Archives de catégorie : Chiffrement

Chiffrement, Cybersécurité, Entreprise

Violation massive de données à la Pennsylvania State Education Association : plus de 500 000 personnes affectées

La Pennsylvania State Education Association (PSEA) a été victime d’une violation de données qui a exposé les informations personnelles de plus de 500 000 personnes. Cette attaque, revendiquée par le groupe de rançongiciels Rhysida, soulève de graves préoccupations concernant la sécurité des données dans le secteur de l’éducation publique.

La PSEA, un syndicat influent représentant les enseignants, les professionnels du soutien à l’éducation et le personnel scolaire de Pennsylvanie, a confirmé qu’une attaque informatique avait compromis les données de 517 487 personnes. L’incident, survenu aux alentours du 6 juillet 2024, a été détecté après qu’un acteur malveillant a réussi à s’introduire dans le réseau informatique de l’association. Après plusieurs mois d’enquête, la PSEA a officiellement révélé la nature et l’étendue de la faille le 18 février 2025, confirmant que des informations sensibles avaient été compromises. Un mois plus tard, ils alertaient les personnes potentiellement impactées. Soit 8 mois aprés l’attaque !

Une attaque d’envergure visant des informations critiques

Le mode opératoire des cybercriminels suggère une attaque soigneusement préparée, ciblant des informations personnelles sensibles. Les données compromises incluent les noms complets des membres de la PSEA, associés à une ou plusieurs informations sensibles : numéro de sécurité sociale, date de naissance, numéro de permis de conduire, numéros de comptes bancaires, identifiants de connexion, informations de paiement (y compris le code PIN et la date d’expiration), numéros de passeport, informations d’assurance maladie et données médicales.

La sophistication de cette attaque repose sur la diversité des données compromises, donnant aux cybercriminels une marge d’exploitation importante. La capacité à combiner ces informations pourrait permettre la mise en place de fraudes bancaires, d’usurpations d’identité ou encore d’attaques ciblées contre les personnes concernées. La PSEA a rapidement pris des mesures pour sécuriser son réseau et renforcer ses protocoles de sécurité. Cependant, le caractère massif de la fuite souligne une vulnérabilité structurelle dans la protection des données au sein du secteur de l’éducation publique.

« PSEA a connu un incident de sécurité le 6 juillet 2024 ou aux alentours de cette date, qui a impacté notre environnement réseau. Après une enquête approfondie et un examen minutieux des données concernées, achevés le 18 février 2025, nous avons déterminé que les données acquises par l’acteur non autorisé contenaient des informations personnelles appartenant à des personnes dont les informations étaient contenues dans certains fichiers de notre réseau« , précise la notification officielle publiée par la PSEA. L’enquête, c’est surtout l’accès aux données diffusées par les pirates ?

Le communiqué ajoute que l’association a « pris les mesures nécessaires, au mieux de nos capacités et de nos connaissances, pour garantir la suppression des données volées par l’acteur non autorisé« . Cette formulation laisse entendre que la PSEA a pu négocier avec le groupe de rançongiciels Rhysida, une hypothèse renforcée par le retrait ultérieur de la PSEA du site de fuite du groupe criminel sur le dark web.

Rhysida : un groupe de rançongiciels redouté

Le groupe Rhysida est apparu sur la scène cybercriminelle en 2023 et s’est rapidement imposé comme l’un des collectifs de ransomware les plus actifs au monde. Rhysida cible principalement les institutions publiques, les établissements de santé, les services éducatifs et les infrastructures critiques. Le mode opératoire du groupe consiste à infiltrer les réseaux informatiques par des techniques d’ingénierie sociale, souvent via des attaques de type hameçonnage (phishing) ou par l’exploitation de vulnérabilités dans des logiciels non mis à jour.

Une fois le réseau compromis, Rhysida utilise un logiciel de cryptage pour bloquer l’accès aux fichiers sensibles. Les attaquants réclament alors une rançon, souvent en cryptomonnaie, en échange de la clé de déchiffrement. Si la victime refuse de payer ou tarde à répondre, le groupe menace de publier les données volées sur son site de fuite hébergé sur le dark web. Cette double menace — paralysie des systèmes et publication des données — place les victimes dans une situation délicate, poussant souvent les institutions à négocier discrètement avec les attaquants.

Dans le cas de la PSEA, Rhysida a revendiqué l’attaque le 9 septembre 2024, exigeant une rançon de 20 bitcoins (environ 720 000 euros au taux de change de septembre 2024). Peu après, le nom de la PSEA a disparu du site de fuite du groupe, laissant penser qu’un accord financier a été trouvé. Bien que la PSEA n’ait pas confirmé avoir payé la rançon, la suppression des données du site de Rhysida renforce cette hypothèse.

Chiffrement, Cybersécurité

QSDC : Une avancée majeure dans la communication quantique ?

La communication quantique aurait franchit un nouveau cap et s’impose comme une technologie clé pour l’avenir de la cybersécurité. Des chercheurs chinois auraient réussi à transmettre des données sur 104,8 km via une fibre optique, avec une vitesse stable de 2,38 Kbps (soit environ 2 380 bits par seconde, ce qui correspond à l’envoi d’un message texte d’environ 300 à 400 caractères, soit une cinquantaine de mots, chaque seconde). Cette prouesse technologique ouvre de nouvelles perspectives en matière de transmission sécurisée des informations.

Un bond technologique sans précédent ?

Des scientifiques de l’Université Tsinghua, en collaboration avec des experts de l’Académie des sciences de l’information quantique de Pékin et de l’Université de technologie de Chine du Nord, auraient accompli une percée significative dans le domaine de la communication quantique. Cette avancée s’inscrit dans un contexte de recherche intensive sur les technologies quantiques, où chaque progrès permet de repousser les limites de la transmission sécurisée des données.

En combinant des techniques innovantes avec des matériaux plus performants, les chercheurs ont pu surmonter certaines des principales contraintes, telles que la fragilité des états quantiques, les pertes de signal sur de longues distances et l’instabilité des qubits, qui entravaient jusqu’ici l’adoption à grande échelle de cette technologie. qui entravaient jusqu’ici l’adoption à grande échelle de cette technologie.

Grâce à leur nouveau protocole de communication directe quantique (QSDC), ils ont non seulement battu le record de distance pour la transmission sécurisée de données, mais ils ont également multiplié la vitesse de transmission par 4 760 par rapport à leurs travaux précédents.

Jusqu’à présent, les avancées en communication quantique étaient freinées par des limitations techniques, notamment en termes de vitesse et de stabilité. En 2021, la même équipe avait réussi à transmettre des données sur 100 km, mais à un débit extrêmement bas de 0,5 bits par seconde.

Une technologie sécurisée et efficace

Le protocole QSDC repose sur l’utilisation d’états quantiques uniques pour transmettre des informations, rendant ces dernières totalement immunisées contre toute tentative d’interception non autorisée. Contrairement aux méthodes de cryptographie traditionnelles qui nécessitent des clés de chiffrement, la communication quantique détecte immédiatement toute tentative d’espionnage, empêchant ainsi toute fuite de données.

L’un des progrès majeurs de cette nouvelle avancée est l’adoption d’une méthode de transmission unidirectionnelle. Ce procédé permet de réduire considérablement la perte d’états quantiques, garantissant ainsi une meilleure stabilité de la transmission. En parallèle, le système de codage des données a été optimisé pour minimiser l’impact du bruit, un facteur clé dans l’amélioration de la fiabilité de la communication.

« Cette avancée représente une révolution dans la protection des données, en garantissant une sécurité sans précédent aux transmissions numériques. »

Vers une adoption à grande échelle

La mise en application de cette technologie s’annonce prometteuse dans des secteurs nécessitant une protection renforcée des données. Les institutions financières, les agences gouvernementales ainsi que les systèmes d’infrastructures critiques sont les premiers candidats à bénéficier de cette avancée. Avec une transmission inviolable et fiable sur de longues distances, la communication quantique pourrait bien redéfinir les normes de sécurité numérique dans les prochaines décennies.

Le développement de réseaux de communication quantiques sécurisés s’inscrit dans une dynamique plus large d’avancées en informatique quantique. D’autres progrès notables incluent l’augmentation des capacités des processeurs quantiques, avec des entreprises comme IBM et Google développant des qubits plus stables et exploitables à grande échelle.

Le qubits, un terme étrange pour exprimer les bits quantiques, des unités fondamentales de l’information en informatique quantique, capables d’exister dans plusieurs états simultanément grâce au principe de superposition. Pour tenter de simplifier, DataSecurityBreach.fr y voir comme une pièce de monnaie qui tourne en l’air : tant qu’elle n’est pas retombée, on ne sait pas si c’est pile ou face. En informatique classique, un bit est soit un 0 soit un 1. Mais un qubit peut être les deux en même temps, ce qui lui permet de faire plusieurs calculs en parallèle et d’être bien plus puissant pour certaines tâches.

IBM a dévoilé son processeur quantique Condor à 1 121 qubits, actuellement le plus grand processeur quantique en termes de nombre de qubits, destiné à des applications de recherche avancées et à l’exploration de la tolérance aux erreurs quantiques, tandis que Google a démontré la suprématie quantique avec son processeur Sycamore, un dispositif à 53 qubits, qui a réalisé en 200 secondes un calcul qu’un superordinateur mettrait 10 000 ans à accomplir.

Google travaille également sur le processeur Bristlecone à 72 qubits, soit l’équivalent d’un immense orchestre où chaque musicien joue une note en même temps, mais avec la capacité unique d’être dans plusieurs tonalités simultanément. Il est conçu pour améliorer la correction d’erreurs quantiques et renforcer la stabilité des calculs, capable d’effectuer en 200 secondes un calcul qu’un superordinateur classique mettrait 10 000 ans à résoudre.

De plus, l’informatique quantique ouvre de nouvelles perspectives en intelligence artificielle, permettant de traiter des ensembles de données complexes avec une rapidité inégalée. Par exemple, les algorithmes quantiques pourraient révolutionner l’optimisation des réseaux de neurones, rendant l’entraînement des modèles IA des milliers de fois plus rapide. De plus, dans la découverte de nouveaux médicaments, la simulation quantique pourrait analyser instantanément des milliards de combinaisons moléculaires, accélérant ainsi le développement de traitements médicaux. Enfin, en finance, l’IA quantique pourrait améliorer la détection des fraudes en analysant d’énormes quantités de transactions en un temps record.

En cybersécurité, l’IA quantique pourrait améliorer la détection des cyberattaques en analysant en temps réel des anomalies dans le trafic réseau, rendant les menaces détectables bien plus tôt. De plus, les algorithmes de chiffrement post-quantique, combinant IA et informatique quantique, visent à créer des protocoles de sécurité résistants aux attaques des futurs ordinateurs quantiques capables de casser les méthodes de chiffrement classiques.

Toutefois, malgré ces avancées, des défis subsistent. Les systèmes quantiques sont sensibles aux perturbations extérieures, rendant leur mise en œuvre encore complexe. De plus, leur coût élevé constitue un frein à leur adoption massive. Néanmoins, les recherches actuelles visent à surmonter ces limitations pour rendre ces technologies plus accessibles et fiables à long terme. à grande échelle devient désormais une perspective réaliste. À mesure que la technologie évolue, son intégration dans les infrastructures existantes pourrait révolutionner le paysage numérique mondial.

« Une transmission 4 760 fois plus rapide qu’en 2022 ouvre la voie à des applications concrètes de la communication quantique. »

La course au quantique : Chine vs. États-Unis

Derrière ces avancées technologiques se cache une compétition féroce entre les grandes puissances mondiales. La Chine et les États-Unis se livrent une véritable course à la suprématie quantique, chacune investissant massivement dans la recherche et le développement de ces technologies révolutionnaires. Pékin avec des projets comme le satellite quantique Micius, premier satellite dédié à la communication quantique lancé en 2016, permettant des transmissions sécurisées entre la Chine et l’Autriche via l’intrication quantique et des infrastructures de communication ultra-sécurisées, comme le réseau quantique reliant Pékin à Shanghai, qui assure des communications protégées contre toute interception. De leur côté, les États-Unis, soutenus par des géants comme IBM et Google, travaillent sur des ordinateurs quantiques de plus en plus puissants et des réseaux sécurisés.

Cette rivalité technologique dépasse le cadre scientifique : elle revêt également des enjeux géopolitiques et économiques majeurs. La nation qui maîtrisera en premier la communication quantique à grande échelle pourrait redéfinir les normes de cybersécurité, de défense et de gestion des données sensibles dans le monde entier.

L’ère de la communication ultra-sécurisée est-elle sur le point de voir le jour ? Quels seront les prochains défis à surmonter avant une adoption généralisée de cette technologie ? Quels seront les prochains défis à surmonter avant une adoption généralisée de cette technologie ?

Chiffrement, cryptage, Cybersécurité

La menace quantique sur la cryptographie et la réponse de Google Cloud

L’avancée continue de l’informatique quantique expérimentale soulève des inquiétudes quant à la sécurité des systèmes de cryptographie à clé publique les plus utilisés dans le monde. Une fois suffisamment développés, ces ordinateurs quantiques pourraient briser ces algorithmes, menaçant la confidentialité des données et l’intégrité des transactions numériques.

Depuis août 2024, les nouvelles normes de cryptographie post-quantique (PQC) du National Institute of Standards and Technology (NIST) permettent aux entreprises technologiques d’amorcer leur transition vers des solutions plus sûres. Google Cloud vient d’annoncer la prévisualisation de signatures numériques quantiquement sûres (FIPS 204/FIPS 205) dans son service Google Cloud Key Management Service (Cloud KMS) pour les clés logicielles. Cette annonce marque une étape importante dans la stratégie post-quantique de Google, qui inclut également ses modules de sécurité matérielle (Cloud HSM) et l’ensemble de son infrastructure de chiffrement.

