Tous les articles par Damien Bancal

Damien Bancal, expert reconnu en cybersécurité Damien Bancal est une figure incontournable de la cybersécurité, reconnu à l’international pour son expertise et son engagement depuis plus de 30 ans. Fondateur de ZATAZ.com en 1989 (et DataSecurityBreach.fr en 2015), il a fait de ce média une référence majeure en matière de veille, d’alertes et d’analyses sur les cybermenaces. Auteur de 17 ouvrages et de plusieurs centaines d’articles pour des médias comme Le Monde, France Info ou 01net, il vulgarise les enjeux du piratage informatique et de la protection des données personnelles. Lauréat du prix spécial du livre au FIC/InCyber 2022, finaliste du premier CTF Social Engineering nord-américain (2023), et vainqueur du CTF Social Engineering du HackFest Canada (2024), il est reconnu pour sa capacité à allier pratique du terrain et transmission pédagogique. Le New York Times ou encore Le Big Data ont salué son parcours, et l’agence Tyto PR l’a classé parmi les 500 personnalités tech les plus influentes en 2023. Il est aujourd’hui 9ᵉ influenceur cyber en Europe. Chroniqueur à la radio et à la télévision (France Info, RTL, M6, Medi1...), il est également réserviste citoyen au sein de la Gendarmerie Nationale (Lieutenant-Colonel - Unité Nationale Cyber) et de l'Éducation Nationale (Hauts-de-France). Médaillé de la Défense Nationale (Marine) et des réservistes volontaires, il poursuit son engagement au travers de son entreprise veillezataz.com, lancée en 2022.
Entreprise

RSSIA 2014

Les Rencontres de la Sécurité des Systèmes d’Information Aquitaine se tiendront le 20 juin 2014 à Talence (région de Bordeaux).

Pour cette 6ième édition des RSSIA, le CLUSIR propose comme thématique : « La confiance numérique au cœur des nouveaux usages digitaux« . Avec entre autres sujets : la vie numérique, le numérique en Aquitaine, le Le SIEM, le NFC, la Cybercriminalité avec La gendarmerie de la Gironde ( Le NTECH ), Les Lanceurs d’alerte / Full Disclosure ou comment rompre le silence avec Olivier Laurelli (Bluetouff) et Damien Bancal (Zataz), Les objets connectés, Heartbleed le bug qui fait trembler l’IT, l’ OWASP , Les normes ISO 29000 avec la CNIL.Comme chaque année, Le Panorama de la Cybercriminalité sera présenté avec le CLUSIF.

Entrée libre et gratuite, sur inscription.

 

Cybersécurité, Facebook, Particuliers

Page Facebook contre le harcèlement

Un commentaire

Facebook s’est associé aux Drs Marc Brackett et Robin Stern du Centre pour l’intelligence émotionnelle de l’université Yale afin de fournir les ressources et outils permettant de faire face au harcèlement et à ses conséquences.

Voilà une excellente idée. On parle de harcèlement quand tous types de comportements continuellement agressifs, impliquant des pressions d’ordre social ou sur la taille physique, sont constatés. Les agressions physiques ou verbales, ainsi que les menaces, les rumeurs ou l’exclusion délibérée d’une personne d’un groupe sont toutes considérées comme du harcèlement.

“La meilleure manière de répondre au harcèlement est d’aider les garçons et les filles à trouver leurs propres moyens de l’affronter. Seuls des efforts concertés entre les jeunes, les parents, les écoles, les institutions et les entreprises peuvent conduire à des résultats durables et efficaces. » indique Jon Kristian Lange, conseiller en chef du projet.

32 associations participent à l’opération dont PrevNet au Canada, l’ADL américain ou encore l’italien Save the Children et l’e-Enfance Français. L’espace dédié se trouve à l’adresse https://www.facebook.com/safety/bullying

Cybersécurité, Entreprise, Phishing

Les utilisateurs de services Google ciblés par une attaque de phishing difficile à détecter

Un commentaire

Les pirates récupèrent les mots de passe de comptes Google via une attaque de phishing particulièrement difficile à détecter par une analyse heuristique classique.

