Tous les articles par Damien Bancal

Damien Bancal, expert reconnu en cybersécurité Damien Bancal est une figure incontournable de la cybersécurité, reconnu à l’international pour son expertise et son engagement depuis plus de 30 ans. Fondateur de ZATAZ.com en 1989 (et DataSecurityBreach.fr en 2015), il a fait de ce média une référence majeure en matière de veille, d’alertes et d’analyses sur les cybermenaces. Auteur de 17 ouvrages et de plusieurs centaines d’articles pour des médias comme Le Monde, France Info ou 01net, il vulgarise les enjeux du piratage informatique et de la protection des données personnelles. Lauréat du prix spécial du livre au FIC/InCyber 2022, finaliste du premier CTF Social Engineering nord-américain (2023), et vainqueur du CTF Social Engineering du HackFest Canada (2024), il est reconnu pour sa capacité à allier pratique du terrain et transmission pédagogique. Le New York Times ou encore Le Big Data ont salué son parcours, et l’agence Tyto PR l’a classé parmi les 500 personnalités tech les plus influentes en 2023. Il est aujourd’hui 9ᵉ influenceur cyber en Europe. Chroniqueur à la radio et à la télévision (France Info, RTL, M6, Medi1...), il est également réserviste citoyen au sein de la Gendarmerie Nationale (Lieutenant-Colonel - Unité Nationale Cyber) et de l'Éducation Nationale (Hauts-de-France). Médaillé de la Défense Nationale (Marine) et des réservistes volontaires, il poursuit son engagement au travers de son entreprise veillezataz.com, lancée en 2022.
Cybersécurité, Entreprise, Social engineering

La nouvelle arnaque nord-coréenne : extorsion de fonds par de faux travailleurs informatiques

Une nouvelle forme de cybercriminalité nord-coréenne inquiète les entreprises américaines et britanniques : l’infiltration d’agents nord-coréens sous couvert de travailleurs informatiques. Grâce à des identités volées ou falsifiées, ces individus accèdent à des informations sensibles et, une fois découverts, extorquent des rançons à leurs employeurs.

L’arnaque des faux travailleurs informatiques n’est pas nouvelle, mais ce qui est inédit, c’est la tactique d’extorsion qui s’est développée au sein de ces opérations. Les agents, souvent employés comme sous-traitants informatiques dans de grandes entreprises, commencent par voler des données sensibles dès leur embauche. Lorsqu’ils sont licenciés pour des performances insuffisantes ou démasqués, ces agents menacent de rendre publiques les informations volées à moins de recevoir une rançon.

Par exemple, un sous-traitant a commencé à exfiltrer des données dès les premiers jours de son contrat en 2024. Après son licenciement, l’entreprise a reçu des demandes de rançon à six chiffres en cryptomonnaie. L’agent a envoyé des preuves du vol de données à travers des e-mails provenant de plusieurs adresses anonymes.

Un programme massif et organisé

Ces extorsions sont la partie émergée d’un vaste programme d’infiltration mené par le gouvernement nord-coréen. Depuis plusieurs années, les États-Unis et d’autres pays occidentaux mettent en garde les entreprises contre le recrutement de faux travailleurs informatiques, souvent opérant depuis la Chine ou la Russie, mais se faisant passer pour des résidents locaux grâce à des infrastructures de fermes d’ordinateurs portables. Le programme, qui ciblait initialement les entreprises de cryptomonnaie, s’est élargi aux entreprises du Fortune 100 et à des secteurs variés comme les technologies de l’information, les systèmes de chaîne d’approvisionnement, ou encore la production de puces électroniques.

Selon James Silver, directeur de la sécurité de Secureworks, ces agents ne se contentent pas d’extorquer de l’argent. Ils sont également intéressés par des informations sensibles, allant de la propriété intellectuelle aux données militaires et financières. Cela permet à la Corée du Nord de financer ses programmes militaires tout en profitant d’un flux de revenus via les rançons demandées aux entreprises.

Cependant, certaines de ces infiltrations semblent cibler des données qui ne sont pas traditionnellement d’intérêt pour Pyongyang, ce qui laisse penser qu’il pourrait y avoir une collaboration avec d’autres acteurs, comme la Chine. Stephen Schmidt, directeur de la sécurité chez Amazon, a mentionné lors d’une conférence que certaines informations exfiltrées semblaient plus utiles à Pékin qu’à Pyongyang, suggérant une éventuelle relation d’échange d’informations entre les deux nations.

Techniques utilisées par les agents nord-coréens

Les faux travailleurs nord-coréens utilisent plusieurs méthodes pour éviter d’être démasqués. Ils masquent souvent leur adresse IP et dirigent leurs ordinateurs portables professionnels vers des centres de calcul situés à l’étranger. Ils exploitent des outils tels que Chrome Remote Desktop ou AnyDesk pour accéder à distance aux systèmes de leurs employeurs.

Un autre indice de leur activité frauduleuse réside dans leur réticence à participer à des appels vidéo, souvent demandés par les entreprises pour vérifier l’identité des employés. Pour contourner ce problème, ces agents ont commencé à utiliser des outils comme SplitCam, qui permet de gérer plusieurs conversations vidéo en même temps à partir d’une seule webcam, brouillant ainsi davantage leur identité.