Une stratégie post-quantique déployée sur plusieurs fronts

Dès 2016, l’entreprise a commencé à tester la PQC dans Chrome, puis en 2022, elle a commencé à l’utiliser pour protéger ses communications internes. Depuis, elle a mis en place plusieurs mesures pour renforcer ses protections, notamment dans ses serveurs de centres de données et dans les connexions entre Chrome Desktop et ses services comme Gmail et Cloud Console.

Désormais, Google Cloud KMS s’oriente vers une sécurisation totale contre les menaces quantiques. Cela inclut le support des algorithmes PQC standardisés par le NIST (FIPS 203, FIPS 204, FIPS 205 et futurs standards) en logiciel et en matériel. Cette approche vise à permettre aux clients de Google Cloud d’importer et d’échanger des clés de manière sécurisée, d’exécuter des opérations de chiffrement et de déchiffrement et de générer des signatures numériques résistantes aux futures attaques quantiques.

Une transition vers une infrastructure cryptographique transparente

Dans le but de garantir une transparence totale et une auditabilité de son code, Google mettra à disposition les implémentations logicielles de ces standards pour Cloud KMS en open source. Elles seront intégrées aux bibliothèques cryptographiques ouvertes BoringCrypto et Tink, développées par Google. Cette initiative vise à permettre aux entreprises et aux experts en sécurité d’analyser ces algorithmes et de les intégrer à leurs propres solutions de sécurité.

De plus, Google collabore activement avec les fournisseurs de modules de sécurité matérielle (HSM) et les partenaires de Google Cloud External Key Manager (EKM) afin d’assurer une migration réussie vers une cryptographie post-quantique pour tous les clients de Google Cloud.

Lancement des signatures numériques quantiquement sûres dans Cloud KMS

Une avancée majeure de cette stratégie est l’introduction des signatures numériques quantiquement sûres dans Cloud KMS. Cette nouvelle fonctionnalité permet aux clients d’utiliser l’API Cloud KMS pour signer numériquement des données et vérifier les signatures à l’aide d’algorithmes PQC standardisés par le NIST. Cette évolution est essentielle pour aider les entreprises à tester et intégrer ces nouvelles méthodes dans leurs flux de travail avant leur adoption élargie.

Les nouvelles signatures numériques de Cloud KMS offrent deux algorithmes PQC récents : ML-DSA-65 (basé sur les réseaux euclidiens, spécifié dans FIPS 204) et SLH-DSA-SHA2-128S (une signature basée sur le hachage sans état, définie dans FIPS 205). Ces signatures sont conçues pour résister aux attaques des futurs adversaires disposant d’ordinateurs quantiques capables de casser les systèmes cryptographiques classiques.

Google remplace l’authentification par SMS par un code QR plus sécurisé

Aprés le quantique, les mots de passe et la double authentification. Google prévoit de modifier son système d’authentification en deux étapes (2FA) en abandonnant l’envoi de codes par SMS au profit d’un code QR. Cette nouvelle mesure vise à renforcer la sécurité des comptes et à limiter les risques liés à l’interception des SMS.

Le système actuel repose sur l’envoi d’un code à six chiffres par SMS pour vérifier l’identité de l’utilisateur. Cependant, Google estime que ce procédé présente des failles, notamment la possibilité d’interception des SMS par des cybercriminels. Ces derniers peuvent utiliser diverses techniques comme l’attaque par SIM swapping ou le phishing pour obtenir ces codes et compromettre les comptes des utilisateurs.

Bien que la vérification en deux étapes par SMS reste préférable à une absence totale de protection, elle demeure vulnérable à des attaques sophistiquées. Google cherche donc à améliorer la protection des comptes en adoptant une méthode plus robuste.

Le code QR, une alternative plus fiable ?

L’alternative envisagée par Google repose sur l’utilisation d’un code QR. Concrètement, lorsqu’un utilisateur tente de se connecter à son compte Google sur un nouvel appareil, il devra scanner un code QR avec son smartphone. Cette approche, similaire à celle utilisée par l’application Itsme, offre plusieurs avantages : Contrairement aux SMS, les codes QR ne transitent pas par un réseau mobile potentiellement vulnérable.  Un simple scan permet une authentification rapide sans nécessité de mémoriser ou de saisir un code. L’authentification par QR nécessite un accès physique à l’appareil de l’utilisateur, ce qui complique grandement les tentatives d’usurpation.

Google et la lutte contre les faux comptes

Outre l’amélioration de la sécurité individuelle, Google espère aussi limiter la création massive de faux comptes Gmail utilisés pour envoyer du spam ou mener des campagnes de phishing. Actuellement, les criminels peuvent générer des milliers de comptes en automatisant la réception et l’insertion de codes SMS. L’utilisation d’un code QR pour valider un compte complique ces pratiques et renforce la fiabilité des comptes créés.

Pour suivre l’actualité cybersécurité en temps réel, inscrivez-vous à la newsletter et rejoignez nos canaux WhatsApp et réseaux sociaux !

Chiffrement, Cybersécurité

Les géants de la technologie face au défi des messageries chiffrées

Catherine De Bolle, directrice d’Europol, appelle les entreprises technologiques à collaborer avec les forces de l’ordre pour encadrer les messageries chiffrées, jugeant leur inaction dangereuse pour la démocratie européenne et la lutte contre la criminalité.

Le chiffrement de bout en bout des messageries instantanées, tout en protégeant la vie privée des utilisateurs, suscite de vives inquiétudes en Europe. Catherine De Bolle, directrice d’Europol, alerte sur les risques de l’utilisation abusive de cette technologie par des criminels pour cacher leurs activités. Selon elle, les entreprises technologiques doivent assumer leur responsabilité sociétale en facilitant un accès légal aux communications cryptées. Cette problématique, déjà source de débats depuis plusieurs années, gagne en intensité avec l’augmentation des crimes organisés et des cyberattaques utilisant ces outils. Lors du Forum économique mondial de Davos, les autorités européennes ont affiché leur souhait d’intensifier la pression sur les grandes entreprises technologiques pour trouver un compromis respectant à la fois la vie privée et les impératifs de sécurité. Ce débat soulève des enjeux cruciaux pour l’équilibre entre droits fondamentaux et protection collective au sein de la démocratie européenne.

Chiffrement et criminalité : un défi pour la sécurité publique

Le chiffrement de bout en bout, utilisé par des messageries telles que WhatsApp, Signal ou Telegram, assure que seuls les interlocuteurs peuvent lire les messages échangés. Si cette technologie est essentielle pour protéger les droits à la vie privée et la confidentialité, elle est également exploitée par des criminels pour échapper à la surveillance des forces de l’ordre. Catherine De Bolle affirme que cette situation crée des zones d’ombre où les criminels opèrent en toute impunité, ce qui complique les enquêtes sur des affaires de terrorisme, de trafic de drogue ou de cybercriminalité.

Le cas d’EncroChat illustre parfaitement ce phénomène. En 2020, cette plateforme sécurisée, conçue initialement pour garantir la confidentialité des communications, est devenue un outil prisé des réseaux criminels. Lorsque les autorités européennes ont réussi à infiltrer le réseau, elles ont découvert des milliers de messages liés à des activités illicites, allant du trafic d’armes à des meurtres commandités. Cette opération a permis de démontrer que le chiffrement, en l’absence de régulation, pouvait être détourné pour faciliter des crimes graves.

Cependant, ce débat oppose deux principes fondamentaux. D’un côté, la sécurité publique exige des outils efficaces pour lutter contre les menaces. De l’autre, la protection des données personnelles reste un pilier des droits fondamentaux. Catherine De Bolle insiste sur l’urgence de trouver un équilibre, affirmant que “l’anonymat total ne peut être un droit absolu si la sécurité collective est en jeu”.

Les conséquences de cette problématique dépassent largement le cadre de l’Europe. À travers le monde, des criminels exploitent le manque de régulation et la réticence des entreprises technologiques à coopérer, créant ainsi un environnement où l’impunité prospère.

L’implication des entreprises technologiques : entre responsabilité et résistance

Pour les autorités européennes, le rôle des entreprises technologiques est central dans ce débat. Ces dernières, souvent basées en dehors des juridictions européennes, défendent la confidentialité des utilisateurs comme une priorité absolue. WhatsApp, propriété de Meta, et Signal, plateforme indépendante, ont plusieurs fois réaffirmé leur opposition à tout système permettant aux gouvernements d’accéder aux messages chiffrés, même dans le cadre d’enquêtes judiciaires.

Cette résistance repose sur des arguments solides. Premièrement, affaiblir le chiffrement mettrait en danger des millions d’utilisateurs, exposant leurs données à des cyberattaques ou à des abus potentiels par des gouvernements autoritaires. Deuxièmement, les entreprises craignent une perte de confiance de leurs utilisateurs, ce qui pourrait compromettre leur position sur un marché de plus en plus compétitif.

Cependant, les forces de l’ordre estiment que cette position intransigeante entrave gravement la lutte contre les crimes organisés. En Allemagne, dès 2020, une proposition de loi visait à autoriser les services de renseignement à contourner le chiffrement pour accéder à des communications suspectes. Bien que cette législation n’ait pas abouti, elle témoigne de l’urgence pour certains gouvernements d’intervenir face à des menaces grandissantes.

Catherine De Bolle propose une approche fondée sur le dialogue. À l’approche du Forum économique mondial de Davos, elle prévoit de rencontrer des représentants de grandes entreprises technologiques pour explorer des solutions viables. Parmi les pistes envisagées, on trouve l’idée d’un accès restreint et strictement encadré aux messages chiffrés, avec des mandats judiciaires rigoureux comme garde-fou.

Une réponse européenne face à un dilemme mondial

Au sein de l’Union européenne, les discussions autour d’une régulation du chiffrement s’intensifient. La Commission européenne explore plusieurs pistes pour contraindre les entreprises technologiques à collaborer dans le cadre d’enquêtes judiciaires. Parmi les propositions les plus débattues figure l’idée d’une clé de déchiffrement réservée aux autorités compétentes, un mécanisme qui permettrait de contourner le chiffrement dans des cas très spécifiques.

Cette solution soulève toutefois de nombreuses critiques. Des experts en cybersécurité avertissent qu’introduire une “porte dérobée” pourrait affaiblir la sécurité globale des systèmes et exposer les données des utilisateurs à des risques accrus. En outre, cela pourrait nuire à la confiance dans les plateformes européennes, poussant les utilisateurs à migrer vers des services moins régulés.

Face à ces enjeux, les États membres de l’UE adoptent des positions divergentes. La France milite pour une régulation stricte, estimant que la sécurité collective prime sur la confidentialité absolue. Les Pays-Bas, à l’inverse, prônent une approche plus mesurée, craignant que des mesures radicales n’aient des effets négatifs sur l’innovation et les droits numériques. Trouver un consensus au niveau européen reste un défi, mais les pressions pour agir augmentent face aux menaces transnationales.

Ce débat dépasse les frontières de l’Europe. Aux États-Unis, les législateurs ont également soulevé la question, bien que les entreprises technologiques américaines, comme Apple, continuent de s’opposer à toute forme de déchiffrement forcé. En Australie, une loi adoptée en 2018 exige des entreprises qu’elles fournissent un accès aux forces de l’ordre, mais elle a suscité une vive opposition de la part des défenseurs des droits numériques.

Chiffrement, Cybersécurité, Entreprise

Entreprise : tentative d’extorsion de données en interne

Le 27 août 2024, Daniel Ryan, un résident de Kansas City, Missouri, âgé de 57 ans, a été arrêté pour tentative d’extorsion de données suite à une opération de cyber-chantage menée contre son ancien employeur, une entreprise industrielle basée dans le comté de Somerset, New Jersey. Cet événement marquant soulève des questions cruciales sur la sécurité des systèmes informatiques et les vulnérabilités internes que certaines entreprises doivent affronter.

Un ancien employé devient cybercriminel

Daniel Ryan, un ancien ingénieur en infrastructures, a été inculpé de trois chefs d’accusation : extorsion par menace de dommages à un ordinateur protégé, dommages intentionnels à un système informatique protégé, et fraude électronique. Ces charges résultent d’une tentative de sabotage et d’extorsion visant à paralyser le réseau informatique de l’entreprise, à moins qu’une somme non spécifiée ne soit versée.

L’arrestation de Ryan met en lumière l’importance de la confiance placée dans les employés ayant accès à des informations sensibles. L’ancien employé, après avoir quitté son poste, a réussi à conserver un accès non autorisé aux systèmes de l’entreprise, exploitant cette faille pour lancer son attaque.

Tentative d’extorsion : un scénario de chaos planifié

L’affaire a débuté lorsque Ryan a envoyé plusieurs lettres de menace à des employés de l’entreprise le 25 novembre 2023, affirmant que le réseau de l’entreprise avait été compromis. Dans ces lettres, il indiquait que tous les administrateurs IT avaient été « exclus ou supprimés » du réseau et que les sauvegardes de données avaient été détruites. Plus alarmant encore, Ryan menaçait de fermer 40 serveurs par jour pendant une période de 10 jours si l’entreprise refusait de se plier à ses exigences.

Cette menace, visant à paralyser totalement l’activité de l’entreprise, souligne l’impact potentiel d’une cyberattaque initiée de l’intérieur, une menace souvent négligée par les entreprises.

L’enquête, menée par le ministère américain de la Justice (DoJ), a révélé que Daniel Ryan avait réussi à obtenir un accès à distance non autorisé au réseau de l’entreprise, en utilisant un compte administrateur. Il a configuré plusieurs tâches malveillantes, incluant la modification des mots de passe des administrateurs et l’arrêt des serveurs, compromettant ainsi la stabilité du réseau.

L’enquête a également découvert que Ryan avait utilisé des outils de hacking bien connus comme Sysinternals Utilities PsPasswd pour changer les mots de passe de l’administrateur de domaine et des comptes locaux, modifiant ces derniers pour qu’ils deviennent TheFr0zenCrew!. Cette modification lui a donné un contrôle quasi total sur les systèmes informatiques de l’entreprise.

