Archives quotidiennes :

Cybersécurité, Emploi, Entreprise, Mise à jour

L’agence de renseignement du Danemark lance une académie de hacking

Académie de hacking – Décidément, le temps ou il fallait cacher son intérêt pour le hacking est bien révolu. Après la France, les USA, la Suisse, voici venir le Danemark. L’agence de renseignement Danoise vient de créer une académie dédiée au hacking.

Les services de renseignement Danois viennent de se lancer dans un recrutement qui a le mérite d’attirer l’œil. La DDIS (Danish Center for Cyber Security), le service de cyber renseignement danois lance une académie pour former des hackers. Mission, former des pirates informatiques éthiques capables de fissurer des systèmes de sécurité cybernétique compliqués. Une création en réponse aux nombreuses attaques vécues par le pays ces derniers mois. Le Danemark a dû repousser plusieurs cyber-attaques dont une contre le ministère des affaires étrangères (via un phishing) qui aura permis un espionnage de 7 mois. En décembre 2015, un DDoS a cloué les serveurs du Parlement danois.

King of Phantom : académie de hacking

Les admissions débuteront le 1er août 2016. Le service de renseignement ne va pas par quatre chemins et parle de recruter « de talentueux blackhats« . Pour rappel, un black hat n’est pas un hacker « sympathique« , mais plutôt du genre « casse tout ».

Les principales tâches du DDiS sont de collecter, traiter et diffuser des informations sur les situations qui touchent le Danemark, à l’étranger. Une partie du service se compose d’une unité spéciale dont la tâche est d’avoir accès à l’Internet fermé, aux  systèmes informatiques et aux ordinateurs. « Notre dispositif n’est pas fait pour tout le monde, et il préconise des compétences particulières et une certaine personnalité« .

Trois modules dans cette formation : un module de base où vous apprendrez les réseaux, l’infrastructure informatique et la sécurité avancée. Un module de défense où vous apprendrez comment se défendre face aux pirates. Un module offensive où vous apprendrez à pirater. L’annonce indique que la DDiS encourage tout le monde à participer « peu importe les antécédents personnels« .

Cybersécurité, DDoS, Justice, Piratage

Un adolescent arrêté pour avoir lancé des attaques DDoS

Un internaute de 15 ans arrêté pour avoir lancé des attaques DDoS contre une école. Une manipulation qui va perturber durant 48 heures l’hébergeur.

Le problème pour certains adolescents agissant sur Internet est de leur faire comprendre qu’une attaque de DDoS n’a rien de génial, de techniquement mirobolant. Non, un DDoS peut se comparer à déverser des poubelles devant une porte d’entrée car l’auteur de cette décharge publique n’a pas les capacités techniques et intellectuelles pour reproduire la clé ou crocheter la serrure qui lui aurait permis de rentrer dans la maison visée. Bref, un DDoS, du bullshit en paquet de 10.

Il a lancé des attaques DDoS 

C’est ce qu’aurait du se dire un adolescent de 15 ans, arrêté le 8 avril dernier en Australie. Le jeune homme a attaqué une école, le Reynella East College. Un DDoS non maîtrisé qui a perturbé, durant 48 heures, l’hébergeur du site de l’école et les clients de l’entreprise. Le piratin signait ses actes sur la toile sous les pseudonyme de Will Star, Purple city et Global line. [Police]

Cybersécurité, Propriété Industrielle, santé

In-Q-Tel : Un fabricant de cosmétique attire la CIA pour prélever l’ADN

Étonnante révélation concernant le fabriquant de cosmétique Skincenial Sciences. La CIA, via sa société de capital-risque In-Q-Tel, s’est rapprochée du vendeur de créme qui adoucit la peau… pour collecter l’ADN.

