Archives de catégorie : Facebook

Loi sur le renseignement : des hébergeurs Français inquiets

Les hébergeurs AFHADS, Gandi, IDS, Ikoula, Lomaco, Online et OVH diffusent une lettre ouverte dédiée au projet de loi sur le renseignement. Les députés français doivent débattre à son sujet ce lundi 13 avril. Les hébergeurs indiquent que ce cyber espionnage de leurs clients, couteux et inutile, pourrait les contraindre à quitter l’hexagone.

Dans une lettre ouverte diffusée ce 9 avril, les sept hébergeurs indique qu’il est évident qu’il faille doter la France des moyens de renseignement nécessaires pour lutter contre le terrorisme. Il n’y a aucun débat là-dessus. « Là où le projet de loi renseignement pose problème, c’est qu’en voulant être capable de capter en permanence toutes les données personnelles des utilisateurs, notamment par le biais de « boîtes noires », le projet de loi du gouvernement est non seulement liberticide, mais également antiéconomique, et pour l’essentiel, inefficace par rapport à son objectif« .

Ce projet n’atteindra pas son objectif, mettra potentiellement chaque Français sous surveillance, et détruira ainsi un pan majeur de l’activité économique de notre pays. La lettre explique que ces boites noires, en plus d’être couteuse, concernera moins de 5 000 personnes en France. Les hébergeurs expliquent qu’en l’état, le projet de loi renseignement empêchera de réussir le renouveau économique de la France, détruisant un des rares avantages compétitifs majeurs que l’hexagone possède.

Les hébergeurs annoncent 30 % de croissance annuelle et créent des milliers d’emplois directs et indirects, tout en investissant des centaines de millions d’euros tous les ans en France.

Accéder à votre compte Facebook sans mot de passe, facile !

Voilà qui va être apprécié chez les amateurs du réseau communautaire. Les employés de Facebook peuvent accéder à votre compte, sans utiliser votre mot de passe. Facebook explique que cela reste cependant très contrôlé !

On ne rigole pas, et on se dit que Facebook croit vraiment ce qu’il tente de raconter aux internautes. Accéder à votre compte Facebook est très simple pour un employé, il lui suffit de cliquer sur le logiciel local et le voilà dans votre espace, sans avoir à utiliser, ni même connaitre votre mot de passe. Facebook explique que cela reste cependant très contrôlé !

La découverte a été faite par un Paavo Olavi Siljamäki, un DJ producteur, en visite dans les locaux de Facebook. Il explique, sur son compte FB, avoir vu de ses petits yeux un employé de Facebook accéder à son compte, sans utiliser le moindre sésame. « Des gens sympas là-bas nous ont donné de bons conseils sur la façon d’utiliser au mieux Facebook. Puis on m’a demandé si j’étais d’accord pour regarder mon profil (…) Un ingénieur de Facebook peut alors se connecter directement sur mon compte, regarder tout mon contenu privé sans me demander mon mot de passe« .

Le plus fou est que Paavo a ensuite regardé, chez lui, son compte Facebook. Sa page ne lui a pas indiquer cette visite particulière.  « Nous avons des contrôles administratifs, techniques et physiques très rigoureux quant à l’accès aux informations de nos utilisateurs » indique Facebook à Venture Beat. Bref, Paavo a donné son accord, et l’employé est rentré !

 

Attaques à l’encontre des comptes sociaux

Après Le Monde en Janvier, CNN, Forbes et une vingtaine d’importants média en 2014, c’est au tour de Newsweek de voir son compte Twitter piraté pendant quelques heures par des pirates se réclamant du groupe Etat islamique (EI).

Comme nous le disions déjà lors de l’attaque subie par Le Monde, les comptes de réseaux sociaux tels que Twitter sont une cible de première importance pour les pirates. Si certaines entreprises ont mis en place des procédés et des moyens techniques pour protéger leur compte Twitter contre le hijacking, la plupart n’ont rien de cela et sont donc non seulement vulnérables au hijacking de leurs comptes de réseaux sociaux, mais sont aussi incapables de détecter ce hijacking de leurs propres comptes. Dans une récente étude auprès des entreprises du Fortune 100, les chercheurs de Proofpoint relevaient les points suivants :

· Il existe trois principaux types de menaces de réseaux sociaux parmi lesquels : le piratage de compte, les comptes non autorisés, et les menaces basées sur le contenu (ex : spam social, liens malveillants, etc.).
· En moyenne, deux comptes Facebook sur cinq (soit 40 %) semblant représenter une marque du classement Fortune 100 ne sont pas autorisés.
· En moyenne, un compte Twitter sur cinq (soit 20 %) semblant représenter une marque du classement Fortune 100 n’est pas autorisé.
· Les marques du classement Fortune 100 sont victimes d’au moins une intrusion sur leurs comptes de réseaux sociaux par jour ouvrable.
· Le volume de spams diffusés via les réseaux sociaux a été multiplié par sept depuis le milieu de l’année 2013, date de la publication du précédent rapport « State of Social Media Spam ».

Un compte compromis fournit aux pirates une plateforme idéale pour la distribution de spams, de liens malicieux, et autres contenus pouvant nuire à l’image de marque de l’entreprise touchée. Les comptes de réseaux sociaux des médias sont d’autant plus intéressants pour des personnes malintentionnées qu’ils bénéficient d’une forte audience et que leurs posts ont une large portée. Nous ne pourrions que trop recommander aux entreprises et aux médias de se prémunir de ce type d’attaque et de préparer des plans de réponses en cas de piratage (communication, personnes à alerter, processus de reprise en main des comptes, etc.). En effet, plus on est préparé et moins l’impact sera conséquent pour l’activité et l’image de l’entreprise.

Connaître vos ami(e)s sur Facebook, un jeu d’enfant

Facebook permet de protéger son compte des regards non autorisés. Lorsqu’une personne configure correctement son profile, la protection des informations et des ami(e)s semble correcte… ou pas.

Voici un bug qui affiche vos ami(e)s alors normalement invisbles. Mario Gosparini, analyste et développeur R&D, explique ce problème qui permet de retrouver l’identité de vos ami(e)s. Plutôt génant quand on sait la vivacité des escrocs à intervenir sur Facebook.

Etonnant, le « truc » jongle avec les personnes inscrites sur votre compte et une url qu’il suffit de manipuler : facebook.com/{ pseudo de la personne cible}/friends?and={ pseudo de l’ami de la personne cible }&sk=friends.

Grace à ce lien « modifié », les visages des ami(e)s des ami(e)s permet de faire ressortir les ami(e)s en commun. « Du coup de fil en aiguille en prenant chaque amis et en utilisant un lien spéciale, je peux comparer les amis des 2 personnes, et récupérer progressivement la liste des amis intégralement« . C’est long, mais c’est efficace. (Dyrk)

PictureBook affiche les photos Facebook que vous cachez

Voilà une extension qui risque de faire un tabac, avant que Facebook face disparaitre cette option involontaire… ou pas !

PictureBook est une application dédiée au navigateur Chrome de Google. Sa mission, permettre de faire ressortir les photos que vous ne souhaitez pas afficher sur votre compte communautaire. L’outil fait ressortir les documents ou vous êtes tagués, même si vous n’avait pas validé les documents en question.

L’outil exploite les photos publiques, via les comptes de vos amis. Pour éviter ce petit espionnage entre « potes », mais pas seulement, vos « non » ami(e)s peuvent aussi vous « regarder », il suffit de dé-taguer vous même les clichés vous affichant.

PictureBook rappelle que la gestion de sa confidentialité sur la toile n’est pas un vain mot. A bon entendeur !

Arnaque aux couleurs d’Ikea

L’enseigne de meubles suédoises vient d’alerter ses clients francophones d’une arnaque en ligne à ses couleurs. Prudence !

« Cher client, souligne la marque Ikea sur son compte officiel Facebook, Nous tenions à vous avertir que des offres illégitimes circulent via Facebook. IKEA n’est pas l’auteur de ces offres vous proposant des chèques-cadeau à gagner; il s’agit probablement d’une collecte de données personnelles. » Le ton est donné pou l’enseigne IKEA, il faut dire aussi que depuis quelques jours, plusieurs fausses pages annoncent des bons cadeaux. Pour cela, il faut devenir amis et légitimer cette page en lui offrant un « j’aime » qui officialise l’honneté, aux yeux de vos ami(e)s, de ce soit disant jeux de Noël.

