Archives de catégorie : Vie privée

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Mise à jour, Particuliers, Patch, Vie privée

Objets connectés : Le mot de passe reste la meilleure sécurité, si on s’en sert !

Un pirate a récemment mis en ligne sur un site russe des liens qui permettent de regarder en direct les vidéos de milliers webcams de particuliers et d’entreprises, dans plus de 250 pays. En se connectant au site, on peut voir en direct ce qui se passe dans une chambre d’enfants à Birmingham ou dans un magasin de vêtements à Aix En Provence. Comment cela est-il possible ? Une grande partie de ces utilisateurs auraient tout simplement oublié de changer le mot de passe par défaut permettant d’accéder au flux vidéo de leur webcam.

Ce nouveau piratage illustre les nouveaux défis de sécurité qui sont induits par le développement des objets connectés. Ces derniers, souvent regroupés sous l’appellation « Internet des objets » connaissent une croissance fulgurante. Le Gartner prévoit ainsi qu’en 2015 4,9 Milliards d’objets connectés seront en circulation. Qu’il s’agisse de votre maison (domotique), de votre corps (capteur d’activité, montres connectées, appareils médicaux), de votre voiture ou de vos vêtements, de nouveaux objets et services connectés sont inventés tous les jours. Ils collectent des données de votre quotidien, les interprètent via des logiciels en ligne et vous aident à améliorer différents aspects de votre vie : confort, santé, dépenses, performance, productivité…

Ces données qui partent dans le Cloud
Pour pouvoir vous aider au mieux et pour stocker toutes ces données collectées sur votre quotidien, ces objets communiquent généralement avec des logiciels hébergés sur des serveurs sur Internet, « dans le Cloud », accessibles via des identifiants et mots de passe, comme n’importe quel site web. Mais cela n’est pas sans danger car si les français digitalisent leur vie quotidienne, ils n’adoptent pas pour autant les comportements de sécurité en ligne qu’ils ont dans la vie réelle. L’étude IFOP réalisée pour Dashlane en 2012 l’avait montré : Alors que 100% des français mettent leur ceinture de sécurité en voiture, 42% utilisent encore le même mot de passe sur plusieurs sites. Et pourtant, c’est une règle de base que d’utiliser un mot de passe différent par site web…

Et alors ?
Beaucoup minimisent sans doute le risque : on pense que lorsque l’on se fait pirater son compte email ou sa carte bancaire,  il y a toujours un moyen de réinitialiser son compte ou d’annuler les transactions frauduleuses réalisées avec la carte. Il n’y a pas « mort d’homme ». Maintenant imaginez-vous ce que peut être un piratage à l’heure de l’Internet des objets : une webcam pour surveiller vos enfants qui s’éteint toute seule, une voiture automatisée qui ne s’arrête plus, des données médicales modifiées qui conduisent à un traitement inapproprié, un pacemaker ou une pompe à insuline qui se mettent à fonctionner anormalement… Ce ne sont plus uniquement nos comptes en banque ou notre vie privée qui sont menacés, c’est notre intégrité physique et celle de nos proches.

Certains prennent ces menaces très au sérieux. Par exemple l’ancien Vice-Président américain Dick Cheney est en effet allé jusqu’à se faire opérer pour retirer les possibilités de connexion sans fil de son Pacemaker, par crainte d’un piratage potentiellement mortel. Solution radicale mais qui a le mérite d’être efficace. La sécurité en ligne n’est plus uniquement une question d’argent ou de confidentialité. Avec l’explosion des objets connectés c’est maintenant une question qui va concerner nos proches, notre intimité, notre santé, notre vie quotidienne dans toutes nos activités.

La nature du risque a changé. Il y a encore quelques années, pour les consommateurs, les risques associés au monde digital étaient limités à cet objet encombrant posé sur leur bureau, l’ordinateur. On se protégeait de ces risques à l’aide d’antivirus, d’anti spam, de firewall….Aujourd’hui, le risque s’est déplacé vers le Cloud : nos données personnelles y sont stockées et c’est aussi par-là que des hackers peuvent prendre le contrôle des objets connectés. Le seul rempart qui protège nos données et nos objets dans le Cloud, ce sont nos mots de passe. Ne l’oublions pas ! (Par Emmanuel Schalit, CEO de Dashlane)

Argent, Arnaque, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Particuliers, Phishing, Piratage, spam, Vie privée

Phishing : quand le chiffrement s’invite dans les liens

Le phishing est une menace majeure, qui accroît de manière importante la méfiance d’un nombre croissant d’internautes dans leur utilisation d’Internet, notamment dans le cadre d’opérations sensibles telles que les opérations bancaires et le commerce électronique. Cette méfiance freine grandement le développement d’Internet en tant qu’espace de confiance et de sécurité. En réponse à ce problème, des efforts importants sont menés au quotidien par les principaux acteurs de l’écosystème numérique : généralisation des moyens de protection tant au niveau des messageries électroniques que des navigateurs, information et éducation des utilisateurs – menées en particulier par les marques dont la réputation est ternie par le phishing. Toutefois, en dépit de tous ces efforts, on constate une pérennisation – ainsi qu’une évolution – de cette menace.

En effet, d’une part, le spectre des marques concernées par le phishing s’est considérablement élargi. Il y a quelques années, un nombre relativement limité de marques était confronté à cette menace, au premier rang desquels on pourra citer PayPal, Apple ainsi que les grandes banques et les principaux services de messagerie. Dorénavant, tous les acteurs de l’écosystème numérique sont concernés : la totalité des banques – et même des banques de dimension régionale – les sites de commerce électronique, les services publics, les réseaux sociaux… Cet élargissement du spectre pose un nouveau défi, car d’une part cela rend la tâche de protection de l’utilisateur plus complexe, et d’autre part cela crée un climat d’insécurité numérique permanent.

D’autre part, on constate que les phishers utilisent des techniques de plus en plus sophistiquées pour contourner les mécanismes de filtrage mis en place pour protéger l’utilisateur. L’une de ces techniques consiste à encoder ou à chiffrer le contenu de la page, pour rendre son analyse par des systèmes automatisés plus complexe et plus coûteuse.

Par exemple, une proportion importante de pages de phishing ont leur contenu encodé en percent encoding : le contenu de la page est alors décodé à la volée en javascript par le navigateur du client par l’intermédiaire de la fonction unescape, ce qui n’affecte en rien l’expérience utilisateur. Le phishing est une menace particulièrement pernicieuse et par conséquent difficile à combattre, qui nécessite une vigilance de tous les instants. A ce titre, il est particulièrement important de continuer à informer et à éduquer les utilisateurs, car la réponse à cette menace ne peut pas être que technologique. En particulier, l’application de quelques règles simples permet de réduire considérablement les risques : l’utilisateur doit d’une part, toujours vérifier l’identité d’un site web dès lors que des informations critiques sont échangées, et d’autre part, s’assurer qu’une communication chiffrée est utilisée.

A noter que les acteurs du monde numérique collaborent pour lutter contre cette menace, avec des projets tels que APWG, Phishing Initiative ou encore isitphishing.org. Ce dernier permet d’ailleurs à l’utilisateur de s’assurer de l’innocuité d’une URL. (par Sébastien Goutal, Responsable du Laboratoire R&D de Vade Retro)

Android, Chiffrement, cryptage, Cybersécurité, Facebook, Identité numérique, Logiciels, Particuliers, Smartphone, Vie privée

Facebook sécurise WhatsApp à coup de chiffrement

Un commentaire

L’outil de conversation WhatsApp chiffre dorénavant les messages diffusés par ses utilisateurs. Voilà une nouvelle qui a de quoi étonner. Non pas que Facebook soit considéré comme un pirate, mais plutôt comme un aspirateur de données.

WhatsApp, la messagerie rachetée par Facebook se lance dans la grande aventure du chiffrement qui transitent par ses bits. Facebook vient d’annoncer un chiffrement de bout-en-bout, comprenez que même Facebook ne possède pas les clés de lecture. Whisper Systems, développeur de TextSecure, considéré comme étant l’application de messagerie la plus sécurisée du moment, a aidé à la mise en place de cette protection qui doit permettre aux internautes de chiffrer leurs messages. Bilan, la derniére mise à jour de WhatsApp pour Android transporte cette sécurité. Les 600 millions d’utilisateurs de WhatsApp vont donc apprécier cette attention. Attention, elle ne chiffre que les messages textes.

TextSecure est une application de messagerie qui vous permet de vous réapproprier votre vie privée tout en communiquant facilement avec vos amis. Avec TextSecure, vous pouvez communiquer instantanément tout en évitant les frais de SMS, créer des groupes pour discuter en temps réel avec tous vos amis à la fois, et partager des pièces jointes, photos ou autres en toute confidentialité. Le serveur n’a jamais accès à vos communications et n’enregistre aucune donnée vous concernant. (The Verge)

 

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, escroquerie, Espionnae, Fuite de données, Identité numérique, Leak, Particuliers, Piratage, Propriété Industrielle, Social engineering, Vie privée

Le paradoxe de la sécurité

Les salariés adoptent des pratiques à risques, alors qu’ils s’estiment sensibilisés sur la sécurisation des données.

Près de 3/4 des actifs interrogés se considèrent bien sensibilisés à la protection des données professionnelles, pourtant une majorité d’entre eux ont toujours des pratiques risquées. Les techniques de protection sophistiquées (changement de mot de passe régulier, système de cryptage des données) ne concernent qu’une moitié des actifs interrogés équipés d’un appareil mobile et seulement 30% disposent de ce type de protection sur l’ensemble de ces appareils fournis par leur entreprise. Le partage de fichiers en ligne via un service de cloud n’est pas jugé dangereux par la majorité des répondants (54%). Bien que les mots de passe soient imposés dans la majorité des entreprises (9/10), on observe de grandes disparités quant à leur élaboration et leur mise à jour, 63% laissent leur ordinateur allumé lorsqu’ils quittent le bureau en fin de journée ou ne le verrouillent pas en quittant leur poste.

De nombreuses études confirment l’influence des appareils mobiles sur le rétrécissement des frontières entre les sphères professionnelles et personnelles. Mais qu’en est-il de leur impact sur la sécurité des données des entreprises ? Les salariés sont-ils suffisamment sensibilisés sur les risques inhérents à ces nouveaux usages et mettent-ils en pratique les règles de sécurité ? Hiscox, en collaboration avec l’institut IFOP, s’est penché sur le sujet et les résultats de cette étude illustrent un important décalage entre le sentiment de connaître les consignes de sécurité et des pratiques à risques largement répandues dans les entreprises.

Des pratiques jugées sans risque par les salariés, mais qui exposent la sécurité de l’entreprise
72% des actifs interrogés se considèrent bien sensibilisés quant à la nécessité de protéger les données professionnelles. Ces actifs sont pourtant les mêmes à adopter des pratiques qui peuvent s’avérer dangereuses pour les données de l’entreprise. Les salariés équipés d’au moins un appareil mobile professionnel sont les plus concernés par ces pratiques risquées puisqu’ils sont 77% à déclarer transporter des fichiers professionnels sur une clé USB ou un disque dur externe (contre 63% pour l’ensemble du panel) et la moitié (53%) partage des fichiers en ligne via un service de cloud (contre 39% pour l’ensemble du panel).

Ces usages ne sont pourtant pas jugés risqués par les répondants : en effet, 54% estiment que le partage de fichiers via le cloud n’a pas d’incidence sur la sécurité et 57% ne voient aucun danger à transporter des données professionnelles sur une clé USB. De même, 63% des actifs laissent leur ordinateur allumé lorsqu’ils quittent le bureau ou ne le verrouillent pas en quittant leur poste. Moins de la moitié seulement perçoit cette pratique comme potentiellement imprudente.

Les petites entreprises plus vulnérables… Et friandes de solutions mobiles
Les salariés des petites entreprises (0 à 49 employés) font partie des publics qui identifient le moins ces pratiques comme pouvant mettre en péril la sécurité des données des entreprises. Des attitudes pourtant risquées quand on sait que les travailleurs « mobiles » et les salariés des très petites entreprises (moins de 10 salariés) sont également ceux disposant de la plus grande latitude en termes d’achats et d’opérations bancaires impliquant l’entreprise. 65% des employés travaillant dans des structures de moins de 10 salariés sont en effet amenés à effectuer des achats en ligne à titre professionnel contre 46% pour l’ensemble des actifs interrogés.