Les recherches menées ont révélé une tendance au partage d’identités parmi les agents nord-coréens. Dans certains cas, plusieurs individus semblent utiliser la même adresse e-mail ou CV pour postuler à différents postes. Lorsqu’un agent est démasqué ou licencié, il est parfois remplacé par un autre individu du même réseau, ce qui complique la tâche des entreprises pour identifier les véritables responsables.

Les défis de la détection et les risques pour les entreprises

Les entreprises touchées par ces infiltrations se trouvent confrontées à des défis majeurs. L’utilisation de faux profils, combinée à des méthodes de travail à distance, rend la détection des agents malveillants particulièrement difficile. Il a été observé que les agents nord-coréens mettent à jour fréquemment leurs informations bancaires et utilisent des services comme Payoneer pour éviter les systèmes de contrôle traditionnels. Cela permet de masquer les flux financiers et de rendre plus difficile l’identification des transactions suspectes.

De plus, ces agents travaillent souvent en réseau, se recommandant les uns les autres auprès des entreprises et partageant des identités et des outils pour faciliter l’infiltration. Dans certains cas, une seule personne peut adopter plusieurs identités ou utiliser différents styles de communication pour tromper ses employeurs.

Le risque pour les entreprises ne se limite plus à la perte de données ou à l’extorsion financière. Le vol de propriété intellectuelle, en particulier dans les secteurs technologiques et militaires, peut avoir des conséquences graves sur la sécurité nationale, en plus des pertes économiques. Les entreprises qui embauchent par inadvertance ces agents nord-coréens se retrouvent souvent dans des situations délicates, où elles doivent non seulement gérer les répercussions internes mais aussi les risques de réputation et de responsabilité légale.

La combinaison de cybercriminalité, d’espionnage industriel, et d’extorsion à grande échelle fait de ce phénomène un défi croissant pour les entreprises à travers le monde. Avec des méthodes de plus en plus sophistiquées et une expansion rapide de leurs cibles, les acteurs nord-coréens posent une menace sérieuse que les forces de l’ordre internationales peinent à contenir.

Avez-vous embauché un agent nord-coréen sans le savoir ? 

Parmi les comportements suspects observés, si un employé insiste pour utiliser ses propres appareils, évite de se présenter à la webcam, et modifie fréquemment ses services de paiement, il pourrait s’agir d’un agent nord-coréen infiltré. Ces tactiques sont utilisées par Nickel Tapestry, un groupe soutenu par l’État nord-coréen, pour placer de faux travailleurs dans des entreprises commerciales basées aux États-Unis, au Royaume-Uni, et en Australie.

Utilisation d’équipements personnels : Les faux employés demandent souvent à utiliser leur propre ordinateur portable ou une infrastructure de bureau virtuel pour éviter de se connecter avec l’équipement de l’entreprise, ce qui complique la surveillance de leurs activités.
Camouflage de leur emplacement : Certains employés font envoyer leur équipement de travail à des adresses anonymes ou utilisent des fermes d’ordinateurs portables masquées par des adresses IP américaines.
Évitement des appels vidéo : Lorsqu’ils sont contraints d’utiliser les appareils de l’entreprise, ces agents invoquent des « problèmes techniques » pour éviter de se présenter lors des réunions en visioconférence. Dans certains cas, ils utilisent même des logiciels de clonage vidéo pour simuler leur présence.

Une infiltration bien orchestrée

Les agents de Nickel Tapestry ne se contentent pas de travailler seuls. Ils créent des réseaux entiers de faux employés et de fausses entreprises, fournissant des références professionnelles crédibles et gérant les paiements. Si un agent est découvert ou licencié, il est rapidement remplacé par un autre, permettant ainsi au système de continuer à fonctionner sans interruption. Les documents et CV utilisés par ces agents présentent souvent des similitudes dans leur style d’écriture, laissant supposer que plusieurs personnages sont contrôlés par une seule et même personne, ou par un groupe coordonné. Pour éviter d’être repérés par les banques, ces agents mettent à jour leurs comptes bancaires de manière régulière ou utilisent des services de paiement numérique comme Payoneer, qui a indiqué travailler de manière proactive pour lutter contre cette menace.

Le programme de cybercriminalité nord-coréen : une source de revenus vitale

L’infiltration des entreprises étrangères est devenue une source de revenus essentielle pour la Corée du Nord, qui est soumise à de sévères sanctions internationales limitant ses débouchés économiques. En 2022, le FBI, le département du Trésor et le département d’État des États-Unis ont publié un avertissement public, qualifiant le programme d’infiltration des travailleurs informatiques nord-coréens de « source de revenus cruciale » pour le régime de Pyongyang.

Les agents nord-coréens placés dans des entreprises occidentales, mais opérant en réalité depuis la Chine ou la Russie, peuvent gagner jusqu’à 300 000 dollars par an, ce qui représente un revenu dix fois supérieur à celui d’un ouvrier moyen en Corée du Nord.