Attention, ne le faites pas. D’ailleurs, ce genre de pages tournent aussi pour « gagner des iPhones » ; « réduction sur votre console de jeux nouvelles générations. » …

Pour protéger vos données, nous vous recommandons vivement de ne pas donner suite à ces offres, et de ne pas les partager.

Facebook sécurise WhatsApp à coup de chiffrement

L’outil de conversation WhatsApp chiffre dorénavant les messages diffusés par ses utilisateurs. Voilà une nouvelle qui a de quoi étonner. Non pas que Facebook soit considéré comme un pirate, mais plutôt comme un aspirateur de données.

WhatsApp, la messagerie rachetée par Facebook se lance dans la grande aventure du chiffrement qui transitent par ses bits. Facebook vient d’annoncer un chiffrement de bout-en-bout, comprenez que même Facebook ne possède pas les clés de lecture. Whisper Systems, développeur de TextSecure, considéré comme étant l’application de messagerie la plus sécurisée du moment, a aidé à la mise en place de cette protection qui doit permettre aux internautes de chiffrer leurs messages. Bilan, la derniére mise à jour de WhatsApp pour Android transporte cette sécurité. Les 600 millions d’utilisateurs de WhatsApp vont donc apprécier cette attention. Attention, elle ne chiffre que les messages textes.

TextSecure est une application de messagerie qui vous permet de vous réapproprier votre vie privée tout en communiquant facilement avec vos amis. Avec TextSecure, vous pouvez communiquer instantanément tout en évitant les frais de SMS, créer des groupes pour discuter en temps réel avec tous vos amis à la fois, et partager des pièces jointes, photos ou autres en toute confidentialité. Le serveur n’a jamais accès à vos communications et n’enregistre aucune donnée vous concernant. (The Verge)

 

Facebook : voler nom, mail et jeton de connexion

Deux chercheurs en sécurité informatique, evil_xorb et Michał Bentkowski, ont découvert une faille qui permettait de mettre la main sur le nom, le mail et le jeton de connexion d’un utilsateur de Facebook. Le bug partait du plugin FriendFeed. Après avoir cliqué sur le bouton « Enregistrer », une requête POST à ​​redirect_uri était délivrée. Cette requête contenait les données de l’utilisateur. Rien n’était chiffré. Nom, mail et le jeton d’accès accessibles. Une vulnérabilité sensible au Clickjacking. Le bug a été signalé à Facebook et a été corrigé assez rapidement. (Bentkowski)

Cinq millions de comptes gMail piratés : Seulement ?

La semaine dernière, on nous refaisais le coup de la base de données « super » importante, piratée. Après le pseudo milliard de mots de passe qui n’étaient rien d’autre que l’accumulation de mails interceptés par des « piratins » à grand coups de phishing et attaque de BDD iSQL, voici venir une autre société qui met la main, dans un forum de black Market, sur une base de données de 5 millions de présumés clients gMail.

Google explique que ces comptes proviennent d’attaques de type filoutage. Un grand nombre des identifiants étaient sans danger car vieux, et les mots de passe changés depuis des lustres. N’empêche, cette accumulation rappelle que Google propose, comme Microsoft, Facebook, … la double authentification de son compte et que la protection est loin d’être négligeable. Vous pouvez découvrir le fonctionnement de ce genre de sécurité dans l’article dédié à la double authentification pour votre site web ou pour vos applications Internet.

A noter que la société Know’em propose de savoir si vous êtes victimes de cette « fuite » de 5 millions de comptes gMail en allant sur un espace web dédié : securityalert.knowem.com.

TOP 10 des arnaques sur Facebook dans le monde

Selon l’éditeur de solutions antivirus Bitdefender, la chanteuse et actrice américaine Taylor Swift n’a plus le « mojo » puisque sa sextape ne fait plus partie du Top 10 des arnaques les plus fructueuses pour les cybercriminels sur Facebook.

Une étude des analystes antivirus Bitdefender révèle, en effet, que la star n’est plus aussi populaire que l’année dernière, lorsqu’une fausse vidéo à son sujet avait permis de répandre massivement un malware sur le réseau social. Chaque année, des millions d’utilisateurs tombent dans les pièges des arnaques diffusées sur Facebook. Voici le classement des 10 arnaques les plus répandues dans le monde, depuis le début de l’année 2014 !

TOP 10 des arnaques sur Facebook dans le monde
1.     Qui a visité mon profil – 30.20% (anglais – international)
2.     Changez la couleur de votre Facebook – 7.38% (anglais – international)
3.     La sextape de Rihanna avec « son » petit-ami – 4.76% (anglais – international)
4.     Consultez mon nouveau statut pour recevoir gratuitement un T-shirt officiel Facebook – 4.21% (anglais – international)
5.     Dites au revoir au Facebook bleu – 2.76% (français)
6.     Produits défilmés. Distribution gratuite – 2.41% (anglais – international)
7.     Vérifiez si un ami vous a supprimé de sa liste – 2.27% (anglais – international)
8.     Cliquez ici pour voir le top 10 des profils qui vous harcèlent le plus ! Vous serez étonné d’apprendre que votre ex visite toujours votre profil ! – 1.74% (anglais – international)
9.     Découvre comment voir qui visite ton profil, tu n’es pas au bout de tes surprises ! – 1.55% (espagnol)
10.  Je viens de modifier le thème de mon Facebook. C’est incroyable – 1.50% (anglais – international)

Alors que Taylor Swift quitte le Top 10, Rihanna reste la star la plus utilisée en tant qu’« appât » par les scammers pour répandre un malware via Facebook. L’arnaque des billets “gratuits” pour Disneyland sort aussi du classement alors qu’en juillet dernier, elle surclassait l’arnaque « Je peux vérifier qui regarde mon profil » qui avait fait des dizaines de milliers de victimes. Le scam « Qui a visité mon profil » conserve quant à lui sa 1ère place, représentant presque un tiers de la part totale des arnaques sur Facebook (30.20%). Les arnaques du type « changez la couleur de votre Facebook » se sont internationalisées et représentent dorénavant 7,38 % de la part totale des scams sur Facebook (vs 4.16% en 2013).

Piratage facile des données utilisateurs Instagram

Une nouvelle vulnérabité, considérée comme critique, touche le jouet de Facebook, Instagram.

La faille permet à un internaute malveillant de mettre la main sur les informations des utilisateurs, dont le cookies de connexion. L’attaque peut se faire via les applications (sauf mobile, ndlr) du portail communautaire. Des logiciels qui n’utilisent pas les connexions chiffrées. Bref, via un hotspot wifi, une connexion d’entreprise (coucou admin, ndlr), les données transitent en clair. Un « homme du milieu », n’a plus qu’à se servir.

Mazin Ahmed, qui a découvert le probléme a contacté facebook qui lui a confirmé connaitre le probléme depuis 2012. Facebook travaille à réfléchir quand la version HTTPS sera mise en place pour Instagram. A noter qu’en France Facebook et Instagram sont donc dans l’illégalité la plus totale et pourrait être poursuivit. La loi Française impose aux entreprises de sécuriser au mieux les données que les utilisateurs peuvent lui laisser.

Data Security Breach rappelle à Facebook et Instagram que la communication d’informations à des personnes non-autorisées est punie de 5 ans d’emprisonnement et de 300 000 € d’amende. Que la divulgation d’informations commise par imprudence ou négligence est punie de 3 ans d’emprisonnement et de 100 000 € d’amende. Article 226-22 du code pénal. A cela, DataSecurityBreach.fr rajoute que le non-respect de l’obligation de sécurité est sanctionné de 5 ans d’emprisonnement et de 300 000 € d’amende. Article 226-17 du code pénal. Seule la version mobile d’Instagram chiffre les informations.

