Tous les articles par Damien Bancal

Damien Bancal, expert reconnu en cybersécurité Damien Bancal est une figure incontournable de la cybersécurité, reconnu à l’international pour son expertise et son engagement depuis plus de 30 ans. Fondateur de ZATAZ.com en 1989 (et DataSecurityBreach.fr en 2015), il a fait de ce média une référence majeure en matière de veille, d’alertes et d’analyses sur les cybermenaces. Auteur de 17 ouvrages et de plusieurs centaines d’articles pour des médias comme Le Monde, France Info ou 01net, il vulgarise les enjeux du piratage informatique et de la protection des données personnelles. Lauréat du prix spécial du livre au FIC/InCyber 2022, finaliste du premier CTF Social Engineering nord-américain (2023), et vainqueur du CTF Social Engineering du HackFest Canada (2024), il est reconnu pour sa capacité à allier pratique du terrain et transmission pédagogique. Le New York Times ou encore Le Big Data ont salué son parcours, et l’agence Tyto PR l’a classé parmi les 500 personnalités tech les plus influentes en 2023. Il est aujourd’hui 9ᵉ influenceur cyber en Europe. Chroniqueur à la radio et à la télévision (France Info, RTL, M6, Medi1...), il est également réserviste citoyen au sein de la Gendarmerie Nationale (Lieutenant-Colonel - Unité Nationale Cyber) et de l'Éducation Nationale (Hauts-de-France). Médaillé de la Défense Nationale (Marine) et des réservistes volontaires, il poursuit son engagement au travers de son entreprise veillezataz.com, lancée en 2022.
Cybersécurité, IOT, Mise à jour, Téléphonie

Un tricheur de PokemonGo fait interdire un opérateur Belge

3 commentaires
Voilà une histoire belge qui n’a pas dû faire rire les clients et l’opérateurs Belges Proximus. Pour contrer un tricheur de PokemonGO, l’éditeur du Jeu Niantic a bloqué ses accès aux utilisateurs de Proximus.

Un internaute a voulu faire le malin et jouer à PokemonGo à sa façon. Je vous expliquais en juillet comment de nombreux tricheurs se fabriquaient de l’expérience dans le jeu de l’été sans même bouger de leur salon. Une idée idiote alors que le jeu réclame de marcher et sortir de chez soi.

Un de ses tricheurs a expliqué sur Reddit [Fermé depuis] avoir ouvert mille comptes via une connexion Proximus. Il faut dire aussi que cet opérateur Belge ne facture pas les datas qui transitent sur son réseau. Bilan, le tricheur a voulu jouer au plus malin. Sauf que les auteurs de Pokemon Go ne sont pas manchots dans la traçabilité. Niantic a bloqué une grande partie du réseau Proximus. Bilan, les serveurs de jeu de PokemonGo ont été interdits quelques temps.

Niantic explique que chasser les tricheurs lui permet aussi d’alléger ses serveurs abordés par des milliers de bots extracteurs de données. [Vif]

Cybersécurité, Firefox, Logiciels, Mise à jour, Patch

Sécuriser Firefox efficacement en quelques clics de souris

4 commentaires
Vous utilisez Firefox est vous souhaitez que cet excellent navigateur soit encore plus sécurisé lors de vos surfs sur Internet ? Voici quelques astuces qui supprimerons la géolocalisation, le profilage de Google ou encore que vos données offline disparaissent du regard d’espions locaux.

C’est sur le blog des Télécoms que j’ai vu pointer l’information concernant le réglage de plusieurs paramètres de Firefox afin de rendre le navigateur de la fondation Mozilla encore plus sécurisé. L’idée de ce paramétrage, empêcher par exemple Google de vous suivre à la trace ou de bloquer la géolocalisation qui pourrait être particulièrement big brotherienne.

Commençons par du simple. Il suffit de taper dans la barre de navigation de votre Firefox la commande about:config. Une alerte s’affiche, pas d’inquiétude, mais lisez là quand même. recherchez ensuite la ligne security.tls.version. Les valeurs affichées doivent osciller entre 1 et 3. Ensuite, recherchez la ligne geo.enabled pour annuler la géolocalisation. Passez le « true » en « False ». Pour que les sites que vous visitiez ne connaisse pas la dernière page que vous avez pu visiter, cherchez la ligne network.http.sendRefererHeader et mettre la valeur 1. Elle est naturellement placée à 2. Passez à False la ligne browser.safebrowsing.malware.enabled.