Selon les Laboratoires antivirus Bitdefender, des cybercriminels récupèrent les mots de passe d’utilisateurs de comptes Google grâce à une attaque de phishing difficile à détecter par une analyse heuristique, en raison du mode spécifique d’affichage des données utilisé par Google Chrome. En effet, les URI (identifiant uniforme de ressource) rendent les utilisateurs de Chrome plus vulnérables, même si ce phishing cible aussi les utilisateurs de Mozilla Firefox.

En récupérant les mots de passe de comptes Google, les pirates peuvent potentiellement acheter des applications sur le Google Play, pirater le compte Google+ ou encore accéder aux documents personnels stockés sur Google Drive. Cette arnaque commence par un e-mail prétendument envoyé par Google avec pour objet « Mail Notice » ou «  New Lockout Notice ». Ce message dit : « Pour rappel, votre compte e-mail sera bloqué dans 24h en raison de l’impossibilité d’augmenter votre espace de stockage. Cliquez sur « INSTANT INCREASE » pour augmenter automatiquement votre espace de stockage. »

Si l’utilisateur clique sur le lien “INSTANT INCREASE”, il est alors redirigé vers une fausse page de connexion Google, identique à l’originale, afin de renseigner son identifiant et son mot de passe. « La caractéristique de cette attaque de phishing est que la barre d’adresse de navigation n’affiche pas une URL habituelle mais une URI, en l’occurrence ici ‘data :’ » explique Catalin Cosoi, Responsable de la stratégie de sécurité chez Bitdefender.

Ce schéma de données URI permet aux pirates d’intégrer les données correspondantes aux pages Web comme si elles étaient des ressources extérieures. Le modèle utilise le codage Base64 pour représenter les contenus des fichiers. Dans ce cas présent, les pirates fournissent le contenu des fausses pages Web dans une chaîne codée dans les données URI. Et, dans la mesure où Google Chrome n’affiche pas toute cette chaîne, il est difficile pour l’utilisateur, même habitué, de comprendre qu’il est victime d’une attaque par phishing.

Il est habituel pour les cybercriminels de se faire passer pour des prestataires de services envoyant des messages ou notifications prétendument issus d’organismes tels que Google, Facebook, eBay, d’opérateurs téléphoniques ou de banques, qui figurent parmi les « déguisements » favoris des spécialistes du phishing pour envahir les boites mail du monde entier. Une attaque similaire avait récemment ciblé la page d’accueil Google Drive afin de récupérer les identifiants Gmail. Afin de se prémunir contre des arnaques en ligne, Bitdefender préconise également aux internautes de toujours utiliser une solution de sécurité à jour.

 

Cyber-attaque, Entreprise, Espionnae, Fuite de données, Leak, Propriété Industrielle

8 incidents informatiques sur 10 seraient dus au facteur humain

84 % des incidents de sécurité informatique sont liés au facteur humain, alors que seulement la moitié des budgets est consacrée à ce type de menaces.

Voilà les premiers chiffres de l’étude menée lors de la RSA Conference et présentée lors du Gartner Identity & Access Management Summit 2014 par BalaBit. L’étude eCSI de BalaBit souligne le fait qu’il est désormais nécessaire d’ajuster le budget sécurité à hauteur des menaces liées au facteur humain.

BalaBit IT Security, acteur sur le marché des solutions dédiées à la gestion de logs et à la surveillance des comptes à privilèges, a présenté les résultats de son dernier rapport eCSI lors du Gartner Identity & Access Management Summit 2014. L’étude a été menée auprès de 300 participants lors de la récente RSA Conference à San Francisco. Les résultats de cette enquête montrent que 84 % des incidents de sécurité informatique sont liés au facteur humain (erreur humaine, attaques sophistiquées internes ou externes, etc.). En terme de budget, l’étude souligne également que les dépenses sont assez équilibrées entre : les 55 % du budget consacrés à la gestion du risque humain et les 45 % consacrés à l’infrastructure.