Ces fonds servent à financer les projets militaires du pays, notamment son programme d’armement nucléaire. Le dirigeant nord-coréen, Kim Jong Un, a investi massivement dans les infrastructures informatiques et la formation des informaticiens du pays. De nombreux Nord-Coréens reçoivent des diplômes en informatique via des programmes rigoureux mis en place dans des centres de recherche régionaux, tant en Corée du Nord qu’à l’étranger. (treasury.gov)

Cybersécurité

Microsoft avertit ses clients d’une perte de journaux critiques due à un bug

Microsoft a récemment averti plusieurs entreprises clientes d’une perte de journaux critiques en raison d’un bug technique, affectant la période du 2 au 19 septembre.

Les journaux de sécurité sont cruciaux pour la surveillance des accès non autorisés et des activités suspectes. Le bug qui a touché plusieurs services de Microsoft, notamment Microsoft Entra, Azure Logic Apps, Microsoft Sentinel, et Azure Monitor, a couvert une période de 15 jours, du 2 au 19 septembre 2024. Les organisations s’appuient sur ces enregistrements pour détecter des cybermenaces, et leur absence pourrait compliquer l’analyse des données et la sécurité globale des systèmes.

Parmi les services touchés, Microsoft Entra a subi des lacunes dans les tentatives de connexion enregistrées, compromettant la surveillance des accès réseau. Azure Logic Apps et Azure Monitor ont rapporté des pertes dans les données de télémétrie et les journaux de ressources. Pour Microsoft Sentinel, qui gère les journaux de sécurité, les échecs de journalisation compliquent la détection des menaces, rendant plus difficile l’identification de comportements malveillants.

Origines du bug

Selon Microsoft, ce problème est survenu alors que l’entreprise tentait de résoudre un autre dysfonctionnement lié à son service de collecte de journaux. Bien que les détails techniques restent limités, Microsoft a travaillé à résoudre ce nouveau bug dès qu’il a été découvert.

Les entreprises concernées s’appuient sur ces journaux pour assurer la cybersécurité et surveiller les anomalies dans les comportements réseau. L’absence de données pendant cette période pourrait rendre les systèmes vulnérables et ralentir l’investigation en cas d’attaque cybernétique. Les failles dans des services comme Azure Virtual Desktop et Power Platform compliquent également l’accès aux données d’analyse essentielles pour le bon fonctionnement des opérations informatiques.

Microsoft, dans son communiqué, a affirmé qu’il prenait l’incident très au sérieux. La société travaille activement à résoudre les problèmes sous-jacents et assure que des mesures supplémentaires sont mises en place pour éviter de futures interruptions de ce type. L’entreprise conseille à ses clients de vérifier leurs systèmes et de renforcer leurs protocoles de sécurité pour combler les potentielles lacunes créées par la perte des journaux. (business insider)

Entreprise

Discord interdit en Russie, Kaspersky interdit sur Google Play

Une nouvelle plateforme communautaire interdite en Russie. Discord ne fonctionne plus pour les internautes Russes. Pendant ce temps, Kaspersky est banni du Google Store.

La plateforme populaire de communication vocale et de messagerie Discord a été officiellement bloquée en Russie, marquant une nouvelle étape dans les efforts du gouvernement pour renforcer le contrôle sur l’espace Internet du pays. Roskomnadzor, l’agence russe de régulation des communications, a expliqué que ce blocage était dû au non-respect des lois russes sur le stockage des données sur le territoire national et le filtrage des contenus. Selon Roskomnadzor, Discord aurait ignoré à plusieurs reprises les avertissements concernant la localisation des serveurs et l’accès aux données des utilisateurs, ce qui, selon l’agence, constitue une menace pour la sécurité nationale. Le service a également souligné que la plateforme permettait une communication anonyme qui pourrait être exploitée à des fins d’extrémisme et de terrorisme.

Dans ce contexte, la Russie exige que toutes les plateformes stockant des données personnelles localisent ces informations sur des serveurs russes et les rendent accessibles aux autorités en cas d’enquête, notamment dans le cadre de la lutte contre l’extrémisme et le terrorisme. Roskomnadzor a réitéré que la protection des citoyens russes contre les violations de leurs données personnelles et la préservation de la souveraineté informationnelle du pays sont des priorités. Le blocage de Discord, tout comme celui d’autres plateformes internationales, entre dans cette logique.

La décision de bloquer Discord a eu des répercussions immédiates et significatives sur la communauté en ligne russe. Bien que la plateforme soit largement connue pour son utilisation dans les jeux vidéo, elle est également devenue un outil essentiel pour de nombreux professionnels et étudiants, en particulier pour les réunions de travail, les échanges de projets et même les formations à distance. Selon Downdetector, les premiers problèmes d’accès à Discord ont été signalés le matin du 8 octobre. Plus tard dans la journée, Roskomnadzor a confirmé que la plateforme avait été bloquée. Le blocage de Discord s’ajoute à une série d’interdictions similaires visant d’autres plateformes populaires telles que LinkedIn, Google News et, plus récemment, Instagram, sous prétexte de non-respect des lois russes sur la cybersécurité et la protection des données.