L’utilisation des appareils professionnels dans la sphère personnelle est un autre vecteur de menace pour la sécurité des données des entreprises. Les salariés des petites structures (moins de 10 employés) sont les mieux équipés en appareils mobiles. Ils font aussi partie de ceux  qui utilisent le plus leur matériel professionnel à titre personnel. 82% des salariés de ces entreprises se connectent à Internet au moins une fois par semaine pour des raisons personnelles à partir de leur appareil professionnel (contre 72% de l’ensemble des actifs).

Des usages qui pèsent d’autant plus sur la sécurité de ces entreprises qu’elles ne disposent pas de services informatiques ou de services généraux pour assurer le contrôle et la gestion des appareils mobiles.

Des disparités dans la mise en place des techniques de sécurisation
Pour se prémunir des risques auxquels elles sont exposées et assurer la protection de leurs ordinateurs fixes, 9 entreprises sur 10 s’appuient sur la mise en place d’un mot de passe. Cependant, la fréquence de mise à jour exigée n’est pas la même partout. Seuls 18% des actifs doivent changer leur mot de passe tous les mois quand 34% déclarent devoir le changer moins de 2 fois par an. Une disparité également observée dans son élaboration : 62% des entreprises imposent un nombre minimum de caractères, 56% demandent à leurs salariés de choisir un mot de passe incluant des chiffres et des caractères spéciaux et 57% interdisent de réutiliser un ancien mot de passe. De manière globale, 70% des entreprises imposent au moins une règle à leurs salariés pour le choix du mot de passe mais cette proportion chute à 51% dans les structures de moins de 10 salariés.

Parmi les autres techniques, 35% des actifs interrogés déclarent disposer d’outils de cryptage des données mais 22% ne savent pas s’ils peuvent bénéficier de cette technique dans leur entreprise. De même, si les accès au réseau sont contrôlés dans 61% des entreprises, 16% des actifs ne connaissent pas la politique utilisée par leur entreprise dans ce domaine.

Sur les appareils mobiles, le mot de passe est également le mode de protection le plus répandu. Il concerne en effet 81% des actifs disposant d’appareils mobiles. Les techniques plus sophistiquées (changement de mot de passe tous les 3 mois, système de contrôle d’accès renforcé de type Token, données cryptées non accessibles) ne concernent qu’une moitié des actifs interrogés équipés d’un appareil mobile et seulement 30% disposent de ce type de protection sur l’ensemble des appareils que leur fournit leur entreprise.

Au delà de revoir leur méthode de sensibilisation des salariés aux risques informatiques, les entreprises doivent également faire évoluer leurs dispositifs techniques de sécurité pour les adapter aux nouveaux usages.

« L’explosion des appareils et solutions mobiles dans les entreprises soulève plus que jamais des problématiques de sécurité importantes. La mesure préventive la moins onéreuse consiste à sensibiliser le personnel à l’importance de la sécurité des données. Les connaissances en la matière sont souvent limitées, surtout dans les petites entreprises, et le recours à un expert pour en expliquer les bases peut représenter l’un des meilleurs investissements d’une entreprise » conseille François Brisson, Responsable marché Technologie-Média-Télécom chez Hiscox. « Néanmoins en cas de problème, les sociétés doivent disposer d’un plan de réaction rapide afin de limiter les dommages et de prouver qu’elles prennent toutes les mesures nécessaires. Dans ce cadre, elles sontparfois amenées à faire appel à des spécialistes en gestion de crise, voire à des conseillers en relations publiques. Notre assurance Data Risks permet de couvrir ces coûts et de réduire les conséquences d’une violation de données ».

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, escroquerie, Espionnae, Fuite de données, Identité numérique, Vie privée

Configurer efficacement la double identification de son Dropbox

Un commentaire

Le 13 octobre 2014, un pirate informatique annonçait avoir mis la main sur plusieurs millions de comptes utilisateurs Dropbox.Voici comment protéger, au mieux, votre espace privé de sauvegarde.

Plusieurs listes ont été diffusées sur la toile, certaines étaient fausses. Pour éviter que vos données soient interceptées, via votre mot de passe intercepté par un pirate via de multiples possibilités (phishing, logiciel espion, fuite interne à l’entreprise, …) il est conseillé d’installer la double authentification. L’idée, recevoir un code de sécurité en supplément de votre mot de passe. Sans ce dernier, point de possibilité, même pour vous, d’accéder à vos informations. Voici la méthode pour installer efficacement la double authentification de votre dropbox. Nous vous proposons le même pas-à-pas pour Google, Youtube, gMail, ainsi que pour Facebook.

1 – Le site DropBox
D’abord se rentre sur la page dédiée double authentification de Dropbox. Comme le rappel Dropbox, la validation en deux étapes est une fonctionnalité facultative mais vivement recommandée. Elle ajoute un niveau supplémentaire de protection à votre compte Dropbox. Lorsqu’elle est activée, Dropbox exige un code de sécurité à six chiffres en plus de votre mot de passe dès que vous vous connectez à Dropbox ou que vous associez un nouvel ordinateur, téléphone ou tablette.

2 – Activation
Connectez-vous d’abord au site Web Dropbox. Attention, une seule et unique adresse (https://www.dropbox.com/login). Cliquez sur votre nom dans la partie supérieure droite de n’importe quelle page pour ouvrir le menu Compte. Dans ce menu, vous cliquez sur « Paramètres » et vous sélectionnez l’onglet « Sécurité« . Direction le lien « Validation en deux étapes » et vous l’activez. Il vous faudra votre mot de passe de connexion à DropBox pour valider la modification. Il vous suffit ensuite de suivre le pas-à-pas pour installer sur votre tablette/smarpthone l’outil de création de code de sécurité. Après avoir activé cette fonctionnalité, pensez à ajouter un numéro de téléphone secondaire doté d’une fonction de réception des SMS. Si vous perdez votre téléphone principal, DropBox vous communique un code de sécurité sur ce numéro de téléphone de secours.

3 – Sécurité dropbox
Une fois le système installé, il vous suffira de choisir le mode de réception de ce code de sécurité. Soit par SMS, soit une application tiers. Vous pouvez utiliser, par facilité et regroupement de vos autres doubles authentification, le logiciel gratuit proposé par Google, le Google Authenticator.

Identité numérique, Particuliers, Vie privée

Infidélité virtuelle : attention à vos emails

Infidèle par emails ? Oui, c’est possible. Une décision de la Cour de cassation a attiré l’attention en mai 2014. La Cour a en effet estimé que la fréquentation, par l’épouse, d’un site de rencontre, avec échanges d’emails et de photos intimes, était une « violation grave et renouvelée des obligations du mariage ». Et ce n’est pas la première fois que les tribunaux choisissent cette voie…

Inscriptions sur des sites de rencontres, échanges de mails tendancieux, conversations osées sur un tchat, envois de photos intimes… Les écarts de conduite sur Internet sont sanctionnés par les juges. Ce type de comportements, même si chacun reste derrière son écran, est considéré comme une faute entrainant un divorce aux torts exclusifs de l’époux internaute.

La dernière décision, datant du 9 mai 2014, semble avoir particulièrement marqué les esprits. Sans doute parce que les notions d’infidélité et de tromperie sont forcément rattachées à un rapport sexuel. Mais aussi parce qu’Internet, perçu comme un espace de liberté sans limite, voire déconnecté de la vie réelle, a été atteint par la logique jurisprudentielle.

Pourtant cette décision n’est pas la première et ne crée pas de révolution d’un point de vue juridique. Les tribunaux ont de nombreuses fois considéré comme une faute le batifolage sur Internet. Une inscription isolée sur un site de rencontre ne suffit pas à qualifier une faute. Mais la recherche manifeste de partenaires pour des échanges de fantasmes ou autre relation virtuelle constitue une faute. Certaines juridictions vont même plus loin : la Cour d’appel de Limoges a considéré, le 22 mars 2012, que la recherche d’un « réconfort intellectuel » sur des sites web est un comportement « injurieux » de l’époux.

Mais alors jusqu’où va l’infidélité ?
La notion est large et la jurisprudence exigeante envers les époux. Le devoir de fidélité est non seulement charnel, mais aussi moral et affectif. Prouver qu’il y a eu des relations sexuelles n’est pas toujours nécessaire dans un divorce pour faute. Un comportement équivoque, provoquant ou immoral peut suffire à constituer une infidélité. Plus encore, une relation platonique mais trop intime ou trop forte peut être une infidélité intellectuelle, et donc une faute. Et si l’infidélité n’est pas prouvée, ces comportements seront toujours qualifiés d’injurieux, violant le devoir de respect à son époux. Il ne faut pas seulement surveiller les mains baladeuses mais également les sentiments.

Internet facilite l’accès à la preuve
L’infidélité dématérialisée n’est donc une nouveauté que par l’aspect récent d’Internet. Ses ancêtres ont tout autant été limités : les recherches de partenaires dans des petites annonces, sur le minitel rose ou dans des clubs de rencontre ont aussi été sanctionnées. Internet ne sera donc pas le lieu de liberté des conjoints adultérins, malgré le business qui se développe pour cibler les époux en quête de relations extra-conjugales. Reste alors la question de la preuve : dans la procédure de divorce, comme dans toutes les procédures civiles, la preuve est libre. En d’autres termes, les tribunaux acceptent tout ce que l’époux lésé pourrait fournir : emails, contenus issus des réseaux sociaux, tchats ou SMS… Et ces échanges sur Internet créent une multitude de preuves écrites ! Pour se protéger de fouilles frénétiques sur son ordinateur, mieux vaut donc penser à effacer ses historiques de navigation. (Maître Romain Omer, Avocat du Barreau de Paris, pour DataSecurityBreach.fr)

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Leak, Propriété Industrielle, Vie privée

Comportements en matière de protection des données en Europe

77% des personnes interrogées doutent que leur entreprise respecte les lois relatives à la protection des données.

Sophos, l’éditeur spécialiste de la cybersécurité, a publié les résultats de sa toute dernière étude révélant les comportements des utilisateurs en matière de sécurité et de protection des données en Europe. Selon cette étude réalisée par Vanson Bourne, 84% des sondés pensent que l’Europe doit renforcer les lois relatives à la protection des données. Cependant, 77% doutent que leur entreprise soit conforme aux lois actuellement en vigueur. Il suffit d’ailleurs de lire les nombreuses révélations liées aux fuites de données, ici ou encore là, pour se dire que la victoire n’est pas pour demain.

Sur les 1500 professionnels interrogés en France, en Allemagne et au Royaume-Uni, une majorité a confirmé être inquiète pour ses données personnelles (79%) ainsi que pour les données de son entreprise (65%). Cependant, alors que 91% déclarent avoir installé un logiciel de protection de leurs données personnelles, seuls 59% sont équipés d’un antivirus. Par ailleurs, presque la moitié (49%) d’entre eux ont déclaré que leur entreprise n’avait pas mis en place de politique de protection des données, ou alors qu’on ne leur avait pas expliquée en détails.

Cette étude, dont le but premier était d’évaluer la compréhension et la connaissance des utilisateurs en matière de protection des données, dans le cadre du projet de nouveau règlement européen à venir, a permis de montrer que sur seuls 23% des personnes interrogées étaient convaincus que leur entreprise observait les règles actuellement en vigueur.

50% d’entre eux ont avoué ne pas savoir ce qu’est le chiffrement  (27%), ignorer si leur entreprise a mis en place des politiques de chiffrement (23%), ou que leur entreprise n’a rien mis en place dans ce domaine (20%). Seuls 23% ont confirmé que leur entreprise procédait au chiffrement des données des employés et des clients.

Sécurité des appareils mobiles
L’étude se penche également sur les comportements des utilisateurs en termes de sécurité des appareils mobiles. 98% des sondés, soit presque la totalité d’entre eux, sont d’accord sur le fait que les données stockées sont presque plus importantes que l’appareil mobile en tant que tel. Et pourtant, malgré cela, un quart de ces personnes ont avoué stocker des données d’entreprise sur leur ordinateur ou leur téléphone personnel ; quasiment 1 personne sur 5 (soit 19%) expliquant qu’elle avait déjà perdu un appareil mobile ou personnel par le passé.

Toujours en ce qui concerne la sécurité des appareils mobiles, alors que la majorité des entreprises des sondés (64%) avait mis en place des mots de passe pour protéger les mobiles, seules 31% des personnes équipées de téléphones d’entreprise savaient si ceux-ci étaient également chiffrés. Mis en comparaison avec les 51% possédant un portable d’entreprise et capables d’affirmer que celui-ci est bel et bien chiffré, ceci démontre bien que les mobiles sont désormais perçus comme vecteur de risque.

