Archives de catégorie : Fuite de données

Entreprise, Fuite de données, Leak

2,6 millions de CB piratés chez Michaels

En mars dernier, plusieurs grandes enseignes américains annonçaient le pirate de plusieurs millions de données bancaires. Des pirates informatiques étaient passés par là. Alors que les chiffres tombés, la société Michaels étaient averti du probable passage dans ses serveurs d’un visiteur malveillant. L’entreprise, après deux mois d’enquête, vient de confirmer le vol d’environ 2.6 millions de données de cartes de paiement. Les données compromises : numéros de CB, la date d’expiration pour les cartes de paiement. Michaels indique dans son communiqué de presse « Qu’il n’existe aucun preuve de la consultation (par le pirate, Ndr) des noms, codes PIN et autres adresses des adresses ». Le piratage aurait eu lieu entre le 8 mai 2013 et le 27 Janvier 2014. L’entreprise déclare que ce piratage n’a touché que 7% des cartes utilisées dans les magasins Michaels au cours de cette période. A noter que, toujours selon le service presse de l’enseigne, une filiale de l’enseigne Aaron Brothers a également été touchée entre le 28 juin 2013 et le 27 février 2014. Une violation informatique qui a ciblé 54 de ses boutiques pour environ 400.000 cartes. La société parle d’un malware « identifié et bloqué. Ce malware ne présente plus aucune menace lors de vos achats chez Michaels ou Aaron Brothers« .

Selon une étude publiée par le Pew Research Center (1), 18% des américains ont été victimes en 2014 d’un vol de données en ligne. Il s’agit notamment d’informations sensibles telles que des numéros de sécurité sociale, des numéros de cartes de crédit et d’autres infos bancaires. Le chiffre est en augmentation de 11% par rapport à 2013. Cette hausse des vols a touché tous les groupes d’âge, bien que les utilisateurs les plus impliqués aient entre 18 et 29 ans. La recherche PEW a également montré que 5 % des Américains sont préoccupés par la quantité de renseignements personnels en ligne. Le pourcentage était de 33% en 2009. La hausse n’est toutefois pas surprenante, étant donnée l’utilisation croissante des réseaux sociaux et autres services en ligne.

Sécurité: le vol de données en ligne se développe aux États-Unis
Au-delà de ces mauvaises nouvelles, cette information a le mérite de sensibiliser les utilisateurs sur la nécessité et le devoir de naviguer en toute sécurité. Outre l’affaire Heartbleed et après les 2,9 millions de comptes impliqués dans l’attaque sur Adobe en octobre dernier et les 4,6 millions de comptes Snapchat piratés en février, les utilisateurs se doivent être de plus en plus conscients des enjeux.

A noter qu’en France, peu ou pas de communication des sociétés victimes de fuites, piratages, … Ne pensez pas que ce genre d’attaque n’existe pas, bien au contraire, malheureusement. Nous vous en parlons souvent. Il est bon de rappeler l’article 34 de la loi Informatique et Libertés qui impose au responsable de traitement de prendre les mesures nécessaires pour sécuriser les données à caractère personnel. Le responsable de traitement doit se tenir informé et réagir lorsqu’une faille est découverte. « Ne pas corriger une faille de sécurité connue et pour laquelle des correctifs sont proposés est susceptible de constituer un manquement à l’obligation de sécurisation imposée aux responsables de traitement. » indique la CNIL.

Cyber-attaque, Entreprise, escroquerie, Fuite de données, Leak, Phishing, spam

Piratage chez SEDO ?

Avec plus de 2 millions de membres du monde entier et des échanges de domaines en plus de 20 langues, Sedo est la première plate-forme mondiale d´achat-vente de noms de domaine. Autant dire qu’elle attire les regards des « financiers » du web, des webmasters mais aussi des pirates informatiques. Il semble que ces derniers soient rentrés dans la danse, ce samedi 12 avril. « Nous tenons à vous informer que le site Sedo a été la cible d´une attaque informatique révélant une faille de notre système de sécurité, jusqu’alors inconnue, souligne l’entreprise basée à Cologne. Ainsi un email intitulé « Activation de votre compte » a été envoyé illicitement à un nombre limité de nos clients« .

Une enquête immédiate à ce sujet a révélé que les adresses mails exploitées ont été trouvées directement dans le service proposé par Sedo. « Aucunes autres données n’ont été compromises : aucun mot de passe ou autres informations associées au compte n´ont été rendus publics » indique le géant du web. Les services de Sedo ont pallié à cette faille dès que celle-ci a été détectée et tout accès non autorisé a été bloqué. « Vous n’avez pas besoin de prendre d´ultérieures mesures pour protéger les données renseignées dans votre compte. Enfin si vous avez cliqué sur le lien contenu dans l’email non autorisé, cela n´aura aucune conséquence nuisible« .

 

Bitcoin, Chiffrement, cryptage, Cybersécurité, Fuite de données, Paiement en ligne

Le Bitcoin : populaire mais risqué

Selon l’étude « Financial Cyber Threats in 2013 » réalisée par Kaspersky Lab, les malwares ciblant le Bitcoin sont devenus « monnaie courante » en 2013. Le nombre d’attaques contre cette crypto-monnaie a ainsi été multiplié par plus de 2,5 pour atteindre un nombre de 8,3 millions incidents recensés. Créé notamment pour permettre des paiements anonymes sur Internet, le bitcoin rencontre un immense succès depuis quelques années. Début 2013, il s’échangeait au cours de 13.6$ et en décembre dernier, il culminait au taux record de 1200$. Au fil de l’année, le cours de la monnaie virtuelle a connu des hauts et des bas mais, depuis avril 2013, il n’est jamais descendu à moins de 80$. Ce phénomène a inévitablement attiré l’attention des escrocs. Pour compliquer le problème, les bitcoins sont souvent une proie facile pour les cybercriminels : si les utilisateurs les stockent sur leurs ordinateurs sous une forme non cryptée, il suffit aux pirates de s’approprier le fichier du « portefeuille » pour obtenir les informations relatives à son contenu et accéder au compte de leur victime.

Sur la trentaine d’échantillons de malware financiers, étudiés dans le cadre de l’étude de Kaspersky Lab, neuf concernaient un programme conçu pour voler des bitcoins. Ceux-ci représentaient au total 29 % des cyberattaques financières s’appuyant sur des applications malveillantes. Les outils employés par les cybercriminels pour dérober des bitcoins peuvent être classés en deux catégories. La première se compose de programmes destinés au vol des fichiers de portefeuille. Les applications de la seconde catégorie installent un logiciel qui génère des bitcoins (opération dite de « mining ») sur un ordinateur infecté. Dans l’absolu, les voleurs de portefeuille de bitcoins ont perpétré deux fois plus d’attaques en 2013. Cependant, les outils de « mining » se sont développés plus rapidement.

« En 2013, la valeur du bitcoin a été multipliée par plus de 85, ce qui a bien entendu attiré l’attention des cybercriminels. Vers la fin de l’année, le nombre d’utilisateurs attaqués par des malwares ciblant les bitcoins a commencé à se rapprocher de celui des victimes de cybermenaces bancaires plus classiques. Les détenteurs de bitcoins doivent donc être particulièrement prudents car il est quasiment impossible de récupérer l’argent virtuel volé. C’est le risque inhérent à l’utilisation d’une crypto-monnaie qui circule sans aucun contrôle des pouvoirs publics », commente Sergey Lozhkin, chercheur senior en sécurité pour Kaspersky Lab.

Pourcentage d’utilisateurs attaqués par différents types de malware chaque mois

Plus d’utilisateurs donc plus de risques, comment lutter ?
Pour une utilisation sécurisée des crypto-monnaies, les experts de Kaspersky Lab conseillent de conserver les fichiers de portefeuille sur des supports cryptés. Pour un stockage à long terme, l’utilisateur pourra transférer la somme virtuelle dans un portefeuille dédié et en noter les détails sur le papier. Il importe également d’installer sur l’ordinateur une protection fiable contre les logiciels malveillants, via une solution éprouvée de sécurité Internet. L’étude « Financial Cyber Threats in 2013 » s’appuie sur des données fournies bénévolement par les participants du réseau Kaspersky Security Network. KSN est une infrastructure mondiale distribuée dans le cloud et conçue pour traiter rapidement des données anonymisées relatives aux menaces rencontrées par les utilisateurs des produits Kaspersky Lab.

 

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Fuite de données, Leak, Vie privée

Que dit l’histoire de Heartbleed à tous les utilisateurs d’Internet ?

Un commentaire

La vulnérabilité Heartbleed est l’une des plus importantes failles découverte sur Internet depuis 10 ans. Depuis mars 2012, une part considérable des serveurs sur Internet a été vulnérable à des attaques qui ne laissent pas de traces, et peuvent accéder à des informations essentielles (identifiant, mot de passe, informations personnelles, numéro de carte de crédit, clé de cryptage). Cette vulnérabilité a été révélée publiquement le 7 avril, mais il est impossible de connaître l’étendue des dommages qui ont eu lieu avant le 7 avril ou même depuis.

La vulnérabilité Heartbleed arrive comme une piqure de rappel de deux faits importants lié à la sécurité personnelle sur Internet, à l’heure où tant de nos informations personnelles sont désormais sur Internet : Il est vital d’utiliser un mot de passe diffèrent sur chaque site web. Cela limite les risques, même en cas d’une faille  – les dommages ne pourront s’étendre. Si vous réutilisez le même mot de passe sur plusieurs sites web, vous êtes clairement exposé et vous devriez modifier cela au plus vite.

« Vous devriez changer tous vos mots de passe le plus rapidement possible, confirme Emmanuel Schalit, CEO de Dashlane, car chacun d’entre eux a pu être dérobé, et vous assurez que vous utilisez un mot de passe différent pour chaque site web« . De plus, pour les sites web les plus importants (voir ci-dessous, NDR DataSecurityBreach.fr), vous devriez probablement changer vos mots de passe dans les 10 jours, au cas où les sites en questions n’auraient pas encore appliqué les correctifs nécessaires depuis le 7 avril.

Heartbleed prouve que dans le monde numérique d’aujourd’hui, il est devenu impossible d’être en sécurité si vous n’utilisez pas un gestionnaire de mots de passe comme Dashlane. Premièrement car c’est la seule façon d’avoir des mots de passe forts et uniques sur chaque site web et d’être capable de les changer rapidement et sans effort. Deuxièmement parce que les gestionnaires de mots de passe sont conçus de telle manière que les données de leur utilisateurs ne peuvent pas être compromises par ce type de vulnérabilité, car les gestionnaires de mots de passe de qualité comme Dashlane n’ont pas accès aux clés de chiffrement de leurs utilisateurs.

Les sites les plus utilisés
Facebook annoncé avoir ajouté des protections supplémentaires avec OpenSSL. Des sécurités avant l’annonce de la faille de sécurité. Facebook a tout de même conseillé de changer les mots de passe. Même proposition pour Tumblr. Twitter n’a rien dit… pour le moment. Google a confirmé des problèmes avec OpenSSL. Google Chrome et Google OS ne sont pas concernés. Google, lui aussi, que nous changions nos mots de passe. Yahoo Mail, Yahoo Finance, Yahoo Sports, Flickr ont été sécurisés. Changement de mot de passe conseillé, comme pour DropBox. Hotmail n’utilise pas  OpenSSL. Même confiance chez eBay et Paypal.

Chiffrement, cryptage, Entreprise, Fuite de données, Vie privée

Un risque croissant de vol de données en raison de ‘menaces internes’

Le cabinet Ovum vient de publier un rapport qui devrait faire tendre l’oreille. Cette étude commanditée par Vormetric met en évidence le faible contrôle des utilisateurs privilégiés au sein des entreprises françaises et la reconnaissance du chiffrement comme la technologie la plus efficace pour prévenir le risque des menaces intérieures. En outre, 53% des entreprises européennes trouvent ces menaces plus difficiles à détecter qu’auparavant.

