Archives de catégorie : Paiement en ligne

Entreprise, Paiement en ligne, Propriété Industrielle, spam

Des ultrasons pour sécuriser vos transactions

Un commentaire

Etonnante invention que celle proposée par la société CopSonic. Derrière cette start-up française basée à Montauban, Emmanuel Ruiz. Son idée, permettre de combattre le phishing et de proposer une nouvelle forme de sécurité informatique en faisant vibrer les sites officiels de manière à contrer les contrefaçons et à proposer une triple authentification.

Comment ? Via une technologie qui remplace l’identification visuelle par un ultra son. La sécurité fonctionne ainsi : une banque, un FAI ou une boutique en ligne installe sur son site l’invention de CopSonic. Le système de protection installé sur le portail à protéger diffuse un son qui fera réagir l’application de contrôle installé sur un téléphone portable ou une tablette. Si un pirate, un escroc, un adepte du phishing tente de reproduire la page protégé, il ne pourra pas reproduire le son de CopSonic « Notre sécurité diffuse un son unique pour chaque vérification, explique à la rédaction de Data Security Breach Emmanuel Ruiz. L’escroc ne pourra pas le reproduire« . Bilan, une sécurité quasi parfaite. Le client, face à son application muette, pourra ainsi s’assurer que le site qui lui est présenté est officiel ou non. L’idée de CopSonic est aussi de proposer une troisième authentification en plus de votre mot de passe, d’une double-authentification comme Google/Facebook peut le proposer [Lire]. En gros, en plus de vos précieux sésames (login et mot de passe) le site diffuse un ultra son qui permettra de valider votre accès après que votre smartphone soit reconnu.

Captcha et paiement en ligne à la vitesse du son
Autre possibilité que propose l’invention de la jeune PME, un système anti-spam, anti-brute force basé sur les ultrasons. A la base, un captcha est soit sous forme de chiffre et de lettres qui s’affichent à l’écran. Une série de lettres/chiffres qu’il faut reproduire pour pouvoir écrire un message dans un forum par exemple. L’opérateur Orange propose quant à lui une version avec des images. Le client doit retrouver des animaux, des moyens de locomotions ou des plantes afin de valider sa demande de son mot de passe. Bref, un captcha permet de contrer les robots spammeurs/pirates. Le but de CaptchaSonic est d’éliminer ou de limiter les actions des spammeurs et des robots dans les pages web.

DataSecurityBreach a pu tester l’outil. Au lieu d’avoir à déchiffrer un captcha graphique sur la page de validation, l’application gratuite propose de se passer de taper la moindre information. L’application sur le smartphone reçoit le son et valide le fait que vous soyez bien un humain. Autre possibilité, Pixeliris, une technologie de paiement mobile sans contact qui utilisent les ultrasons pour échanger des données sécurisées à travers les micros et enceintes des téléphones. Compatible avec 100% des téléphones mobiles… même si Apple freine la mise à disposition des applications de l’entreprise Française. En attendant, les possesseurs de smartphones sous Androïd et Windows phone peuvent déjà profiter de cette protection étonnante.

En attendant que la France s’intéresse un peu plus à ce beau projet, la Mission Economique de l’Ambassade de France-UBIFRANCE au Canada a sélectionné CopSonic, avec 9 autres start-ups Françaises, pour participer à la deuxième édition du French Tech Tour Canada (FTT) qui se déroulera du 2 au 6 Juin 2014 à Toronto (Canada). Plus de 25 entreprises avaient postulé pour prendre part à cette tournée. Les 10 entreprises ont été sélectionnées par les partenaires de l’événement incluant Bell, Telus, BlackBerry, Air Canada, Emerillon Capital, CGI, KPMG, … En novembre 2013, Pixeliris fut la seule entreprise française choisie pour représenter la France au cours d’une session de démonstration en petit comité avec le président français François Hollande, le ministre français des affaires étrangères Laurent Fabius, le président Israélien Shimon Peres et le premier ministre israélien Benyamin Netanyahou.

Chiffrement, cryptage, Entreprise, Logiciels, Paiement en ligne

API IDentité Numérique Développeurs de La Poste

Un commentaire

Avec l’API IDentité Numérique Développeurs, La Poste offre à tous les acteurs du web des échanges numériques sécurisés et renforce son rôle d’acteur majeur de l’internet de confiance. Dans le cadre du OUISHARE FEST 2014, le festival international de l’économie collaborative réunissant plus de 1 000 pionniers et start up innovantes, qui s’est tienu les 5, 6 et 7 mai derniers au Cabaret Sauvage (Porte de la Villette), La Poste a présenté son service IDentité Numérique dédié aux développeurs. En intégrant cette API, les acteurs du web et les ecommerçants développent la confiance entre des internautes et offrent la possibilité d’utiliser leur profil qualifié par La Poste pour se connecter sur leur site.