Education à la sécurité en ligne : les enseignants ont du mal à faire face aux attentes des parents

Une étude publiée par AVG Technologies, entreprise de sécurité en ligne pour 187 millions d’utilisateurs actifs, révèle que pour 82% des enseignants interrogés (74% en France), les parents comptent trop sur l’école pour apprendre à leurs enfants à se protéger en ligne. En outre 38% (44% en France) des enseignants estiment que les parents d’élèves ont eux-mêmes un niveau insuffisant de connaissances sur le sujet. Cette nouvelle étude d’AVG, qui porte sur le point de vue des instituteurs et professeurs, démontre que la question de savoir à qui incombe la responsabilité de dispenser aux enfants les enseignements sur la sécurité en ligne est toujours d’actualité.

L’étude, pour laquelle AVG a interrogé près de 1800 enseignants du monde entier, dont 210 en France, montre la nécessité de former les enseignants et de leur offrir davantage de soutien, afin qu’ils puissent mieux sensibiliser leurs élèves à la sécurité en ligne. Les deux tiers des personnes interrogées (64%, 73% en France) ont convenu que les écoles devraient offrir une meilleure formation à l’utilisation d’Internet comme outil pédagogique, et 77% (68% en France) estiment qu’Internet devrait faire partie intégrante du cursus éducatif.

Cette étude met en relief l’écart inquiétant entre, d’un côté, les connaissances et les capacités des enseignants et, de l’autre, les attentes des parents. Plus de neuf enseignants de différentes matières sur dix affirment se servir d’Internet en cours (92%, 89% en France), et 69% abordent la sécurité en ligne de manière occasionnelle ou fréquente (59% en France). Seul un enseignant sur quatre (28%, 15% en France) a reçu une formation spécifique pour cet enseignement.

Tony Anscombe, Conseiller sécurité chez AVG Technologies, déclare : « Non seulement les enseignants aujourd’hui se servent régulièrement d’Internet dans le cadre de leurs leçons et cours, mais ils se retrouvent de plus en plus confrontés aux questions plus vastes que génère celui-ci, et ce, la plupart du temps, sans aucune formation officielle. Au vu du développement de l’utilisation d’Internet en tant qu’outil pédagogique, de nombreux enseignants déclarent que leur école s’est dotée de règles spécifiques pour répondre aux préoccupations les plus fréquentes. En revanche, ces politiques s’avèrent être insuffisantes si la plupart des enseignants ne reçoivent aucune formation officielle à l’enseignement de la sécurité en ligne. Lorsqu’un enseignant sur quatre déclare être approché par des élèves pour des problèmes de cyberintimidation, le besoin d’un soutien accru se fait clairement ressentir ».

Constats d’enseignants du monde entier
·         Le Brésil va à l’encontre de la tendance globale, les enseignants brésiliens étant à l’avant-garde en matière d’éducation à la sécurité sur Internet. La majorité (54%, 17% en France) aborde régulièrement le sujet et 51% (15% en France) s’y sont préparés en suivant une formation officielle.

·         La plupart des enseignants au Royaume-Uni ont indiqué que leur école proposait des cours d’informatique (91% par rapport à 72 % globalement et à 63% en France). En revanche, seulement 37% des enseignants avaient suivi une formation officielle à la sécurité en ligne (contre 15% en France).

·         Inversement, les écoles aux Etats-Unis sont les moins susceptibles de proposer des cours d’informatique (60% seulement) et seulement 40 % des enseignants donnaient des devoirs à la maison nécessitant des recherches sur internet (contre 57% globalement et 49% en France).

·         Les élèves canadiens sont les plus nombreux à apporter leurs propres appareils à l’école, selon 29% des enseignants (contre 18% globalement et 4% en France). Il s’agissait principalement d’ordinateurs portables (84%, 57% en France), de smartphones et de tablettes (82% chacun contre 29% et 57% en France).

·         Les enseignants en Allemagne sont les plus nombreux à avoir été approchés par des élèves confrontés à des problèmes de cyberintimidation (36% par rapport à 25% globalement et contre 10% en France). Près de la moitié de ces enseignants (46%, 67% en France) s’estiment peu ou pas du tout préparés pour répondre à ces préoccupations.

·         Les écoles australiennes sont arrivées en tête parmi les établissements ayant déjà mis en place des dispositifs pour gérer des problèmes de cyberintimidation (80%, 33% en France) et des situations où des élèves ont été exposés à des contenus inappropriés en ligne (75%, 17% en France).

·         Seulement 7% des enseignants en République Tchèque (17% en France) affirment que leur école a déjà organisé une soirée pour les parents afin de les sensibiliser à la sécurité en ligne. 78% des parents y ayant assisté ont exprimé des préoccupations quant à la sécurité de leurs enfants sur Internet (79% en France).

·         91% des enseignants en France déclarent que leur école fournit des appareils électroniques aux élèves, mais il s’agit généralement d’ordinateurs de bureau (80%, contre 75% globalement), d’ordinateurs portables 35% (moyenne globale de 46%) et de tablettes 9% (contre 32% globalement).

·         Plus de quatre enseignants sur cinq (82%) en Nouvelle-Zélande (89% en France) abordent occasionnellement le sujet de la sécurité en ligne avec leurs élèves. En revanche, le même pourcentage n’a suivi aucune formation officielle sur ce thème (85% en France).

Mise en garde contre ce que l’on trouve « Sous les jupes des filles »

L’éditeur de solutions de sécurité informatique, McAfee, alerte les internautes sur le téléchargement gratuit de film sur internet.

De nombreux sites frauduleux ont profité de cette tendance pour se développer et piéger les internautes. Traditionnellement, afin d’accéder à des liens de téléchargements, l’apprenti pirate effectue sa recherche via un  moteur de recherche en ajoutant par exemple le terme « torrent » (terme désorma is générique faisant référence  au protocole BiTorrent pour le transfert de données en mode P2P). Comme avec l’exemple du film «  Sous les jupes des filles », film français  récemment sorti dans les salles, de nombreuses pages s’offrent à lui.

Ces liens se révèleront pour la plupart être  frauduleux. Ces mêmes liens sont accessibles via Facebook, par le biais d’invitation d’amis ou de pages populaires, faisant  baisser la vigilance des internautes. Après avoir cliqué sur ces liens frauduleux, l’internaute se retrouve face à 2 situations différentes : Soit, il doit télécharger des fichiers compressés, censés contenir le film, mais qui finalement le dirige sur un autre lien afin de récupérer un mot de passe pour ouvrir un second fichier archivé.

Processus compliqué qui multiplie les téléchargements inutilement, mais ajoute des pages vues, donc des publicités, aux pirates diffuseurs. Soit, il est dirigé vers un site de téléchargement, où un clic doit suffire à télécharger le film. Mais la finalité est la même, l’internaute se retrouve devant une offre préalable, qu’il doit accepter avant de pouvoir poursuivre. Par exemple, le site incite l’internaute à télécharger   une application (Lampe Torche, espionne tes amis, …).

Pour cela, il doit rentrer ses coordonnées téléphoniques. Ce que l’internaute ignore c’est que son numéro de téléphone mobile servira à payer un droit d’accès, par débit direct, directement sur la facture de son opérateur mobile.  L’escroquerie va plus loin : une phrase écrit en petit indique à l’internaute qu’il ne fait pas un paiement unique mais s’engage à verser un abonnement hebdomadaire. Il est important de noter que, dans ce cas précis, la société se décharge des modalités de résiliation, qui sont à effectuer exclusivement auprès de l’opérateur mobile, dans l’espace client web. Ainsi, l’internaute n’aura ainsi jamais accès à son film et sera la cible d’entreprises malhonnêtes qui profitent de la bienveillance des gens pour intégrer des pratiques  douteuses mais légales.

Un malware trop poli pour être honnête

Un code malveillant s’adresse aux utilisateurs de manière courtoise et crypte une partie de son code avec des versets de la Bible, pour être le plus indétectable possible par les antivirus. Les Laboratoires antivirus Bitdefender mettent en garde les utilisateurs de Facebook et de Yahoo qu’un cheval de Troie se diffuse actuellement via les messageries instantanées. Le malware est détecté par Bitdefender sous le nom Gen:Variant.Downloader.167 et sévit déjà en France, aux États-Unis, au Royaume-Uni, en Allemagne, au Canada, au Danemark et en Roumanie.