De plus, Ryan avait mis en place une machine virtuelle cachée qui lui permettait d’accéder à distance aux systèmes de l’entreprise, dissimulant ses traces grâce à des techniques sophistiquées comme l’effacement des journaux Windows. Les autorités ont également découvert des recherches effectuées par Ryan sur la façon de changer les mots de passe administrateurs à travers des lignes de commande.

Procès et sanctions sévères

Daniel Ryan, après son arrestation, a immédiatement comparu devant la justice. Pour les trois chefs d’accusation retenus contre lui, il risque une peine maximale de 35 ans de prison et une amende de 750 000 dollars. Ce cas de cybercriminalité met en lumière la sévérité des peines encourues pour les crimes liés à l’extorsion et à la fraude électronique, ainsi que l’importance d’une sécurisation renforcée des systèmes IT, même après le départ d’un employé.

L’arrestation de Daniel Ryan est un rappel frappant des dangers internes auxquels les entreprises sont confrontées en matière de cybersécurité. Il est impératif que les entreprises mettent en place des procédures strictes de contrôle d’accès, en particulier lorsque des employés quittent l’organisation, afin de minimiser les risques d’abus. Des systèmes de surveillance renforcés, associés à des pratiques de cybersécurité rigoureuses, sont essentiels pour prévenir de telles attaques internes à l’avenir.

En résumé, la tentative infructueuse d’extorsion de Daniel Ryan démontre les risques liés à une mauvaise gestion des accès IT et souligne la nécessité de rester vigilant face aux menaces internes. Le secteur de la cybersécurité doit continuer à évoluer pour faire face à ces défis en constante mutation, garantissant ainsi la protection des données critiques des entreprises.

Chiffrement, cryptage, Cybersécurité, quantique

Premières connexions quantique en Belgique

Un pas vers une communication ultra-sécurisée : Les premières connexions de Distribution de Clés Quantiques (QKD) ont été déployées en Belgique.

La Belgique en avant sur son temps. Le royaume vient de mettre en place ses premières connexions de Distribution de Clés Quantiques (QKD). Le projet BeQCI a installé trois connexions initiales dans le cadre de son réseau QKD.

BeQCI est une initiative belge au sein du projet européen plus large EuroQCI, se concentrant sur la distribution de clés quantiques (QKD). Elle vise à pallier les limitations des systèmes QKD existants en déployant diverses technologies QKD, y compris DV-QKD, MDI-QKD, CVQKD et QKD par satellite, interfacées dans différentes topologies. Grâce à la collaboration avec les services publics fédéraux, les hôpitaux, les banques, les centres de recherche, les universités et les ONG, BeQCI cherche à comprendre la demande du marché et à démontrer la fiabilité et les avantages du QKD. En favorisant les liens transfrontaliers, BeQCI contribue à la construction d’une infrastructure de communication quantique sécurisée, assurant une distribution robuste des clés de chiffrement pour une cybersécurité renforcée en Europe et au-delà.

Les 3 connexions incluent :
Une connexion entre deux campus de l’université de Gand (UGent).
Une connexion entre Redu et Transinne, utilisée par l’ESA et le CETIC.
Une connexion entre deux centres de données Belnet.

QKD est une forme de cryptographie basée sur la technologie quantique, rendant impossible l’observation ou la copie des données sans détection. Cela garantit la sécurité des informations même face aux futurs ordinateurs quantiques.
Le projet BeQCI, en collaboration avec Belnet, imec et UGent.

La Distribution de Clés Quantiques (Quantum Key Distribution, QKD) est une méthode de communication sécurisée qui utilise les principes de la mécanique quantique pour distribuer des clés cryptographiques entre deux parties. Voici un aperçu de son fonctionnement et de ses avantages :

Bits Quantiques (Qubits) : La QKD utilise des bits quantiques, ou qubits, qui peuvent exister dans plusieurs états simultanément grâce au principe de superposition quantique.
Intrication (Entanglement) : Deux qubits peuvent être intriqués, ce qui signifie que l’état de l’un est directement lié à l’état de l’autre, peu importe la distance qui les sépare.
Principe d’Incertitude d’Heisenberg : En mécanique quantique, toute mesure d’un système quantique perturbe inévitablement ce système. Cela signifie qu’une tentative d’interception des clés quantiques sera détectée par les parties légitimes.

Protocole BB84

Le protocole BB84, développé par Charles Bennett et Gilles Brassard en 1984, est l’un des premiers et des plus célèbres protocoles de QKD. Voici comment il fonctionne :
Préparation des Qubits : L’émetteur (Alice) envoie des qubits à travers un canal quantique en utilisant différentes bases de polarisation (par exemple, rectiligne ou diagonale).

Mesure des Qubits : Le récepteur (Bob) mesure les qubits en choisissant aléatoirement entre les mêmes bases de polarisation. Environ la moitié des mesures de Bob seront dans la bonne base.

Annonce Publique : Alice et Bob communiquent sur un canal classique pour comparer les bases utilisées. Ils conservent seulement les bits où ils ont utilisé les mêmes bases.
Extraction de la Clé : Après la comparaison, les bits restants constituent une clé partagée secrète.

Avantages de la QKD

Sécurité Inconditionnelle : La QKD offre une sécurité théorique inconditionnelle basée sur les lois de la physique quantique plutôt que sur des hypothèses mathématiques.

Détection d’Espionnage : Toute tentative d’interception perturbera les qubits et sera détectée, permettant aux parties de savoir si la clé a été compromise.

Longue Durée de Vie des Clés : Les clés générées par QKD peuvent rester sécurisées même avec l’avènement des ordinateurs quantiques, contrairement à de nombreux systèmes cryptographiques classiques.

Distance et Atténuation : Les qubits peuvent être facilement perturbés ou perdus sur de longues distances, limitant actuellement la portée des systèmes QKD.

Infrastructure : La mise en place d’une infrastructure QKD est coûteuse et complexe, nécessitant des équipements spécialisés comme des détecteurs de photons uniques.

Intégration : L’intégration des systèmes QKD avec les réseaux de communication classiques pose des défis techniques.

Chiffrement, Cybersécurité, VPN

VPN : un bug permettait de connaitre les sites web visités

L’équipe derrière le VPN ExpressVPN a émis un avertissement concernant la nécessité de retirer la fonctionnalité de split tunneling de leur logiciel. Cette décision a été prise après la découverte d’un défaut lié à cette option, lequel exposait les noms de domaines consultés par les utilisateurs.

Février 2024, un défaut a été identifié par les experts de CNET et concernait uniquement les versions de l’application ExpressVPN pour Windows (de la version 12.23.1 à la 12.72.0) distribuées entre le 19 mai 2022 et le 7 février 2024. Le problème se manifestait exclusivement chez les utilisateurs activant le split tunneling, une fonction permettant de diriger une partie du trafic internet soit via le VPN, soit en dehors, facilitant ainsi un accès local sécurisé. À cause de cette faille, les requêtes DNS des utilisateurs bypassaient l’infrastructure sécurisée d’ExpressVPN pour être redirigées vers les serveurs DNS du fournisseur d’accès internet (FAI) de l’utilisateur.

Normalement, les requêtes DNS transitent par les serveurs d’ExpressVPN empêchant les Fournisseurs d’Accès à Internet et autres entités de suivre les activités en ligne des utilisateurs. Toutefois, ce bug a conduit certaines de ces requêtes vers les serveurs DNS par défaut du système de l’utilisateur (généralement ceux du FAI), permettant ainsi de détecter les sites web consultés par l’utilisateur. Les clients sous Windows et ayant activé le split tunneling rendaient leur historique de navigation accessible. Gênant !

« Ce défaut redirigeait certaines requêtes DNS vers un serveur externe, généralement celui du FAI. Cela donnait au FAI la possibilité de connaître les domaines consultés par l’utilisateur, comme google.com, sans toutefois pouvoir accéder aux pages spécifiques, aux requêtes de recherche ou à d’autres activités en ligne. L’intégralité du trafic internet de l’utilisateur restait cryptée, rendant son contenu invisible au FAI ou à toute autre partie externe« , ont expliqué les développeurs d’ExpressVPN.

Ce problème n’aurait touché qu’environ 1 % des utilisateurs Windows et qu’il avait été observé uniquement en mode split tunneling.

Les utilisateurs ont été invités à mettre à jour leur logiciel vers la version la plus récente.

Chiffrement, cyberattaque, ransomware

Un petit vaccin pour le ransomware Rhysida

Des chercheurs en Corée du Sud ont identifié une faille dans le ransomware Rhysida, permettant la création d’un outil de décryptage gratuit pour les fichiers Windows affectés. Toutefois, certains experts critiquent la divulgation de ce défaut.

Lancé mi-2023, le groupe de pirates Rhysida a ciblé des secteurs variés, dont l’éducation et la santé. La Bibliothèque nationale britannique figure parmi ses victimes notables, ayant subi une attaque à l’automne. L’Université Kookmin et la KISA ont révélé une vulnérabilité dans le générateur de nombres pseudo-aléatoires de Rhysida, exploitée pour générer des clés de déchiffrement uniques par attaque, permettant ainsi de concevoir un outil pour restaurer les données chiffrées sans frais.

Ils ont détaillé dans leur étude que Rhysida utilisait LibTomCrypt pour le chiffrement et traitait les données en parallèle pour une efficacité accrue. Le programme appliquait un chiffrement discontinu, une stratégie courante chez les ransomwares pour accélérer le processus tout en évitant la détection, en alternant entre chiffrement et non-chiffrement de segments de données. Le décryptage fut possible grâce à l’analyse du modèle de chiffrement et l’application sélective de la clé correcte.

Les chercheurs ont expliqué que Rhysida se servait d’un CSPRNG basé sur l’algorithme ChaCha20 pour créer des clés de chiffrement, utilisant une valeur initiale dérivée de l’heure système, rendant la graine prévisible. En exploitant cette faille, ils ont mis au point une méthode pour reconstruire l’état du CSPRNG en testant différentes valeurs initiales, permettant de prédire les nombres aléatoires et de restaurer les fichiers chiffrés sans la clé originale.

Leur outil de décryptage est disponible sur le site de la KISA, avec un rapport technique et des instructions d’utilisation.

Peu après cette révélation, Fabian Vosar a indiqué que d’autres avaient découvert cette vulnérabilité mais avaient choisi de ne pas la rendre publique. Avast (octobre 2023), le CERT français (juin 2023), et Vosar lui-même, en mai 2023, avaient identifié la faille, permettant le décryptage de nombreux systèmes. Vosar a précisé que cette faille ne s’applique qu’à la version Windows de Rhysida, et non aux versions ESXi ou PowerShell, avertissant que les créateurs de Rhysida pourraient rapidement corriger cette vulnérabilité, rendant la récupération de fichiers sans rançon de nouveau impossible.

Chiffrement, cryptage, Cybersécurité

Lutte contre la pédopornagraphie : lettre ouverte de scientifique pour protéger l’anonymat

Des parlementaires européens proposent une alternative à la loi contre la pédopornographie, qui aurait contraint les entreprises du secteur technologique à surveiller massivement les contenus des utilisateurs. Cette nouvelle mouture vise à protéger les enfants sans violer la vie privée des citoyens et à maintenir l’intégrité du chiffrement.

Pendant des mois, la Commission européenne a travaillé sur une régulation visant à freiner la propagation de la pédopornographie. Cette initiative, qui aurait obligé les plateformes technologiques à inspecter systématiquement les appareils des utilisateurs pour du contenu inapproprié via des logiciels basés sur l’IA, a suscité de nombreuses controverses.

Elle aurait aussi signifié la fin du chiffrement. Permettre le scannage de fichiers, machines, correspondances, obligerait de ne pas chiffrer, et sécuriser, les documents pour être lus par l’IA.

Ce projet a soulevé des inquiétudes quant à sa conformité avec les lois européennes sur la vie privée. De plus, des questions ont émergé sur la précision du logiciel de détection : une grand-mère pourrait-elle être faussement identifiée en envoyant une simple photo de son petit-fils à la piscine ? En juillet 2023, environ 150 scientifiques ont exprimé leurs préoccupations concernant les implications de cette proposition sur la vie privée et la sécurité en ligne.

Suite à ces critiques, un groupe de parlementaires a introduit une alternative. Elle demande aux entreprises technologiques et plateformes en ligne d’adopter des mesures proactives, comme la vérification de l’âge des utilisateurs. Les comptes des mineurs sur des plateformes telles qu’Instagram ou YouTube seraient privés par défaut, empêchant ainsi les contacts non désirés. Sont-ils au courant que cela existe déjà ? En France, par exemple, la loi instaure une majorité numérique à 15 ans. Avant, les enfants ne peuvent pas s’inscrire sur les réseaux. La loi oblige les plateformes à mettre des solutions techniques de contrôle. Instagram interdit les inscriptions de personnes de moins de 13 ans. TikTok indique aussi 13 ans [14 ans au Quebec]. Selon le blog du modérateur, le top 3 des réseaux sociaux les plus utilisés par la Gen Z (11 / 14 ans) : Instagram : 90 % (+6 % par rapport à 2022), Snapchat : 80 % (+4 %), TikTok : 63 % (+53 % par rapport à 2020).

Contrairement à la proposition initiale, cette version ne mandate le scan des contenus que dans des circonstances spécifiques, basées sur des preuves fournies par les autorités policières. De plus, les scans ne seraient réalisés que sur des plateformes sans chiffrement, éliminant ainsi la nécessité de créer des « backdoors ».

Cette proposition révisée devrait être examinée par le Conseil de l’Europe et la Commission européenne avant un vote final. – Avec DataNews.

Chiffrement, cryptage, Cybersécurité, Hacking

Le lecteur flash le plus sécurisé au monde piraté

Des hackers ont réussi à pirater le lecteur flash le plus sécurisé au monde, l’IronKey S200.

IronKey S200, un lecteur flash qui se veut le plus sécurisé au monde. Il utilise un système de protection des données avancé et s’auto détruit irrévocablement si vous entrez 10 fois le mauvais mot de passe.