Qu’est-ce que l’IDentité Numérique ?
L’IDentité Numérique permet à un internaute  d’attester que son identité a été vérifiée physiquement par La Poste. Avec des profils qualifiés, les échanges entre particuliers se font en toute confiance. Grâce à La Poste, les particuliers peuvent se doter gratuitement d’une IDentité Numérique sur le site www.laposte.fr/identitenumerique. L’utilisation de l’IDentité Numérique de La Poste permet ainsi de bénéficier d’une confiance accrue pour échanger plus facilement, des biens ou des services comme la location entre particuliers par exemple.

L’API, comment ça marche ?
Simple et facile à intégrer, les développeurs intègrent l’API IDentité Numérique sur  leur site en se rendant au lien suivant : https://developpeurs.idn.laposte.fr. – la demande d’accès à ce service s’effectue via un formulaire de contact.

Quels bénéfices de l’API pour les sites ?
A chaque fois qu’un internaute utilise son identité numérique pour se connecter ou s’inscrire sur un site, le site en question reçoit les données de l’internaute que La Poste a vérifiées (Civilité, Nom, Prénom, date de naissance, adresse e-mail, adresse postale, N° de mobile). Les profils clients sont fiabilisés : un badge de confiance s’affiche sur le profil de l’internaute, attestant que son identité a été vérifiée par La Poste. Le badge sur son profil étant visible par les autres utilisateurs du site, cela lui permet de rassurer la communauté tout en gardant son anonymat. Grâce à la confiance que les autres ont en son profil, l’internaute va booster son profil et ses échanges. Par exemple, sur les sites partenaires comme prêtachanger.fr, les internautes ayant un badge La Poste troquent 5 fois plus que les autres. Les sites dotés de cette API renvoient également une image positive auprès des internautes et bénéficient d’un outil de communication, vecteur de notoriété pour acquérir de nouveaux clients.

 

Argent, Arnaque, Banque, Cybersécurité, escroquerie, Paiement en ligne, Phishing, Scam

Hausse de la fraude bancaire en France

La dernière étude de l’Observatoire national de la délinquance et des réponses pénales (ONDRP) annonce plus de 700.000 piratages bancaires en France, par an. Voilà qui devient intéressant. Les chiffres de la dernière étude de l’Observatoire national de la délinquance et des réponses pénales (ONDRP) montre qu’il y aurait eu une hausse de 43% des piratages de données bancaires, en France, entre 2010 et 2013. Plus de 700.000 victimes se sont déclarées.

Le rythme des arnaques à la carte bancaire en France ne cesserait d’augmenter indique le Figaro à la suite de cette étude de l’Observatoire national de la délinquance et des réponses pénales (ONDRP) relative aux « débits frauduleux sur les comptes bancaires ». Des faits déclarés par des victimes lors d’une enquête « cadre de vie et sécurité » lancée par l’Insee. 14.500 ménages ont été interrogés pour cette enquête.

En 2010, 500.000 cas de fraudes bancaires avaient été annoncés. Trois ans plus tard, 200.000 nouveaux se sont invités dans ce compteur qui ne cesse d’augmenter. A noter que le rapport officiel de l’Observatoire de la Sécurité des Cartes de Paiement (OSCP) sur ce sujet doit être publié en juillet prochain. En 2012 (le site n’affiche aucun rapport pour 2013, ndr) l’OSCP annonçait un taux de fraude pour l’année 2011 à 0,077 % « en légère augmentation pour la quatrième année consécutive« . Cela correspondait à un montant total de fraude de 413,2 millions d’euros (contre 0,074 % et 368,9 millions d’euros en 2010).

Bitcoin, Chiffrement, cryptage, Cybersécurité, Fuite de données, Paiement en ligne

Le Bitcoin : populaire mais risqué

Selon l’étude « Financial Cyber Threats in 2013 » réalisée par Kaspersky Lab, les malwares ciblant le Bitcoin sont devenus « monnaie courante » en 2013. Le nombre d’attaques contre cette crypto-monnaie a ainsi été multiplié par plus de 2,5 pour atteindre un nombre de 8,3 millions incidents recensés. Créé notamment pour permettre des paiements anonymes sur Internet, le bitcoin rencontre un immense succès depuis quelques années. Début 2013, il s’échangeait au cours de 13.6$ et en décembre dernier, il culminait au taux record de 1200$. Au fil de l’année, le cours de la monnaie virtuelle a connu des hauts et des bas mais, depuis avril 2013, il n’est jamais descendu à moins de 80$. Ce phénomène a inévitablement attiré l’attention des escrocs. Pour compliquer le problème, les bitcoins sont souvent une proie facile pour les cybercriminels : si les utilisateurs les stockent sur leurs ordinateurs sous une forme non cryptée, il suffit aux pirates de s’approprier le fichier du « portefeuille » pour obtenir les informations relatives à son contenu et accéder au compte de leur victime.

