Archives de catégorie : Social engineering

Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, loi, Particuliers, Sauvegarde, Social engineering

Les écoles autorisées à vendre les données des enfants

Des écoles américaines autorisées par la loi fédérale à vendre des informations de leurs élèves aux commerçants.

Voilà qui ne présage rien de bon pour le futur de nos écoles. Aux USA, la loi fédérale autorise dorénavant les écoles publiques à remplir leur caisse en commercialisant les informations des élèves. Il faut dire aussi qu’à la vue des documents que les parents peuvent remplir à chaque rentrée, et durant l’année, les bases de données des établissements scolaires n’ont rien à envier à big brother.

Les sociétés de marketing louchent sur ces clients prescripteurs. En Europe, les sociétés investissent, sous forme de mécénat et autres rendez-vous scolaires (Junicode, cross de l’école, soirée étudiante, …) mais n’ont pas encore la main mise sur les données. Aux USA, les parents doivent trouver la petite case qui interdit la diffusion des données. Elle est souvent cachée dans le monceau de feuilles à signer. En France, comme ailleurs, n’hésitez pas à ouvrir une adresse mail dédiée uniquement à l’année scolaire en cours [sco2016@votrenomdedomaine.fr, par exemple] et lisez bien les petites lignes, comme celle qui vous informe que votre enfant pourra finir dans la presse locale/territoriale lors d’une sortie de classe, d’une fête d’école, … [WTOP]

Cybersécurité, Entreprise, Fraude au président, Fuite de données, pourriel, Propriété Industrielle, Social engineering

Campagnes de phishing ciblant les experts sécurité sur Linkedin

La société F-Secure a mis à jour la semaine dernière des campagnes de phishing/engineering social sur Linkedin, menées par des cybercriminels visant particulièrement des experts sécurité. Afin de recueillir un maximum d’informations sur des experts ciblés, les attaquants ont créé des faux comptes Linkedin invitant des experts sécurité à rejoindre leur réseaux.

Cette attaque d’ingénierie sociale mise en lumière par F-Secure nous rappelle que les réseaux sociaux sont une mine d’informations pour les cybercriminels. Le réseau Linkedin est particulièrement ciblé dans le cadre de social engineering car il permet aux cybercriminels de collecter et corréler un maximum d’informations professionnelles : qui sont les personnes en charge de la sécurité, en charge des finances, quels sont les outils IT et les applications métiers, les outils utilisés par l’entreprise, etc…

Les cybercriminels mènent des attaques de plus en plus ciblées pour franchir les systèmes de détection et investissent du temps dans le social engineering car cela leur permet de cibler très précisément les bonnes personnes dans le cadre d’attaques de spear phishing notamment, en leur envoyant des emails frauduleux très crédibles avec des pièces jointes vérolées, etc…

Au delà de Linkedin, ce sont évidemment tous les réseaux sociaux qui sont aujourd’hui ciblés. Sébastien Goutal, Chief Science Officer pour la société Vade Retro, spécialiste de la lutte anti-phishing,  livre ci-dessous une analyse un peu plus détaillée sur les abus liés aux réseaux sociaux, les moyens à mettre en place et notamment une vraie coopération des grands acteurs internationaux comme c’est le cas avec le projet ThreatExchange de Facebook.

Surveiller en permanence les abus

La gestion des abus au sein des réseaux sociaux présente de nombreux défis. En effet, la capacité d’un réseau social à pouvoir diffuser rapidement de l’information à un grand nombre d’utilisateurs joue en faveur de l’attaquant. Il suffit de considérer les chiffres pour appréhender l’aspect potentiellement hautement viral d’une attaque, dans le cas par exemple d’un compte utilisateur compromis – vecteur classique d’une attaque. Facebook c’est 1.4 milliard d’utilisateurs actifs, plus de 200 friends en moyenne et une très grande réactivité de la communauté, en particulier via l’application mobile. En outre, la quantité considérable de données à traiter en temps réel pour détecter les menaces pose un véritable défi à tous les niveaux. Les infrastructures techniques sont très fortement sollicitées et de nombreux éléments statistiques sont calculés au fil de l’eau pour permettre une analyse pertinente et rapide du flux d’information. A ce titre, on se rappellera que les réseaux sociaux ont été à l’origine – et restent au cœur – de la révolution Big data.

Les réseaux sociaux sont encore jeunes

Un autre élément majeur concerne la jeunesse des réseaux sociaux, et le fait que ce soient des produits en évolution permanente: rien n’est pour l’instant gravé dans le marbre, ce qui donne une certaine marge de manœuvre. Par exemple, des évolutions produits mineures ont permis de réduire de manière importante les menaces: l’obligation de posséder un téléphone portable pour créer un compte est une solution simple et très efficace pour limiter la création de comptes frauduleux, car elle implique un coût économique important pour l’attaquant, alors que la gène pour l’utilisateur légitime est négligeable. La communication entre les équipes produits et sécurité est un élément capital dans la lutte contre les abus.

L’union fait la force

En matière de sécurité, l’union fait la force. La coopération entre les grands acteurs du monde numérique est donc cruciale pour lutter contre les abus. A ce titre mentionnons une initiative lancée par Facebook, le projet ThreatExchange: une plateforme permettant aux différents acteurs de l’écosystème numérique d’échanger des informations relatives aux menaces – telles que des URL ou des adresses IP suspectes. Un des points importants de cette plateforme est que chaque participant peut sélectionner qui sera destinataire de ces informations sensibles. En effet, qui souhaiterait partager des informations sensibles avec un concurrent? De nombreux acteurs importants tels que Bitly, Yahoo!, LinkedIn ou Twitter participent dores et déjà à cette excellente initiative.

Les menaces numériques sont en évolution constante. On les retrouve sous plusieurs formes, de l’email au sms, elles tentent désormais de tirer partie des réseaux sociaux. La lutte s’annonce acharnée, et les acteurs du monde numérique ont les moyens de réduire significativement ces menaces, en particulier en coopérant. L’avenir nous dira si ces mesures ont été efficaces.

A noter que l’équipe de Data Security Breach propose des ateliers de sensibilisations à la sécurité informatique en entreprise, associations, territoriales, … n’hésitez pas à nous contacter.

Cybersécurité, Entreprise, escroquerie, Espionnae, Fuite de données, Identité numérique, Linkedin, Particuliers, Phishing, Social engineering, Vie privée

Qui protège le mieux ses données personnelles ?

La récente affaire Ashley Madison a démontré une nouvelle fois les nombreuses failles de nos systèmes informatiques et  la négligence des utilisateurs à confier leurs données personnelles à tous types de sites. Newmanity au travers de son étude a voulu étudier le comportement des français face à cette polémique et les résultats s’avèrent des plus surprenants !  Homme, femme, qui a le plus peur pour ses données personnelles ?

On apprendre que la majorité des actifs Français déclarent faire plus attention à leurs données numériques dans le cadre personnel, plutôt que dans le cadre professionnel. Les hommes déclarent protéger davantage leurs données que les femmes. Les Français expriment plus de méfiance à l’égard des appareils mobiles (Smartphones, Tablettes) que des ordinateurs. La déconnexion des comptes est une habitude peu fréquente pour les Français

Une enquête réalisée auprès d’un échantillon de Français recrutés par téléphone puis interrogés par Internet les 31 août et 1er septembre 2015 a permis de se faire une petite idée de la protection des données. Un échantillon de 1183 personnes, représentatif de la population française âgée de 18 ans et plus. La représentativité de l’échantillon est assurée par la méthode des quotas appliqués aux variables suivantes : sexe, âge, profession du chef de famille et profession de l’interviewé après stratification par région et catégorie d’agglomération.

LES HOMMES PLUS MÉFIANTS QUE LES FEMMES

Selon les actifs français, les données numériques les plus préoccupantes sont celles issues d’une utilisation personnelle : 69% d’entre eux déclarent y être plus vigilants contre 28% dans le cadre professionnel. Et ce sont les femmes qui sont les moins regardantes (34%) sur la protection de leurs données dans le cadre personnelles contre 73% des hommes qui scrutent méticuleusement la moindre trace sur la toile ! Paradoxalement, les manipulations de base permettant de limiter les problèmes de sécurité en matière de données numériques sont encore assez peu utilisées. Par exemple, moins de 6 actifs sur 10 se déconnectent systématiquement de leur boite mail personnelle lorsqu’ils la consultent depuis le bureau, et cette proportion tombe à 48% lorsque l’utilisation se fait sur ordinateur personnel.

Que ce soit sur leur ordinateur personnel ou professionnel, moins de 4 Français sur 10 suppriment leurs données de navigation tous les jours ou au moins une fois par semaine. D’ailleurs, près de 3 actifs sur 10 ne suppriment jamais leur historique de navigation sur leur ordinateur professionnel. Des gestes pourtant simples qui permettraient une meilleures protection de la vie privée de tout un chacun.

Les appareils mobiles suscitent plus de méfiance

Près de la moitié des Français détenteurs d’équipements numériques n’en n’ont pas confiance, signe d’une certaine méfiance alors que les affaires de piratage de données personnelles (Orange, Ashley Madison…) font régulièrement la Une de l’actualité. Dans le détail, que ce soit à l’égard des ordinateurs personnels ou professionnels, les cadres et les femmes qui semblent être les plus confiants. A l’inverse, les hommes et les CSP ‘employés’ et ‘ouvriers’ sont nettement plus réservés.

Il est à noter que cette méfiance devient défiance lorsqu’il s’agit de tablettes ou de smartphones. Ces équipements mobiles sont marqués par le peu de confiance qui leur est accordé en matière de sécurité de données transmises : Seulement 37% des Français détenteurs d’une tablette numérique lui font confiance et à peine plus d’un tiers (34%), en ce qui concerne les possesseurs de smartphones. [l’étude complète]

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Mise à jour, Particuliers, Patch, Social engineering

Sites de rencontres : la protection n’est pas au rendez-vous !

Une étude de Dashlane au sujet des Sites de rencontres met en avant le fait que la protection n’est pas au rendez-vous.