L’éditeur de Wired a proposé le piratage de l’appareil à la startup Unciphered, spécialisée dans la récupération de portefeuilles cryptographiques et de périphériques matériels. L’équipe a passé 8 mois à développer une méthode de piratage et a finalement réussi.

Après une expérience réussie, la startup s’est tournée vers Stefan Thomas, devenu célèbre pour avoir oublié le mot de passe de son IronKey, où 7002 BTC sont stockés depuis 12 ans. Stefan a refusé l’offre de piratage, affirmant que deux équipes de hackers travaillaient sur le problème depuis longtemps.

Aujourd’hui, la valeur des bitcoins dans le portefeuille de Stefan est d’environ 235 millions de dollars. Il ne lui reste plus que 2 tentatives de mot de passe sur les 10 alloués par l’IronKey.

Le Trésor américain envisage de déclarer les cryptomixers centres de blanchiment d’argent et appelle à des mesures restrictives , affirmant que leurs principaux clients sont des terroristes.

APT, Chiffrement, Cybersécurité

Le ransomware Cuba déploie un nouveau logiciel malveillant

Découvertes concernant le groupe de ransomware connu sous le nom de Cuba : le groupe a récemment déployé des logiciels malveillants qui ont échappé à la détection avancée, et ciblé des organisations partout dans le monde, compromettant ainsi des entreprises œuvrant dans divers secteurs d’activité.

En décembre 2022, des spécialistes  de la cybersécurité détectaient un incident suspect sur le serveur d’un de ses clients, avec la découverte de trois fichiers douteux. Ces fichiers ont déclenché une séquence de tâches qui ont conduit au chargement de la bibliothèque komar65, aussi appelée BUGHATCH.

BUGHATCH est une porte dérobée sophistiquée qui se déploie dans la mémoire du processus. Le programme exécute un bloc de shellcode intégré dans l’espace mémoire qui lui est alloué à l’aide de l’API Windows, qui comprend diverses fonctions. Il se connecte ensuite à un serveur de commande et de contrôle (C2) en attente d’autres instructions. Il peut recevoir des commandes pour télécharger des logiciels tels que Cobalt Strike Beacon et Metasploit. L’utilisation de Veeamp dans l’attaque suggère fortement l’implication de Cuba dans le déploiement de cette attaque.

Un moustique dans le serveur

Le fichier PDB fait notamment référence au dossier « komar », un mot russe signifiant « moustique », ce qui indique la présence potentielle de membres russophones au sein du groupe. En menant une analyse plus poussée, des experts ont découvert d’autres modules distribués par Cuba, qui améliorent les fonctionnalités du logiciel malveillant. L’un de ces modules est chargé de collecter des informations sur le système, qui sont ensuite envoyées à un serveur via des requêtes HTTP POST.

Poursuivant son enquête, les chercheurs ont identifié de nouveaux échantillons de logiciels malveillants attribués au groupe Cuba sur VirusTotal. Certains de ces échantillons étaient passés entre les mailles de la détection avancée fournie par d’autres fournisseurs de sécurité. Ces échantillons représentent de nouvelles itérations du logiciel malveillant BURNTCIGAR, exploitant des données cryptées pour échapper à la détection antivirus.

« Les gangs de ransomware comme Cuba évoluent rapidement, tout en affinant leurs tactiques, il est donc essentiel de rester à l’avant-garde pour contrer efficacement les attaques potentielles. Face à l’évolution constante du paysage des cybermenaces, la connaissance est l’ultime défense contre les groupes cybercriminels émergents« , a déclaré Kaspersky.

Cuba est une souche de ransomware à fichier unique, difficile à détecter, car elle fonctionne sans bibliothèques additionnelles. Ce groupe russophone est connu pour sa victimologie étendue, et cible des secteurs tels que la vente au détail, la finance, la logistique, les agences gouvernementales et la fabrication en Amérique du Nord, en Europe, en Océanie et en Asie. Les agents malveillants œuvrant au sein de Cuba utilisent un mélange d’outils publics et propriétaires, mettent régulièrement à jour leur boîte à outils et utilisent des tactiques telles que BYOVD (Bring Your Own Vulnerable Driver).

L’une des caractéristiques de leur opération consiste à modifier les dates et les heures des fichiers compilés afin d’induire les enquêteurs en erreur. Par exemple, certains échantillons trouvés en 2020 avaient une date de compilation du 4 juin 2020, alors que les horodatages de versions plus récentes étaient affichés comme étant datées du 19 juin 1992. Leur approche unique consiste non seulement à crypter les données, mais aussi à adapter les attaques pour extraire des informations sensibles, telles que des documents financiers, des relevés bancaires, des comptes d’entreprise et du code source. Les entreprises de développement de logiciels sont particulièrement exposées. Bien que Cuba soit sous les feux des projecteurs depuis un certain temps maintenant, ce groupe reste dynamique et affine constamment ses techniques.

Chiffrement, Cybersécurité

Scanner les internautes pour lutter contre la pédopornographie

Plus de 150 scientifiques ont signé une lettre ouverte exprimant leurs inquiétudes concernant une proposition de la Commission européenne. Cette proposition demanderait aux plates-formes technologiques de scanner automatiquement les appareils des utilisateurs à la recherche de contenu pédopornographique. Les scientifiques soulignent les problèmes potentiels liés à la cybersécurité et à la confidentialité, ainsi que les limites techniques de cette approche.

Inquiétudes concernant la proposition de scannage des appareils : La proposition de la Commission européenne vise à lutter contre la pédopornographie en exigeant que les services de messagerie, tels que WhatsApp, scannent les messages à la recherche de contenu interdit. Les scientifiques mettent en évidence le fait que la principale méthode actuelle de détection de la pédopornographie consiste à comparer les images existantes avec une base de données d’images hashées. Cependant, cette approche peut être contournée en apportant de légères modifications aux images. De plus, la proposition exige que les nouvelles images soient scannées à la recherche de comportements de grooming grâce à l’utilisation de l’apprentissage machine. Bien que cette méthode puisse être précise, elle entraîne également des erreurs et des faux positifs, ce qui peut avoir un impact considérable sur la confidentialité des utilisateurs.

Conséquences pour la vie privée et la cybersécurité : Les auteurs de la lettre ouverte expriment leurs préoccupations quant à l’impact de la proposition sur le cryptage bout-à-bout, une mesure de protection de la confidentialité de plus en plus utilisée dans les services de messagerie. La proposition suggère l’utilisation du « client-side scanning » (CSS), qui impliquerait le suivi des activités de l’utilisateur sur son appareil. Les scientifiques craignent que cela puisse être utilisé à des fins abusives et entraîner une surveillance généralisée. De plus, ils soulignent le risque de mission creep, où le CSS pourrait être utilisé non seulement pour détecter des contenus pédopornographiques, mais également pour d’autres formes de criminalité ou pour restreindre la liberté d’expression.

Réflexions !

Les scientifiques cosignataires de la lettre mettent en garde contre les conséquences potentiellement négatives de la proposition de la Commission européenne sur la vie privée et la cybersécurité des citoyens de l’UE. Ils soulignent que cette approche ne garantit pas une réelle efficacité dans la lutte contre la pédopornographie, car les auteurs de tels contenus pourraient simplement chercher refuge ailleurs. La réglementation proposée suscite donc des préoccupations quant à son respect de la vie privée et à sa faisabilité technique. Il est essentiel de trouver un équilibre entre la protection des victimes de la pédopornographie et le respect des droits fondamentaux des utilisateurs.

Les critiques de la proposition soulignent également que des approches alternatives pour lutter contre la pédopornographie sont disponibles. Par exemple, la collaboration étroite entre les autorités compétentes et les plateformes technologiques pourrait permettre de signaler rapidement et efficacement tout contenu illicite. De plus, des mesures préventives telles que l’éducation et la sensibilisation du public pourraient contribuer à réduire la diffusion de ce type de contenu.

Chiffrement, Cybersécurité, Securite informatique

Proxy jacking : détournement SSH

Proxy jacking : Des hackers malveillants détournent les serveurs SSH en les attachant à un réseau proxy.

Les attaques en ligne sont devenues une préoccupation majeure pour les entreprises et les utilisateurs individuels. Une nouvelle menace a été identifiée par les experts d’Akamai Technologies, mettant en évidence une campagne de proxy jacking qui cible les serveurs SSH vulnérables. Les attaquants exploitent les serveurs pour lancer un service Docker qui utilise la bande passante de la victime pour alimenter un réseau proxy commercial.

Cette technique, moins visible que le cryptojacking, offre aux attaquants un moyen discret de générer des avantages financiers en utilisant la bande passante des victimes. Dans cet article, nous allons examiner de plus près cette menace croissante et discuter des mesures que vous pouvez prendre pour protéger vos serveurs SSH contre les attaques de proxy jacking.

Les attaques de proxy jacking

Les attaques de proxy jacking sont une méthode sophistiquée utilisée par les attaquants pour détourner les serveurs SSH vulnérables. Une fois qu’ils ont obtenu un accès à distance au système, les attaquants déploient un service Docker qui partage le canal Internet de la victime avec un réseau proxy commercial. Contrairement au cryptojacking, cette attaque est beaucoup moins visible, ce qui réduit considérablement le risque de détection précoce. Les attaquants utilisent cette méthode pour obtenir des avantages financiers en exploitant la bande passante supplémentaire de la victime, pour laquelle ils reçoivent une récompense du propriétaire du service proxy.

Les chercheurs notent que, contrairement au cryptojacking, de telles attaques sont beaucoup plus discretes : elles chargent beaucoup moins de ressources, ce qui réduit le risque de détection. L’objectif : obtenir des avantages financiers, seuls les proxyjackers n’utilisent pas la puissance de l’ordinateur, mais la bande passante supplémentaire de la victime, pour laquelle ils reçoivent une récompense du propriétaire du service proxy – comme Peer2Profit ou Honeygain.

Le rôle des services proxy

Les services de proxy de trafic sont des outils légaux couramment utilisés par les annonceurs et d’autres utilisateurs. Les participants à ces réseaux proxy installent volontairement un logiciel spécialisé sur leurs machines, permettant ainsi le partage de leur bande passante inutilisée avec d’autres appareils. Malheureusement, ces outils et services ne sont pas à l’abri des abus. Les attaquants exploitent depuis longtemps les proxys pour masquer la source du trafic malveillant et recherchent activement des services qui offrent un anonymat similaire.

Détection d’une campagne de proxy jacking

Dans cette campagne de proxy jacking, les pirates informatiques ont réussi à installer un script Bash obscurci après avoir détourné un serveur vulnérable. Ce script recherche et met fin à tous les processus concurrents, puis lance un service Docker pour partager la bande passante de la victime. Une analyse plus approfondie a révélé que le logiciel malveillant obtenait toutes les dépendances nécessaires du serveur Web compromis, y compris un outil de ligne de commande Curl déguisé en fichier CSS (csdark.css). (Akamai)

Chiffrement, cryptage, Cybersécurité

Promulgation de la loi Quantum Computing Cybersecurity Readiness Act

Le président américain Joe Biden met en place la loi Quantum Computing Cybersecurity Preparedness Act. Elle est censée protéger les systèmes et les données du gouvernement fédéral contre la menace de violations de données utilisant la technologie quantique.

Alors que des scientifiques chinois ont annoncé le crack de mots de passe (RSA) grâce au calcul quantique, les Etats-Unis se préparent à s’armer d’une loi pour se protéger ! La loi, baptisée Quantum Computing Cybersecurity Preparedness Act (QCCRA), est conçue pour protéger les systèmes et les données du gouvernement fédéral contre la menace de violations de données utilisant la technologie quantique. Cette loi porte sur la migration des systèmes informatiques des agences exécutives vers la cryptographie post-quantique.

La cryptographie post-quantique est un chiffrement suffisamment puissant pour résister aux attaques des ordinateurs quantiques développés à l’avenir. La loi ne s’applique pas aux systèmes de sécurité nationale.

Une fois que les National Institutes of Standards and Technology (NIST) ont publié des normes de cryptographie post-quantique, l’OMB publiera des directives exigeant que chaque agence exécutive élabore un plan de migration des technologies de l’information de l’agence vers la cryptographie post-quantique.

Les ordinateurs quantiques peuvent casser les algorithmes cryptographiques existants. Les experts estiment que l’informatique quantique atteindra ce stade dans les 5 à 10 prochaines années, rendant potentiellement toutes les informations numériques vulnérables aux acteurs de la cybermenace avec les protocoles de cryptage existants.

La loi (H.R. 7535) oblige chaque agence de créer et de maintenir une liste à jour des technologies de l’information utilisées pouvant être vulnérables au déchiffrement par des ordinateurs quantiques. Elles doivent également créer un processus d’évaluation des progrès de la transition des systèmes informatiques vers la cryptographie post-quantique. Ces exigences doivent être remplies dans les six mois suivant l’adoption de la loi.

Des experts chinois cassent le cryptage RSA à l’aide d’ordinateurs quantiques

Un groupe de chercheurs chinois a surpris la communauté de la cybersécurité en affirmant qu’ils avaient réussi à casser le type de cryptage le plus répandu sur le Web, le RSA. Pour cela, les experts ont utilisé des ordinateurs quantiques, bien qu’il soit généralement admis qu’ils ne constituent pas actuellement une menace pour l’ algorithme RSA.

Le Financial Times écrit sur la percée des spécialistes chinois. Fin décembre, les chercheurs ont publié un article (PDF) détaillant une méthode de craquage de l’algorithme RSA à l’aide d’un ordinateur quantique équipé de seulement 372 qubits (bits quantiques).

Rappelons que RSA est au cœur d’une grande partie du chiffrement en ligne. Les rapports d’un piratage réussi ont alerté les spécialistes de la sécurité de l’information, car IBM a promis cette année de mettre à la disposition des clients l’ordinateur quantique le plus puissant, le système Osprey à 433 qubits.