Sur la trentaine d’échantillons de malware financiers, étudiés dans le cadre de l’étude de Kaspersky Lab, neuf concernaient un programme conçu pour voler des bitcoins. Ceux-ci représentaient au total 29 % des cyberattaques financières s’appuyant sur des applications malveillantes. Les outils employés par les cybercriminels pour dérober des bitcoins peuvent être classés en deux catégories. La première se compose de programmes destinés au vol des fichiers de portefeuille. Les applications de la seconde catégorie installent un logiciel qui génère des bitcoins (opération dite de « mining ») sur un ordinateur infecté. Dans l’absolu, les voleurs de portefeuille de bitcoins ont perpétré deux fois plus d’attaques en 2013. Cependant, les outils de « mining » se sont développés plus rapidement.

« En 2013, la valeur du bitcoin a été multipliée par plus de 85, ce qui a bien entendu attiré l’attention des cybercriminels. Vers la fin de l’année, le nombre d’utilisateurs attaqués par des malwares ciblant les bitcoins a commencé à se rapprocher de celui des victimes de cybermenaces bancaires plus classiques. Les détenteurs de bitcoins doivent donc être particulièrement prudents car il est quasiment impossible de récupérer l’argent virtuel volé. C’est le risque inhérent à l’utilisation d’une crypto-monnaie qui circule sans aucun contrôle des pouvoirs publics », commente Sergey Lozhkin, chercheur senior en sécurité pour Kaspersky Lab.

Pourcentage d’utilisateurs attaqués par différents types de malware chaque mois

Plus d’utilisateurs donc plus de risques, comment lutter ?
Pour une utilisation sécurisée des crypto-monnaies, les experts de Kaspersky Lab conseillent de conserver les fichiers de portefeuille sur des supports cryptés. Pour un stockage à long terme, l’utilisateur pourra transférer la somme virtuelle dans un portefeuille dédié et en noter les détails sur le papier. Il importe également d’installer sur l’ordinateur une protection fiable contre les logiciels malveillants, via une solution éprouvée de sécurité Internet. L’étude « Financial Cyber Threats in 2013 » s’appuie sur des données fournies bénévolement par les participants du réseau Kaspersky Security Network. KSN est une infrastructure mondiale distribuée dans le cloud et conçue pour traiter rapidement des données anonymisées relatives aux menaces rencontrées par les utilisateurs des produits Kaspersky Lab.

 

Argent, Banque, Entreprise, Fuite de données, Paiement en ligne

Les cartes à puces bientôt utilisées aux USA

2 commentaires

Les deux géants de la carte bancaire, Visa et MasterCard, vont créer aux États-Unis un groupe de travail qui aura pour finalité de réfléchir à l’implation de la carte à puce sur le territoire de l’Oncle SAM. Ce groupe de travail regroupe des banques, des assurances et des commerçants. Le second effet du piratage des enseignes de grande distribution Neiman Marcus, Target ?

Aux USA, 5,6 milliards de cartes bancaires évoluent dans les poches des consommateurs. 1,6 million de cartes possèdent une puce. 0,3% qui font pâle figure face au 81% de CB pucées en Europe.

La National Retail Federation, en charge du commerce de détail, indique que la mise en place de cette carte devrait coûter 30 milliards de dollars. A côté des 11 milliards piratés en 2012, cela devrait être rapidement amorti pour les banques et commerçants.

La lettre d’information Nilson Report indique qu’un achat sur quatre dans le monde est effectué aux USA. Plus de 47% des fraudes dans le monde partiraient du sol américain.

 

Argent, Arnaque, Cybersécurité, Fuite de données, Paiement en ligne, Social engineering

Nouvelle arnaque Candy Crush via Facebook

Une page Facebook, associée à un site de phishing aux couleurs du célèbre jeu mobile et Web, propose aux joueurs des lingots d’or gratuits et d’autres bonus. Les Laboratoires antivirus Bitdefender ont découvert une nouvelle arnaque via Facebook concernant le jeu mobile et Web, Candy Crush. Une page Facebook associée à un site Web, dont l’URL pousse le mimétisme jusqu’à comporter le nom du jeu, propose aux joueurs des lingots d’or gratuits et d’autres bonus comme des vies supplémentaires. L’objectif de l’arnaque est de dérober les identifiants Facebook du joueur ainsi que quelques euros via un numéro surtaxé.

Étape 1 : connexion à Facebook
Bien que l’utilisateur soit déjà connecté, le site aux couleurs de Candy Crush demande aux joueurs de saisir de nouveau ses identifiants pour se connecter à son compte Facebook afin de bénéficier des lingots d’or gratuits.

Étape 2 : l’appel « gratuit »
Une fois les identifiants saisis, l’utilisateur doit appeler un numéro « gratuit » pour obtenir le code de confirmation. Bien que le mot « gratuit » et l’indication du prix (0,00€) soient précisés, il s’agit bien sûr d’un numéro surtaxé. Au lieu de lingots d’or et de vies supplémentaires pour son jeu favori, le joueur risque fort de se faire dérober ses identifiants Facebook et potentiellement l’accès à d’autres sites, s’il utilise un seul mot de passe pour plusieurs comptes, ainsi que quelques euros via le numéro surtaxé.