Cette enquête, réalisée auprès de plus de 500 décideurs dans le domaine des hautes technologies de moyennes et grandes entreprises au Royaume-Uni, en France, en Allemagne, conclut que seuls 9% des entreprises se sentent à l’abri des menaces provenant de l’intérieur, avec presque la moitié des sondés en France (42%) reconnaissant que ce sont les « utilisateurs privilégiés » (administrateurs systèmes, de bases de données, réseaux, etc.) qui représentent le plus grand risque pour leur entreprise.

Les menaces intérieures ne proviennent plus seulement des utilisateurs habituels ayant des droits d’accès légitimes et qui en abuseraient pour voler des données et d’en retirer un gain personnel. Les utilisateurs privilégiés qui administrent les systèmes et les réseaux représentent désormais une inquiétude supplémentaire puisque leurs métiers requièrent évidemment un accès à toutes les données accessibles sur les systèmes pour effectuer leur travail. Une troisième menace intérieure identifiée comme étant particulièrement préoccupante concerne les infiltrations par des cybercriminels cherchant activement le moyen de compromettre des comptes d’utilisateurs internes (en visant principalement les comptes avec les privilèges les plus avancés) afin de s’infiltrer dans les systèmes et d’y voler des données en utilisant les identifiants usurpés.

« Environ la moitié des organisations estiment que ces menaces internes sont de plus en plus difficiles à détecter, et les responsables informatiques sont extrêmement inquiets de ce que leurs utilisateurs peuvent faire avec les données de leur entreprise, déclare Andrew Kellet, analyste principal chez Ovum, le cabinet d’analystes en charge de l’enquête. Ce risque se combine avec la menace posée par les cyberattaques qui visent les comptes utilisateurs – ce qui n’est pas complètement ignoré puisque 30 % des organisations citent les Menaces Persistantes Avancées comme motivation principale pour l’amélioration des défenses contre le vol de données. »

Selon l’étude menée, Seulement 9 % des organisations européennes interrogées se sentent à l’abri des menaces internes contre 11% des entreprises françaises ; 47 % des organisations estiment actuellement qu’il est plus difficile de détecter des incidents provenant des menaces internes qu’en 2012 ; Le contrôle d’accès aux données est identifié comme la plus grande menace pour les organisations. Pour certaines, les employés non-techniciens avec un accès autorisé aux données sensibles et aux ressources IT représentent le risque le plus important (49 %), tandis que pour d’autres, ce sont les postes de haut niveau tels que les Directeurs Administratifs et Financiers ou les PDG qui sont le principal risque (29 %) ; Le passage au cloud augmente les risques de sécurité, en raison d’une perte de visibilité sur les mesures de sécurité autour des données stockées dans le cloud, représentant une inquiétude pour 62 % des personnes interrogées ; Le Big Data peut également poser problème, avec plus de la moitié des entreprises concernées par la sécurité du Big Data (53 %) indiquant que des données sensibles peuvent y être contenues ; Il y a de bonnes nouvelles : les organisations prennent des mesures pour lutter contre les menaces intérieures avec 66 % d’entre elles qui envisagent d’augmenter leurs budgets de sécurité en réponse directe à ce risque. « Les entreprises accentuent leur utilisation du cloud computing afin de profiter de la flexibilité et des avantages financiers qu’il apporte, indique Danièle Catteddu, Responsable EMEA pour la Cloud Security Alliance. L’étude démontre qu’elles sont conscientes des nouveaux risques lié à cet usage accru, et détaille la façon dont les fournisseurs peuvent améliorer leurs offres afin de mieux satisfaire les besoins des entreprises en matière de sécurité pour contrebalancer les menaces intérieures »

« Clairement, les exigences liées à la conformité légale, les contraintes concernant la vie privée et les vols de données incessants ont un effet marqué sur les entreprises, déclare Stewart Room, partenaire du Field Fisher Waterhouse’s Technology and Outsourcing Group. Avec 66% d’entre elles qui envisagent d’augmenter leurs dépenses en sécurité pour bloquer les menaces intérieures, et en fonction du défi que la protection des données dans le cloud, les environnements mobiles et Big Data représente, les entreprises comprennent que leur niveau de sécurité doit être mis à jour et font ce qu’il faut pour. »

De plus, les entreprises reconnaissent que le chiffrement est la technologie la plus efficace pour bloquer les menaces internes, avec la plus grande proportion des organisations (38 %) la citant comme la mesure de sécurité la plus importante. (étude)

Entreprise, Fuite de données, Identité numérique

Les technologies « finger printing » permettent de tourner la page du cookie ?

Après l’affaire PRISM de l’été 2013 et la joute entre Google et la CNIL (Commission Nationale Informatique et Liberté) en France, la collecte et l’utilisation de données digitales personnelles ou anonymes sont des sujets qui suscitent des interrogations légitimes chez les consommateurs dans tous les pays. Pour les cookies, les temps sont durs. Ces fichiers s’apparentent à des logiciels espions installés directement dans les navigateurs et permettent à un annonceur, à l’éditeur d’un site internet ou bien à un prestataire publicitaire d’identifier de façon anonyme un internaute et de construire un profil plus ou moins détaillé de ce dernier sur la base des informations collectées.

Le processus d’harmonisation de la réglementation européenne sur la protection des données personnelles est en marche. L’ensemble des acteurs du marché de la communication digitale et plus particulièrement les spécialistes de la publicité en ligne sont directement concernés par ces questions du moment. De plus en plus souvent, les cookies sont désignés comme une cible à abattre ou  tout du moins comme une technologie nécessitant plus de transparence et de réglementation quant  à son utilisation.

Il devient nécessaire pour tous les acteurs du secteur de songer dès maintenant à des technologies alternatives pour continuer à délivrer des campagnes publicitaires efficaces. A court-terme, le cookie va résister, mais qu’en sera-t-il à l’avenir?

Les cookies, témoins d’une époque publicitaire révolue
En pratique, les cookies peuvent d’ores et déjà être très facilement bloqués par des programmes dits « ad-blocker » directement intégrés dans certains navigateurs. Les cookies restent aussi à la merci d’un possible revirement stratégique des grands acteurs de l’écosystème digital que sont Google, Facebook, Microsoft ou Apple. Ceux-ci pourraient décider du jour au lendemain de fermer leur environnement aux cookies.

Par ailleurs, avec l’explosion de l’utilisation des smartphones et des tablettes, force est de reconnaître que les cookies sont impuissants à pénétrer l’environnement mobile auquel ils ne sont pas adaptés. Avec des internautes nomades et connectés en permanence (et qui le seront de plus en plus), les cookies font figure de technologie dépassée, incapables d’intégrer les usages en mobilité. L’optimisation de la pertinence et de la performance des campagnes publicitaires digitales passe pourtant par une prise en compte de ces nouveaux usages et fait appel au final  à des  technologies adaptées à ce nouveau paradigme.

Avec le « finger printing », un plus grand respect de la vie privée
Fort heureusement, des technologies alternatives aux cookies existent et offrent déjà des résultats prometteurs : le « finger printing » est une méthode consistant à identifier de façon anonyme un internaute quel que soit son appareil (PC, tablette ou mobile) à travers toutes les traces digitales (d’où la terminologie de « finger printing » ou « empreinte digitale » en anglais) que sa navigation peut communiquer. A chaque visite de site ou d’application mobile, l’internaute envoie jusqu’à 80 informations techniques  comme son fuseau horaire, la version de son navigateur, la résolution de son écran, les plug-ins installés, etc…  L’ensemble de ces données est passé ensuite à travers différents filtres et tableaux de correspondances afin de former une empreinte digitale unique (« finger print ») pour l’appareil utilisé. Certains acteurs ont même développé des solutions capables de reconnaître un même utilisateur à travers différents appareils, qu’il se connecte à Internet via son PC, son smartphone ou sa tablette par exemple.

Derrière ces nouvelles technologies en phase avec l’évolution des comportements et des usages, les enjeux sont clairs : pouvoir détecter un profil d’utilisateur quel que soit son moyen de connexion digitale – web, mobile ou tablette – de manière totalement  anonyme. Avec le finger printing, la réalité d’un système respectueux des données personnelles prend forme, tout en réconciliant enfin les informations entre web et mobile (cross-device) et en s’affranchissant de la menace d’évolutions techniques et réglementaires comme c’est le cas avec les cookies.

Un écosystème publicitaire qui doit évoluer
Aujourd’hui, le finger priting en est encore à ses balbutiements. Le principal obstacle à son utilisation généralisée se situe au niveau de l’organisation actuelle de l’écosystème publicitaire qui repose en grande partie sur le cookie comme identifiant commun entre les différents acteurs du marché (éditeurs, annonceurs, prestataires, …). Paradoxalement,  même les plateformes de gestion de la vie privée mises en place par l’IAB – représentant officiel de l’industrie de la publicité digitale – en Europe et aux Etats-Unis reposent actuellement sur une technologie traditionnelle de « cookie matching » (à savoir le croisement des données collectées par leurs plateformes et par les acteurs du marché). Certaines sociétés ont toutefois développé leur propre technologie de fingerprinting et l’utilisent aujourd’hui en parallèle.

La mise en place d’un standard technologique de fingerprinting à grande échelle nécessite une mise en commun des algorithmes d’identification entre les participants de l’écosystème, comme le propose la société Adtruth. Mais le marché est-il prêt pour ce grand bouleversement ou attend-il simplement d’y être forcé ?

Le drame psychologique de la fin des cookies est un faux problème en soi, puisque le nombre grandissant de campagnes publicitaires sur mobile  nécessite déjà l’emploi de nouvelles approches. Si le cookie est encore la norme aujourd’hui, il convient rapidement pour les acteurs du marketing digital de préparer leur indépendance vis-à-vis du cookie. Ceux qui ont investi en R&D pour développer une technologie de fingerprinting disposent d’ores et déjà d’une longueur d’avance… (Par Stéphane DARRACQ, PDG de makazi group)

Entreprise, Fuite de données, Identité numérique, Sauvegarde, Vie privée

CJUE: Un coup d’arrêt à la rétention des données

L’Union européenne invalide la directive controversée sur la rétention des données. Dans un arrêt publié ce mardi 8 avril, la Cour de Justice de l’Union Européenne (CJUE) a invalidé la directive européenne 2006/24 sur la rétention des données ou traitées dans le cadre de la fourniture de services de communications électroniques accessibles au public ou de réseaux publics de communications, notamment pour non-respect du principe de proportionnalité. Le juge européen reproche en outre à la directive de ne pas imposer une conservation des données sur le territoire de l’UE.

La Député Européenne Françoise Castex salue cette décision de la CJUE: « après le rapport Moraes sur le programme d’espionnage de la NSA, et l’adoption du paquet données personnelles par les eurodéputés, c’est un signal fort envoyé au Conseil. » La directive 2006/24 oblige les opérateurs télécoms à stocker des données sur l’ensemble des communications de leurs clients afin de faciliter la recherche, la détection et la poursuite d’infractions graves.

Pour la Vice-Présidente de la Commission des Affaires juridiques du Parlement européen: « cette directive, qui a été votée dans le cadre des accords UE/États-Unis après les attentats du 11 septembre, ne répondait pas aux exigences imposées par les droits fondamentaux à la vie privée et à la protection des données« .

« Cet arrêt confirme ma conviction qu’il est urgent de doter l’Europe d’un habeas corpus numérique, et de suspendre, une fois pour toute, les accords Safe Harbour et Swift/TFTP qui autorisent le transfert des données personnelles des Européens aux autorités américaines« , conclut l’eurodéputée Nouvelle Donne.

Cybersécurité, escroquerie, Fuite de données, Social engineering, Téléphonie

Vishing : un coup de fil qui ne vous veut pas du bien

Un commentaire

Les escrocs s’attaquent à notre porte-monnaie via le téléphone. La gendarmerie nationale décide de lancer l’alerte auprès des Français, cibles potentielles de cette escroquerie qui gagne du terrain. Compte tenu de la méfiance des internautes face au phishing, les cybers fraudeurs s’attaquent maintenant à des victimes par l’entremise du vishing appelé aussi hameçonnage vocal. Le vishing est l’utilisation de la technologie VoIP (voix sur IP) dans le but de duper quelqu’un en lui faisant divulguer de l’information personnelle et/ou financière.