Pour de nombreux utilisateurs russes, le blocage de Discord représente un coup dur, notamment pour ceux qui l’utilisent comme un outil de communication clé dans le cadre de leurs activités professionnelles ou personnelles. De nombreuses personnes ont exprimé leur frustration face à cette décision, tandis que d’autres recherchent déjà des solutions pour contourner le blocage, notamment par l’utilisation de VPN. Alors que les réactions varient, une question demeure : comment cette série de blocages affectera-t-elle l’avenir du numérique en Russie et la place des grandes plateformes internationales dans ce paysage de plus en plus restreint ?

Pendant ce temps, Kaspersky, l’éditeur d’antivirus Russe, se retrouvait éjecté de la boutique de Google. Les produits Kaspersky Lab tels que Kaspersky Endpoint Security et VPN & Antivirus de Kaspersky ne sont plus disponibles au téléchargement sur Google Play aux États-Unis et dans plusieurs autres régions du monde. Les forums officiels de Kaspersky ont confirmé le problème et indiqué que l’entreprise étudiait actuellement les raisons pour lesquelles ses applications ne sont plus disponibles sur le Google Play Store.

Entreprise, Justice, RGPD

Marriott et Starwood : un règlement de 52 millions de dollars pour violation de données personnelles

Marriott International, ainsi que sa filiale Starwood Hotels, ont accepté de verser 52 millions de dollars dans le cadre d’un règlement suite à une série de violations de données ayant exposé les informations personnelles de 344 millions de clients.

Le parcours de Marriott et Starwood en matière de sécurité des données est marqué par trois violations majeures. En juin 2014, une première faille chez Starwood a compromis les informations relatives aux cartes de paiement des clients, une fuite qui est restée non détectée pendant 14 mois. L’ampleur de cet incident a augmenté le risque pour des millions de clients, dont les informations étaient à la merci des cybercriminels.

Un deuxième incident s’est produit en juillet 2014, révélant cette fois 339 millions de dossiers clients, dont 5,25 millions de numéros de passeport non cryptés. Ce n’est qu’en septembre 2018 que cette faille a été découverte, laissant les clients dans une situation de vulnérabilité prolongée. Ces deux événements, antérieurs à l’acquisition de Starwood par Marriott, ont néanmoins rendu ce dernier responsable de la protection des données à la suite de l’intégration.

En septembre 2018, Marriott a également été directement touché par une attaque. Cette fois, les informations personnelles de 5,2 millions de clients ont été compromises, incluant les noms, adresses e-mail, numéros de téléphone, dates de naissance et informations liées aux comptes de fidélité. Bien que cet incident ait eu lieu en 2018, la fuite n’a été découverte qu’en février 2020, mettant en évidence des failles dans la détection et la gestion des incidents de cybersécurité.

Les conséquences du règlement pour Marriott et ses clients

Cet accord intervient après plusieurs incidents de sécurité, dont certains remontent à 2014, avant même l’acquisition de Starwood par Marriott en 2016. Outre l’amende, Marriott devra mettre en place un programme de cybersécurité complet, offrir aux clients la possibilité de supprimer leurs données personnelles et limiter la quantité d’informations stockées.

Pour faire face aux répercussions de ces violations, Marriott a accepté de verser 52 millions de dollars aux autorités de 49 États américains. L’entreprise devra également instaurer des mesures de sécurité renforcées, parmi lesquelles l’implémentation d’un programme complet de protection des données, des audits tiers réguliers, et des limitations strictes quant aux données clients stockées. Ces efforts visent à empêcher de futurs incidents similaires, en assurant que seules les informations nécessaires sont conservées et en offrant aux clients la possibilité de demander la suppression de leurs données personnelles.

Cet accord, bien que coûteux pour Marriott, constitue un signal fort quant à l’importance de la cybersécurité dans un monde de plus en plus connecté. Avec plus de 7 000 hôtels répartis dans 130 pays, Marriott est une entreprise qui gère une quantité massive de données personnelles. La multiplication des attaques informatiques visant les grandes entreprises a souligné l’urgence d’investir dans des systèmes de protection robustes et d’assurer une vigilance constante face aux menaces cybernétiques.

La Federal Trade Commission (FTC) des États-Unis, qui a surveillé de près les différentes violations, a souligné que les entreprises doivent non seulement protéger les données de leurs clients, mais également être en mesure de détecter rapidement toute faille de sécurité pour minimiser les risques. Le cas de Marriott illustre parfaitement l’importance de la détection précoce : une fuite restée inaperçue pendant plusieurs mois, voire années, expose non seulement l’entreprise à des sanctions sévères, mais surtout met en danger les informations sensibles de millions de personnes.

Des changements structurels pour une meilleure gestion des données

L’une des principales mesures prises par Marriott dans le cadre de cet accord est l’audit régulier de ses systèmes de sécurité par des tiers. Cette pratique permettra de garantir que les nouvelles politiques de sécurité mises en place sont effectivement respectées et fonctionnent efficacement. Limiter la quantité de données stockées est également une réponse directe aux violations antérieures, où des informations non nécessaires étaient conservées, augmentant inutilement les risques en cas de piratage.

Offrir aux clients la possibilité de supprimer leurs données personnelles est une autre mesure significative, permettant une transparence accrue et un contrôle direct sur les informations partagées. Ce droit de suppression répond aux attentes croissantes en matière de protection des données dans le cadre des législations internationales, telles que le Règlement général sur la protection des données (RGPD) en Europe.

