La plupart des utilisateurs jugent les données stockées sur leur ordinateur plus importantes que la machine elle-même. Dans une enquête réalisée à l’été 2013 par B2B International et Kaspersky Lab, 56 % estiment leurs photos et autres documents plus précieux qu’un matériel aussi coûteux soit-il. Cependant, en cas d’attaque de malware, plus de la moitié des victimes sont dans l’incapacité de récupérer la totalité de leurs données.
Qu’est-ce qui a le plus de valeur : un ordinateur haut de gamme ou la photo, même floue, de votre dernière soirée ? Un portable ou bien les messages échangés avec vos proches ? Une superbe tablette dernier cri ou les vidéos d’une réunion entre amis filmée avec sa caméra ? La plupart des personnes interrogées répondent qu’elles font passer leurs informations personnelles avant un équipement quel qu’il soit et quel que soit son prix.
Malheureusement, les utilisateurs perdent souvent de précieuses informations : selon notre enquête, une attaque de malware sur cinq se solde par la perte de données personnelles et 61 % des victimes sont dans l’incapacité d’en récupérer la totalité. Pour les cybercriminels, les données personnelles constituent une marchandise monnayable : ils peuvent ainsi dérober des informations essentielles et s’en servir pour manipuler les comptes en ligne de l’utilisateur ou encore bloquer son accès à des données critiques et en exigeant une rançon en échange de leur déblocage. L’usage répandu des mobiles a aggravé la situation : chaque nouveau modèle de smartphone ou de tablette offre aux escrocs un angle supplémentaire d’attaque.
Bien que l’étendue et le nombre des cybermenaces aillent croissant, il est possible d’en protéger les informations personnelles avec l’aide d’une solution de sécurité fiable. (Le B2C 2013 – PDF)
Attention, ceci peut vous concerner car il s’agit de routeur « grand public » ou utilisés par certains opérateurs. Sur du matériel personnel, il est conseillé de flasher le firmware avec une solution DD-WRT (http://www.dd-wrt.com/site/index). Pour les routeurs d’opérateurs, vous pouvez demander des explications afin d’être rassurés sur la sécurité de vos informations/connexions. Pour Netgear et LinkSys, les backdoors découvertes dans les boitiers permettent d’interroger le harware à distance. Un accès aux parametres, mot de passe et aux programmes.
Pour Siemens, c’est un chercheur de chez IOActive qui a découvert deux vulnérabilités dans les commutateurs Ethernet Siemens. Des failles qui peuvent permettre à un attaquant distant d’exécuter des opérations administratives sans passer par la case « mot de passe ». Les vulnérabilités ont été découvertes par Eireann Leverett, consultant en sécurité principal pour IOActive. Les failles ont été signalées à Siemens.
La première vulnérabilité (CVE-2013-5944) pourrait permettre à des pirates d’effectuer une opération administrative sur le réseau sans authentification. La deuxième vulnérabilité (CVE-2013-5709) offre la possibilité à un acteur malveillant de détourner des sessions Web sur le réseau sans authentification. Siemens a annoncé fournir un patch de sécurité dans les trois mois. Les clients Siemens doivent appliquer le SCALANCE X-200, une mise à jour du firmware. (Baidu)
Les technologies employées par les pirates informatiques évoluent. Les cybergendarmes tentent de s’adapter aux flots de données que déverse le numérique. Relèvent-ils ce pari 2.0 ? Quels sont leurs outils d’investigation ? Découverte ! C’est dans la caserne d’Arras, au sein du Groupement de la Gendarmerie Départementale (commandé par le Colonel Jérôme Bisognin), que les rédactions de zataz.com et datasecuritybreach.fr ont été invitées à rencontrer les N’Tech, les cybergendarmes du Pas-de-Calais. L’occasion pour les quatre Sherlock Holmes 2.0 de la Cellule d’Investigations Criminelles de nous présenter une partie de leurs outils d’investigations numériques.
Vous avez perdu votre téléphone portable ? Un malveillant tente d’y accéder ou vient de vous le voler. Voici notre top 3 DataSecurityBreach.fr des outils qui devraient vous servir afin de vous protéger, et protéger votre précieux. L’article sur comment sécuriser sa tablette vous a particulièrement intéressé. Nous nous sommes dit que nos téléphones, de plus en plus couteux et aux contenus de plus en plus sensibles méritaient aussi un véritable focus.
L’idée de cet article m’est venu aussi en lisant un Tweet envoyé par un lecteur, sur le twitter de ZATAZ Media : @zataz. Le papa du lecteur a eu son iPhone volé. Fier de lui, le voleur a tenté d’y accéder… seulement il n’a pas pensé au système antivol embarqué. Bilan, le « monte en l’air » s’est retrouvé en photo… sur le web. « Le #Voleur s’est fait grillé en mettant sa photo après le vol du téléphone de mon père #Abidjan #civ225 @zataz » s’amusait notre lecteur. Plus drôle encore, une américaine, Danielle Bruckman, a diffusé un an de photos de son voleur. L’idiot ne s’étant pas rendu compte que chaque cliché qu’il prenait de lui fût communiqué et sauvegardé sur le cloud de la belle. Bref, vous allez voir que surveiller et tracer une smartphone est très simple et n’oblige pas l’internaute à être un agent de la NSA et utiliser l’outil DROPOUTJEEP pour surveiller un iPhone.
Comment faire ?
Il existe pléthore d’outils qui vont vous permettre de protéger votre précieux. Etre alerté par SMS (sur un autre téléphone), par eMail, via une photo, un plan, une données GPS, … Voici notre sélection. N’hésitez pas à nous proposer votre choix.
LockWatch
Efficace, rapide d’installation, l’outil fonctionne sous Android. Il permet de recevoir la photo de toutes personnes rentrant un mauvais mot de passe dans votre téléphone. Il est possible de configurer le nombre d’essai. En plus de sa photographie, un plan et l’adresse du lieu d’utilisation du téléphone est envoyé par courrier électronique. Totalement transparent, le « curieux » ne voit pas l’intervention de LockWatch. Il est possible de configurer l’option « fausse alerte ». Dès que le bon mot de passe est tapé, aucune alerte n’est envoyée.
Lockout security
Même ordre d’idée que LockWatch. LockOut propose un service gratuit qui vérifie la sécurité de vos applications, la sauvegarde de vos contacts. Une version premium, donc payante, rajoute une sauvegarde sur le cloud de vos photos et journaux d’appels, une protection de vos informations en analysant les capacités des applications à intercepter vos données confidentielles. Les deux options, gratuites et payantes, proposent un plan pour retrouver le portable égaré. Il est possible de faire retentir une sirène, faire vibrer et clignoter l’écran de l’appareil pour retrouver la bête. Coût de la version premium, 24,99€ par mois. A noter un paiement possible pour acheter Lockout Security via le smartphone (sic!). A noter que l’outil, version gratuite, est proposée dans les smartphones Orange.
Samsung dive
Une application disponible uniquement pour smartphone Samsung. Samsungdive permet de localiser la position actuelle du mobile perdu ainsi que l’historique des déplacements durant les 12 dernières heures. Vous pouvez verrouiller votre mobile à distance afin que personne d’autre ne l’utilise. Une alerte peut sonner pendant 1 minute, quels que soient les réglages du son et de la vibration du mobile. Un contrôle des appels peut être effectué via les journaux sauvegardés. Samsung Dive a une petite finesse que Data Security Breach vous conseille de surveiller. Il est possible, à distance, via le site web de Samsung, de déverrouiller votre tablette/smartphone protégé par un mot de passe. Bref, faire sauter la protection d’entrée, en un seul clic de souris. A contrôler sans modération car une fois déverrouillé, le matériel n’est plus protégé. Il faut lui implémenter un nouveau password.
Autre outil à ne pas rater, Cerberus. Commercialisé moins de 3 euros il propose une série d’options qui méritent de s’y pencher. Cerberus permet de protéger 5 téléphones avec le même compte. Il est possible de contrôler l’appareil à distance depuis le site web cerberusapp.com ; contrôle à distance par SMS et de vérifier la carte SIM et d’être alerté en cas du clonage de la puce et de son utilisation dans un autre téléphone. Des options de sécurité classique, mais des « bonus » qui sont étonnants comme enregistrer le son depuis le micro du smartphone ou encore avoir des informations sur le réseau et l’opérateur utilisé par le smartphone. Il est aussi possible d’afficher les SMS sauvegardés dans le téléphone ou encore avoir accès au journal des appels. L’application fonctionne même si vous n’avez pas de connexion internet, via la carte SIM. L’outil est bluffant et… flippant. Autant dire que la sécurité du site web a intérêt à être blindé de chez blindé, tout comme le mot de passe que vous allez employer.
Mise à jour :PlaymoGeek nous indique que l’outil Avast Mobile et Security fonctionne aussi très bien. « je l’ai testé pour mon mobile volé« . La version Premium ne coûte que 15 euros par an.
Selon une étude des Laboratoires Bitdefender, Jennifer Aniston (19,55 %) est la célébrité la plus utilisée ces derniers mois par les scammeurs afin de piéger les utilisateurs et ainsi leur dérober des données privées, ou encore tenter d’exécuter du contenu malveillant sur leur ordinateur. Rihanna (16,26 %) et Selena Gomez (13,84 %) arrivent respectivement en 2e et 3e position. Cette étude montre aussi que les films attendus en salle se révèlent être un leurre efficace pour piéger les cinéphiles un peu trop curieux.