Ici, il ne s’agit pas d’autoriser les malwares dans Firefox, mais d’empêcher Google de vous tracer en bloquant les requêtes vers les serveurs de Google. Pour que Google cesse de vous profiler, cherchez la ligne browser.safebrowsing.provider.google.lists et effacez la valeur proposée.

Pour finir, vos données peuvent être encore accessibles en « offlire », en mode hors connexion. Cherchez les lignes offline-apps.allow_by_default et offline-apps.quota.warn. La première valeur est à passer en Fasle, la seconde valeur en 0.

Il ne vous reste plus qu’à tester votre navigateur via le site de la CNIL ou celui de l’Electronic Frontier Foundation.

Bitcoin, Cybersécurité

Possible attaque d’un état contre Bitcoin

Alerte pour les utilisateurs de Bitcoin. Espérons-le, nous sommes tous biens conscients que nous devrions faire preuve de beaucoup prudence lors du téléchargement de programmes et/ou logiciels à partir d’internet.

Utilisateurs de Bitcoin, prudence. Beaucoup de cas de logiciels et programmes malveillants sont dissimulés sur le web, et même sur des sites falsifiés d’entreprises ou institution. Ils peuvent être téléchargés par inadvertance –ou par ignorance- . Pour réduire les chances de télécharger un programme infecté, Bitdefender, éditeur de solutions de sécurité informatique, conseille de se rendre sur le site certifié du programme en question (pour plus de sécurité) et vérifier que le téléchargement correspond aux instructions reçus par le vendeur agréé,  et en vérifiant la signature numérique officiel du programme.

Les membres de la communauté Btc doivent garder cela à l’esprit aujourd’hui – en particulier s’ils ont l’habitude de télécharger des versions exécutables du logiciel Bitcoin Core sur la plateforme Bitcoin.org,  au lieu de prendre l’approche recommandée qui est de compiler les codes du logiciel open source.

Le site a publié un avertissement aux utilisateurs de conseils pour être particulièrement vigilant lors du téléchargement de la prochaine 0.13.0 libération de Btc de base. La crainte évidente est qu’une version falsifiée du Bitcoin de base puisse conduire certains utilisateurs à perdre le contenu de leurs portefeuilles numériques, ou voir leurs ordinateurs compromis et détournés en lançant d’autres attaques contre le réseau Btc. Bien que cette menace d’attaque ne soit pas confirmée, il est tout de même judicieux de prendre l’avertissement un minimum au sérieux. Une chose est claire, les utilisateurs Bitcoin une fois encore, craignent pour leur sécurité.

Android, Arnaque, backdoor, Cyber-attaque, Cybersécurité, escroquerie, IOT, Leak, Logiciels, Particuliers, Piratage, Smartphone, Téléphonie

Android domine le secteur et concentre les menaces informatiques

Menaces informatiques – Dans son rapport semestriel, G DATA fait un bilan des dangers ciblant les systèmes mobiles. Android, présent dans 68 % des appareils mobiles dans le monde, est en première ligne. Au-delà des malwares, les utilisateurs sont également ciblés par des campagnes de publicité dangereuses.

Vous vous demandiez ce qu’étaient des menaces informatiques dans le monde du mobile ? Les experts sécurité de G DATA ont identifié 1 723 265 nouveaux échantillons de codes malveillants ciblant Android durant le premier semestre 2016. Ceci représente une augmentation de 29 % comparé au semestre précédent (1 332 839). En moyenne, 9 468 nouveaux dangers sur le système Android apparaissent chaque jour.

Menaces informatiques  – Le malvertising en croissance sur mobile

Si l’attaque « FakeAV », qui consiste à faire installer de faux antivirus payants, n’est plus très courante sous Windows, elle le devient sous Android. En pratique, lors de la navigation Internet avec une tablette ou un smartphone, des fenêtres pop-up alarment l’utilisateur de la supposée présence de virus sur l’appareil et les conduisent vers le téléchargement d’application de nettoyage, d’optimisation ou de faux antivirus. Techniquement, ces systèmes de pop-up détectent le système utilisé pour la navigation et affichent la fenêtre adéquate. Ainsi, sur un même site, un internaute sous Windows voit une page différente de l’internaute sous Android. Différents scénarios sont alors possibles. Sous Windows, les publicités légitimes côtoient les tentatives d’arnaque à l’appel téléphonique surtaxé. Sous Android, la majorité des campagnes pointent vers le téléchargement d’applications sur le Play Store.