La société américaine Skincential sciences est une petite PME proposant des crèmes pour la peau suffisamment efficace pour attirer les regards des professionnels de la mode, des blogueuses et de stars de la TV US. La créateur de crème qui adoucit la peau a aussi attiré un autre partenaire étonnant, la CIA. La Centrale Intelligence Agency, via sa société de capital-risque In-Q-Tel, s’est penchée sur Skincential sciences pour financer des recherches sur la collecte de l’ADN. Cette relation contre nature a été révélée par des documents diffusés par The Intercept. L’entreprise de cosmétique a créé un produit étonnant qui intéresse la CIA. Finesse de l’invention, être capable de retirer une mince couche externe de la peau, révélant des biomarqueurs uniques qui peuvent être utilisés pour une variété de tests, y compris la collecte d’ADN.

In-Q-Tel est un investisseur fondé en 1999 par l’ex-directeur de la CIA, George Tenet. Sa mission, identifier une technologie de pointe qui permettra à la CIA, et aux autres agences américaines, de peaufiner et moderniser leurs missions. In-Q-Tel assure le financement des recherches afin de faire croître les entreprises de haute technologie qui développent les solutions qui attirent la CIA. Pour l’agence, la peau humaine est une source peu exploitée.

Argent, Banque, Chiffrement, cryptage, Cybersécurité, Emploi, ID, Identité numérique, Paiement en ligne, Particuliers, Vie privée

Le Japon va tester la biométrie pour payer ses achats

Biométrie – Pour préparer les Jeux Olympiques de 2020, attirer les touristes et contrer le cyber crime, le japon va tester, cet été 2016, le contrôle biométrique pour le paiement et la  réservation d’une chambre d’Hôtel.

Cet été, si vous avez la chance de vous rendre au Japon, préparez-vous à sortir vos doigts. Le pays va lancer une grande opération biométrique dédiée au contrôle d’identité et à la sécurisation des paiements.

Le gouvernement Japonais espère ainsi augmenter le nombre de touristes étrangers en utilisant ce système pour soulager les utilisateurs de la nécessité de transporter des espèces ou cartes de crédit. Le Japon veut tester son système afin que ce dernier soit opérationnel pour les Jeux olympiques et paralympiques de Tokyo 2020.

L’expérience permettra aux touristes volontaires, foulant le sol Nippon, d’enregistrer leurs empreintes digitales, identités et données de carte de crédit. Pour inciter les visiteurs à participer, pas de taxe sur les produits. Il suffira de placer deux doigts sur les dispositifs spéciaux installés dans 300 magasins et hôtels du pays. La biométrie permettra aussi d’éviter aux touristes de voir leur passeport copiés dans les hôtels. L’authentification par empreintes digitales suffira.

En 2020, Tokyo attend 40 millions de touristes. Les premiers tests ont eu lieu, depuis octobre 2015, dans le parc à thème du Huis Ten Bosch de Sasebo.

Chiffrement, cryptage, Cybersécurité, Justice, loi

Projet de loi pour interdire le chiffrement indéchiffrable

Interdire le chiffrement indéchiffrable ! Pour aider les forces de l’ordre dans leurs taches, deux sénateurs proposent un nouveau projet de loi qui souhaite contrôler le chiffrage des données.

Ce qui est bien avec les hommes politiques est qu’ils ont de la suite dans les idées dès qu’il s’agit de marquer leur nom dans l’histoire, ou dans les pages des journaux. Les sénateurs Richard Burr et Dianne Feinstein (Californie) ont bien l’intention de marquer de leur empreinte l’histoire US.

Les deux politiques peaufinent la version préliminaire d’un projet de loi Sénatorial qui aurait pour effet d’interdire le chiffrement indéchiffrable. Cette loi exigerait des entreprises qu’elles apportent le moyen de déchiffrer téléphone et ordinateur dès que les autorités le souhaiteront.

Les deux sénateurs n’ont pas encore annoncé la date de présentation de ce projet de loi. Ils ne le feront peut-être jamais. Leur coup médiatique étant réussi, ils sont dans les journaux !