Sa méthode d’action est peu banale : il s’adresse aux utilisateurs de Facebook et Yahoo de manière extrêmement polie (« I want to post these pictures on Facebook, do you think it’s ok ? » – j’aimerais poster ces photos sur Facebook, tu penses que c’est ok ?) et ajoute une URL vers les photos en question, sous forme de liens Dropbox ou Fileswap, des plateformes populaires pour l’échange de photos et vidéos.

Une fois le malware exécuté sur la machine, où il crée un dossier avec un nom aléatoire se terminant par .exe, il se propage sur Facebook et Yahoo! via la liste des contacts, et affiche une boite de dialogue sur l’écran de la victime lors de son installation : « Cette application n’est pas compatible avec votre version de Windows. Vérifiez les informations système de votre ordinateur pour déterminer si vous avez besoin du programme en version 32-bits ou 64-bits, puis contactez l’éditeur du logiciel ».

Un autre piège concernant Facebook remonte au mois de mars 2014, où l’on proposait de voir des vidéos de ses amis nus qui résultait en téléchargement d’un faux player Flash et infectait votre ordinateur.

Page Facebook contre le harcèlement

Facebook s’est associé aux Drs Marc Brackett et Robin Stern du Centre pour l’intelligence émotionnelle de l’université Yale afin de fournir les ressources et outils permettant de faire face au harcèlement et à ses conséquences.

Voilà une excellente idée. On parle de harcèlement quand tous types de comportements continuellement agressifs, impliquant des pressions d’ordre social ou sur la taille physique, sont constatés. Les agressions physiques ou verbales, ainsi que les menaces, les rumeurs ou l’exclusion délibérée d’une personne d’un groupe sont toutes considérées comme du harcèlement.

La meilleure manière de répondre au harcèlement est d’aider les garçons et les filles à trouver leurs propres moyens de l’affronter. Seuls des efforts concertés entre les jeunes, les parents, les écoles, les institutions et les entreprises peuvent conduire à des résultats durables et efficaces. » indique Jon Kristian Lange, conseiller en chef du projet.

32 associations participent à l’opération dont PrevNet au Canada, l’ADL américain ou encore l’italien Save the Children et l’e-Enfance Français. L’espace dédié se trouve à l’adresse https://www.facebook.com/safety/bullying

Facebook et F-Secure s’associent

Tout le monde partage des informations via les réseaux sociaux, plus que sur tout autre support. Mais avec les réseaux sociaux, les exploits sur des comptes personnels ainsi que des comptes d’entreprises font souvent les gros titres : il est donc temps de protéger les identités numériques des consommateurs avec de nouvelles méthodes. F-Secure et Facebook se sont associés pour aider les utilisateurs du plus grand réseau social au monde à sécuriser leurs données en ligne.

Facebook va offrir un scan de malware directement basé dans le navigateur comme service gratuit. Le service sera disponible pour les utilisateurs de Facebook dont le compte a été temporairement gelé en raison d’une activité suspecte provoquée par une infection potentielle de malware. Les malwares ou les logiciels indésirables sur un ordinateur ou un appareil mobile peuvent perturber les performances du dispositif, voler des informations personnelles mais également accéder au système. Ils peuvent duper les utilisateurs de Facebook et leurs amis en affichant des liens malveillants ou des spams qui semblent provenir du compte d’un utilisateur légitime.

« Aider les gens à rester en sécurité sur Facebook constitue une grande partie de notre travail. Nous sommes heureux de pouvoir ajouter la force de la technologie anti-virus de F-Secure à nos systèmes déjà existants pour bloquer et éliminer les logiciels malveillants », déclare Chetan Gowda, Software Engineer chez Facebook. « La croissance spectaculaire au niveau mondial de Facebook a considérablement changé la façon dont les gens interagissent avec leurs amis et leur famille », déclare Olivier Quiniou, Directeur de F-Secure France. « La popularité soudaine de Facebook en a fait une cible majeure pour les cybercriminels. Nous sommes heureux de collaborer avec Facebook pour empêcher les cybercriminels de détourner des données des utilisateurs à des fins malveillantes ».

L’outil de détection et de nettoyage en ligne des malware de F-Secure est entièrement intégré à l’expérience utilisateur de Facebook. Quand Facebook identifie un compte ayant un comportement suspect, il redirigera l’utilisateur vers le processus de nettoyage en ligne. Le scan et le nettoyage sont exécutés directement depuis la fenêtre du navigateur, au sein même de Facebook. Dès que le nettoyage est effectué, l’utilisateur pourra en toute sécurité se connecter à son compte Facebook et sera à l’abri des cybercriminels, et des logiciels espions.

Fonctionnement
· Quand un utilisateur se connecte à partir d’un appareil infecté, il verra apparaître à l’écran une notification lui indiquant l’infection par un malware avec une recommandation de lancer un scan F-Secure. Le scanner étant adapté au type de menace détecté, il est donc recommandé de l’exécuter même si l’appareil dispose déjà d’un programme anti-virus préalablement installé. Le scanner est mis à jour et se retire une fois l’action réalisée, il n’y a donc pas besoin de s’inquiéter de son entretien.

· L’utilisateur peut choisir d’ignorer le processus de suppression des malware ou de télécharger le scan recommandé. Les utilisateurs qui sautent l’étape de suppression de logiciels malveillants peuvent être invités à le refaire plus tard.

· Les utilisateurs qui téléchargent et exécutent le scanner peuvent continuer à utiliser Facebook et d’autres services au cours de l’analyse. Lorsque cette dernière est terminée, l’utilisateur recevra une notification via Facebook et sera en mesure d’examiner les résultats de l’analyse.

L’effet de conditionnement de Facebook

L’effet de conditionnement de Facebook : Que nous a appris (ou non) le réseau social sur la protection de nos données ? Voici quelques statistiques sociales étonnantes concernant les photos : plus de 250 milliards de photos ont déjà été téléchargées sur Facebook, avec une moyenne de 350 millions de photos par jour. Le téléchargement moyen par utilisateur est de 217 photos. Et ce n’est que pour Facebook ! Mark Zuckerberg a dépensé 1 milliard de dollars pour l’acquisition d’Instagram, qui atteint les quelques 55 millions de clichés téléchargés via son application chaque jour (c’est plus de 600 clichés par seconde).

Alors, que disent de nous tous ces téléchargements, outre le fait que nous aimons tous un bon «selfie» ? Les résultats d’une enquête récente ont révélé que lorsqu’on leur donne le choix, 74 % des répondants préfèrent protéger leurs photos personnelles que le terminal (téléphone portable, ordinateur portable ou tablette) sur lesquelles elles sont stockées. En fait, de tous les fichiers enregistrés sur leurs dispositifs, les consommateurs ont majoritairement déclaré qu’ils considéraient leurs photos personnelles comme les plus importantes.

Les albums photo appartiennent au passé, les nouvelles images se mettent directement sur les pages (sans poussière) des réseaux sociaux. Mais quelque chose de beaucoup plus profond et d’une plus grande envergure est en train de se passer : lorsque nous partageons des photos sur les réseaux sociaux basés dans le cloud, nous créons une deuxième copie de cette information – une copie partagée qui souvent, à l’heure actuelle, appartient à quelqu’un d’autre – même si ce n’est pas l’intention principale.

Nous appelons cela l’« Effet de conditionnement de Facebook » – l’idée que les réseaux sociaux font acte de sauvegarder au-delà de notre conscience. Le problème est que les images que nous voyons sur les réseaux sociaux sont souvent une copie de mauvaise qualité de nos photos, et ce, même si nous ne sommes pas au courant de ce fait. Et, le plus ironique dans l’histoire, c’est que même si nos « selfies » et photos de « fooding » sont stockés dans un second emplacement, bon nombre de nos documents beaucoup plus importants sont exposés à des risques. La bonne nouvelle est que l’action de télécharger et d’enregistrer une copie de ces fichiers numériques à un emplacement supplémentaire est en train de nous conditionner pour sauvegarder et protéger davantage nos données globales.

Pourquoi ne devrions-nous pas penser de cette façon ? Avec les récents progrès dans les technologies de cloud computing et l’expérience utilisateur, la sauvegarde des données est désormais aussi simple que d’appuyer sur le bouton « Envoyer ». C’est de cette manière que cela fonctionne sur Instagram, n’est-ce pas ?