Pay Per Install à la sauce FUD

Le Pay Per Install est un instrument marketing qui permet aux fournisseurs d’application de distribuer plus rapidement leur logiciel à l’aide de publicité. Plus l’application est téléchargée, plus elle devient visible dans le store, attirant ainsi encore plus d’utilisateurs. Différents prestataires se sont spécialisés dans ces méthodes marketing, mais tous n’utilisent pas des méthodes légitimes. Les campagnes de malvertising qui ciblent les appareils Android en sont un exemple frappant. La technique du FUD (Fear, uncertainty and doubt) y est largement pratiquée : en utilisant des pop-up mensongers sur l’état de protection de l’appareil, ces prestataires peu scrupuleux attirent les utilisateurs inquiets vers des applications à l’utilité discutable, voire vers de véritables arnaques. Le rapport complet.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Firefox, Leak, Logiciels, Microsoft, Mise à jour, Paiement en ligne, Patch, Piratage

Abuser le HTTPS des sites Internet

Un commentaire
Deux chercheurs en sécurité informatique découvrent une méthode pour abuser les sites Internet en mode sécurisé (https).

Deux informaticiens Belges viennent d’alerter Google, Microsoft et les participants de la Black Hat conférence d’un problème découvert permettant de piéger les sites Internet et leur mode sécurisé, le HTTPS. Pour Tom Van Goethem et Mathy Vanhoef, deux étudiants de l’université de Leuven, la technique exploitée est baptisée HTTP Encrypted Information can be Stolen Through TCP-Windows (HEIST).

L’idée malveillante est d’intercepter les données transmisses, passant par les protocoles de sécurité tels que SSL ou TLS. Bilan, le HTTPS (connexion sécurisé) ne sert plus à rien si l’interception du trafic est orchestré, dans la foulée, par un fichier JavaScript caché sur une page web dédiée, ou exploitée à cet effet. Une publicité diffusée par une régie extérieure, qui elle n’est pas sécurisée, peut permettre cette infiltration.

La présentation des deux doctorants en informatique est disponible ICI. Pour vous protéger de ce genre d’indiscrétion, désactivez les ‘third-party cookies’ dans les paramètres de votre navigateur. Je vais être clair, pas pratique, cela va perturber le bon fonctionnement des sites en HTTPS. Mais en attendant une correction des géants de l’Internet, pas d’autres solutions.

Chiffrement, cryptage, Cybersécurité, IOT, ransomware

Objets connectés : prise d’otage possible

Deux chercheurs démontrent que les prochaines prises d’otage numérique pourraient toucher nos objets connectés.

Objets connectés dangereux ? Je vous racontais, l’année dernière, comment des routeurs et des répartiteurs Wifi avaient été pris en otage par des pirates informatiques. Une méthode simple qui permet d’utiliser le matériel infiltré pour d’autres attaques. Les caméras de vidéo surveillance, des bouilloires ou encore des congélateurs connectés avaient pu être utilisés dans ce genre de malveillance. Heureusement, dans la plupart des cas, des démonstrations de chercheurs.

Lors du Defcon de Las vegas, Andrew Tierney et Ken Munro, deux chercheurs en sécurité informatique se sont amusés à démontrer que les objets connectés, comme par exemple des thermostats connectés, pouvaient être pris en otage par un ransomware. Des pirates pourraient réclamer quelques euros aux propriétaires piégés par leur thermostat bloqué.

Pour les deux ingénieurs, mais cela devient une lapalissade que de le dire, encore trop de créateurs de périphériques connectés ne prennent pas de précautions dans la sécurité de leurs objets, mettant en danger les utilisateurs. « Nous ne disposons de quasdiment aucun contrôle sur nos appareils, soulignent les deux britanniques à Mother board, et nous ne savons pas vraiment ce qu’ils font et comment ils le font« .

