que ledit message peut facilement être changé pour lancer de nouvelles campagnes ciblées tirant parti d’autres actualités brûlantes. La construction et son mode de fonctionnement Le programme malveillant est basé sur deux services principaux : « PhoneService » et « AlarmService ». Le premier est le service d’activation qui s’exécute lors du lancement de l’application. Pour être sûr de se lancer correctement, il se greffe sur le système d’exploitation Android et définit un paramètre de déclenchement du service lorsque l’un des événements suivants survient :
· l’appareil sort du mode veille
· le niveau de charge évolue
· l’état de connexion de l’appareil change
· l’heure est modifiée
· le papier-peint est modifié
· des applications sont ajoutées
· l’écran s’allume
· la puissance du signal évolue
· un échange de données est amorcé PhoneService effectue trois tâches majeures, la première étant la création d’un identifiant unique pour le téléphone à l’aide de l’horodatage Unix. Ensuite, le service enregistre l’appareil auprès du serveur C&C et, enfin, lance le service AlarmService. Ce service permet au programme malveillant de se livrer à différentes activités d’espionnage. Sitôt activé, il effectue les tâches suivantes que Datasecuritybreach.fr vous énumére :
· Il s’accroche au service de SMS d’Android afin que les messages entrants soient transférés au serveur C&C.
· Il envoie des SMS et communique l’historique des SMS au serveur C&C.
· Il sollicite des informations sur la position géographique toutes les 10 secondes ou tous les 20 mètres, qu’il envoie ensuite au serveur C&C.
· Il accède au carnet d’adresses et communique le modèle de l’appareil, la version d’Android ainsi que tous les contacts enregistrés dans le téléphone et sur la carte SIM au serveur C&C.
· Il lance la fonction « autre » et envoie le journal des appels au serveur C&C.
L’éditeur Lookout a étudié de près le serveur C&C, un serveur Windows sous IIS accompagné d’une page d’accueil créée à la hâte. L’ensemble renforce le sentiment que cette campagne a été lancée en urgence, en prêtant peu d’attention aux petits détails. Détail intéressant, le serveur C&C publie également sous la forme de liens annexes un identifiant unique pour chaque appareil corrompu. Ces liens ouvrent un panneau de configuration relatif à l’appareil concerné, qui présente un ensemble de fonctionnalités que Lookout n’a pas encore observé dans les échantillons de programmes malveillants étudiés, notamment la possibilité d’installer d’autres logiciels à distance et à l’insu de l’utilisateur. Rien ne prouve que cette fonctionnalité ait été utilisée dans cette implémentation, ce qui peut faire penser qu’un autre morceau de code malveillant a été reconditionné pour cette campagne.
Etant donné la nature de l’attaque et les cibles visées, on peut penser qu’elle est l’œuvre d’un Etat ou d’un pays. Or plusieurs éléments semblent indiquer qu’il n’en est rien. Certaines portions sont l’œuvre de développeurs amateurs, l’application ne dispose pas d’une icône et elle porte la mention « test ». Qui plus est, l’exécution du programme se révèle moins élaborée que nombre d’applications malveillantes connues, comme par exemple Geinimi . Autant de preuves réfutant l’idée d’une attaque perpétrée par un Etat ou une grande nation. Il s’agit là d’une nouvelle attaque d’ingénierie sociale ciblée qui exploite des programmes malveillants pour Android, pour prendre le contrôle d’un appareil vulnérable à des fins d’espionnage. Un signe de plus qui vient confirmer la tendance actuelle à l’utilisation de tremplins multiples pour lancer des attaques, en ne se contentant plus de viser seulement des ordinateurs.