Mais il y a tellement de données personnelles – les choses vraiment personnelles – qui ne sont pas sauvegardées correctement et sans risques. Pourquoi ? Pourquoi l’ensemble de nos données et non pas uniquement quelques-unes de nos photos personnelles ne seraient-elles pas stockées dans un univers numérique sans risques ? Qu’est-ce qui nous empêche de faire le grand saut depuis une tendance sociale vers une habitude saine englobant toutes les données, où tout est sauvegardé et protégé ?

La réponse la plus évidente résiderait dans le fait qu’il n’existe pas de Facebook pour vous rappeler de protéger les documents relatifs à vos impôts. Les jeunes entreprises font d’énormes progrès quant à la création de systèmes de stockage de données qui proposent une mise en forme facile à utiliser et un format comparable aux formats des sites de réseaux sociaux, mais les deux plus grandes d’entre elles combinées ont moins de 20 % du nombre d’utilisateurs de Facebook. Donc, s’il ne s’agit pas d’une question de simplicité, qu’est-ce qui empêche réellement l’effet de conditionnement de Facebook d’influer une transformation globale de nos comportements numériques ?

Le problème : vie privée et protection
Même si nous sommes devenus beaucoup plus aptes à enregistrer des fichiers non critiques dans le cloud, beaucoup d’entre nous n’ont pas encore sauvegardé la totalité de nos vies numériques, notamment en raison de la médiatisation récente d’un nombre de cas de violation de données qui ont mis en évidence notre principale préoccupation : nos données ne sont pas sûres quand elles ne sont pas manipulées directement par nous. Snapchat a été piraté et en un clin d’œil des millions de numéros de téléphone ont été rendus publics. La violation relativement tapageuse de la cible a mis les informations personnelles de 70 millions de personnes en danger.

Ainsi, alors que nous continuons à télécharger chacun des photos que nous prenons, nous oublions ce qui est réellement important – nos documents de travail, informations bancaires, dossiers de santé et autres informations personnelles et professionnelles – dans de vieux classeurs et/ou dans des fichiers portant la mention « personnel » dans nos ordinateurs.

La clé est d’identifier et de séparer la « confidentialité des données » de la « protection des données ». Alors que la confidentialité des données se concentre davantage sur les problèmes juridiques et de sécurité concernant l’utilisation de données et de stockage, la protection des données a pour objet de préserver les informations après qu’elles aient été créées et enregistrées. Tous les utilisateurs d’appareils connectés à Internet devraient être plus conscients et en alerte lorsqu’il s’agit de la protection des données – comme la lecture attentive de tous les accords de confidentialité sur les sites et applications, ainsi que le partage d’informations qui ne révéleraient aucune information, en cas de fuite – , mais pas au détriment de la protection des données.

Lorsqu’il s’agit de la protection des données, le moyen le plus sûr est de les stocker dans plusieurs emplacements sécurisés. Tout comme nos photos vivent maintenant à la fois dans nos terminaux et sur Facebook, sauvegarder les informations personnelles importantes dans de multiples endroits (par exemple : un disque dur et sur le cloud computing, un lecteur de sauvegarde, etc.) devrait être naturel et évident. Pour faire simple, il suffit de penser à la règle 3-2-1 : garder trois copies des données importantes sur deux différents types de médias, et une copie sur un emplacement à distance. Rappelez-vous que lorsque les outils de base de stockage dans un environnement de cloud computing sont un bon point de départ, ils ne sont pas sans faille quand il s’agit de sécurité, de ce fait trouver le juste équilibre entre la sécurité et la simplicité est un élément clé du processus. – Par Nat Maple, vice-président et directeur général, Global Consumer Business, Acronis.

Accès aux photos privées sur Facebook

Il est possible (toujours au moment de la diffusion de cet article, ndr) d’accéder aux photographies privées via une petite manipulation dans les paramètres de Facebook. Pour accéder aux images privées des personnes qui ne sont pas vos ami(e)s, il suffit d’un seul petit clic de souris. Vous devez changer la langue utilisée dans votre compte en mettant « English US ». Option que vous trouverez dans « paramètres ». Il ne vous reste plus qu’à rentrer le nom de la personne que vous souhaitez « regarder » sans y avoir été invité. Pour éviter le regard des curieux, c’est aussi simple, ou presque. Il vous suffit de vous rendre dans le paramétrage de votre compte, et retirer TOUTES les identifications de vos photographies que vous ne souhaitez pas voir apparaitre. Les deux autres solutions :  maitriser ce que vous diffusez ou ne diffusez rien du tout !

Comment est-ce possible ? Tout simplement parce que la législation américaine n’est pas la même qu’en Europe. Bilan, changer de langue (sur Facebook, mais aussi sur consoles, smartphone, …) peut faire croire au système ainsi modifié que vous êtes installés dans le pays en question. Et la vie privée sur le sol américain n’a pas autant de « freins » qu’en Europe. Bilan, ce qui est « protégé » sur le vieux continent, l’est beaucoup moins sur les terres de l’Oncle Sam. Facebook veut aussi se positionner, de plus en plus, comme un moteur de recherche. Bilan, Graph Search et recherche globale rendent les informations, privées ou non, accessibles à qui sait les chercher, Facebook en tête. CQFD !

Le culte de la vache morte pour la NSA ?

La NSA serait capable d’infecter un ordinateur en 8 secondes avec un logiciel datant de 2004. Un porte-parole de la NSA l’a indiqué, l’utilisation de Turbine ne se fait qu’« exclusivement à des fins de contre-espionnage ou d’espionnage à l’étranger pour des missions nationales ou ministérielles, et rien d’autre ». Voilà qui va rassurer les millions de propriétaires d’ordinateurs touchés par un kit pirate concocté par les grandes oreilles américaines.

D’après le magazine The Intercept (webzine créé par G. Greenwald, L. Poitras et J. Scahill. Il a pour mission de diffuser les informations récupérées par l’ancien analyste privé de la NSA, Edward Snowden), la NSA a utilisé un système de diffusion de codes malveillants baptisé Turbine. Le « truc », géré par l’unité TAO, infecterait des ordinateurs à partir de courriels piégés ou de phishing aux couleurs de Facebook. Des attaques à « echelle industrielle » indique l’un des documents de Snowden. Le « plug-in » Facebook est baptisé QUANTUMHAND (voir la vidéo ci-dessous du document top secret de la NSA, ndr). Pour rappel, des conseillers de l’Élysée ont été piégés par de faux Facebook, voilà 2 ans.

Le journal américain indique que l’agence d’espionnage américaine « a automatisé des processus auparavant automatisés ». Turbine ne serait donc rien d’autres qu’un couteau suisse d’exploit comme les aiment tant les pirates russes. D’après le Parisien, ce système de piratage a également de lancer des cyberattaques en détournant le système de téléchargement de fichiers ou en refusant l’accès à des sites. Des actions lançaient de Fort Meade, dans le Maryland, puis du Royaume-Unis, des Etats-Unis et du Japon. Des « modifications » de cible, comme le piratage et la modification du journal électronique d’Al Qaida, Inspire 11, que nous vous expliquions en juin 2013.

La NSA, en 2004, possédait un petit réseau de 100 à 150 « implants ». Plus de dix ans plus tard, les « outils » seraient au nombre de plusieurs dizaines de milliers. Le système Turbine serait opérationnel dans une certaine mesure depuis au moins Juillet 2010, et son rôle est devenu de plus en plus centrale pour les opérations de piratage de la NSA. Entre 85.000 et 100.000 « virus » seraient en action à travers le monde. Dans les options de Turbine, UNITEDRAKE, un cheval de Troie capable de prendre la main intégralement sur un ordinateur infecté. CAPTIVATEDAUDIENCE, capable d’enregistrer le son d’un micro branché sur la machine. GUMFISH, la webcam. FOGGYBOTTOM, les mots de passe et l’historique de navigation. GROK, un keylogger qui intercepte les frappes clavier. SALVAGERABBIT, copie les données via une clé USB. Un peu comme le petit canard jaune présenté dans zatazweb.tv du mois de décembre 2013.