Il n’est pas difficile d’imaginer ce qui attend RSA dans ce cas : il ne survivra tout simplement pas. Roger Grimes, l’un des vénérables experts dans le domaine de la cybersécurité, a noté qu’il s’agit d’un moment très important dans l’histoire de la sphère de la cybersécurité (si les affirmations des experts chinois s’avèrent vraies). « En fait, cela signifie que les autorités d’un pays pourront révéler les secrets d’autres pays. », souligne Grimes.

On comprend mieux le choix des Américains de se pencher, rapidement, sur la Quantum Computing Cybersecurity Preparedness Act.

Chiffrement, cyberattaque

Ransomware : 4 entreprises sur 10 ne récupèrent pas toutes leurs données

Plus de 4 entreprises sur 10 ne récupèrent pas toutes leurs données après le versement d’une rançon. Plus d’un tiers des entreprises ayant payé une rançon ont été visées une seconde fois par des cybercriminels.

En complément de son Rapport 2022 sur la gestion des cyber risques, Hiscox, assureur spécialiste de la protection cyber pour les petites et moyennes entreprises, a dévoilé un nouveau focus dédié aux ransomwares. Pour rappel, le business des assurances cyber s’est vue renforcée, en décembre, avec la possibilité pour les entreprises impactées par un ransomware (ou une cyber attaque) d’être remboursée par leur assureur. L’assureur Hiscox met en évidence les limites du paiement des rançons par les entreprises : 59% des entreprises ayant payé une rançon à des cybercriminels n’ont pas réussi à récupérer toutes leurs données.

Les statistiques montrent que le paiement des rançons ne résout pas tous les problèmes. Il n’est, par exemple, souvent pas possible de restaurer pleinement son système informatique ou d’éviter une fuite des données. Le rapport montre qu’il est plus efficace d’investir dans la mise en œuvre d’une cyber défense solide – en maintenant les logiciels à jours, en organisant des formations internes régulières, en sauvegardant fréquemment ses données – ainsi que dans la préparation d’une réponse appropriée en cas d’attaque, plutôt que de payer systématiquement les cybercriminels.

Un chiffre est particulièrement éloquent : plus d’un quart (26%) des entreprises qui ont payé une rançon dans l’espoir de récupérer leurs données l’ont fait parce qu’elles n’avaient pas de sauvegardes.

Outre la perte de données, une part significative des entreprises ayant payé les rançons a été confrontée à d’autres problèmes :
43 % ont dû reconstruire leurs systèmes, alors même qu’elles avaient reçu la clé de déchiffrement
36 % ont subi une autre attaque par la suite
29 % ont vu leurs données divulguées
Dans 19 % des cas, le pirate a ensuite exigé plus d’argent
Dans 15 % des cas, la clé de déchiffrement n’a pas fonctionné
Plus d’un quart (26 %) a estimé que l’attaque avait eu un impact financier important, menaçant la solvabilité et la viabilité de leur entreprise.

Chiffrement, Cybersécurité

Vulnérabilité à pirate pour Microsoft Office 365 Message Encryption

Une faille dans l’outil Microsoft Office 365 Message Encryption peut permettre à des hackers malveillants d’accéder à vos courriels. Il n’existe, pour le moment, encore aucun correctif.

Microsoft Office 365 Message Encryption (OME) permet aux entreprises d’envoyer des e-mails chiffrés en interne et en externe. Cette solution utilise l’implémentation Electronic Codebook (ECB) – un mode de fonctionnement connu pour laisser fuiter certaines informations structurelles sur les messages.

En collectant suffisamment d’e-mails OME, des hackers peuvent déduire partiellement ou totalement le contenu des messages. Pour ce faire, ils doivent analyser l’emplacement et la fréquence des séquences répétées dans les messages individuels, puis faire correspondre ces séquences à celles trouvées dans d’autres e-mails et fichiers OME.

« Les hackers qui parviennent à mettre la main sur plusieurs messages peuvent utiliser les informations ECB fuitées pour déchiffrer le contenu de ces messages. Plus le hacker dispose d’un nombre important d’e-mails, plus ce processus est facile et précis. Ils peuvent mener cette opération soit en mettant la main sur des archives d’e-mails volés lors de violations de données, soit en s’introduisant sur un compte ou un serveur de messagerie, soit en accédant aux sauvegardes », explique Harry Sintonen, consultant et chercheur en sécurité chez WithSecure, qui a découvert le problème.

Les pirates peuvent mener une analyse tout en étant hors ligne, et donc compromettre des archives d’anciens messages. Malheureusement, les entreprises n’ont aucun moyen d’empêcher un hacker en possession des e-mails d’en compromettre le contenu en utilisant cette méthode.

Il n’est pas non plus nécessaire de connaître les clés de chiffrement pour effectuer l’analyse. Et l’utilisation d’un système BYOK (Bring Your Own Key) ne résout pas le problème.

Harry Sintonen a partagé ses recherches avec Microsoft en janvier 2022. Microsoft a reconnu le problème mais… aucun correctif n’a cependant été publié depuis !

Les entreprises peuvent choisir de renoncer à utiliser cette fonctionnalité mais le risque que des hackers accèdent à des e-mails existants déjà chiffrés avec OME demeure.

Toute entreprise dont le personnel utilisait OME pour chiffrer les e-mails est coincée. Pour celles qui sont soumises à des exigences de confidentialité dans le cadre de contrats ou de réglementations locales, cela peut créer des problèmes. Et il y a, évidemment, les risques liés au vol de données lui-même, ce qui en fait un souci majeur pour les organisations.

Il n’existe donc pas de correctif publié par Microsoft, et aucun mode de fonctionnement plus sécurisé n’est disponible pour les administrateurs de messagerie ou les utilisateurs. Bref, en attendant et quand cela est possible, il est recommandé d’éviter d’utiliser OME pour assurer la confidentialité des e-mails.

Chiffrement, Cybersécurité

Ransomware : la rançon moyenne est de 925 162 dollars

Le montant moyen des paiements de rançons suit à une cyberattaque approche rapidement le million de dollars alors que la crise des rançongiciels continue de faire des ravages dans les organisations de toutes tailles à travers le monde.

Les rançons ne cessent d’augmenter à la fois en ce qui concerne les demandes que les paiements. Parmi les cas de réponse aux incidents en 2021, qui se trouvaient principalement aux États-Unis, la rançon moyenne demandée était d’environ 2,2 millions de dollars. Cela représente une augmentation d’environ 144 % par rapport à la demande moyenne de 900 000 $ des cas traités en 2020 par les consultants de l’Unit 42. Le paiement moyen des dossiers traités par les experts de l’Unit 42 ont grimpé à 541 010 $, soit 78 % de plus que l’année précédente.

Il semble que personne ne soit à l’abri des attaques de ransomwares comme le montre le blog ZATAZ. Les organisations dans presque tous les pays et secteurs ont été ciblées en 2021. L’analyse des sites de fuite de ransomwares a identifié la région des Amériques comme la plus touchée – 60 % des victimes recensées sont identifiés dans cette région, tandis que 31 % des victimes sont attribuées à l’Europe, au Moyen-Orient et à l’Afrique (EMEA) et 9% à l’Asie-Pacifique. Les services professionnels et juridiques, suivis de la construction, ont été les secteurs les plus ciblés, avec respectivement 1 100 et 600 victimes recensées sur les sites de fuite.

Les effets à long terme d’une attaque par rançongiciel peuvent représenter un défi pour les organisations. Parmi les entreprises touchées par les ransomwares, une majorité (58 %) des décideurs informatiques déclarent que leur l’organisation a payé la rançon, 14 % déclarant que leur organisation a payé plus d’une fois. Sans parler de celle qui ne souhaite pas que cela se sache et son prêt à menacer les lanceurs d’alertes.

Le rapport indique que, bien que 41 % des entreprises touchées par une attaque par ransomware aient pu récupérer en moins d’un mois, 58% ont pris plus d’un mois. 29% des entreprises interrogées attaquées par des ransomwares ont pris plus de trois mois, et 9 % ont dit qu’il leur a fallu plus de cinq à six mois pour revenir à la normale.

Les tactiques employées par ces cybercriminels reflètent la sophistication croissante et maturité du paysage des rançongiciels.

Multi-extorsion en hausse

Techniques de multi-extorsion où non seulement les attaquants chiffrent les dossiers d’une organisation, mais pratiquent aussi le « name and shame » (chantage aux victimes et/ou menacer de lancer d’autres attaques (par exemple, l’attaque DDoS) pour inciter les victimes à payer plus rapidement. En 2021, les noms et preuve de compromis pour 2 566 victimes ont été affichés publiquement sur sites de fuite de ransomware, marquant une augmentation de 85% par rapport à 2020.
​​​​
La prolifération des RaaS (Ransomware as a Services) avec la mise à disposition de « kits » et services de soutien aux cybercriminels qui réduisent leurs barrières techniques et leur permettent d’accélérer et multiplier leurs attaques.

Les principaux gangs de rançongiciels ont rapidement exploité la vulnérabilité CVE-2021-44228, communément appelée Log4Shell.

Il est fort probable que tant que les organisations ne parviendront pas à appliquer les correctifs connus pour ces vulnérabilités critiques, les attaquants continueront à les exploiter à leur avantage.

backdoor, Chiffrement, cyberattaque

Faire face aux attaques de ransomware de type « Living Off the Land »

Les cyberattaques de type « living off the land » (ou LotL) constituent désormais l’une des menaces les plus redoutables pour les entreprises. La récente campagne de ransomware contre Kaseya n’est ainsi que le dernier exemple en date, dans lequel les cybercriminels ont utilisé les ressources technologiques de l’organisation contre elle. Ces types d’attaques procurent en effet aux cybercriminels deux leviers clés : l’accès et le temps.

Si ces attaques LotL ne se concluent pas toujours par un ransomware, les deux vont de plus en plus souvent de pair et sont aussi difficiles à évaluer qu’à prévenir. Une stratégie de protection efficace commence donc par une solide compréhension de ce qui constitue une attaque par ransomware LotL et des dommages qu’elle peut causer.

Dès 2017, les attaques de malwares sans fichier ont commencé à attirer l’attention du grand public après la divulgation de rapports faisant état d’infections de systèmes IT de plusieurs grandes organisations. Or, ces malwares sans fichier ont rendu possibles les attaques LotL. En éliminant la nécessité de stocker la charge utile malveillante dans un fichier, ou de l’installer directement sur une machine, les cybercriminels peuvent alors échapper aux antivirus, et aux autres outils traditionnels de sécurité des terminaux. Ils se déplacent ensuite latéralement dans l’environnement, en escaladant les privilèges et en dévoilant de nouveaux niveaux d’accès, jusqu’à ce qu’ils atteignent le but ultime : les systèmes, les applications et les bases de données contenant des actifs commerciaux essentiels, tels que les données clients, la propriété intellectuelle, les ressources humaines.

Malwares sans fichier

Pour se maintenir dans les systèmes sans être détectés, ces malwares sans fichier se font souvent passer pour un outil de confiance doté de privilèges et d’accès élevés. Cela permet aux attaquants de surveiller l’environnement, de récupérer des identifiants, en prenant tout le temps nécessaire. Il est extrêmement difficile d’identifier, et encore plus d’arrêter, ces attaques, surtout s’il s’agit d’un ransomware sophistiqué qui cible spécifiquement l’organisation. Pour y faire, il n’y a pas d’autre choix que de penser comme des attaquants, tout en gardant à l’esprit qu’une campagne n’est pas nécessairement identique à une autre. Le cheminement des attaques LotL n’est en effet pas linéaire. L’objectif est donc de déchiffrer l’environnement et de développer une approche fondée sur ce qui s’y trouve.

La plupart des attaques LotL suivent ainsi un schéma similaire : usurper des identités pour s’infiltrer dans un réseau d’entreprise, compromettre des systèmes, élever des privilèges et se déplacer latéralement jusqu’à obtenir l’accès aux systèmes sensibles nécessaires à l’exécution de l’attaque ou à la propagation du ransomware. Mais à chaque étape, il existe des possibilités divergentes qui rendent le suivi et l’anticipation de ces attaques très complexes. Les équipes IT doivent donc bénéficier des outils nécessaires pour décomposer les comportements et les indicateurs d’alerte à surveiller, lors des étapes critiques d’une attaque par ransomware LotL, et ce, afin d’accélérer la détection et de réduire l’exposition et les dommages.

Cependant, compte tenu du nombre de techniques éprouvées dont disposent les cybercriminels, il peut se révéler difficile de savoir comment traiter les points de vulnérabilité ou par où commencer. L’élaboration d’une stratégie de protection efficace contre les ransomwares exige des organisations qu’elles étudient les maillons de la chaîne d’attaque qui présentent les niveaux de risque les plus élevés et qu’elles les classent par ordre de priorité. Ainsi, une sécurisation des terminaux à plusieurs niveaux – combinant la défense par le moindre privilège, l’authentification forte des identités, la protection contre le vol d’informations d’identification, le contrôle des applications et le blocage des ransomwares – compliquera considérablement la tâche des hackers qui voudront s’introduire et maintenir leur présence. Car une fois qu’ils ont un pied dans le réseau informatique, il leur est facile de brouiller les pistes et d’intensifier leur action. (Par Ketty Cassamajor, Responsable Avant-Vente Europe du Sud chez CyberArk)

Chiffrement, Cybersécurité, Fuite de données

Le ransomware Ryuk cible désormais les serveurs Web

Nouvelles conclusions sur les opérations stratégiques du groupe Ransomware-as-a-Service – Ryuk. Ryuk est un ransomware exclusivement utilisé dans des attaques ciblées – détecté comme Ransom-Ryuk –  il chiffre les fichiers d’une machine et demande un paiement en crypto-monnaie Bitcoin pour divulguer les clés utilisées lors du chiffrement. Les résultats dévoilent que ce nouvel échantillon Ryuk cible également les serveurs Web.

Le ransomware a pour la première fois été observé en août 2018 lors d’une campagne qui a ciblé plusieurs entreprises. L’analyse des premières versions du ransomware a révélé des similitudes et un code source partagé avec le ransomware Hermes – un malware vendu sur des forums clandestins, qui a été utilisé par de multiples acteurs malveillants.