Les fraudeurs ont plusieurs méthodes d’attaques. « Un automate téléphonique est utilisé pour contacter les victimes potentielles en composant au hasard des numéros de téléphone fixe dans une région géographique déterminée » explique la Gendarmerie Nationale. Lorsque la victime potentielle décroche, un message préenregistré supposé provenir de sa banque la prévient que des opérations inhabituelles ont été récemment effectuées sur son compte bancaire. Elle est par la suite invitée à composer un numéro de téléphone généralement surtaxé pour vérifier la situation de ce dernier. Ce numéro correspond à une boîte vocale, un message demande alors à la victime de fournir ses identifiants bancaires (les 16 chiffres et la date de validité de sa carte bancaire). Ces informations pourront ensuite être utilisées pour effectuer des achats frauduleux sur Internet.

Une autre possibilité d’attaque par le biais d’un appel vers une victime potentielle. L’escroc se fait passer pour quelqu’un du département de sécurité Visa, Master Card ou simplement de son établissement bancaire. Elle lui signale que sa carte de crédit a été utilisée pour un achat plus que douteux et lui demande si elle est à l’origine de cette opération. « Sa réponse étant négative, elle lui attribue un numéro de contrat de fraude, donnant ainsi à l’appel un aspect réaliste, puis lui demande de communiquer les coordonnées de sa carte bancaire afin de vérifier qu’elle est toujours en sa possession. Une fois la conversation terminée, la personne ajoute n’hésitez pas à nous rappeler si vous avez d’autres questions et raccroche. » explique les militaires.

Pour se protéger, comme pour les cas de phishing web, il faut juste se dire que votre banque, votre FAI, les Impôts, la CAF… ne vous réclameront jamais vos informations bancaires par téléphone. Un commerçant « légitime » vous réclame vos données par téléphone, refusez. Dans tous les cas, votre signature (et un temps de réflexion dans le cas d’un achat, ndr) pour un achat est obligatoire. Les fraudeurs jouent sur une vulnérabilité psychologique du consommateur en créant en lui un stress et un faux sentiment d’urgence lié à la possibilité d’avoir été fraudé. « Si un message vous demande de rappeler tel numéro, ne le composez pas. Prenez le temps de retrouver le véritable numéro de téléphone qui vous a été donné par l’émetteur de votre carte de crédit et utilisez le » terminent les gendarmes. En cas de fraude, il ne vous reste plus qu’à alerte votre banque et déposer plainte dans les plus brefs délais, que ce soit auprès d’un NTECH (cyber gendarme) ou un OPJ dans un commissariat central habilité à prendre une plainte liée aux fraudes aux nouvelles technologies.

Attention à vos standards téléphoniques
Certains pirates informatiques spécialisés dans la téléphonie, baptisée les phreakers, s’intéressent aux standards téléphoniques et autres PABX. Un détail juridique devrait intéresser les administrateurs. Le site Legalis revient sur un arrêt du 25 mars 2014 de la cour d’appel de Versailles. Le tribunal a condamné une société de maintenance « pour avoir manqué à ses obligations contractuelles en ne donnant pas les moyens à son client d’éviter le piratage de communications téléphoniques dont il a été victime. Un nombre élevé d’appels injustifiés à destination du Timor oriental avait été constaté« . L’installation téléphonique avait été piratée grâce au mot de passe « usine » du système, soit les mythiques 0000.

Cybersécurité, Emploi, Fuite de données, Mise à jour, Propriété Industrielle

Le piratage et la cybercriminalité coûteront 491 milliards de dollars en 2014

L’utilisation de logiciels piratés et les cyberattaques criminelles peuvent coûter cher ! D’après le livre blanc « The link between pirated software and cybersecurity breaches », publié pour Microsoft par le cabinet IDC et la National university of Singapore, en 2014 les sociétés dépenseront 491 milliards de dollars (356 milliards d’euros) à cause de programmes malveillants, d’attaques ou de pertes de données. Les entreprises consacreront 127 milliards de dollars à la sécurité et 364 milliards de dollars au traitement des failles de sécurité. A l’origine de près deux tiers de ces dépenses et de pertes, soit 315 milliards de dollars, on trouvera des organisations criminelles. L’Asie, qui compte le plus grand nombre de PC au monde, sera concernée par 40 % de ces dépenses.

Facebook, Fuite de données, ID, Identité numérique, Social engineering, Vie privée

Accès aux photos privées sur Facebook

8 commentaires

Il est possible (toujours au moment de la diffusion de cet article, ndr) d’accéder aux photographies privées via une petite manipulation dans les paramètres de Facebook. Pour accéder aux images privées des personnes qui ne sont pas vos ami(e)s, il suffit d’un seul petit clic de souris. Vous devez changer la langue utilisée dans votre compte en mettant « English US ». Option que vous trouverez dans « paramètres ». Il ne vous reste plus qu’à rentrer le nom de la personne que vous souhaitez « regarder » sans y avoir été invité. Pour éviter le regard des curieux, c’est aussi simple, ou presque. Il vous suffit de vous rendre dans le paramétrage de votre compte, et retirer TOUTES les identifications de vos photographies que vous ne souhaitez pas voir apparaitre. Les deux autres solutions :  maitriser ce que vous diffusez ou ne diffusez rien du tout !

Comment est-ce possible ? Tout simplement parce que la législation américaine n’est pas la même qu’en Europe. Bilan, changer de langue (sur Facebook, mais aussi sur consoles, smartphone, …) peut faire croire au système ainsi modifié que vous êtes installés dans le pays en question. Et la vie privée sur le sol américain n’a pas autant de « freins » qu’en Europe. Bilan, ce qui est « protégé » sur le vieux continent, l’est beaucoup moins sur les terres de l’Oncle Sam. Facebook veut aussi se positionner, de plus en plus, comme un moteur de recherche. Bilan, Graph Search et recherche globale rendent les informations, privées ou non, accessibles à qui sait les chercher, Facebook en tête. CQFD !

Cyber-attaque, Entreprise, Fuite de données, Leak, Sauvegarde

Des concurrents de l’hébergeur MavenHosting perquisitionnés par la police

2 commentaires

Le 19 octobre 2013, l’hébergeur Québecois MavenHosting était victime d’une attaque informatique violente. Un piratage qui obligera l’hébergeur Mavenhosting à prendre des mesures drastiques pour s’assurer de l’intégrité de ses serveurs. « Une réinstallation complète du système d’exploitation est en cours sur tous les serveurs impactés. Une fois cette étape terminée, nous devons restaurer les sauvegardes des sites. » confiait-il à l’époque. A l’époque, certains serveurs de sauvegardes avaient été endommagées par le pirate. Le bourrin avait tout simplement écrasé des données. « Nous travaillons présentement avec une compagnie de restauration de données pour voir ce qu’il est possible de faire » indiquait alors l’hébergeur.

Six mois plus tard, rebondissement dans cette affaire. « Plusieurs personnes ont reproché à Mavenhosting le manque de communication et l’incapacité à gérer la crise, indique en cette fin mars la société canadienne. Sous les directives de la police et de nos avocats, les communications ont été limitées afin d’éviter les fuites et protéger l’enquête en cours« . Il faut dire aussi que à l’attaque, l’équipe de support avait été submergée par des milliers de demandes d’aide et de courriels.

Après avoir identifié la source du hack et fermé la brèche, l’équipe d’experts en sécurité de MavenHosting a mis la Sûreté du Québec sur la piste de PlanetHoster, un concurrent. La Sûreté du Québec a fait son enquête et aurait  confirmé la source de l’attaque. La Division des enquêtes régionales vient tout juste d’effectuer une perquisition, d’après les informations exclusives de Data Security Breach, le jeudi 27 mars dernier, chez les dirigeants de PlanetHoster afin de conforter, ou non, cette piste. La société n’est pour le moment accusée de rien !

Des accusations criminelles pourraient être déposées prochainement par Maven Hosting. Par ailleurs, Maven Hosting a déposé une poursuite au civil contre l’hébergeur PlanetHoster et ses dirigeants. « Le matériel informatique a été saisi » termine Patrice Baribeau de chez Maven Hosting. De son côté, Planet Hoster a répondu au communiqué de presse de Maven Hosting par un post, sur Twitter « Vous serez contacté par nos avocats pour diffamation.« 

BYOD, Chiffrement, Cloud, cryptage, Entreprise, Fuite de données

De l’importance de la formation des employés dans la sécurité en entreprise

Forrester montre que les Européens sont maintenant plus connectés que jamais, la plupart possédant deux terminaux au moins. Puisque l’utilisation des terminaux personnels sur le lieu de travail continue de croître, la formation des employés va devenir essentielle. Beaucoup d’habitudes prises lors de l’utilisation de ces appareils personnels représentent un danger pour les entreprises, donc les employés doivent comprendre l’importance de sécuriser les données. Ils sont la plus grande menace en termes de fuites de données. Le fait que Dropbox soit actuellement utilisé dans 95% des entreprises du Fortune 500 signifie que, dès à présent, une part énorme des données professionnelles sont vulnérables.

Malheureusement pour les responsables informatiques, il ne suffit pas d’installer une solution mobile sécurisée pour protéger les données. En plus de devoir mettre en œuvre un changement technologique, les entreprises doivent également lancer un changement culturel au sein du lieu de travail. Les employés doivent avoir une meilleure connaissance du moment où les données  professionnelles sont en sécurité ou non. Un des plus grands enjeux que les organisations doivent affronter est l’envoi par les employés des documents d’entreprise sensibles sur leur messagerie personnelle. Une fois qu’un document est divulgué, il n’est plus sous le contrôle de l’organisation, sa sécurité ne peut plus donc être contrôlée.

Dropbox est un cauchemar pour les départements informatiques car il génère un stockage dans le Cloud et la synchronisation des dossiers hors des entreprises. Dropbox fourni un service pratique pour les employés, mais a eu un grand nombre d’intrusions médiatisées. On en retrouve notamment en 2012 lorsque des mots de passe volés ont été utilisés pour accéder à un certain nombre de comptes Dropbox, ou encore lorsqu’en 2011 Dropbox avait éteint la fonction mot de passe, laissant toutes les données stockées sans aucune protection. Cependant, malgré ces failles médiatisées, les employés continuent d’utiliser ce service pour stocker des données sensibles. Des recherches récentes effectuées par Spiceworks Research ont constatées que 40% des employés dans l’informatique utilisent Dropbox, ou ont l’intention d’utiliser Dropbox en tant que service approuvé de partage de fichiers pour leur entreprise.

IBM a récemment interdit l’usage de Dropbox, d’iCloud et le transfert d’emails professionnels par leurs employés vers leur boite d’emails personnelle. La raison de cela est qu’il s’est avéré que ses employés avaient un manque de connaissances énorme sur ce qui constitue un risque actuellement.

Les trois raisons les plus importantes pour lesquelles les employés deviennent une menace de sécurité sont :
– L’utilisation de programmes non-autorisés sur des appareils ou du matériel d’entreprise
– Le transfert de dossiers entre les ordinateurs professionnels et personnels afin de travailler de chez soi
– La mauvaise utilisation des mots de passe – le partage de mots de passe ou l’utilisation du même mot de passe pour les applications professionnelles et personnelles

Les gens trouveront toujours un moyen d’utiliser l’appareil ou l’application qu’ils veulent, en dépit des conséquences sur la sécurité. Pour cette raison ils doivent être formés à utiliser la technologie d’une manière nouvelle qui puisse assurer aussi la sécurité des données. Les entreprises doivent faire quelques concessions, bien sûr. La connaissance – des appareils et applications – est vitale et elles doivent assurer la formation sur la sécurité des données et sur les bonnes pratiques autour de la sécurité de l’information. Si on offre une meilleure expérience d’utilisation en toute sécurité aux employés, alors ils sont moins enclins à trouver des moyens pour les contourner. Combiné à des recommandations de sécurité, les entreprises peuvent mettre en place une mobilité sécurisée sans employer une stratégie de contrôle fort.