Comment se prémunir contre cette arnaque ?
Quelques indices peuvent permettre aux internautes d’identifier ces escroqueries :
·         Le protocole d’identification Facebook : Facebook dispose du protocole OAuth qui permet de s’identifier sur n’importe quel site en tant qu’utilisateur Facebook, lorsque ce dernier est connecté à son compte. Il n’y a donc aucune raison d’entrer à nouveau ses identifiants si l’utilisateur est déjà connecté ;
·         Le numéro surtaxé : une rapide recherche du numéro dans un moteur de recherche permet d’avoir une idée de qui est « réellement » au bout du fil.

Data Security Breach conseille aux utilisateurs de rester vigilants face à des offres un peu trop alléchantes pour être honnêtes, et de vérifier par deux fois avant de saisir leurs identifiants sur un site Internet ou d’appeler un numéro inconnu.

Emploi, Entreprise, Paiement en ligne, Propriété Industrielle

Les entreprises françaises négligent Internet

Un commentaire

Les résultats du nouveau baromètre d’Email-Brokers, le leader ouest-européen du database management et du marketing interactif, sont sans appel : les entreprises françaises négligent Internet et manquent des opportunités de développement. Pour le spécialise du web, la France un futur désert numérique ?  80 % des entreprises qui ont fait faillite en 2013 n’avaient pas de site web. « En outre, sans garde-fou, formation, accompagnement et soutien, l’explosion de la présence de nos sociétés en ligne risque bien vite de s’apparenter davantage à un effet de ‘pétard mouillé » souligne William Vande Wiele, PDG d’Email-Brokers. Si les chiffres apparaissent comme satifaisants ils montrent que la France décroche par rapport aux autres pays européens : sur Facebook, 16,09 % d’entreprises françaises ont une page contre 25,03 % en Espagne. Plus de 300.000 sites usurpent des adresses en .fr. L’e-commerce (+14%) constitue une valeur ajoutée économique et un outil de choix lorsqu’il est pleinement maîtrisé et à même d’inspirer la confiance des consommateurs. Pourtant, globalement, l’étude relève une hausse de 31 % des sites  qui ne sont pas conformes aux obligations légales, 428.800 des sites actifs ne contiennent même pas de coordonnées de contact.

Arnaque, Banque, escroquerie, Fuite de données, Paiement en ligne

Social engineering à 17 millions d’euros

Plusieurs entreprises françaises ponctionnées de centaines de milliers d’euros via des pirates informatiques adeptes du social engineering. Le social engineering est vieux comme le monde. L’étude sociale d’une cible permet de tout connaitre sur sa vie afin de réussir à lui extraire des informations, des secrets ou tout simplement de l’argent.

Plusieurs entreprises du sud de la France viennent de vivre cette mauvaise aventure. Elles ont été ponctionnées de 800.000 à … 17 millions d’euros. Toujours la même méthode. Les escrocs récoltent des centaines d’informations sur l’entreprise, les collaborateurs : adresses, emails, photos, … L’idée, faire une parfaite cartographie de la cible. Dans la police, cette technique est baptisé « faire l’environnement ».

Une fois les informations en main, Google, Facebook et le web sont de précieux alliés dans ce genre d’escroquerie, les voleurs n’ont plus qu’à faire croire à une transaction qui doit rester secrète. Un mensonge qui peut prendre plusieurs semaines, mais qui semble payant !

La juridiction interrégionale spécialisée de Bordeaux (Jirs) est sur les dents et tente de remonter la piste. Le journal Sud-Ouest indique que les voyous font virer l’argent sur des comptes de transit, à Chypre, au Danemark ou en Lettonie. Ensuite, des petites mains, des « mules », retirent l’argent pour le renvoyer en Chine et en Israël. La Jirs, quand elle est alertée à temps, semble pouvoir bloquer l’attaque. Dans l’affaire des 17 millions, une partie de la somme a pu être récupérée.

Argent, Cyber-attaque, Entreprise, Fuite de données, Leak, Paiement en ligne

Données clients volées dans une enseigne de Luxe

Vous avez du très certainement en entendre parler, l’enseigne de grande distribution américaine Target a été piraté. ZATAZ.COM en révélait le cas, le 19 décembre dernier. Ce que ne savent pas « encore » les clients locaux, une autre enseigne dite CSP+ a elle aussi été piratée et ponctionnée. Neiman Marcus, un grand magasin américain spécialisé dans les produits de luxe vient de confirmer le piratage de sa base de données. Une BDD comportant des informations bancaires de CB appartenant à des personnes riches, très riches. C’est Brian Krebs qui a trouvé les premiéres traces dans un espace web de blackmarket. Neiman a pris conscience de la violation des données à la mi-décembre mais n’a pas pipé mot, histoire de ne pas faire peur à ses clients, surtout en cette période stratégiquement markantille. La société affirme que ses clients en ligne ne sont pas affectés par ce piratage. Les services secrets américains ont été saisis de l’affaire. Un piratage qui aurait eu lieu en même temps que Target.