Chiffrement, cryptage, Cybersécurité, Facebook, Mise à jour, Patch, Vie privée

Chiffrement de bout en bout pour WhatsApp

La filiale de Facebook, WhatsApp, permet de converser dorénavant en mode chiffré de bout en bout. Les messages et les conversations ne pourront plus être lus, ni écoutés. Chiffrement de bout en bout pour WhatsApp, vraiment ?

C’est officiel, Facebook vient de mettre de nouveaux bâtons dans les roues des autorités. Son outil de conversation WhatsApp vient d’être mis à jour. Dans cette mise à jour, une option chiffrement qui va beaucoup amuser le FBI. L’outil chiffre les messages textes et les conversations audios, et cela de bout en bout.

Chiffrement de bout en bout pour WhatsApp – La technologie ressemble à celle utilisée par les outils PGP, GPG… les interlocuteurs doivent posséder leur clé de chiffrement (la clé privée) et diffuser leur clé publique. WhatsApp s’en charge automatiquement et rend toute tentative de lecture des interceptions impossibles. Si les contenus ne sont pas « lisibles », les interceptions sont toujours possibles (Wi-fi ouvert…).

Mais prudence, comme le rappel sur Twitter 0x356CDCDE, c’est avant tout une annonce marketing. « Le problème de Whatsapp, c’est surtout que c’est une application propriétaire, donc pas de peer review du code source… » Bilan, rien n’empêche de penser que Facebook posséde une MasterKey, un passe-partout pour déchiffrer les messages.

Pendant ce temps…

… la grande dame qu’est la CNIL vient de prononcer un avis particulièrement intéressant concernant l’utilisation dans les procédures judiciaires de « portes dérobées« . Une backdoor dans un téléphone, un ordinateur, une tablette, pourrait permettre de passer outre le mot de passe et le système de chiffrement proposé de base, comme pour les appareils sous Android et iOS.

La présidente de la Commission Nationale Informatique et des Liberté, Isabelle Falque-Pierrotin, a indiqué vendredi 8 avril, lors de la conférence de presse Annuelle de la CNIL que « autoriser […] backdoors ou portes dérobées n’est pas une bonne solution […] L’idée qu’au nom de cet impératif de sécurité il faille mettre en place des backdoors pour, dans tous les cas, permettre aux services de police d’accéder à une information qui sera le cas échéant cryptée et non décryptable, cette solution n’est pas une bonne solution ».

Pour la CNIL, le chiffrement est indispensable et il y a suffisamment « de dispositifs dédiés permettant l’accès aux données, réquisitions, captations de données informatiques, techniques de collectes mises en place par la loi renseignement ».

Entreprise, Fuite de données, Mise à jour, Patch, Social engineering, Téléphonie

43 heures de communications pirates pour la Ville de Solignac

La commune de Solignac se fait pirater son standard téléphonique. Aucun employé ne s’était rendu compte du problème. L’opérateur va réagir après avoir découvert 43 heures de communications pirates durant le week-end de Pâques.

Que dire ? Les petites et moyennes communes ne prennent pas leur sécurité informatique au sérieux. Le silence est d’or, l’excuse du droit de réserve a bon dos… Le dos de l’argent et des données des contribuables s’envolant à coups de piratages, fuites de données, ransomwares, phreaking…

C’est d’ailleurs du phreaking, piratage dans la téléphonie, qui vient de toucher une commune de la région de Limoges. La Direction Générale de la mairie de Solignac a été alertée par l’opérateur Orange d’un étrange comportement de sa ligne téléphonique. Le pirate est un malin, 43 heures d’appels téléphoniques illicites sur le dos des finances de la ville, entre le samedi après-midi et la nuit du lundi au mardi du week-end de Pâques.

Les phreakers sont particulièrement bien organisés. Je peux en croiser, dans certains blackmarkets,  proposant ce type de service. Durant ces trois jours, 283 appels à destination de l’Azerbaïdjan, le Pakistan, le Liberia, la Somalie,  les Iles Falkland, les Maldives et Haïti. Bref, plusieurs dizaines de milliers d’euros envolés.