Une approche “conteneur” de la sécurité mobile supprime la grande majorité des possibilités de fuites de données. Les employés peuvent exploiter au maximum un terminal pendant leur temps personnel et peu importe ce qu’ils font avec, les données d’entreprise sensibles resteront compartimentées en toute sécurité au sein de l’appareil. Pour poursuivre notre exemple concernant le partage de fichier, Box a une application sécurisée via une plateforme de sécurisation professionnelle. Celle-ci est contenue dans un compartiment sécurisé, afin de prévenir toute fuite de données, mais permet un accès aux documents professionnels à tout moment et de partout. (Par Florian Bienvenu, VP Europe Centrale et Europe du Sud de Good Technology)

Chiffrement, cryptage, Espionnae, Fuite de données

Surveillance de masse : Graves complicités françaises publiques et privées

Communiqué de presse de la Quadrature du Net – Depuis mai 2013, notamment grâce aux documents fournis par le lanceur d’alerte Edward Snowden, les révélations concernant les pratiques extra-légales des autorités françaises en matière de surveillance des communications Internet se multiplient. Après le vote de la loi de programmation militaire fin 2013 [1] et les dernières révélations [2] concernant la collaboration entre les services de renseignement et l’opérateur Orange, le gouvernement doit mettre fin à son silence assourdissant pour permettre la tenue d’un débat démocratique sur l’étendue des pratiques de surveillance. Au-delà, la France doit œuvrer à réformer sa législation afin de respecter le droit international en matière de protection de la vie privée.

Dans son édition du 21 mars dernier, Le Monde s’appuie sur les documents fuités par Edward Snowden pour lever un peu plus le voile sur les pratiques des autorités françaises en matière de surveillance d’Internet. Le journal met notamment en exergue la collaboration [2] de l’opérateur Orange et les services de renseignement français, lesquels disposeraient « d’un accès libre et total à ses réseaux et aux flux de données qui y transitent » en dehors de tout cadre légal. Ces informations témoignent des dérives auxquelles aboutit le passage au secteur privé des hauts fonctionnaires en charge de fonctions régaliennes liées à la sécurité nationale.

Elles s’ajoutent aux informations déjà publiées concernant notamment le transfert massif de données entre les services français et la NSA américaine (accord LUSTRE [3]), ou la mise en place [4] d’un large dispositif d’interception des flux circulant sur les réseaux internationaux avec l’appui d’entreprises comme Alcatel-Lucent ou Amesys. Le Monde indique être en possession de nombreuses pièces encore inexploitées et à partir desquels ses journalistes poursuivent leur travail d’investigation.

Alors que depuis plus de huit mois est détaillée l’étendue des pratiques de surveillance d’Internet par les États-Unis et le Royaume-Uni, mais aussi par leurs alliés comme la France ou l’Allemagne, l’absence de toute réaction politique substantielle au niveau français est révélatrice de l’hypocrisie des autorités. Ainsi, le président de la République François Hollande s’est adonné à de ridicules gesticulations politiques en réclamant sans succès un accord [5] encadrant les pratiques d’espionnage des dirigeants entre les États-Unis et les pays de l’Union européenne et en appuyant l’appel [6] d’Angela Merkel à l’édification d’un « Internet européen ».

Pour autant, il se refuse à soutenir la seule mesure de poids immédiatement applicable et efficace pour œuvrer à la protection des données personnelles des citoyens européens, à savoir la suspension de l’accord « safe-harbor » [7] entre l’Union européenne et les États-Unis, et que défend [8] le Parlement européen.

Quant au gouvernement, le lancement de son opération de communication politique [9] pour vanter son action dans le domaine numérique ne doit tromper personne : le projet de loi sur les « libertés numériques » promis il y a un an s’annonce [10] comme un texte avant tout répressif (le mot « liberté » semble d’ailleurs avoir opportunément disparu de son intitulé), tandis que le premier ministre Jean-Marc Ayrault se fait l’avocat de politiques inconséquentes [11] en matière de chiffrement des correspondances électroniques. Dans le même temps, les responsables politiques français ont l’audace de se doter d’une législation d’exception en matière de surveillance d’Internet au travers de la scandaleuse Loi de programmation militaire [12], tout en refusant de collaborer avec la commission d’enquête du Parlement européen consacrée aux révélations d’Edward Snowden [13]. Ce jeu de dupes doit cesser.

« Depuis des mois, l’exécutif français s’enferme dans un silence assourdissant pour échapper au débat démocratique sur la surveillance d’Internet. Cette position n’est plus tenable au vu des éléments qui s’accumulent et qui démontrent l’inquiétante fuite en avant dans ce domaine. Il est grand temps que l’ensemble des acteurs institutionnels – qu’il s’agisse de François Hollande, du gouvernement, du Parlement, de l’autorité judiciaire ou même de la CNIL – soient mis devant leurs responsabilités pour que ces graves violations des droits fondamentaux cessent et que leurs responsables soient condamnés », déclare Félix Tréguer, cofondateur de La Quadrature du Net.

« Au delà d’un débat inévitable sur la surveillance d’Internet et la nécessaire souveraineté sur nos infrastructures, la maîtrise de nos communications ne sera possible que par l’utilisation de logiciels libres, du chiffrement de bout en bout et de services décentralisés. En parallèle, une réforme législative s’impose afin que la France respecte le droit international [14] et que les services de renseignement fassent l’objet d’un contrôle adéquat. », conclut Benjamin Sonntag, cofondateur de La Quadrature du Net.

* Références *
1. https://www.laquadrature.net/fr/lpm-promulguee-la-derive-du-politique-vers-la-surveillance-generalisee
2. https://www.laquadrature.net/fr/lemonde-espionnage-comment-orange-et-les-services-secrets-cooperent
3. https://www.laquadrature.net/fr/lemonde-surveillance-la-dgse-a-transmis-des-donnees-a-la-nsa-americaine
4. http://reflets.info/amesys-dgse-drm-et-si/
5. https://www.laquadrature.net/fr/silicon-hollande-a-obama-les-ecoutes-de-la-nsa-c-est-deja-oublie
6. https://www.laquadrature.net/fr/francetvinfo-pourquoi-l-internet-europeen-d-angela-merkel-ne-rime-a-rien
7. https://fr.wikipedia.org/wiki/Safe_Harbor
8. https://www.laquadrature.net/fr/la-commission-europeenne-doit-entendre-lappel-du-parlement-contre-les-programmes-de-surveillance
9. http://www.pcinpact.com/news/86409-l-executif-prepare-offensive-communicationnelle-sur-numerique.htm
10. http://www.lesechos.fr/entreprises-secteurs/tech-medias/actu/0203381114149-les-premieres-pistes-de-la-loi-numerique-658053.php
11. http://www.numerama.com/magazine/28502-les-e-mails-de-france-seront-chiffres-et-stockes-en-france.html
12. https://www.laquadrature.net/fr/lpm-la-derive-du-politique-vers-la-surveillance-generalisee
13. Le rapport de la commission d’enquête du Parlement européen, adopté le 12 mars dernier, indique ainsi que « les parlements britannique et français n’ont (…) pas souhaité participer aux travaux de la commission » et précise que les responsables de la DGSE et de la DGSI ont refusé d’être auditionnés :
http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+REPORT+A7-2014-0139+0+DOC+XML+V0//FR#title5
14. https://fr.necessaryandproportionate.org/text

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Fuite de données, Justice

Affaire Orange: Le gouvernement (enfin) à l’écoute des Français

Suite aux révélations des services secrets techniques britanniques (GCHQ) sur la collaboration d’Orange avec la DGSE dans la collecte de données, l’eurodéputée Françoise Castex réagit: « Vu de Bruxelles, ces révélations ne sont malheureusement qu’une demi-surprise! Le Parlement européen a pointé du doigt, la semaine dernière, dans son rapport sur le programme d’espionnage massif de la NSA, certains États membres, à commencer par la France. »

Le rapport Moraes, voté mercredi 12 mars à Strasbourg, demandait en effet à la France et cinq autres pays européens de clarifier les allégations de surveillance massive, et notamment les éventuels accords entre services de renseignement et entreprises de télécommunications sur l’accès et l’échange de données personnelles – et leur compatibilité avec la législation européenne.

Pour Françoise Castex « à la lumière de ces révélations, on comprend mieux le manque d’empressement du gouvernement français à dénoncer le scandale de la NSA, et qu’il ait mis plus d’un an et demi à transmettre aux eurodéputés français un semblant de position sur le paquet données personnelles en cours de négociation au niveau européen. »

Pour l’eurodéputée Nouvelle Donne: « La France doit revoir sa législation nationale afin de garantir que la DGSE soit soumise à une vraie surveillance publique par le biais d’un contrôle parlementaire et judiciaire effectif. »

« Au lieu d’écouter les Français, le gouvernement ferait mieux d’entendre leurs préoccupations réelles, à commencer par le respect de leurs droits fondamentaux! » conclut l’élue du Gers.

BYOD, Entreprise, Fuite de données, Propriété Industrielle

Les objets connectés vont-ils inviter virus et pirates à la maison ?

Nous avons beaucoup entendu parler dernièrement de l’Internet des Objets et des implications, en termes de sécurité, que sous-entendrait l’émergence de 50 milliards d’objets connectés d’ici 2020. Les experts de Symantec ont déjà détecté un ver nommé Linux.Darlloz, qui ciblait initialement les ordinateurs domestiques, décodeurs et routeurs, et qui infecte désormais les ordinateurs à la recherche de monnaies cryptographiques – à savoir Mincoins et Dogecoins.

Ce qu’il est intéressant de souligner ici est l’évolution parallèle entre un tel maliciel ayant la capacité de se répandre dans l’Internet des Objets, et le défi grandissant de sécuriser ce nouvel espace tout en restant au-devant des dangers menaçant les outils que nous utilisons tous les jours et sur lesquels nous nous reposons quotidiennement.

L’objet connecté en cheval de Troie du Big Data?
Pour Stéphane Darracq, PDG de makazi group, au-delà des services immédiats qu’ils rendent à leurs utilisateurs et de leur rôle de canal de communication, la vocation des objets connectés est aussi de collecter des données en très grande quantité. Température de la maison, rythme cardiaque du sportif, vitesse d’un véhicule, géo-localisation de son utilisateur : autant de données d’une grande diversité dont il ne fait pas de doutes qu’elles iront bientôt constituer des bases de données et enrichir l’information déjà collectée sur les utilisateurs. Il n’y a alors qu’un pas à franchir pour conclure que la véritable valeur de ces objets connectés réside dans leur capacité à collecter des données récentes, variées, d’une très grande richesse d’information et en très grande quantité. L’utilisation de celles-ci conduira logiquement à de nouveaux modèles d’affaires créateurs de valeur pour toutes les parties prenantes.

Comment sinon justifier le prix impressionnant de 2,3 milliards de dollars payé par Google pour le rachat de la société Nest Labs au début de l’année 2014 ? Au-delà des thermostats design de cette société installés dans les maisons californiennes par des propriétaires soucieux d’économies d’énergie, il ne fait aucun doute que ce n’est pas le chiffre d’affaires de quelques dizaines de millions de dollars de la société qui justifie une telle valorisation : ce sont bien les flux d’informations collectés chez leurs utilisateurs qui intéressent Google dans la cadre de sa stratégie d’agrégation de données et vont lui permettre à terme de croiser ces données du monde physique – la maison, la voiture, l’environnement visuel – avec les milliards de données digitales qu’il collecte déjà depuis ses débuts.

L’idée de Google est claire: ajouter un nouveau point d’entrée au sein des foyers – américains dans un premier temps – pour décrypter de façon encore plus précise les habitudes, les usages et les comportements des utilisateurs, via l’analyse des données collectées par les thermostats conçus par Nest Labs. Les spécialistes du marketing digital y auront reconnu le fameux « cookie » physique ou marqueur des comportements et des activités des consommateurs dans le monde réel …. Passerelle vers l’enrichissement d’autres données purement digitales.