Cela fait maintenant trois mois que le site Ashley Madison, la version américaine du site de rencontres adultères Gleeden, a été piraté avec les conséquences désastreuses que l’on connaît. Carrières ruinées, familles brisées, procès, c’est un mauvais feuilleton dramatique qui se déroule sous nos yeux outre-Atlantique. Les autres sites de rencontre ne semblent toutefois pas en avoir tiré d’enseignements. L’étude publiée par Dashlane, qui gère l’identité numérique et les mots de passe de 3M d’internautes, montre que la plupart des sites de rencontre n’ont pas mis en place de politique de sécurité pour s’assurer que leurs utilisateurs soient protégés par des mots de passe forts. Les internautes qui partagent des informations pour le moins confidentielles sur ces sites risquent fort d’être très intéressés par les résultats ci-dessous…

Dashlane a étudié 24 sites de rencontre (dont 12 en France) parmi les plus populaires et les a classé selon leur approche de la sécurité des mots de passe. 19 critères ont été utilisés comme la longueur minimale du mot de passe acceptée ou le fait d’exiger ou non un mot de passe alphanumérique, composé de lettres et de chiffres. L’étude prend également en compte l’acceptation par le site des mots de passe très basiques comme « 123456 ».

Les résultats sont alarmants: Alors que les grands sites Internet ont renforcés leurs politiques de sécurité concernant les mots de passe (sur le même test, Apple a un score de 100, Hotmail de 88 et Gmail de 76), les sites de rencontre n’ont en général pas mis en place de politique pour inciter leurs utilisateurs à employer des mots de passe forts. Le plus avancé des sites de rencontres analysés, OK Cupid, n’a qu’un score de 62 et seuls trois sites, sur les douze analysés, ont un score « passable » supérieur à 50.

· Les disparités sont grandes entre les sites. Si OK Cupid a un score de 62, Badoo et Plenty Of Fish ferment la marche avec un petit score de 22.
· Derrière les mauvaises notes, on observe des pratiques de sécurité d’un autre âge. Badoo ou Attractive World envoient à leurs utilisateurs leur mot de passe en clair par email. Encore plus effrayant, sur Match.com ou Plenty Of Fish, il est possible de créer des mots de passe d’une seule lettre ! Aucun des sites analysés pour le marché français n’exige un mot de passe alphanumérique (composé de chiffres et de lettres) et sur les douze, seuls quatre adressent un email aux utilisateurs lorsque leur mot de passe est modifié !
· Les personnes qui recherchent à faire des rencontres extra conjugales sur Internet peuvent aussi se poser des vraies questions car les sites spécialisés, Ashley Madison et Gleeden ne recueillent que des notes respectives de 30 et 32.

Cela fait maintenant trois mois que le site Ashley Madison, la version américaine du site de rencontres adultères Gleeden, a été piraté avec les conséquences désastreuses que l’on connaît. Carrières ruinées, familles brisées, procès, c’est un mauvais feuilleton dramatique qui se déroule sous nos yeux outre-Atlantique. Les autres sites de rencontre ne semblent toutefois pas en avoir tiré d’enseignements. L’étude publiée par Dashlane, qui gère l’identité numérique et les mots de passe de 3M d’internautes, montre que la plupart des sites de rencontre n’ont pas mis en place de politique de sécurité pour s’assurer que leurs utilisateurs soient protégés par des mots de passe forts. Les internautes qui partagent des informations pour le moins confidentielles sur ces sites risquent fort d’être très intéressés par les résultats ci-dessous…

24 sites de rencontre (dont 12 en France) étudiés, parmi les plus populaires. Ils ont été classés selon leur approche de la sécurité des mots de passe. 19 critères ont été utilisés comme la longueur minimale du mot de passe acceptée ou le fait d’exiger ou non un mot de passe alphanumérique, composé de lettres et de chiffres. L’étude prend également en compte l’acceptation par le site des mots de passe très basiques comme « 123456 ».

Les résultats sont alarmants. Alors que les grands sites Internet ont renforcés leurs politiques de sécurité concernant les mots de passe (sur le même test, Apple a un score de 100, Hotmail de 88 et Gmail de 76), les sites de rencontre n’ont en général pas mis en place de politique pour inciter leurs utilisateurs à employer des mots de passe forts. Le plus avancé des sites de rencontres analysés, OK Cupid, n’a qu’un score de 62 et seuls trois sites, sur les douze analysés, ont un score « passable » supérieur à 50. Les disparités sont grandes entre les sites. Si OK Cupid a un score de 62, Badoo et Plenty Of Fish ferment la marche avec un petit score de 22.

Derrière les mauvaises notes, on observe des pratiques de sécurité d’un autre âge. Badoo ou Attractive World envoient à leurs utilisateurs leur mot de passe en clair par email. Encore plus effrayant, sur Match.com ou Plenty Of Fish, il est possible de créer des mots de passe d’une seule lettre ! Aucun des sites analysés pour le marché français n’exige un mot de passe alphanumérique (composé de chiffres et de lettres) et sur les douze, seuls quatre adressent un email aux utilisateurs lorsque leur mot de passe est modifié !

Les personnes qui recherchent à faire des rencontres extra conjugales sur Internet peuvent aussi se poser des vraies questions car les sites spécialisés, Ashley Madison et Gleeden ne recueillent que des notes respectives de 30 et 32.

Cybersécurité, Entreprise, Firewall, Fuite de données, Mise à jour, Patch, Propriété Industrielle, Social engineering

détection des menaces basé sur l’apprentissage automatique Machine Learning

Avast conçoit un système de détection des menaces basé sur l’apprentissage automatique Machine Learning. Sa collaboration avec Qualcomm permet de protéger les utilisateurs face aux attaques zero-day, aux logiciels malveillants et à la violation des données personnelles.

Avast Software, éditeur des solutions de sécurité PC et mobiles, a développé une solution de sécurité mobile au niveau du noyau. Avast collabore actuellement avec Qualcomm Technologies, Inc., une filiale de Qualcomm Incorporated, afin de mettre sur pied cette nouvelle technologie. Qualcomm Technologies est le concepteur de Qualcomm® SnapdragonTM Smart Protect, un outil conçu pour détecter et classifier en temps réel les attaques zero-day et les malwares transformés, grâce à une analyse des comportements basée sur l’apprentissage automatique qui permettra de renforcer la protection des données personnelles et la sécurité des appareils. Snapdragon Smart Protect devrait être disponible sur les appareils grand public d’ici 2016 et sera intégré au processeur Snapdragon 820.

« Étant donné leur expérience et leur renommée sur le marché de la sécurité mobile, Avast était pour nous un choix évident pour cette intégration, déclare Asaf Ashkenazi, directeur de la gestion des produits chez Qualcomm Technologies. Grâce à la technologie AV avancée et aux solutions de sécurité mobile d’Avast, les clients bénéficieront d’une sécurité et d’une protection de la vie privée plus performantes. »

« Chez Avast, nous sommes ravis de collaborer avec Qualcomm Technologies en vue d’élaborer une solution de sécurité matérielle qui sera intégrée aux processeurs Snapdragon et à leur firmware, déclare Vince Steckler, PDG d’Avast. Le nombre de menaces grandit chaque jour, raison pour laquelle les fabricants et opérateurs mobiles doivent protéger leurs utilisateurs en temps réel. Snapdragon Smart Protect offrira une sécurité matérielle au niveau du processeur, afin de protéger les consommateurs plus efficacement face aux applications malveillantes, aux attaques zero-day et aux rançongiciels. »

Une solution de sécurité traditionnelle est uniquement capable d’analyser et de surveiller les comportements des logiciels au niveau des applications et de la structure logicielle. Avast utilisera ici la technologie embarquée Snapdragon Smart Protect et son algorithme d’apprentissage automatique au niveau du processeur afin de contrer les attaques zero-day et de différencier les applications logicielles autorisées et malveillantes. Alors que les utilisateurs bénéficieront d’une protection optimisée, les fabricants et opérateurs mobiles pourront quant à eux limiter les risques de violations de données et d’attaques malveillantes au sein de leurs systèmes.

Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Mise à jour, Particuliers, Social engineering, Vie privée

Données d’utilisateurs UBER fuitent sur Google

Les fuites de données sont aussi l’affaire des propriétaires des données qui fuitent. Un exemple concret avec le cas UBER/Google.

Si la grande majorité des fuites sont dues à des piratages, des erreurs d’employés d’entreprises ou à un bug, des cas démontrent que certains internautes ne font pas attention à leur hygiène de vie numérique. Un exemple intéressant avec des informations appartenant à des utilisateurs d’UBER (portail qui permet de mettre en relation des piétons avec des automobilistes, du moins quand des taxis ne bloquent pas l’idée, NDR) qui se sont retrouvées sur Google. Parmi les données, adresses postales, noms du conducteur, informations sur la voiture. Le fautif de ce genre de fuite ? L’utilisateur lui même qui a partagé ses données sur Internet, Twitter.

Google a sauvegardé les informations via ses robots de recherche. Certains de ces voyages remontent à 2013, et incluent des voyages aux États-Unis, Royaume-Uni, Russie, Indonésie, Inde ou encore Philippines. Des données et informations qui restent en ligne, toujours accessibles aujourd’hui, via la cache de Google. Le responsable sécurité de chez UBER indique que son équipe a constaté que « tous ces liens sont volontairement partagée par les utilisateurs.« 

https://twitter.com/four/status/639163190757081088

 

BYOD, Cloud, Cybersécurité, Entreprise, Fuite de données, Propriété Industrielle, Social engineering

Nouvelle loi en Russie impose la sauvegarde de toutes les données

Un commentaire

Internet – Collecte de données obligatoire pour les entreprises Russes.

Une nouvelle loi russe, adoptée mardi 1er septembre 2015, oblige les entreprises à stocker les données qu’elles recueillent sur les citoyens russes. Des données collectées officiellement sur le territoire Russe. La nouvelle loi a créé de l’incertitude chez les entreprises et suscite des craintes sur la surveillance et la vie privée. D’autant qu’un site Internet russe qui reçoit des visiteurs de France, Chine ou États-Unis collectera et sauvegardera aussi les dites données.  La loi russe pourrait impacter plus d’un million d’entreprises locales. Certains experts craignent que cette nouvelle législation soit une tentative du gouvernement russe d’accéder à des informations personnelles à des fins de sécurité et de surveillance. Un détail loin d’être négligeable qui a du effleurer l’esprit de Vladimir Poutine ! [FT]

Cybersécurité, Espionnae, ID, Identité numérique, Mise à jour, Particuliers, Patch, Social engineering, Vie privée

Activity Update de Windows 10 surveille les enfants

De nombreux parents américains hurlent à l’espionnage de leurs enfants via l’option Activity Update de Windows 10.