TOP 10 des célébrités les plus utilisées dans les campagnes de spams ces derniers mois
Certains de ces spams associent le nom d’Aniston à du contenu sexuellement explicite, et un simple clic du destinataire sur le lien permet au scammeur d’installer un Cheval de Troie sur son système afin de récupérer ses données bancaires. Rihanna, quant à elle, apparaît dans des e-mails redirigeant l’utilisateur vers des pages Web au contenu pornographique et des sites plus ou moins frauduleux de vente d’accessoires en ligne (il est peu probable que l’utilisateur piégé reçoive un jour la marchandise commandée et payée sur ces sites). Enfin, les spams citant Selena Gomez vantent les mérites de la chirurgie esthétique ou des concerts gratuits en ligne. Ces publicités visent en fait à rediriger l’utilisateur piégé sur des sites de phishing permettant alors aux scammeurs de voler ses identifiants et mots de passe à des fins malveillantes. Miley Cyrus, Scarlett Johansson, Marilyn Monroe, Katy Perry, Beyonce Knowles, Sandra Bullock et Eminem sont également ces derniers mois, des célébrités très utilisées pour propager des campagnes de scams.
Outre les noms de célébrités, l’analyse de Bitdefender révèle que les scammeurs utilisent aussi des titres de films pour attiser la curiosité et piéger les utilisateurs. Gravity, occupe une place de premier ordre suivi de 12 Years a Slave, Insidious et The Avengers qui font figure d’appâts pour des campagnes de spams en cette fin d’année.
Selon Bitdefender, ces spams aux titres accrocheurs restent une stratégie payante pour piéger un grand nombre d’internautes trop curieux et maintenir ainsi la rentabilité de campagnes de scams et/ou de spams. Ces arnaques vont d’ailleurs souvent trop loin dans le sensationnel afin d’attirer le chaland, déclarant par exemple des célébrités comme étant prétendument mortes, photographiées battues ou impliquées dans des scandales sexuels sordides.
Ces e-mails promettant des photos ou des vidéos chocs ont un seul objectif : soutirer de l’argent à l’utilisateur. En effet, ce dernier, en ouvrant les pièces jointes et/ou en cliquant sur les liens associés, infecte sa machine avec un malware et/ou se retrouve exposé à des contenus inappropriés, offrant ainsi aux scammeurs la possibilité de récupérer ses informations personnelles à son insu et de les exploiter par la suite. Bitdefender rappelle aux utilisateurs que la meilleure chose à faire est de supprimer tout e-mail non sollicité et de rester vigilant contre ces messages promettant ce genre de contenus chocs.
Depuis quelques jours, un pirate informatique diffuse un courriel aux couleurs du Paris Saint-Germain, et plus précisément de la boutique du club de football parisien. Le phishing est bien réalisé. L’escroc indique un achat dans la boutique du PSG. « Vous pouvez consulter votre facture FR9077796 via le lien suivant en cliquant dessus ou en le recopiant« . Dans la missive usurpatrice, un extrait d’une carte bancaire. Bref, de quoi inquiéter l’internaute qui n’a jamais rien acheté chez les footeux.
L’objet du courrier pirate « Confirmation de votre commande effectuée sur La Boutique officielle. » En cliquant sur le lien, direction non pas le club Qatari, mais un site piraté, utilisé pour cacher le logiciel espion. Un blog basé en Suisse. En lieu et place d’une facture, un logiciel pirate, chargé de téléchargé un outil d’espionnage dans l’ordinateur du surfeur ainsi piégé. Même si l’icône à l’écran affiche un « PDF », il s’agit d’un exécutable qu’aucun antivirus, au moment de l’écriture de notre article, n’a détecté comme dangereux. Prudence, donc !
Le président la République a promulgué [1] la Loi de programmation militaire dont le texte est paru au Journal Officiel. L’adoption de son article 20 et l’absence de saisine du Conseil constitutionnel manifestent une profonde crise d’un pouvoir politique n’hésitant plus à porter massivement atteinte aux droits fondamentaux. La Quadrature du Net remercie tous ceux qui ont participé à la lutte contre ces dispositions et appelle à poursuivre le combat contre la surveillance des contenus et communications sur Internet par tous les moyens : législatifs, juridiques, technologiques et de choix d’usage.
Le texte de la Loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale [2] a été publié cette nuit au journal officiel. Son article 20 (anciennement 13) ouvre la porte à une surveillance largement étendue des informations et documents sur Internet, y compris par la sollicitation du réseau en temps réel et avec la participation des opérateurs de télécommunication et de services Web, pour des finalités dépassant très largement les impératifs de la défense et la sécurité nationales.
L’adoption de ces dispositions à la rédaction ambiguë et n’ayant rien à faire dans une loi de programmation militaire, puis l’absence de saisine constitutionnelle, manifestent une très grave crise de la représentation démocratique et de son respect des droits fondamentaux. Cette loi a été adoptée unanimement par les élus socialistes, pourtant très largement divisés sur l’article 20 (à l’époque article 13), et alors qu’ils avaient voté en sens inverse sur des dispositions provisoires et moins dangereuses en 2006 et 2008. Ceux de l’UMP, du groupe écologiste et de la gauche GDR y ont rejeté la loi dans les 2 chambres [3].
Pourtant, une fois cette loi adoptée, les clivages politiques et la discipline de groupe ont été la principale cause de l’échec des tentatives pour réunir les 60 signatures nécessaires à la saisine du Conseil constitutionnel, malgré la mobilisation citoyenne et les nombreuses alertes [4] d’organisations diverses [5]. Le vote politicien d’un PS tenu en laisse, le sectarisme de l’UMP refusant de co-signer avec des députés verts ou communistes et l’intimidation brutale de ses membres par son chef de groupe Christian Jacob [6] resteront dans nos mémoires comme emblématiques de la dérive vers un régime post-démocratique.
De nombreuses étapes permettront aux citoyens de continuer la lutte contre le développement d’une surveillance généralisée devenue l’instrument de pouvoirs politiques incapables d’agir pour l’intérêt commun. Sur le plan juridique, la parution du décret en Conseil d’État prévu dans la loi et les lois annoncées sur le renseignement et les libertés numériques donneront de nouvelles occasions de débats, de décision et de recours. Mais c’est sur le plan politique et celui des usages que se joueront tout autant nos droits et nos libertés.
« Avec les autres associations de défense des droits et libertés qui se sont mobilisées contre l’article 20, nous allons mener campagne sans relâche contre la surveillance et ces violations de la séparation des pouvoirs. Nous demanderons une affirmation forte du rôle du judiciaire, du droit à la vie privée et des libertés individuelles dans les lois à venir et par toutes les voies de recours possibles » déclare Jérémie Zimmermann, co-fondateur et porte-parole de l’association La Quadrature du Net.
« L’équilibre des droits ne pourra être retrouvé que si les citoyens manifestent fortement qu’il n’y a pas de démocratie ni d’être humain libre de s’exprimer dans une société de surveillance diffuse et si chacun, dans ses choix de services, d’outils et d’usage se réapproprie ce que l’on a abandonné aux opérateurs centralisés » déclare Philippe Aigrain, co-fondateur de La Quadrature du Net.
* Autres références *
http://www.assemblee-nationale.fr/14/cri/2013-2014/20140093.asp#P123495
http://www.senat.fr/seances/s201312/s20131210/s20131210_mono.html#Niv1_SOM7
4. https://www.laquadrature.net/fr/loi-de-programmation-militaire-les-parlementaires-doivent-saisir-le-conseil-constitutionnel
5. https://www.laquadrature.net/fr/pcinpact-surveillance-du-net-deluge-de-contestations-contre-le-patriot-act-francais
La NatWest, service bancaire en ligne, touchée par une attaque DDOS. Qui a souhaité bloquer la NatWest ? Pour le moment personne ne sait vraiment. Un ou des pirates informatiques ont lancé un DDoS, un Déni Distribué de Service (plusieurs milliers d’ordinateurs tentent de communiquer avec un serveur. La masse sature le service). Les clients ont été incapables d’accéder à leurs comptes en ligne. « En raison d’une hausse du trafic internet délibérément dirigée sur le site NatWest, certains de nos clients n’ont pu avoir un accès à nos sites Web. » a indiqué le service presse. Il y a quelques semaines RBS, dont NatWest est une filiale, était tombée sous les coups d’un autre DDoS. (Mirror)
Un pirate exploite la base de données piratée à ADOBE pour inciter les clients à télécharger une fausse licence, mais virus. Il fallait un peu s’en douter. Diffuser la base de données volées à ADOBE, BDD comprenant des millions d’emails, ne pouvait qu’attirer les pirates et autres escrocs. Le dernier en date, son courriel a été detecté fin décembre, incite les clients ADOBE à télécharger une nouvelle clé d’activation pour leurs logiciels (Photoshop, Premiére, …) Bien entendu, la pseudo nouvelle clé n’est rien d’autre qu’un code malveillant, un logiciel espion.
Pour rappel, le 3 octobre dernier, Adobe a détecté sur son réseau des attaques informatiques (d’idiotes injections SQL) portant sur l’accès illégal à une base de données de sauvegarde contenant des identifiants Adobe et des mots de passe cryptés, ainsi que sur la suppression de cette base. « Nous vous informons que votre identifiant Adobe figurait dans cette base mais pas votre mot de passe actuel. Par conséquent, nous n’avons pas réinitialisé votre mot de passe » explique dans son courriel de décembre, l’entreprise américaine. La base de données piratée provenait d’un système de sauvegarde qui contenait de nombreuses entrées obsolètes et était destiné à être mis hors service. Le système Adobe d’authentification des enregistrements, qui pratique le hachage et le salage des mots de passe des clients, n’était pas la source de la base de données volée. Adobe conseille à ses clients de changer leurs mots de passe, sur les autres sites, dans le cas ou l’internaute aurait utilisé le même que chez ADOBE.
L’application SnapChat dangereuse. Des hackers démontrent comment intercepter identité et numéro de téléphone d’un utilisateur. L’application SnapChat permet de diffuser des photos, via son smartphone (iOS et Android). Les hackers australiens de chez Gibson Security viennent de tirer à boulet rouge sur le prochain jouet de Facebook en annonçant des fuites de données. La vulnérabilité permet à un malveillant de mettre la main sur le numéro de téléphone et le nom de l’utilisateur visé.
