Archives mensuelles : juillet 2020

Cybersécurité, double authentification

La nouvelle loi sur la vérification de l’âge pourrait causer une menace pour la sécurité des données

Le Parlement français a approuvé à l’unanimité, jeudi 9 juillet 2020, l’introduction d’un système national de vérification de l’âge pour les sites pornographiques, quelques mois après que le président Emmanuel Macron s’est engagé à protéger les enfants contre de tels contenus.

Dans le cadre d’une loi plus générale sur la violence domestique, le Sénat a décidé en juin d’introduire un amendement exigeant que les sites web pornographiques mettent en place un mécanisme de vérification de l’âge.

Afin de faire respecter la loi, le CSA, l’autorité de régulation française de l’audiovisuel, se verra attribuer de nouveaux pouvoirs pour contrôler et sanctionner les entreprises qui ne se conforment pas à la loi – les sanctions pourraient aller jusqu’à bloquer l’accès aux sites web en France par une injonction du tribunal.

Le choix des mécanismes de vérification de l’âge sera laissé aux plateformes. Mais les législateurs ont suggéré d’utiliser la vérification par carte de crédit, un système d’abord adopté par le Royaume-Uni, qui a envisagé des dispositifs similaires pour contrôler l’accès à la pornographie mais a dû les abandonner fin 2019 en raison de difficultés techniques et de préoccupations liées à la protection de la vie privée. L’Italie a également approuvé un projet de loi similaire fin juin 2020, qui a suscité les mêmes inquiétudes quant à sa faisabilité et à sa conformité avec les lois de l’UE.

Vie privée et vérification de l’âge : des défis considérables pour la sécurité

D’ores et déjà, de nombreuses voix s’élèvent et s’inquiètent des effets collatéraux que ces mesures pourraient avoir sur la sécurité et la protection de la vie privée en ligne.

PornHub a récemment été victime d’une attaque malveillante qui a duré un an. En 2012, une violation du système YouPorn a révélé les adresses électroniques, les noms d’utilisateur et les mots de passe d’un million de clients. La même année, des pirates informatiques se sont introduits dans Digital Playground, divulguant 73 000 données et numéros d’utilisateurs, dates d’expiration et codes de sécurité pour 40 000 cartes de crédit. Les journaux de chat et les données de connexion de 800 000 abonnés de Brazzers ont été divulgués en 2016. MindGeek, concepteur de tous ces sites, a subi brèche après brèche de sécurité ces dernières années.

Le système de vérification de l’âge permettra à MindGeek d’accéder à un nouveau filon unique de données rentables : des informations sur les sites pornographiques auxquels les utilisateurs du système se connectent sur le web. Le concepteur ne verra pas votre identifiant, mais il connaîtra votre adresse e-mail et votre mot de passe, des données qu’il a déjà compromises à plusieurs reprises par le passé. La vérification de l’âge crée donc un risque très réel de fuite ou de piratage d’une base de données sur les préférences sexuelles et l’historique de navigation dans le porno de plusieurs millions de personnes, liée à leurs identifiants.

Les informations relatives à la sexualité sont privées pour une raison. De nombreuses personnes ont des secrets à garder, et les conséquences d’une atteinte à la vie privée peuvent être catastrophiques. La violation des données du site de rencontres extraconjugales Ashley Madison en est un exemple qui donne à réfléchir. Le site n’a pas réussi à sécuriser les données des utilisateurs, ce qui a entraîné une violation qui a conduit à un scandale pour les politiciens et les PDG, à du chantage, à une fraude d’identité et à deux suicides.

Il n’y a pas que les personnalités publiques qui risquent de souffrir en cas de violation à grande échelle des données pornographiques. Les membres les plus marginalisés de la société ont également beaucoup à craindre. Le type de relations sexuelles que nous affectionnons et dont nous fantasmons peut représenter un enjeu extraordinairement important pour ceux qui sont victimes d’homophobie et de transphobie. Il n’existe pas de lois protégeant les droits des adeptes du BDSM contre la discrimination, et dans certains pays, les pratiques sexuelles privées peuvent entraîner le licenciement.