Cybersécurité, Entreprise

Piratage chez MediCheck : des données médicales sensibles divulguées par le groupe Killsec

Un nouvel épisode de cyberattaque par ransomware frappe durement la Belgique. Le groupe de hackers Killsec a publié plus de 50 000 documents contenant des informations médicales sensibles sur des patients belges.

Ces données ont été dérobées après une intrusion en ligne dans les systèmes de MediCheck, une entreprise spécialisée dans les contrôles médicaux pour des entreprises comme bpost, H&M, et Lidl. La fuite concerne des informations telles que les noms et adresses des patients, des médecins-contrôles, ainsi que des données sur les symptômes médicaux et les médicaments prescrits.

Les pirates du groupe Killsec ont initialement exigé une rançon pour éviter la publication de ces documents. Bien que MediCheck ait d’abord affirmé ne pas vouloir entrer en contact avec les hackers, des négociations ont finalement eu lieu. Ces discussions n’ont pas abouti, et, en conséquence, toutes les données dérobées ont été publiées sur le dark web. Ces informations incluent des données confidentielles concernant l’absentéisme justifié ou non des employés, ce qui soulève des inquiétudes majeures quant à la vie privée et la confidentialité des dossiers médicaux en Belgique.

L’impact de la fuite et la réaction de MediCheck

Cette fuite de données compromet sérieusement la sécurité des informations médicales en Belgique. Dina De Haeck, CEO de MediCheck, a reconnu la gravité de l’incident en affirmant que son entreprise avait « beaucoup appris » de ce piratage. Depuis l’attaque, MediCheck a renforcé ses mesures de sécurité en collaboration avec le Centre pour la cybersécurité Belgique et a annoncé la mise en place d’un audit de sécurité trimestriel. Malgré le silence qui a entouré l’entreprise après l’incident, MediCheck prévoit de relancer ses activités la semaine prochaine, après avoir renforcé ses systèmes.

Le précédent avec Penbox

Il est important de noter que ce n’est pas la première fois que Killsec s’attaque à une entreprise belge. Le mois dernier, le groupe avait dérobé des données à Penbox, une autre entreprise belge. Toutefois, Penbox avait réussi à éviter la divulgation de ces informations en payant une rançon pour récupérer les données volées. Cette affaire montre que Killsec continue d’exploiter des failles dans les systèmes de sécurité des entreprises, renforçant ainsi l’importance de mesures de cybersécurité accrues pour prévenir de telles attaques. (Le Vif)

Bitcoin, Cybersécurité, Entreprise

Ça pirate à tout-va dans le monde de la cryptomonnaie.

Une série d’attaques majeures secoue l’écosystème des crypto-monnaies et des services financiers

Ces dernières semaines, l’écosystème des crypto-monnaies et des services financiers a été frappé par une série d’attaques massives, affectant plusieurs plateformes de premier plan à travers le monde. Indodax, BingX, Truflation et MoneyGram figurent parmi les victimes les plus marquantes de ces incidents de cybersécurité, qui ont entraîné des pertes cumulées de plusieurs millions de dollars. Ces événements soulignent la vulnérabilité des systèmes numériques et la nécessité croissante de renforcer la sécurité dans l’univers des actifs numériques et des services financiers en ligne.

L’attaque contre Indodax : plus de 22 millions de dollars en crypto-monnaies volés

Le 10 septembre 2024, l’échange de crypto-monnaies Indodax, basé en Indonésie, a été frappé par une cyberattaque qui a conduit au vol de plus de 22 millions de dollars en divers jetons numériques. Selon des rapports publiés par les experts en cybersécurité de Slowmist et CertiK, l’attaque a ciblé les portefeuilles chauds de la plateforme – ces portefeuilles qui sont connectés en permanence à Internet pour permettre un accès rapide aux fonds et aux transactions. Bien que cette fonctionnalité soit essentielle pour faciliter l’expérience utilisateur, elle présente également des risques accrus de vulnérabilité face aux cyberattaques.

Plus de 14 millions de dollars en Ethereum (ETH)
2,4 millions de dollars en Tron (TRX)
1,4 million de dollars dans d’autres actifs cryptographiques

L’attaque contre Indodax est l’une des plus importantes en termes de montant dérobé cette année. Elle a jeté un froid sur l’industrie des crypto-monnaies, suscitant des inquiétudes quant à la sécurité des actifs détenus sur les plateformes d’échange. Bien que la société ait immédiatement pris des mesures pour renforcer ses mesures de sécurité et protéger les fonds restants, cet incident met en lumière les failles persistantes dans les systèmes de sécurité des portefeuilles chauds.

BingX : une perte colossale de plus de 44 millions de dollars

À peine quelques jours après l’attaque contre Indodax, un autre échange de crypto-monnaies majeur a été ciblé. BingX, une plateforme de crypto-monnaies basée à Singapour, a révélé avoir subi une cyberattaque qui a entraîné la perte de plus de 44 millions de dollars en actifs numériques.