Contacté voilà 4 mois, SnapChat fait la source oreille. Les hackers ont décidé de publier tous les détails de leur découverte le 25 décembre. Un « chantage pour le bien de la société» exprime les hackers au magazine Business Insider. « Espérons que Snapchat vérifiera son code et améliorera la façon dont la sécurité et les bugs sont traités dans l’entreprise». Une faille qui fait suite à celle qui permettait de sauvegarder les photographies éphémères ou encore extraire d’un smartphone les documents pourtant effacés. Si vous voulez vous rassurer, le site Snapchatdb.info proposait de s’avoir si vous étiez dans les 4,6 millions de gagnants. Cependant, l’espace web a été suspendu. Il est revenu via lookup.gibsonsec.org. Les derniers chiffres sont masqués, histoire de ne pas voir débarquer les spammeurs téléphoniques.
Réussir le piratage d’un distributeur de billets avec une clé USB. Facile et efficace ! Dans l’émission podcast vidéo de décembre de ZATAZWEB.TV, il est expliqué comment il devient possible d’exécuter tout et n’importe quoi (injection code malveillant, interception connexion Wifi, récupération de données d’un disque dur) via une clé USB particulière. Une démonstration est d’ailleurs proposée dans l’émission.
A croire que ce genre d’outil n’est pas encore pris au sérieux par les entreprises et autres banques. La Banque Postale a demandé à deux informaticiens allemands de tester la sécurité de ses distributeurs. Il faut dire aussi que les GAB, les Guichets Automatiques de Billets de la banque avaient été ponctionnés sans que la société financière ne comprenne vraiment comment.
Les deux « hackers » ont repris le mode opératoire des pirates. Un petit trou dans le distributeur de billets, juste en face du PC (sous Windows XP) gérant le GAB afin d’y coller une clé USB. Le support de stockage comportait un script qui automatisait ensuite l’installation d’un code malveillant ayant permis de se servir en monnaie sonnante et trébuchante.
Bref, les pirates avaient réussi à installer un cheat code, comprenez une série de manipulations des touches du clavier du PC, pour se retrouver face à la gestion de la machine. Bilan, l’option « retrait illimité » aura fait fureur !
Malin, les pirates semblent avoir utilisé des « mules » pour retirer l’argent. Le « cheval de Troie » sauvegardé via la clé USB possédait deux codes, le second empêchant les « retraits » non autorisés par les pirates en chef.
Les clients de la chaine de restaurant Briar Group ont intérêt à vérifier leur compte en banque. Le groupe de restauration Briar Group, basé à Boston, vient d’annoncer le piratage de sa base de données clients. Le système informatique de l’entreprise a été visité. Le pirate a pu mettre la main sur des données de carte de crédit. Briar Group ne s’est rendu compte de rien. Il aura fallut attendre l’intervention de clients pour qu’une enquête soit lancée. Des comptes bancaires d’utilisateurs avaient été ponctionnés. Le piratage aurait eu lieu entre octobre 2013 et début Novembre 2013. On appréciera, une fois de plus, le fait que les données n’étaient pas chiffrées, comme pour le cas d’Affinity Gaming, spécialiste des jeux en ligne, qui vient lui aussi d’annoncer une fuite de données bancaires concernant ses clients.
La National Security Agency aurait utilisé les cookies de Google pour infiltrer des ordinateurs ciblés. Décidément, Google et la NSA, une grande histoire d’amour. Le Washington Post explique, via les documents d’Edward Snowden, que la NSA, les grandes oreilles de l’Oncle Sam, ont mis en place un système de collecte de données étonnants.
La NSA aurait exploité les cookies de Google pour infiltrer des machines et suivre à la trace des cibles précises. Nous savions que le cookies permettaient aux annonceurs de tracer nos désirs via les sites visités, voilà que la NSA en profite pour y rajouter l’option espionnage et infiltration.
Le mécanisme de suivi Google, le « PERF », permettrait donc à la NSA d’identifier un navigateur, pour ensuite suivre son utilisateur. Le journal américain montre un document volé par Snowden qui montre une mission de la NSA, en partenariat que les grandes oreilles britanniques GCHQ anglaises, pour examiner 900 antennes GSM, afin de mettre la main sur des « terroristes ».
La NSA indique que cette collecte est effectuée pour « pour protéger les Etats-Unis« . Autant dire que le GPS des smartphones, couplés avec les cookies et autres applications « vulnérables » n’ont pas fini de parler sur notre dos !
L’Université de Washington School of Medicine piégé par un logiciel espion. 900.000 patients touchés. Dans la série, « je vois une piéce jointe dans un courriel et je clique dessus » un fonctionnaire de l’University of Washington School of Medicine a trouvé l’idée bonne et a fait rentrer dans les machines du centre de recherche un logiciel espion. Le malware a permis au pirate derrière cette infiltration une balade de santé dans les machines de l’hôpital universitaire.
Bilan, 900.000 dossiers de patients ont été impactés par la visite. Les noms, numéros de sécurité sociale, numéro de téléphone, adresse, numéro de dossier médical et quelques autres détails ont pu être copiés. Sachant qu’un numéro de sécurité sociale aux USA peut permettre d’ouvrir un compte bancaire, autant dire que le pirate a de l’or en barre dans les mains. La direction a commencé à avertir les patients sur cet « incident ».
Il y a quelques jours, 1.300 patients, des malades ayant reçu une transplantation cardiaque, de poumons, … ont disparu d’un ordinateur volé à un médecin de l’Hôpital de Houston. Le centre médical a offert un an de protection (vie privée) aux malades touchés par cette fuite.
Pendant ce temps, un nouveau cheval de Troie bancaire appelé Qadars s’attaque à la France et aux Pays-Bas. Qadars, est un nouveau cheval de Troie détecté par ESET, un éditeur d’antivirus. L’outil aurait infecté des milliers d’utilisateurs à travers le monde. Il semble cibler principalement des utilisateurs de Pays-Bas et de la France. D’après les chercheurs, le voleur exploite le concept du malware Zeus. Il utilise les navigateurs pour agir. Qadars modifie la page du portail bancaire que l’internaute visite afin d’intercepter les données rentrées par le client ainsi piégé. Le logiciel espion posséde aussi des composants pour smartphone Android qui permet au malware de contourner les étapes de sécurité d’authentification mises en place par la banque en ligne. Le Canada, l’Australie, l’Inde et l’Italie sont les autres pays ciblés par Qadars.
Sacré Père Noël, il a cassé sa tirelire pour offrir l’objet high-tech à la mode. Une tablette, un smartphone, une montre connectée. Les « vendeurs », les « commerciaux » des marques ont sorti la grosse artillerie pour vanter du matériel qui, avouons-le, fait briller les yeux. Sauf qu’il y a un petit détail loin d’être négligeable que nous avons pu constater lors de 43 rencontres effectuées entre le 17 et le 24 décembre 2013 : seuls 3 souriants vendeurs de rêves nous ont parlé, naturellement, de sécurité.
Le Béaba
Un PC, une tablette sortis de leur carton ne sont pas propres, attendez par là qu’il faudra penser, lors de votre première connexion à mettre à jour vos machines. Des mises à jour de sécurité, d’applications. Indispensable. Prenons l’exemple de l’iPhone 5 (et là) ou des derniers Samsung. Évitez de voir votre données s’envoler en raison de « faille » usine. Pour les PC, comme pour les MAC, les « updates » concerneront surtout des corrections liées à des vulnérabilités. Pour vous donner une petite idée, regardez la date de fabrication de votre matériel. Si nous prenons un PC fabriqué en septembre, sous Windows 8, plus de 40 mises à jour. Même son de cloche pour un MAC. Pour les tablettes, sous Android, la dernière importante, date de mi-décembre, avec une correction interdisant l’interception possible, en clair par le wifi, des informations de connexion d’un utilisateur.
Le matos
Que le veuille ou non, un antivirus devient indispensable sur PC/MAC, mais aussi tablette et smartphone. Il en existe plusieurs dizaines, gratuites et payantes. Nous nous pencherons plus concrètement, dans quelques instants, sur ceux proposés pour les mobiles. Mais avant ça, revenons sur une option loin d’être négligeable dans la majorité des nouveaux matériels sortis pour Noël : le chiffrement des machines. Certes cela prend un peu de temps, certes cela semble fastidieux d’être obligé de retenir le mot de passe imposé. Mais c’est quelques minutes valent mieux que les heures, voir les jours à courir pour bloquer l’ensemble des comptes (PayPal, DropBox, emails, forums, sites…) que vous aurez enregistré dans le matériel que vous aurez perdu, ou que l’on vous aura volé, piraté. Pour les possesseurs des téléphones le plus vendus du moment, Samsung, il suffit de se rendre dans l’option « Paramètres » > « Sécurité » > « Crypter« . N’oubliez pas, si vous équipez votre machine d’une carte sd, de chiffrer cette dernière. Récupérer cette dernière et la copier est un jeu d’enfant. Chiffrer le contenu rendra inutilisable les informations sauvegardées.
Passons ensuite, comme indiqué plus haut, aux outils de sécurité à installer dans vos précieux. Les antivirus proposés par G Data, McAfee, BitDefender, … font l’affaire. Il détecte les applications pouvant être piégés. Loin d’être négligeable, cette menace est annoncée comme étant la 1ere des malveillances en 2014. Vient ensuite la crainte de la perte/vol de votre matos. La version proposée par Avast! Permet aussi de recevoir une notification quand votre carte SIM a été changée. Pour le contrôle des fichiers que vous auriez à récupérer/stocker dans le Cloud (ce que nous trouvons aberrant et vous invitons à ne pas faire, Ndr) des outils comme VirusBarrier permettent de scanner les documents sauvegardés sur DropBox, iDisk, et WebDAV.