Comme le souligne de son côté Harold Li, vice-président d’ExpressVPN : « Demander à des sites pour adultes de collecter des identifiants pour la vérification de l’âge est une catastrophe en matière de confidentialité des données. Les systèmes de vérification de l’âge collecteraient une quantité énorme de données personnelles et sensibles sur vos habitudes et préférences – des données qui pourraient être utilisées de manière inappropriée, consultées ou faire l’objet de fuites. »

En vertu des nouvelles lois, les internautes seront tenus de prouver leur âge pour accéder à des sites web à contenu adulte. Cela pourrait signifier le partage d’informations personnelles telles que le passeport, le permis de conduire, le numéro de téléphone ou les informations relatives à la carte de crédit avec des plateformes de vérification de l’âge tierces, ou l’achat d’un passeport-porno auprès de fournisseurs agréés.

Cependant, de nombreuses études ont déjà démontré que ce type de plateformes était régulièrement la cible d’attaques ou rencontrait des failles de sécurité. Qu’il s’agisse d’un simple Adware ou d’extorsion après avoir piraté une webcam, le problème soulevé par cette nouvelle loi semble majeur.

Comment vous prémunir contre les risques de violation de votre vie privée ?

Saviez-vous que votre fournisseur d’accès Internet (FAI) peut voir à tout moment ce que vous faites en ligne. Qu’il s’agisse d’effectuer des achats, de se renseigner sur des problèmes de santé, d’organiser des vacances ou de consulter votre compte bancaire, chacune de vos actions sur Internet créent une piste numérique de données qui peut brosser un tableau très détaillé de vous…

Les FAI voient une myriade d’informations basées sur vos activités, telles que les recherches que vous effectuez, les sites web que vous visitez, les articles que vous lisez, vos e-mails, vos messages instantanés, les fichiers que vous téléchargez, etc.

Désormais, pour  protéger votre vie privée en ligne, il suffira d’utiliser un VPN pour contourner ces limitations. Les VPN vous permettent de préserver votre vie privée et votre anonymat en ligne en créant un réseau privé sécurisé à partir de n’importe quelle connexion Internet à laquelle vous accédez, qu’il s’agisse de la connexion Wi-Fi de votre domicile ou d’un hotspot Wi-Fi public.

Cybersécurité, Securite informatique

Comment travailler en ligne en toute sécurité ?

Le jeudi 12 mars 2020, Emmanuel Macron s’est adressé à ses concitoyens dans le cadre des premières ripostes contre la contamination croissante au Covid19. Dans son discours, le Président français a, entre autres, suggéré le télétravail aux entreprises. Depuis le concept fait recette dans toute la France et même au-delà des frontières. Malgré le déconfinement, certains salariés continuent de travailler depuis leur domicile. Mais une telle option n’est pas sans risque, car les pirates pourraient infiltrer certaines données sensibles de l’entreprise. Pour éviter ces intrusions, entreprises et employés doivent prendre certaines précautions. Quelles sont-elles ?

Changez d’adresse IP

Le salarié a l’habitude d’utiliser son ordinateur pour se divertir ou pour faire des recherches. Lors de ses activités, il se pourrait qu’il se rende fréquemment sur des sites non sécurisés, ou se connecte sur des réseaux wifi publics. L’adresse IP de son appareil est donc certainement connue de ces pages et réseaux insuffisamment protégés. Dans cette situation, il est souhaitable que l’employé change l’identifiant de son ordinateur lorsqu’il se met au télétravail. Le guide d’Opportunités Digitales vous décrit les étapes d’une telle opération. Cette solution permet au salarié de travailler de façon anonyme, le but final étant de ne pas se faire tracer par d’éventuels pirates informatiques.