Apache, Cybersécurité, Fuite de données, Paiement en ligne, Patch, Sauvegarde

Malware pour les serveurs IIS

Un code malveillant capable de subtiliser mots de passe et informations bancaires via des serveurs IIS infiltrés. La société Trustwave, spécialiste en sécurité informatique, a lancé une alerte, mi décembre, concernant une découverte assez troublante. Une nouvelle attaque sournoise, via un malware, vise les serveurs IIS.

Baptisé ISN, le « machin » vise les machines Microsoft IIS6 32-Bit, IIS6 64-Bit, IIS7+ 32-Bit, IIS7+ 64-Bit. Le code malveillant, une fois installé, intercepte les requêtes POST http qu’il sauvegarde dans un fichier que le pirate peut consulter, à distance. Autant dire que les informations collectées peuvent faire de gros dégâts.

Comme le rappel Developpez, le chiffrement ne constitue en rien une méthode de protection efficace contre ISN, puisque le malware installé dans le serveur a accès aux données de la requête POST en clair. Au moment de l’alerte, seulement 9 antivirus sur 49 avaient detecté l’outil pirate qui installait ISN. Fin décembre, 31 sur 49.

Argent, Cyber-attaque, Entreprise, Fuite de données, Leak, Paiement en ligne, Vie privée

Briar Group piraté

Les clients de la chaine de restaurant Briar Group ont intérêt à vérifier leur compte en banque. Le groupe de restauration Briar Group, basé à Boston, vient d’annoncer le piratage de sa base de données clients. Le système informatique de l’entreprise a été visité. Le pirate a pu mettre la main sur des données de carte de crédit. Briar Group ne s’est rendu compte de rien. Il aura fallut attendre l’intervention de clients pour qu’une enquête soit lancée. Des comptes bancaires d’utilisateurs avaient été ponctionnés. Le piratage aurait eu lieu entre octobre 2013 et début Novembre 2013. On appréciera, une fois de plus, le fait que les données n’étaient pas chiffrées, comme pour le cas d’Affinity Gaming, spécialiste des jeux en ligne, qui vient lui aussi d’annoncer une fuite de données bancaires concernant ses clients.

Argent, backdoor, Cyber-attaque, Fuite de données, Paiement en ligne, Virus

Neverquest, un trojan qui pourrait bien gâcher les fêtes de Noël

L’éditeur de solutions de sécurité informatique Kaspersky Lab vient d’identifier un programme malicieux « capable d’attaquer n’importe quelle banque dans le monde », selon ses créateurs. D’après les experts Kaspersky Lab, plusieurs milliers de tentatives d’infection ont déjà été enregistrées et 28 sites bancaires sont pour le moment concernés, y compris en Allemagne, en Italie et en Turquie. C’est au mois de juillet de cette année que les chercheurs ont découvert l’existence de ce cheval de Troie bancaire après avoir vu une annonce pour la vente d’un nouveau cheval de Troie sur un forum clandestin. Le vendeur le présentait comme un bot privé capable d’attaquer près de 100 banques américaines via l’insertion d’un code dans les pages de leur site pendant le chargement dans différents navigateurs.

Baptisé Neverquest, ce trojan prend en charge pratiquement toutes les techniques connues et utilisées pour passer outre les systèmes de sécurité des banques en ligne : injection Web, accès système à distance, social engineering, etc. Au regard de sa capacité à se dupliquer, une augmentation rapide des attaques Neverquest est à prévoir, avec donc de nombreux préjudices financiers.

Serge Golovanov, expert chez Kaspersky Lab, signale que « ce programme malveillant est relativement récent et les individus malintentionnés ne l’utilisent pas encore à pleine capacité. Les individus malintentionnés peuvent obtenir le nom d’utilisateur et le mot de passe saisis par l’utilisateur et modifier le contenu de la page Internet. Toutes les données que l’utilisateur saisit sur cette page modifiée sont également transmises aux individus malintentionnés.« 

L’argent volé est transféré sur un compte contrôlé par les individus malintentionnés ou, pour brouiller les pistes, sur le compte d’autres victimes. Vu les capacités de Neverquest en terme de diffusion automatique, le nombre d’utilisateurs attaqués pourrait augmenter sensiblement en un bref laps de temps.

Chiffrement, Cyber-attaque, Entreprise, Fuite de données, Leak, Paiement en ligne

Loyalty build piraté : 1,2 million d’internautes concernés

3 commentaires

Les bases de données, le nouveau jouet pour les pirates informatiques. Après ADOBE [lire], après MacRumors (860.000 comptes, ndr), voici le tour du site Loyalty build a se retrouver confronté à un vol de données numériques. Ce portail est spécialisé dans la fidélisation de clients pour de grandes enseignes comme AXA Irlande.