Activity Update est l’une des nombreuses, très nombreuses options de Windows 10 permettant de collecter des informations pour « une meilleure utilisation client » indique Microsoft. Sauf que « la mise à jour de l’activité » permet aussi aux parents de recevoir la vie numérique de leur progéniture sur la toile.

Cette mise à jour d’activité est présente dans les Windows 10 de base. L’idée, permettre aux parents de recevoir les informations de connexion des enfants, ou des utilisateurs de la machine en question. Des parents ont découvert la chose en recevant la liste des sites web visités, le temps passé sur le web. Une option activée par défaut, comme l’ensemble des « bonus » de Windows 10. Autant dire que pas mal d’adolescents risquent de devoir expliquer pourquoi ils disent merci à cette Jacquie et à ce Michel. [independent]

Contrefaçon, Cyber-attaque, Cybersécurité, Entreprise, Piratage, Social engineering, Virus, Wordpress

Un faux site de l’Electronic Frontier Foundation diffuse des malwares

Un site Internet usurpant l’image de l’Electronic Frontier Foundation bloqué par Google. Il diffusait des logiciels malveillants.

L’Electronic Frontier Foundation est une fondation en charge de la préservation de la vie privée dans le monde numérique. L’EFF vient d’être aidé par Google à faire disparaitre un site Internet usurpant son nom et son image. Le nom de domaine electronicfrontierfoundation.org a été ouvert le 4 août dernier. Il diffusait des logiciels malveillants via de fausses publicités et mises à jour.

Les codes malveillants font partie de la famille de Pawn Storm, une attaque découverte par Trend Micro, en 2014. Les pirates, derrière Pawn, seraient des russes et agiraient sur la toile depuis 2007. L’une des failles, un 0day Oracle. Certains chercheurs en cyber-sécurité ont noté que les attaques de Pawn Storm utilisent des malwares personnalisés et ont des objectifs qui sont étonnamment semblables aux attaques Sednit et Sofacy, d’autres campagnes de diffusion de logiciels malveillants. Des attaques initiées par le groupe Advanced Persistent Threat 28 (APT28). Selon l’américain FireEye, APT28 serait liée au gouvernement russe. L’adresse electronicfrontierfoundation.org redirige dorénavant vers la véritable adresse de l’EFF : eff.org.

Banque, Cybersécurité, Entreprise, Fuite de données, Justice, Propriété Industrielle, Social engineering

Game of War : Sale ambiance dans le jeu vidéo

Un employé de l’éditeur de jeux vidéo Zone Machine Inc arrêté avec les secrets du jeu Game of War: Fire Age.

Le jeu Game of War: Fire Age, vous n’avez pas pu passer à côté tant la publicité à la télévision et sur Internet nous vantent cette application vidéo ludique de l’éditeur Zone Machine Inc. Un de ses employés a été arrêté alors qu’il allait décoller pour Pékin. Dans ses bagages, Zeng Jing, 42 ans, avait les secrets de fabrication du jeu. Il a téléchargé des données sur la façon dont les utilisateurs interagissent avec Game of War. Zeng était l’administrateur de l’infrastructure mondiale de Zone Machine Inc. Le FBI a été le cueillir à sa monté dans l’avion. Il aurait téléchargé des données, dont les dépenses des joueurs, à la suite de problèmes internes avec ses employeurs. Zeng a ensuite tenté d’utiliser les données comme une monnaie d’échange pour se garantir une indemnité de départ plus importante. (WSJ)

Argent, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Leak, Paiement en ligne, Particuliers, Piratage, Social engineering, Vie privée

Piratage pour l’Internet des Îles Caïman

Des milliers d’internautes et sociétés basées dans l’informatique des Île Caïman obligés de changer leurs identifiants de connexion à la suite d’un piratage.

Les Îles Caïmans sont connues pour être ensoleillées, paradisiaques. Découvertes par Christophe Colomb en 1503, elles sont connues, aussi, pour être le 5ème plus gros centre financier offshore du monde. Toutes les grandes banques y ont au moins une adresse, sans parler de milliers de comptables, d’avocats d’affaires et autres fiscalistes, spécialistes des montages financiers qui permettent de faire disparaitre des radars des millions de dollars. Une grosse lessiveuse sur sable fin qui semble avoir attiré les pirates informatiques. Le CERT du pays, CIRT-KY, vient d’indiquer qu’il a été mis au courant d’une violation numérique qui a affecté la sécurité des mails et mots de passe de milliers de personnes passant par le pays et le portail Ecay Trade.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, Propriété Industrielle, Social engineering

L’importance d’identifier ses données sensibles

Une récente étude conduite par le Ponemon Institute révèle que 64% des professionnels de l’IT déclarent que leur principal défi en matière de sécurité est de ne pas savoir où se trouvent les données sensibles de leur organisation sur site et dans le cloud. Ils estiment en effet que cette tâche est d’autant plus difficile qu’ils ne sont pas non plus en mesure de déterminer si ces données sont vulnérables à une attaque ou une faille de sécurité. Par Jean-François Pruvot, Regional Director France chez CyberArk pour DataSecurityBreach.fr.

La gestion et la sécurisation efficaces des données sensibles passent par la mise en place de comptes administratifs ou individuels privilégiés pour surveiller et contrôler les accès – quel que soit l’emplacement des données. En effet, les organisations possèdent en moyenne trois à quatre fois plus de comptes à hauts pouvoirs que d’utilisateurs, ce qui rend les comptes à privilèges plus compliqués à gérer et à identifier. Ces derniers sont souvent utilisés par des cyber attaquants pour gagner l’accès au réseau d’une organisation et attaquer insidieusement le cœur de l’entreprise en visant les données et systèmes sensibles. Les hackers se déplacent latéralement à l’intérieur de l’entreprise tout en élevant les privilèges leur donnant accès à l’ensemble du réseau, et peuvent rester virtuellement non détectés pendant de très longues périodes.

Par conséquent, si la majorité des équipes IT ne parviennent pas à tracer les mouvements de leurs données, et n’ont pas non plus suffisamment de visibilité sur les comptes administrateurs permettant d’y accéder, il est indispensable de mettre en place les outils nécessaires pour identifier rapidement les personnes ou machines qui accèdent aux données sensibles – et l’utilisation qui en est faite – pour protéger et renforcer l’efficacité des stratégies de sécurité. « Le fait que 64% des professionnels de l’IT ne pensent pas être capables d’identifier l’emplacement des données sensibles de leur organisation démontre des faiblesses dans les systèmes de protection. Un tel constat confirme la nécessité de sensibiliser les organisations sur le renforcement des mesures de contrôle pour sécuriser l’accès aux données et adhérer à des politiques de sécurité strictes. Avant d’envisager le déploiement de solutions de sécurité, il est essentiel de mettre en place une stratégie dédiée à la gestion de ces données – et en particulier des solutions permettant de mieux gérer, surveiller et contrôler les accès. Que ce soit sur site ou dans le cloud, les entreprises doivent savoir ce qu’elles sécurisent à tout moment et quelles que soient les actions en cours sur les infrastructures afin de protéger ce que de potentiels hackers peuvent dérober. »

Un programme stratégique de sécurisation des comptes à privilèges commence par l’identification de l’emplacement des comptes à hauts pouvoirs et identifiants associés. Sont inclus les comptes administrateurs des machines et postes de travail de l’entreprise, ainsi que les identifiants qui permettent la communication entre applications et entre machines. Les organisations doivent mettre en place les fondements de base de la sécurité incluant des patchs, la mise à jour régulière des systèmes et la rotation fréquente des mots de passe. Sans une vigilance accrue de leur gestion, une personne extérieure, ou un employé n’étant pas censé intervenir sur ces comptes dans le cadre de ses fonctions, pourrait accéder aux données de l’entreprise et en compromettre la sécurité de manière accidentelle ou malveillante.

Ainsi, afin de réduire au maximum les risques de vol ou de pertes de données, l’identification et la cartographie des données est indispensable pour élaborer une stratégie de sécurité parfaitement adaptée aux contraintes de sécurité liées à l’accès au réseau des organisations, et particulièrement dans les environnements virtualisés. Par conséquent, de même qu’on règle son rétroviseur et qu’on attache sa ceinture avant de prendre le volant, les organisations doivent avoir une visibilité complète de leurs données, de leur emplacement et contrôler qui accède aux informations où et quand, afin de les sécuriser de la manière la plus adaptée ; elles peuvent ainsi se prémunir contre les attaques et les infiltrations insidieuses dans leurs systèmes, que les données soient stockées sur site ou dans le cloud.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Leak, Mise à jour, OS X, Patch, Piratage, Social engineering, Virus

La sophistication et le dynamisme des cyber-attaques au cœur de la course à l’innovation des pirates et professionnels de la sécurité

Un commentaire

Comme chaque année, Cisco publie son Rapport semestriel 2015 sur la sécurité et dévoile son analyse des menaces et tendances en matière de cyber sécurité. Il révèle la nécessité absolue pour les entreprises de réduire les temps de détection (TTD), afin de contrer les attaques sophistiquées perpétrées par des pirates particulièrement motivés. Le kit d’exploits Angler est le type même de menaces auxquelles seront confrontées les entreprises. La multiplication des vecteurs d’attaques innovants et des opportunités de monétisation sont exploités par les hackers, à la faveur de l’essor de l’économie numérique et de l’Internet of Everything.

Les nouveaux risques associés à Flash, l’évolution des ransomwares et les campagnes de malwares de plus en plus dynamiques, tels que Dridex, augmentent la nécessité de réduire les temps de détection. Avec la digitalisation des entreprises et l’avènement de l’IoE (Internet of Everything), les malwares et autres menaces se font de plus en plus omniprésents. Cette situation ne manque pas de soulever des inquiétudes quant à la durée des temps de détection, actuellement compris entre 100 et 200 jours, d’après les estimations des professionnels de la sécurité. À titre de comparaison, le temps de détection moyen des solutions AMP (Advanced Malware Protection) de Cisco est de 46 heures, grâce à l’analyse rétrospective des attaques.