Sécurisez votre réseau privé

Logiquement, la mise en œuvre du télétravail a induit de nombreuses réformes dans les entreprises. Parmi elles, l’installation d’un réseau informatique exclusif à la structure. Par ce canal, les collaborateurs peuvent s’échanger les données depuis leur domicile. Conscients de la situation, les pirates investissent ces réseaux en quête d’informations importantes sur les sociétés. Ils s’en servent comme moyen de chantage auprès des dirigeants d’entreprises. Pour s’en prémunir, il est nécessaire de crypter toutes les informations qui transitent par le système informatique. Il est donc recommandé aux entreprises de mettre un VPN à disposition de chaque travailleur. Toutes les structures ne savent pourtant pas pourquoi utiliser un VPN en 2020. En réalité le Virtual Private Network (VPN) permet avant tout d’authentifier l’accès au réseau internet. L’entreprise peut également mieux contrôler le partage des données professionnelles par les collaborateurs.

Modifiez votre mot de passe

Les salariés avaient l’habitude d’accéder au réseau de l’entreprise via des codes secrets. À partir du moment où ils se sont mis à télétravailler, il leur est conseillé de modifier aussitôt les mots de passe, car les hackers sont à l’affût de la moindre information sensible. Et, comme aucun système sécuritaire informatique n’est entièrement fiable, les codes conventionnels tels que 12345 ou 00000 sont à proscrire. Les pirates informatiques les maîtrisent du bout des doigts. Il vaut mieux opter pour un mélange de caractères. Les codes secrets longs sont également recommandés. Tout ceci permettra d’augmenter le niveau de sécurité de votre passe d’accès.

Analysez et votre appareil

À défaut de s’attaquer directement au réseau de l’entreprise, les hackers s’en prennent aux salariés. Ils peuvent tenter de prendre le contrôle de leurs appareils via des courriels malveillants. C’est pourquoi tous les travailleurs doivent installer des antivirus sur leur ordinateur. Ce logiciel préviendra toute intrusion de programmes suspects. En plus de cette précaution, le salarié doit actualiser ses programmes. Une mise à jour automatique des applications est la solution idéale.

backdoor, Cybersécurité

Chasse aux backdoors dans des appareils Cisco contrefaits

Une enquête met en lumière l’impact des composants contrefaits dans une infrastructure informatique. Et si derrière la copie se cachait une backdoor.

Des spécialistes de la sécurité matérielle viennent de publier un rapport détaillant une enquête concernant des commutateurs réseau contrefaits. L’enquête a conclu que les contrefaçons étaient conçues pour contourner les processus qui authentifient les composants du système.

L’équipe de sécurité matérielle de F-Secure Consulting a enquêté sur deux versions contrefaites différentes de commutateurs Cisco Catalyst série 2960-X. Les contrefaçons ont été découvertes par une société informatique après une mise à jour logicielle ratée. Une panne courante du matériel contrefait/modifié aux nouveaux logiciels.

D’abord, les enquêteurs ont découvert que si les contrefaçons ne possédaient pas de fonctionnalités de type « backdoor » (porte cachée), elles employaient néanmoins diverses mesures pour tromper les contrôles de sécurité. Par exemple, l’une des unités a exploité ce que l’équipe de recherche pense être une vulnérabilité logicielle non découverte auparavant pour miner les processus de démarrage sécurisés qui assurent une protection contre la falsification des microprogrammes.

« Nous avons découvert que les contrefaçons étaient construites pour contourner les mesures d’authentification, mais nous n’avons pas trouvé de preuves suggérant que les unités présentaient d’autres risques« , a déclaré Dmitry Janushkevich, consultant senior de l’équipe « Sécurité matérielle » de F-Secure Consulting, et auteur principal du rapport. « Les motifs des faussaires se limitaient probablement à gagner de l’argent en vendant les composants.« . Bref, il est indispensable de vérifier minutieusement tout matériel rentrant dans l’entreprise.

Derrière la contrefaçon

Ensuite, les contrefaçons étaient physiquement et opérationnellement similaires à un authentique commutateur Cisco. L’une des études techniques de l’unité suggère :

  • Les contrefacteurs investissent massivement dans la reproduction du design original de Cisco ;
  • Ils ont eu accès à une documentation technique propriétaire pour les aider à créer une copie convaincante.