Lookout Mobile Security est une application gratuite qui protège vos appareils iOS ou Android. Il permet de protéger son matériel et, en version payante, de sauvegarder vos contacts en programmant des sauvegardes automatiques. Si vous perdez votre téléphone, Lookout permet de le localiser sur une carte Google – même si le GPS est désactivé. L’application permet aussi d’activer une alarme sonore – même si votre téléphone est en mode silencieux. La fonctionnalité qui permet de verrouiller à distance le matériel est un plus non négligeable. L’outil BullGuard Mobile Security propose le même type de service. Pour les smartphone, le chien de garde propose aussi une protection pour la carte SIM. IHound propose, lui aussi, de suivre l’appareil à distance. Il permet de verrouiller le téléphone ou la tablette. IHound utilise le GPS de votre téléphone pour le suivi de l’appareil. Il comprend une alarme qui peut être déclenchée par une notification push. Fonctionne même quand le silencieux est enclenché. Sur un appareil Android, vous pouvez également effacer à distance les données et verrouiller votre machine. Application payante.
Les anti-vols
Face à une attaque « physique » de votre téléphone, il existe aussi des parades. Quelqu’un tente de rentrer dans vos données. Pour cela il tombe nez-à-nez avec votre clavier dédié au mot de passe. Les applications GadgetTrak (iOS) et LockWatch (Android) vous enverrons, par eMail, la photo de votre « curieux » et sa position géographique, via une carte Google.
Je finirai par deux outils indispensables pour la sécurité de votre vie numérique: Authy et Google Authenticator. Deux applications qui permettent de générer des clés demandées lors d’une double authentification pour Google, Facebook, Twitter, et même vos sites web (sous WordPress). Sans les chiffres fournis par l’un de ces outils de validation, même votre mot de passe demandé ne servira à rien. Parfait en cas de vol de ce dernier. Nous vous expliquons, pour votre compte Facebook, l’intérêt de la double identification.
Pour finir, pensez aussi à vos connexion web hors vos murs. Une protection VPN est loin d’être négligeable. Elle permet, quand vous êtes en déplacement, de chiffrer, de rendre illisible à une potentielle interception, vos informations (emails, mots de passe, téléchargement, …). Il existe des applications VPN simples et efficaces pour tablettes, smartphones et ordinateurs.
Cette liste est loin d’être exhaustive, elle a surtout pour mission de vous faire tendre l’oreille, de vous inciter à vous pencher sur vos doubles numériques, sur leur sécurité et la maitrise de ces matériels qui n’étaient encore que de la science-fiction, voilà 10 ans. N’oubliez jamais que vous devez contrôler vos machines… et pas le contraire !
Début décembre dernier, le Washington Post faisait parler un ancien agent du FBI au sujet de l’espionnage numérique pratiqué par les services d’enquêtes étatiques de l’Oncle Sam. Le papier du journal américain indiquait que le FBI était capable de déclencher à distance la webcam intégrée à l’ordinateur d’un suspect. Une cybersurveillance « sans allumer le la diode de connexion qui indique l’état de marche de ma caméra« . Une révélation qui n’en est pas une. La pratique est connue depuis… 20 ans.
Comment est-ce possible ?
Il y a une vingtaine d’année sortait sur le web, par le biais d’un groupe de hacker nommé The Cult of the Dead Cow (Le culte de la vache morte) un logiciel d’espionnage baptisée Back Orifice. Cet « outil », que l’on nomme aujourd’hui RAT, Rootkit, permettait de prendre la main sur un ordinateur connecté et préalablement piégé par Back Orifice. Bref, un cheval de Troie. Nous sommes alors en 1998.
Si B.O. se voit, aujourd’hui, comme un gros bouton sur le nez, il utilise de base le port 31337 (elite), de très nombreux autres espiongiciels exploitent et utilisent des fonctions d’espionnages allant de la capture de votre écran (selon une durée données, ndr), enregistre le son tiré du micro connecté, de la webcam, des frappes effectuées sur le clavier, les actions de la souris. D’autres options permettent d’activer un téléchargement de certains fichiers (doc, excel, …). Les options sont plétoriques. Pour cela il faut, cependant, que la machine de la « cible » soit piégée. Qu’un « client » du rootkit soit installé dans le PC, le mac, la tablette, le téléphone de la personne à espionner.
Comment s’en protéger ?
Aujourd’hui, la majorité des ordinateurs, des téléphones portables smartphones, des tablettes sont équipés de base d’une webcam et d’un micro. Pour les activer à distance, il faut cependant piéger le matériel. Des chercheurs de l’Université Johns Hopkins ont démontré le « truc » en exploitant la webcam d’un MacBook. Sur PC/MAC, plus besoin aujourd’hui d’un Rootkit d’un trojan à la Back Orifice. Un plug-in dans un navigateur suffit. Il faut pour cela convaincre la victime de l’installer, chose, soyons très honnête, simple comme bonjour. Les fausses mises à jour Java, Flash, vidéo, … les choix pour les espions sont nombreux. Les fausses mise à jour d’application, comme les publicités piégées, peuvent aussi suffire.
Protégé sur MAC ? En 2012, le trojan FlashBack faisait ses emplettes sur la toile à partir de 550.000 machines. Sur tablettes et smartphones, le danger est encore plus grand. Les « mobiles » sont greffés à nos mains. Les téléchargements malveillants peuvent être facilités par des outils que ne maitrisent pas les utilisateurs. Selon Trend Micro, en 2014, les applications malveillantes pour Android franchiront le cap des 3 millions. Se protéger, déjà, en mettant à jour ses outils ; en ne téléchargeant pas tout et n’importe quoi. En ne gardant pas des logiciels obsolètes. Pour rappel, l’arrêt du support de logiciels répandus tels que Java 6 et Windows XP rendra des millions de PC vulnérables aux cyber-attaques l’année prochaines. 76% des entreprises sont encore sous Windows XP (9 machines sur 10 pour les machines de bureaux, et 6 sur 10 pour les portables – Spiceworks).
Connexion ou pas !
Comment un malware peut-il voler des données d’un système infecté qui n’a pas de connexion à l’Internet ? Impossible ? Des chercheurs allemands de l’Institut Fraunhofer ont mis pourtant au point un « code » capable de transmettre des données en utilisant des sons inaudibles à l’oreille humaine. Le « Trojan » peut voler des données ou des frappes confidentielles en utilisant un haut-parleur et un microphone de base. Si la sécurité est de ne pas connecter un ordinateur aux contenus sensibles sur le web, voilà une méthode d’infiltration qui remet à plat l’idée de confidentialité. Pour s’en protéger, couper les enceintes de votre ordinateur. Si vous couplez cela au « mouchard » légal de Google qui se cache dans votre smartphone [voir], la cyber surveillance est globale.
Bref, vous l’aurez compris, la cyber surveillance par webcam, ou autres « options » de nos machines ne date pas d’hier. Et le FBI, la DCRCI, le GCQH britannique ne sont pas les plus gros utilisateurs. A moins que vous soyez un terroriste en devenir, un cybercriminel officiant dans une bande organisée, peu de risque d’être filmé, fliqué, espionné. En France, faut-il le rappeler, les policiers, gendarmes, ont la possibilité (article 57 du code de procédure pénale) d’analyser les données d’un ordinateur saisi lors d’une visite des « amis du petit déjeuner ». Avec l’accord d’un juge, depuis la loi Loppsi 2, les policiers peuvent aussi piéger l’ordinateur d’une cible. La police judiciaire peut « mettre en place un dispositif technique ayant pour objet, sans le consentement des intéressés, d’accéder à des données informatiques, de les enregistrer, les conserver et les transmettre, telles qu’elles s’affichent sur un écran » explique l’article 706-102-1.
Il faut craindre, car gros consommateurs de ce genre d’outil, les escrocs du web. Ils n’ont aucune régle législative à respecter. Le FBI à le 4ème amendement ; la France, les lois, les députés, … Comme le montre ZATAZWeb.tv dans son émission du mois de juin dernier S2E6, les espions et maîtres chanteurs de l’Internet exploitent les outils d’espionnage pour rançonner toutes les personnes qui leur passent entre les mains. Avec des dégâts humains, financiers et psychologiques bien plus graves qu’un potentiel espionnage de 007.
Le Parti Pirate s’inquiète fortement de l’adoption mardi 10 décembre par le Sénat de la loi de programmation militaire et en particulier des articles 13 et suivants, relatifs à la surveillance. Il appelle à manifester samedi 21 décembre à 15h place de la République à Paris pour dénoncer les dérives des démocraties et honorer les lanceurs d’alertes et tous celles et ceux qui résistent.
La loi de programmation militaire contient en effet pour nous Pirates une atteinte grave aux libertés individuelles en France, qui n’est pas sans rappeler les mesures « d’exceptions » votées aux États-Unis qui durent depuis plus de douze ans. Elle élargit sensiblement les pouvoirs des services de renseignement en omettant sciemment toute garantie démocratique et juridique.
En effet, les administrations pourront désormais surveiller n’importe qui sans autre prétexte qu’une vague suspicion de délit, se permettant ainsi d’écouter les conversations, de surveiller les déplacements et de manière générale, d’épier et d’enregistrer sans limite nos moindres mots, faits et gestes sans même la consultation d’un magistrat. Délibérément flou, ce texte permet au gouvernement de placer tout citoyen dans un état de surveillance permanent.
Cette loi s’inscrit dans la continuité des lois LOPPSI, grâce auxquelles l’État a pu mettre en place en France, de vastes réseaux de vidéosurveillance dont de récentes affaires nous ont largement démontré l’inutilité en matière de sécurité du public. Ainsi, sacrifiant les libertés individuelles sur l’autel de la paranoïa sécuritaire, le gouvernement français suspecte les citoyens qu’il a le devoir de protéger. Cette loi en rend caduque une autre qui, pourtant, a été si fondamentale qu’elle est longtemps aller « sans dire » : Article 9 du code civil : « Chacun a droit au respect de sa vie privée.»