Pour chiffrer les fichiers, Ryuk utilise une combinaison de chiffrement symétrique AES (256 bits) et asymétrique RSA (2048 bits ou 4096 bits). La clé symétrique est utilisée pour chiffrer le contenu du fichier, tandis que la clé publique asymétrique est utilisée pour chiffrer la clé symétrique. Lors du paiement de la rançon, la clé privée asymétrique correspondante est révélée, ce qui permet de déchiffrer les fichiers cryptés.

En raison de la nature ciblée du ransomware Ryuk, les premiers vecteurs d’attaque sont adaptés à la victime. Parmi eux, les plus courants sont : les emails d’harcèlement, l’exploitation d’identifiants compromis pour accéder à des systèmes à distance. À titre d’exemple, la combinaison d’Emotet et de TrickBot a souvent été observée dans les attaques de Ryuk.

Se protéger des ransomwares

Les équipes IT doivent être à l’affût de toutes traces et comportements en corrélation avec des outils de pentest open source tels que winPEAS, Lazagne, Bloodhound et Sharp Hound, ou des cadres de piratage tels que Cobalt Strike, Metasploit, Empire ou Covenant, ainsi que du comportement anormal d’outils non malveillants avec un double usage. Ces outils considérés légitimes (comme ADfind, PSExec, PowerShell, etc.) peuvent être utilisés pour l’énumération et l’exécution. Il faut également être attentif à l’utilisation anormale de Windows Management Instrumentation WMIC (T1047).

En examinant d’autres familles similaires de Ransomware-as-a-Service, l’équipe de recherche McAfee Entreprise a réalisé que certains vecteurs d’entrée sont assez courants chez les criminels du ransomware :

  • Le Spear Phishing (T1566.001) est souvent utilisé pour  s’insérer directement au sein d’un réseau. L’e-mail de phishing peut également être lié à une souche de malware différente, qui sert de chargeur et de point d’entrée aux attaquants pour continuer à compromettre le réseau de la victime. Ce phénomène a été observé dans le passé avec des programmes comme Trickbot et Ryuk ou Qakbot et Prolock, etc.
  • L’exploitation d’applications  grand public (T1190) est un autre vecteur d’entrée courant, car les cybercriminels s’informent sur les dernières annonces (cyber)sécurité et sont toujours à l’affût d’une nouvelle tentative. Les entreprises doivent être rapides et diligentes lorsqu’il s’agit d’appliquer les mises à jour de solutions de sécurité. Il existe de nombreux exemples dans le passé où des vulnérabilités concernant des logiciels d’accès à distance, des serveurs web, des équipements de périphérie de réseau et des pare-feu ont été utilisées comme point d’entrée.
  • L’utilisation de comptes valides (T1078) a toujours été une méthode éprouvée par les cybercriminels pour s’immiscer au sein de différents réseaux. L’accès RDP faiblement protégé est un excellent exemple de cette méthode d’entrée.
  • Les Infostealers (logiciel malveillant) peuvent également obtenir des comptes valides en volant les identifiants sur l’ordinateur d’une victime. Les journaux d’Infostealer contenant des milliers d’identifiants peuvent être achetés par les criminels du ransomware pour rechercher des identifiants VPN et d’entreprise. C’est pourquoi, les organisations doivent absolument disposer d’un système robuste de gestion d’identifiants et d’authentification automatique des comptes utilisateurs.

Principales conclusions :

  • Le ransomware Ryuk est exclusivement utilisé dans des attaques ciblées
  • Le dernier échantillon cible désormais les serveurs web
  • La nouvelle note de rançon invite les victimes à installer le navigateur Tor pour faciliter le contact avec les acteurs malveillants
  • Après le chiffrement du fichier, le ransomware imprime 50 copies de la note de rançon sur l’imprimante par défaut.
Chiffrement, Cybersécurité

La menace cyber la plus présente pour les MSP

Les rançongiciels, la menace cyber la plus présente pour les PME. Les décideurs MSP qui gèrent les systèmes informatiques des petites et moyennes entreprises face à un danger très présent.

Un ransomware (ou rançongiciel en français) est un logiciel informatique malveillant qui prend en otage les données et/ou fichiers. Ce logiciel chiffre et bloque les fichiers que contiennent un ordinateur et demande une rançon en échange d’une clé qui permet de les déchiffrer.

Les PME, une cible de choix pour les pirates informatiques

En général, les grandes entreprises ont des systèmes de sécurité plus avancés, alors que les petites entreprises n’ont pas les moyens et les ressources pour sérieusement sécuriser leur parc informatique. Et les hackers l’ont bien compris.

Le nombre d’attaques de rançongiciels contre les PME est en augmentation. Quatre-vingt-cinq pour cent des MSP ont signalé des attaques contre des PME en 2019, contre 79 pour cent des MSP qui ont signalé la même chose en 2018.

De plus, il existe une réelle déconnexion sur l’importance des ransomwares en tant que menace. 89% des MSP indiquent que les PME devraient être très préoccupées par la menace des ransomwares. Cependant, seulement 28% des MSP déclarent que les PME sont très préoccupées par la menace.

Les MSP également dans le viseur

Les MSP sont également une cible privilégiée des attaques de ransomwares. Quatre MSP sur cinq déclarent être de plus en plus ciblés par des attaquants.

Cependant, seulement la moitié des MSP ont une expertise externe disponible pour les aider en cas d’attaque à grande échelle contre eux ou leurs clients.

«Les MSP doivent donner le ton à leurs clients PME lorsqu’il s’agit de se préparer et de répondre aux attaques de ransomwares», a déclaré Ryan Weeks, directeur de la sécurité de l’information chez Datto.

Comment s’en protéger ?

Il existe de nombreuses recommandations pour diminuer le risque d’attaque telles que former les employés aux risques de cybersécurité, mettre à jour les systèmes, renforcer les politiques de mots de passe etc. Cependant, et surtout en sécurité informatique, le risque zéro n’existe pas.

Il existe trois scenarios de défense pour ce type d’attaque :

  • Atténuation des risques: Il s’agit de mettre en place des solutions pour diminuer le risque d’attaque. L’authentification multifacteur est l’un des contrôles les plus efficaces pour se protéger contre les accès non autorisés.
  • Préparation d’un processus de récupération: Ici, il s’agit de se préparer en cas d’attaque et de réagir après l’attaque. Il ne faut surtout pas payer la rançon car vous n’êtes pas sûrs de récupérer vos données. Votre plus belle arme est d’effectuer une sauvegarde régulière de vos données afin de s’assurer de récupérer l’intégralité de vos données.
  • Détection et approche proactive: Cette approche consiste à détecter et arrêter l’attaque avant que tout dommage ne soit causé. Si vous avez en place un système pour détecter les attaques de ransomware, vous pouvez y mettre un stop avant le chiffrement de vos données.

En savoir plus…

Pour en savoir plus sur ce sujet, n’hésitez pas à vous inscrire gratuitement à la conférence en ligne organisée par BeMSP puis à participer à la session animée par FileAudit le 7 juillet à 14h30 : « Sécuriser simplement les PME contre les activités malveillantes en mode MSP ».

Intervenants :

backdoor, Chiffrement, Cybersécurité

Tycoon, le ransomware qui infiltre les petites et moyennes entreprises dans les domaines de l’éducation et du logiciel

Le rançongiciel Tycoon tente d’infiltrer de petites et moyennes entreprises dans les domaines de l’éducation et du logiciel.

La société Blackberry Research & Intelligence vient de publier une étude concernant le ransomware Tycoon. La découverte d’une « nouvelle » souche montre que les attaquants deviennent de plus en plus créatifs et ont des programmes R&D qui ne se cachent plus.

Jusqu’à présent, les acteurs de cette menace ont utilisé ce rançongiciel pour infiltrer de petites et moyennes entreprises dans les domaines de l’éducation et du logiciel. Ce code malveillant utilise un format d’image inhabituel afin de passer inaperçu (Java IMAGE). Il verrouille les accès des administrateurs systèmes en attaquant leur contrôleur de domaine et leurs serveurs de fichiers. La typologie des victimes et le texte de rançon suggèrent un lien avec le ransomware Dharma/CrySIS.

Les pirates désactivent les solutions anti-malware à l’aide de l’utilitaire ProcessHacker. Ensuite, ils modifient les mots de passe des serveurs Active Directory. Cela laisse la victime incapable d’accéder aux systèmes infiltrés.

Le rançongiciel Tycoon se présente sous la forme d’une archive ZIP contenant une version JRE (Trojanized Java Runtime Environment). Le malware est compilé dans un fichier image Java (JIMAGE) situé dans lib\modules.

Il semble exister plusieurs versions de ce code malveillant. Il rajoute comme extension aux documents pris en otage : .grinch ou encore .thanos.

Les victimes, des cibles classiques. Plus fragile à une cyber attaque et plus à même de payer face à la perte de toutes leurs données. A lire, à ce sujet, une technique employée par les pirates opérateurs du ransomware Sodinokibi, découverte par la société en cyber sécurité de Montréal The 8 Brains, à destination des particuliers, PME et étudiants.

Chiffrement, Cybersécurité

Zoom acquiert Keybase, spécialiste du chiffrement, et annonce son objectif de développer l’offre de chiffrement de bout en bout la plus utilisée par les entreprises

Zoom acquiert Keybase, spécialiste du chiffrement, et annonce son objectif de développer l’offre de chiffrement de bout en bout la plus utilisée par les entreprises

Zoom Video Communications, Inc., spécialiste de la visioconférence dans le cloud et Keybase annoncent aujourd’hui que Zoom a fait l’acquisition de Keybase, un service de messagerie et de partage de fichiers sécurisé. L’acquisition de ce spécialiste en sécurité et en chiffrement permettra d’accélérer le plan que Zoom s’est fixé pour construire un chiffrement de bout en bout pouvant accompagner la croissance actuelle de la société.

« Il existe aujourd’hui des plateformes de communication chiffrées de bout en bout, des plateformes dont la sécurité peut être facilement déployée et des plateformes répondant aux besoins des entreprises à très grande échelle. Nous pensons toutefois qu’aucune offre sur le marché ne propose actuellement tous ces éléments réunis. Et c’est ce que Zoom souhaite construire, en offrant à ses utilisateurs, dans un même produit, sécurité, facilité d’utilisation et évolutivité. », a déclaré Eric S. Yuan, PDG et fondateur de Zoom. « La première étape consiste à réunir les bonnes personnes. Keybase apporte à Zoom une expertise approfondie en matière de chiffrement et de sécurité, et nous sommes ravis d’accueillir Max et son équipe. L’arrivée d’un groupe cohésif d’ingénieurs en sécurité comme celui-ci fait considérablement avancer notre plan de 90 jours pour renforcer nos efforts en matière de sécurité ».

« Keybase est ravie de rejoindre l’équipe Zoom », a déclaré Max Krohn, co-fondateur et développeur de Keybase.io. « Notre équipe est passionnée par la sécurité et le respect de la vie privée. C’est un honneur de pouvoir apporter notre expertise en matière de chiffrement à une plateforme telle que Zoom qui est utilisée par des centaines de millions de participants par jour ».

Intégrée à l’équipe d’ingénieurs en charge de la sécurité de Zoom, Keybase jouera un rôle clé dans l’articulation du plan de 90 jours que Zoom s’est fixé pour identifier et traiter les failles potentielles, et ainsi améliorer les capacités de sécurité et de confidentialité de sa plateforme. Max Krohn prend la tête de l’équipe d’ingénieurs en charge de la sécurité de Zoom. Il relèvera directement d’Eric Yuan. Les dirigeants de Zoom et de Keybase travailleront ensemble pour déterminer l’avenir du produit Keybase. Les termes de la transaction n’ont pas été divulgués.

Keybase est une entreprise qui se consacre à la sécurité, au chiffrement, à l’identification forte et à la protection de la vie privée. Keybase propose des services de chat chiffré de bout en bout, de partage de fichiers et d’hébergement de codes, tous basés sur une plateforme de chiffrement capable de supporter plusieurs appareils par utilisateur et des équipes importantes et dynamiques.

A noter que la ville de New-York a levé l’interdiction d’utiliser ZOOM dans les établissements scolaires de la Grosse Pomme.

Chiffrement

COVID19: COMMENT SÉCURISER LE TÉLÉTRAVAIL ?

De plus en plus de cas de Covid 19 (coronavirus) poussent les pays à se confiner, forçant ainsi la majorité des salariés à pratiquer le télétravail. Cette mesure est nécessaire afin de limiter la propagation du virus, mais elle est néanmoins risquée et présente de nombreux risques de cybersécurité.

Télétravail & Cybersécurité: Quels sont les risques?

La majorité des professionnels de l’informatique l’ont bien compris : la télétravail est particulièrement bénéfique mais comporte des risques.

Cette étude nous montre que 92% des professionnels de l’informatique considèrent les avantages du travail à distance plus importants que les risques engendrés.

Cependant, leur approbation du télétravail ne vient pas sans inquiétudes. 90% des personnes interrogées estiment que les travailleurs à distance représentent un risque de sécurité en général et 54% sont convaincus qu’ils présentent un risque plus élevé que les employés travaillant sur site.

Les risques sont nombreux : réseaux non sécurisés, espionnage, piratage, employés exploités… Au final, ils concernent tous la manière dont l’équipe informatique réussi à étendre la sécurité de l’accès au réseau de l’entreprise – et aux données sensibles à l’intérieur.

Comment sécuriser le télétravail ?

La sensibilisation des employés aux enjeux et risques de la sécurité informatique est bien évidemment primordiale. Cependant, elle n’est pas suffisante. Voici quelques mesures à prendre afin de sécuriser vos télétravailleurs.

  1. Mise en place d’un VPN

La mise en place d’un VPN (Virtual Private Network) permet d’ouvrir un tunnel sécurisé entre le poste de travail à distance et le réseau de votre entreprise.