Loyalty build vient d’annoncer le passage d’un pirate dans ses entrailles numériques. Bilan, 1,2 millions d’inscrits se retrouvent avec leur vie privée dans les mains d’un inconnu. Emails, adresses physiques, numéros de téléphone. Pour 376.000 personnes, des suisses ou belges, les données bancaires sont à rajouter à la liste des données volées. Des informations financières… non chiffrées, ce qui est illégal en Europe.

Loyalbuild propose un système de fidélisation de clienteles. Voilà qui risque de lui faire mal ! Les entreprises affiliées viennent de fermer leur espace « Loyalbuild » afin de protéger leurs propres clients.

Banque, Entreprise, Fuite de données, Paiement en ligne

Faille de sécurité pour Bitcoin ?

3 commentaires

L’existence d’une faille de sécurité potentielle dans la monnaie virtuelle Bitcoin inquiète le web… ou pas ! Alors que le Bitcoin rencontre un succès mondial, des chercheurs de l’université Cornell viennent de révéler l’existence d’une faille de sécurité potentielle dans la monnaie virtuelle. Sergey Lozhkin, chercheur senior en sécurité chez Kaspersky Lab, explique : “Comme pour chaque découverte scientifique, les recherches concernant une potentielle vulnérabilité du Bitcoin doivent être revues et analysées par la communauté. Cependant, nous pouvons d’ores et déjà noter que la vulnérabilité dont il est question ici relève davantage de l’économie que de la technologie. Même s’il était possible pour certains groupes de personnes (ou plus probablement une entité gouvernementale disposant d’un pouvoir informatique illimité) de disposer d’un contrôle sur le processus de ‘mining’ de Bitcoin, cela n’entrainerait pas forcément la chute et la disparition de la monnaie virtuelle. » L’agitation autour de ces recherches est donc injustifiée, bien que compréhensible. Actuellement, le Bitcoin est davantage menacé par des risques politiques que technologiques.

Pendant ce temps, en Australie, le responsable du site internet Inputs.io a déposé plainte après avoir été ponctionné d’un million de dollars de Bitcoin. L’atteinte à la sécurité de cette « banque » Bitcoin aurait eu lieu les 23 et 26 Octobre derniers. Les pirates auraient réussi à voler 4.100 bitcoins. Un porte-parole de la police fédérale australienne a déclaré au Daily Mail qu’un vol de bitcoin n’a jamais été étudié par ses services. Les serveurs étaient basés aux USA. Sur son site web, le responsable d’Inputs indique « Je sais que cela ne signifie pas grand-chose, mais je suis désolé, et dire que je suis très triste de ce qui s’est passé est un euphémisme. »

Cyber-attaque, Cybersécurité, Fuite de données, Leak, Paiement en ligne

Plus de 2 millions de données clients volées à ADOBE

Un commentaire

ADOBE, le géant du logiciel de création sur Internet ne voit que pas le Cloud. Au prix que coûtent ses outils numériques, nous aurions pu penser que la sécurisation des données que nous pouvons lui laisser étaient aussi carrée que le protocole mis en place pour s’assurer que les utilisateur de Photoshop, Premiere, … ne soient pas des vilains copieurs.

La société américaine vient de confirmer, par le biais de Brad Arkin (responsable sécurité) qu’un pirate informatique avait mis la main sur pas moins de 2.9 millions de comptes utilisateurs. Dans le fichier intercepté via une faille iSQL : les noms, les informations de facturation, les données des carte de crédit, CVV et compagnie. Les mots de passe des clients ont été réinitialisés.

« L’équipe Adobe en charge de la sécurité a récemment découvert sur notre réseau des attaques sophistiquées portant sur l’accès illégal aux informations de nos clients, ainsi qu’au code source d’Adobe ColdFusion, un serveur d’applications destiné aux développeurs et, potentiellement, d’autres produits Adobe. Nous pensons que ces attaques pourraient être liées. En collaboration avec nos partenaires et les services de police, nos équipes internes mettent tout en œuvre pour résoudre cet incident. »

Là ou cela devient du grand n’importe quoi. Le pirate aurait réussi à mettre la main sur des codes sources d’outils comme Adobe Acrobat, ColdFusion, et ColdFusion Builder. Les pirates ont eu accès aux identifiants et mots de passe Adobe des clients. Les pirates ont pu accéder aux informations bancaires cryptées de 2,9 millions de clients Adobe, et notamment aux noms des clients, à leurs numéros de carte bancaire cryptés et dates d’expiration, ainsi qu’à d’autres données relatives à leurs commandes. « Pour le moment, nous pensons qu’aucun numéro de carte bancaire extrait de nos systèmes n’a été décrypté« . a pu lire datasecuritybreach.fr. Adobe enquête également sur l’accès illégal au code source de ColdFusion et sur le risque d’un accès non autorisé au code source d’autres produits Adobe. « Nous n’avons pas connaissance de menaces accrues pesant sur les utilisateurs de ColdFusion suite à cet incident« .