« Pour qu’on ne puisse abuser du pouvoir, il faut que, par la disposition des choses, le pouvoir arrête le pouvoir.[…] Tout serait perdu, si le même homme, ou le même corps des principaux, ou des nobles, ou du peuple, exerçaient ces trois pouvoirs : celui de faire des lois, celui d’exécuter les résolutions publiques, et celui de juger les crimes ou les différends des particuliers. » Montesquieu, L’Esprit des Lois.
Même son de cloche pour la Quadrature du net. Une grave atteinte aux libertés et aux droits fondamentaux entérinée au Parlement. Malgré l’importante mobilisation citoyenne et les nombreuses critiques [1] exprimées à son encontre, le Sénat vient d’adopter le projet de loi [2] relatif à la programmation militaire et ses dangereuses dispositions sans aucune modification. Cette adoption conforme par les sénateurs met un terme au travail parlementaire sur ce texte : seul le Conseil constitutionnel peut à présent empêcher l’application de ces dispositions attentatoires aux libertés fondamentales des citoyens. La Quadrature du Net appelle solennellement les parlementaires à déposer une saisine du Conseil constitutionnel pour que ce dernier se prononce sur la conformité de cette loi à la Constitution. ***
En adoptant le projet de loi relatif à la programmation militaire pour les années 2014 à 2019 sans aucune modification, les sénateurs viennent de mettre un terme aux travaux législatifs du Parlement sur ce dossier. Malgré les nombreux avertissements exprimés tant par les organisations citoyennes [3] que par des autorités publiques [4], le texte adopté aujourd’hui permet :
– la capture en temps réel d’informations et de documents (qui « peuvent être recueillis sur sollicitation du réseau et transmis en temps réel par les opérateurs aux agents mentionnés ») auprès aussi bien des hébergeurs que des fournisseurs de service.
– de requérir ou capturer des « informations ou documents traités ou conservés par leurs réseaux ou services », et non plus seulement des données de connexion.
– l’élargissement de la liste des administrations qui peuvent requérir ces interceptions ou captures, par exemple au ministère de l’économie et du budget.
– l’élargissement des finalités de ces mesures à la sauvegarde du « potentiel scientifique et économique de la France » et à la prévention « de la criminalité ou de la délinquance organisées ».
À ce stade de la procédure, seul le Conseil constitutionnel peut encore empêcher l’application de ces mesures ouvrant la porte à une surveillance généralisée des informations et communications sur Internet. Celui-ci ne pourra examiner la constitutionnalité du texte adopté cet après-midi qu’avec une saisine de 60 parlementaires, du Premier Ministre, ou du Président de la République. La Quadrature du Net appelle solennellement les élus des deux chambres du Parlement à entendre l’appel des citoyens, et à déposer au plus vite une demande de contrôle de constitutionnalité.
« Dans le contexte des révélations d’Edward Snowden sur l’espionnage massif et généralisé des citoyens, il est choquant de voir le Parlement adopter un texte qui entérine l’état d’exception et permet de violer la vie privée des citoyens. Les élus doivent entendre l’appel de la société civile et saisir le Conseil constitutionnel avant l’application de ces mesures attentatoires aux libertés fondamentales» déclare Philippe Aigrain, cofondateur de La Quadrature du Net.
* Références *
1. https://www.laquadrature.net/fr/pcinpact-surveillance-du-net-deluge-de-contestations-contre-le-patriot-act-francais
2. http://www.assemblee-nationale.fr/14/ta/ta0251.asp
3. Par exemple par l’AFDEL, la Fédération internationale des droits de l’Homme, ou La Quadrature du Net.
4. Notamment par le Conseil National du Numérique et la CNIL.
Vous avez un smartphone dans votre poche ? Voici comment vous suivre à la trace… et avec votre consentement ! Google cache dans ses services une option aussi dingue qu’effrayante. Elle permet de suivre n’importe quel internaute, à la trace. Pour cela, rien de plus simple. Avoir un smartphone, si possible sous Android, et un compte gMail (ou Youtube, ou tout simplement chez Google). Le materiel dans votre poche fait le reste.
Comme le montre ma capture écran ci-dessous, on peut suivre les déplacements, jour par jour, heure par heure. Comme l’indique Google dans sa page dédiée : « L’accès aux données de localisation dans l’application Paramètres Google est disponible sur les appareils équipés de la version 4.1 à 4.3 d’Android. L’historique des positions et la mise à jour de la position sont disponibles dans l’application Paramètres Google sur les appareils équipés d’Android 4.0 ou version ultérieure sur lesquels l’application Google Maps pour mobile version 7.0 ou ultérieure est installée. » Le plus fou est que cette page existe depuis longtemps comme le confirme Telcrunch.
Comment se prémunir ?
Pour faire disparaitre ce mouchard, vous pouvez contrôler la manière dont les applications Google utilisent votre position à l’aide d’un simple paramètre, sans que cela ait un impact sur l’accès des applications tierces. Pour ce faire, procédez comme suit : D’abord dans le menu des applications de votre appareil, sélectionnez Paramètres Google ; puis dans un second temps vous appuyez sur la case à côté de l’option Données de localisation. Le paramètre est désactivé lorsque la coche disparaît. Attention, ce paramètre n’a d’incidence que sur les applications Google. Si vous le désactivez, les services Google proposés en dehors des applications et les applications autres que Google pourront déterminer votre position via votre appareil. Vous souhaitez regarder ce que possède Google sur vous, vos adresses, vos balades … (et la NSA aussi) ? direction Location History.
Effacer les traces ?
Data Security Breach a cherché comment effacer cet historique. Heureusement, il est possible de le supprimer. Direction l’application « Paramètres Google » accessible depuis le menu des applications de votre appareil, ou sur le site Web correspondant. Dans le menu des applications de votre appareil, ouvrez l’application Paramètres Google : Appareils équipés d’Android 4.3 ou version antérieure : appuyez sur Position > Historique des positions. Appareils équipés d’Android 4.4 : appuyez sur Position > Services de localisation > Mise à jour de la position Google > Historique des positions.Appuyez sur Supprimer l’historique des positions en bas de l’écran.
Sur le site web, sélectionnez une date pour laquelle vous disposez d’un historique. Ensuite, pour l’historique complet : sélectionnez Supprimer tout l’historique pour supprimer l’intégralité de l’historique enregistré. Par date : sélectionnez Supprimer l’historique de ce jour pour supprimer l’historique correspondant à la date sélectionnée. Sélectionnez une plage de dates, puis l’option Supprimer l’historique enregistré pour cette période, pour supprimer l’historique correspondant à l’ensemble des jours sélectionnés. Par position : sélectionnez un lieu dans la liste ou sur la carte. L’info-bulle vous permet de supprimer cette position de votre historique.
Voici quelques conseils techniques et de bon sen pour éviter de voir partir son compte Facebook dans les mains d’un malveillant. Des techniques efficaces et simples à mettre en place. L’intérêt pour un pirate de mettre la main sur votre compte Facebook est multiple. La rédaction de DataSecurityBreach.fr a pu en recenser 10.
D’abord, la curiosité pure et simple. Que se cache-t-il dans les messages privés que vous pouvez diffuser à vos amis. Pas bien méchant, mais malsain. Ensuite, le malveillant classique, celui qui va usurper votre identité pour ventre de faux crédits à la consommation. Il diffuse, via votre compte, de fausse proposition financière.
Vient ensuite le vendeur de médicaments, de fausses marques, de faux comptes pour console de jeux (la grande mode en ce moment est de vous offrir, pour du faux, des accès au PSN de Sony). Mettre la main sur votre compte Facebook peut aussi servir à de vrais escrocs, celui qui expliquera à vos abonnés que vous êtes perdus au fin fond de l’Afrique, de l’Asie ou de l’Amérique du Sud et que de vous (lui) envoyer de l’argent, via Paypal, vous (lui) permettra de rentrer chez vous.
Les trois derniers cas, et pas des moindres, sont les plus nocifs. Le premier, diffuse des informations à vos amis (photos, fausses informations, …) Si vous souhaitez que cela cesse, le maître chanteur réclame de l’argent. Le second, des achats sous votre identité. N’oubliez pas qu’en prenant la main sur votre compte, le pirate connait tout de vous, du moins ce que vous avez pu sauvegarder dans l’administration de votre compte Facebook. Le pirate peut ainsi converser avec ses cibles, via votre adresse XXXX@facebook.fr. Je finirai par le compte servant de rebond à une attaque plus fine, plus pointue, comme la diffusion d’un virus, d’une page phishing, comme ce fût le cas pour l’Elysée ou d’une agence américaine. Ne pensez pas n’être qu’un anonyme sur la toile. Pour un pirate, nous sommes une star en devenir !
Comment se protéger
Première chose, évitez de cliquer sur n’importe quel lien qui vous passe sous la souris. Regardez bien les adresses web qui vous sont proposées. Si https://www.facebook.com ne débute pas l’url proposé, passez votre chemin. Autre élément important, votre mot de passe. On ne cesse de le répéter, mais il doit contenir au moins 12 signes : lettres (minuscules, majuscules), signes de ponctuations et chiffres.
Dans la partie « Sécurité » que vous trouverez en cliquant sur l’icône, en haut à droite, de votre page Facebook (puis sur compte), sélectionnez : « Navigation sécurisée ». Personne ne pourra plus intercepter votre mot de passe entre – Vous et Facebook -. Cela se traduit par le S du https de l’url indiqué plus haut dans cet article. N’hésitez pas à cocher l’option « Notification lors des connexions« . Cela vous permet d’être averti, par courriel, d’une connexion « pirate ». Loin d’être négligeable pour agir vite en cas de pépin.