De multiples opportunités de nouveaux modèles d’affaires pour les acteurs économiques
Dans ce futur ou tout objet pourra être connecté les vainqueurs ne seront pas les seuls fabricants de ces objets connectés. Il y a fort à parier que les entreprises qui parviendront à imaginer des services répondant aux besoins identifiés grâce à ces données et qui sauront trouver de nouveaux modèles économiques créateur de valeur à partir des montagnes de données collectées seront les véritables bénéficiaires de cette révolution en marche de l’« Internet of everything ». A ce titre, l’utilisation des données à des fins de communication ou de ciblage publicitaire compte parmi les pistes les plus avancées : en s’équipant de plateformes logicielles de gestion des données (ou DMP pour « Data Management Platform » selon l’acronyme consacré), les grands annonceurs publicitaires seront très vite à même d’enrichir leur communication avec leurs clients grâce aux informations spécifiques remontées via les capteurs de la maison ou de la voiture connectée par exemple.

Le juge de paix sera le consommateur final
Il ne fait aucun doute que les objets connectés vont modifier en profondeur notre quotidien. Que ce soit dans le domaine de la santé, du sport, de l’automobile, le grand public va adopter ces objets utiles ou répondant à de nouveaux besoins. Attention toutefois aux risques juridiques et de réputation que font prendre aux entreprises l’utilisation de données souvent personnelles ou rattachées à des données personnelles ! Seul le respect des règles juridiques régissant l’utilisation des données personnelles par les entreprises feront disparaître les réticences du grand public devant la pertinence ou l’attractivité des nouveaux services proposés grâce à l’utilisation intelligente de ces données. L’enjeu est double pour  les entreprises qui sauront mener cette démarche, avec la création de valeur grâce à de nouveaux services ciblés à destination de leurs clients mais aussi la création d’un véritable « capital data ».

Espionnae, Facebook, Fuite de données, Identité numérique, Vie privée

Le culte de la vache morte pour la NSA ?

Un commentaire

La NSA serait capable d’infecter un ordinateur en 8 secondes avec un logiciel datant de 2004. Un porte-parole de la NSA l’a indiqué, l’utilisation de Turbine ne se fait qu’« exclusivement à des fins de contre-espionnage ou d’espionnage à l’étranger pour des missions nationales ou ministérielles, et rien d’autre ». Voilà qui va rassurer les millions de propriétaires d’ordinateurs touchés par un kit pirate concocté par les grandes oreilles américaines.

D’après le magazine The Intercept (webzine créé par G. Greenwald, L. Poitras et J. Scahill. Il a pour mission de diffuser les informations récupérées par l’ancien analyste privé de la NSA, Edward Snowden), la NSA a utilisé un système de diffusion de codes malveillants baptisé Turbine. Le « truc », géré par l’unité TAO, infecterait des ordinateurs à partir de courriels piégés ou de phishing aux couleurs de Facebook. Des attaques à « echelle industrielle » indique l’un des documents de Snowden. Le « plug-in » Facebook est baptisé QUANTUMHAND (voir la vidéo ci-dessous du document top secret de la NSA, ndr). Pour rappel, des conseillers de l’Élysée ont été piégés par de faux Facebook, voilà 2 ans.

Le journal américain indique que l’agence d’espionnage américaine « a automatisé des processus auparavant automatisés ». Turbine ne serait donc rien d’autres qu’un couteau suisse d’exploit comme les aiment tant les pirates russes. D’après le Parisien, ce système de piratage a également de lancer des cyberattaques en détournant le système de téléchargement de fichiers ou en refusant l’accès à des sites. Des actions lançaient de Fort Meade, dans le Maryland, puis du Royaume-Unis, des Etats-Unis et du Japon. Des « modifications » de cible, comme le piratage et la modification du journal électronique d’Al Qaida, Inspire 11, que nous vous expliquions en juin 2013.

La NSA, en 2004, possédait un petit réseau de 100 à 150 « implants ». Plus de dix ans plus tard, les « outils » seraient au nombre de plusieurs dizaines de milliers. Le système Turbine serait opérationnel dans une certaine mesure depuis au moins Juillet 2010, et son rôle est devenu de plus en plus centrale pour les opérations de piratage de la NSA. Entre 85.000 et 100.000 « virus » seraient en action à travers le monde. Dans les options de Turbine, UNITEDRAKE, un cheval de Troie capable de prendre la main intégralement sur un ordinateur infecté. CAPTIVATEDAUDIENCE, capable d’enregistrer le son d’un micro branché sur la machine. GUMFISH, la webcam. FOGGYBOTTOM, les mots de passe et l’historique de navigation. GROK, un keylogger qui intercepte les frappes clavier. SALVAGERABBIT, copie les données via une clé USB. Un peu comme le petit canard jaune présenté dans zatazweb.tv du mois de décembre 2013.

Bref, il ne fait plus grand doute que Stuxnet et Flame, le premier a attaqué les installations nucléaires Iraniennes, le second visait les ordinateurs du Moyen-Orient. Les cibles ? Si le terrorisme semble être la premiére mission, une note interne de la NSA, baptisée « I hunt sys admins« , explique que les cibles peuvent être aussi les administrateurs de systèmes « qui travaillent pour des fournisseurs de téléphonie et des services Internet » étrangers.

Le poste interne – intitulé « Je chasse admins sys » – indique clairement que les terroristes ne sont pas les seules cibles de ces attaques de la NSA. Compromettre un administrateur de systèmes, les notes opérationnelles, il est plus facile pour se rendre à d’autres objectifs d’intérêt, y compris les « fonctionnaire du gouvernement qui se trouve être en utilisant le réseau certaine administration prend en charge. »

Pendant ce temps, aux USA, la sénatrice Dianne Feinstein, présidente de la commission du Renseignement du Sénat, accusait la CIA d’avoir « visité » les ordinateurs de l’institution politique américaine. Une violation de la Constitution. « Rien n’est plus éloigné de la vérité », a déclaré le directeur de la CIA, John Brennan. La sénatrice affirme que l’agence a tenté de savoir ce que tramait le Sénat au sujet des interrogatoires « musclés » de la Central Intelligence Agency, entre 2009 et 2012. Des enquêtes du département de la Justice sont en cours. Elles doivent permettre de savoir si des fonctionnaires de la CIA, ou des collaborateurs privés, ont utilisé la torture pour soutirer des informations.

Android, Chiffrement, cryptage, Fuite de données, Smartphone, Vie privée

Portes ouvertes sur vos données pour les Samsung Galaxy ?

Vous possedez un smartphone Galaxy de Samsung ? Vous allez apprécier l’annonce effectuée par la Free Software Foundation qui vient d’annoncer la découverte d’une porte cachée, une backdoor, dans les appareils android de la marque sud coréenne. Tout en travaillant sur Replicant, une version entièrement gratuite/libre d’Android, un concepteur a découvert que le logiciel propriétaire de Samsung, en cours d’exécution sur le processeur d’applications en charge de gérer le protocole de communication avec le modem, met en œuvre une porte dérobée qui permet au modem d’effectuer des opérations sur le système de fichiers, le tout à distance. Bilan, il serait possible à celui qui connait le « truc », d’accéder à aux données personnelles stockées dans le materiel.

Autant dire que le système de chiffrement que propose Samsung ne servirait à rien face à ce tour de passe-passe. Les Galaxy S3, Galaxy Note 2 et le Galaxy Nexus sont concernés. Paul Kocialkowski, développeur de Replicant, propose aux clients Samsung d’interpeller publiquement le constructeur pour une explication sur cette porte cachée et éliminer cet outil intrusif. Faut-il encore qu’il eut été au courant que le logiciel indépendant d’Android, qui gére les « baseband chips », était « piégé ». Nous imaginons difficilement que la société commerciale tente de jouer avec le feu en cachant, bien mal, ce système espion.

A noter que Replicant propose un patch bloquant cette backdoor. Une façon de faire un peu de pub à Replicant face à l’annonce de Knox, le système de sécurité de Samsung ? Korben propose une lettre à envoyer à Samsung. Une idée proposée par la FsF.

« Bonjour,

Je tiens à exprimer mon mécontentement suite à la découverte, dans la gamme Galaxy de vos smartphones, d’une puissante backdoor dans la puce baseband. Etant moi-même propriétaire d’un Samsung Galaxy S3, j’aimerais que vous me disiez ce que vous faites de cette backdoor, qui visiblement permet un contrôle total sur le smartphone et ses données.

A l’heure des révélations d’Edward Snowden et de la mise en cause de nombreuses grandes sociétés comme Google ou Microsoft, il est dommage de constater que Samsung rejoint le banc des accusés en offrant à n’importe qui sachant y faire, NSA en tête, la possibilité de prendre le contrôle total de n’importe quel smartphone, incluant les messages, les fichiers, le GPS et la caméra.

J’attends donc de votre part des explications, et bien sûr une correction de ce système qui ne peut pas être un simple erreur. Il est temps de mettre fin à l’espionnage de masse. En tant que leader dans les nouvelles technologies, au lieu de conforter un système de surveillante malsain, Samsung devrait au contraire montrer la voie d’une technologie au service de ses utilisateurs, et non l’inverse.

Merci d’avance.
Cordialement« 

BYOD, Chiffrement, Cyber-attaque, Cybersécurité, DDoS, Fuite de données, Leak, Patch

« Cybercrime-as-a-Service » : les méthodes de vol de données les plus courantes sur le Net

McAfee Labs révèle les principales menaces qui ont marqué le 4ème trimestre 2013. Les chercheurs McAfee mettent notamment en lumière le rôle joué par le « dark web » dans l’industrie des logiciels malveillants, réel catalyseur des attaques ciblant les points de vente en ligne, ainsi que les violations de données.
« Cet automne, les cybercriminels se sont appuyés sur les failles des sites marchands pour lancer leurs attaques. Ils ont su profiter de la période du shopping de Noël, où les gens se sentent le plus en confiance pour acheter pour accroître leur terrain de jeu », précise François Paget, chercheur de menaces au sein de McAfee Labs.

1/ Vente des données personnelles relatives aux cartes de crédits
Le rapport met en lumière la facilité d’achat en ligne de logiciels malveillants, de données personnelles ainsi que la vente de numéros de cartes de crédit volées. McAfee Labs relève également que le nombre de signatures électroniques malveillantes a triplé au cours de l’année 2013 et qu’une accélération de cette tendance pourrait engendrer une importante menace à l’authentification des logiciels sécurisés, par l’autorité de certification.
« Pour les professionnels de la lutte contre le cybercrime, les nouvelles pratiques employées par les hackers, simples à réaliser et à utiliser, annoncent l’ère du CaaS – ‘Cybercrime-as-a-Service’ » poursuit François Paget.

2/ Recrudescence des malwares relatifs aux certificats d’authenticité
Fin 2013, McAfee a référencé trois fois plus de malwares au sein de sa base de données (le ‘zoo’), aujourd’hui composée de plus de 8 millions de fichiers suspects. Au cours du quatrième trimestre, les chercheurs du Labs ont ainsi identifié plus de 2,3 millions de nouvelles applications malveillantes, soit une augmentation de 52 % par rapport au trimestre précédent.

Bien que le nombre total d’échantillons de logiciels malveillants intègrent des données volées, achetées ou des certificats erronés, le moteur majeur de leur croissance réside dans les réseaux de distribution aux contenus douteux. Ces organisations permettent aux développeurs de télécharger leurs programmes, ou une URL qui est en lien vers une application externe, et de la transformer en malware. McAfee entend alerter sur la confusion que peut créer ces malwares signés et remettre également en cause la viabilité du code source.

« Bien que les interventions des autorités de certification aient considérablement réduit les coûts de développement et de délivrance de logiciels pour les développeurs, les normes d’identification de l’éditeur ont également diminué spectaculairement », ajoute François Paget. « Désormais, nous devrons apprendre à faire plus confiance à la réputation du fournisseur qui a délivré/signé le fichier qu’à la simple présence d’un certificat. »

3/ Et toujours :
• Les logiciels malveillants sur mobiles.
McAfee Labs a recueilli 2,47 millions de nouveaux échantillons en 2013, dont 744 000 sur le quatrième trimestre. La base d’échantillonnage relative aux logiciels malveillants mobiles a augmenté de 197 % depuis la fin 2012.