Le rapport souligne l’importance pour les entreprises, de privilégier le déploiement de solutions intégrées ainsi que le recours à des fournisseurs de services de sécurité à des fins d’orientation et d’évaluation. Par ailleurs, les géopoliticiens notent l’urgence de définir un cadre mondial de cybergouvernance afin de soutenir la croissance économique.

Angler, des assaillants tapis dans l’ombre pour mieux frapper – Grâce à l’exploitation de la vulnérabilité des solutions Flash, Java, Internet Explorer et Silverlight, Angler est actuellement l’un des kits d’exploits les plus sophistiqués et les plus largement utilisés. Le kit excelle également à passer au travers des détections en utilisant, en autres techniques : le « domain shadowing ».

Dridex, des campagnes en constante évolution – Les créateurs de ces campagnes de malwares en perpétuelle mutation ont bien compris comment échapper aux systèmes de sécurité. Pour mieux passer à travers les mailles du filet, les assaillants s’empressent de modifier le contenu des e-mails, noms d’utilisateurs, pièces jointes ou contacts, et de lancer de nouvelles campagnes, obligeant ainsi les systèmes anti-virus traditionnels à remettre à jour leur base de données afin de les détecter.

Flash is Back – Les exploits utilisant les vulnérabilités d’Adobe Flash intégrés dans les kits d’exploits Angler et Nuclear ont également le vent en poupe. Ce succès tient en partie au manque de solutions de correctifs automatiques, ainsi qu’à la négligence des utilisateurs qui n’effectuent pas immédiatement les mises à jour. Au cours du premier semestre 2015, le nombre de vulnérabilités Adobe Flash Player signalées par le système CVE (Common Vulnerabilities and Exposure) a augmenté de 66 % par rapport aux chiffres de 2014. À ce rythme, Flash est en passe d’établir un record absolu du nombre de signalements CVE pour l’année 2015.

L’évolution des ransomwares – Les ransomwares demeurent des solutions particulièrement lucratives pour les hackers qui ne se lassent pas d’en développer de nouvelles variantes. Les opérations de ransomware se sont tellement perfectionnées qu’elles sont aujourd’hui totalement automatisées et contrôlées depuis le Dark Web. Afin de soustraire les transactions à la loi, les rançons sont payées en monnaie virtuelle, telle que le bitcoin.

La nécessité d’une mobilisation générale

L’accélération de la course à l’innovation entre assaillants et éditeurs de solutions de sécurité expose les entreprises et utilisateurs finaux à un risque croissant. Les éditeurs doivent veiller à développer des solutions de sécurité intégrées permettant aux entreprises de se montrer proactives et d’associer professionnels, process et technologies de manière judicieuse.

Un cadre de cybergouvernance mondiale – À l’heure actuelle, la cybergouvernance mondiale ne dispose pas des outils nécessaires lui permettant de faire face aux menaces émergentes ou aux enjeux géopolitiques. La question des frontières, expose la problématique pour les états de collecter et de partager des données sur les entreprises et les citoyens entre différentes juridictions. Ceci constitue un obstacle de taille à la mise en place d’un système de cybergouvernance cohérent, dans un monde où la coopération est limitée. Afin de soutenir la croissance économique des entreprises et leurs efforts d’innovation, il est nécessaire d’instaurer un cadre de cybergouvernance multipartite et collaboratif au niveau mondial. De l’importance d’une transparence des éditeurs – Il est indispensable pour les entreprises de demander aux éditeurs une pleine transparence dans tous les aspects du développement de leurs produits de sécurité, et ce depuis la chaîne logistique et pendant toute la durée de déploiement de ces derniers.

Télécharger un exemplaire du Rapport semestriel Cisco 2015 sur la sécurité.

Chiffrement, cryptage, Cybersécurité, Espionnae, ID, Identité numérique, Logiciels, Particuliers, Social engineering, Vie privée

L’opérateur Comcast accusé de surveiller ses clients, utilisateurs de TOR

Plusieurs clients de l’opérateur Comcast se sont étonnés d’un appel téléphonique de leur FAI. Ce dernier leur a reproché d’utiliser le système d’anonymisation TOR.

L’excellent logiciel TOR permet de surfer anonymement. Il utilise des milliers d’ordinateurs dans le monde, des nœuds TOR, pour permettre de ne pas diffuser son IP sur le site, le forum, l’espace numérique que l’on souhaite visiter. L’ip d’un des nœuds apparaîtra en lieu et place de votre identifiant. TOR, et son option « Internet » Onion, offre la possibilité de créer un site anonyme et, surtout, non référencé. Bilan, vous souhaitez partager vos photos de vacances avec vos ami(e)s intimes, Onion offre cette possibilité. Mais ne nous voilons pas la face derrière de jolis discours libertaires, de protection de la vie privée. TOR et ONION sont malheureusement utilisés par des malveillants, des commerçants peu scrupuleux, pouvant offrir drogue, arme, faux papiers, et biens d’autres contenus plus monstrueux encore [Lire le cas de ce croundfowdind du darknet dédié aux pédophiles, NDR]. Il semble que l’opérateur américain Comcast a décidé de mettre tous les utilisateurs de TOR dans le même panier. Si vous utilisez TOR c’est que vous avez des choses à cacher, donc cessez sinon, l’opérateur coupe la connexion des clients récalcitrants. Comcast trace donc ses clients, et décortique ceux qui utilisent le navigateur Tor. Le FAI pense que si vous devez utiliser TOR, c’est obligatoirement pour faire quelque chose d’illicite. Un des clients indique que les employés de Comcast vont jusqu’à stipuler que TOR est illégal !

Dans un mail diffusé sur Reddit, un interlocuteur de Comcast explique que « Les utilisateurs qui essaient d’utiliser l’anonymat, où se cacher sur Internet, le font généralement pour ne pas avoir d’ennuis avec la justice. Nous avons le droit de résilier ou de suspendre votre compte à tout moment en raison du fait que vous violez  les règles. Avez-vous d’autres questions ? Merci d’avoir contacté Comcast« . Hérésie, surtout que TOR… a été conçu, en partie, par l’armée américaine.

Bref, les utilisateurs de TOR, les « gentils » et les « méchants » utilisent, en plus de TOR, une nouvelle couche d’anonymisation, un Virtual Private Network (VPN). Le VPN cache l’utilisation de TOR, et TOR cache l’utilisateur ! Comcast est revenu sur ce courrier en indiquant qu’il n’y avait aucune surveillance de ses clients ! Pour rappel, Comcast a déjà été classé par le projet TOR comment étant un « Bad FAI« .

Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Particuliers, Social engineering, spam, Vie privée

Ashley Madison : 10 Go de données diffusées sur les infidéles

Les pirates informatiques du site Internet Ashley Madison, un espace de rencontres pour adultes à la recherche d’aventures extra conjugales, diffusent 9,7 Gigaoctets de données privées.

Le site Internet AshleyMadison avait confirmé un piratage informatique de son système. Ce portail américain dédié aux rencontres pour adultes à la recherche d’aventures extra conjugales indiquait à l’époque que le chantage des pirates étaient sans grande conséquence, les vilains n’ayant pas vraiment de données sensibles entre les mains.

Quelques semaines plus tard, le roi de l’infidélité se retrouve avec 9.7 Gigaoctets de données dans la nature. Les pirates voulaient manifester sur le fait que le portail demandait 19 dollars aux « clients » afin d’effacer les données de ces derniers. Dans les informations, des mails, beaucoup. Prudence cependant avec ces adresses. Ne pas en tirer une conclusion trop rapide. Dans le lot, très certainement de nombreuses fausses adresses, ou celles de votre patron qu’un concurrent, ou un employé, souhaitaient « embêter ».Ashley Madison ne vérifiait pas les adresses électroniques qui lui étaient adressés.

Détail très intéressant, 5 à 10% des comptes sont féminins, 2/3 sont faux ! Autant dire que le site Ashley Madison fonctionne, en plus, sur du vent ! Au moins ce piratage aura éclairci le plan marketing du pseudo roi de l’infidélité. Dans les données, 15.000 adresses en .mil.gov (armée US) et autant d’adresses en .fr.

Argent, Arnaque, Contrefaçon, Cybersécurité, Entreprise, escroquerie, Mise à jour, Particuliers, Patch, Sécurité, Smartphone, Social engineering

Les cybercriminels ciblent aussi les gamers

A l’occasion de la Gamescom, G DATA a donné quelques conseils afin de ne pas tomber dans les pièges qui ciblent les joueurs.

Le secteur du jeu vidéo a généré en France un chiffre d’affaires de 1,592 milliards d’euros (hors matériel et accessoires) en 2014, selon l’AFJV (Agence Française pour le Jeu Vidéo). Avec 45 % des achats de jeu vidéo qui se réalisent sur des plateformes dématérialisées, les cybercriminels disposent d’un vivier pour leurs tentatives de vols et d’arnaques. Hameçonnage, fausses offres spéciales, malware dédiés au vol d’identifiants de jeu, les pièges ne manquent pas. À l’occasion de la Gamescom de Cologne, G DATA fait un point sur les attaques les plus courantes et donne ses conseils pour les éviter.

« Les cybercriminels se concentrent de plus en plus sur le trafic de clés de jeu vidéo illégales », explique Ralf Benzmüller, directeur du G DATA SecurityLabs, « des malware et campagnes d’hameçonnage dédiés sont utilisés pour voler les données d’accès des plateformes de jeu en ligne. Les joueurs doivent être prudents et vérifier toutes les offres sur Internet avec attention. De plus, il est nécessaire d’utiliser une solution de sécurité. »

Commerce de licences de jeu achetées illégalement

Grâce aux plateformes de jeu telles que Steam ou Origin, les ventes de jeu sur ordinateur sont entrées depuis longtemps dans l’ère de la dématérialisation. L’arnaque la plus courante chez les cybercriminels consiste à acheter des clés d’enregistrement pour les jeux du moment en utilisant des données de cartes bancaires volées. Ces clés sont ensuite vendues moins cher sur des sites de vente entre particuliers ou des sites d’enchères. Mais la joie des joueurs ne sera que de courte durée, car les fournisseurs couperont l’accès après un certain temps.

Les comptes en ligne Xbox Live, PlayStation Network ou encore iTunes n’échappent pas non plus à ce type d’arnaque. À titre d’exemple, il est possible de trouver sur le marché noir cybercriminel des crédits PSN moitié moins chers que leur valeur réelle.