Bref, il ne fait plus grand doute que Stuxnet et Flame, le premier a attaqué les installations nucléaires Iraniennes, le second visait les ordinateurs du Moyen-Orient. Les cibles ? Si le terrorisme semble être la premiére mission, une note interne de la NSA, baptisée « I hunt sys admins« , explique que les cibles peuvent être aussi les administrateurs de systèmes « qui travaillent pour des fournisseurs de téléphonie et des services Internet » étrangers.

Le poste interne – intitulé « Je chasse admins sys » – indique clairement que les terroristes ne sont pas les seules cibles de ces attaques de la NSA. Compromettre un administrateur de systèmes, les notes opérationnelles, il est plus facile pour se rendre à d’autres objectifs d’intérêt, y compris les « fonctionnaire du gouvernement qui se trouve être en utilisant le réseau certaine administration prend en charge. »

Pendant ce temps, aux USA, la sénatrice Dianne Feinstein, présidente de la commission du Renseignement du Sénat, accusait la CIA d’avoir « visité » les ordinateurs de l’institution politique américaine. Une violation de la Constitution. « Rien n’est plus éloigné de la vérité », a déclaré le directeur de la CIA, John Brennan. La sénatrice affirme que l’agence a tenté de savoir ce que tramait le Sénat au sujet des interrogatoires « musclés » de la Central Intelligence Agency, entre 2009 et 2012. Des enquêtes du département de la Justice sont en cours. Elles doivent permettre de savoir si des fonctionnaires de la CIA, ou des collaborateurs privés, ont utilisé la torture pour soutirer des informations.

De fausses vidéos de vos contacts Facebook… nus !

Le lien vidéo redirige les internautes vers un faux site Youtube où l’exécutable FlashPlayer.exe dissimule un cheval de Troie. Les Laboratoires antivirus Bitdefender alerte les utilisateurs d’une arnaque qui se déploie rapidement sur Facebook et qui promet aux internautes des vidéos de leurs contacts en tenue d’Eve (ou d’Adam). En cliquant sur le lien vidéo, les internautes sont redirigés vers un faux site Youtube où l’exécutable FlashPlayer.exe dissimule un cheval de Troie qui installe une extension sur le navigateur Internet. Ce malware est capable de poster à nouveau le scam sur Facebook, au nom de l’utilisateur, et de dérober ses photos et autres données Facebook. Ce scam se déploie à grande vitesse sur le réseau social et se propage en « taggant » tous les contacts des utilisateurs.

Plus de 6 000 sites en .tk ont été enregistrés pour relayer les actions malveillantes de cette arnaque. Pour éviter d’être détectés, les cybercriminels utilisent plusieurs variantes de leur message. Ainsi, on trouve « [nom de l’utilisateur] private video », « [nom de l’utilisateur] naked video » ou « XXX private video ». Une fois sur le faux site Youtube, les pirates peuvent rediriger ensuite les utilisateurs vers de faux sondages afin de gagner de l’argent, de fausses barres d’outils ou de faux convertisseurs de vidéos.

Afin de rendre ce scam encore plus crédible, les cybercriminels affichent un nombre de vues de  vidéo impressionnant : plus de 2 millions de personnes auraient cliqué sur le lien « Youtube » piégé. Les pirates ajoutent la mention « réservée aux personnes majeures » et mettent aussi automatiquement à jour la date de la vidéo, à chaque visite.

La technique n’est pas nouvelle. Les pirates utilisent, d’habitude, des actualités à fortes audiences (people, accidents, …) pour attirer les internautes. Ce qui est nouveau, viser la curiosité des amateurs de Facebook à « mâter » leurs ami(e)s.

ZATAZ Web Tv Mars 2014

Le nouvel épisode de ZATAZ Web TV vient de sortir. Au menu de ce mois de Mars 2014 (S3E7) : Piratage d’un site Internet pour piéger les smartphones qui le visite. La sécurité des caméras de surveillance IP loin d’être fiable. La preuve… en vidéo ! Retrouver un mot de passe Facebook, simple comme un clic de souris. Rakabulle, un logiciel Français qui permet d’assembler plusieurs fichiers en un seul. Retour sur le FIC 2014. Watch Dogs, c’est le 27 mai. ZATAZ Partenaire avec des versions PC, PS3, PS4 à gagner. Lecture : Loi et Internet ; Digital Warketing. Rencontre avec un journaliste Iranien, réfugié politique en France. Il nous parle de son utilisation d’Internet. A déguster sans modération.

Protéger, concrètement, son Facebook

Voici quelques conseils techniques et de bon sen pour éviter de voir partir son compte Facebook dans les mains d’un malveillant. Des techniques efficaces et simples à mettre en place.  L’intérêt pour un pirate de mettre la main sur votre compte Facebook est multiple. La rédaction de DataSecurityBreach.fr a pu en recenser 10.

D’abord, la curiosité pure et simple. Que se cache-t-il dans les messages privés que vous pouvez diffuser à vos amis. Pas bien méchant, mais malsain. Ensuite, le malveillant classique, celui qui va usurper votre identité pour ventre de faux crédits à la consommation. Il diffuse, via votre compte, de fausse proposition financière.

Vient ensuite le vendeur de médicaments, de fausses marques, de faux comptes pour console de jeux (la grande mode en ce moment est de vous offrir, pour du faux, des accès au PSN de Sony). Mettre la main sur votre compte Facebook peut aussi servir à de vrais escrocs, celui qui expliquera à vos abonnés que vous êtes perdus au fin fond de l’Afrique, de l’Asie ou de l’Amérique du Sud et que de vous (lui) envoyer de l’argent, via Paypal, vous (lui) permettra de rentrer chez vous.

Les trois derniers cas, et pas des moindres, sont les plus nocifs. Le premier, diffuse des informations à vos amis (photos, fausses informations, …) Si vous souhaitez que cela cesse, le maître chanteur réclame de l’argent. Le second, des achats sous votre identité. N’oubliez pas qu’en prenant la main sur votre compte, le pirate connait tout de vous, du moins ce que vous avez pu sauvegarder dans l’administration de votre compte Facebook. Le pirate peut ainsi converser avec ses cibles, via votre adresse XXXX@facebook.fr. Je finirai par le compte servant de rebond à une attaque plus fine, plus pointue, comme la diffusion d’un virus, d’une page phishing, comme ce fût le cas pour l’Elysée ou d’une agence américaine. Ne pensez pas n’être qu’un anonyme sur la toile. Pour un pirate, nous sommes une star en devenir !

Comment se protéger
Première chose, évitez de cliquer sur n’importe quel lien qui vous passe sous la souris. Regardez bien les adresses web qui vous sont proposées. Si https://www.facebook.com ne débute pas l’url proposé, passez votre chemin. Autre élément important, votre mot de passe. On ne cesse de le répéter, mais il doit contenir au moins 12 signes : lettres (minuscules, majuscules), signes de ponctuations et chiffres.

Dans la partie « Sécurité » que vous trouverez en cliquant sur l’icône, en haut à droite, de votre page Facebook (puis sur compte), sélectionnez : « Navigation sécurisée ». Personne ne pourra plus intercepter votre mot de passe entre – Vous et Facebook -. Cela se traduit par le S du https de l’url indiqué plus haut dans cet article. N’hésitez pas à cocher l’option « Notification lors des connexions« . Cela vous permet d’être averti, par courriel, d’une connexion « pirate ». Loin d’être négligeable pour agir vite en cas de pépin.

Autres options indispensables, l’approbation de connexion et le générateur de code. Dans ce premier cas, votre smartphone vous offre une sécurité supplémentaire. Par SMS vous pourrez recevoir le code secret de secours qui vous rendra votre Facebook. La seconde option, le générateur de code, vous propose une série de chiffres uniques, toutes les 30 secondes, pour accéder à votre Facebook. En plus de votre mot de passe, le deuxième code devient indispensable pour vous connecter. Sans ces deux « sésames », le pirate ne pourra rien faire.

Je finirai avec les contacts de confiance. Je ne l’utilise pas, mais l’idée est intéressante. Elle permet de définir les amis qui peuvent vous aider à récupérer votre compte auprès de Facebook. S’ils vous connaissent, Facebook vous rendra votre bien… ou pas ! En cas de problème, il est toujours possible de contacter Facebook via la page dédiée : Compte piraté.