Chuli.A vise des cibles bien précises; seul un ensemble particulier d’appareils est concerné. Les risques d’infection sont donc très faibles. Comment s’en prémunir ? Data Security Breach magazine vous souligne l’importance d’évitez d’ouvrir des mails de spam. Des messages surprise de vieux amis perdus de vue ayant pour objet « hot news », « Last all Night » ou encore « You Won $1000 », montrent clairement qu’il s’agit d’un spam. Le bon sens doit être de mise avant de cliquer sur un lien. Si le nom du site web vers lequel il pointe ne vous dit rien, mieux vaut s’abstenir. La prudence doit particulièrement être de mise dans le cas de liens au format abrégé tel que bit.ly ou ABCD, car il est encore plus difficile de juger de l’honnêteté du site en question. Si votre appareil mobile lance subitement le téléchargement d’un fichier sans aucune action de votre part, ne cliquez surtout pas dessus et supprimez-le immédiatement. Téléchargez une application de protection mobile telle que Lookout, qui passe au crible les contenus à la recherche de programmes malveillants éventuels. Lookout Mobile Security pour Android, par exemple, est disponible en version Gratuite et en version Premium (2,49 € / mois ou 24,99 € / an).
Patch Tuesday d’avril
Comme chaque premier jeudi du mois, Microsoft a publié sa notification avancée du Patch Tuesday de ce mois d’avril. Il compte neuf bulletins affectant toutes les versions de Windows, certains composants Office et serveur ainsi que Windows Defender sur Windows 8 et RT. Cependant seuls deux bulletins sont jugés « critiques ».
Le bulletin 1 est destiné à toutes les versions d’Internet Explorer (IE), y compris la plus récente IE 10 sur Windows 8 et RT, et devrait être la priorité ce mois-ci. Il est classé « critique » et permet l’exécution de code à distance par le biais du vecteur d’attaque aujourd’hui le plus commun : l’un des utilisateurs de l’entreprise accédant à un site Web malveillant. Le bulletin 2 est la seconde vulnérabilité classée « critique » et affecte le système d’exploitation Windows, à l’exception des versions les plus récentes, Windows 8, Server 2012 et Windows RT (la version tablette).
Les bulletins restants sont tous évalués «importants» et affectent Windows, le serveur Sharepoint ainsi que, il est intéressant de le noter, un produit de sécurité. Il s’agit du scanner de malware de Microsoft, Windows Defender sur Windows 8 et Windows RT. Les vulnérabilités corrigées dans ces bulletins permettent généralement à l’attaquant l’escalade de privilèges. Il accède ainsi du niveau de privilège d’un utilisateur normal à celui d’un utilisateur de niveau administrateur. Il peut également tromper l’utilisateur en l’incitant à ouvrir un fichier spécialement conçu.
Parmi les autres annonces auxquelles il faut prêter attention, le projet source PostGreSQL Open a publié une nouvelle version de son produit de base de données corrigeant cinq failles de sécurité. L’une d’elles, CVE-2013-1899 permet à l’attaquant de supprimer des fichiers de base de données sans authentification, ce qui conduit à la perte de données et au déni de service. PostGreSQL a jugé cette faille suffisamment importante pour justifier la semaine dernière une pré-annonce de la publication d’un correctif cette semaine.
Il faut également garder à l’esprit que Oracle a prévu une publication supplémentaire pour Java ce mois-ci. Normalement, Java bénéficie d’une nouvelle version tous les quatre mois : février, juin et octobre de chaque année. En raison de la quantité et de la gravité des vulnérabilités récemment découvertes, il y aura une nouvelle version qui sera mise en ligne le 16 avril. (Wolfgang Kandek, CTO de Qualys pour DataSecurityBreach.fr)
Vers une Union européenne de la Sécurité Informatique …
Est-il temps d’inventer une « échelle de Richter » des incidents de sécurité ? Alors qu’un projet de Directive a été présenté par Neelie Kroes, commissaire européenne chargée de la société numérique et au moment où le Conseil et le Parlement européens doivent discuter de ce nouveau texte, François Lavaste, Président de NETASQ, acteur de la sécurité informatique revient pour DataSecurityBreach.fr sur cette nouvelle directive.