Ainsi, les entreprises concentrent toujours leurs ressources dédiées à la sécurité informatique à la sécurité des infrastructures et aux facteurs de risque externe. Les personnes interrogées ont classé les principaux facteurs de risque, en fonction du budget consacré : 30 % privilégient la menace externe, au-dessus de tous les autres risques ; 28 % ont déclaré que les dysfonctionnements du système sont parmi les risques les plus importants ; 17 % ont cité les attaques automatiques (injection SQL, DDoS, …) Alors que la protection dédiée aux erreurs humaines et aux hackers internes est une priorité budgétaire absolue pour seulement une petite minorité des personnes interrogées : respectivement 13 % et 12 %. Pourtant, en terme d’évaluation du coût potentiel de la menace, les résultats sont différents : 51 % des personnes interrogées ont déclaré que les erreurs humaines provoquent la plus grande perte financière ; Seulement 18 % pour la menace externe ; 15 % pour la menace interne et 9 % pour les dysfonctionnements du système et 7 % pour les attaques automatiques.

« La plus grande incohérence que notre étude ai permis de révéler est que les professionnels de l’IT savent clairement que les erreurs humaines causent 51 % de leurs pertes alors qu’en terme de budget, seulement 13 % d’entre eux placent le risque lié au facteur humain en haut de la liste et 40 % des personnes interrogées placent les erreurs humaines comme la menace la moins importante. Si les entreprises souhaitent dépenser leur budget de sécurité informatique de manière logique, il est temps de palier à cette contradiction », commente Zoltán Györko, CEO de BalaBit IT Security. BalaBit a également demandé aux participants de la RSA Conference d’estimer, jusqu’à combien le niveau de la sécurité informatique de leur entreprise pouvait être réduit pour satisfaire les besoins des utilisateurs à privilèges : 83 % des personnes interrogées ont répondu que leur niveau de sécurité était réduit (19 % fortement, notablement à 32 % et modérément à 32 %), pour satisfaire les utilisateurs privilégiés.

« En raison de leur manque de flexibilité, les solutions de contrôle d’accès ne sont souvent pas en mesure de prévenir les incidents mais empêchent les utilisateurs de travailler efficacement. La surveillance peut être un outil efficace contre les risques de sécurité liés au facteur humain, que la source soit interne ou externe. Les risques liés au facteur humain peuvent être considérablement diminués par la détection et le blocage des activités suspicieuses des utilisateurs. Les alertes et la surveillance en temps réel sont inévitables pour les comptes à privilèges, qui disposent de droits d’accès, de modification ou de suppression des informations sensibles de l’entreprise. Il n’est pas étonnant que leurs profils soient la cible principale des hackers. Un taux plus élevé de détection est plus dissuasif que le contrôle passif et plus favorable aux entreprises  », ajoute Zoltán Györko.

Banque, escroquerie, Phishing, Social engineering

Prudence au Phone phishing

Un commentaire

Des pirates informatiques, se faisant passer pour votre banque, n’hésite pas à vous appeler au téléphone pour se faire passer pour votre conseiller financier.

Deux personnes âgées, basées dans le centre-ouest de la France, viennent de faire les frais d’une technique bien rodée, le voice phishing ou phone phishing. Les deux victimes vivent à Thouars et à Nueil-les-Aubiers dans le 79. Étonnamment, les escrocs ont attaqué deux clients de la même agence bancaire. Les pirates, dans ce cas, ne se sont pas fait passer pour la banque mais pour l’opérateur Orange. L’excuse, une mise à jour des informations bancaires des interlocuteurs.

Attention, Data Security Breach des preuves de la même attaque sous forme d’appel de conseillers financiers. La technique est la suivante. Une personne vous contacte en expliquant qu’il vous reste de l’argent sur un compte bancaire. Le pirate indique alors que cet argent peut vous être transféré. Malin, l’escroc connait l’identité et le téléphone de sa victime. Si ce dernier a repéré la banque du « poisson », un jeu d’enfant pour continuer son piège. Il indique, au téléphone, les 4 chiffres qui seraient les premiers nombre de la carte bancaire de la personne contactée par téléphone. Ici, le piège se referme sur la potentielle victime.