Le partage de données
La plupart des sondés pense que l’information est ce qu’il y a de plus important : 95% d’entre eux explique que, pour travailler correctement, ils ont besoin de partager, d’envoyer et d’accéder aux données de leur entreprise à partir de n’importe quel endroit ou système. Cette étude démontre également que 66% des sondés ne vérifient pas toujours s’il est prudent de partager ces données ou non. Par ailleurs, pour partager ces données plus facilement, 2/3 d’entre eux (soit 64%) sont prêts à passer par des services informatiques ou en Cloud « non autorisés » pour contourner les limites et les politiques de sécurité mises en place par leur entreprise.

On remarque également des attitudes différentes quant au stockage dans le Cloud, d’un pays à l’autre. Tous pays confondus, 31% des sondés déclarent que l’usage de solutions de stockage dans le Cloud, type Dropbox, est autorisé par l’entreprise. Cependant, ce pourcentage atteint 44% au Royaume-Uni, mais seulement 27% en France et 23% en Allemagne. En revanche, 11% déclarent ne pas être autorisés à utiliser des solutions de stockage dans le Cloud, mais le font quand même. De la même façon, ce sont bien les Britanniques qui partagent le plus de données dans le Cloud : ils sont 52% à le faire, alors que la France en compte 40% et l’Allemagne 34%.

Perception des lois relatives à la protection des données en Europe
61% des sondés déclarent qu’il est important de renforcer les lois autour de la protection des données et ce dans tous les pays européens. Ce pourcentage est ainsi réparti par pays : 68% pour les Français, 62% pour les Allemands et 54% pour les Britanniques. On note également des divergences d’opinion d’un pays à l’autre en ce qui concerne la sécurité des données personnelles : avec 86%, la France apparaît plus inquiète que le Royaume-Uni (78%) ou même l’Allemagne (74%). L’Allemagne apparaît particulièrement peu préoccupée par d’éventuels cybercriminels mettant la main sur des données (29%). En France, ils sont 49% à s’inquiéter de ce phénomène et 45% au Royaume-Uni. De la même façon, la France s’inquiète davantage de la protection des données d’entreprise (76%) contre 62% au Royaume-Uni et 59% en Allemagne.

Il est intéressant de noter que 60% des employés du Royaume-Uni déclarent que leur entreprise a mis en place des politiques de protection des données et que celles-ci leur ont clairement été expliquées, contre 43% en France et 50% en Allemagne. On note également que plus l’entreprise est importante en taille, mieux les employés sont renseignés sur les politiques de protection des données.

Gerhard Eschelbeck, directeur technique de Sophos explique à DataSecuritybreach.fr que « la cybercriminalité étant désormais partout, les grandes entreprises doivent s’assurer de la bonne mise en place de politiques de sécurisation des données, et ce pour mettre à l’abri les données d’entreprise, mais également celles de leurs employés. Cette étude montre clairement que même si la majorité des utilisateurs comprennent que l’information est stratégique et qu’il l’est tout autant de la protéger, ceux-ci sont malgré tout prêts à ignorer ces risques pour se faciliter la vie. Si les entreprises souhaitent lutter contre la cybercriminalité, elles doivent s’assurer de la pertinence et de la bonne mise en place des politiques de sécurité. Il ne s’agit pas uniquement de protéger les informations essentielles à l’entreprise, mais également de répondre aux besoins de ses employés. »

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Leak, Vie privée

Le Cloud en confiance : oui, c’est possible !

Volontaires, de plus en plus, pour adopter des solutions dans le cloud, de nombreuses entreprises restent freinées par l’absence de clarté autour de la sécurité de leurs données, en particulier les plus sensibles. Pourtant, la souplesse et la simplicité peuvent parfaitement cohabiter avec la sécurité dans le cloud.

Certains le qualifiaient de « buzzword ». Il faut dire qu’une déferlante sans précédent s’est abattue sur la presse spécialisée – et même un peu plus – autour du cloud. Mais force est de constater qu’au-delà de l’effet de mode, le cloud s’est bel et bien installé durablement sur le marché de l’IT en général, et dans les systèmes d’information des entreprises en particulier.

Il faut dire que le cloud tient ses promesses. Comparativement à une infrastructure en propre gérée par l’entreprise, le cloud est moins cher, plus souple et beaucoup plus simple : externalisée, l’infrastructure est louée et totalement administrée par le fournisseur de services cloud. Et s’adapte précisément aux besoins de l’entreprise, sans nécessiter d’investissements lourds au départ.

Seulement voilà, le cloud rencontre encore, dans de nombreux cas, un obstacle de taille : le manque de confiance. A tort ou à raison, les entreprises sont encore frileuses à l’idée de stocker et gérer leurs données, notamment les plus sensibles, à l’extérieur du périmètre de leur système d’information. Considérant à ce titre que leur propre système d’information est parfaitement sécurisé, ce qui est loin d’être toujours le cas.

Sensibles ou non : la gestion kafkaïenne des données
Les médias en font leurs choux gras : de nombreuses affaires de vols de données, d’intrusions sur les comptes d’autrui, etc., éclaboussent régulièrement des géants du Web. Apple et les photos de stars volées a été la dernière victime de cet acharnement médiatique. Résultat : les inquiétudes et le manque de confiance persistent. Car outre la protection des données, c’est aussi l’usage qui prime. Et les systèmes de sécurité peuvent être si contraignants qu’ils retardent ou restreignent l’adoption des solutions.

Pour éliminer ce risque, nombreuses sont les entreprises à avoir fait le choix d’un système d’information à deux vitesses. Et ventilé leurs solutions en deux catégories distinctes : celles qui hébergent des données sensibles et qui doivent nécessairement rester sur site d’une part ; et celles dont les données, moins sensibles, peuvent être externalisées vers le cloud d’autre part.

Mais cette gestion dichotomique des données ne va pas sans poser problème. Tout d’abord sur la qualification de la sensibilité des données : en tant que telles, les données d’une entreprise sont toutes plus ou moins sensibles. Et celles qui ne le sont pas pour un département de l’entreprise, peuvent l’être pour un autre.

Ensuite, parce que le système d’information des entreprises est nécessairement poreux, ne serait-ce qu’au travers des échanges avec leur environnement immédiat : clients, partenaires, fournisseurs, etc. Un cloisonnement strict des deux types de données est donc,  complexe et nécessite une classification précise des données.

Un référentiel pour gagner la confiance des entreprises
Conscients de ces questionnements quant à la confiance dans le cloud des entreprises, autant que des enjeux économiques que représente le cloud, des acteurs du secteur se sont réunis autour d’une table pour construire les outils de la confiance dans le cloud. Composé d’éditeurs et d’auditeurs spécialisés, et à l’initiative de l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information), représentant les pouvoirs publics, le consortium ainsi réuni a récemment publié un référentiel de « qualification de prestataires de services sécurisés d’informatique en nuage ».

L’objectif est clair : proposer un cadre à ces prestataires, et surtout une certification selon les critères de ce référentiel. En particulier autour des questions de sécurité : disponibilité, intégrité et confidentialité des données, mais également traçabilité des données et des actions entreprises.

Une certification qui permet dès lors aux entreprises d’être en pleine confiance auprès d’un prestataire de services cloud certifié : plus aucun besoin de s’interroger sur la sensibilité ou non des données. Si l’entreprise estime qu’une solution cloud est la réponse à son besoin, elle peut l’intégrer à son système d’information en toute confiance. Quels que soient les données, les départements de l’entreprise ou les processus (métiers, commerciaux, administratifs, financiers…) concernés. (Frédéric Fouyet, Directeur de l’Innovation et des produits et RSSI chez Oodrive)

Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Fuite de données, Leak, Piratage, Vie privée, Virus

Un nouveau botnet cible Mac OS X

Un commentaire

En Septembre 2014, les spécialistes de Doctor Web ont analysé plusieurs nouvelles menaces ciblant Mac OS X. L’une d’entre elles est un backdoor multifonctions ajouté à la base virale sous le nom Mac.BackDoor.iWorm. A ce jour, les statistiques indiquent qu’un peu plus de 17 000 adresses IP uniques de Mac sont infectées par ce malware.

Les pirates ont utilisé les langues C++ et Lua, ainsi que la cryptographie. Lors de son installation, le trojan se décompresse dans le dossier /Library/Application Support/JavaW, puis le dropper crée à la volée le fichier plist afin d’assurer le démarrage automatique du logiciel malveillant. Au moment du premier démarrage, le Mac.BackDoor.iWorm sauvegarde ses données de configuration dans un fichier séparé et essaie de lire le contenu du dossier /Library pour obtenir la liste des applications installées avec lesquelles le backdoor n’interagira plus. S’il n’a pas réussi à trouver les répertoires « indésirables », le bot reçoit à l’aide de fonctions systèmes le nom du dossier personnel de l’utilisateur Mac OS X sous le nom duquel il a été lancé, y vérifie la présence de son fichier de configuration et y enregistre toutes les données nécessaires à son fonctionnement.

Puis Mac.BackDoor.iWorm ouvre sur l’ordinateur infecté un port et attend une connexion entrante, envoie une requête à une ressource Internet pour une liste d’adresses de serveurs de gestion, puis se connecte à ces serveur afin de recevoir les commandes.

Il est à noter qu’afin de recevoir la liste d’adresses des serveurs de gestion, le bot se réfère au service de recherche reddit.com, en indiquant comme requête les valeurs hexadécimales des 8 premiers octets du hachage MD5 de la date actuelle. Selon les résultats de la recherche, reddit.com donne une page web avec la liste des serveurs de gestion de botnets et les ports que les pirates publient sous la forme de commentaires pour le sujet « minecraftserverlists » au nom d’utilisateur « vtnhiaovyd »: le Trojan essaie d’établir la connexion avec les serveurs de gestion en recherchant d’une manière aléatoire les 29 premières adresses de la liste reçue et envoie des requêtes à chacun d’eux. Il répète toues les 5 minutes les requêtes au site reddit.com afin de recevoir une nouvelle liste.

Lors de l’établissement de la connexion avec un serveur de gestion dont l’adresse est sélectionnée dans la liste à l’aide d’un algorithme spécial, le Trojan tente de déterminer si cette adresse est ajoutée à la liste d’exclusions, et partage avec le serveur un ensemble de données grâce auxquelles l’authenticité de l’hôte distant est vérifiée en utilisant une série de transformations mathématiques. Si la vérification est réussie, le bot envoie au serveur distant le numéro du port ouvert sur l’ordinateur infecté et son identifiant unique et attend les commandes.

Mac.BackDoor.iWorm est capable d’exécuter diverses directives selon les données binaires entrantes ou Lua-scripts. Les commandes de base du backdoor pour les Lua-scripts afin d’obtenir le type de système d’exploitation ; obtenir la version du bot ; obtenir l’UID du bot ; obtenir la valeur du paramètre du fichier de configuration ; indiquer la valeur du paramètre du fichier de configuration ; effacer les données de configuration de tous les paramètres ; obtenir la durée d’activité du bot (uptime) ; envoyer une requête GET ; télécharger un fichier ; ouvrir le socket pour la connexion entrante et exécuter la commande reçue ; exécuter la commande système ; faire une pause (sleep) ; ajouter le nœud selon l’IP dans la liste des nœuds  » interdits  » ; effacer la liste des nœuds  » interdits  » ; obtenir la liste de nœuds ; obtenir l’adresse IP du noeud ; obtenir le type de noeud ; obtenir le port du noeud ; exécuter le script Lua imbriqué.

Sur les 17 658 adresses IP enrôlées dans le botnet, les trois pays les plus touchés à ce jour sont les États-Unis avec 4610 adresses suivis par le Canada avec 1235 adresses puis le Royaume-Uni avec 1227 adresses.

backdoor, Cybersécurité, Espionnae, Fuite de données, Identité numérique, Logiciels, Microsoft, Propriété Industrielle, Sécurité, Vie privée

La version Bêta de Windows 10 communique vos frappes clavier à Microsoft

Alors que vous testez la nouvelle version de Windows, sous forme de bêta, Microsoft intercepte vos frappes clavier… pour votre bien.

Les internautes qui ont téléchargé la version bêta de Windows 10, la technical preview, n’ont pas intérêt à taper trop d’informations personnelles et sensibles au risque d’avoir une mauvaise surprise. Comme l’explique le « Privacy Statements for Windows Technical Preview » de WIN10, bref la notice d’utilisation du nouveau bébé de Microsoft, la voix, mais aussi les frappes claviers sont communiqués à Microsoft.

Microsoft collects information about you, your devices, applications and networks, and your use of those devices, applications and networks. Examples of data we collect include your name, email address, preferences and interests; browsing, search and file history; phone call and SMS data; device configuration and sensor data; and application usage.