Autres options indispensables, l’approbation de connexion et le générateur de code. Dans ce premier cas, votre smartphone vous offre une sécurité supplémentaire. Par SMS vous pourrez recevoir le code secret de secours qui vous rendra votre Facebook. La seconde option, le générateur de code, vous propose une série de chiffres uniques, toutes les 30 secondes, pour accéder à votre Facebook. En plus de votre mot de passe, le deuxième code devient indispensable pour vous connecter. Sans ces deux « sésames », le pirate ne pourra rien faire.
Je finirai avec les contacts de confiance. Je ne l’utilise pas, mais l’idée est intéressante. Elle permet de définir les amis qui peuvent vous aider à récupérer votre compte auprès de Facebook. S’ils vous connaissent, Facebook vous rendra votre bien… ou pas ! En cas de problème, il est toujours possible de contacter Facebook via la page dédiée : Compte piraté.
Le service secret américain aurait espionné à grande échelle les jeux vidéo en ligne tels World of Warcarft et le réseau Xbox Live. Edward Snowden n’en finit pas de sortir des documents tous plus fous les uns que les autres. Le dernier « truc » en date, diffusé par le journal britannique The Guardian, indique que la NSA aurait mis la main sur des millions d’informations de jeux en ligne. World of Warcarft et Second Life ont été montrés du doigt.
A noter que le Xbox Live serait aussi concerné. Il parait que la NSA aurait tenté de recruter des joueurs afin que ces derniers veillent aux discussions bizarres. Des propos de terroristes. Vue les commentaires tenus dans des jeux tels que Call of Duty, autant dire que la NSA a du se tirer une balle dans le e.pied. Enfin du moins si les informations de Snowden s’avérent vraies. Nous rappelons tout de même qu’il est l’unique source traitant des fuites de la NSA.
Cela expliquerait peut-être aussi la grande mode des jeux en ligne en mode cloud. Les informations sont ainsi sauvegardées hors PC et consoles, donc plus facilement accessibles. Alors, possible ? Il serait marrant de découvrir que la grande majorité des phishing World of Warcraft soient signés NSA ! En attendant, nous conseillons aux 007 locaux de surveiller MineCraft, nous y avons vu d’étranges constructions, en forme de cube !
L’éditeur de solutions de sécurité informatique Kaspersky Lab vient d’identifier un programme malicieux « capable d’attaquer n’importe quelle banque dans le monde », selon ses créateurs. D’après les experts Kaspersky Lab, plusieurs milliers de tentatives d’infection ont déjà été enregistrées et 28 sites bancaires sont pour le moment concernés, y compris en Allemagne, en Italie et en Turquie. C’est au mois de juillet de cette année que les chercheurs ont découvert l’existence de ce cheval de Troie bancaire après avoir vu une annonce pour la vente d’un nouveau cheval de Troie sur un forum clandestin. Le vendeur le présentait comme un bot privé capable d’attaquer près de 100 banques américaines via l’insertion d’un code dans les pages de leur site pendant le chargement dans différents navigateurs.
Baptisé Neverquest, ce trojan prend en charge pratiquement toutes les techniques connues et utilisées pour passer outre les systèmes de sécurité des banques en ligne : injection Web, accès système à distance, social engineering, etc. Au regard de sa capacité à se dupliquer, une augmentation rapide des attaques Neverquest est à prévoir, avec donc de nombreux préjudices financiers.
Serge Golovanov, expert chez Kaspersky Lab, signale que « ce programme malveillant est relativement récent et les individus malintentionnés ne l’utilisent pas encore à pleine capacité. Les individus malintentionnés peuvent obtenir le nom d’utilisateur et le mot de passe saisis par l’utilisateur et modifier le contenu de la page Internet. Toutes les données que l’utilisateur saisit sur cette page modifiée sont également transmises aux individus malintentionnés.«
L’argent volé est transféré sur un compte contrôlé par les individus malintentionnés ou, pour brouiller les pistes, sur le compte d’autres victimes. Vu les capacités de Neverquest en terme de diffusion automatique, le nombre d’utilisateurs attaqués pourrait augmenter sensiblement en un bref laps de temps.
Un pirate informatique réussi à infiltrer une agence américaine sensible en se faisant passer pour une blonde torride. Emily Williams, gentille, sexy, pas avare de cartes numériques envoyées de ses vacances. Une amie ? Pas vraiment. Des chercheurs en sécurité informatique Aamir Lakhani et Joseph Muniz ont expliqué lors de la conférence RSA Europe 2013 comment une agence américaine sensible, en charge de question de sécurité avait été infiltrée par un pirate, amateur de phishing particulièrement bien ciblé. De fausses cartes numériques de vacances piégées qui auraient permis de mettre la main sur les accès Facebook, LinkedIn ou encore SalesForce de fonctionnaires. Les deux chercheurs ont expliqué que leur attaque, pour du faux, avait permis de duper un employeur du gouvernement en lui faisant croire qu’elle était une employée gouvernementale. Le clic sur le javascript piégé aura fait le reste ! L’attaque « scientifique » aura durée 90 jours. Lakhani a refusé de préciser quelle agence du gouvernement avait été infiltrée et compromise par Mlle Williams.
Mercredi 27 novembre, l’Assemblée Nationale s’est prononcée sur la proposition de loi [1] dite contre le « système prostitutionnel ». Comme La Quadrature du Net les y invitait [2], les députés se sont opposés à l’extension de la censure administrative d’Internet. Néanmoins, ils ont entériné les nouvelles obligations qui, mises à la charge des hébergeurs, renforceront les formes de censure privée qui portent d’ores et déjà atteinte à la protection de la liberté d’expression sur Internet. ***
L’article 1er de la proposition de loi débattue aujourd’hui prévoyait de conférer à une autorité administrative le pouvoir de prononcer des mesures de censure du Net, sans l’intervention préalable de l’autorité judiciaire. Reprenant à la lettre les dispositions qu’avait introduites la LOPPSI en 2011 afin de combattre la diffusion de contenus à caractère pédopornographique, la proposition de loi visait à les étendre aux sites contrevenant aux dispositions pénales qui répriment le proxénétisme et la traite des êtres humains. Un tel ajout se révélait en l’espèce particulièrement inefficace et toujours aussi dangereux pour les libertés individuelles (voir la note [3] envoyée aux députés à ce sujet). La Quadrature du Net se réjouit donc que l’Assemblée nationale ait rejeté un telle extension, suite notamment au dépôt d’un amendement [4] de suppression par le gouvernement.
Néanmoins, ce même article 1er prévoit aussi de modifier l’obligation [5] imposée par la loi pour la confiance dans l’économie numérique (LCEN) aux hébergeurs de mettre en place un dispositif permettant à toute personne de signaler certaines catégories de contenus considérés comme particulièrement graves (apologie de crimes contre l’humanité, négationisme, pédopornographie), auxquels viendraient alors s’ajouter ceux considérés comme participant au « système prostitutionnel » [6]. Or, les hébergeurs sont par ailleurs pénalement responsables des contenus qu’ils hébergent dès lors qu’ils ont connaissance de ces derniers. Ainsi, tout dispositif de signalement ne peut que les inciter à retirer les contenus signalés, et ce afin d’éviter tout risque juridique. Une forme de censure privée, hors de tout cadre judiciaire et de toute garantie contre des atteintes injustifiées aux libertés fondamentales des citoyens.
Des amendements [7] présentés par les députés Serge Coronado (EELV) et Lionel Tardy (UMP) visaient à supprimer cette disposition pour limiter le risque de censure de contenus parfaitement licites qui auraient été signalés à tort. En lieu et place, une solution cohérente consisterait à encourager les citoyens à entrer directement en contact avec les services de police pour signaler les contenus leur paraissant constitutifs d’infraction via la plate-forme des pouvoirs publics prévue à cet effet (internet-signalement.gouv.fr). Ils n’ont malheureusement pas été entendus, ni par leurs collègues, ni par le gouvernement.
« Des deux formes de censure contenues dans cette proposition de loi, les députés ont choisi de rejeter celle qui violait de la manière la plus flagrante la liberté d’expression sur Internet. Mais en condamnant la censure administrative tout en s’obstinant à encourager la censure privée des contenus en ligne, les députés font preuve d’une absence de cohérence. Alors que d’autres projets de loi en cours d’examen au Parlement renforcent également la régulation extra-judiciaire du Net [8], le gouvernement et le législateur doivent mettre fin à cette fuite en avant répressive en instaurant un moratoire contre toute nouvelle disposition susceptible de porter atteinte aux droits fondamentaux sur le réseau. À l’image de l’initiative du Marco Civil [9] actuellement en discussion au Brésil, les pouvoirs publics doivent engager un large dialogue avec la société civile afin d’apporter des garanties législatives fortes en faveur des libertés publiques et des droits fondamentaux sur Internet » conclut Félix Tréguer, co-fondateur de l’association La Quadrature du Net.
* Références *
1. http://www.assemblee-nationale.fr/14/dossiers/systeme_prostitutionnel_renforcement_lutte.asp
2. https://www.laquadrature.net/fr/lutte-contre-le-proxenetisme-linacceptable-retour-de-la-censure-administrative-du-net
3. https://www.laquadrature.net/files/PPL%20prostitution%20-%20LQDN%20-%20suppression%20art1.pdf
4. http://www.assemblee-nationale.fr/14/amendements/1558/AN/56.asp
5. Article 6.I.7 alinéa 6 de la loi pour la confiance dans l’économie numérique adoptée en 2004 :
« Compte tenu de l’intérêt général attaché à la répression de l’apologie des crimes contre l’humanité, de l’incitation à la haine raciale ainsi que de la pornographie enfantine, les personnes mentionnées ci-dessus doivent concourir à la lutte contre la diffusion des infractions visées aux cinquième et huitième alinéas de l’article 24 de la loi du 29 juillet 1881 sur la liberté de la presse et à l’article 227-23 du code pénal. »
6. Article 1er de la proposition de loi renforçant la lutte contre le système prostitutionnel :
« L’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique est ainsi modifié :
1° Le 7 du I est ainsi modifié :
a) Au troisième alinéa, après le mot : « articles », sont insérées les références : « 225-4-1, 225-5, 225-6, » ;
[…] »
7. Amendement n°4 présenté par M. Tardy (député UMP de la 2ème circonscription de Haute-Savoie) et amendement n°57 présenté par M. Coronado (député EELV de la 2ème circonscription des Français établis hors de France)
8. Des dispositions en partie similaires à celles contenues dans cette proposition de loi sont également présentes dans le projet de loi sur l’égalité entre les sexes (extension des obligations de signalements incitant à la censure privée) et dans le projet de loi relatif à la consommation (donnant à la DGCCRF le pouvoir de demander au juge le blocage d’un site), tous deux également en cours d’examen à l’Assemblée.