  1. Sécurisation des connexions VPN

Afin de sécuriser les accès utilisateur en dehors du bureau, l’équipe informatique doit être capable de limiter l’accès VPN à seulement certains ordinateurs portables autorisés par l’entreprise. Les tentatives d’accès provenant d’une autre machine doivent alors être refusées.

  1. Surveillance et gestion des sessions RDP

Afin de détecter des accès anormaux, il est important de mettre en place une solution de surveillance de vos sessions à distance (RDP). De plus, des alertes en temps réel et une réponse immédiate vous permettent d’agir avant que tout dommage ne soit causé.

  1. Authentification à deux facteurs (2FA) pour les sessions RDP

La 2FA permet de sécuriser l’accès à votre environnement Windows. Pour les sessions à distance, le besoin est encore plus important. Il est primordial de vérifier l’identité des utilisateurs finaux qui se connectent à un ordinateur (distant ou virtuel) sur le réseau.

Une solution pour sécuriser le télétravail

UserLock atténue le risque de sécurité lié au télétravail et protège contre les accès inappropriés ou suspects. UserLock travaille aux côtés d’Active Directory pour aider les administrateurs à gérer et sécuriser les accès pour tous les utilisateurs (à distance ou sur site), sans frustrer les employés ou gêner le département informatique. Découvrez comment fonctionne cette solution dans cet article.

backdoor, Chiffrement

Snake : un ransomware venu d’Iran ?

Le ransomware Snake capable de prendre en otage des systèmes de contrôle industriels. Le code malveillant viendrait d’Iran.

Le rançongiciel « Snake », comme d’autres du genre, chiffre les programmes et les documents sur les machines infectées. Étonnant, les auteurs présumés de ce code serait Iranien, mais surtout, le logiciel de rançonnage pourrait supprimer les copies de fichiers des stations infectées. Ecrit en langage Golang, il chiffre tous les fichiers qu’il rencontrera.

Snake s’attaque à tous les processus du système liés aux ICS et SCADA. En cas de non paiement, il efface l’ensemble des données. Des chercheurs de la société Israélienne Otorio indique que Snake s’attaque à la compagnie nationale de pétrole de Barheïn, BAPCO (Bahrain Petroleum Co.). La société est mentionnée dans la demande de rançon sauvegardé en fichier texte sur la machine prise en otage.

A noter que le code de Snake s’échange sur certains forums pirates comme a pu le constater la société Québécoise spécialiste en cybersécurité The 8Brains. Code simple, mais efficace face à des entreprises qui n’ont pas pris soin de se protéger… un minimum !

Banque, Chiffrement, Communiqué de presse, Cybersécurité

Pourquoi le niveau de conformité de la sécurité des paiements diminue-t-il ?

Lorsque les entreprises subissent une attaque, celle-ci cible souvent les informations personnelles et financières des clients issues des données des cartes de paiement. La norme de sécurité de l’industrie des cartes de paiement (PCI DSS) a été conçue pour protéger les données de paiement à partir du point d’achat. De manière surprenante, Verizon a observé une chute de la conformité à cette norme au cours des dernières années.

Le rapport sur la sécurité des paiements 2019 de Verizon approfondit cette analyse afin de déterminer la cause de ce phénomène. À l’approche du lancement de la nouvelle version 4.0 de la norme PCI DSS, il explique surtout comment les entreprises peuvent inverser cette tendance en réévaluant leur manière de déployer et structurer leurs programmes de conformité.

Suite au lancement initial de la norme PCI DSS par Visa Inc. en 2004, beaucoup ont supposé que les entreprises parviendraient à atteindre une conformité efficace et durable dans les cinq ans. Aujourd’hui, 15 ans plus tard, le nombre de sociétés parvenant à une conformité durable a chuté de 52,5 % (PSR 2018) à son niveau le plus bas, à peine 36,7 % à l’échelle internationale. Sur le plan géographique, les entreprises de la région APAC (Asie-Pacifique) démontrent une capacité à maintenir leur statut de conformité complète (69,6 %), contre 48 % dans la région EMEA (Europe, Moyen-Orient et Afrique) et à peine 20,4 % (une sur cinq) en Amérique.

Les domaines d’activités à la loupe

L’examen des principaux secteurs d’activité nous permet d’observer la diversité de leur cote de conformité, mais également ce qui leur manque pour parvenir à une conformité complète ainsi que les mesures correctives à adopter par chaque secteur pour améliorer ses performances.

Commerce – Il y a quatre ans, les données des distributeurs étaient le plus souvent compromises au niveau du point de vente. Depuis lors, le lancement aux États-Unis de la technologie EMV (Europay, Mastercard et Visa) semble avoir réduit la proposition de valeur des fraudes aux cartes de paiement, et notre étude a établi que les piratages de données surviennent principalement via les applications Web. Les failles de sécurité n’ont cependant pas été entièrement éradiquées. Les commerçants doivent demeurer vigilants quant à la protection des données des cartes. Leur cote de conformité de 26,3 % est similaire à celle des services informatiques. Parmi leurs lacunes relatives aux exigences de la norme PCI DSS, on compte l’utilisation d’un trop grand nombre de paramètres par défaut des composants du périmètre (exigence 2) et surtout la non-conformité de leur gestion de la sécurité adéquate (exigence 12). Ce phénomène se traduit également par la note la plus faible des secteurs d’activité étudiés obtenue en matière de niveau de préparation aux incidents de piratage de données. En effet, le secteur du commerce peine à identifier les utilisateurs et garantir qu’ils disposent du niveau de privilèges adéquat, faire preuve d’une diligence raisonnable lors des relations avec les prestataires de services, détecter les points d’accès sans fil non autorisés, et gérer un plan de réponse aux incidents.

Secteur hôtelier – Le secteur hôtelier obtient à nouveau la note la plus faible quant au chiffrement des données en transit (exigence 4 de la norme PCI DSS), mais est le seul de l’étude à améliorer ses résultats dans cette catégorie par rapport à l’année précédente. Le secteur hôtelier est également parvenu à mieux se protéger contre les logiciels malveillants (exigence 5). Il présente les progrès les plus notables parmi tous les secteurs d’activité quant à cette exigence en obtenant une conformité de 84,2 %. Le secteur hôtelier est le seul secteur analysé par le PSR 2019 à avoir amélioré ses capacités de contrôle des accès physiques (exigence 9) par rapport à l’année précédente en parvenant à une cote de conformité de 63,2 %. Bien que ce secteur accuse un retard quant à la protection des données des titulaires de cartes stockées (exigence 3), il doit surmonter des difficultés uniques, notamment l’absence de solutions matures conçues pour ce type d’environnement. Les points faibles de l’hôtellerie sont l’identification et l’authentification des utilisateurs, la révision et le test du plan de réponse aux incidents, ainsi que la formation aux responsabilités en cas de piratage.

Finance – Le secteur des services financiers évolue dans un contexte de mutation rapide. Les clients exigent de nouvelles méthodes pour communiquer et effectuer des transactions personnalisées, en particulier via les périphériques mobiles. En parallèle, l’industrie continue d’observer des acteurs issus d’autres secteurs proposer des produits financiers. Au sein de cet environnement très compétitif et régulé, la capacité de protection des données des cartes de paiement fait toute la différence. Les clients s’attendent fortement à ce que les prestataires de services financiers comprennent mieux les besoins de sécurité des paiements que les autres catégories d’entreprises.Les données du PSR suggèrent que le secteur des services financiers se classe en tête quant à la conformité aux exigences de la norme PCI DSS, mais qu’il peut progresser dans le domaine du chiffrement des données en transit (exigence 4) et de la protection contre les logiciels malveillants (exigence 5).

Les conclusions du rapport de cette année font clairement ressortir le fait que de nombreuses entreprises ont encore du chemin à faire pour devenir entièrement conformes, mais qu’elles peuvent y parvenir à l’aide d’outils adéquats et en concentrant leurs efforts sur les points à améliorer. La conformité de la sécurité des paiements est cruciale. Les données du centre VTRAC (Verizon Threat Research Advisory Center) démontrent en outre qu’en l’absence de contrôles adéquats de protection des données, un programme de conformité a plus de 95 % de chances de se révéler transitoire et de devenir potentiellement la cible d’une cyberattaque.

L’étroite corrélation entre l’absence de conformité à la norme PCI DSS et les piratages informatiques fait l’objet de discussions depuis des années. Il n’existe aucun cas documenté publiquement d’une entreprise conforme à la norme PCI DSS ayant subi un piratage de données de cartes de paiement confirmé. La conformité fonctionne ! (Gabriel LEPERLIER – Senior Manager Security Consulting EMEA at Verizon Enterprise Solutions)

Chiffrement, Communiqué de presse

FileAudit, un outil qui peut vous sauver des rançongiciels

Selon le Federal Bureau of Investigation, la police fédérale américaine, les  rançongiciels (ransomwares) sont de plus en plus présent. De plus en plus dangereux. Une préoccupation croissante. La société IS Decisions explique comment avec son outil FileAudit, il devient aisé de détecter et protéger un réseau contre cette d’attaque. 

Pour rappel, un ransomware est un outil qui va chiffrer les données d’un serveur, d’un ordinateur. Il apparaît, le plus généralement, via une pièce jointe proposé dans courriel. missive ouverte par un employé négligent. Par l’exploitation d’une faille de sécurité, un code malveillant est lancé, ce qui permet de télécharger et d’installer un programme sur la machine de la victime.

Le programme contactera ensuite un serveur distant appartenant aux attaquants où une paire de clés de chiffrement asymétrique est générée. La clé privée est conservée sur le serveur attaquant tandis que la clé publique est stockée sur l’ordinateur de la victime. Le programme peut alors commencer à chiffrer tous les documents auxquels l’utilisateur a accès en générant une clé de chiffrement symétrique aléatoire pour chaque fichier. Il va ensuite chiffrer le fichier avec cette clé et ajouter à la fin du fichier la clé de chiffrement chiffrée avec la clé asymétrique publique.

Cela se passe de cette façon, le chiffrement direct des données avec une clé asymétrique est 1 000 fois plus lent qu’avec une clé symétrique, mais dans les deux cas, le résultat est identique. Sans la clé privée, il n’est pas possible de déchiffrer les fichiers. Cela signifie que si la victime ne dispose pas d’une sauvegarde de tous les fichiers cryptés, l’attaquant pourra le forcer à payer une rançon pour obtenir la clé privée.

Se protéger, compliqué ?

Cela signifie que si la victime ne dispose pas d’une sauvegarde de tous les fichiers cryptés, l’attaquant pourra le forcer à payer une rançon pour obtenir la clé privée.

Défense en profondeur face aux rançongiciels

Il existe un certain nombre de mesures pratiques pour contrer et se protéger d’un rançongiciel. D’abord, éduquer vos utilisateurs afin qu’ils n’ouvrent pas les pièces jointes étranges des emails ; Interdire les fichiers portant certaines extensions dans les pièces jointes (Ex : fichiers exécutables, type de fichier non nécessaire dans votre entreprise). Assurer que les programmes autorisés à ouvrir des pièces jointes sont à jour, par exemple. si vous utilisez bien les dernières versions de Microsoft Word ou Acrobat Reader.

Les utilisateurs normaux ne doivent pas être en mesure d’exécuter des programmes à partir des emplacements où ils sont autorisés à écrire (par exemple, leurs dossiers de documents). Ils ne devraient pouvoir lancer que des programmes approuvés par l’administrateur. Sous Windows, cela peut être implémenté avec AppLocker.

Un compte administrateur ne doit jamais être utilisé pour effectuer des tâches utilisateur de base telles que lire des emails, surfer sur Internet ou effectuer des tâches bureautiques normales.

Les utilisateurs ne doivent pouvoir modifier que les fichiers nécessaires à leur travail. Les fichiers qu’ils n’ont aucune raison de modifier doivent être limités à un accès «lecture seule» pour eux.

Un logiciel anti-virus à jour doit être exécuté sur votre serveur de messagerie et sur les stations de travail pour détecter les infections et vous protéger contre celles-ci.

Vous devez avoir un moyen de détecter et d’arrêter le cryptage massif de fichiers sur vos serveurs de fichiers. Plus tôt vous détecterez une attaque, plus vite vous pourrez l’arrêter, ce qui signifie moins de pertes de données et moins de travail pour nettoyer le désordre! C’est ici que FileAudit peut vous aider.

Vous devez avoir une sauvegarde de tous vos fichiers dans un endroit sécurisé.

Découvrer la configuration d’un outil tel que FileAudit face à ce type d’attaque informatique.

Chiffrement, Sauvegarde

Protéger ses transferts de fichiers avec castrum.io

Castrum.io, une jeune pousse de la cybersécurité Française propose une solution pour sécuriser vos transferts de fichiers. Découverte !

Castrum est un projet 100% Français. Mission, permettre une sécurité optimale dans le transfert de fichier.

L’idée est apparue en 2016 via la SSII Ex Algebra. Depuis, la jeune pousse de la cybersécurité a mûri son projet au point que des cabinets d’avocats utilisent ce service.

Castrum.io se veut un projet permettant de proposer un système de gestion de fichier, un peu à la Dropbox. Mission, partager des fichiers, tout en gardant le contrôle total sur le partage.

« Nous sommes parti d’un constat simple, explique Michel Gashet, les partages de fichiers débutent très souvent par un mail, non chiffré. Perte complète du contrôle, l’information reste dans la boite électronique du destinataire« . Bilan, Castrum se propose de servir d’espace de stockage sécurisé afin de partager vos fichiers.

Il est possible de paramétrer un mot de passe pour accéder au fichier (Il n’est pas envoyé dans le mail qui communique le lien d’accès). Le diffuseur doit partager le mot de passe par un autre moyen de contact de confiance : téléphone, remise en main propre.

Une durée d’expiration du lien (valide un mois, par exemple); un nombre d’accès autorisé (pas plus d’un certain nombre). Et même la possibilité d’autodétruire le fichier quand son partage a expiré.

L’hébergement se fait uniquement en France. Chaque client à son propre serveur. Les disques sont chiffrés.

Comment ça marche ?