« Les services de sécurité ne peuvent pas se permettre d’ignorer le matériel altéré/modifié. Ils doivent enquêter sur toutes les contrefaçons présentes dans la société« . Sans démolir le matériel et l’examiner de fond en comble, les organisations ne peuvent pas savoir si un dispositif modifié a eu un impact plus important sur la sécurité.

Enfin, l’impact peut être suffisamment important pour saper complètement les mesures de sécurité et de protection mises en place dans l’organisation.

Pour conclure, voici quelques conseils pour aider les organisations à se prémunir contre l’utilisation de composants contrefaits :

Procurez-vous tous vos composants auprès de revendeurs autorisés
Disposer de processus et de politiques internes clairs qui régissent les procédures de passation de marchés ;
S’assurer que tous les composants fonctionnent avec les derniers logiciels disponibles fournis par les fournisseurs ;
Notez les différences physiques entre les différentes unités d’un même produit, même si elles sont subtiles.

Communiqué de presse

Prospecter sur Linkedin via un bot

Comment générer de nouveaux contacts via le site de réseautage Linkedin. Développer son business en toute sécurité.

Je ne sais pas si vous êtes sur Linkedin, mais si c’est le cas, avez-vous remarqué cette hausse de demandes de mise en relation provenant de personnes « louches » à l’avatar très synthétique et aux premières demandes, en privée tout aussi inhumaine. Vous avez très certainement croisé un bot malveillant, aux intentions toutes aussi désagréables (collectes d’informations, diffusions de codes malveillants, …). Autant dire qu’il peut rapidement devenir compliqué de trouver les bons contacts pour son travail, son business, son relationnel professionnel.

Une société Française, Propsectin, propose une solution qui vous permettra de générer de vrais et nouveaux contacts qualifiés. Avec plus de 500 millions d’utilisateurs, automatiser cette tache via un outil efficace, facilitera cette prise de contact. D’autant plus que l’outil de cette entreprise Française permet de ne plus envoyer à la main, une par une, les demandes de contact. Ce qui ne vous empêchera pas de personnaliser votre message. Rien de plus énervant que de recevoir un message qui sent bon le robot. Intéressant, l’entreprise propose une extension pour le navigateur Chrome qui vous permettra d’automatiser tout en respectant les limites quotidiennes fixées par LinkedIn.

Compatible est une excellente alternative à des outils tels que Dux-Soup, Octopus CRM, LinkedHelper, PhantomBuster, Meet Alfred, Meet Linda, … Plusieurs tarifs sont proposés. Il existe une proposition gratuite. Elle est parfaite pour une recherche d’emploi. Elle permet de visiter et suivre des profils ; diffusion de messages personnalisés ; demandes d’invitations automatisées. Ensuite, trois tarifs, 9, 19 et 100€ par mois. Bien évidement avec des options plus poussées comme le nombre de messages illimités, la sécurité pour éviter d’envoyer deux invitations à la même personne ou encore la possibilité de créer des scénarios personnalisés.

Une vidéo de démonstration, ci-dessous, vous permet de vous donner une bonne idée de cet outil et de ses très nombreuses possibilités.

Pour visiter Propsectin ici.

Infiltration via Linkedin

Choisir ses de bons contacts est loin d’être chose aisée. D’autant plus que les malveillants usent de stratagème dès plus vicieux pour infiltrer les vies numériques de professionnels ciblés. Par exemple, en juin 2020, nous apprenions que des pirates s’étaient fait passer pour des recruteurs des sociétés aéronautiques Collins Aerospace and General Dynamics. Ils vont réussir, via cette usurpation, à piéger les utilisateurs et l’algorithme mis en place par le réseau social professionnel.