• Les ransomwares.
Leur volume a augmenté d’un million cette année, 50 % de plus ont été référencés au 4ème trimestre 2013, en comparaison de la même période en 2012.

• Les URL suspectes.
McAfee a enregistré une augmentation de 70 % du nombre d’URL suspectes sur l’année 2013.

• La prolifération des malwares.
En 2013, McAfee Labs a trouvé, chaque minute, 200 nouveaux échantillons de malwares, soit plus de trois nouvelles menaces chaque seconde.

• L’enregistrement liés Master Boot.
2,2 millions de nouvelles -attaques ont été identifié sur 2013.

Argent, Banque, Entreprise, Fuite de données, Paiement en ligne

Les cartes à puces bientôt utilisées aux USA

2 commentaires

Les deux géants de la carte bancaire, Visa et MasterCard, vont créer aux États-Unis un groupe de travail qui aura pour finalité de réfléchir à l’implation de la carte à puce sur le territoire de l’Oncle SAM. Ce groupe de travail regroupe des banques, des assurances et des commerçants. Le second effet du piratage des enseignes de grande distribution Neiman Marcus, Target ?

Aux USA, 5,6 milliards de cartes bancaires évoluent dans les poches des consommateurs. 1,6 million de cartes possèdent une puce. 0,3% qui font pâle figure face au 81% de CB pucées en Europe.

La National Retail Federation, en charge du commerce de détail, indique que la mise en place de cette carte devrait coûter 30 milliards de dollars. A côté des 11 milliards piratés en 2012, cela devrait être rapidement amorti pour les banques et commerçants.

La lettre d’information Nilson Report indique qu’un achat sur quatre dans le monde est effectué aux USA. Plus de 47% des fraudes dans le monde partiraient du sol américain.

 

Argent, Banque, Chiffrement, cryptage, Cybersécurité, Fuite de données

Le bitcoin dans la ligne de mire des pirates

La monnaie virtuelle bitcoin traverse depuis ce début d’année 2014 une crise sans précédents. Après la faillite de la plateforme d’échange MtGOX et la fermeture de Flexcoins, intermédiaire spécialisé dans l’échange et le stockage de bitcoins, Poloniex, autre plateforme d’échange de crypto-monnaies, a annoncé le détournement de 12,3% des fonds qu’elle stockait. En un mois à peine, les principales bourses d’échange pour détenteurs de bitcoins ont été la cible de pirates informatiques, provoquant un véritable marasme au sein de l’écosystème de cette monnaie dématérialisée.

Pour comprendre ce phénomène de vaste piratage informatique, le laboratoire de recherche de LogRhythm s’est intéressé aux failles de sécurité existantes de bitcoin. L’équipe de chercheurs a ainsi récemment analysé un type de malware relativement nouveau qui cible plus particulièrement les utilisateurs sur les plateformes d’échange et de stockage de bitcoins.

Jean-Pierre Carlin, Directeur Europe du Sud chez LogRhythm, explique que ce malware arrive sous forme d’un fichier exécutable sous Windows (driveprice.exe) prétendant que l’exécution de ce logiciel augmentera le prix des bitcoins sur le marché, et entrainera ainsi une hausse de la valeur des bitcoins déjà détenus. Comme le dit l’adage, « Si cela semble trop beau pour être vrai, cela l’est probablement ». Ce logiciel n’est pas une exception et les créateurs du malware se servent de l’attrait pour l’argent et ciblent systématiquement les utilisateurs de plateforme d’échanges de bitcoins en misant sur le fait qu’ils téléchargeront et exécuteront ce logiciel dans le but de faire grimper la valeur globale des bitcoins.

Une fois que le logiciel s’exécute, il entraine de nombreux et importants changements au sein du système, tentant à la fois de rester invisible et d’établir une connexion permanente avec le serveur de contrôle et de commande. Le malware s’installe tout seul de manière à se lancer automatiquement lors de l’utilisation de Windows Registry, processus légitime de Windows déguisé, utilise un code injecté pour masquer l’activité du réseau, et finit par détourner tous les navigateurs disponibles sur le système. Une fois que ce dernier est infecté, le malware envoie un signal au serveur de contrôle et de commande et attend les directives du hacker. Tout en étant à l’intérieur du navigateur, le malware attend que les utilisateurs se connectent à la plateforme d’échange de bitcoins et procède ensuite au vol de leurs identifiants qui seront utilisés plus tard pour extraire la totalité des bitcoins stockés sur leur compte en ligne.

Le bitcoin, monnaie virtuelle au succès grandissant, attire l’attention de plus en plus de cybercriminels. La chute successive de deux acteurs principaux, MtGOX et Flexcoins, ainsi que l’attaque de Poloniex montre aujourd’hui un besoin urgent de sécurisation des transactions et plus largement de tout l’écosystème bitcoin. En visite début mars dans les locaux de Tracfin (Traitement du Renseignement et Action contre les Circuits FINanciers clandestins), Pierre Moscovici, Ministre de l’Economie et des Finances, a appelé à une concertation européenne sur la régulation des monnaies virtuelles comme le bitcoin, un enjeu majeur pour définir un cadre légal et limiter les pertes financières qui pourraient avoir de lourdes conséquences au niveau international. Espérons que le projet Ethereum soit un de ces possibilités de sécurisation.

 

Argent, Arnaque, Cybersécurité, Fuite de données, Paiement en ligne, Social engineering

Nouvelle arnaque Candy Crush via Facebook

Une page Facebook, associée à un site de phishing aux couleurs du célèbre jeu mobile et Web, propose aux joueurs des lingots d’or gratuits et d’autres bonus. Les Laboratoires antivirus Bitdefender ont découvert une nouvelle arnaque via Facebook concernant le jeu mobile et Web, Candy Crush. Une page Facebook associée à un site Web, dont l’URL pousse le mimétisme jusqu’à comporter le nom du jeu, propose aux joueurs des lingots d’or gratuits et d’autres bonus comme des vies supplémentaires. L’objectif de l’arnaque est de dérober les identifiants Facebook du joueur ainsi que quelques euros via un numéro surtaxé.

Étape 1 : connexion à Facebook
Bien que l’utilisateur soit déjà connecté, le site aux couleurs de Candy Crush demande aux joueurs de saisir de nouveau ses identifiants pour se connecter à son compte Facebook afin de bénéficier des lingots d’or gratuits.

Étape 2 : l’appel « gratuit »
Une fois les identifiants saisis, l’utilisateur doit appeler un numéro « gratuit » pour obtenir le code de confirmation. Bien que le mot « gratuit » et l’indication du prix (0,00€) soient précisés, il s’agit bien sûr d’un numéro surtaxé. Au lieu de lingots d’or et de vies supplémentaires pour son jeu favori, le joueur risque fort de se faire dérober ses identifiants Facebook et potentiellement l’accès à d’autres sites, s’il utilise un seul mot de passe pour plusieurs comptes, ainsi que quelques euros via le numéro surtaxé.

Comment se prémunir contre cette arnaque ?
Quelques indices peuvent permettre aux internautes d’identifier ces escroqueries :
·         Le protocole d’identification Facebook : Facebook dispose du protocole OAuth qui permet de s’identifier sur n’importe quel site en tant qu’utilisateur Facebook, lorsque ce dernier est connecté à son compte. Il n’y a donc aucune raison d’entrer à nouveau ses identifiants si l’utilisateur est déjà connecté ;
·         Le numéro surtaxé : une rapide recherche du numéro dans un moteur de recherche permet d’avoir une idée de qui est « réellement » au bout du fil.

Data Security Breach conseille aux utilisateurs de rester vigilants face à des offres un peu trop alléchantes pour être honnêtes, et de vérifier par deux fois avant de saisir leurs identifiants sur un site Internet ou d’appeler un numéro inconnu.

Chiffrement, cryptage, Cybersécurité, Espionnae, Fuite de données, Vie privée

Inquiétude pour des clients de LaPoste.net

15 commentaires

Le site Internet de LaPoste.net propose un service webmail efficace. Sauf que les identifiants de connexions ne sont pas sécurisés. Plusieurs lecteurs de Data Security Breach nous ont annoncé être inquiets du système d’identification du site LaPoste.net. Les connexions « chiffrées » au webmail Laposte.net n’existent pas. Sur la page d’accueil du site http://www.laposte.net, il est possible de se connecter à « Ma boîte aux lettres » LaPoste.net. « Je suis extrêmement surpris que l’on puisse saisir son identifiant et son mot de passe alors que la connexion n’est pas chiffrée et sécurisée en https avec un certificat SSL » indique à la rédaction Vincent. Effectivement, cela signifie tout simplement que les identifiants et les mots de passe transitent en clair sur le réseau Internet entre l’ordinateur de l’utilisateur et les serveurs de La Poste. Une personne mal intentionnée pourrait aisément, et avec quelques outils spécialisés, comme en sniffant les trames Ethernet avec Wireshark, récupérer les informations privées au moment de la connexion. Autant dire qu’un utilisateur passant par une connexion wifi gratuite dans un aéroport, un restaurant (MacDo…), un café (Starbucks…) met tout simplement son webmail en danger. Plusieurs lecteurs ont envoyé un courriel à La Poste. Des services tels que Google ou encore Outlook (live.com) proposent des connexions en https et un certificat SSL.

Alors sécurisé ou pas ?

Ce qui compte est la sécurisation https de l’url qui se trouve dans le formulaire de login. Si celle ci est en https, aucun souci, même si la page qui héberge ce formulaire n’est pas https. Donc, pas d’inquiétude le login de la poste est sécurisé, et les identifiants ne sont pas transmis en clair. « Une fois de plus le petit logo vert partout n’est pas un garant de la sécurité d’un site » rajoute Seb, un lecteur. Il faut admettre, cependant, qu’un peu plus de visibilité ne nuirait pas à la bonne compréhension, et à rassurer les utilisateurs. La dynamique équipe sécurité de La Poste nous a répondu à ce sujet. Il faut tout d’abord différencier le portail laposte.net sur lequel est disponible le webmail et l’authentification au webmail qui ne fonctionnent pas avec les mêmes restrictions d’accès et de sécurité. « Pour accéder à leurs mails XXXX@laposte.net,  nos clients doivent impérativement passer par une phase d’authentification (échange des login/mot de passe) qui est biensur  cryptée en Https » confirme à Data Security Breach l’équipe sécurité de La Poste. Voilà qui devrait définitivement rassurer les utilisateurs.

Entreprise, Fuite de données, Social engineering

Quand l’escroc informatique se prend pour un mentaliste

Le CERT-FR, cellule gouvernementale en charge de la sécurité informatique des infrastructures étatiques, a constaté une recrudescence de techniques d’ingénierie sociale (Social Engineering) où un escroc se fait passer pour un agent appartenant à un service de support technique.

Comme le rappel le CERT France, deux méthodes principales sont employées pour contacter une victime potentielle. D’abord l’appel à froid « cold call ». L’escroc appelle directement sa victime en prétendant être le technicien d’un service de support informatique. Il utilise alors des techniques d’ingénierie sociale en expliquant à la victime que son ordinateur est sujet à des comportements suspects. Une technique vieille comme le monde. Kevin Mitnick, hacker mythique, s’en était fait une spécialité dans les années 80. En janvier dernier, une société du sud de la France se voyait « détourner » pas moins de 17 millions d’euros via l’ingénierie sociale.

Autre possibilité, la publicité en ligne. Certains pirates utilisent les moteurs de recherche pour référencer de fausses entreprises de support informatique. Un utilisateur à la recherche d’une solution à un problème technique pourra être tenté de rentrer en contact avec ces fausses sociétés. La victime mise en confiance est incitée à payer pour une assistance ou un produit. Dans certains cas, le prétendu technicien peut faire installer à l’utilisateur ciblé des logiciels de prise de contrôle à distance (tel que LogMeIn) sur ses équipements.