Un espionnage qui a pour mission d’enrichir le fonctionnement des futures options de Win10. Microsoft indique à WinBeta que cette « absorption » d’information ne sera activée que dans cette version de « démonstration », Windows 10 définitif n’aura pas cette big brother attitude.

Il ne faut cependant pas se voiler la face. Une commande clavier ou manipulation extérieure pourrait réactiver la « fonction » magique dans la condition ou cette dernière est implantée d’origine dans Windows 10. A moins que Microsoft le retire du code source, mais ça, personne ne pourra le vérifier.

Identité numérique, Particuliers, Vie privée

L’Etat Français condamné par l’Europe pour atteinte à la vie privée

Un commentaire

Le Système de traitement des infractions constatées (STIC) vient d’être montré du doigt par l’Europe. La France condamnée à 3000€ de réparation pour avoir conservé des données de manière disproportionnée.

Dans un arrêt du 18 septembre 2014, la justice européenne des droits de l’homme a jugé coupable la France d’avoir violé l’article 8 de la convention européenne des droits de l’homme qui indique que « toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance ».

Comme l’indique Legalis, la cour européenne a stipulé que « l’État défendeur a outrepassé sa marge d’appréciation en la matière, le régime de conservation des fiches dans le STIC, tel qu’il a été appliqué au requérant, ne traduisant pas un juste équilibre entre les intérêts publics et privés concurrents en jeu. Dès lors, la conservation litigieuse s’analyse en une atteinte disproportionnée au droit du requérant au respect de sa vie privée et ne peut passer pour nécessaire dans une société démocratique. ».

Tout avait débuté après une dispute de couple. L’homme avait été fiché dans le STIC et avait réclamé que soient effacées les données après la conclusion « positive » de cette affaire familiale. La justice française avait refusé. Bilan, l’Europe condamne la France à payer 3.000€ de réparation à l’homme contrarié.

BYOD, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Vie privée

Le Wi-Fi peut-il garantir la sécurité de l’Internet des Objets ?

En matière d’Internet des Objets, on se satisfait souvent du fait que le système fonctionne, pourtant, la connexion physique et la sécurité inhérente sont des aspects non négligeables.  Le Wi-Fi est et restera le mécanisme de connexion prépondérant pour L’Internet des Objets, car l’infrastructure permettant de l’exploiter de façon sécurisée existe déjà. Les autres modes de connectivité, tels que le Bluetooth Low Energy, sont moins répandus, et donc plus difficiles à pirater. Chacun a son propre niveau de sécurité, mais nécessite la mise en place d’une infrastructure sous-jacente. Pour permettre le déploiement étendu de L’Internet des Objets grâce au Wi-Fi, il faut s’attaquer à d’importantes problématiques, parmi lesquelles la sécurité des réseaux.

Que ce soit à la maison ou en entreprise, tout le monde utilise un seul et même réseau sans fil et utilise la même clé pré-partagée afin de s’y connecter. Dans ce contexte, la problématique se situe dans le partage répété de cette clé, et donc dans la nécessité de définir le niveau de sécurité adéquat pour les nouveaux périphériques se connectant au réseau afin de ne pas devenir une proie facile pour les pirates.  L’important n’est pas la sécurité du réseau, mais celle des périphériques s’y connectant. Ces périphériques sont en général des appareils low cost, bien plus que les clients Wi-Fi traditionnels, et disposent de bien moins de fonctionnalités pour assurer leur protection et celle du réseau Wi-Fi auquel ils se connectent. Ces appareils doivent être facilement paramétrables, ce qui rend leur piratage plus simple, les identifiants utilisés pour accéder au réseau étant plus vulnérables.

Une équipe de chercheurs du cabinet de conseil Context Information Security a récemment pu confirmer ce risque en cherchant à démontrer la vulnérabilité des systèmes d’éclairage intelligent. En obtenant l’accès à l’ampoule principale, ils ont pu contrôler l’ensemble des ampoules connectées, et ainsi découvrir les configurations réseau des utilisateurs.

Généralement, ces ampoules et autres périphériques se connectent au réseau à l’aide d’une clé pré-partagée. Le problème au sein des réseaux sans fil traditionnels vient justement du fait qu’il n’y a qu’une seule clé : les organisations sont ainsi contraintes à créer un réseau Wi-Fi distinct pour chaque appareil à connecter à l’Internet des Objets. En outre, et comme l’ont démontré les chercheurs du cabinet Context, il est facile de découvrir une clé pré-partagée. Les identifiants étant potentiellement menacés, il apparaît donc logique qu’ils disposent de droits limités sur le réseau. Pourquoi ? La principale problématique avec l’Internet des Objets est la capacité des appareils à enregistrer des identifiants, surtout lorsque l’on considère tout ce que ces informations permettent de faire à l’arrivée, de la gestion de l’éclairage au contrôle autonome de la température par les réfrigérateurs, en passant par les équipements sportifs envoyant des informations personnelles à d’autres terminaux.

Si l’on utilise une clé pré-partagée pour se connecter au réseau, il faut alors que le réseau en question soit verrouillé et que les fonctionnalités de l’appareil soient limitées. En utilisant des clés pré-partagées privées, une organisation peut utiliser différentes clés pour ses différents appareils, et avec des droits spécifiques sur le réseau. Un groupe de clés pourrait ainsi être utilisé pour les accès en mode invité ou le BYOD, tandis qu’un autre pourrait permettre la gestion des bâtiments en s’appuyant sur une stratégie de pare-feu très contrôlée autorisant uniquement les changements effectués par les systèmes automatisés, et refusant ceux provenant de toute autre personne connectée au réseau. Les systèmes d’éclairage pourraient être contrôlés par un autre groupe de clés, avec éventuellement une stratégie de pare-feu propre permettant aux employés d’ajuster l’éclairage en salles de réunion, mais pas dans les couloirs.

Cette approche permettrait aux utilisateurs de disposer de milliers de clés pré-partagées différentes pour un seul réseau et avec différents profils de connexion, y compris via des pare-feu et des réseaux locaux virtuels. Dans ce scénario, si l’intégrité d’une ampoule venait à être compromise, la menace ne pourrait s’étendre aux autres, car la clé pré-partagée utilisée pour l’une n’aurait pas les privilèges nécessaires pour cela. La menace liée à cette compromission serait par conséquent limitée.

Il est également absolument essentiel que les informations d’identification utilisées n’aient qu’une faible utilité pour tout individu piratant le réseau. Il est donc nécessaire de disposer d’une méthode d’authentification et d’identification des appareils simple et sécurisée. En autorisant les périphériques sur le réseau et en leur fournissant un accès approprié à leur catégorie, les organisations doivent pouvoir gérer la menace une fois l’intégrité des identifiants compromise, afin de s’assurer qu’ils ne présentent qu’une valeur limitée pour toute personne s’en servant pour  découvrir et pirater le réseau.

La méthode la plus évidente pour cela serait de placer les certificats sur les appareils afin de bien les authentifier, mais il s’agit là d’une approche coûteuse et complexe. Pour éviter ces inconvénients, les entreprises devraient alors préférer l’utilisation de différents réseaux pour leurs différents types d’appareils, ce qui représenterait un gaspillage de temps et de ressources, davantage de complexité pour l’utilisateur, ainsi qu’un ralentissement des performances globales. Il faut donc pouvoir surmonter cet obstacle plus simplement afin de s’assurer que tous les périphériques soient gérés de façon sécurisée depuis un point d’accès. En matière de Wi-Fi, l’Internet des Objets est le BYOD d’aujourd’hui, et les organisations rencontrent exactement les mêmes problèmes sur le plan de  la sécurité.

À mesure que ce système s’affirmera comme la nouvelle vague en matière de réseaux, l’industrie trouvera un certain nombre de solutions afin de résoudre ces problèmes. Mais il faut cependant garder en tête que l’Internet des Objets va changer et se développer, et que dans ce contexte, il  sera difficile de s’assurer que l’infrastructure puisse faire face à différents scénarios en même temps. Bien que l’on s’intéresse aujourd’hui aux failles de sécurité de l’Internet des Objets en matière de gestion des bâtiments et d’interfaces personnelles d’accès au réseau, il reste cependant un large éventail de scénarios relevant également de l’Internet des Objets dans d’autres secteurs, tels que l’automobile et les infrastructures. Une fois que nous aurons pris en compte ces types de scénarios, les problématiques en matière de sécurité se feront plus nombreuses, et les solutions permettant d’y faire face revêtiront un caractère de plus en plus urgent. (Par Benoit Mangin, Directeur Commercial Europe du Sud, Aerohive pour datasecuritybreach.fr)

Adobe, Arnaque, backdoor, Cyber-attaque, Cybersécurité, escroquerie, Espionnae, Fuite de données, Leak, Microsoft, Phishing, Piratage, Vie privée

Google et Doubleclic exploités dans une diffusion malveillante

La méthode est connue, utilisée depuis des années : des pirates exploitent les réseaux publicitaires pour diffuser des codes malveillants dans les ordinateurs des visiteurs de site Internet. Des cyber-criminels ont exploité la puissance de deux réseaux de publicité en ligne pour infecter et infiltrer des millions de potentielles victimes.

Lors de vos visites sur le site web, des publicités peuvent s’afficher. Des pirates informatiques ont rapidement compris le potentiel intérêt de ces supports pour diffuser leurs malveillances informatiques. Il y a quelques jours, les réseaux de DoubleClick et de l’agence de publicité Zedo, affiliée à Google, ont diffusé des publicités malveillantes qui avaient pour mission d’installer un logiciel espion dans les ordinateurs des visiteurs.

Un récent rapport publié par les chercheurs de la société Malwarebytes suggère que les cybercriminels ont pu profiter d’affiches piégés sur un certain nombre de sites web, y compris le Times d’Israël, le Jérusalem Post et encore le  site de streaming musical Last.fm.

L’attaque a été détectée à la fin du mois août dernier. Depuis, des millions d’ordinateurs ont probablement été exposés au code malveillant Zemot. Un microbe que les antivirus mis à jour détectent les yeux fermés. Google a confirmé l’attaque et a fermé l’ensemble des serveurs permettant la diffusion des publicités piégées. Ce qui est intéressant, dans ce cas, est la facilité déconcertante qu’ont eu les pirates à pirater les administrations de diffusion, à installer leurs publicités et à permettre la mise en ligne sans que personne ne puisse s’en inquiéter.

Les pirates ont exploité de nombreux sites supports, les publicités renvoyaient sur ces espaces. Des sites qui déclenchaient ensuite l’installation d’un kit pirate. Beaucoup de sites étaient basés au Pays-Bas (.nl), Suisse (.ch) et quelques pays de l’Est.

Zemot a été détecté, pour la première fois, en novembre 2013. Rien qu’en juin 2014, Microsoft annonçait 45.000 machines piégées ; plus de 35.000 en juillet, 27.000 en août. Zemot se concentre sur des ordinateurs exécutant Windows XP, mais il peut aussi infecter les systèmes d’exploitation plus modernes s’exécutant sur des machines tournant en x86 et 64 bits. Zemot est conçu pour contourner la sécurité d’un système avant d’infecter les ordinateurs avec des logiciels malveillants supplémentaires.

Cybersécurité, Logiciels, Microsoft, Vie privée

Vidéo surveillance sans fil pour la Xbox de Microsoft

Lors de l’IFA, plus grand salon d’appareils électroniques grand public au monde, la société Smartvue Corporation a présenté un matériel assez étonnant pour la console de salon de Microsoft, la XBOX.

L’objet se nomme Homevue, une solution de vidéo surveillance dans le cloud conçue pour la boite verte du géant américain. Un système de caméra sans fil plug and play. Il enregistre des vidéos HD dans le cloud qui peuvent être visionnées directement à partir de la Xbox, ou à distance depuis n’importe quel ordinateur, smartphone ou tablette sans frais mensuels supplémentaires – même lorsque la Xbox est éteinte. « Les joueurs peuvent effectuer une partie tout en gardant un œil sur leur bébé endormi, ou en vérifiant qui est à la porte d’entrée » indique l’entreprise. Homevue sera disponible à partir du mois de janvier 2015. Il est possible de pré-commander via Kickstarter pour 99 $.

Arnaque, escroquerie, Facebook, Fuite de données, Identité numérique, Leak, Particuliers, Phishing, Vie privée

Cinq millions de comptes gMail piratés : Seulement ?

La semaine dernière, on nous refaisais le coup de la base de données « super » importante, piratée. Après le pseudo milliard de mots de passe qui n’étaient rien d’autre que l’accumulation de mails interceptés par des « piratins » à grand coups de phishing et attaque de BDD iSQL, voici venir une autre société qui met la main, dans un forum de black Market, sur une base de données de 5 millions de présumés clients gMail.