 

 

 

Les réseaux sociaux, « faille insidieuse » des cyberattaques ?

Les cyberattaques sont plus sophistiquées que jamais et les techniques de hacking ne cessent d’évoluer, de se renouveler. Aujourd’hui, force est de constater que la menace ne provient plus exclusivement de l’extérieur. Au sein d’une organisation, les utilisateurs sont à la fois victimes et potentiels « cybercriminels » notamment dans le cadre de leur usage des réseaux sociaux.

Les bonnes pratiques de l’usage des réseaux sociaux au bureau
Afin de réduire les risques d’attaques et de renforcer la sécurisation des données, les entreprises doivent former les employés aux bonnes pratiques de l’usage des réseaux sociaux au bureau ; de nombreux utilisateurs ont un comportement à risque par manque de sensibilisation et/ou parce qu’ils ne mesurent pas les dangers qu’ils font prendre aux organisations. Pourtant, les menaces les plus importantes proviennent surtout des sites professionnels tels que LinkedIn ou Viadeo, qui sont des sources intarissables d’informations à très forte valeur ajoutée sur les entreprises pour les hackers.

Ceux-ci ont accès en « libre-service » à un très grand nombre d’informations sur l’activité de l’entreprise qui leur permettent de récupérer des données sensibles. Les réseaux sociaux professionnels sont, en effet, le point d’entrée à des informations sur les employés, leur rôle dans l’entreprise, leurs fonctions quotidiennes, voire les nombreuses informations sur les outils de sécurité utilisés et les problématiques auxquelles ils ont été exposés. Les hackers utilisent actuellement l’ensemble des vecteurs à leur disposition : ils peuvent également pirater des informations professionnelles via un terminal personnel lorsque l’employé utilise ses propres outils (BYOD) ou travaille de chez lui à partir de son ordinateur personnel. Aujourd’hui, les brèches de sécurité sont progressives et permettent aux pirates de s’introduire dans les systèmes informatiques de la manière la plus discrète possible pour collecter le maximum d’informations et accéder petit à petit aux données les plus critiques.

Le Community Manager, danger insoupçonné
Le Community Manager a un rôle clé dans une entreprise puisqu’il gère son image et sa présence sur les réseaux sociaux. Il ne s’agit pas tant de ses privilèges (qui sont finalement peu élevés) que de son impact sur l’image et la communication officielle de l’entreprise sur les médias sociaux. Le détournement de ce type de compte est aujourd’hui une cible privilégiée de groupes cherchant à nuire à l’image d’une société ou à profiter de sa notoriété pour passer des messages non sollicités ou diffuser des informations confidentielles. Par ailleurs, lorsqu’un salarié quitte l’entreprise, il doit rendre ses clés, son badge mais les employeurs ne pensent pas nécessairement à changer ses mots de passe. Or, un Community Manager ou autre employé mécontent qui quitte l’entreprise emportant avec lui identifiants et mots de passe pourrait également lui nuire sans difficultés – tout salarié d’une entreprise est susceptible de conserver ses données de connexion après son départ de la société.

Prenons l’exemple récent de l’affaire PRISM, il ressortirait que l’ancien analyste de la NSA, Edward Snowden, aurait accédé à des informations extrêmement confidentielles grâce aux identifiants de connexion de plusieurs de ses collègues, qu’il aurait convaincu de lui fournir en prétextant un travail qu’il devait faire, en tant qu’administrateur du système informatique. Ce type de comportements peut avoir des conséquences catastrophiques sur l’économie d’une entreprise et engendrer des dommages collatéraux durables (perte de clients, impact sur le cours des actions en bourse pour les sociétés cotées, retrait d’investisseurs/business angels…).

De l’importance d’appliquer et transmettre les bonnes pratiques
Les cyberattaques sont une réalité pour tous et les entreprises comme les employés doivent prendre conscience que chaque individu est une porte d’accès aux données sensibles d’une société. Pour ce faire, les organisations peuvent appliquer plusieurs règles simples et peu coûteuses afin de renforcer la sécurisation des informations :

[dsb] Sensibiliser les utilisateurs au fait que le risque existe et  qu’ils doivent adopter un comportement de méfiance vis-à-vis d’informations en provenance de l’extérieur, mais également de l’intérieur – le fait de partager un simple mot de passe avec un collègue, peut aussi être considéré comme un comportement à risque.

[dsb] Identifier la source et le parcours des hackers afin de paralyser l’attaque et le retrait de données sensibles.

[dsb] Mettre en place des solutions de détection pour alerter les personnes responsables de l’entreprise qu’un compte sensible est en cours d’utilisation (peut-être frauduleuse) afin de favoriser une intervention rapide.

[dsb] Identifier et sécuriser les comptes à privilèges au sein des entreprises, premières cibles des attaquants puisque souvent méconnus et négligés.

En conclusion, pour parer au maximum à ces « failles humaines », employés et entreprises doivent redoubler de vigilance pour un usage plus réglementé des réseaux sociaux professionnels et privés. Commentaire d’Olivier Prompt, Regional Sales Engineer, Northern Europe & Africa chez Cyber-Ark Software pour Data Security Breach.

Faites risettes, Facebook vend votre sourire

Un peu de biométrie, un peu de stockage et voilà nos photographies de profils devenus une denrée économique pour Facebook. Nous vous en parlions, l’année dernière dans zatazweb.tv. Facebook met en place des systèmes économiques avec nos données et nos photographies. Parmi les (très) nombreuses actions en préparations, une webcam, chez les commerçants qui, couplée avec Facebook et votre smartphone, vous communique des bons de réductions dans la boutique partenaire.

Depuis quelques jours, Big Brother a décidé de débuter une autre forme de commercialisation des vies privées proposées dans son portail communautaire. L’information a été diffusée de manière « douce », dans un courriel annonçant « de nouvelles conditions d’utilisation« . Dans ces nouveautés, l’utilisation des photos des profils des utilisateurs. Ces dernières peuvent être stockées (ce qui était déjà le cas, ndlr datasecuritybreach.fr) dans une base de données centrale (la nouveauté, ndlr zataz.com). Une BDD centralisée que peuvent consulter les annonceurs.

L’intérêt ? L’avenir va très rapidement nous le dire via les applications et outils (comme notre webcam citée plus haut, ndlr datasecuritybreach.fr). L’annonce de Facebook est aussi d’indiquer aux utilisateurs que leur visage pourra être scanné et exploitée à partir d’un système biométrique prévu à cet effet. Erin Egan, responsable de la confidentialité et de la vie privée chez Facebook, indique ces données offriront aux utilisateurs un meilleur contrôle sur leurs informations personnelles. En gros, si quelqu’un diffuse votre tête sur Facebook, Facebook vous préviendra. Un peu de vie privée par-ci et un gros coup de louche dans le tas car si vous n’acceptez pas les nouvelles conditions d’utilisations, dehors ! Bref, la BDD centrale ne gardera que votre photographie de profile, tout en étant capable de contrôler les autres.

Pour vous protéger de ce genre de débordement commercial, plusieurs choix. Ne pas s’inscrire à Facebook. Bien choisir ses options de confidentialités proposées par le portail. Chiffrer votre visage. Pour cela, troublez par exemple, vos yeux ; mettez un bonnet ; où faîtes comme votre serviteur, faîtes des sourires à vous arracher la mâchoire.

Espionner via l’API d’un HTML5

Une vulnérabilité découverte dans un API d’HTML5 permet de connaitre l’historique de navigation d’un internaute. Cette possibilité a été annoncée dans un document diffusé par le Context Information Security sous le titre de « Pixel Perfect Timing Attacks with HTML5« . Le problème se situe dans l’API requestAnimationFrame.

Cet API consulte l’historique de votre navigateur pour différencier un site web que vous avez visité et celui qui vous aller visiter. Seulement, il a été découvert qu’il était aussi possible, pour un site malveillant, de mettre la main sur l’historique de navigation de chaque visiteur. Si vous couplez requestAnimationFrame à une interception d’ip et quelques informations privées, vous voilà avec la vie privée numérique de l’internaute bien mal en point.  Côté conseil, utilisez le monde « Navigation privée » de votre navigateur.