Cybersécurité, Espionnae, Justice, loi, Particuliers, Vie privée

Drones pirates : 352% de plaintes en plus en 1 an

Les drones sont devenus des objets courants, aujourd’hui. A partir de quelques euros, il est possible d’acquérir un engin volant. Au Royaume-Uni, la crainte grimpe au sujet des drones pirates. 425 plaintes déposées en 2015.

Les drones pirates envahissent les commissariats. Les drones prennent de plus en plus de place dans le ciel. Amateurs de belles images, geek et autres amateurs d’objets high-tech se jettent sur ces objets volants. Il semble que les criminels aussi ! Il n’y a malheureusement pas de raison que ce genre d’engin ne soit pas utilisé, par exemple, pour filmer une zone à cambrioler.

Au Royaume-Uni, les autorités viennent de tirer la sonnette d’alarme. Une méthode pour attirer le regard bien veillant du législateur. Un rapport de la police britannique indique que les plaintes, concernant des drones, ont augmenté de 352 % en un an. En 2014, la police avait reçu 94 plaintes de particuliers et entreprises. En 2015, le chiffre est passé à 425. Pour 2016, semble-t-il, un chiffre encore plus élevé. Depuis mois de mai 2016, déjà 272 dossiers ont été enregistrés par les autorités. A noter que de nombreuses complaintes concernent aussi des drones appartenant à la police.

Des chiffres collectés par le journal The Independent. 21 postes de police du Royaume-Uni, sur 45, ont répondu. Autant dire que le chiffre global de 352% est très certainement en dessous de la réalité. Les chiffres comprennent également des drones ayant mis en danger des avions commerciaux, des transports de drogue vers des cellules de prison. 257 rapports ont été répertoriés comme étant une préoccupation sérieuse pour la sécurité publique… sept faisaient état de drones appartenant à de jeunes enfants.

Chiffrement, cryptage, Cybersécurité, Facebook, Justice, loi, Particuliers

Facebook a répondu à une demande sur deux de la Justice Française

Le portail communautaire sollicité par la justice ne répond pas toujours positivement aux autorités. Une demande sur deux en France trouve écoute.

Les autorités judiciaires souhaiteraient que Facebook répondent plus souvent, positivement, à leurs demandes d’informations sur des utilisateurs ciblés par une enquête policière. Facebook ne répond pas en cas de demande vague ou non correctement formulée.

En 2015, Facebook a fourni des données d’internautes [lire quels types de données Facebook possède sur ses utilisateurs] dans 54% des cas, en France ; 82 % en Grande Bretagne et 42 % en Allemagne. La semaine dernière, les autorités Allemandes avaient montré du doigt Facebook en indiquant que le portail communautaire était réticent à collaborer avec la justice locale. Facebook a rejeté l’accusation en expliquant qu’un grand nombre de demandes reçues d’Allemagne avait été mal formulé.

Facebook a confirmé avoir aidé les services de renseignements Allemands en ouvrant les vannes après les attaques de Munich, Wuerzburg et Ansbach. L’un des terroristes, Ansbach, avait six comptes Facebook, y compris un compte sous une fausse identité. « Les réseaux sociaux sont une méthode de communication pour les djihadistes. Par conséquent, une coopération plus étroite entre les agences de sécurité et les opérateurs de réseaux sociaux est nécessaire » souligne Hans-Georg Maassen, le chef de l’agence de renseignement intérieur Allemande BfV.

Android, Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, ios, Mise à jour, Particuliers, Sécurité, Smartphone, Téléphonie, Windows phone

PokemonGo : un ami qui vous veut du mal ?

La folie PokemonGo n’est plus à démontrer. Il suffit de marcher dans les rues, dans les parcs, sur les plages pour croiser des centaines de « dompteurs ». La question se pose tout de même : et si ce jeu n’était qu’un maître espion.

Ah, le grand jeu vidéo de l’été. Chasser des petits bêtes via l’application PokemonGo. De la « pseudo » réalité augmentée qui a su attirer des millions d’adeptes en quelques jours. Des millions de joueurs qui fournissent des milliards de données privées.