Google explique que ces comptes proviennent d’attaques de type filoutage. Un grand nombre des identifiants étaient sans danger car vieux, et les mots de passe changés depuis des lustres. N’empêche, cette accumulation rappelle que Google propose, comme Microsoft, Facebook, … la double authentification de son compte et que la protection est loin d’être négligeable. Vous pouvez découvrir le fonctionnement de ce genre de sécurité dans l’article dédié à la double authentification pour votre site web ou pour vos applications Internet.

A noter que la société Know’em propose de savoir si vous êtes victimes de cette « fuite » de 5 millions de comptes gMail en allant sur un espace web dédié : securityalert.knowem.com.

Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Leak, Linkedin, Vie privée

Réseaux sociaux : la nouvelle porte d’entrée des cybercriminels dans les entreprises ?

Aujourd’hui, la cybercriminalité est de plus en plus importante et organisée. Nous sommes loin de l’époque du pirate solitaire qui envoyait des malware du fond de sa chambre. Le phishing, par exemple, a prospéré au cours des dernières années.

Les cybercriminels utilisent des méthodes de plus en plus sophistiquées de phishing pour cibler les entr eprises, ce qui entraîne non seulement une perte de crédibilité des entreprises mais aussi et par conséquent une perte de clients et de bénéfices. La priorité première pour entreprise, cible d’une attaque via le phishing devrait être la protection de ses clients. Mais de nos jours, ce n’est pas aussi facile qu’il y paraît. La disponibilité des informations personnelles via les réseaux sociaux a rendu la tâche plus facile pour les cybercriminels. Il est maintenant aisé pour eux de produire des messages de phishing de plus en plus convaincants avec les informations qu’ils arrivent à trouver sur Internet. Des informations mises en ligne par des utilisateurs qui deviennent des proies faciles. Dans le même temps, les entreprises de toutes tailles ne parviennent pas à éduquer leurs utilisateurs sur le fait d’être constamment vigilants, en particulier dans leurs activités personnelles en ligne.

L’exemple de LinkedIn
Au cours de ces derniers mois, plusieurs articles ont mentionné un nouveau mode d’attaque phishing via LinkedIn. En fait, l’une des meilleures méthodes pour toucher une entreprise avec une attaque ciblée consiste à envoyer un simple email LinkedIn. Une enquête récemment réalisée a révélé que les attaques dissimulées dans les invitations LinkedIn avaient un taux de clics deux fois plus élevé. Il y a un nombre toujours croissant de faux profils sur LinkedIn, et c’est l’un des plus gros problèmes de ce réseau social. Ces comptes peuvent être utilisés pour espionner les entreprises, phénomène que nous appelons le « Social Klepto ». D’après une enquête menée récemment : par rapport à des sites tels que Facebook ou Twitter, LinkedIn est le réseau social le moins bloqué (20%); et c’est aussi le réseau social qui comprend le moins d’utilisateurs se sentant en danger sur le site (14%). Ces chiffres nous montrent que la population a plus confiance en LinkedIn qu’en d’autres medias sociaux.  Il n’est donc pas surprenant que les invitations LinkedIn aient un taux de clics plus important que les demandes d’ajout en ami de Facebook ou les invitations aux cercles de Google+. Afin de vous assurer que vous utilisez LinkedIn de la manière la plus sûre possible, lisez bien les points suivants.

Vérifiez vos paramètres de confidentialité LinkedIn
Tout comme la plupart des services gratuits, le site LinkedIn peut utiliser les informations de votre profil pour des recherches ou à des fins marketing à savoir pour de la publicité ciblée (comme Gmail et Facebook). Plusieurs paramètres par défaut et concernant la confidentialité du compte ont été choisis de sorte à ce que les utilisateurs reçoivent des emails marketing de la part de LinkedIn. La plupart des utilisateurs ne pensent pas à vérifier ces paramètres. Cependant, c’est en ne contrôlant pas ces paramètres qu’ils peuvent recevoir des courriers indésirables (spam). Il est donc essentiel pour les utilisateurs de vérifier leur profil, leurs paramètres de confidentialité et d’envoi d’emails sur leur compte LinkedIn afin de s’assurer que leurs données ne soient pas partagées avec des tierces personnes ou que leurs informations ne soient pas trop publiques. Globalement, décocher toutes les cases de la page ‘Préférences & Confidentialité’ est la meilleure des solutions, à moins de vouloir recevoir les emails de certains groupes LinkedIn spécifiques.

Prenez garde aux emails suspicieux d’invitation LinkedIn
Étant donné la nature de l’utilisation des réseaux sociaux dans un contexte professionnel et le fait que la population ait pris confiance en des noms tels que LinkedIn, cette méthode d’attaque est de plus en plus utilisée ces derniers temps. Comme toujours donc, évitez de cliquer sur les liens à l’intérieur de vos emails. Si vous recevez un email envoyé par LinkedIn, le mieux est d’aller visiter le site directement pour confirmer ces demandes plutôt que de cliquer sur le lien de l’email, et ce, même si vous connaissez la personne émettrice de la prétendue invitation. En suivant ces instructions, il y a de grandes chances pour que vous ne deveniez pas la dernière victime d’une fausse invitation LinkedIn. (Wieland Alge, vice-président et directeur général EMEA chez Barracuda Networks pour DataSecurityBreach.fr)

Argent, Arnaque, Cyber-attaque, Cybersécurité, DDoS, escroquerie, Fuite de données, Leak, Paiement en ligne, Vie privée, Virus

Un 2nd trimestre marqué par la découverte de menaces de plus en plus sophistiquées

Ce trimestre a été marqué par la découverte d’un « crypteur » mobile en libre circulation, vendu 5 000 dollars sur le marché noir, qui a déjà infecté 2 000 terminaux dans 13 pays en moins d’un mois.

Les autres faits marquants à retenir sont l’apparition d’un trojan prenant le contrôle à distance des mobiles Android et iOS via un outil d’espionnage « légal », et la découverte de la campagne MiniDuke APT, réplique de celle du début 2013, qui cible les entités gouvernementales, le secteur de l’énergie, les organisations militaires et les télécoms, et même les trafiquants de stéroïdes et d’hormones illicites.

Attaques sur le Web
·        354,5 millions d’attaques ont été lancées depuis des ressources en ligne disséminées dans le monde entier, soit 1,3 million de plus qu’au premier trimestre. Des chiffres à relativiser, ils ne concernent que les sondes de l’éditeur. Des changements ont eu lieu dans le classement des cinq premières sources d’attaques Web, puisque l’Allemagne est passée de la quatrième à la première place – ses parts augmentant de 12 points. Les États-Unis (22 %) ne sont plus premiers mais seconds après une chute de 6 points. 44 % des attaques Web neutralisées ont été perpétrées à l’aide de ressources Web malveillantes basées dans ces deux pays. Ils sont suivis par les Pays-Bas (+ 3 points au 2ème trimestre) qui se maintient à la troisième place, la Fédération de Russie (- 2,5 points) et le Canada (+ 6,3 points).

Menace mobile
·        À la fin du 1er trimestre 2014, la base de malwares mobiles comptait près de 300.000 échantillons. Au deuxième trimestre, cette base en compte 65 000 de plus. Android n’est plus désormais la seule cible des développeurs de malwares mobiles. En effet, les cybercriminels ont exploité les fonctions d’iOS, avec l’attaque sur Apple ID, qui bloque complètement le terminal. Les pirates demandent ensuite une « rançon » pour le déblocage de l’appareil. Ces nouveaux faits ont révélé les activités de HackingTeam, une société italienne qui vend un logiciel « légal » nommé Remote Control System (RCS). La dernière recherche montre qu’un certain nombre de modules malveillants ciblant les terminaux Android, iOS, Windows Mobile et BlackBerry proviennent de HackingTeam. Le module iOS permet à un assaillant d’accéder aux données stockées sur l’appareil, d’activer secrètement le microphone et de prendre des photos.

En mai, le premier « crypteur » mobile en circulation était mis à jour publiquement. Nommé Pletor, il bloque le téléphone sur la « visualisation de contenus pornographiques interdits », chiffre la carte mémoire du smartphone et affiche une demande de rançon. Le ransomware évolue. Au début du mois de juin, une nouvelle modification de Svpeng visait principalement les utilisateurs des États-Unis. Le trojan bloque le téléphone et demande 200 dollars pour le débloquer.

Menaces financières sur le Web
·        Les malwares ayant pour but de dérober de l’argent ont attaqué 927 568 ordinateurs au 2ème trimestre. Le chiffre de mai indique une hausse de 36,6 % par rapport au mois d’avril.
·        La plupart des attaques ont été enregistrées au Brésil, en Russie, en Italie, en Allemagne et aux États-Unis.
·        2 033 trojans bancaires mobiles ont été détectés au cours des trois derniers mois. Leur nombre a quadruplé depuis le début de 2014, et sur un an (depuis juillet 2013), ce chiffre a augmenté de 1450%.
·        Neuf familles de malwares financiers sur dix agissent en injectant un code HTML aléatoire dans la page Web affichée par le navigateur et en interceptant ensuite chaque donnée de paiement saisie par l’utilisateur dans les formulaires Web originaux ou insérés.

Contenus malveillants
·        60 millions de contenus malveillants uniques (scripts, pages web, exploits, fichiers exécutables, etc.) ont été détectés, soit le double du chiffre du 1er trimestre 2014.
·        Deux nouveaux programmes SWF à la mi-avril, confirmés ensuite par Adobe en tant que nouveaux Zero-day.
·        145,3 millions d’URL uniques ont été reconnues comme malveillants par les antivirus, soit 63,5 millions de plus qu’au trimestre précédent.

« Les six premiers mois de l’année ont montré, comme on le pressentait, une évolution du chiffrement des données des utilisateurs sur les smartphones. Les criminels font des profits en utilisant des méthodes qui se sont avérées efficaces sur les utilisateurs de PC. Il est évident que les individus derrière ces attaques sont motivés par l’appart du gain – comme le montre une forte hausse (14,5 fois) du nombre de trojans financiers au cours de l’année écoulée. Outre le profit, la course à la technologie de surveillance se poursuit sans relâche. Les modules mobiles d’HackingTeam ont montré qu’un terminal mobile pouvait être utilisé pour exercer un contrôle total sur tout l’environnement de l’appareil d’une victime, interne et externe » explique à DataSecurityBreach.fr Alexander Gostev, Chief Security Expert, Global Research and Analysis Team chez Kaspersky Lab.

Argent, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Leak, Vie privée

L’impact des failles de données sur la fidélité des clients

65 % des consommateurs adultes se déclarent peu enclins à poursuivre leurs relations commerciales avec des entreprises ayant subi une faille touchant aux données financières.

Selon une nouvelle étude de SafeNet, Inc., un des leaders mondiaux de la protection des données, les failles de données ont un impact significatif sur les relations commerciales qu’une marque peut entretenir avec ses clients. Il ressort en effet de cette étude réalisée auprès de plus de 4 500 consommateurs adultes dans cinq des plus grandes économies du monde (États-Unis, Royaume-Uni, Allemagne, Japon et Australie) que près des deux tiers (65 %) des personnes interrogées envisagent de ne plus jamais – ou très peu – entretenir de relations commerciales avec une enseigne ayant subi une faille de données doublée d’un vol de données financières (numéros de cartes bancaires, numéros de comptes bancaires et autres informations de connexion).

En parallèle, SafeNet annonce également aujourd’hui les résultats de l’étude Breach Level Index (BLI) du deuxième trimestre qui précise que 237 failles ont été recensées d’avril à juin 2014, impactant plus de 175 millions d’enregistrements à travers le monde. Les résultats de cette étude soulignent donc l’impact que les failles de données peuvent avoir sur la fidélité des clients et le business des entreprises. Les failles de données impliquant des informations personnelles identifiables sont considérées comme légèrement moins nocives pour les entreprises que les failles impliquant des données financières : seulement un peu plus de la moitié des personnes interrogées (57 %) indiquant ne plus jamais – ou très peu – entretenir de relations commerciales avec une entreprise ayant subi une faille de données de cette nature.

« Les failles de données ne sont pas seulement des failles de sécurité. Ce sont également des violations de la confiance entre les entreprises et leurs clients, qui peuvent écorner l’image de marque, entraîner un manque à gagner, des poursuites juridiques et des amendes potentiellement menaçantes pour la viabilité des entreprises. Pour les sociétés qui ne sont pas capables de gérer leur vulnérabilité en matière de sécurité, le problème ne fera qu’empirer : en effet, à mesure que les réglementations concernant la déclaration des failles de données deviendront plus strictes à travers le monde, les failles gagneront en visibilité auprès du grand public. C’est pourquoi les entreprises doivent tout faire pour protéger les données de leurs clients », a déclaré Tsion Gonen, directeur de la stratégie de SafeNet.