L’objectif de cette nouvelle Directive européenne vise à renforcer le niveau de sécurité des systèmes d’information européens et ce, de façon homogène. Au programme, la mise en place, dans chaque état membre, d’une infrastructure complète en matière de cybersécurité et une obligation de notification des violations de la sécurité des données personnelles sur 6 secteurs « cibles » qui sont les services financiers, les services internet clés, l’énergie, la santé, les transports et les administrations publiques. Alors que l’on pouvait s’attendre, par exemple, à une obligation visant à inciter les éditeurs de logiciels à « patcher» les codes défectueux, ou à des obligations pour les acteurs de la filières de mettre en place des mesures de prévention ou de sensibilisation en matière de sécurité des données et des systèmes, le texte ne prévoit, a priori, rien sur ces sujets pour le moment. « Les États membres veillent à ce que les administrations publiques et les acteurs du marché notifient à l’autorité compétente les incidents qui ont un impact significatif sur la sécurité des services essentiels qu’ils fournissent ».
Que recouvre exactement cette notion d’incidents ayant “un impact significatif” sur la SSI ?
La sécurité informatique est, de manière assez surprenante, un domaine qui n’a pas encore inventé ou imposé son « échelle de Richter ». Il existe des indices de gravité pour les vulnérabilités (faible, modéré, important, critique) mais ceux-ci sont assez basiques. Certaines entreprises de sécurité, inspirées probablement par les niveaux d’alerte du plan VIGIPIRATE en France ou par ceux du NTAS (National Terrorism Advisory System) aux Etats-Unis, publient leur propre échelle de menace (basse, medium, élevée, extrême par exemple). Ces indicateurs sont souvent subjectifs et précèdent les incidents potentiels. Cependant après un incident, aucune « échelle » de gravité n’est véritablement communément admise et utilisée. On pourrait imaginer qu’une telle échelle « a posteriori » de la gravité d’un incident de sécurité serait utile pour rapidement mettre en place, pour les victimes prévenues, les mesures à prendre et pour que les médias positionnent ces évènements de manière la plus objective possible.
L’encadrement juridique de l’utilisation de leurs équipements personnels par les salariés
Le BYOD (« Bring your own device »), ou l’utilisation par les employés de leurs équipements personnels (smartphone, pc portable, tablette tactile…) dans un contexte professionnel, est aujourd’hui une pratique courante en entreprise, qui demeure pourtant peu encadrée juridiquement. Donatienne Blin, avocat au sein du département Informatique & Réseaux du cabinet Courtois Lebel, passe en revue, pour Data Security Breach, les points de vigilance. L’accès immédiat et en toutes circonstances au système d’information de l’entreprise grâce aux BYOD améliore la réactivité et la productivité des employés.
Pourtant cette pratique souvent tolérée par les entreprises présente, en l’absence d’encadrement spécifique, des risques substantiels pesant sur la sécurité du système d’information, précisément sur la confidentialité et l’intégrité des données de l’entreprise : négligence de l’utilisateur (prêt ou perte du terminal), applications malveillantes téléchargées, virus ou failles de sécurité de l’OS (operating system) rendent possibles les accès frauduleux au système d’information par des tiers non autorisés. Chaque type de BYOD présente des risques particuliers qui devront être traités différemment.
L’utilisation des équipements personnels et l’anticipation des risques est donc une problématique majeure au sein de l’entreprise et précisément des directions juridiques et des directions des systèmes d’information. Toute perte ou altération des données personnelles peut provoquer des dommages économiques à l’entreprise, mais peut également engager sa responsabilité : l’article 34 de la loi n°78-17 Informatique, fichiers et libertés du 6 janvier 1978 impose au responsable de traitement de données personnelles de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement pour « préserver la sécurité des données et notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.
Ainsi, dans le prolongement de la politique de sécurité mise en œuvre par les DSI (directions des systèmes d’information), les entreprises doivent encadrer l’utilisation des BYOD et garder en toutes circonstances le contrôle de l’accès au réseau et des données y étant accessibles. Cet encadrement devra se matérialiser par la mise en place d’une charte informatique, ou la mise à jour de celle-ci dès lors qu’elle serait existante, en vue d’y inclure les mesures propres à leur utilisation, applicables à l’ensemble des salariés.