Les exclusivités comme appât

Les gamers sont toujours à la recherche des avant-premières et des dernières captures des jeux en développement. Les cybercriminels le savent et attirent les joueurs vers des sites voués à infecter leur système et voler leurs données de jeu. Actuellement, des noms des jeux à venir tels que Fallout 4, Star Citizen ou Star Wars : Battlefront sont particulièrement ciblés par les attaques.

Jeux sur mobile : des risques nouveaux

Les jeux sur tablette et smartphone connaissent une forte croissance. Avec eux apparaissent de nouveaux risques, notamment liés aux publicités in-app. De nombreux jeux gratuits utilisent la publicité insérée dans le jeu pour se financer. Mais toutes les applications derrière ces publicités ne sont pas bonnes à prendre. Applications faussement gratuites ou infectées sont de la partie. Les paiements in-app sont aussi à prendre en compte, surtout lorsque les appareils sont utilisés par les enfants.

Comment les joueurs peuvent-ils se protéger ?

– Correctifs non officiels et modifications : il est important de n’installer que les mises à jour officielles provenant des fournisseurs de jeu. Une mise à jour venant d’un fournisseur tiers peut se révéler être un malware.
– Spam et emails infectés : les cybercriminels connaissent les jeux attendus et les utilisent pour attirer les gamers. Il faut bien entendu éviter de cliquer sur des liens ou des pièces jointes douteuses.
– Solution de sécurité active : pour optimiser les performances, la tentation de désactiver la solution de sécurité pendant le jeu est grande. C’est justement ce qu’attendent les attaquants !
– Des logiciels mis à jour : Le système d’exploitation et tous les logiciels utilisés doivent être constamment maintenus à jour. Cela empêche les cybercriminels d’utiliser les failles de sécurité.
– Authentification forte : les comptes Steam et Origin proposent des systèmes d’authentification à deux facteurs qu’il est conseillé de mettre en place afin de sécuriser efficacement ces comptes contre le vol.
– Privilégier les plateformes officielles : les gamers doivent opter pour les plateformes de vente officielles. Des tarifs trop bas sur des sites exotiques doivent alerter l’acheteur.

Chiffrement, cryptage, Cybersécurité, Espionnae, Facebook, ID, Identité numérique, Particuliers, Phishing, Social engineering, Vie privée

Facebook ne corrige pas un problème de sécurité

Une vulnérabilité informatique vise le site Facebook, et ses utilisateurs. Un problème qui pourrait mal finir si le géant américain ne corrige pas rapidement.

En avril 2015, Reza Moaiandin, directeur technique pour Salt Agency, découvrait une faille de sécurité dans Facebook. La vulnérabilité pourrait permettre à un pirate de décrypter les identifiants des utilisateurs du portail communautaire. Pour que l’attaque fonctionne, Reza a utilisé des applications (API) proposées Facebook. Un problème qui semble sérieux. La fuite pourrait permettre de recueillir des millions de données personnelles d’utilisateurs (nom, numéro de téléphone, emplacement, images, …).

Facebook a été alerté en avril 2015, mais n’a toujours pas corrigé. Via cette faille, un malveillant peut alors communiquer avec le Facebook GraphQL et obtenir autant de détails que possible, en faisant passer l’ID de la cible, pourtant chiffrée, à la moulinette.

En utilisant un script maison, Reza a testé sa découverte. Bilan, la fuite de données est exponentielle et  risque de devenir un problème sérieux si aucune limite est mise en place par Facebook. « La communication avec ces API doit être pré-chiffrée, explique Reza, et d’autres mesures doivent être mises en place avant que cette faille ne soit découverte par quelqu’un de beaucoup plus dangereux. » Le chercheur indique avoir trouvé cette faille, par hasard !

Argent, Cybersécurité, Entreprise, escroquerie, Fuite de données, ID, Identité numérique, Particuliers, Phishing, Social engineering, spam, Vie privée

Votre adresse mail vaut de l’or

2 commentaires

300.000 adresses électroniques de Belges à 300 dollars. Plus de 1 million de mails de Français pour 400 $. Autant pour 600.000 Suisses. Le business des adresses mails ne connait pas la crise.

Le business du spam va bien, merci pour lui. Des sociétés se sont même spécialisées dans la commercialisation d’adresses électroniques « à haute valeur ajoutée » indique l’un d’eux. Dernier cas en date, la proposition de la « société » chinoise Weng Jiao. 102 pays proposés, plusieurs millions d’adresses électroniques disponibles, classées par régions, professions, …

Plusieurs millions d’adresses électroniques disponibles pour des spams.

Par exemple, 5 millions d’adresses mails « en vrac » coutent 999 dollars chez cet E-mail addresses databases service. L’acheteur souhaite cibler un pays précis, pas de problème : 358.868 adresses électroniques appartenant à des belges coutent 300 dollars. 1.393.935 million de mails made un France, 400 $. Vous visez des Suisses ? 641.143 mails pour 400 dollars.

La plus importante des BDD est celle de l’Allemagne, avec 3.678.748 pourriels possibles. La Russie, 2.006.321. Le Canada, l’Australie et les USA sont proposés à 1.288.691, 1.087.139 et 888.530 adresses à spammer. Le reste des pays, entre 1200 et 40.000 mails sont vendus entre 50 et 120 dollars. Le commerçant propose aussi de quoi envoyer les messages et les preuves de la diffusion.

Ces possibilités ont été volées dans des boutiques en ligne, des forums mal protégés ou par de simple phishing sous forme de faux jeux. L’important pour le vendeur, comme pour l’acheteur, qu’un humain soit bien présent derrière la missive. A noter que certaines arnaques permettent de valider ou non l’adresse. Le bouton/lien « Désinscription » – « Unsubscribe » assure aux vendeurs d’adresses que derrière l’arobase se cache bien un futur spammé. A noter que certains mots clés Google sont particulièrement efficace pour faire ressortir des bases de données mails du moteur de recherche américain. Bref, prudence quand vous vous inscrivez quelque part. Préférez une adresse unique par service, ainsi, en cas de vol/utilisation, il vous suffira de fermer le compte en question.

Argent, Arnaque, Bitcoin, Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Logiciels, Paiement en ligne, Particuliers, Piratage, ransomware, Social engineering

TeslaCrypt 2.0 : jeu, chiffre et match

Le ransomware crypteur TeslaCrypt 2.0 travestit son identité pour réclamer une rançon de 500 dollars La plupart des infections par TeslaCrypt se produisent aux Etats-Unis, en Allemagne et en Espagne, suivis de l’Italie, de la France et du Royaume-Uni.

Kaspersky Lab a détecté un comportement curieux dans une nouvelle menace de la famille de ransomwares crypteurs TeslaCrypt. La version 2.0 du cheval de Troie notoirement connu pour infecter les ordinateurs de joueurs affiche en effet dans le navigateur une page HTML qui est une réplique exacte de CryptoWall 3.0, un autre ransomware célèbre. Sans doute les criminels le font-ils avec une intention bien précise : à ce jour, de nombreux fichiers cryptés par CryptoWall n’ont pas pu être décryptés, ce qui n’est pas le cas pour de multiples exemples observés d’infection par TeslaCrypt. Une fois l’infection réussie, le programme malveillant réclame une rançon de 500 dollars/Euros sous forme de bitcoins en échange de la clé de décryptage ; si la victime tarde à obtempérer, le montant de la rançon double.

Les premiers échantillons de TeslaCrypt ont été détectés en février 2015 et ce nouveau cheval de Troie s’est acquis une notoriété immédiate auprès de joueurs sur ordinateurs. Parmi d’autres types de fichiers ciblés, il tente d’infecter des fichiers typiques de l’univers des jeux : parties sauvegardées, profils d’utilisateurs, replays, etc. Cependant, TeslaCrypt ne crypte pas les fichiers dont la taille est supérieure à 268 Mo.

Mécanisme d’infection
Quand TeslaCrypt infecte une nouvelle victime, il génère une adresse Bitcoin distincte pour recevoir le paiement de sa rançon, ainsi qu’une clé secrète permettant de lever le cryptage. Les serveurs de commande C&C de TeslaCrypt se trouvent dans le réseau Tor. La version 2.0 du cheval de Troie utilise deux jeux de clés : l’un est unique au sein d’un système infecté, l’autre est généré à répétition chaque fois que le programme malveillant est relancé dans le système. En outre, la clé secrète servant à crypter les fichiers de l’utilisateur n’est pas enregistrée sur le disque dur, ce qui complique nettement leur décryptage.

Les malwares de la famille TeslaCrypt ont été observés se propageant via les kits d’exploitation de vulnérabilités Angler, Sweet Orange et Nuclear. Dans ce mécanisme de propagation, la victime visite un site Web infecté et le code malveillant exploite des vulnérabilités du navigateur, le plus souvent dans des modules additionnels, pour installer le malware spécialisé sur l’ordinateur cible.

Recommandations aux utilisateurs
·         Effectuez régulièrement des sauvegardes de tous vos fichiers importants. Les copies doivent être conservées sur des supports déconnectés physiquement de l’ordinateur aussitôt la sauvegarde effectuée.

·         Il est vital de mettre à jour vos logiciels à mesure que de nouvelles versions sont disponibles, en particulier votre navigateur et ses modules additionnels.

·         Au cas où un programme malveillant parvient néanmoins à s’infiltrer dans votre système, il sera le plus efficacement contré par la dernière version en date d’une solution de sécurité dont les bases de données sont actualisées et les modules de protection activés.

Argent, Banque, Chiffrement, cryptage, Cybersécurité, Emploi, Entreprise, escroquerie, Espionnae, Fuite de données, ID, Identité numérique, loi, Particuliers, Sauvegarde, Social engineering, Téléphonie, Vie privée

Fuite de données dans les poubelles de Motel 6

Retrouver des photocopies de permis de conduire, des copies de plaques d’immatriculations, des signatures ou encore des identités à la sortie d’un Hôtel, voilà une fuite de données pas courante… ou presque.

La chaîne américaine d’hôtels, Motel 6, fait face à une fuite de données peu courante. Une cliente a découvert des centaines de dossiers aux pieds des poubelles d’une des structures hôtelière du groupe. En regardant les dossiers, des contenus privés et sensibles allant des photocopies de permis de conduire, des numéros de téléphones, des numéros de plaques d’immatriculation et même des signatures de clients.