Du piratage de standard téléphonique qui n’est pourtant pas une nouveauté. Malheureusement, je croise trop de chefs de service aux égos surdimensionnés, aux titres ronflants et à l’incapacité de gérer l’informatique, la sécurité, ou simplement la communication sur ce type de méfait. Je ne parle même pas des budgets qui se réduisent comme peau de chagrin et des employés territoriaux devenus responsables informatiques par l’effet du Saint-Esprit (comprenez le piston). Je ne généralise pas, mais mes constatations me font dire que cela ne s’arrange pas. En novembre 2015, 43 000 € de détournement téléphonique au Conseil Départemental des Deux-Sévres ; 15 000 à la commune de Pessac, 15 000 pour la commune de Licques… et ici, je ne parle que des cas connus.

Communications pirates : ce que dit la loi

Pour les pirates, la loi est claire : piratage, escroquerie, … entre 5 et 7 ans de prison et jusqu’à 350000 euros d’amende. Pour l’entreprise impactée, il est dorénavant possible de se retourner contre le prestataire de service, l’entreprise qui a pris en charge l’installation du standard. Une jurisprudence condamne les intégrateurs dans la mesure où ces derniers n’ont pas informé et formé leurs clients.

Argent, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Particuliers, Piratage, Sauvegarde, Social engineering

Porn Account : 270000 amateurs de pornos piratés

Un internaute a tenté de revendre les données de 270 000 amateurs de sites pornographiques dans le blackmarket. Le business du Porn Account pour les nuls !

Vous avez peut-être entendu à la radio et lu dans la presse généraliste ce piratage de données ayant visé 270 000 amateurs de sites pornographiques. Un piratage qui a débuté via l’attaque par injection SQL de plusieurs sites pour adultes appartenant au groupe Paper Street Media.

Le pirate a expliqué avoir contacté l’entreprise pour « discuter ». Soyons clair, il a tenté de leur soutirer de l’argent en proposant la faille qui lui a permis d’extraire les informations des clients (IP, mail, mots de passe…).

Paper Street Media n’a pas répondu dans le sens de l’internaute. Bilan, l’adolescent a mis en vente, dans le blackmarket, la base de données volée pour 360 euros. Pourquoi revendre les données dans le BM ? Tout simplement pour que les professionnels du porn account puissent sauter sur l’occasion.

Dans cette même boutique qui aurait servi au pirate à revendre cette base de données [je n’ai pas retrouvé le vendeur], d’autres « commerçants » proposent des accès « piratés » aux sites interdit au – de 18 ans de Paper Street Media pour 9 $. Je vous laisse faire l’addition. Nous sommes très très loin des 360 euros réclamés ! « Je peux me faire entre 300 et 500 dollars par semaine » m’indique un de ces vendeurs de Porn Account croisé dans une boutique spécialisée.

Un pirate russe revend des milliers de comptes du site Naughty America.

A noter que j’ai pu consulter [ci-dessus] un document diffusé par un autre pirate informatique. Ce dernier, il est russe, a mis la main sur 150 000 comptes clients du site pornographique Naughty America. Un injection SQL, une backdoor (shell) dans le serveur et les comptes clients ont fini dans les mains du pirate.

Pendant ce temps…

… le groupe hôtelier Trump est de nouveau piraté. Des logiciels d’espionnage ont été retrouvés dans les ordinateurs des hôtels Trump situés à New York, Toronto et Honolulu. Même type d’attaque vécue en juillet 2015. Cela donne une idée de la gestion de la sécurité informatique de ce groupe. Les pirates visaient les identités et les données bancaires.

En ce qui concerne les numéros de CB, pas besoin d’être intelligent pour comprendre l’intérêt. Achats de produits dématérialisés qui seront revendus moitié prix [blanchir l’argent détourné]… En ce qui concerne les informations dédiées aux identités : fraude bancaire [ouverture de compte], usurpation d’identité, …