Pokemon GO récupère la position GPS, l’historique des endroits visités, la fréquence et les habitudes de jeu. Un archivage pour une période indéterminée. La société californienne collecte adresses Google, Facebook, l’ensemble de vos informations publiques, l’IP de l’utilisateur, le nom et la version de votre système d’exploitation.

Cerise sur le gâteau, Pokemon Go sauvegarde aussi le nom de la page Web que vous visitiez avant de jouer à Pokémon Go, ainsi que les mots clés que vous avez pu utiliser pour rejoindre PokemonGo lors de votre première visite. A noter que la lecture des conditions d’utilisations est, une fois de plus, magique. L’éditeur Niantic se dégage de toute responsabilité en cas de partage des données. Des données baptisées « actifs ». Autant dire que les partenaires Google et Pokémon Company font partis de ces collecteurs. Un véritable trésor numérique.

Home sweet home pokemonGo

Les joueurs peuvent réclamer la destruction des données. Il faut envoyer un mail, ou visiter la page dédiée, ou écrire une lettre postale. Cependant, n’oublier pas de réclamer la destruction des mêmes données qui se retrouvent dans les sauvegardes.

Pour rappel, l’application était capable, à son lancement, d’ouvrir votre compte Google. Niantic avait le droit de modifier l’ensemble des données, lire vos courriels Gmail, modifier vos documents Google Drive, consulter votre historique de recherche, vos photos personnelles. Du bonheur que cette famille de Pikachu ! Est-ce que cela vaut-il vraiment le coup de lâcher toutes ses données pour quelques Pokeballs ? Bref, une fois de plus, quand une application est gratuite, c’est vous qui êtes le produit. Et si on regarde un peu plus loin, sans la jouer complotiste, PokemonGo n’aurait-il pas un but plus discret, celui de cartographier là ou Google ne peut se rendre avec ses Google Caméra ?

A lire, l’étude de SANS Institut sur l’analyse du logiciel.

Banque, Base de données, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Mise à jour, Particuliers, Social engineering, Vie privée

IDICore : En un clic, ils savent tout de vous

La société IDI annonce être capable de fournir la moindre information sur les Américains. Dans IDICore, chaque mouvement physique, chaque clic, chaque jeu, chaque endroits visités sont répertoriés.

La société Interactive Data Intelligence (IDI – IDCORE), basée en Floride, présage de l’avenir « Big Brother » qui s’ouvre à nous. La société a construit un profil sur l’ensemble les adultes américains en regroupant l’ensemble des données des ressortissants locaux dans une base de données géante. Chaque mouvement, chaque clic de souris, chaque jeu utilisé, chaque endroit visité, IDI a collecté, sauvegardé, classé les informations. Comment ? En louant des accès à des bases de données. Pour 10 dollars, comme le rappel Bloomberg, les fouineurs professionnels sont en mesure de rechercher et trouver la moindre information sur les américains : adresses publiques et non publiques, photos de voiture… Ils peuvent combiner ces informations avec celles des sociétés marketing et vous combiner des informations pouvant aller jusqu’à la dernière visite chez l’épicier du coin, ce que vous avez mangé hier soir, et prédire vos futurs comportements.

idiCORE : Minority Report is back

IDI semble être la première entreprise à centraliser et à « militariser » toutes ces informations pour ses clients. Son service de base de données est baptisé idiCORE. Il combine des dossiers publics, des données démographiques et comportementales. Le responsable d’IDI, Derek Dubner, indique que son système possède un profil sur tous les adultes américains, y compris les jeunes qui ne seraient pas présents dans des bases de données classiques.

Du bluff marketing ou véritable “Big Brother” ?

Derek Dubner n’a proposé, pour le moment, aucune démonstration de son idiCORE. Il indique que ces profils comprennent toutes les adresses connues, les numéros de téléphone et adresses mail ; les adresses des anciennes et nouvelles propriétés ; il en va de même des véhicules anciens et actuels ; des potentiels actes criminels : excès de vitesse sur place ; les registres de vote ; permis de chasse ; les noms et numéros de téléphone des voisins. Les rapports proposés par idiCORE contiendraient aussi des photos de voitures prises par des entreprises privées en charge de la collecte automatisée des plaques d’immatriculation, avec coordonnées GPS.

Bref, la société IDI présage de l’avenir « Big Brother » qui s’ouvre à nous. Et il est de plus en plus moche !