Dans les cinq pays concernés par l’enquête de fidélisation client, la répartition des personnes qui envisagent de ne plus jamais – ou très peu – entretenir des relations commerciales avec une enseigne ayant subi une faille de données, est la suivante :

États-Unis : 54 %
Royaume-Uni : 68 %
Allemagne : 53 %
Japon : 82 %
Australie : 72 %

Seulement la moitié des consommateurs estiment que les entreprises prennent la sécurité des données au sérieux. Selon les résultats de cette enquête, seulement la moitié des adultes interrogés estiment que les entreprises prennent la protection et la sécurité des données suffisamment au sérieux. Ce sentiment est susceptible d’avoir été influencé par le volume élevé de failles de données enregistré en 2014. Au cours du seul deuxième trimestre, les failles de données ont frappé de nombreuses entreprises renommées dont AOL, Dominos, eBay, Office et Spotify. Plus de 175 millions de dossiers clients renfermant des informations personnelles et financières ont été impactés à travers le monde.

« Face à l’augmentation de la fréquence et de l’ampleur des failles de données, il ne fait aucun doute que toutes les entreprises sont exposées à plus ou moins longue échéance. Les cybercriminels visent les cibles les plus faciles, et dans de nombreux cas, les données personnelles ne sont pas chiffrées. Les conséquences sont limpides : il est temps que les entreprises pensent à protéger davantage leurs données au moyen d’une solution de chiffrement forte et d’authentification multi-facteurs. Seules les entreprises ayant adopté une approche basée sur les « failles sécurisées » et ayant chiffré la totalité des données seront en mesure de conserver leurs clients en cas de faille de données », a conclu Tsion Gonen.

Chiffrement, cryptage, Cybersécurité, Espionnae, Facebook, Identité numérique, Vie privée

Piratage facile des données utilisateurs Instagram

2 commentaires

Une nouvelle vulnérabité, considérée comme critique, touche le jouet de Facebook, Instagram.

La faille permet à un internaute malveillant de mettre la main sur les informations des utilisateurs, dont le cookies de connexion. L’attaque peut se faire via les applications (sauf mobile, ndlr) du portail communautaire. Des logiciels qui n’utilisent pas les connexions chiffrées. Bref, via un hotspot wifi, une connexion d’entreprise (coucou admin, ndlr), les données transitent en clair. Un « homme du milieu », n’a plus qu’à se servir.

Mazin Ahmed, qui a découvert le probléme a contacté facebook qui lui a confirmé connaitre le probléme depuis 2012. Facebook travaille à réfléchir quand la version HTTPS sera mise en place pour Instagram. A noter qu’en France Facebook et Instagram sont donc dans l’illégalité la plus totale et pourrait être poursuivit. La loi Française impose aux entreprises de sécuriser au mieux les données que les utilisateurs peuvent lui laisser.

Data Security Breach rappelle à Facebook et Instagram que la communication d’informations à des personnes non-autorisées est punie de 5 ans d’emprisonnement et de 300 000 € d’amende. Que la divulgation d’informations commise par imprudence ou négligence est punie de 3 ans d’emprisonnement et de 100 000 € d’amende. Article 226-22 du code pénal. A cela, DataSecurityBreach.fr rajoute que le non-respect de l’obligation de sécurité est sanctionné de 5 ans d’emprisonnement et de 300 000 € d’amende. Article 226-17 du code pénal. Seule la version mobile d’Instagram chiffre les informations.

Chiffrement, cryptage, Cybersécurité, Identité numérique, Vie privée

Protection des données des consommateurs sur Internet

3 commentaires

Dashlane, éditeur d’outils de gestion de mots de passe et des portefeuilles numériques, a dévoilé à DataSecurityBreach.fr les résultats de la seconde édition de son baromètre sur la protection des données des consommateurs sur Internet.

Cette seconde édition a passé au crible plus de 130 des sites américains, anglais et français (44) les plus populaires du web à la suite de la faille Heartbleed. Ce baromètre met en évidence que 86% des sites français analysés utilisent des politiques de sécurité de mots de passe en dessous de la moyenne acceptable. Beaucoup n’ont pas mis en œuvre ne serait-ce que les règles de base, laissant les données personnelles des consommateurs sur Internet dangereusement vulnérables.

Cette analyse se fonde sur 22 critères identifiés comme critiques pour la sécurité des mots de passe sur Internet. Chaque critère permet d’attribuer un nombre de points positif ou négatif, ce qui donne un score final possible en -100 et +100 pour chaque site web étudié. Un score de +50 points correspond à la mise en œuvre minimale des bonnes pratiques vis-à-vis des mots de passe suggérées par Dashlane. Cette étude fait suite au premier baromètre publié par Dashlane sur le même sujet au premier trimestre 2014.

Apple, le seul site à voir la note maximum
Le site d’Apple avait obtenu la meilleure note dans le premier baromètre, et il est de nouveau le seul site web à se voir décerner la note maximale, à savoir +100. Live.com (Microsoft) termine second, tandis que UPS, Yahoo et Paypal occupent respectivement les troisième, quatrième et cinquième positions. Les autres sites réussissant ce test sont par exemple La Poste, leboncoin.fr, eBay et Skype. Gmail et la Fnac sont ex aequo à la dixième place.

Les mauvais élèves
Dans les sites français, ce sont Showroomprivé, Meetic Affinity et Spartoo qui reçoivent les plus mauvais scores. En remontant dans le classement des mauvais élèves, on trouve les 3 Suisses, Alloresto, Viadeo, easyJet.com, Cdiscount et Amazon. Dashlane a examiné six catégories de sites web : sites de rencontre, e-commerce, sécurité, productivité, outils sociaux et voyages. Le baromètre montre que ce sont les sites de rencontre qui obtiennent la plus mauvaise moyenne avec -45. Suivent les sites de sécurité (-23 de moyenne), de e-commerce (-21) et de voyages (-16).

Toujours des pratiques dangereuses malgré Heartbleed
Même si la plupart des sites ont demandé à leurs utilisateurs de changer leur mot de passe suite à la découverte de la faille Heartbleed, ils n’ont pas corrigé leurs faiblesses dans leur politique de sécurité. Dashlane a comparé les scores de sécurité obtenus dans le baromètre avec la robustesse réelle des mots de passe utilisés sur ces sites.

Un résultat net se dessine, montrant la corrélation entre la complexité des mots de passe utilisés et la note de sécurité obtenue. En d’autres termes, plus le site impose un mot de passe complexe, meilleure est la sécurité réelle des mots de passe des utilisateurs. Il va sans dire que plus le mot de passe est simple, plus les données personnelles et bancaires des consommateurs sont exposées. Les mots de passe représentent la première ligne de défense des données personnelles des consommateurs sur Internet. Le fait que certains sites ne demandent pas de mots de passe sécurisés veut donc dire qu’ils sont conscients d’exposer leurs utilisateurs aux attaques et aux logiciels malveillants.

Autre enseignement de ce baromètre que DataSecurityBreach.fr a pu lire, 51% (55% pour les sites français) des sites les plus importants ne verrouillent pas les comptes des utilisateurs après 10 tentatives de connexion incorrectes. L’une des méthodes favorites des pirates est d’essayer au hasard les mots de passe les plus répandus. Le pirate a seulement besoin d’une liste d’adresse emails et de mots de passe populaires (les deux sont faciles à trouver sur Internet). Ils n’ont plus qu’à utiliser un programme pour tenter de se connecter à un site en essayant des millions de combinaisons associant une adresse email à un mot de passe. C’est ce que l’on appelle une attaque « par force brute ».

En bloquant un compte utilisateur après un certain nombre de tentatives de connexion erronées, les sites web peuvent simplement bloquer ce type d’attaque et de ce fait mieux protéger les données personnelles des consommateurs. Les sites suivants ne sont que quelques-uns des sites les plus connus qui ne bloquent pas les comptes utilisateurs après 10 tentatives d’accès infructueuses : Amazon, Gmail, Evernote, eBay et Nike.

Des solutions simples
Les sites web devraient adopter au minimum les mesures suivantes en matière d’exigence sur les mots de passe :
Mot de passe de 8 caractères minimum
Mot de passe comprenant des chiffres et des lettres, avec des minuscules et des majuscules
Email de confirmation pour tout changement de mot de passe
Ne pas accepter les 10 mots de passe les plus vulnérables
Bloquer le compte utilisateur après 10 tentatives incorrectes de connexion

Emmanuel Schalit, CEO de Dashlane, commente ces pratiques : « Les entreprises et les sites web n’ont aucune excuse pour leur faible politique en matière de mot de passe. La mise en œuvre de politiques de sécurité pour les mots de passe ne coûte pas cher et est facilement réalisable grâce aux technologies open source existantes. Notre étude montre une nette corrélation entre les exigences des sites en matière de mots de passe et le niveau de sécurité des mots de passe des utilisateurs. Les sites qui exigent des mots de passe complexes ont des utilisateurs qui ont des mots de passe mieux sécurisés. Les mots de passe sont la première ligne de défense pour les données personnelles et confidentielles des consommateurs sur Internet, et des exigences faibles en matière de mots de passe les exposent encore plus. »

Cybersécurité, escroquerie, Facebook, Identité numérique, Twitter, Vie privée

Education à la sécurité en ligne : les enseignants ont du mal à faire face aux attentes des parents

Une étude publiée par AVG Technologies, entreprise de sécurité en ligne pour 187 millions d’utilisateurs actifs, révèle que pour 82% des enseignants interrogés (74% en France), les parents comptent trop sur l’école pour apprendre à leurs enfants à se protéger en ligne. En outre 38% (44% en France) des enseignants estiment que les parents d’élèves ont eux-mêmes un niveau insuffisant de connaissances sur le sujet. Cette nouvelle étude d’AVG, qui porte sur le point de vue des instituteurs et professeurs, démontre que la question de savoir à qui incombe la responsabilité de dispenser aux enfants les enseignements sur la sécurité en ligne est toujours d’actualité.

L’étude, pour laquelle AVG a interrogé près de 1800 enseignants du monde entier, dont 210 en France, montre la nécessité de former les enseignants et de leur offrir davantage de soutien, afin qu’ils puissent mieux sensibiliser leurs élèves à la sécurité en ligne. Les deux tiers des personnes interrogées (64%, 73% en France) ont convenu que les écoles devraient offrir une meilleure formation à l’utilisation d’Internet comme outil pédagogique, et 77% (68% en France) estiment qu’Internet devrait faire partie intégrante du cursus éducatif.

Cette étude met en relief l’écart inquiétant entre, d’un côté, les connaissances et les capacités des enseignants et, de l’autre, les attentes des parents. Plus de neuf enseignants de différentes matières sur dix affirment se servir d’Internet en cours (92%, 89% en France), et 69% abordent la sécurité en ligne de manière occasionnelle ou fréquente (59% en France). Seul un enseignant sur quatre (28%, 15% en France) a reçu une formation spécifique pour cet enseignement.

Tony Anscombe, Conseiller sécurité chez AVG Technologies, déclare : « Non seulement les enseignants aujourd’hui se servent régulièrement d’Internet dans le cadre de leurs leçons et cours, mais ils se retrouvent de plus en plus confrontés aux questions plus vastes que génère celui-ci, et ce, la plupart du temps, sans aucune formation officielle. Au vu du développement de l’utilisation d’Internet en tant qu’outil pédagogique, de nombreux enseignants déclarent que leur école s’est dotée de règles spécifiques pour répondre aux préoccupations les plus fréquentes. En revanche, ces politiques s’avèrent être insuffisantes si la plupart des enseignants ne reçoivent aucune formation officielle à l’enseignement de la sécurité en ligne. Lorsqu’un enseignant sur quatre déclare être approché par des élèves pour des problèmes de cyberintimidation, le besoin d’un soutien accru se fait clairement ressentir ».

Constats d’enseignants du monde entier
·         Le Brésil va à l’encontre de la tendance globale, les enseignants brésiliens étant à l’avant-garde en matière d’éducation à la sécurité sur Internet. La majorité (54%, 17% en France) aborde régulièrement le sujet et 51% (15% en France) s’y sont préparés en suivant une formation officielle.

·         La plupart des enseignants au Royaume-Uni ont indiqué que leur école proposait des cours d’informatique (91% par rapport à 72 % globalement et à 63% en France). En revanche, seulement 37% des enseignants avaient suivi une formation officielle à la sécurité en ligne (contre 15% en France).