Les problématiques suivantes devront y être abordées :
L’accès au système d’information de l’entreprise Compte tenu des risques (introduction de virus, fuite, perte, altération de données personnelles ou sensibles et confidentielles…) pesant notamment sur les données de l’entreprise, des règles d’accès au système d’information de l’entreprise via un équipement personnel devront être adaptées. On pourra prévoir que le salarié utilisant un équipement personnel soit obligé, préalablement à la connexion de son terminal au réseau de l’entreprise, d’avertir le DSI et de faire contrôler son équipement afin de s’assurer de sa conformité en termes de sécurité. De même, le salarié devra toujours disposer d’un équipement en état de fonctionnement, et systématiquement, télécharger les mises à jour proposées par les éditeurs (du système d’exploitation, des logiciels et des applications utilisés).
Il pourra également être imposé au salarié de protéger son équipement par mot de passe afin d’en interdire l’accès aux tiers. L’obligation de faire l’acquisition d’outils permettant de limiter les risques de sécurité pourra également être imposée au salarié : logiciel antivirus, de cryptage des données, ou encore dispositif permettant de supprimer les données à distance dès lors que les données seraient directement stockées sur l’équipement personnel du salarié. Afin d’éviter la perte définitive des données (les applications cloud le permettent, ndlr Datasecuritybreach.fr), il peut également être imposé au salarié d’installer des outils de sauvegardes journalières ou de synchronisation des données avec un autre appareil. En cas de vol, perte, ou constat quelconque d’intrusion frauduleuse sur l’équipement personnel, le salarié devra immédiatement prévenir le DSI afin qu’il prenne toutes mesures nécessaires pour protéger le système d’information de l’entreprise et les données y étant stockées.
La propriété et le contrôle des données accessibles via l’équipement personnel Il devra être précisé que toutes données professionnelles stockées ou accessibles via un équipement personnel demeureront la propriété exclusive de l’employeur. Les cas d’accès et de contrôle aux données stockées sur l’équipement personnel du salarié par l’employeur devront être précisément définis dans la charte.
Pour rappel, Data Security Breach vous énumère les règles à retenir : le salarié utilisant un équipement professionnel doit expressément identifier les éléments personnels comme tels ; à défaut d’identification explicite contraire, le contenu est considéré comme ayant un caractère professionnel et son employeur peut dès lors y accéder.
L’employeur ne peut accéder aux fichiers personnels expressément identifiés comme tels par son salarié hors la présence de ce dernier, et ce sauf risque ou évènement particulier. Il devra être imposé au salarié, en cas de départ de l’entreprise, de transférer à son supérieur hiérarchique l’ensemble des données professionnelles éventuellement stockées sur son équipement personnel. En cas d’application cloud, l’accès doit être coupé au jour du départ.
La problématique du coût ou la participation de l’entreprise aux frais payés par les salariés Dans le cas des BYOD, le coût des équipements personnels utilisés à des fins professionnelles et les éventuels frais annexes (assurance, maintenance, anti-virus, forfait téléphone/internet, logiciels indispensables à l’activité, tel que le Pack Office de Microsoft) sont de fait déportés chez les salariés. Certains coûts pourraient être partiellement pris en charge par les entreprises, dès lors qu’il est raisonnable de considérer que le salarié n’aurait pas fait l’acquisition de ces différents outils, imposés par l’entreprise, dans le cadre d’une utilisation strictement personnelle. Ces règles liées à la prise en charge totale ou partielle des coûts devront être définies et portées à la connaissance des employés. Cette problématique rejoint celle de la discrimination entre les salariés : certains salariés pourront se procurer eux-mêmes leur propre équipement tandis que d’autres ne le pourront pas pour des raisons exclusivement financières.