9. https://www.laquadrature.net/fr/internet-a-besoin-dune-marco-civil-sans-compromis-au-bresil
Les eurodéputés demandent que l’IP-tracking soit reconnu comme une pratique commerciale déloyale. La Commission des affaires juridiques du Parlement européen a adopté aujourd’hui un rapport sur l’application de la directive 2005/29/CE sur les pratiques commerciales déloyales. Dans ce rapport, voté à l’unanimité, les parlementaires demandent aux États membres et à la Commission européenne une protection adéquate des consommateurs face à l’IP-tracking [1].
Françoise Castex se félicite que l’ensemble des groupes politiques aient soutenu son amendement visant à reconnaître l’IP-tracking comme une pratique commerciale déloyale. « C’est la preuve que le ras-le-bol est général face à ces pratiques inadmissibles qui touchent des millions de consommateurs européens! » déclare l’eurodéputée socialiste.
« Le Parlement souhaite mettre un terme à l’inaction de la Commission et des États membres« , estime Françoise Castex, qui avait saisi l’exécutif européen un janvier puis en juillet dernier [2]. « Nous demandons à la Commission européenne de se pencher sur ce phénomène bien connu des consommateurs et de proposer enfin un texte qui interdise ces pratiques commerciales sur le net. »
« À défaut, nous demanderons à la Commission européenne une révision de la directive 2005/29« , conclut la Vice-présidente de la Commission des Affaires juridiques du Parlement européen.
[1] Méthode utilisée par un opérateur et qui consiste, lorsqu’un usager effectue une recherche de billets, à enregistrer cette recherche et l’associer à l’adresse IP du terminal utilisé. Si l’usager n’achète pas immédiatement, et se décide un peu plus tard, l’opérateur ayant gardé en mémoire l’intérêt manifesté par l’usager pour ce trajet, propose alors un prix un peu supérieur, ceci afin de susciter l’achat immédiatement en laissant penser à l’internaute que le nombre de places diminue et que le prix augmente.
[1] Françoise Castex avait saisi la Commission européenne le 29 janvier 2013 par une question avec demande de réponse écrite (http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+WQ+P-2013-000873+0+DOC+XML+V0//FR&language=fr) et interpellé le Commissaire à la protection des consommateurs lors de sa prise de fonctions le 2 juillet: http://www.francoisecastex.org/2013/07/ip-tracking-francoise-castex-saisit-le-nouveau-commissaire-croate.html
[1] Méthode utilisée par un opérateur et qui consiste, lorsqu’un usager effectue une recherche de billets, à enregistrer cette recherche et l’associer à l’adresse IP du terminal utilisé. Si l’usager n’achète pas immédiatement, et se décide un peu plus tard, l’opérateur ayant gardé en mémoire l’intérêt manifesté par l’usager pour ce trajet, propose alors un prix un peu supérieur, ceci afin de susciter l’achat immédiatement en laissant penser à l’internaute que le nombre de places diminue et que le prix augmente.
[2] Françoise Castex avait saisi la Commission européenne le 29 janvier 2013 par une question avec demande de réponse écrite (http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+WQ+P-2013-000873+0+DOC+XML+V0//FR&language=fr) et interpellé le Commissaire à la protection des consommateurs lors de sa prise de fonctions le 2 juillet: http://www.francoisecastex.org/2013/07/ip-tracking-francoise-castex-saisit-le-nouveau-commissaire-croate.html
La Commission européenne doit adopter mercredi 27 novembre un texte dans lequel il est clairement indiqué qu’elle continuera à travailler étroitement avec les services de renseignement américains. Dans ce document de travail, il est souligné que la Commission européenne ne suspendra pas les transferts controversés de données personnelles vers les Etats-Unis, et ce malgré les révélations d’Edward Snowden et les demandes répétées des parlementaires relatives à la protection de la vie privée. En particulier, la Commission ne veut pas suspendre l’accord Swift-TFTP comme l’a réclamé le Parlement européen dans une résolution du 23 octobre dernier. Elle rejette également toute révocation de l’accord «Safe Harbour», permettant l’utilisation commerciale des données personnelles des Européens par les sociétés américaines.
Francoise Castex ironise: « C’est la façon qu’a la Commission de lancer la campagne des européennes! Déjà en 2008, lors de l’adoption du paquet Telecom, Viviane Reding nous avait fait le coup[1]. Votez ce que vous voudrez, on n’en tiendra pas compte! » Avant d’ajouter, plus sérieusement: « C’est un très mauvais signal envoyé aux électeurs qui n’en finissent plus de se demander à quoi sert l’Europe! ». Pour l’eurodéputée socialiste: « Après ACTA et le TTIP, Barroso se fait une nouvelle fois le supplétif des intérêts américains. » L’élue gersoise conclut: « Le rôle de la Commission européenne est de défendre le projet européen, pas de le vendre!«
[1] Le 24 septembre 2008, quelques heures après l’adoption de l’amendement 138 sur le paquet Telecom, Viviane Reding avait annoncé que la Commission européenne ne reprendrait pas cet amendement pourtant voté par 80% des parlementaires, avant de se rétracter.
A lire, le document de la Direction Générale des Politiques Internets du Parlement Européen sur Les programmes de surveillance des Etats-Unis et leurs effets sur les droits fondamentaux des citoyens de l’UE.
Les cyberattaques sont plus sophistiquées que jamais et les techniques de hacking ne cessent d’évoluer, de se renouveler. Aujourd’hui, force est de constater que la menace ne provient plus exclusivement de l’extérieur. Au sein d’une organisation, les utilisateurs sont à la fois victimes et potentiels « cybercriminels » notamment dans le cadre de leur usage des réseaux sociaux.
Les bonnes pratiques de l’usage des réseaux sociaux au bureau
Afin de réduire les risques d’attaques et de renforcer la sécurisation des données, les entreprises doivent former les employés aux bonnes pratiques de l’usage des réseaux sociaux au bureau ; de nombreux utilisateurs ont un comportement à risque par manque de sensibilisation et/ou parce qu’ils ne mesurent pas les dangers qu’ils font prendre aux organisations. Pourtant, les menaces les plus importantes proviennent surtout des sites professionnels tels que LinkedIn ou Viadeo, qui sont des sources intarissables d’informations à très forte valeur ajoutée sur les entreprises pour les hackers.
Ceux-ci ont accès en « libre-service » à un très grand nombre d’informations sur l’activité de l’entreprise qui leur permettent de récupérer des données sensibles. Les réseaux sociaux professionnels sont, en effet, le point d’entrée à des informations sur les employés, leur rôle dans l’entreprise, leurs fonctions quotidiennes, voire les nombreuses informations sur les outils de sécurité utilisés et les problématiques auxquelles ils ont été exposés. Les hackers utilisent actuellement l’ensemble des vecteurs à leur disposition : ils peuvent également pirater des informations professionnelles via un terminal personnel lorsque l’employé utilise ses propres outils (BYOD) ou travaille de chez lui à partir de son ordinateur personnel. Aujourd’hui, les brèches de sécurité sont progressives et permettent aux pirates de s’introduire dans les systèmes informatiques de la manière la plus discrète possible pour collecter le maximum d’informations et accéder petit à petit aux données les plus critiques.
Le Community Manager, danger insoupçonné
Le Community Manager a un rôle clé dans une entreprise puisqu’il gère son image et sa présence sur les réseaux sociaux. Il ne s’agit pas tant de ses privilèges (qui sont finalement peu élevés) que de son impact sur l’image et la communication officielle de l’entreprise sur les médias sociaux. Le détournement de ce type de compte est aujourd’hui une cible privilégiée de groupes cherchant à nuire à l’image d’une société ou à profiter de sa notoriété pour passer des messages non sollicités ou diffuser des informations confidentielles. Par ailleurs, lorsqu’un salarié quitte l’entreprise, il doit rendre ses clés, son badge mais les employeurs ne pensent pas nécessairement à changer ses mots de passe. Or, un Community Manager ou autre employé mécontent qui quitte l’entreprise emportant avec lui identifiants et mots de passe pourrait également lui nuire sans difficultés – tout salarié d’une entreprise est susceptible de conserver ses données de connexion après son départ de la société.
Prenons l’exemple récent de l’affaire PRISM, il ressortirait que l’ancien analyste de la NSA, Edward Snowden, aurait accédé à des informations extrêmement confidentielles grâce aux identifiants de connexion de plusieurs de ses collègues, qu’il aurait convaincu de lui fournir en prétextant un travail qu’il devait faire, en tant qu’administrateur du système informatique. Ce type de comportements peut avoir des conséquences catastrophiques sur l’économie d’une entreprise et engendrer des dommages collatéraux durables (perte de clients, impact sur le cours des actions en bourse pour les sociétés cotées, retrait d’investisseurs/business angels…).