·         Inversement, les écoles aux Etats-Unis sont les moins susceptibles de proposer des cours d’informatique (60% seulement) et seulement 40 % des enseignants donnaient des devoirs à la maison nécessitant des recherches sur internet (contre 57% globalement et 49% en France).

·         Les élèves canadiens sont les plus nombreux à apporter leurs propres appareils à l’école, selon 29% des enseignants (contre 18% globalement et 4% en France). Il s’agissait principalement d’ordinateurs portables (84%, 57% en France), de smartphones et de tablettes (82% chacun contre 29% et 57% en France).

·         Les enseignants en Allemagne sont les plus nombreux à avoir été approchés par des élèves confrontés à des problèmes de cyberintimidation (36% par rapport à 25% globalement et contre 10% en France). Près de la moitié de ces enseignants (46%, 67% en France) s’estiment peu ou pas du tout préparés pour répondre à ces préoccupations.

·         Les écoles australiennes sont arrivées en tête parmi les établissements ayant déjà mis en place des dispositifs pour gérer des problèmes de cyberintimidation (80%, 33% en France) et des situations où des élèves ont été exposés à des contenus inappropriés en ligne (75%, 17% en France).

·         Seulement 7% des enseignants en République Tchèque (17% en France) affirment que leur école a déjà organisé une soirée pour les parents afin de les sensibiliser à la sécurité en ligne. 78% des parents y ayant assisté ont exprimé des préoccupations quant à la sécurité de leurs enfants sur Internet (79% en France).

·         91% des enseignants en France déclarent que leur école fournit des appareils électroniques aux élèves, mais il s’agit généralement d’ordinateurs de bureau (80%, contre 75% globalement), d’ordinateurs portables 35% (moyenne globale de 46%) et de tablettes 9% (contre 32% globalement).

·         Plus de quatre enseignants sur cinq (82%) en Nouvelle-Zélande (89% en France) abordent occasionnellement le sujet de la sécurité en ligne avec leurs élèves. En revanche, le même pourcentage n’a suivi aucune formation officielle sur ce thème (85% en France).

Argent, Banque, Cybersécurité, Fuite de données, Paiement en ligne, Twitter, Vie privée

Quand Twitter diffuse des cartes de crédit

3 commentaires
Extrait de la page du bot sur Twitter

Etonnant jeu que celui effectué par des centaines d’internautes, sur Twitter. Ces amateurs pas comme les autres du portail de micro blogging américain sont tellement content de posséder une carte bancaire (credit card, debit card, …) qu’ils en diffusent des photographies, dans l’espace du petit oiseau.

Totalement idiot, surtout que certains diffuseurs placent les informations sensibles (les 16 chiffres, la date de validité, certains même le CVV) à la portée du premier surfeur qui passerait par là.

Plus dingue encore, un bot, un robot Twitter baptisée « besoin d’une carte de crédit« , intercepte les messages et les répertories dans un compte Twitter dédié. Bilan, plusieurs centaines de photos, une cinquantaine de vidéos. Depuis 2012, Twitter laisse faire.

Pour l’américain, les Twitteriens sont responsables de ce qu’ils diffusent ! Bilan, faut pas pleurer si votre CB se retrouve sur Need a Debit Card.

 

Chiffrement, cryptage, Cybersécurité, Fuite de données, Identité numérique, Leak, Vie privée

14 millions de patients médicaux touchés par une fuite de données

Un commentaire

La rédaction de Data Security Breach a reçu le rapport Annuel du HHS, l’US Departement of Health et Human Services, bref, le Ministére de la santé de l’Oncle Sam.

Ce rapport annuel, baptisé « Annual Report to Congress on Breaches of Unsecured Protected Health Information » revient sur les années 2011 et 2012. Cette étude égraine les violations de données en 2011 et 2012. Entre 2011 et 2012, le HHS a reçu 458 rapports de violations de données qui touchent plus de 500 personnes. Au total, c’est environ 14.690.000 de patients, d’employés… à avoir été touchés par des violations de leurs données personnelles, et donc sensibles.

Le nombre de violations de données qui affectent plus de 500 personnes sur cette période compte pour 64,5% de toutes les violations de données depuis le premier rapport, diffusé en septembre 2009. Le vol était la cause la plus commune de ces violations, soit 53% des cas, suivie par l’accès ou la divulgation non autorisée (18%).

En 2012, 68% des infractions touchaient des fournisseurs de soins de santé. 27% des fuites étaient dues à des ordinateurs portables compromis (vol, piratage, …). 23% des informations étaient diffusées en mode « papier » ; 13% via un serveur. En 2012, il y a eu 21.194 infractions signalées affectant moins de 500 personnes. Des violations de données qui ont affecté 165.135 personnes.

Le HHS, suite aux plaintes, a pu récolter 8 millions de dollars d’amende. Bref, le piratage et les fuites de données rapportent aux pirates, comme au gouvernement.

Android, Argent, Banque, Cyber-attaque, escroquerie, Leak, Vie privée, Virus

Des applis Google Play voleuses de données bancaires

Lookout a repéré cette semaine dans le Google Play store une application de banque en ligne clonée, conçue pour subtiliser les identifiants des utilisateurs, mais étrangement sans les mots de passe.

Nous avons aussitôt alerté Google qui a dans la foulée supprimé l’application concernée. Nous tenons à préciser que tous les utilisateurs de Lookout sont protégés contre cette menace. Le programme malveillant incriminé, baptisé « BankMirage », ciblait les clients de la banque israélienne Mizrahi. Les auteurs ont ainsi ajouté une sorte de surcouche à l’application légitime, proposant ensuite leur création de nouveau sur le Google Play store en la faisant passer pour celle de l’établissement bancaire.

Le mode de fonctionnement est simple : dès que la victime lance l’application, le programme malveillant charge le formulaire de connexion, à savoir une page html intégrée à l’application et créée pour dérober l’identifiant de la personne dès qu’elle le saisit. Il s’agit donc d’une tentative de hameçonnage (phishing) des données personnelles. Ce programme a toutefois une étrange particularité : il récupère uniquement l’identifiant de connexion de l’utilisateur. Ses auteurs ont inséré un commentaire dans le code qui commande de collecter uniquement cet élément, et pas le mot de passe.

Une fois l’identifiant récupéré et stocké, l’application envoie un message à l’utilisateur victime pour lui signaler l’échec de sa tentative de connexion. Il est invité à ce moment-là à réinstaller la « vraie » application légitime de la banque sur le Play Store.

Les programmes malveillants qui se font passer pour des applications de banque en ligne comptent parmi les plus dangereux, dans la mesure où ils s’intéressent à des données particulièrement sensibles. Ce type de programme est très présent dans l’Union européenne, dans les pays de la région Asie-Pacifique, et dans une moindre mesure aux Etats-Unis. Nous avons déjà repéré des programmes de banque en ligne créés en Corée qui, au lieu de se glisser dans le catalogue de Google Play, se font carrément passer pour l’application Google Play Store elle-même.

« PlayBanker » en est un exemple : il se fait passer pour Google Play et envoie des alertes aux utilisateurs victimes pour les pousser à télécharger des applications de banque en ligne pirates. Une autre variante, « BankUn », vérifie pour sa part au préalable la présence des huit plus grandes applications légitimes des banques en ligne coréennes, pour les remplacer ensuite par des versions pirates.

Il est hélas difficile pour un utilisateur de se prémunir d’une application de ce type parvenant à se faire référencer dans le Google Play store ; les moyens de protection classiques ne suffisent pas. Comme par exemple le fait de vérifier que le développeur de l’application est digne de confiance, ou de s’assurer que la case « Sources inconnues » (dans les paramètres système du téléphone) n’est pas cochée afin de bloquer l’installation furtive d’applications téléchargées à son insu.

Mieux vaut faire preuve de bon sens : la présence de deux versions apparemment identiques d’une même application peut signifier que l’une d’elles est illégitime. Pour être protégé à 100% contre ce type de menace, la meilleure solution consiste à installer sur le téléphone une solution de sécurité telle que Lookout, qui analyse systématiquement toutes les applications téléchargées.

Identité numérique, Particuliers, Vie privée

Microsoft met à jour sa déclaration de confidentialité

Microsoft vient d’annoncer, sans trop de bruit, la modification de ses conditions d’utilisation et sa déclaration de confidentialité.

« Dans tout ce que nous faisons, indique le géant américain, nous avons à cœur de tenir compte des besoins de nos utilisateurs. C’est pourquoi nous avons décidé de mettre à jour le Contrat de services Microsoft et d’élaborer une Déclaration de confidentialité pour les services Windows. » Dans les principales modifications, et sur ce qu’elles impliquent pour les utilisateurs, une modification de la « Confidentialité ».

Microsoft indique s’engager à respecter la vie privée de ses utilisateyrs en toutes circonstances. « C’est pourquoi nous n’utiliserons jamais à des fins de ciblage publicitaire vos documents, photos ou autres fichiers personnels, ni ce que vous pouvez être amené à dire dans vos e-mails, conversations instantanées, appels vidéo ou messages vocaux« . Dans ses modifications, la firme de Redmond stipule aussi qu’elle allait avoir un peu plus de transparence. « Nous avons mis à jour notre Code de conduite afin de mieux vous faire comprendre les types de comportement susceptibles d’avoir des conséquences sur votre compte. »

Microsoft en profite pour rappeler que les parents sont responsables de l’usage que leurs enfants mineurs font de leur compte et des services Microsoft, y compris des achats effectués par ce biais. Bilan, un peu plus de responsabilité des parents ne fera pas de mal… surtout si Microsoft rabat ses avocats sur des parents pensant que le petit dernier de la famille joue aux Pokémons sur la toile.

Les nouvelles conditions prendront effet le 31 juillet 2014. Si vous continuez à utiliser les services après le 31 juillet 2014, cela signifie que vous avez accepté ces nouvelles conditions. Dans le cas contraire, vous pouvez annuler votre service à tout moment.

Arnaque, Cybersécurité, escroquerie, Fuite de données, Phishing, pourriel, Social engineering, spam, Vie privée

1800 fonctionnaires piégés par un phishing

Un commentaire

S’il existe bien un secteur qui mériterait d’être un peu plus regardant sur sa sécurité informatique, c’est bien celui concernant les fonctionnaires. Ils gèrent les informations locales, régionales, nationales, donc des milliers, quand cela ne se chiffre pas en millions de données privées et sensibles. seulement, la sécurité informatique, faudrait-il encore qu’il en entende parler sous forme de formation, de réunion, et autrement que par des professionnels qui ne connaissent du terrain que les rapports chiffrés qu’ils lisent et recopient à longueur de journée.

Un exemple en date, chez nos cousins canadiens. Un sondage interne lancé par le ministère fédéral de la Justice annonce qu’environ 2000 membres du personnel ont cliqué sur un courriel piégé. De l’hameçonnage facile via un faux courriel traitant… de la sécurité des informations confidentielles du ministère. Un tiers des personnes ciblées a répondu à la missive, soit 1850 fonctionnaires sur 5000. Les prochains essais auront lieu en août et au mois d’octobre avec un degré de sophistication supérieure.

Selon le gouvernement canadien environ 10 % des 156 millions de filoutages diffusés chaque jour réussissent à contrer les logiciels et autres filtres antipourriels. Huit millions sont executés par le lecteur, 10% cliquent sur le lien. 80.000 se font piéger. (La presse)

Chiffrement, Cybersécurité, Espionnae, Fuite de données, Identité numérique, Vie privée

Un Monsieur sécurité pour protéger les données des électeurs

Le gouvernement Canadien a décidé, voilà quelques jours, de mandater une équipe de sécurité informatique qui aura comme mission de trouver la moindre faille et fuite de données concernant les électeurs du pays. Une décision politique qui fait suite au jugement d’une entreprise de généalogie qui a commercialisé durant 6 ans les données de plusieurs millions d’élécteurs via ses services oueb.

L’Institut Drouin, spécialisé dans la généalogie, avait copié une liste électorale datant de 2003. Le jugement de cour du Québec a ordonné à Drouin de détruire les données appartenant à 5,5 millions de Québécois : nom, adresse, sexe et date de naissance. « L’État a le droit d’en interdire la diffusion pour protéger la vie privée des électeurs », a indiqué le tribunal.

En France, il suffit de regarder les seconds tours d’éléctions pour appercevoir les candidats et leurs équipes décortiquer les listes électorales afin d’inciter les abstansionnistes à voter, voir certains élus analyser les employés municipaux n’ayant pas pris le temps de voter !