La durée légale du travail En utilisant son équipement personnel, notamment pour recevoir ses mails professionnels, le salarié reste connecté en permanence avec le réseau de son entreprise.Cela a pour conséquence d’augmenter la durée du travail. Or les entreprises doivent respecter la durée légale du temps de travail sous peine de sanction. La charte devra donc tenir compte du fait que l’utilisation de l’équipement personnel ne doit en aucun cas porter atteinte à la durée légale du travail applicable à chaque salarié concerné. Au même titre, aucune sanction ne devrait découler d’une absence de réactivité d’un salarié en dehors de ses horaires de travail.
Les accès aux applications ou plus généralement au réseau de l’entreprise en dehors des horaires de travail peuvent être directement bloqués à distance par la direction des systèmes d’information. Ce système impose de créer des groupes d’utilisateurs autorisés, en fonction des horaires de travail qui leur sont applicables, du poste ou encore du rang hiérarchique occupé.
La responsabilité en cas de vol ou de dommages matériels causés à l’équipement personnel La question des éventuels dommages causés à l’équipement personnel de l’employé sur le lieu de travail sans aucune faute de sa part devra être tranchée dans la charte. Par exemple un virus pourrait être transmis sur l’équipement personnel du salarié qui se serait connecté au réseau de l’entreprise. Dès lors que l’équipement du salarié serait endommagé par la faute ou la négligence de l’entreprise, celle-ci devrait, dans ces conditions, être responsable des réparations.Les conditions de responsabilité et de réparation totale ou partielle en cas de dommages matériels doivent donc être précisément définies, dans le respect des règles du code du travail applicables.
La redéfinition des règles d’utilisation prohibées Il conviendra d’élargir les règles d’utilisation prohibées des ressources de l’entreprise aux ressources personnelles, dès lors que le réseau internet de l’entreprise devient accessible via un équipement personnel. Ainsi, il faudra rappeler au salarié que les règles d’utilisation prohibées des ressources de l’entreprise s’étendent à son équipement personnel (faits d’atteinte à la vie privée ou à l’image d’un tiers, diffamation, injure, discrimination, dénigrement de l’entreprise, l’atteinte à l’image de marque, à sa réputation ou à ses droits). De même, devront être prohibés les téléchargements de contenus portant atteinte au droit de la propriété intellectuelle qui seraient effectués par le salarié via le réseau de l’entreprise avec son équipement personnel. Enfin, il devra être interdit au salarié de se connecter via des réseaux wifi non sécurisés mais également de télécharger des applications ou logiciels non sécurisés sur son équipement personnel. La DSI pourrait préalablement établir une liste d’applications ou d’éditeurs interdits car présentant des risques en termes de sécurité, et mettre à jour cette liste.
L’opposabilité des règles L’opposabilité de ces règles devra être assurée afin de pouvoir engager la responsabilité disciplinaire ou judiciaire du salarié qui ne les aurait pas respectées et qui aurait été responsable du dommage causé à l’entreprise par sa faute. Ces règles peuvent donc figurer dans la charte informatique de l’entreprise, laquelle sera elle-même annexée au règlement intérieur. Les instances représentatives du personnel devront être consultées.
Pour finir, DataSecurityBreach.fr vous rappelle que dans son arrêt du 12 février 2013, la Cour de cassation a jugé qu’un employeur pouvait contrôler une clé USB d’un employé connectée à son ordinateur professionnel alors même que celle-ci était personnelle et sans la présence de l’employé. En l’espèce, les fichiers contenus n’étaient pas identifiés comme personnels, pas plus que la clé en question. Malheureusement pour l’employé, la clé contenait des informations confidentielles, ce qui a justifié son licenciement. (par Courtois Lebel, pour DataSecurityBreach.fr – PL est membre de deux réseaux de cabinets d’avocats : AEL, réseau européen, et ALFA.)
Impression des documents : un faux sentiment de sécurité ?