Après la connexion, vous choisissez le fichier à partager. Taille maximale de ce dernier, 1Go (dans la version démo). Une taille qui pourra évoluer selon les besoins. Un studio de création graphique utilisateur diffuse du 8Go sans problème.

Vous l’envoyez sur votre serveur sécurisé Castrum.

Il ne reste plus qu’à envoyer un mail ou de récupérer le lien de téléchargement. Une adresse web codée à communiquer à votre contact.

Les actions s’affichent dans votre administration. « Le fichier « 92829 », partagé le 27/08/2019, n’a pas encore été chargé. Quand ce dernier a été vu, votre admin l’affiche avec le nombre de téléchargement. J’avoue que rajouter l’heure et la zone géographique du téléchargement pourrait rassurer. En cas d’interception, cela pourrait être un détail important d’action rapide. L’heure est cependant disponible dans l’espace « fichier partagé ».

Côté coût, 38 euros HT/mois pour 500 fichiers partagés par jour, maximum 2 Go par fichier. Parfait pour une PME/PMI qui souhaite utiliser un canal chiffré et contrôlé de bout en bout (exemple d’utilisation moyen pour une PME). « Un nombre de fichier qui peut évoluer sans surcoût« .

Bref, une idée qui germe de manière fort sympathique. Castrum est RGPD-ready. Le site vous simplifie toutes les étapes pour le respect des données personnelles. Parmi les projets à venir, l’accès aux logs plus poussés des fichiers partagés comme permettre d’avoir des preuves d’accès aux fichiers et de la moindre action sur le compte.

Chiffrement, cryptage, Cybersécurité, double authentification, Securite informatique

Testé pour vous : Titan Security Key

Je vous parlais, début août, de l’arrivée en France et au Canada de la Titan Security Key de chez Google. Voici le test complet de cette clé dédiée à la double authentification de vos comptes web.

Disponible aux USA depuis 2018, la Titan Security Key vient d’arriver sur les marchés Français et Canadien au 1er août 2019. Data Security Breach et ZATAZ vous proposent le test de cette clé de sécurité dédiée à la double authentification de vos comptes : mail, site web, …

Le package est efficace, solide et comme à chaque fois chez Google, qualitatif. On y apprend que le contenu est large avec deux clés, deux adaptateurs (usb, usb-c) et une rallonge usb. On découvre que le matériel est conçu par Google… assemblé en Chine. Les plus paranoïaques vont donc quitter ce test après ce point. Google + Chine vont leur donner des sueurs froides. Mais revenons plus sérieux. Une fois l’autocollant de sécurité décollé.

Il laisse le mot VOID sur la boîte afin de prouver sa non-ouverture. Le contenu apparaît sur deux étages. Deux notices, assurance et mode d’emploi. Ce dernier est simple, sans fioriture, efficace.

Titan Security Key : comment ça marche ?

Direction les sites que vous souhaitez protéger. Ils sont très nombreux aujourd’hui : Google, Facebook, Linkedin, … Nous allons orchestrer ce test pour protéger un compte Google, et donc Youtube, gMail, … Commençons par nous connecter au compte Google que nous souhaitons protéger. Mail et mot de passe suffisent. Direction l’espace sécurité, double authentification. Il suffit d’entrer la Titan Security Key pour coupler cette dernière à l’accès à protéger. Rien de plus simple. Une fois effectué, déconnexion automatique de votre compte sur tous vos appareils. Pour vous reconnecter, il suffira d’utiliser votre mot de passe et votre clé de sécurité.

Vous perdez vos clés ? Il est possible de reprendre la main en faisant une demande à Google, mais cette dernière, comme pour le cas des outils tels que Authy, prendre plusieurs jours (3 pour Authy). Il est possible de répliquer les fonctionnalités de protection dans un compte G Suite.

Sur smartphone, via le NFC et le Bluethooth

Vous possédez une tablette, un smartphone Android/iOS la Titan Security Key vous permet d’utiliser votre compte et la double authentification. Pour cela, trois méthodes: la clé et l’adaptateur ; le NFC de la clé ; le bluethooth.

Dans le premier cas, il suffit de rentrer la prise de la rallonge dans le smartphone. Deux embouts sont proposés : mini USB et USB-C.

Dans le second cas, branchez le NFC de votre téléphone et approchez la Titan Security Key.

Dernière possibilité, le bluetooth est allumé. Cliquez sur le bouton 5 secondes.

Pro et perso

Le matériel est robuste, résiste à l’eau, mais pas plus de 45 secondes immergées dans les toilettes (une erreur est site vite arrivée) pour la clé Bluetooth. La seconde clé fonctionne encore après 45 secondes dans un évier rempli d’eau chaude et produits vaisselles. La Titan Security Key, tout comme sa concurrente Yubico, seront des alliés loin d’être négligeable. Si un pirate vous vole vos identifiants de connexion, avec ce type de sécurité, même armé de vos sésames, le malveillant ne pourra accéder à vos données.

Je vous invite d’ailleurs à utiliser le Service Veille ZATAZ qui permet de détecter, dans les espaces pirates, les données qui ont pu vous être volés ces derniers heures, jours, semaines mois, années. Point fort de la Titan Security Key, la possibilité d’inscrire cette dernière au programme Advanced Protection « Le Programme Protection Avancée protège les comptes Google personnels des individus susceptibles de faire l’objet d’attaques ciblées : les journalistes, les activistes, les chefs d’entreprise et les équipes de campagnes électorales. » indique Google.

Sécurité renforcée et limitation des applications utilisables

A noter qu’une fois les clés activées, les autres facteurs d’authentification, tels que les codes envoyés par SMS ou l’application Google Authenticator, ne fonctionneront plus.

A gauche, la clé Yubico.

Les applications n’appartenant pas à Google sont limitées. Cela veut dire que les applications Mail, Contacts et Calendrier d’Apple, ainsi que le logiciel Thunderbird de Mozilla, continueront de fonctionner avec les comptes bénéficiant de la Protection avancée. De nombreuses autres applications n’appartenant pas à Google n’auront pas accès aux données de votre compte. Les mots de passe d’application sont HS. Vous ne pourrez plus générer de mots de passe via les mots de passe d’application.

Gros gors point noir. Vous avez une télévision connectée Android ? La clé ne fonctionne pas. Google Chrome est imposé. Bilan, vous ne pouvez plus profiter des « services » proposés comme Google Play, …

A noter aussi que les Google Home, les enceintes connectées ne fonctionne plus depuis l’installation de la clé !

Pour conclure, la Titan Security Key est vendue 55€. A voir dans le temps, comme par exemple, pour l’aspect électrique de la clé Bluethooth. Si cette dernière se recharge via la prise USB de votre ordinateur, aucune indication sur sa véritable durée de vie.

Chiffrement, Communiqué de presse, Contrefaçon, cryptage, Cybersécurité, double authentification, Entreprise, Fuite de données, Sauvegarde, Securite informatique

Comment protéger son réseau et ses imprimantes professionnelles en 5 étapes ?

Les entreprises de toutes tailles doivent relever un certain nombre de défis pour assurer la sécurité de leurs réseaux. Pourtant, les vulnérabilités liées aux MFP et imprimantes connectées d’aujourd’hui sont souvent sous-estimées. Voici comment protéger votre réseau en 5 points.

Désormais, les pirates se servent des systèmes multifonction (MFP) et imprimantes des organisations pour dérober des informations confidentielles stockées sur des disques durs et d’autres périphériques connectés aux réseaux professionnels. Ces cybercriminels provoquent d’importants dégâts et perturbent les activités des entreprises. Selon un rapport d’IDC, 25 % des failles de cybersécurité à corriger impliqueraient des imprimantes. L’impact sur la productivité et la rentabilité des entreprises est donc énorme, alors même que risque lié aux MFP et imprimantes non sécurisés est souvent méconnu et ignoré.

1 : l’identification des utilisateurs et la gestion des autorisations

L’une des solutions les plus importantes pour sécuriser les réseaux consiste à n’autoriser que les utilisateurs connus à accéder aux périphériques tels que les imprimantes. Cet objectif peut être atteint grâce à une administration et à une gestion des autorisations cohérentes.

Identification des utilisateurs : il s’agit du processus grâce auquel les administrateurs ne donnent de droits d’accès aux MFP et imprimantes qu’aux utilisateurs enregistrés. Ces derniers peuvent être identifiés en interne en s’appuyant sur la liste d’utilisateurs locaux, ou via le réseau grâce à un serveur d’authentification. Les administrateurs doivent également décider qui appartient à quel groupe en créant un nom d’utilisateur et un mot de passe, et en mettant en place une stratégie de gestion de mots de passe sur mesure/unique.

Autorisation des utilisateurs : ce processus a pour but d’autoriser l’accès aux ressources des réseaux des organisations, et d’en contrôler l’utilisation. En fonction des identifiants de chaque utilisateur, il est possible de limiter l’accès à certains individus, le restreindre à certaines fonctions, ou le bloquer entièrement. L’administrateur peut également configurer l’accès aux périphériques à l’aide de cartes d’accès contenant des informations d’identification uniques pour chaque individu.

2 : sécuriser le réseau

L’ensemble des périphériques connectés au réseau sont aussi sécurisés que le point le plus vulnérable de ce réseau. Il est donc très important de contrôler l’utilisation des ports et protocoles. Grâce à une configuration intelligente, les administrateurs peuvent bloquer les activités indésirables et les attaques potentielles sur l’infrastructure. Parmi les techniques permettant de sécuriser les communications entre les périphériques du réseau :

Utiliser des fonctions de filtrage pour limiter l’accès à des adresses IP et MAC (Media Access Control) spécifiques. Le réseau et les canaux de communication sont ainsi protégés en limitant l’accès aux adresses ou plages d’adresses spécifiées.

Désactiver les ports non utilisés (afin que seuls ceux qui sont nécessaires fonctionnent) pour bénéficier d’une couche de sécurité supplémentaire et de davantage de contrôle sur le réseau en bloquant les accès non autorisés vers l’ensemble des actifs connectés.

S’assurer que les protocoles IPSec (le protocole Internet pour un échange de données sécurisé et chiffré de données), TLS (le protocole de sécurité de la couche de transport, qui chiffre la transmission de données) et HTTPS (le protocole de transfert hypertexte sécurisé, qui sécurisé les communications sur le réseau) sont configurés pour offrir le niveau de protection le plus élevé.

3 : protéger les données

Il y a deux façons de s’assurer que les données stockées sur les disques durs des MFP et imprimantes soient en permanence sécurisées :

Le chiffrement des données est la procédure ou fonctionnalité cryptant les documents à l’aide d’un algorithme complexe à 256 bits.

L’écrasement des données, qui permet d’effacer le disque dur d’un appareil. Cette stratégie garantit l’effacement définitif de l’ensemble des données déjà stockées sur le disque et des documents numérisés après avoir qu’elles aient été écrasées jusqu’à 10 fois.

4 : imprimer des informations confidentielles de façon sécurisée

Les documents confidentiels doivent être imprimés en suivant une procédure sécurisée évitant les accès et copies non autorisées. Ainsi, lorsqu’une tâche d’impression est soumise, elle est conservée sur le disque dur de l’appareil jusqu’à ce que l’utilisateur saisisse un code PIN, ou présente un jeton ou une carte d’authentification configurés au préalable. Une fois le document imprimé, l’ensemble des données sont automatiquement effacées du disque dur.

5 : assurer une supervision et un contrôle à distance

Mis en place correctement, les outils de sécurité des réseaux offrent aux administrateurs informatiques un contrôle total sur l’ensemble des appareils connectés au réseau, et ce directement depuis leurs postes de travail. Ils peuvent ainsi contrôler un parc entier de MFP et d’imprimantes, et découvrir et gérer à distance la plupart des menaces de sécurité potentielles. Le clonage des appareils permet également de rationaliser le travail des administrateurs, et offre encore plus de sérénité, tout changement au niveau des paramètres d’un équipement pouvant ainsi être reproduit sur l’ensemble du parc. (Par Tomasz Stefanski – Solutions and Applications Specialist chez Sharp Europe).

Banque, Chiffrement, Communiqué de presse, cryptage, Cybersécurité, double authentification, Entreprise, Fuite de données, Paiement en ligne, Securite informatique

Etat de la sécurité des applications des plus grandes banques du monde

Des chercheurs ont mené une enquêtes sur l’état de la sécurité des applications des plus grandes banques du monde. Un des outils posséde une faille connue depuis 2011.

Les nouvelles recherches de la société ImmuniWeb va faire grincer des dents dans le petit monde bancaire. Ils ont étudié la sécurité, la confidentialité et la conformité des applications des plus grandes institutions financières mondiales figurant dans la liste S&P Global 2019. Le résultat a de quoi étonner. En ce qui concerne la conformité, 85 applications Web de banque en ligne ont échoué au test de conformité GDPR ; 49 banque en ligne ont échoué au test de conformité PCI DSS ; 25 app ne sont pas protégées par un WAF.

Vulnérabilités de sécurité

Dans cette étude, on découvre que sept applications Web de banque en ligne contiennent des vulnérabilités connues et exploitables.

La plus ancienne vulnérabilité est connue depuis 2011. 92% des applications bancaires mobiles contiennent au moins une vulnérabilité à risque moyen.

100% des banques ont des problèmes de sécurité ou des problèmes liés aux sous-domaines oubliés.

Pour finir, concernant la sécurité du site web, seuls 3 portails sur 100 affichaient la note la plus élevée «A+» pour le « chiffrement SSL et la sécurité des sites Web ». Dans ce top 3, on trouve un Suisse (credit-suisse.com), un Danois (danskebank.com) et un Suédois (handelsbanken.se).

Pendant ce temps, dans le commerce 2.0

De son côté, le laboratoire Pradeo a étudié 38 applications mobiles d’e-commerce les plus téléchargées au monde. Le rapport montre qu’elles envoient les données personnelles des utilisateurs via de nombreuses connexions non sécurisées (pourcentages précis dans l’article) et présentent en moyenne 13 vulnérabilités de code, dont certaines ayant un haut niveau de sévérité.