Toute la procédure pour les clients est en ligne afin de réinitialiser en trois points son mot de passe.

Argent, Cyber-attaque, Cybersécurité, DDoS, Paiement en ligne

Un nouveau Kit pour bloquer des sites web

Un commentaire

Nous ne donnerons pas le nom de l’outil, histoire de ne pas voir débouler les zozos du web et éviter des attaques DDoS contre des sites web qui ne demandent rien. Un internaute, qui semble être franco/belge, vient d’annoncer sur un forum dédié au piratage, la commercialisation d’un Bot, que DataSecurityBreach.fr a baptisé Le Chat Fou, capable de lancer des attaques électroniques sous la forme de Déni Distribué de Service (DDoS) : UDP, TCP, HTTP et Slowloris.

« Basé sur une source d’un simple HTTP botnet, Axxx Cxx est un projet personnel que j’ai débuté il y a 5 mois, à pu lire DataSecurityBreach.fr. Ce bot a été fait pour soutenir un grand nombre d’autres bots. » L’objet est commercialisé. Le codeur d’A.C. commercialise son outil « Le prix est de 40 € pour le panel + serveur + mises à jour + support« . Il est réclamé 10 € pour une installation sur un hébergement personnel et 1€ pour modifier les DNS.

Une option assez étonnante est proposée par A.C. Il est possible d’accéder à l’espace d’administration depuis son iPhone et de lancer des attaques. Ce bot est diffusé dans sa version 1.2. Bref, un outil qui risque de permettre aux pousses bouton de dire : T’es mort, t’as vu !

Argent, Banque, Cybersécurité, Paiement en ligne

Pirates de CB arrêtés à Nice

Les « Amis du petits dejeuners », comme les nomme ZATAZ.COM, de la région de Nice se sont mis au houmous, moutabal, böreks et autres dolmas. La division économique et financière de la police judiciaire niçoise a arrêté dans un hôtel, fin juillet, deux Arméniens soupçonnés d’avoir mis en place des skimmeurs dans des distributeurs automatiques de billets de Nice, Aix-les-Bains, Marseille, Lyon. C’est d’ailleurs des policiers lyonnais qui avaient traqué et logé les deux présumés voleurs.

Les skimmeurs ? Des systèmes permettant d’intercepter les données de votre carte bancaire insérée dans un distributeur de billet officiel. Du « matos » qui pullule. Les deux pirates appréhendés, comme d’habitude, font parti d’une bande très organisée avec les « placeurs », les collecteurs et les revendeurs. Déférés au parquet, les deux amateurs du skimming ont été mis en examen pour escroqueries en bande organisée. (Nice matin)

Argent, Arnaque, Banque, Cybersécurité, escroquerie, Paiement en ligne

Piratage d’un compte bancaire, les indices qui mettent la puce à l’oreille

3 commentaires

La plupart des utilisateurs jugent important de protéger leurs informations personnelles stockées sur leurs ordinateurs. Et selon une récente enquête consultée par DataSecurityBreach.fr, réalisée pour Kaspersky Lab, aussi incroyable que cela puisse paraître un participant sur trois (33%) conserve ses coordonnées bancaires sur son ordinateur domestique. A noter que 62 % des utilisateurs considèrent la fuite de données financières comme la menace la plus dangereuse ; 47 % estiment que le vol d’informations bancaires lors d’achat en ligne est le problème le plus préoccupant lorsque l’on se rend sur internet. 57 % des français estiment qu’ils ne sont pas suffisamment outillés pour faire face aux menaces de sécurité sur internet.

Les cybercriminels multiplient les tentatives pour pirater les sites de banque et de commerce en ligne. C’est pourquoi, surveiller ses comptes de paiement en ligne (PayPal, Amazon, Google Checkout, etc.) de près peut éviter des mauvaises surprises à la fin du mois. Comme le rappelle ZATAZWeb.tv, s’informer, c’est déjà se sécuriser. Voici les six « alertes » qui doivent vous faire tendre l’oreille.

1.     Surveiller les activités non autorisées : savoir toujours quelles opérations sont prévues. Tout montant débité sans l’autorisation du détenteur du compte, aussi faible soit-il, doit constituer un signal d’alerte.

2.     Attention aux notifications : Le fait de recevoir un e-mail informant que les informations de son compte ont changé alors que rien n’a été modifié peut être un signe que le compte a été piraté.

3.    Attention aux faux appels : si un interlocuteur se présente comme travaillant pour un établissement bancaire ou prestataire de paiement au téléphone, ne pas hésiter à rappeler le service client pour vérifier l’authenticité de l’appel.

4.    Se méfier des textos : si l’utilisateur reçoit soudainement des SMS ou des appels provenant d’un numéro de mobile habituellement non utilisé par son prestataire, il faut être extrêmement prudent quant à son origine.