A première vue l’Oncle Sam a du mal à faire comprendre à certaines entreprises comment bien détruire les données privées et sensibles qu’elles collectent. Comme ces confettis utilisés pour fêtes les championnes du monde de football qui n’étaient rien d’autre que des dossiers médicaux découpés en petites bandes de papier… pour faire la fête ! (Image KalTv)

Android, Arnaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, ID, Identité numérique, Logiciels, Microsoft, Mise à jour, Particuliers, Patch, Phishing, Scam, Sécurité, Smartphone, Social engineering, spam, Vie privée, Windows phone

Faille dans Skype ? Microsoft vous invite à changer votre mot de passe

Un nombre indéterminé d’utilisateurs Skype harcelés par des messages frauduleux. Microsoft enquête et propose aux clients de son outil de communication de changer leur mot de passe.

Microsoft cherche comment des pirates informatiques, adeptes de spams publicitaires, peuvent bien s’inviter dans les comptes de ses utilisateurs Skype. Depuis des semaines, des publicités non sollicitées et des messages « malveillants » s’invitent dans des centaines de compte. Phishing ? Faille ? La firme de Redmond semble avoir du mal à trouver le problème.

Microsoft a conseillé aux utilisateurs de Skype de changer leur mot de passe. L’équipe Skype a déclaré, de son côté, qu’une enquête sur la question était « en cours ». A noter que plusieurs failles Skype existent depuis plusieurs mois, dont celle qui permet de retrouver l’ip derrière un pseudonyme, et vice-versa. Une possibilité que certains sites commercialisent. Les messages malveillants apparaissent sous forme de lien Google [goo*gl/92829Yj]

Chiffrement, cryptage, Cybersécurité, Entreprise, escroquerie, Espionnae, Fuite de données, ID, Identité numérique, Justice, Leak, Particuliers, Phishing, Piratage, santé, Social engineering, Vie privée

Piratage pour l’UCLA : 4,5 millions de patients dans la nature

La semaine dernière, dans l’émission 25 (Saison 4) de ZATAZ Web TV, je poussais un petit coup de gueule sur nos informations mal menée par les entreprises qui nous les collectent et par les pirates qui louchent dessus. Nouvel exemple en date, aux USA, avec le piratage de 4,5 millions de patients de l’UCLA, l’Hôpital de l’University of California.

Des pirates informatiques se sont invités dans le réseau hospitalier de l’Université de Californie, Los Angeles. Ils ont pu accéder à de nombreux ordinateurs et collecter pas moins de 4,5 millions de dossiers sensibles de patients, élèves, enseignants, personnels administratifs. Parmi les informations volées : Noms, information médicale, numéros de sécurité sociale, numéros d’assurance-maladie, ID de plan de santé, les dates d’anniversaires et les adresses physiques. Des informations « potentiellement » volées, selon l’université. Cela pourrait toucher toutes les personnes ayant visité – ou travaillé – dans les services médicaux de l’université UCLA. Un vaste secteur qui comprend quatre hôpitaux et 150 bureaux à travers le sud de la Californie. UCLA Santé a alerté le département de la justice américaine. L’attaque aurait été découverte voilà 2 mois, le 5 mai 2015. (Fox)

Argent, Banque, Chiffrement, cryptage, Cybersécurité, Emploi, Entreprise, escroquerie, Espionnae, Fuite de données, ID, Identité numérique, Particuliers, santé, Social engineering

La Garde Nationale Américaine visée par une fuite de données

Les anciens et actuels membres de la Garde nationale de l’armée américaine pourraient être affectés par une violation de leurs renseignements personnels à la suite d’une fuite informatique de leurs données.

Cet incident n’a pas de rapport avec la violation des renseignements personnels de 19,7 millions d’employés « civils » du gouvernement fédéral américain (+ 1,8 millions de personnels extérieurs) à la suite de deux piratages de l’Office of Personnel Management (OPM). La nouvelle fuite du jour vise le centre de la Garde Nationale de l’armée américaine, le National Guard Bureau. « Tous les membres de la Garde nationale de l’armée, actuels et anciens, et cela depuis 2004, pourraient être affectés par cette violation » confirme un fonctionnaire américain. Les données ont été transférées par inadvertance à un centre de données qui n’était pas accrédité par le Département de la Défense. Earl Brown, porte-parole du National Guard Bureau, indique que les données concernées comprennent les noms des soldats, les numéros complets de sécurité sociale, les dates de naissance et les adresses physiques des militaires. Le Bureau de la Garde nationale a mis en place une page Web dédiée à cette fuite.

Pour l’OPM, se sont deux piratages qui ont été découverts. En Avril 2015, l’OPM découvrait que les données personnelles de 4,2 millions d’employés du gouvernement fédéral, anciens et actuels, avaient été volées. Lors de l’enquête, il était relevé un autre vol, en juin 2015 cette fois. Les données sensibles, dont le numéro de sécurité sociale US (qui peut permettre, par exemple, d’ouvrir un compte en banque, NDR), ont été subtilisées à 21,5 millions de personnes sauvegardées dans les bases de données de l’OPM.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, Propriété Industrielle, Social engineering

Vos ex-collaborateurs emportent avec eux plus que vous ne croyez

Selon le Bureau des statistiques du travail des États-Unis (Bureau of Labor Statistics), 965 000 personnes ont quitté leur poste dans l’industrie des services en 2014. À l’âge des fuites de données massives, des exigences en matière de conformité et des budgets IT réduits, l’on se pose inévitablement les questions suivantes : Ces entreprises ont-elles fermé les comptes, droits de connexion et accès aux informations d’entreprise de leurs ex-collaborateurs ? Ont-elles récupéré leurs biens matériels et logiciels d’entreprise ?

Les réponses sont surprenantes. Selon une enquête menée auprès d’ex-collaborateurs par Osterman Research et Intermedia, c’est stupéfiant : 89 % des personnes interrogées ont conservé l’accès à au moins une application d’un précédent employeur et 45 % ont toujours accès à des données confidentielles. Un nombre surprenant (49 %) de ces personnes admet s’être connecté à un compte après avoir quitté l’entreprise.

Comment expliquer qu’un si grand nombre d’entreprises aient négligé de prendre des précautions simples et de bon sens concernant leurs anciens collaborateurs ? Le plus souvent, c’est dû aux processus et outils d’accueil et de départ des collaborateurs qui sont peu performants. Dans de nombreuses entreprises, ces processus et workflows sont non seulement manuels et un peu hasardeux, mais ils reposent sur de nombreux acteurs différents qui interagissent rarement.

Il est fréquent qu’un nouveau collaborateur doive s’adresser à une personne pour obtenir un téléphone, à une autre pour un ordinateur portable, et encore une autre pour avoir un compte d’e-mail et un accès réseau. Lorsque ce collaborateur quitte l’entreprise, on ne sait plus vraiment qui est responsable de la récupération de tous ces équipements et logiciels : le supérieur du collaborateur ou toutes les personnes citées plus haut. À moins qu’une seule personne ou un seul outil ne fasse le suivi de tous les biens et processus, des failles sont inévitables.

Les piètres performances des outils et processus d’accueil des nouveaux collaborateurs et de départ des anciens sont nuisibles pour de nombreuses raisons, notamment : Productivité, Finances, Sécurité et Conformité. La meilleure façon d’éviter les faiblesses dans la gestion des biens, et l’accueil ou le départ des collaborateurs, consiste à consolider et à automatiser les processus.

Commencez par regrouper tous les processus hétérogènes qui interviennent dans l’accueil ou le départ des collaborateurs pour réduire leur nombre autant que possible. Lorsqu’un nouveau collaborateur arrive, un seul processus doit lui fournir tous les biens (équipements, logiciels, accès aux e-mails, aux applications et autres comptes, etc.) nécessaires pour qu’il puisse commencer à travailler. Les départements IT ou RH doivent générer une liste unique des biens affectés, sur la base du rôle du nouveau collaborateur dans l’entreprise.

Tous les processus d’arrivée et de départ des collaborateurs doivent être aussi automatisés que possible, car des processus et workflows manuels disparates génèrent souvent des erreurs, des omissions et des non-respects (intentionnels ou non) des processus.

Un solide outil de gestion du cycle de vie des biens s’avère utile, en automatisant les workflows de processus qui accélèrent toutes les notifications, étapes et approbations nécessaires pour effectuer avec succès les opérations d’accueil ou de départ d’un collaborateur. Comme ils font le suivi de tous les biens matériels et logiciels, de l’approvisionnement à l’affectation, la réaffectation et jusqu’à la mise au rebut, les outils de cycle de vie des biens permettent de déterminer rapidement la disponibilité des biens, et de les réaffecter à d’autres rôles ou individus. Vous pouvez également récupérer et réaffecter des biens lorsqu’un collaborateur change de poste ou quitte l’entreprise, ce qui accélère l’approvisionnement en nouveaux biens si aucun n’est disponible. Vous garantissez ainsi qu’aucun bien ni accès ne quitte l’entreprise, ni ne reste inutilisé.

Les processus de gestion des biens et d’arrivée/départ de collaborateurs sont truffés d’erreurs, donc générateurs de risques et de dépenses inutiles. Vous connaissez les biens dont vous disposez, leur emplacement et leurs performances. Ainsi, les nouveaux collaborateurs sont plus rapidement productifs et les entreprises évitent les failles de sécurité, les dépenses inutiles et les amendes pour non-conformité. (Par Jacob Christensen, pour DataSecurityBreach.fr, Marketing Product Manager chez LANDESK)

Banque, Chiffrement, cryptage, Cybersécurité, Entreprise, escroquerie, Facebook, Fuite de données, Identité numérique, Mise à jour, Paiement en ligne, Particuliers, Patch, Social engineering, Twitter

Durant les vacances, sécurisez vos connexions wifi, smartphone, tablette et ordinateur

Un commentaire

Vous allez partir en vacances ? Pensez à sécuriser votre téléphone, votre tablette, votre ordinateur portable des regards indiscrets. Voici quelques astuces.