Les 4 premiers chiffres, tout le monde peut les connaitre. D’abord, la carte, une Visa ou une MasterCard ? Si le premier chiffre est 5, vous n’avez pas le propriétaire d’une carte Visa (4), mais d’une MasterCard. Les trois chiffres suivants correspondent à la « marque » de l’entreprise bancaire éditrice de la CB : BNPParibas : 974 ; Caisse d’épargne : 978/927 ; La Poste : 970 ; Crédit lyonnais : 972 ; Sofinco : 976 ; La Bred : 975 ; Société Générale 973 ; Auchan/Accord : 032 ; Crédit Mutuel : 132. Si le premier chiffre est 5, vous n’avez pas une carte Visa (4), mais MasterCard.

Bref, vous comprenez ainsi le tour de passe-passe qui pourrait en bluffer plus d’un. Prudence donc et retenez une seule chose : On ne donne aucune information par téléphone.

 

Argent, Arnaque, Chiffrement, Contrefaçon, escroquerie, Logiciels

5 étapes pour sécuriser la confidentialité de votre navigateur

Un commentaire

Peu importe la source, toutes les statistiques que vous trouverez prouvent que les navigateurs les plus utilisés sont Chrome, Firefox et Internet Explorer. De nombreuses études et tests ont été effectués pour découvrir quel était le plus sûr de tous. Cependant, les tests ne font que démontrer la capacité de chaque navigateur à répondre à un ensemble de tests prédéfinis, habituellement appelé « sécurité de base ». Néanmoins, cette base change radicalement tous les mois.

Résultat, aucun navigateur n’est sûr à 100% même si certains navigateurs réparent les failles de sécurité plus rapidement que d’autres. Alors comment est-il possible d’améliorer son expérience de navigation sur Internet ? C’est dans ce but, que Sorin Mustaca, expert en sécurité IT d’Avira, propose 5 étapes pour une navigation plus sûre, plus confidentielle et peut-être même indirectement, plus rapide:

1.     Maintenez votre navigateur à jour
C’est la première étape de renforcement du navigateur car un navigateur vulnérable peut être exploité par une simple visite de sites Internet sans que vous n’en sachiez rien. Nous vous conseillons de toujours autoriser les mises à jour automatiques et de les installer aussitôt qu’elles sont disponibles. En cas de doute, installez un outil gratuit qui contrôle les failles potentielles de votre logiciel.

2.     Augmenter la sécurité intégrée dans votre navigateur
C’est la deuxième étape de renforcement du navigateur, elle peut être gérer de différentes façons :
– Configurez votre navigateur pour qu’il rejette les cookies tiers
– Désactivez les plugins dont vous n’avez pas besoin comme : ActiveX, Java, Flash etc.
– Permettez la protection anti-phishing et anti-malware déjà intégrée
– Configurez le navigateur pour envoyer la requête « ne pas traquer » à votre historique de navigation
– Chaque fois que cela est possible, désactivez le script actif. Soyez conscient que certains sites web ne pourront tout simplement pas fonctionner sans script (JavaScript en particulier).

Dans Internet Explorer, nombre de ces configurations peuvent être mises en place en changeant les paramètres dans « Sécurité » et « Confidentialité ».
– Activez le bloqueur intégré de pop-up
– Désactivez les anciennes barres d’outils qui ne vous sont plus utiles. (Avez-vous vraiment besoin de voir la météo ou avoir un traducteur à portée de main tout le temps?)