De l’importance d’appliquer et transmettre les bonnes pratiques
Les cyberattaques sont une réalité pour tous et les entreprises comme les employés doivent prendre conscience que chaque individu est une porte d’accès aux données sensibles d’une société. Pour ce faire, les organisations peuvent appliquer plusieurs règles simples et peu coûteuses afin de renforcer la sécurisation des informations :
[dsb] Sensibiliser les utilisateurs au fait que le risque existe et qu’ils doivent adopter un comportement de méfiance vis-à-vis d’informations en provenance de l’extérieur, mais également de l’intérieur – le fait de partager un simple mot de passe avec un collègue, peut aussi être considéré comme un comportement à risque.
[dsb] Identifier la source et le parcours des hackers afin de paralyser l’attaque et le retrait de données sensibles.
[dsb] Mettre en place des solutions de détection pour alerter les personnes responsables de l’entreprise qu’un compte sensible est en cours d’utilisation (peut-être frauduleuse) afin de favoriser une intervention rapide.
[dsb] Identifier et sécuriser les comptes à privilèges au sein des entreprises, premières cibles des attaquants puisque souvent méconnus et négligés.
En conclusion, pour parer au maximum à ces « failles humaines », employés et entreprises doivent redoubler de vigilance pour un usage plus réglementé des réseaux sociaux professionnels et privés. Commentaire d’Olivier Prompt, Regional Sales Engineer, Northern Europe & Africa chez Cyber-Ark Software pour Data Security Breach.
Quoi de plus sympathique qu’un bon gros phishing pour mettre la main sur les données privées et sensibles d’une cible. Les services secrets de sa gracieuse majesté britannique, le British Intelligence Agency GCHQ (Government Communications Headquarters) aurait utilisé de fausses pages du portail professionnel communautaire Linkedin pour mettre la main sur des données ciblées.
Une information que le magazine allemand Der Spiegel a révélé après l’analyse de documents secrets du GCHQ que l’ancien « analyste » Edward Snowden aurait volé. La première attaque connue visait le gouvernement belge et Belgacom, l’opérateur de télécommunication. Une fois le visiteur piégé par la fausse page Linkedin, un logiciel espion s’installait dans l’ordinateur des cibles de la GCHQ. L’objectif aurait été d’accéder au système de routeur GRX exploité par BICS pour intercepter le trafic téléphonique.
C’est quand même dingue de voir comment ces services secrets peuvent être bavards, dans leurs bureaux ; Ca n’étonne personne de savoir qu’un simple analyse « du privé » puisse accèder à autant d’informations variées !
En attendant, pour répondre aux écoutes probables de la NSA du trafic data de Yahoo! et Google, les deux géants de l’Internet viennent d’annoncer qu’ils allaient protéger leurs données internes. La CEO de Yahoo!, Marissa Mayer, a indiqué que les connexions de son groupe seraient désormais chiffrées.
Le pic de ces envois a été enregistré dans la première moitié de novembre 2013. BackDoor.Caphaw est capable de voler les identifiants d’accès aux comptes en ligne et d’autres données sensibles stockées sur la machine infectée. Il exploite les vulnérabilités des navigateurs (par exemple les packages d’exploits BlackHole), et se copie sur les supports amovibles et réseau.
Depuis la deuxième quinzaine d’octobre 2013, les attaquants utilisent Skype pour distribuer le Trojan BackDoor.Caphaw. Le pic de la propagation, selon DrWeb, a été enregistré entre le 5 et 14 novembre 2013. Les attaquants envoient des messages via Skype en utilisant les comptes des utilisateurs déjà infectés. Les messages incluent un lien vers une archive portant le nom invoice_XXXXX.pdf.exe.zip (où XXXXX est un ensemble aléatoire de chiffres). L’archive contient le fichier exécutable du Trojan BackDoor.Caphaw.
Après son lancement, le Trojan sauvegarde sa copie dans un dossier d’application comme un fichier, avec un nom aléatoire, et modifie la clé du Registre chargée du lancement automatique des applications. Afin de faire face aux tentatives d’être étudié, ce Trojan possède un mécanisme de détection de lancement sur une machine virtuelle.
Suite à son installation, le Trojan BackDoor.Caphaw essaie de s’intégrer dans les processus en cours et de se connecter à un serveur des attaquants. Ce Trojan surveille l’activité de l’utilisateur et détecte les connexions aux banques en ligne. Dans ce cas, BackDoor.Caphaw peut injecter du contenu malveillant et intercepter les données entrées dans différents formulaires.
Une autre de ses fonctions est l’utilisation de la caméra et l’enregistrement, sur la machine infectée, de vidéos en streaming, afin de le transmettre au serveur des attaquants sous la forme d’une archive RAR. En outre le BackDoor.Caphaw peut télécharger depuis le serveur distant des composants additionnels et les lancer. Par exemple, des modules pour rechercher et transmettre aux attaquants les mots de passe des clients FTP ou créer un serveur VNC. Il existe également un module MBR bootkit, capable d’infecter des secteurs d’amorçage etc. Enfin, il existe un module pour l’envoi automatique de liens malveillants via Skype. Les utilisateurs doivent rester prudents et éviter de cliquer sur les liens reçus dans les messages via Skype, même si ces messages proviennent de leurs connaissances, car leurs ordinateurs peuvent être déjà infectés par le BackDoor.Caphaw.
« Fitness, netteté de l’objectif, une considération attentive de con de la question de l’échelle ainsi que la beauté et de l’art et de l’unité coupons » c’est par ces quelques mots que la page 10386, mais aussi des centaines d’autres, de l’espace « Courrier International » du site officiel de La Poste (laposte.fr) s’ouvre aux regards des internautes étonnés par ce charabia bien loin de l’univers de la société Française.
Derrière le lien « Suivre vos envois« , un pirate informatique spécialisé dans la diffusion de publicités illicites vantant, la plupart du temps, les médicaments contrefaits. Dans le cas de Laposte.fr, du viagra, la petite pilule bleue qui fait rougir maman et durcir papa… ou le contraire ! La rédaction de Data Security Breach a recensé plusieurs centaines de fausses pages. Ici, une injection d’un texte n’ayant ni queue, ni tête, sauf quelques lignes exploitant des mots clés que les moteurs de recherche, Google en tête, reprendront sans sourciller. Aucun blocage des moteurs de recherche, d’autant plus que les phrases sont diffusées par un site très sérieux. Google and Co n’y voient que du feu. Les pages ranks des sites pirates, et donc leur visibilité, sera plus forte encore grâce à des alliés ainsi manipulés.
Bref, si les mots « viagra acheter » ; « viagra au meilleur prix » ou encore « achat viagra le moins cher online viagra prescription » apparaissent dans vos sites, inquiétez-vous. Vous servez de rebond à des vendeurs de contrefaçons de médicaments.
Un piratage qui pourrait faire sourire, sauf que l’injection n’installe pas qu’une seule page. Chaque phrase dirige l’internaute vers d’autres pages « La Poste », avec autant de nouvelles phrases et des villes comme Lyon, Montpellier, … Finalité pour le pirate, plus le site comportera ses « liens » malveillants, plus il sera aperçu, ensuite, par les moteurs de recherche, donc les internautes potentiels acheteurs. Il suffit de taper « Viagra » et « Laposte » pour comprendre l’épineux problème. Les liens proposés par les moteurs de recherche dirigent, dans un premier temps vers le site de Laposte.fr, pour être ensuite redirigé dans la foulée, sur les pharmacies illicites.
D’après les informations de zataz.com, l’injection a pu être possible via une vulnérabilité dans un CMS. En attendant, Google a intercepté, au moment de l’écriture de notre article, une dizaine de page… par mots clés. DataSecurityBreach est passé par le protocole d’alerte de son grand frêre pour alerter le CERT La Poste [HaideD 2668]. (Merci à @Stoff33)
Mise à jour : La Poste aura été totalement transparente au sujet de cette attaque informatique. Le CERT La Poste revient sur les actions menées et comment le pirate a pu agir : « Le site piraté est l’ancien site du courrier international (www.laposte.fr/courrierinternational ) que nous allions désactiver la semaine prochaine, explique le CERT La Poste à DataSecurityBreach.fr. Nous avons migré et réorganisé ses contenus sur le portail laposte.fr. Les contenus du courrier international sont aujourd’hui consultables sur http://www.laposte.fr/Entreprise/Courrier-international/. Nous réintégrons sur laposte.fr les contenus qui étaient disponibles sur d’autres sites. Cet exemple s’inscrit dans cette démarche. Les pirates ont apparemment réussi à rentrer par une faille du CMS Typo3 de l’ancien site web. Actuellement, l’ancien site est désactivé (pages incriminées inaccessibles) et tous ses fichiers sont archivés pour analyse dès demain matin.Nous activons notre réseau de correspondants chez Google pour demander un retrait des résultats de recherche (et du cache Google associé) le plus rapidement possible. » Un exemple qui démontre que les anciens CMS, qui ne sont plus exploités, ne doivent pas rester sur un serveur ; et que les mises à jour sont indispensables dans le cas contraire.
Après le piratage de 38 millions de clients de l’éditeur ADOBE, une étude montre que les mots de passe des piratés sont aussi ridicules qu’inutiles. A se demander si le piratage de 38 millions de clients ADOBE n’est pas un moyen de communiquer auprès des clients et entreprises utilisatrices des produits de l’éditeur de Photoshop, Adobe Acrobat, ColdFusion. Des chercheurs, qui ont été mettre la main sur les données diffusées sur un forum russe, ont analysé les mots de passe volés à ADOBE. Des précieux appartenant donc à ses clients.
Jeremi Gosney, chercheur chez Stricture Consulting Group révèle une liste des 100 mots de passe les plus utilisés. Autant dire qu’il y a des claques qui se perdent : 1,9 million de comptes utilisaient comme sésame : 123456 ; plus de 400 000 : 123456789. On vous passe les mots de passe « password« , « 12345678 » ou encore « adobe123« . Bref, avec de telle sécurité pas besoin de voler une base de données ! (Developpez)