Comme le rappel ZATAZ.COM, avant votre départ, pensez à vous créer un compte électronique dédié uniquement à vos vacances. Ainsi, à la fin de votre séjour, de retour à votre domicile, au bureau, ce compte éphémère pourra être mis en sommeil, jusqu’à vos prochains congés. Si vous n’avez pas le choix, et que vous devez utiliser un de vos comptes emails habituels, achetez un accès VPN. Certaines sociétés, comme HideMyAss, proposent d’acquérir un abonnement d’un mois, le temps de votre déplacement. Un VPN sécurisera vos connexions et les contenus que vous consultez (mails, sites Internet, …).

Méfiez-vous aussi de votre chambre d’hôtel. Pensez à chiffrer le disque dur, ou du moins, un espace qui ne sera pas lisible au petit curieux qui accéderez à son contenu. Ne pensez pas que le mot de passe qui protège la session de votre ordinateur est un rempart parfait. Un truc simple pour protéger les fichiers que vous avez sur votre machine, utilisez 7zip, un logiciel gratuit qui permet d’enfermer, dans un conteneur informatique, les fichiers de votre choix. Il suffit de chiffrer le contenu via l’option dédiée. De l’AES-256 efficace en 2 clics de souris.

Pour finir, n’utilisez pas les ordinateurs en libre service proposés dans les aéroports, les hôtels, … pour accéder à vos espaces privés (webmail, …). Cela vous évitera de laisser des données sensibles et privées en accès libre alors que vous pensiez les avoir effacé.

Banque, BYOD, Cloud, Cybersécurité, Entreprise, Fuite de données, Justice, Paiement en ligne, Sauvegarde, Social engineering

Piratage de données bancaires pour le groupe Hôtelier Trump ?

Une alerte concernant une importante fuite de données bancaires touche le groupe Hôtelier du milliardaire américain Donald Trump.

Décidément, l’ambiance n’est pas à la fête pour le milliardaire américain Donald Trump. Son concours de Miss USA vient d’être rejeté des chaines de télévisions Univision et NBC après des propos racistes du candidat aux présidentielles américaines. Donald Trump considérant les migrants mexicains comme des personnes dangereuses.

L’homme d’affaire doit faire face à un nouveau problème de taille. Il semble que ses hôtels ont été victimes d’un piratage informatique. Pour le moment le groupe hôtelier n’a pas confirmé. Par la bouche de son vice-président, Eric Trump, l’entreprise explique enquêter sur de très nombreuses plaintes concernant des utilisations frauduleuses de cartes bancaires de clients.

D’après une enquête en cours au sein de Visa et MasterCard, plusieurs hôtels Trump sont concernés dont ceux de Chicago, Honolulu, Las Vegas, Los Angeles, Miami, et New York. Un pirate serait passé par un serveur centralisateur ? Les premières fuites ont été détectées en Février à 2015.

En mars 2015, c’était le groupe Mandarin Oriental d’être touché par une fuite de données. En avril, et pour la seconde fois en 1 an, le White lodging.

BYOD, Cloud, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, ID, Identité numérique, Leak, Mise à jour, Particuliers, Patch, Piratage, Social engineering, Vie privée

Piratage dans le petit monde de la TV connectée

Le service PLEX, spécialisé dans la diffusion de films dans les télévisions connectées, piraté. Les clients sont invités à changer leur mot de passe.

Des pirates informatiques ont réussi à prendre la main sur le forum et le blog du serveur de l’entreprise Plex. La société, dont le logiciel éponyme permet de diffuser des films, photos et vidéo sur sa télévision connectée, vient d’avertir ses clients et propose de changer le mot de passe utilisé pour accéder à ses services. Le pirate aurait eu accès aux adresses IP, messages privés, courriels et aux mots de passe (chiffrés MD5, NDR) du forum.

Dans un message, la société a attribué le problème à une vulnérabilité PHP/IPB qui a permis au pirate de mettre la main sur les données. DataSecurityBreach.fr peut confirmer qu’un pirate, du nom de Savaka, a réclamé 1500 £ pour ne pas diffuser les informations volées. Il a prouvé son passage en modifiant la page index de l’administration du site.

Dear Plex User,

Sadly, we became aware this afternoon that the server which hosts our forums and blog was compromised. We are still investigating, but as far as we know, the attacker only gained access to these parts of our systems. Rest assured that credit card and other payment data are not stored on our servers at all.

If you are receiving this email, you have a forum account which is linked to a plex.tv account. The attacker was able to gain access to IP addresses, private messages, email addresses and encrypted forum passwords (in technical terms, they are hashed and salted). Despite the password encryption measures, we take your privacy and security very seriously, so as a precaution, we’re requiring that you change your password.

Be sure to choose a strong password, never share it, and never re-use passwords for different accounts! Even better, use a password manager (1Password, for example) to manage a unique password for you. Access to your Plex account will be blocked until you do so.

Please follow this link to choose a new password.
We’re sorry for the inconvenience, but both your privacy and security are very important to us and we’d rather be safe than sorry!
We will post more detailed information on our blog shortly. Thanks for using Plex!

The Plex Team

Android, Cybersécurité, Identité numérique, ios, Particuliers, Sécurité, Smartphone, Social engineering, Vie privée, Windows phone

Amnésie numérique : comment les smartphones nous font perdre la mémoire

L’« effet Google », ou l’impact sur notre mémoire de toujours trouver les informations sur Internet[i], s’étend aujourd’hui à nos informations personnelles essentielles conservées sur les mobiles, selon une nouvelle étude de Kaspersky Lab.

Cette étude révèle en effet que la majorité des consommateurs européens connectés, du moins ceux interrogés par l’éditeur de solution de sécurité informatique, ne connaissent pas par cœur des numéros de téléphone de première importance, tels que :

– ceux de leurs enfants 57 % (58 % pour la France) :
– de leur école, 90 % (même chiffre pour la France) ;
– de leur propre lieu de travail à 51 % (51,5% pour les Français).

« Près de la moitié (43 %) des 16-24 ans répondent en outre que leur smartphone contient à peu près tout ce qu’ils doivent savoir ou se rappeler »

Environ un tiers d’entre eux (français comme européens) ne se souviennent pas du numéro de la personne qui partage leur vie, alors même que seuls 4 sur 10 ont oublié celui de l’endroit où ils vivaient durant leur adolescence. 6 000 consommateurs âgés de 16 ans ou plus, dans six pays européens ont été interrogés. Les résultats de cette enquête révèlent notre incapacité à retenir des informations importantes compte tenu du fait que nous les enregistrons souvent sur nos smartphones. Près de la moitié (43 %) des 16-24 ans répondent en outre que leur smartphone contient à peu près tout ce qu’ils doivent savoir ou se rappeler. Les français sont 32 % à déclarer cela, toutes tranches d’âges confondues. Un phénomène qualifié d’amnésie numérique, c’est-à-dire le fait d’oublier les informations que nous conservons dans un appareil numérique.

L’étude fait apparaître l’existence de cette amnésie numérique parmi toutes les tranches d’âge et sa répartition est uniforme entre les deux sexes. Ainsi, 42 % des Français seraient vraiment dévastés de perdre les données de leurs appareils mobiles car ils ne pourraient plus avoir accès à tous leurs souvenirs stockés dessus – 17,6 % seraient complètement paniqués par une telle éventualité. En outre, 71,9 % des Français déclarent utiliser Internet comme une extension de leur cerveau, ce chiffre atteignant même 83 % chez les jeunes européens âgés de 16 à 24 ans. Pour Laurence Allard, Maître de conférences et Sociologue des usages innovant à l’Université Lille 3/IRCAV-Paris 3 : « le smartphone est également le support d’usages mémoriels et fait pour certains office de « prothèse cérébrale ». Selon la sociologue, cette tendance devient presque paradoxale puisqu’elle « suppose d’user de fonctionnalités ou de services numériques pour actionner une mémorisation par la technologie »

Autre résultat guère surprenant, l’étude révèle que la perte ou le piratage de données stockées sur les appareils numériques, en particulier les smartphones, aurait des conséquences dévastatrices pour de nombreux utilisateurs :

– 17 % des français avouent ainsi que leur terminal mobile est le seul endroit où ils mémorisent leurs photos et leur carnet d’adresses et qu’ils seraient catastrophés s’ils perdaient définitivement leurs souvenirs enregistrés sur leur appareil. Ce chiffre atteint 40 % chez les 16-24 ans interrogés.
Il est donc préoccupant qu’en dépit de la confiance croissante que les utilisateurs ont dans leurs appareils numériques, ils ne protègent pas suffisamment leurs équipements à l’aide de solutions de sécurité. C’est notamment le cas des smartphones et des tablettes :

– à peine 1 smartphone sur 3 (34 %) et un quart des tablettes (24 %) en sont équipés,
– tandis qu’1/5e (21 %) de ces appareils n’est pas du tout protégé.

« Les appareils connectés nous apporte beaucoup au quotidien mais ils engendrent aussi une amnésie numérique. Nous devons en saisir les conséquences à long terme sur la façon dont nous conservons et protégeons nos mémoires. Les numéros de téléphone de nos proches étant désormais accessibles d’un simple clic, nous ne nous donnons plus la peine de les mémoriser. En outre, une majorité écrasante (86 %) des personnes interrogées estime que, dans un monde de plus en plus hyper-connecté, nous avons bien trop de numéros, d’adresses, de codes, etc. à connaître que notre mémoire ne peut en retenir. Nous avons découvert que la perte ou le piratage de ces précieuses informations ne serait pas seulement une gêne, mais une source de profonde détresse pour bon nombre d’entre nous. Kaspersky Lab s’engage à aider les utilisateurs à comprendre les risques auxquels leurs données pourraient être exposées, et à leur fournir les moyens de maîtriser ces risques, en installant par exemple des logiciels de sécurité afin de protéger leurs équipements et leurs contenus », commente à datasecuritybreach.fr David Emm, chercheur principal en sécurité chez Kaspersky Lab.