5.     Vérifier chaque e-mail : si un e-mail ou une autre forme de communication en ligne ne paraît pas authentique, ne pas y répondre sans avoir vérifié son authenticité auprès de son prestataire.

6.     Attention aux faux liens : si des activités inhabituelles sont observées sur son compte, il faut vérifier si aucun lien suspect dans un e-mail n’a été ouvert.

Ainsi, il est bien sûr recommandé aux utilisateurs d’adopter les bons réflexes de sécurité lors des achats en ligne. En outre, l’installation d’un logiciel efficace de sécurisation d’Internet, et notamment des fonctions de banque en ligne, permet d’éviter les attaques de type « man in the browser » qui interceptent les données normalement sécurisées transitant dans un navigateur Web. Dans ce type d’attaque, un malware implanté sur l’ordinateur infecté modifie de manière invisible des pages Web légitimes afin de prendre le contrôle des activités de banque en ligne. L’internaute est bien connecté au site Web authentique de la banque, l’adresse affichée (URL) est la bonne mais des cybercriminels peuvent intercepter la transaction pour dérober les informations financières et, plus grave, de l’argent.

Entreprise, Paiement en ligne

La fraude en ligne baisse… mais qu’en est-il de l’impact sur les ventes de l’e-commerçant ?

L’Observatoire de la Sécurité des Cartes de Paiement a rendu public il y a quelques jours son rapport annuel 2012. On y apprend que le taux de fraude sur les paiements en ligne est en baisse pour la première fois depuis 2008 en France, atteignant ainsi 0,29% en 2012, contre 0,34% en 2011.

Au-delà des tendances révélées par ce rapport, les e-commerçants doivent se poser la question de l’impact de leur politique de gestion du risque sur leur taux de conversion. En effet, la baisse constatée du nombre de fraudes sur Internet est sans nul doute liée au recours de plus en plus fréquent à des outils de sécurisation basés sur l’authentification forte : 3D Secure. Mais ce n’est pas sans conséquences : l’érosion des ventes induite par 3D Secure n’est plus un secret pour les professionnels du commerce en ligne. Et même si l’on entend de plus en plus parler de 3D Secure « débrayable » ou « à la demande », est-ce une réelle solution pour les e-commerçants qui doivent arbitrer entre vendre davantage et éviter les fraudes ?

Les paiements frauduleux peuvent avoir des conséquences lourdes sur l’e-commerçant. Outre l’évident impact financier, il y a des conséquences collatérales : charge administrative lourde, e-réputation du marchand mise à mal et impact sur la qualité de ses relations avec ses partenaires bancaires. D’autant plus que les e-commerçants sont inégaux face à la fraude, qu’il s’agisse du type de bien vendu (bien numérique, bien physique avec bon de livraison, valeur vénale du bien vendu), des territoires couverts (national ou international), des marges générées sur chaque vente (plus la marge est faible, plus les efforts nécessaires à la compensation d’une fraude sont importants) voire des ressources humaines et des outils à la disposition de chacun.

On comprend donc assez vite que la lutte contre la fraude doit s’inscrire dans une démarche globale de génération de marge. En bref, comment puis-je m’assurer d’une augmentation des ventes « fiables » sur mon site e-commerce tout en luttant efficacement contre les actes frauduleux? En période de crise, comment ne pas gâcher les opportunités fournies par l’un des seuls secteurs encore porteurs ?

Nombreuses sont les sociétés se vantant de fournir des outils de lutte contre la fraude couvrant jusqu’à plusieurs dizaines de milliers de critères de risque à chaque commande traitée. Mais une telle exhaustivité n’est pas gage d’efficacité, car au-delà de l’outil c’est l’analyse statistique de l’activité du marchand qui lui permettra de prendre les bonnes décisions. Chaque e-commerçant doit être en mesure de déterminer un profil d’acheteur normal. Tout comportement sortant de ce profil doit susciter le déclenchement de règles spécifiques avec des actions ciblées en fonction de l’écart entre le comportement analysé et le comportement « normal ». Un travail d’analyse qui doit s’effectuer en amont de la mise en place de toute stratégie de lutte contre la fraude et qui doit être remis en cause régulièrement en fonction des nouveaux comportements détectés. Il faut aussi prendre conscience que la détection a priori de la fraude n’est qu’une facette d’une stratégie efficace. Le partenaire de gestion du risque doit pouvoir fournir des outils d’aide à la décision pertinents et ergonomiques capables d’indiquer au marchand de façon claire quelles alertes ou règles ont été levées par telle ou telle transaction.

Il devient clair que le « mix » d’une stratégie efficace de gestion de risque repose sur l’expertise business du marchand, l’expertise métier de son partenaire et la pertinence des outils mis à disposition. (Par Nabil Naimy, Head of e-payment solutions chez HiPay pour DataSecurityBreach.fr)