3.     Choisissez avec précaution quel plugin vous allez installer
Les plugins et add-ons permettent d’étendre facilement les fonctionnalités du navigateur. Cependant, il existe de nombreux plugins, même disponibles sur les stores officiels, qui sont, soit, malveillants, soit, qui présentent des problèmes importants en matière de sécurité et de confidentialité. Le plus inquiétant est que pour un utilisateur lambda, ces problèmes ne sont pas visibles jusqu’à ce qu’il soit trop tard. Ayez toujours en tête qu’un plugin a accès à tout ce que vous cliquez et voyez sur le navigateur, y compris toutes vos navigations en connexions cryptées. Le plugin réside dans le navigateur et a accès à tout ce que l’utilisateur voit. Le contenu est donc déjà décrypté et il n’y a absolument rien qui puisse empêcher un plugin malveillant d’envoyer toutes vos informations (bancaires, personnelles, etc.) à une quelconque adresse internet. Jetez toujours un coup d’œil sur le classement donné par d’autres utilisateurs avant d’installer un add-on. De plus, gardez un œil sur les autorisations demandées par l’add-on. Par exemple, si un message instantané d’add-on requiert l’accès à toutes vos URL, cela devrait vous mettre la puce à l’oreille.

4.     Installez les plugins de sécurité et de confidentialité
Il existe des extensions qui améliorent votre sécurité en faisant un filtrage sur les URL que vous visitez ou même de manière dynamique en analysant le contenu des pages internet. C’est le cas d’Avira Browser Safety. Si vous préférez choisir vous-mêmes vos extensions, il en existe de nombreuses qui empêchent le « tracking » et la publicité. Vous pouvez également utiliser Web of Trust (WOT), basé sur le crowdsourcing, il donne un point de vue indépendant sur le statut des URL.

5.     Forcez l’utilisation du protocole SSL quand cela est possible
Des extensions telles que HTTPS Anywhere essaient de choisir une connexion HTTPS au lieu de HTTP quand celle-ci est disponible pour sécuriser votre navigation.

Argent, Banque, Piratage

Piratage de CB : La police Française débarque en Bulgarie

2 commentaires

Deux ressortissants bulgares, arrêtés en 2011, viennent d’apprendre que leurs cas n’allaient pas s’arranger de sitôt.

La police Français, qui les avait arrêté en flagrant délit de pose de skimmeur sur un distributeur de billets, vient de débarquer ce 22 mai à leurs domiciles de Varna et Silistra, en Bulgarie. Les deux voleurs avaient caché dans leurs appartements respectifs le parfait petit nécessaire du pirate de distributeur de banque.

Des centaines de cartes bancaires vierges, prêtes à être clonées, et du matériel de skimming ont été saisis. La procédure de mandat d’arrêt européen a été lancée par le parquet de la Juridiction Inter-régionale Spécialisée (JIRS) de Nancy. Les deux hommes font partie d’un réseau international. Ils auraient trafiqué, avant de venir en France, des Guichets Automatiques de Billets allemands. (F3)

Entreprise, Paiement en ligne, Propriété Industrielle, spam

Des ultrasons pour sécuriser vos transactions

Un commentaire

Etonnante invention que celle proposée par la société CopSonic. Derrière cette start-up française basée à Montauban, Emmanuel Ruiz. Son idée, permettre de combattre le phishing et de proposer une nouvelle forme de sécurité informatique en faisant vibrer les sites officiels de manière à contrer les contrefaçons et à proposer une triple authentification.

Comment ? Via une technologie qui remplace l’identification visuelle par un ultra son. La sécurité fonctionne ainsi : une banque, un FAI ou une boutique en ligne installe sur son site l’invention de CopSonic. Le système de protection installé sur le portail à protéger diffuse un son qui fera réagir l’application de contrôle installé sur un téléphone portable ou une tablette. Si un pirate, un escroc, un adepte du phishing tente de reproduire la page protégé, il ne pourra pas reproduire le son de CopSonic « Notre sécurité diffuse un son unique pour chaque vérification, explique à la rédaction de Data Security Breach Emmanuel Ruiz. L’escroc ne pourra pas le reproduire« . Bilan, une sécurité quasi parfaite. Le client, face à son application muette, pourra ainsi s’assurer que le site qui lui est présenté est officiel ou non. L’idée de CopSonic est aussi de proposer une troisième authentification en plus de votre mot de passe, d’une double-authentification comme Google/Facebook peut le proposer [Lire]. En gros, en plus de vos précieux sésames (login et mot de passe) le site diffuse un ultra son qui permettra de valider votre accès après que votre smartphone soit reconnu.