L’attaque a été découverte après que les spécialistes en sécurité de la blockchain ont commencé à enregistrer des retraits anormalement élevés sur la plateforme. En réponse, BingX a suspendu temporairement ses opérations, expliquant qu’il s’agissait d’une « maintenance du portefeuille ». Cependant, l’entreprise a rapidement confirmé que cette suspension était en réalité due à la détection d’un accès réseau anormal, ce qui a mis en lumière la gravité de la situation.

La suspension des travaux et des transactions a généré une onde de choc parmi les utilisateurs de la plateforme, soulevant des questions sur la sécurité des fonds déposés. À ce jour, BingX n’a pas encore fourni de détails sur la manière dont l’attaque a été menée, ni sur la manière dont l’entreprise prévoit de compenser les pertes subies. Cependant, cette attaque est l’une des plus importantes survenues cette année en termes de pertes financières.

Truflation : une attaque ciblant la trésorerie et les portefeuilles personnels

Le 25 septembre 2024, une nouvelle attaque a secoué la sphère des crypto-monnaies. Cette fois, c’est Truflation, une plateforme blockchain spécialisée dans la fourniture de données financières, qui a été prise pour cible. Selon des informations partagées par le chercheur en sécurité blockchain ZachXBT, environ 5 millions de dollars ont été volés au cours de cette attaque, principalement à partir de la trésorerie de la plateforme et des portefeuilles personnels de certains de ses membres.

L’incident a été détecté lorsque Truflation a observé des activités anormales sur ses systèmes, indiquant un accès non autorisé à ses fonds. Les hackers semblent avoir utilisé des techniques avancées pour contourner les mesures de sécurité de la plateforme et s’approprier les actifs cryptographiques. Truflation a rapidement réagi en renforçant ses contrôles de sécurité, mais l’incident montre à quel point même les projets les plus réputés peuvent être vulnérables.

Ce type d’attaque soulève des préoccupations importantes quant à la protection des fonds au sein des plateformes décentralisées, et met en avant l’importance de systèmes de sécurité encore plus robustes, particulièrement lorsqu’il s’agit de protéger des trésoreries conséquentes.

MoneyGram : perturbation majeure des services de transfert d’argent

Le secteur financier traditionnel n’a pas été épargné par cette vague d’attaques. Le 20 septembre 2024, MoneyGram, un géant des services de transfert d’argent, a suspendu l’ensemble de ses opérations en raison d’un cyber-incident d’envergure. Les services en ligne et hors ligne de MoneyGram ont cessé de fonctionner, plongeant ses millions d’utilisateurs dans l’incertitude.

Le 22 septembre, MoneyGram a confirmé que cette suspension était la conséquence directe d’une cyberattaque ayant compromis les données personnelles de ses clients ainsi que des informations sur leurs transactions. Bien que la société ait indiqué qu’elle enquêtait sur l’incident, elle n’a pas encore fourni de détails quant au nombre exact d’utilisateurs touchés ni à l’ampleur des données compromises.

L’impact de cette attaque est profond. MoneyGram, étant un acteur majeur dans le secteur des transferts d’argent, dessert des millions de personnes à travers le monde. La perturbation de ses services pendant plusieurs jours a non seulement affecté des transactions financières cruciales, mais a également semé le doute sur la capacité de l’entreprise à protéger les données sensibles de ses utilisateurs. Bien que le système soit progressivement remis en ligne, la réputation de MoneyGram pourrait être durablement affectée par cet incident.

Ces attaques successives montrent clairement que l’ère numérique, et en particulier le secteur des crypto-monnaies, reste une cible privilégiée pour les cybercriminels. Les attaques contre Indodax, BingX, Truflation, et MoneyGram mettent en lumière la sophistication croissante des menaces auxquelles ces plateformes doivent faire face.

Bitcoin, Cybersécurité

Telegram : les transactions crypto dans la ligne de mire

Telegram vient d’ajouter une nouveauté dans sa FAQ qui ne plaira pas aux pirates !

Depuis l’arrestation en août 2024 de Pavel Durov, cofondateur de Telegram, les groupes de pirates sur la plateforme sont en panique. La FAQ de Telegram précise désormais que l’application Wallet, utilisée pour les transactions en cryptomonnaies, est prête à divulguer les informations des utilisateurs aux forces de l’ordre.

Bien que Telegram ne gère pas directement Wallet, cette mise à jour de la politique de confidentialité intervient après l’arrestation de Durov et signale un changement dans la gestion de l’anonymat pour les transactions effectuées via la plateforme.

Cybersécurité, Entreprise

Anti-spoofing d’entreprise : Apple sonne la fin du « game » ?

Une nouvelle fonctionnalité pour les utilisateurs Apple permet de distinguer un appel d’une véritable entreprise du spam et des arnaques.

Apple va mettre en place, dans quelques semaines, une option dédiée à contrer les escroqueries et les tentatives d’usurpation d’identité des entreprises. Les sociétés vérifiées via l’option « Business Caller ID » pourront afficher leur logo, leur nom et leur service directement sur l’écran d’appel des appareils Apple. Toute entreprise vérifiée peut s’inscrire sur Apple Business Connect, sans que la taille, l’emplacement géographique ou la présence d’un bureau ne soient des facteurs limitants. La vérification est basée sur l’identifiant Apple.
Le lancement de cette nouvelle fonctionnalité est prévu pour 2025.