Facebook, Twitter, Google, Linkedin, Bong, Amazon, Mozilla, Reddit, souffrent de cette potentialité malveillante. Cette technique s’est avérées très efficaces, permettant à un site malveillant de contrôler des milliers d’URL par seconde pour voir si un utilisateur a visité les principaux portails du web.  En 2010, David Baron a publié une proposition pour prévenir de telles attaques, en limitant les styles (css) qui peuvent être appliquées aux liens visités et veiller à ce que l’API JavaScript appelle que les styles des éléments à visiter. Les correctifs avaient été mis en œuvre dans tous les principaux navigateurs. Sauf que la faille découverte permet aussi de lire, à distance, les pixels et, avec un peu de malice, permettre à un pirate de lire ce qui s’affiche dans le navigateur. Le White paper de CIS.

L’armée électronique Syrienne pirate True Caller

La Syrian Electronic Army, qui a fait pas mal parler d’elle en piratant d’importants comptes Twitter, vient de ressortir de son trou numérique pour annoncer le piratage de l’annuaire collaboratif TrueCaller. Truecaller est un annuaire collaboratif mondial qui tient dans votre poche et vous permet de contacter facilement des personnes à travers toute la planète. Bref, une mine d’or pour malveillants.

La SEA a annoncé sur son Twitter qu’il avait mis la main sur les données du site. Sept bases de données auraient été volées. La principale BDD pèserait 450GB. La BDD, baptisée Profiles, tiendrait dans 4Go. Le base de données contiendrait, selon les hacktivistes, les codes d’accès de plusieurs millions de Facebook, Twitter, Linkedin, de comptes Gmail.

True Caller explique sur son blog ne pas stocker « les mots de passe, informations de carte de crédit, ou toute autre information sensible sur nos utilisateurs. a pu lire datasecuritybreach.fr, Il est faux que les attaquants ont pu accéder à Facebook de nos utilisateurs, Twitter, ou autres mots de passe de médias sociaux.« 

L’entreprise américaine explique enquêter sur l’étendue de l’accès non autorisé dans ses bases de données. « Nous pensons qu’il est essentiel de faire connaître l’attaque, car il est important que nous gardions fidèle notre honnêteté et notre intégrité« .

Les enfants regardent du porno en ligne dès l’âge de six ans et flirtent sur Internet dès huit ans

Selon une étude de Bitdefender que DataSecurityBreach.fr a pu consulter, recherche menée auprès de plus de 19.000 parents et enfants à travers le monde (États-Unis, France, Allemagne, Grande-Bretagne, Australie, Espagne et Roumanie), les enfants agissent aujourd’hui comme de jeunes adultes sur Internet.

Bien avant les réseaux sociaux (8.84 %) ou les sites de partage (9.71 %), les enfants s’intéressent en premier lieu à la pornographie en ligne (11.35 %).

Data Security Breach a pu lire que les enfants regardent du porno en ligne dès l’âge de six ans et flirtent virtuellement sur Internet à partir de huit ans. De plus, les enfants qui chattent avec leurs amis sur les messageries instantanées et jouent en ligne sont de plus en plus jeunes. En effet, 3.45 % des enfants qui chattent et 2% des addicts du jeu en ligne sont seulement âgés de cinq ans. Bitdefender révèle aussi que les enfants mentent sur leur âge lorsqu’ils créent leur profil sur les réseaux sociaux, notamment sur Facebook où l’âge minimum d’inscription est de 13 ans. En effet, près d’un quart des enfants interrogés dans le cadre de cette étude avaient au moins un compte sur les réseaux sociaux à l’âge de 12 ans tandis que 17% utilisaient déjà les réseaux sociaux à 10 ans.

Les adolescents, quant à eux, laissent les messageries instantanées aux plus jeunes et préfèrent pour certains d’entre eux se rendre sur des sites à caractère haineux, pour partager ce qu’ils détestent et utiliser un langage inapproprié. Plus de 17% des enfants qui lisent ou postent des messages haineux ont 14 ans, 16.52% ont 15 ans et 12.05% en ont 16.

TOP 10 Catégories Web qui intéressent le plus les enfants

Pornographie – 11.35%

Boutiques en ligne – 10.49%

Sites de partage – 9.71%

Réseaux sociaux – 8.84%

Actualités – 7.13%

Jeux – 5.91%

Rencontres en ligne – 5.77%

Business – 4.58%

Jeux – 3.14%

Sites haineux – 2.91%

Autres – 30.17%

« De nos jours, les enfants agissent comme de jeunes adultes sur Internet – donnez-leur un appareil connecté et ils trouveront le moyen d’avoir une activité totalement interdite par leurs parents. »,  Déclare à datasecuritybreach.fr Catalin Cosoi, Responsable des stratégies de sécurité chez Bitdefender. « Les dangers sur Internet ne sont pas seulement liés à la pornographie mais aussi au piratage informatique et aux sites Web qui incitent les enfants au suicide. Les parents doivent donc protéger à la fois la vie réelle et virtuelle de leurs enfants ».

Les arnaqueurs ont récemment montré un fort intérêt pour le football

Les arnaqueurs ont récemment montré un fort intérêt pour le football. En effet, une grande variété d’attaques de phishing (faux sites web) se basant sur le football a été observée en 2012. Les arnaqueurs se sont déjà intéressés à la Coupe du Monde de la FIFA 2014, mais aussi aux stars et aux clubs phares du ballon rond.

Datasecuritybreach.fr vous a d’ailleurs présenté, l’arnaque ciblant les fans de Lionel Messi et celle visant les supporters du FC Barcelone. Deux bons exemples de ces pratiques. Les pirates informatiques comprennent qu’utiliser des célébrités avec une énorme base de fans offre un plus grand choix de cibles, et augmente ainsi leurs chances de récolter les identités des utilisateurs. Ces arnaques persistent encore en 2013 avec une stratégie toujours identique consistant à mettre en place de faux sites web en utilisant des hébergeurs gratuits.

Les sites de phishing ont incité des internautes à entrer leurs codes d’accès Facebook sur des pages consacrées à Lionel Messi, au FC Barcelone ou à Cristiano Ronaldo. Ces dernières affichent ostensiblement des images de Lionel Messi, du FC Barcelone ou de Cristiano Ronaldo, et essaient de donner l’impression qu’elles en sont les pages Facebook officielles. Certains de ces faux sites sont intitulés, « premier réseau social dans le monde ». Les utilisateurs sont ensuite incités à entrer leurs identifiants Facebook afin de se connecter à leur compte. Une fois que les identifiants ont été renseignés, les utilisateurs sont redirigés vers une page communautaire dédiée à Lionel Messi, au FC Barcelone, ou à Cristiano Ronaldo pour créer l’illusion qu’une session légitime s’est ouverte.

Si les utilisateurs sont victimes de sites de phishing en ayant entré leurs identifiants, alors les pirates ont réussi à voler leurs données à des fins d’usurpation d’identité. Pour éviter les attaques de phishing, les internautes sont invités à suivre les conseils ci-dessous :

§  Faites attention lorsque vous cliquez sur des liens qui semblent trop attractifs, envoyés par email ou postés sur les réseaux sociaux

§  Ne renseignez pas de données personnelles lorsque vous répondez à un email

§  N’entrez pas de données personnelles dans un pop-up qui apparaît dans une page ou à l’écran.  Composez plutôt, de façon manuelle, le site web que vous souhaitez consulter, au lieu de cliquer sur un lien suspect.

§  Assurez-vous que le site web est crypté avec un certificat SSL en vérifiant que la mention « https » soit présente dans la barre d’adresse, ou que celle-ci soit de couleur verte lorsque vous entrez des données personnelles ou financières

§  Utilisez des suites de sécurité comme Norton Internet Security ou Norton 360, qui vous protègent contre le phishing et les fraudes sur les réseaux sociaux

Rapportez les faux sites web, emails ou pages Facebook via phish@fb.com.

Le top 10 des arnaques sur Facebook

Data Security Breach a reçu un nouvelle étude sur les arnaques se propageant sur Facebook, les plus répandues à l’échelle mondiale étant de type « qui a vu mon profil ». En seconde position et parmi les stars les plus dangereuses pour la sécurité de votre compte : Rihanna et sa fausse sex tape. Continuer la lecture de Le top 10 des arnaques sur Facebook