Captcha et paiement en ligne à la vitesse du son
Autre possibilité que propose l’invention de la jeune PME, un système anti-spam, anti-brute force basé sur les ultrasons. A la base, un captcha est soit sous forme de chiffre et de lettres qui s’affichent à l’écran. Une série de lettres/chiffres qu’il faut reproduire pour pouvoir écrire un message dans un forum par exemple. L’opérateur Orange propose quant à lui une version avec des images. Le client doit retrouver des animaux, des moyens de locomotions ou des plantes afin de valider sa demande de son mot de passe. Bref, un captcha permet de contrer les robots spammeurs/pirates. Le but de CaptchaSonic est d’éliminer ou de limiter les actions des spammeurs et des robots dans les pages web.

DataSecurityBreach a pu tester l’outil. Au lieu d’avoir à déchiffrer un captcha graphique sur la page de validation, l’application gratuite propose de se passer de taper la moindre information. L’application sur le smartphone reçoit le son et valide le fait que vous soyez bien un humain. Autre possibilité, Pixeliris, une technologie de paiement mobile sans contact qui utilisent les ultrasons pour échanger des données sécurisées à travers les micros et enceintes des téléphones. Compatible avec 100% des téléphones mobiles… même si Apple freine la mise à disposition des applications de l’entreprise Française. En attendant, les possesseurs de smartphones sous Androïd et Windows phone peuvent déjà profiter de cette protection étonnante.

En attendant que la France s’intéresse un peu plus à ce beau projet, la Mission Economique de l’Ambassade de France-UBIFRANCE au Canada a sélectionné CopSonic, avec 9 autres start-ups Françaises, pour participer à la deuxième édition du French Tech Tour Canada (FTT) qui se déroulera du 2 au 6 Juin 2014 à Toronto (Canada). Plus de 25 entreprises avaient postulé pour prendre part à cette tournée. Les 10 entreprises ont été sélectionnées par les partenaires de l’événement incluant Bell, Telus, BlackBerry, Air Canada, Emerillon Capital, CGI, KPMG, … En novembre 2013, Pixeliris fut la seule entreprise française choisie pour représenter la France au cours d’une session de démonstration en petit comité avec le président français François Hollande, le ministre français des affaires étrangères Laurent Fabius, le président Israélien Shimon Peres et le premier ministre israélien Benyamin Netanyahou.

Logiciels

Navigateur sécurisé pour l’accès intranet depuis iOS

La nouvelle application de Cortado, Secure Net, permet aux entreprises de fournir à leurs collaborateurs un accès sécurisé aux applications et au contenu de leur intranet. Associée à la solution de mobilité d’entreprise de Cortado, Cortado Corporate Server, Secure Net permet de créer un conteneur iOS 7 réservé aux données professionnelles sécurisant l’accès à tous les contenus de l’entreprise. Depuis la sortie d’iOS 7, les entreprises peuvent créer un conteneur sécurisé pour les données professionnelles de leurs collaborateurs. En séparant données personnelles et données professionnelles, cette nouvelle fonctionnalité permet non seulement de renforcer la sécurité de l’entreprise, mais aussi d’intégrer parfaitement le système d’exploitation d’Apple par le biais de la mobilité d’entreprise. Il manque souvent aux entreprises un navigateur sécurisé pour leur accès intranet.

C’est exactement ce que propose aujourd’hui Cortado avec Secure Net. Il est possible d’ouvrir directement le navigateur ou de passer par l’application Cortado. Vos collaborateurs peuvent désormais accéder facilement aux applications Web ou aux sites intranet de votre entreprise, comme par exemple aux outils de gestion du temps et des frais de déplacement. Qui plus est, Secure Net permet aux utilisateurs de convertir les pages intranet, telles que les documents ou les mémos, en fichiers PDF et de les enregistrer dans l’application sécurisée Cortado. Il est alors possible de les consulter à tout moment, même en plein vol.