Banque, Cybersécurité, loi

Fausse musique et hack de streaming pour 10 millions de dollars !

Les autorités américaines ont récemment inculpé Michael Smith, 52 ans, pour avoir orchestré une fraude aux services de streaming d’une valeur de plus de 10 millions de dollars. Smith aurait utilisé des technologies d’intelligence artificielle (IA) pour générer des centaines de milliers de chansons et les diffuser via des plateformes telles que Spotify, Apple Music, YouTube Music et Amazon Music.

Smith fait face à plusieurs chefs d’accusation, notamment fraude électronique, complot en vue de commettre une fraude électronique et blanchiment d’argent. Chaque accusation pourrait entraîner jusqu’à 20 ans de prison s’il est reconnu coupable. En plus de produire de la musique via IA, Smith aurait manipulé le nombre d’écoutes à l’aide de robots, ce qui lui a permis de percevoir des redevances frauduleuses sur les diffusions.

Selon les autorités, cette fraude aurait duré de 2017 à 2024. Smith aurait utilisé des milliers de comptes fictifs créés à partir d’adresses électroniques achetées pour mettre en œuvre son stratagème. À l’aide d’un logiciel développé en interne, il diffusait en continu ses propres compositions générées par IA, en imitant l’activité de véritables utilisateurs répartis dans plusieurs régions afin de ne pas éveiller les soupçons.

Pour rendre son opération plus crédible et passer sous le radar des plateformes de streaming, Smith a mis en place une stratégie méticuleuse. Il veillait à ne jamais diffuser un morceau trop de fois et choisissait soigneusement des noms d’artistes et de chansons générés par IA afin qu’ils se fondent dans la masse des véritables groupes musicaux. Parmi les exemples cités, des artistes fictifs comme Callous Post et Calorie Screams ont vu leurs morceaux, aux titres étranges tels que Zygotic Washstands et Zymotechnical, inonder les plateformes de streaming.

Les documents d’enquête révèlent que Smith avait commencé en téléchargeant ses propres compositions originales sur les services de streaming, mais ses revenus modestes l’ont incité à passer à la musique générée par IA. En 2018, il s’est associé à un dirigeant anonyme d’une société spécialisée en musique IA et à un promoteur de musique pour créer une vaste bibliothèque de contenu musical produit artificiellement. Bien que les documents judiciaires ne détaillent pas précisément la technologie utilisée pour générer ces morceaux, il est clair que Smith a exploité la flexibilité et la rapidité de production de l’IA pour contourner les systèmes de détection de fraude.

Des millions d’écoutes et des millions de dollars

Le stratagème s’est avéré extrêmement lucratif. Dans des messages internes, Smith a affirmé qu’il pouvait diffuser ses morceaux jusqu’à 661 440 fois par jour, générant ainsi potentiellement 3 307,20 dollars quotidiennement, soit environ 1,2 million de dollars par an. Au plus fort de son activité, Smith contrôlait plus de 1 000 comptes automatisés, chacun hébergeant plusieurs bots destinés à augmenter artificiellement les écoutes de ses morceaux.

En juin 2019, Smith gagnait environ 110 000 dollars par mois, partageant une partie de ces revenus avec ses complices. En 2023, il se vantait d’avoir accumulé 4 milliards de streams et récolté un total de 12 millions de dollars de royalties depuis 2019. Smith a réussi à tromper les services de streaming pendant plusieurs années en manipulant leurs algorithmes et en exploitant les failles de leurs systèmes de surveillance. Cependant, en 2018, lorsque qu’une société de distribution de musique a commencé à signaler des abus dans l’industrie du streaming, Smith a nié toute implication, affirmant qu’il n’y avait « absolument aucune fraude ».

Le procureur Damian Williams a condamné les actions de Smith, déclarant que son stratagème frauduleux lui avait permis de percevoir des millions de dollars de redevances qui auraient dû revenir aux musiciens, auteurs-compositeurs et détenteurs de droits d’auteur légitimes. Un détournement des ressources et des revenus des artistes et créateurs respectant les règles du jeu.

Cybersécurité, double authentification, Entreprise

Remplacer les mots de passe tous les mois ? Plus utile selon le NIST

La sécurité des mots de passe reste un enjeu majeur dans la protection des systèmes numériques et des données sensibles. Le guide du NIST, « Special Publication 800-63B », aborde en détail les pratiques à suivre pour garantir une gestion et une utilisation des mots de passe conformes aux normes de sécurité modernes.

Le National Institute of Standards and Technology (NIST) est l’autorité fédérale américaine. Sa mission, mettre en place des normes technologiques qui s’appliquent aux entreprises américaines. Ses recommandations dépassent les frontière et font, la plupart du temps, référence à l’échelle mondiale. Le guide SP 800-63B du National Institute of Standards and Technology place l’authentification au cœur de la protection des systèmes d’information avec quelque chamboulement. Le NIST rappelle que l’authentification est subdivisée en trois niveaux d’assurance, appelés AAL (Authentication Assurance Levels), qui varient en fonction du niveau de sécurité nécessaire :

AAL1 : Authentification à faible niveau d’assurance, généralement un mot de passe seul.
AAL2 : Authentification nécessitant au moins deux facteurs (par exemple, mot de passe et un facteur physique comme un smartphone ou une clé de sécurité).
AAL3 : Authentification à très haut niveau d’assurance, requérant des méthodes robustes et cryptographiquement sécurisées.