Depuis peu, le même type d’escroquerie a été constaté pour les terminaux mobiles. Le manque de connaissances, de formations, d’informations et la naïveté des victimes permet aux voleurs de prendre le contrôle de l’ordinateur, de la connexion ou d’un terminal. Nous vous parlions, l’année dernière, de faux antivirus commercialisés en Belgique. « Un technicien de support informatique légitime, explique le CERT France, n’est pas censé amener l’utilisateur à installer un quelconque outil supplémentaire sur un poste de travail, ni à lui demander d’identifiants et de mots de passe d’authentification« .

Pour s’en protéger, il suffit de faire preuve de la plus grande prudence vis-à-vis des appels téléphoniques provenant de services de support alors que ceux-ci n’ont pas été sollicités. Ne pas hésiter à être « paranoïaque et solliciter, dans un cadre professionnel, uniquement les services de supports internes à l’entreprise ou à l’organisation.

 

 

Cyber-attaque, Cybersécurité, Fuite de données, Leak, Mise à jour, Patch

Failles pour Internet Explorer et Chrome

Microsoft confronté à une faille dans ses navigateurs 9 et 10. Google en profite pour corriger 29 « bugs » pour Chrome. Les dernières attaques ayant visé des entreprises françaises et étrangères ont mis Microsoft en alerte. Les intrus ont exploité une faille 0Day pour lancer des codes malveillants à partir d’une vulnérabilité visant Internet Explorer 9 et 10. Comme l’indique le CERT FR, la faille permet l’exécution de code arbitraire à distance. Dans l’attente de la publication du correctif, il est recommandé d’appliquer le patch provisoire mis en ligne par Microsoft sur les navigateurs Internet Explorer à jour de leurs derniers correctifs de sécurité. Mission, bloquer la majorité des attaques connues ; de mettre à jour, lorsque cela est possible vers Internet Explorer version 11 (Sous Windows 8, seule la version pro 8.1 accepte IE 11) ; d’installer et de configurer l’outil de sécurité EMET sur les applications sensibles (dont Microsoft Internet Explorer) afin de limiter les risques connus d’exploitation.

Pour Chrome, Google a corrigé 29 possibilités pirates allant de l’exécution de code arbitraire à distance, de déni de service, de contournement de la politique de sécurité ou encore d’atteinte à la confidentialité des données. Bref, des failles très sérieuses qui touchent Google Chrome versions antérieures à 33.0.1750.117.

Cyber-attaque, DDoS, Entreprise, Fuite de données, Leak

Les principales menaces de sécurité qui pèsent sur les entreprises

HP vient de publier son rapport Cyber Risk Report 2013, où sont identifiées les principales vulnérabilités qui touchent les entreprises dans le domaine de la sécurité. Cette étude propose par ailleurs une analyse du paysage des menaces, actuellement en pleine expansion.

Réalisée par le laboratoire de la recherche en sécurité HP Security Research, cette étude annuelle fournit des données complètes et une analyse approfondies des questions de sécurité les plus pressantes pour les entreprises. Cette édition dévoile les facteurs qui ont le plus contribué à élargir la surface d’attaque en 2013 – à savoir l’utilisation croissante des terminaux mobiles, la prolifération des logiciels non sécurisés et l’utilisation croissante de Java – tout en proposant aux entreprises des mesures appropriées pour réduire les risques de sécurité, ainsi que l’impact global des attaques.

« Les hackers sont plus performants que jamais et ils collaborent plus efficacement entre eux dans le but d’exploiter au mieux les vulnérabilités sur une surface d’attaque en expansion permanente », a déclaré Jacob West, directeur de la technologie, Enterprise Security Products, HP. « L’industrie doit par conséquent faire preuve de proactivité et partager les renseignements et les tactiques de sécurité pour lutter contre les activités malveillantes entraînées par un marché du cybercrime en plein essor. »

Faits marquants et principales conclusions de l’étude Cyber Risk 2013
·  Si les recherches consacrées aux vulnérabilités ont continué à susciter un vif intérêt, le nombre total de vulnérabilités annoncées officiellement a baissé de 6 % en un an, tandis que le nombre de vulnérabilités importantes a diminué pour la quatrième année consécutive (-9 %). Bien que non quantifiable, ce déclin peut être l’indication d’une forte augmentation des vulnérabilités qui ne sont pas annoncées officiellement mais, au contraire, qui sont transmises au « marché noir » en vue d’une utilisation privée et/ou malveillante.

·  Près de 80 %(2) des applications examinées contenaient des vulnérabilités dont l’origine se situe à l’extérieur du code source. Même un logiciel développé avec rigueur peut s’avérer particulièrement vulnérable s’il est mal configuré.

·  Les définitions variables et incohérentes du terme « malware » compliquent l’analyse des risques. Dans un examen portant sur plus de 500 000 applications mobiles pour Android, HP a constaté des écarts importants entre la façon dont les moteurs antivirus et les fournisseurs de plateformes mobiles classent les logiciels malveillants.(3)

·  46 %(2) des applications mobiles étudiées utilisent le chiffrement de manière inappropriée. L’étude de HP montre que les développeurs d’applications mobiles font rarement appel aux techniques de chiffrement pour stocker des données sensibles sur les appareils mobiles, s’appuient au contraire sur des algorithmes faibles, ou utilisent de façon inappropriée des outils de chiffrement plus forts, ce qui les rend inefficaces.

·  En 2013, Internet Explorer était l’application la plus ciblée par les spécialistes en vulnérabilités de la HP Zero Day Initiative (ZDI) avec plus de 50 %(4) des vulnérabilités acquises par le programme. Cette attention est liée au fait que les forces du marché [officielles et illégales] concentrent leurs recherches sur les vulnérabilités de Microsoft, ce qui ne reflète pas le niveau de sécurité global d’Internet Explorer.

·  Les vulnérabilités liées au contournement de la « sandbox » des applications sont les plus fréquentes et les plus graves pour les utilisateurs de Java(2). Les hackers ont considérablement haussé le niveau des agressions contre Java en ciblant simultanément plusieurs vulnérabilités connues (et « jour zéro ») dans des attaques combinées menées contre des objectifs spécifiques.

Principales recommandations
Dans un environnement où les cyberattaques sont de plus en plus nombreuses et la demande en logiciels sécurisés de plus en plus forte, il est impératif d’éliminer les possibilités de révéler involontairement des informations pouvant être exploitées par des pirates informatiques. Les entreprises comme les développeurs doivent rester au fait des failles de sécurité dans les frameworks et autres codes tierce partie, tout particulièrement dans le cas des plates-formes de développement mobile hybrides. Des directives de sécurité robustes doivent être appliquées pour protéger l’intégrité des applications et la confidentialité des utilisateurs. S’il est impossible d’éliminer la surface d’attaque sans pénaliser les fonctionnalités, une bonne combinaison des personnes, des processus et des technologies peut permettre aux entreprises de minimiser efficacement les vulnérabilités alentour pour réduire considérablement les risques globaux. La collaboration et le partage de renseignements sur les menaces entre les professionnels de la sécurité informatique permet de connaître de façon plus approfondie la tactique des adversaires, avec à la clé des stratégies de défense davantage proactives, l’incorporation de protections renforcées dans les solutions de sécurité proposées, et un environnement globalement plus sûr.

HP publie son étude Cyber Risk chaque année depuis 2009. Le laboratoire HP Security Research s’appuie sur un certain nombre de sources internes et externes pour réaliser cette étude, parmi lesquelles la HP Zero Day Initiative, les évaluations de sécurité HP Fortify on Demand, les études de sécurité HP Fortify Software Security Research, les laboratoires ReversingLabs et le référentiel de vulnérabilités du gouvernement américain (National Vulnerability Database). La méthodologie complète est présentée en détail dans le rapport.

Arnaque, Cybersécurité, Fuite de données, Identité numérique, Social engineering, Vie privée

Méfiez-vous de l’ingénierie sociale, l’outil préféré des escrocs

L’ingénierie sociale est sournoise car elle exploite notre tendance naturelle à vouloir nous rendre utile. Les escrocs peuvent également jouer sur les émotions humaines, telles que la peur et la compassion. Voici quelques astuces employées par les escrocs pour soutirer des informations confidentielles, et comment vous en protéger. Vous êtes au bureau et un électricien vient résoudre un problème, ou votre téléphone sonne et c’est votre FAI qui vous informe d’un problème avec votre compte.

C’est dans la nature humaine de coopérer, non ? Vous laissez l’électricien entrer et le laissez faire ce qu’il doit faire. Vous répondez aux questions posées par le représentant du service clientèle afin de vérifier votre identité. Malheureusement, au lieu de vous rendre utile, vous êtes désormais victime de l’ingénierie sociale. L’électricien a installé un routeur pirate ou des caméras de surveillance dans votre bureau. Le faux représentant du service clientèle connaît vos données personnelles, les informations de votre compte ou encore votre numéro de carte bancaire.

L’ingénierie sociale désigne les techniques utilisées par des individus pour conduire d’autres individus à effectuer certaines tâches ou révéler certains types d’information. Les cybercriminels et les voleurs profitent du désir humain naturel de se rendre utile et de croire ce que les gens disent. Ces escrocs n’ont pas besoin d’employer de techniques de piratage sophistiquées ni de logiciels malveillants exploitant une vulnérabilité logicielle, quand il leur suffit simplement d’envoyer une pièce jointe malveillante par email et demander au destinataire d’ouvrir le fichier.

L’ingénierie sociale n’est pas quelque chose de nouveau ; les escrocs et leurs escroqueries élaborées ont existé de tout temps. Ce qui est nouveau, c’est la quantité d’information que les escrocs peuvent recueillir sur leurs victimes ciblées avant même d’attaquer. Grâce aux réseaux sociaux, ils peuvent trouver toutes sortes d’information, par exemple le lieu de travail de leurs victimes ciblées, les noms de leurs collègues, l’école où elles ont étudié, et même le dernier endroit où elles sont parties en vacances. Ils peuvent déterminer l’organigramme de l’entreprise ou les types de logiciels qu’elle utilise. Ils peuvent exploiter toutes ces informations pour convaincre une victime qu’ils disent la vérité.

Il est dans la nature humaine d’aider
Defcon, la plus grande conférence de pirates, organise tous les ans une compétition de type « capture du drapeau » en s’aidant de l’ingénierie sociale. Les participants ont quelques semaines pour étudier une société ciblée. De grandes entreprises telles qu’Apple, Johnson & Johnson et d’autres, ont été ciblées les années précédentes. Le jour de la compétition, les concurrents entrent dans une cabine, appellent une personne de la société, et tentent de lui faire révéler des « drapeaux », tels que la version du navigateur utilisé dans l’entreprise ou le type de logiciel installé sur son ordinateur. Les candidats prétendent généralement être des collègues d’un autre bureau essayant de recueillir des informations pour le PDG, et avoir vraiment besoin d’aide parce qu’ils sont complètement dépassés. La plupart du temps, les gens veulent aider et proposent librement des informations.

La peur est lucrative
Les escrocs sont passés maîtres de l’alarmisme. Une escroquerie courante consiste à appeler de la part d’un service d’assistance technique ou similaire en raison d’un problème sur l’ordinateur de l’utilisateur. L’appelant demande à l’utilisateur de taper quelques commandes standard sur l’ordinateur et explique que le résultat obtenu témoigne de la présence de programmes malveillants ou d’autres problèmes graves. À ce stade, l’utilisateur est convaincu que quelque chose ne va pas bien et communique son numéro de carte bancaire au « représentant » pour résoudre le problème.

Vérifiez vérifiez, et vérifiez encore
Si quelqu’un appelle en prétendant être d’une qualité officielle, demandez des preuves. Demandez un numéro de poste afin de pouvoir rappeler cette personne. Si la personne prétend être un employé d’un autre bureau ou d’un fournisseur, demandez une information vous permettant de confirmer son identité. S’il s’agit d’un policier, demandez son numéro de badge. Si ces personnes sont légitimes, elles vous fourniront les informations demandées sans hésitation. Ne cédez pas à la pression « vous avez quelques minutes pour agir ». Vous avez toujours le temps de réfléchir et de vérifier.