« Le fait d’oublier n’est pas en soi une mauvaise chose. Nous disposons d’une formidable faculté d’adaptation et nous ne nous souvenons pas de tout car ce n’est pas dans notre intérêt. L’oubli devient cependant un handicap lorsqu’il porte sur des informations qu’il nous faut impérativement retenir », souligne le Dr Kathryn Mills de l’UCL Institute of Cognitive Neuroscience de Londres. « L’une des raisons pour lesquelles les consommateurs se soucient moins de retenir les informations s’explique par le fait qu’ils les confient trop souvent à des appareils connectés. En effet, dans de nombreuses sociétés, l’accès à Internet paraît aussi stable que celui au réseau d’électricité ou d’eau. »

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, loi, Mise à jour, Patch, santé, Social engineering

Nos données de santé, source de convoitises pour les pirates

2 commentaires

91% des entreprises de santé interrogées ont subi une violation de leurs données au cours de ces 2 dernières années selon l’étude « Privacy and Security of Healthcare Data » du Ponemon Institute et seulement 32% pensent avoir les ressources suffisantes pour parer ces incidents1. La majorité des entreprises de santé sont désarmées et ne sont absolument pas en mesure de répondre à la Réglementation européenne sur la Protection des Données qui devrait être mise en application très prochainement.

L’étude Ponemon montre que, pour la première fois, les attaques criminelles sont la première cause de violations de données de santé. Jusqu’alors, la perte ou le vol d’ordinateurs, de tablettes ou de smartphones par négligence avait conduit à des violations de données. Aujourd’hui, les choses ont évolué. Nous passons des violations de données accidentelles ou opportunistes aux violations de données intentionnelles. Une tendance qui s’affirme. Les cybercriminels ciblent de plus en plus les données médicales. Ils exploitent cette mine de renseignements personnels, financièrement lucratifs. Les centres hospitaliers, laboratoires d’analyses médicales, pharmacies… ne disposent malheureusement pas des ressources, des processus et des technologies pour prévenir et détecter les attaques contre les données sensibles qu’elles manipulent. Leur défaillance, régulièrement pointée du doigt par les médias, se traduit par la fuite des données sensibles de leurs patients. On se souvient par exemple, des centaines de résultats d’analyses médicales provenant d’une soixantaine de laboratoires, accessibles sur Internet à cause d’une faille2 ou de la publication du dossier médical de Michael Schumacher3.

Si l’on observe une légère hausse des investissements des organisations de santé pour protéger les informations médicales, ces efforts restent cependant insuffisants pour contrer les cyber-menaces qui évoluent très rapidement. La moitié des entreprises de santé ont peu confiance – parfois même pas du tout – dans leur capacité à détecter une perte ou un vol de données de leurs patients.

Une faiblesse en décalage avec les obligations légales
En France, les informations relatives à l’état de santé physique et psychique d’un patient sont des données personnelles, soumises au Code de la santé publique et à la loi Informatique et Liberté. La Réglementation générale sur la protection des données, en cours d’adoption par le Conseil de l’Union Européenne vient compléter la législation française. Les professionnels et les établissements de santé sont strictement tenus au respect des obligations concernant la collecte, l’utilisation, la communication, le stockage et la destruction des données à caractère personnel. En pratique, les professionnels de la santé doivent prendre toutes les précautions nécessaires pour empêcher que ces données soient modifiées, effacées (par erreur ou volontairement) et que des tiers non autorisés y aient accès.

L’absence de mise en œuvre de mesures de sécurité est considérée comme une atteinte grave à la protection de la vie privée et peut être pénalement sanctionnée (amende et emprisonnement). Cependant, de nombreux professionnels ont des difficultés à se mettre en conformité avec la réglementation. En milieu hospitalier, par exemple, médecins, infirmiers et personnel administratif n’ont pas toujours été sensibilisés aux règles à respecter en matière de sécurité et de confidentialité des données.

Une réglementation unique pour toute l’Europe
La mise en œuvre de la future Réglementation sur la Protection des Données qui s’effectuera de manière identique dans tous les pays membres contrairement à la Directive actuelle, devrait avoir d’importantes conséquences sur l’organisation de l’entreprise. Comment respecter cette norme qui va engendrer des changements au niveau de la collecte, du stockage, de l’accessibilité et de l’utilisation des données ?

Toute violation des données devra obligatoirement être déclarée. Concrètement, un système actif de surveillance des échanges et des flux de données devient nécessaire. Il convient en premier d’examiner avec attention le rôle et la responsabilité des différents acteurs de l’entreprise manipulant les dossiers médicaux. Il faut engager une sensibilisation forte au respect des bonnes pratiques, puis établir une politique de sécurité et de protection des données. On commence par évaluer les risques pour décider les actions à adopter, en fonction des faiblesses de l’établissement de santé. Le point clé est la visibilité sur la circulation des données au sein du réseau, compte tenu du risque que leur transmission génère. La mise en place d’une solution de SIEM* est le moyen efficace pour surveiller la sécurité des systèmes informatiques, contrôler l’accès aux systèmes où sont stockées les données médicales et recevoir des alertes quand on y accède. Les logs fournissent une vision complète et exacte de ce qui a été consulté. Informer rapidement les organismes de réglementation en cas de violation des données devient alors possible ainsi que configurer des rapports prouvant la conformité à la Réglementation.

Anticiper la mise en place de solutions efficaces
La communauté des entreprises de santé partage des données vulnérables et offrent une grande surface d’attaque avec de nombreux points d’accès aux cybercriminels de plus en plus habiles à dérober et exploiter des informations personnelles. Aussi convient-il de faire appel à des experts pour mettre en place dès à présent ces exigences en matière de sécurité et de conformité. On peut bien sûr penser que rien ne presse, la mise en œuvre effective de la réglementation étant prévue après une période de deux ans. L’expérience montre que l’examen d’une structure organisationnelle ainsi que les mises à niveau nécessaires du système prennent du temps. (par Frédéric Saulet, pour DataSecurityBreach.fr, Directeur Régional Europe du Sud de LogPoint)

* SIEM : Security Information and Event Management – Le principe du security information management est de gérer les événements du système d’information (Wikipédia).

backdoor, Chiffrement, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, Mise à jour, pourriel, Propriété Industrielle, ransomware, Sauvegarde, Social engineering

Les collaborateurs, première menace pour les données de l’entreprise ?

Selon une récente étude[1] réalisée en France, les salariés seraient très confiants quant à la sécurité informatique au sein de leur entreprise. En effet, seuls 36% d’entre eux pensent qu’elle a déjà été la cible de hackers alors qu’en réalité, 90% des organisations reconnaissent avoir déjà subi une attaque. En outre, 85% des personnes interrogées estiment que leur entreprise est bien protégée contre les cyber-attaques et les hackers.

Des résultats qui révèlent une importante contradiction entre la perception des employés et la réalité des risques actuels qui planent sur les ressources et les données d’une organisation alors que les menaces se multiplient et sont de plus en plus sophistiquées. Jean-Pierre Carlin, Directeur Europe du Sud chez LogRhythm, a fait les commentaires suivants : « Ces chiffres sont surprenants dans la mesure où les affaires de faille de sécurité et de vol de données massifs font très régulièrement la une des médias depuis quelques mois. Ce sentiment de confiance représente une véritable porte ouverte aux hackers car si les collaborateurs n’ont pas conscience des risques qui planent sur les données et les ressources de l’entreprise, il y a fort à parier pour que les bonnes pratiques et les procédures essentielles en matière de sécurité ne soient pas non plus appliquées, voire négligées ».

En outre, ce n’est pas parce qu’une entreprise est protégée qu’elle ne subira pas d’attaque, ce que semblent pourtant penser les employés interrogés. En effet, des hackers qui souhaitent pénétrer au sein d’un système d’information finiront tôt ou tard par y parvenir, même si cela prend du temps.

Pour que les collaborateurs aient une perception en adéquation avec la réalité, les entreprises doivent impérativement poursuivre leurs efforts pour les sensibiliser aux cyber-risques, aussi bien pour leurs données personnelles que pour celles de l’organisation, ainsi qu’aux conséquences préjudiciables que peut entrainer une fuite de données. La formation de l’ensemble des membres d’une organisation aux risques, aux différents types d’attaques potentielles ainsi qu’à l’application systématique des bonnes pratiques représentent la base pour initier une stratégie globale de sécurité efficace. Le contrôle d’accès, la vigilance relative aux emails ainsi que le renouvellement régulier des mots de passe font notamment partie des mesures indispensables. En outre, les responsables de la sécurité doivent mettre en place un dispositif de sanction pour les employés qui ne respectent pas les règles imposées par l’entreprise, pour une meilleure implication mais aussi pour engager leur responsabilité.

Selon l’étude Capgemini, 28% des personnes interrogées estiment que la politique de sécurité informatique de leur société n’est pas vraiment claire, voire pas du tout, et 39% déclarent ne pas la connaître. Ces résultats révèlent un manque d’information et peut-être un manque d’implication de la part des directions à se saisir de ces problématiques auquel les entreprises doivent rapidement remédier. Pour les entreprises qui ne possèdent pas forcément les ressources en interne (un CSO par exemple, responsable principal de la sécurité), l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) et la Confédération Générale du Patronat des Petites et Moyennes Entreprises (CGPME) ont publié en mars dernier un guide des bonnes pratiques pour les PME. Cette excellente initiative répond à l’urgente nécessité de sensibiliser les salariés aux conséquences qui peuvent résulter d’une simple négligence et des règles de base à respecter, et aide les organisations en leur proposant une expertise adaptée à leurs besoins. Nous les encourageons donc vivement à partager ce guide en marge de leur stratégie globale de sécurité pour une meilleure information, prévention et prise de conscience des risques qui conduiront à l’adoption des bons réflexes.

La contradiction entre la perception de la cyber-sécurité par les salariés et la réalité met en avant le fait que l’humain reste l’un des maillons faibles d’une organisation. Les hackers le savent très bien, c’est la raison pour laquelle ils sont à l’affût du moindre faux pas. Dans ce contexte, la protection des données et des ressources représente aujourd’hui un véritable défi pour les entreprises. Il est donc primordial de faire prendre conscience aux employés que les cyber-risques sont réels, que les attaques ne sont pas uniquement portées sur les grandes organisations connues, et qu’ils peuvent eux-mêmes en être à l’origine. Avec une plus grande implication de la direction générale pour la formation de l’ensemble des collaborateurs, associée aux initiatives des autorités régissant la sécurité informatique, les entreprises vont pouvoir renforcer la protection de leurs données ainsi que l’efficacité de leur politique de sécurité, un enjeu majeur à l’heure où les cyber-attaques sont devenues monnaie courante.

[1] Etude « La Cybersécurité vue par les collaborateurs » menée par Opinion Way pour Capgemini auprès d’un échantillon de 1010 salariés français de bureau d’entreprises privées en mai 2015