Identité numérique, Particuliers, Phishing, Vie privée

Identity Leak Checker

Est-ce que des cybercriminels ont volé mes données personnelles et les ont rendues librement disponibles en ligne de sorte que d’autres personnes puissent également y accéder et les utiliser de manière abusive ?

Les utilisateurs d’Internet du monde entier peuvent désormais répondre à cette question en utilisant un service gratuit de l’Institut Hasso Plattner pour l’ingénierie des systèmes informatiques de l’université de Potsdam, en Allemagne. Pour cela, il leur suffit de consulter le site sec.hpi.de et de saisir leur adresse e-mail. Le système recherche alors sur Internet les données personnelles librement disponibles qui leur sont associées.

Si des noms, des mots de passe, des détails de compte ou d’autres données personnelles associées à l’adresse e-mail s’avèrent circuler sur la toile, l’institut HPI avertit l’utilisateur par e-mail et lui donne des conseils sur la façon de procéder. Pour des raisons de sécurité, l’institut ne divulguera pas la nature précise des données.

Les informaticiens qui ont développé ce service ont baptisé leur innovation  » Identity Leak Checker « . À ce jour, les chercheurs de cet institut universitaire, qui est financé par Hasso Plattner, le cofondateur de SAP, ont identifié et analysé plus de 170 millions d’ensembles de données personnelles sur Internet. Quelque 667 000 vérifications gratuites ont été effectuées depuis le lancement du service en Allemagne. Dans 80 000 de ces cas, les utilisateurs ont dû être informés qu’ils avaient été victimes d’un vol d’identité.

« Ce type de système d’avertissement pour les données personnelles volées circulant sur Internet vise à permettre aux utilisateurs de comprendre comment ils traitent leurs données personnelles « , a déclaré le Prof. Christoph Meinel, directeur de l’institut HPI. Son département a également mis au point une base de données pour l’analyse des vulnérabilités informatiques (https://hpi-vdb.de). Cette dernière intègre et combine de grandes quantités de données déjà disponibles en ligne à propos des vulnérabilités de logiciels et d’autres problèmes de sécurité. La base de données contient actuellement pas moins de 61 000 éléments d’information concernant des points faibles qui existent dans près de 160 000 programmes logiciels de plus de 13 000 fabricants.

La base de données de l’institut HPI a récemment commencé à aider les utilisateurs à effectuer des vérifications gratuites de leurs ordinateurs à la recherche de points faibles identifiables qui sont souvent exploités habilement par les cybercriminels pour leurs attaques. Le système reconnaît le navigateur de l’utilisateur – y compris les plugins fréquemment utilisés – et affiche une liste de vulnérabilités connues. Des plans visant à étendre le système d’auto-diagnostic pour couvrir d’autres logiciels installés sur un ordinateur sont en cours de préparation.

ID, Identité numérique, Vie privée

FriendOrFoe, application pour contrôler son identité Facebook

Kaspersky Lab présente FriendOrFoe (littéralement « ami ou ennemi »), une application gratuite pour Facebook qui permet aux utilisateurs d’évaluer la fréquence de leurs interactions avec leurs amis, et ce que ces derniers pensent d’eux. L’application révèle lesquels de ces centaines d’abonnés sont d’authentiques fans, qui partagent et commentent des contenus essentiellement au sein d’un cercle d’amis. Elle met aussi en évidence les menaces pour les utilisateurs du réseau social et leur explique comment protéger leurs informations personnelles.

Pour ceux qui utilisent diverses applications d’analyse Facebook, Kaspersky Lab a créé un outil destiné à collecter des statistiques sur l’activité enregistrée. FriendOrFoe indique ainsi le nombre de vidéos et de photos publiées par un utilisateur, le nombre de « J’aime » reçus et une multitude d’autres statistiques susceptibles d’intéresser les aficionados du réseau social. FriendOrFoe est aujourd’hui disponible en différentes langues (anglais, français, russe, allemand, italien, espagnol, brésilien, mexicain, arabe, japonais). Cette liste sera complétée dans un proche avenir.

« Le plus vaste réseau social au monde ne peut qu’attirer l’attention des cybercriminels. Le plus souvent, ils sont à la recherche de données personnelles et d’identifiants qu’ils pourront ensuite exploiter pour accéder, par exemple, à des comptes bancaires via les sites de banque en ligne. Il n’est donc pas surprenant que Facebook soit la cible la plus prisée des auteurs d’attaques de phishing : au cours du premier trimestre 2014, 79,5 % des activités de phishing enregistrées sur les réseaux sociaux touchaient Facebook. En plus de proposer des statistiques amusantes, FriendOrFoe apporte des informations simples et claires concernant les dangers qui menacent un utilisateur» commente Evgeny Chereshnev, Head of Global Mobile Business Development chez Kaspersky Lab.

Les fonctionnalités de FriendOrFoe :
–       Contrôle des “tag” sur les photos : l’utilisateur Facebook peut consulter toutes les photos dans lesquelles il est “tagué” et repérer ainsi potentiellement les photos compromettantes.

–       Contrôle de la géolocalisation : il est possible pour un utilisateur de voir s’il a été géolocalisé par une tierce personne sans sa permission et le cas échéant d’opérer un nettoyage des activités non-approuvés.

–       Maitrise des applications : FriendOrFoe examine les applications Facebook utilisées et la liste des tâches autorisées par l’utilisateur.

–       Maitrise de l’historique : il n’est pas possible d’empêcher Facebook de stocker l’historique de recherche mais il est possible de l’effacer du profil.

Les développeurs de Kaspersky Lab continueront d’améliorer les fonctionnalités de l’application suite aux retours des utilisateurs. Cependant, attention, en utilisant ce service vous fournissez votre accès à Kaspersky !

Identité numérique, Particuliers, Vie privée

Pornographie, violence ou drogue, quels contenus Internet consultent les enfants ?

Chaque année, les enfants sont de plus en plus nombreux à aller sur Internet. La plupart des parents ont parfaitement conscience de l’existence de sites à caractère pornographique, présentant des images violentes, faisant l’apologie de la drogue ou comportant d’autres contenus indésirables.

Cependant, tous ne sauraient imaginer quelles sont les catégories particulières de ces sites inappropriés que les enfants tendent à visiter le plus ou à quelle fréquence ils les consultent. C’est pourquoi Kaspersky Lab a décidé d’apporter une réponse à ces questions en analysant les recherches[1] effectuées par les jeunes internautes. Dix catégories de contenus indésirables sur le Web ont été choisies pour faire l’objet de cette étude : pornographie et érotisme, logiciels illégaux, drogues, cruauté et violence, propos grossiers, armes, jeux d’argent, serveurs proxy anonymes, systèmes de paiement, jeux en ligne.

Les 10 interdits
Les parents jugent traditionnellement trois types de contenus particulièrement indésirables pour leurs enfants. Il s’agit des contenus pornographiques et érotiques, cruels et violents ou encore en rapport avec la drogue. Concernant ces trois catégories, l’étude donne les résultats suivants :

·        Dans la quasi-totalité des pays, la catégorie « pornographie et érotisme » vient – de loin – en tête des statistiques de consultation issues des notifications du module de contrôle parental de Kaspersky Lab. Les pourcentages les plus élevés de visites [2] sur des sites à caractère pornographique ou érotique ont été relevés au Japon (74,9 %) et en France (68,9 %), suivis au troisième rang par le Mexique (56,3 %).

·        Les sites relevant de la catégorie « cruauté et violence » sont consultés le plus souvent au Mexique (8,6 %) et aux Etats-Unis (7 %), puis en Europe – notamment au Royaume-Uni et en Espagne (4,8 % chacun). D’après les statistiques du contrôle parental, la popularité des sites de cette catégorie est relativement faible. Néanmoins, il est à noter qu’il est pratiquement impossible d’y aboutir par accident : seule une recherche délibérée peut y mener. Par conséquent, même faibles, les pourcentages de visites de ce type de sites doivent constituer pour les parents un signal d’alerte et une source de préoccupation.

·        Les sites de la catégorie « drogues », tout comme ceux de la catégorie « cruauté et violence », reçoivent le plus de visites au Mexique (1,8 %) et aux Etats-Unis (1,4 %). Le Royaume-Uni se classe en troisième position (0,9 %).

Les logiciels illégaux sont particulièrement prisés en Chine et c’est donc dans ce pays que cette catégorie se détache largement (69,4 %, contre 24 % pour le « concurrent » le plus proche, l’Espagne, et 10.6 % pour le Japon).

Résultats pour les autres catégories
·        Propos grossiers : Russie (10,7 %), Italie (9 %), Mexique (7,7 %).
·        Armes : Russie (26,4 %), Italie (13,7 %), Etats-Unis (12 %).
·        Jeux d’argent : Italie (15,7 %) Etats-Unis (15,4 %), Royaume-Uni (13,5 %).
·        Serveurs proxy anonymes : Mexique (2,1 %), Royaume-Uni (1,2 %), Italie (0,8 %).
·        Systèmes de paiement : Italie (8,5 %), France (5,5 %), Allemagne (2 %).
·        Jeux en ligne : Allemagne (41,1 %), Australie (13,4 %), Etats-Unis (11,2 %).

« En dehors des contenus indésirables, Internet s’accompagne d’autres dangers non moins préjudiciables pour les enfants, à l’exemple du cyberharcèlement. Les agresseurs peuvent exploiter tous les canaux possibles d’interaction en ligne – réseaux sociaux, forums, chats, messageries – qui, lorsqu’ils sont combinés peuvent causer chez les victimes une souffrance mentale dont celles-ci n’osent pas parler. Du point de vue technique, le cyberharcèlement n’est pas si simple à combattre, de sorte que le contrôle parental n’est guère efficace en la matière. En règle générale, les enfants ne sont pas de taille à faire face seuls à des agresseurs : les parents ont donc un rôle important à jouer dans la protection des plus jeunes contre ce fléau. Dans l’idéal, ils doivent prêter attention aux activités de leurs enfants sur Internet. » commente Anna Larkina, analyste senior chez Kaspersky Lab.

Internet oblige les parents à parler plus tôt des « choses de la vie »
Pour AVG Technologies, une étude montre que pour 68% des parents en France, la technologie accélère la fin de l’innocence de l’enfance et les oblige à aborder plus tôt des sujets délicats avec leurs enfants. Des enfants âgés de 10 ans, soit 5 ans plus tôt que leurs parents, dont la majorité (50%) ne se souviennent pas d’avoir eu cette conversation avant l’âge de 15 ans – et parfois pas du tout (42% global, 37% en France).

Concernant les thèmes tels que la pornographie, le sexe et la puberté – sujets de conversation les plus gênants pour les parents interrogés – Internet ressort nettement comme la raison principale d’avoir à avancer cette discussion (76% global, 68% en France). Les inquiétudes liées au temps passé en ligne par leurs enfants (une préoccupation pour 42% des parents globalement, 43% en France) et la facilité avec laquelle ils peuvent accéder à des contenus inappropriés (47% global et 50% en France) se dégagent très clairement.

Alors que l’étude fait état d’une certaine confusion chez les parents quant au meilleur moyen d’assurer la sécurité en ligne de leurs enfants, la série de livres numériques interactifs « Magda and Mo » propose des conseils clairs et simples pour trouver les mesures les plus efficaces. Parmi les méthodes le plus souvent utilisées par les parents figurent l’interdiction pour les enfants de visiter des sites inconnus sans demander la permission (53% global et 47% en France) ; l’interdiction de « chatter » avec des inconnus ou de faire des achats en ligne (51% chacun globalement et 45% et 44% respectivement pour la France) ; et la limitation du temps que les enfants sont autorisés à passer sur Internet (44% globalement, 42% en France) – en revanche, aucune mesure n’a recueilli à elle seule la préférence d’une écrasante majorité.

Bien que plus de huit parents sur dix (81%) imposent une ou plusieurs restrictions, seulement un tiers des enfants (35% globalement, 38% en France), interrogés avec leurs parents, considèrent qu’Internet présente des dangers. La plupart des parents estiment que leurs enfants connaissent mieux Internet qu’eux-mêmes avant l’âge de 12 ans, et un parent sur cinq (19%) pense que ce sera déjà le cas avant l’âge de 9 ans.

« Ces résultats illustrent la nécessité d’initier très tôt le processus d’apprentissage des règles de sécurité en ligne, et le besoin pour les parents et les enfants d’en faire une activité partagée. Dans un contexte d’utilisation croissante d’appareils connectés, on ne peut pas sous-estimer l’importance d’aborder le sujet très tôt et correctement. » explique Judith Bitterli, Directrice marketing chez AVG Technologies.