Quant à l’exposition des entreprises et des administrations aux risques de pertes de données confidentielles via les documents imprimés. Il repose sur l’étude menée par le cabinet d’analyses Quorcica sur 150 entreprises de plus de 1000 salariés, au Royaume-Uni, en France et en Allemagne. Selon Quocirca, à peine 22 % des entreprises ont mis en place un environnement d’impression sécurisé et 63 % des entreprises déclarent avoir subi des fuites de données dues à des documents imprimés, les entreprises s’exposent à de sérieux problèmes de confidentialité. Le livre blanc de Nuance présente les avantages d’une technologie d’impression sécurisée en matière d’authentification, d’autorisation et de suivi, et explique comment les entreprises peuvent améliorer la sécurité de leurs documents et se conformer aux exigences réglementaires.
Les entreprises qui consolident leur parc d’imprimantes optent très souvent pour des environnements partagés. Inévitablement, le risque de voir des documents tomber entre de mauvaises mains s’accroît. Dans le cadre d’une stratégie de sécurité des impressions, les entreprises doivent pouvoir contrôler l’accès à leurs multifonctions et disposer de fonctionnalités de contrôle et d’audit permettant un suivi des activités par périphérique et par utilisateur. L’efficacité d’une stratégie de protection des informations est toujours limitée à son maillon le plus faible. L’impression de documents demeure une pratique courante pour de nombreuses entreprises, mais celles-ci ne peuvent plus se permettre la moindre négligence en matière de sécurité. Même si l’impression en mode « pull » offre un moyen efficace pour lutter contre la perte de données, elle doit s’inscrire dans une stratégie globale, intégrant formation des utilisateurs, définition de règles et intégration de technologies complémentaires. Ce rapport comporte aussi deux études de cas d’ent solutions Equitrac et SafeCom de Nuance pour mieux protéger leurs impressions.
Renault fait appel à AVG Technologies pour sécuriser son nouvel app store embarqué
Renault, l’un des principaux constructeurs automobiles, a choisi AVG Technologies N.V. pour renforcer la sécurité de son système révolutionnaire de navigation multimédia intégré et connecté, Renault R-Link. AVG, fournisseur de solutions de sécurité mobile et Internet pour plus de 146 millions d’utilisateurs actifs dans le monde, vient de mettre au point une architecture de WebScanning assurant la protection de toutes les applications du Renault R-Link app store contre les logiciels malveillants recensés.
Développé en collaboration avec des spécialistes de la navigation par satellite, le système embarqué Renault R-Link associe un dispositif multimédia tactile d’un prix abordable à un kiosque d’applications ergonomique. Lors de son lancement, celui-ci comptera déjà plus de 50 applications disponibles, voyages, loisirs, actualité, réseaux sociaux… De nouvelles applications s’ajouteront à cette liste. Le système, déjà disponible sur la nouvelle Renault Clio, devrait équiper d’autres modèles du constructeur d’ici fin 2013, dont la très attendue voiture électrique ZOE, le Kangoo Express et la Captur.
Le logo AVG s’affiche sur le kiosque de l’ordinateur de bord avec la mention « Protégé par AVG ». Toutes les évaluations de sécurité s’effectuent en ligne, avant téléchargement des applications sur le système R-Link.
Selon John Giamatteo, Directeur des Opérations d’AVG Technologies explique à Data Security Breach : « Chaque jour, AVG assure la tranquillité d’esprit de millions de personnes dans leur vie numérique. Avec l’avènement de la « voiture connectée », conducteurs et passagers doivent pouvoir bénéficier du même degré de sérénité vis-à-vis de leurs appareils embarqués. Pour nous, ce partenariat avec Renault constitue une étape logique et naturelle. Nous espérons prolonger cette collaboration et accompagner le développement de la plateforme R-Link. »
« Renault R-Link permet aux conducteurs des véhicules Renault et à leurs passagers de profiter d’une connectivité multimédia et d’avoir accès à des loisirs en ligne en continu, le tout dans un environnement sécurisé, déclare Jean-François Martin, Directeur du service international de Renault, à datasecuritybreach.fr. En tant que support de téléchargement conçu pour un usage embarqué, R-Link se doit d’offrir une sécurité absolue à ses utilisateurs. C’est pourquoi nous avons choisi de nous associer à AVG Technologies, dont la réputation en matière de solutions de sécurité aussi innovantes que performantes n’est plus à faire. »