L’un des aspects critiques du SP 800-63B concerne la gestion des mots de passe à tous les niveaux d’authentification.

Traditionnellement, les politiques de sécurité exigeaient des mots de passe complexes, avec des règles telles que l’obligation d’inclure des caractères spéciaux, des chiffres et des majuscules. Le NIST recommande un changement d’approche radical. Plutôt que de forcer la complexité, le guide encourage à privilégier des mots de passe plus longs (au moins 8 caractères) qui sont plus faciles à retenir pour les utilisateurs mais plus difficiles à deviner pour les attaquants. Les mots de passe de 64 caractères ou plus sont autorisés, et les restrictions de complexité doivent être minimisées pour encourager l’utilisation de phrases de passe.

Une autre recommandation du NIST consiste à abandonner les politiques de changement de mot de passe régulier, qui peuvent avoir des effets contre-productifs. Lorsqu’on oblige les utilisateurs à changer leurs mots de passe trop fréquemment, cela les conduit souvent à choisir des mots de passe plus simples ou à réutiliser des variantes faciles à deviner. Bilan, le NIST préconise de ne pas imposer de changement de mot de passe à moins qu’il y ait une raison spécifique, comme la détection d’une compromission. Cela permet de diminuer le stress des utilisateurs tout en garantissant une meilleure protection des comptes.

Désactivation des contraintes inutiles

Le guide déconseille également l’utilisation de règles de composition restrictives qui refusent certains caractères ou qui exigent des combinaisons spécifiques. Cela inclut également la désactivation des systèmes qui empêchent les utilisateurs de copier-coller ou de générer automatiquement des mots de passe, une pratique courante avec les gestionnaires de mots de passe. Le but est de faciliter la création de mots de passe sécurisés tout en réduisant le fardeau cognitif sur les utilisateurs. Le NIST recommande que les mots de passe proposés par les utilisateurs soient vérifiés par rapport à des listes de mots de passe compromis, communément disponibles après des violations de données. Cela inclut les mots de passe courants, les mots de passe exposés et les termes prévisibles associés à des informations personnelles. En bloquant l’utilisation de ces mots de passe connus, le risque de compromission est considérablement réduit. A noter que le Service Veille ZATAZ, entreprise Française, est capable de vous alerter lors de la compromission des informations de votre entreprise, dont les mots de passe.

Les attaques par force brute, où un pirate (ou ses logiciels automatisés) tente d’essayer toutes les combinaisons possibles de mots de passe, restent une menace constante. Le NIST suggère des mesures pour limiter ces tentatives, comme l’introduction de temporisations après un certain nombre d’échecs de connexion. De nombreux sites utilisent cette solution, dont Data Security Breach. L’utilisation d’authentification multi-facteurs est également une défense efficace contre ces types d’attaques, car le hacker malveillant doit non seulement deviner un mot de passe, mais également obtenir un second facteur, ce qui est « quasiment » impossible rapidement et efficacement. Le NIST recommande l’authentification multi-facteurs (MFA) comme méthode essentielle pour garantir une sécurité accrue. Le MFA combine généralement un mot de passe avec quelque chose que l’utilisateur possède (comme un téléphone ou une clé de sécurité) ou quelque chose qu’il est (comme une empreinte digitale). Concernant la biométrie (contrôle par l’empreinte palmaire, l’iris, Etc), le NIST encourage à ne pas utiliser la biométrie comme unique facteur.

Algorithmes de hachage obsolètes

Le NIST déconseille de stocker les mots de passe en texte clair ou sous une forme faiblement protégée, comme les algorithmes de hachage obsolètes (par exemple, MD5 ou SHA-1). Il est essentiel d’utiliser des méthodes modernes de protection des mots de passe comme l’algorithme de hachage sécurisé PBKDF2 ou Argon2, qui ralentissent le processus de vérification hors ligne, rendant les attaques par force brute beaucoup plus difficiles. Les gestionnaires de mots de passe sont fortement recommandés par le NIST pour gérer la complexité de la création et de la mémorisation des mots de passe. Ces outils permettent aux utilisateurs de créer des mots de passe longs et uniques pour chaque service sans avoir à s’en souvenir, ce qui réduit le risque de réutilisation de mots de passe. Le guide suggère d’encourager les utilisateurs à adopter ces outils comme une solution viable pour renforcer leur sécurité personnelle.

Pour conclure, le NIST rappelle la base de la cyber : éducation ! L’un des éléments clés de la sécurité des mots de passe est la sensibilisation des utilisateurs. Les meilleures pratiques en matière de sécurité peuvent être inefficaces si les utilisateurs ne sont pas bien formés. Le NIST insiste sur l’importance de campagnes de sensibilisation pour encourager l’utilisation de phrases de passe, de gestionnaires de mots de passe et de l’authentification multi-facteurs. Il est également crucial que les utilisateurs comprennent les risques liés aux attaques par phishing et à la compromission de leurs identifiants.