Une méthode qui aurait permis une infiltration dans des réseaux militaires basés en Europe. Par ce biais, et ces multiples rebonds, ils ont pu compromettre la vigilance, officiellement, de deux entreprises spécialisées en Europe. Admettons quand même que l’éducation et la formation à ce type de problématique du personnel semble avoir fait largement défaut… ou alors ces derniers n’ont rien écouter car « Cela n’arrive qu’aux autre ! ». Ils ont cliqué sur un lien proposé dans les messages et… paff ! De l’usurpation sur Linkedin qui ne date pas d’hier. Il devient indispensable d’en comprendre son fonctionnement pour s’en protéger. La Chine (après la Corée du Nord) a été montré plusieurs fois de la souris. Le « pays » aurait utilisée de faux comptes pour recruter des espions. Selon la défense US, des agents de service de renseignements américains auraient ainsi été recrutés de la sorte.

En exemple, Kevin P. Mallory, ancien agent de la CIA. Il a été condamné à 20 ans de prison pour avoir fourni des informations sensibles à un internaute pas comme les autres. Un espion chinois, passé par Linkedin. Il s’était fait passer pour un membre d’un groupe de réflexion économique Think-Tank.

Au premier trimestre 2019, Linkedin a orchestré un grand ménage. Plus de 21 millions de faux comptes avaient été bloqués. 3,4 millions de comptes ont été restreints car ils respectaient pas les règles du site de réseautage professionnel. A la même date, 85 600 profils avaient été détectés comme faux ou ne respectant pas les règles de Linkedin. En juin 2019, l’avatar Katie Jones, un faux compte avec une photographie de profil créée via une intelligence artificielle avaient réussi des mises en relation avec des politiciens de Washington.

Cybersécurité, double authentification

Un centre de contact pour palier les escrocs du web

Un centres de contact pour palier les escrocs du web

Parmi les nombreuses méthodes d’infiltrations pirates, le téléphone. Des pirates, tel que le groupe Sekhmet n’hésitent pas à téléphoner aux entreprises sous cyber attaque pour les faire chanter. Et pourquoi ne pas faire appel à un centre d’appel pour filtrer les premiers contacts.

Fraude au faux virement (FoVI), collecte d’informations, chantage … les fraudes par le biais d’un appel téléphonique sont aussi nombreuses que les lames dans un couteau Suisse. Des groupes de pirates informatiques, comme les opérateurs du ransomware (rançongiciel) Sekhmet le disent eux même : « We can’t say for sure but we think that we are the first group that tries to contact the companies by phone as soon as possible after the incident » – (Nous ne pouvons pas le dire avec certitude, mais nous pensons être le premier groupe à essayer de contacter les entreprises par téléphone le plus rapidement possible après l’incident.)

Bref, former son personnel aux questions de cyber sécurité est indispensable. Une notion qui doit inclure la gestion des appels téléphoniques. Faire appel à un centre de contact peut-être une solution. Nous nous sommes penchés sur Odigo, un des leaders mondiaux des centres de contact as a service (CCAAS) et de l’expérience client. Un de leur article de blog revient sur le télétravail, la cyber sécurité et les informations à fournir lors d’un appel téléphonique.

Hervé Leroux, le directeur marketing & communication d’Odigo explique qu’en matière de sécurité, il est indéniable qu’à l’ère du RGPD, l’usage du cloud soulève de nombreux enjeux autour de sujets tels que le stockage, la rétention, la portabilité, l’accessibilité en continue, mais aussi bien sûr la protection des données. « Nous offrons une sécurité améliorée, renforcées. Peu importe le lieu d’actions des agents.« 

Deux certifications indispensables, ISO-27001 & ISO-9001. L’opérateur du centre doit impérativement respecter les normes spécifiques de l’industrie : traitement des cartes bleues (norme PCI DSS), les données de santé (HDS).

Des équipes d’un centre d’appel qui n’ont pas accès aux « secrets » de l’entreprise : téléphone de la direction, adresses mails de la DRH, code wifi, systèmes utilisés en interne … pour ne citer que ces quatre exemples pouvant être recherchés par les pirates sans parler d’une protection active des appelants.