Méfiez-vous toujours des situations dans laquelle vous êtes activement contacté au sujet d’un problème. Aucune entreprise légitime ne vous demandera votre mot de passe, et le gouvernement enverra toujours une lettre pour les communications officielles. Et si vous recevez soudainement un appel d’un ami ou d’un parent prétendant être bloqué dans un pays étranger et ayant besoin que vous leur envoyez de l’argent au plus vite, ne leur faite pas simplement confiance parce qu’il ou elle connaît le nom de vos frères et sœurs ou le nom de votre chien.

Soyez conscient de ce que vous communiquez en ligne, et réglez les paramètres de contrôle de votre confidentialité. Il existe certaines informations que vous ne devriez jamais communiquer en ligne, telles que votre mot de passe, les réponses aux questions de sécurité (comme le nom de jeune fille de votre mère) ou votre numéro de sécurité sociale. Vous pouvez toujours vous rendre utile, mais prenez le temps de douter et de tout évaluer. Une petite dose de scepticisme n’a jamais fait de mal, et peut faire une énorme différence lorsqu’il s’agit de cybercriminalité. (Par Thierry Karsenti, Directeur Technique Europe – Check Point Software Technologies)

 

Fuite de données, Identité numérique, Particuliers, Vie privée

IP-tracking: Le Parlement européen demande une enquête à la Commission européenne

Une semaine après le rapport de la CNIL et de la DGCCRF, les eurodéputés demandent à la Commission européenne d’agir. Le Parlement européen a adopté aujourd’hui à une large majorité une résolution sur l’application de la directive 2005/29/CE sur les pratiques commerciales déloyales. Dans cette résolution, les eurodéputés « s’inquiètent du nombre croissant de plaintes concernant des usagers de sites d’achat de billets en ligne qui ont été victimes d’IP tracking »[1] ;

Les parlementaires demandent à la Commission européenne d’enquêter sur la fréquence de cette pratique « qui génère une concurrence déloyale et qui constitue un détournement des données personnelles des utilisateurs, et, le cas échéant, de proposer une législation adéquate pour protéger les consommateurs[2]« ;

Françoise Castex, qui avait reproché à l’enquête de la CNIL et de la DGCCRF, rendue publique le 27 janvier dernier, de ne pas lever pas le doute sur les tarifs obscurs pratiqués par les grands opérateurs de transports sur la toile, s’est félicitée de ce vote: « C’est la preuve que les usagers ne sont pas paranoïaques et que l’IP-tracking n’est pas qu’une préoccupation franco-française« .

« Nous demandons à la Commission européenne de protéger comme il se doit les millions de consommateurs victimes d’espionnage, notamment via l’utilisation de leur historique de navigation, » poursuit l’eurodéputée du Gers. « Le consentement explicite de l’utilisateur doit être la règle, et non l’exception!« , conclut Françoise Castex, qui presse le Conseil d’adopter le nouveau règlement européen sur les données personnelles.

[1] Pratique qui vise à retenir le nombre de connections d’un internaute via la même adresse IP puis à faire monter artificiellement les prix d’un bien en fonction de l’intérêt démontré par plusieurs recherches similaires

[2] Article 18

backdoor, Cybersécurité, Espionnae, Fuite de données, Leak, Propriété Industrielle

Le Groupement des Industries Françaises Aéronautiques et Spatiales attaqué

Depuis plus de trois semaines, des pirates informatiques louchent sur des données militaires appartenant à des sociétés américaines et Françaises. D’après la société WebSense, dans la liste des sites visés, celui du Groupement des Industries Françaises Aéronautiques et Spatiales (GIFAS). Les pirates, une nouvelle fois des Chinois sont montrés du doigt, auraient exploité un 0Day [CVE-2014-0322  – faille non publique, ndr] visant Internet Explorer 9 et 10.

Les pirates auraient diffusé des courriels ciblés à l’encontre d’employés membre de le GIFAS. Missives électroniques qui incitaient à visiter un site malveillant. Page web, comme le montre notre capture écran, qui  déclenche le téléchargement d’un outil d’espionnage à partir d’une « pixel » flash pirate.

L’url proposé dans le courriel usurpait l’adresse web de l’association : https://www.gifas.asso.fr. Les pirates ayant enregistré gifas.assso.net [assso.net, avec trois S, ndr datasecuritybreach.fr]. La page se fait passer, elle est toujours active, pour l’espace presse du GIFAS.

Finalité de l’attaque, intercepter mots de passe et permettre des accès à des documents sensibles. Les pirates (qui utilisent la même technique que les groupes Deputy Dog et Ephemeral Hydra) ont-ils cherché à connaitre les « contrats »/ »accords » signés entre les USA et le FRANCE lors de la visite du Président de la République Française sur le sol de l’Oncle Sam ? Il faut dire que de nombreux patrons de l’aéronautique française/US (Jean-Paul Herteman, PDG de Safran, David Joyce, PDG de GE Aviation, Jean-Paul Ebanga, PDG de CFM International, …) se sont retrouvés ces derniers jours à Washington.

A noter que Microsoft conseille de passer à Internet Explorer 11 pour éviter d’être piéger par de vieille faille. Voilà une bonne idée… comme celle de penser à stopper l’utilisation de Windows XP !

Cyber-attaque, Fuite de données, Identité numérique, Leak, Piratage, Vie privée

Piratage de KickStarter

2 commentaires

Nouvelle attaque, nouvelle fuite et nouveau vol de données appartenant à des internautes. Cette fois, c’est le portail de financement participatif KickStarter (Un MajorCompagny américain, ndr) qui vient de subir le passage d’un pirate dans sa base de données.

Une injection SQL plus tard et le malveillant est reparti avec les données clients : noms, adresses … Les mots de passe compris. Ces derniers sont chiffrés en MD5, détail technique qui ne devrait pas durer bien longtemps face à un logiciel de reverse de mot de passe.

KickStarter ne s’est jamais rendu compte de rien. C’est la police qui a contacté l’entreprise, mercredi 12 février, pour l’avertir de l’attaque. Depuis, la faille SQL a été corrigée. Pas être rassurant, KickStarter indique que les données bancaires de ses clients n’ont été impactés. Il n’avait aucune preuve de l’utilisation des données volées. Déjà qu’ils n’ont pas vu l’attaque, alors dire qu’il n’y a pas eu d’utilisation est légèrement prématurée. « Par mesure de précaution, nous vous recommandons fortement de créer un nouveau mot de passe pour votre compte Kickstarter, et autres comptes où vous utilisez ce même mot de passe« .

 

Entreprise, Fuite de données, Identité numérique, Vie privée

La commission « Libertés civiles » du Parlement européen ouvre la voie à une réelle protection de la neutralité du Net

Le 12 février, la commission « Libertés civiles » (LIBE) du Parlement européen a adopté son rapport pour avis [1] sur la proposition de règlement relatif au marché unique européen pour les communications électroniques. Des amendements clés ont été adoptés, qui, s’ils étaient inclus dans la version finale du texte, garantiraient l’application de la neutralité du Net au sein de l’Union européenne. La Quadrature du Net met en garde la commission « Industrie » (ITRE), en charge du dossier, contre les tentatives d’adoption d’amendements édulcorés qui permettraient aux opérateurs de télécommunication de distribuer des services spécialisés d’une manière qui limiterait radicalement la liberté de communication et l’innovation sur Internet.

Grâce aux amendements déposés par les groupes Verts, S&D et ALDE, des versions solides des articles clés 2(15) [2] et 23 [3], et de leurs considérants, ainsi que des dispositions sur les services spécialisés et des dispositions assurant l’application effective de la neutralité du Net, sont maintenant incluses dans le rapport de la commission « Libertés civiles ». Le rapporteur PPE Salvador Sedó i Alabart (ES – PPE) a lui-même soutenu des dispositions positives. La Quadrature du Net remercie tous les eurodéputés qui ont contribué à ce vote.

Le texte adopté doit maintenant être considéré comme une référence pour le reste de la procédure législative, particulièrement pour la commission ITRE, qui prépare la version finale des recommandations adressées à l’ensemble du Parlement européen sur ce dossier. Néanmoins, des inquiétudes importantes subsistent concernant l’issue du vote de la commission ITRE. Les amendements de compromis [4] proposés par la rapporteure Pilar del Castillo Vera (ES – EPP) ouvrent la porte aux abus des opérateurs de télécommunications de manière scandaleuse. Pire encore, ces amendements ignorent entièrement la substance des meilleures propositions déposées par les autres députés de la commission – y compris par les membres de son propre groupe politique [5]. Enfin, ils entrent fortement en contradiction avec les principaux amendements votés en commission LIBE aujourd’hui, qui assureraient que le futur règlement protège les droits fondamentaux.

À ce stade de la procédure, il est inquiétant que même les rapporteurs fictifs des groupes politiques favorables aux amendements positifs ne s’opposent que extrêmement timidement à la rapporteure. Soutenir les amendements de compromis de del Castillo équivaut à ignorer les intérêts et droits des citoyens européens, et à laisser carte blanche aux opérateurs télécom pour mettre en place une discrimination illégitime des communications sur Internet. Tous les rapporteurs fictifs de la commission ITRE – Jens Rohde (DK – ALDE), Catherine Trautmann (FR – S&D), Amelia Andersdotter (SE – Verts/ALE), Giles Chichester (UK – ECR) – doivent rendre leur position publique, et permettre à tous de juger leurs responsabilités dans la version définitive du rapport ITRE, adoptée durant le vote prévu pour le 24 février. Si ces députés, ou d’autres membres de leur groupe, refusent de tenir compte des recommandations émanant de leur propre groupe politique au sein de la commission LIBE, et adoptent des amendements de compromis faibles, ou même mettant en danger la neutralité du Net, les citoyens européens les tiendront pour responsables, particulièrement lors des élections européennes [6] à venir.

« Les citoyens européens doivent faire entendre aux membres de la commission « Industrie » qu’il n’existe qu’un seul vote acceptable : le rejet des soi-disant « amendements de compromis » de Mme Pilar del Castillo Vera et l’adoption d’amendements aux articles 2(15) et 23 similaires à ceux de la commission LIBE. Pour qu’Internet puisse continuer à bénéficier de l’innovation et de la liberté de communication, le droit européen doit clairement interdire aux opérateurs télécom de commercialiser des services spécialisés techniquement identiques aux services en ligne déjà disponibles sur Internet » déclare Philippe Aigrain, cofondateur de La Quadrature du Net.

« Chaque voix comptera le 24 février, lors de l’adoption de la version finale du rapport de la commission « Industrie » sur la proposition de règlement. Nous appelons chacun de ses membres à s’opposer à la position de la rapporteure Pilar Del Castillo Vera et à voter en faveur des amendements clés adoptés en commission « Libertés civiles », qui seuls peuvent assurer la protection des droits fondamentaux, de la libre concurrence et de l’innovation sur l’Internet ouvert », conclut Miriam Artino, analyste politique et juridique pour La Quadrature du Net.

* Références *
1. http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-%2f%2fEP%2f%2fNONSGML%2bCOMPARL%2bPE-523.069%2b01%2bDOC%2bPDF%2bV0%2f%2fFR
2. Article 2(15) : « « service spécialisé », un service de communications électroniques ou un service de la société de l’information qui fournit une capacité d’accès à des contenus, des applications ou des services spécifiques, ou à une combinaison de ces derniers, ou bien la capacité d’envoyer ou de recevoir des données à destination ou en provenance d’un nombre déterminé de parties ou points terminaux et qui n’est pas commercialisé ou largement utilisé comme produit de substitution à un service d’accès à l’internet; »
3. Article 23, sur la « liberté de fournir et de se prévaloir des offres d’accès à un internet ouvert, et gestion raisonnable du trafic »
4. https://www.laquadrature.net/files/NN-Castillo-ITRE-CA.pdf
5. Voir : http://edri.org/bad-leadership-kill-open-internet-europe/ [en]
6. http://www.wepromise.eu/