Entreprise, Fuite de données, Identité numérique, Leak, loi, Vie privée

Besoin urgent d’étendre les lois obligatoires sur les fuites de données

Le distributeur en ligne américain eBay a annoncé avoir été victime d’une cyber-attaque et a recommandé à tous ses utilisateurs de changer leur mot de passe. Dans un bulletin émis le mercredi 21 mai, l’entreprise a indiqué que certains identifiants appartenant à des employés avaient été volés, donnant aux pirates l’accès à son réseau interne. Le piratage s’est concentré sur une base de données contenant des noms de clients d’eBay, des mots de passe encryptés, des adresses e-mails et des dates de naissance, et ne concerne donc – à priori – pas les informations financières. Selon eBay, l’attaque a eu lieu entre fin février et début mars et aucune activité anormale de la part des utilisateurs ne semble avoir été détectée depuis.

Nous faisons face à un déluge de données volées, et avec un nombre si important de victimes touchées, souvent des millions de clients, il est grand temps d’étendre les lois relatives à la déclaration obligatoire de divulgations de données à tous les secteurs d’activité – et pas seulement pour les fournisseurs d’accès internet ou les opérateurs télécoms. En dépit des recommandations qui sont faites, de nombreuses personnes continuent d’utiliser le même mot de passe pour plusieurs comptes et avec le temps qu’il a fallu pour avertir les clients de l’existence de cette faille, ces derniers ont été exposés à d’importants risques durant toute cette période. En outre, les dommages pourraient continuer de s’étendre. Avec plus 128 millions d’utilisateurs actifs sur le site d’eBay dans le monde, s’il existe ne serait-ce qu’un pourcent d’entre eux qui utilisent le même mot de passe pour différents comptes professionnels, cela signifie que plus de 1 280 000 millions de réseaux d’entreprises sont potentiellement menacés. « Les hackers n’auront pas de mal à identifier les organismes dans lesquels travaillent toutes ces personnes via des sites comme LinkedIn et détermineront leurs prochaines cibles en fonction de leur importance. Il devient donc urgent d’accélérer la mise en place de lois pour que les clients puissent être confiants et assurés que si leurs données tombent entre de mauvaises mains, des mesures seront prises très rapidement pour en limiter l’accès. » explique Jean-Pierre Carlin de chez LogRhythm.

Avec un tel volume de données traitées chaque jour par les entreprises, il est évident qu’il ne s’agit pas une tâche facile. Cela nécessite une surveillance permanente de la moindre activité sur le réseau ainsi que la capacité à comprendre et à considérer ce qu’est une activité « normale ». Un tel niveau d’information permet aux organismes de détecter les menaces en temps réel et d’y remédier en conséquence – non seulement en accélérant le temps nécessaire pour détecter une faille mais aussi celui qu’il faut pour avertir les clients. « Toutes les entreprises ont la responsabilité de protéger les données personnelles de leurs clients autant que possible et c’est seulement grâce à cette capacité à alerter rapidement les utilisateurs d’une éventuelle menace qu’ils pourront à nouveau accorder leur confiance. » termine Jean-Pierre Carlin.

Selon deux enquêtes commandées par IBM auprès de l’institut Ponemon, le coût moyen de la violation des données a augmenté de 15%, pour atteindre une moyenne de 3,5 millions de dollars. Les études indiquent également que les attaques ciblées sont considérées comme la plus grande menace par la majorité des entreprises. Leur coût est estimé à 9,4 millions de $ de perte en valeur intrinsèque pour la marque. Pour la France, le coût d’une violation de données est en moyenne de 4,19$ (2.88€). La France est le pays où la proportion des attaques ciblées est la plus forte. Des attaques qui sont les plus graves. Le taux d’érosion de clients suite à un incident de violation de données serait, toujours selon IBM, très fort en France.

Pour finir, DataSecurityBreach.rf rappelle l’article 34 de la loi Informatique et Libertés qui impose au responsable de traitement de prendre les mesures nécessaires pour sécuriser les données à caractère personnel. Le responsable de traitement doit se tenir informé et réagir lorsqu’une faille d’une telle ampleur est découverte. Ne pas corriger une faille de sécurité connue et pour laquelle des correctifs sont proposés est susceptible de constituer un manquement à l’obligation de sécurisation imposée aux responsables de traitement.