Damien Bancal, expert reconnu en cybersécurité
Damien Bancal est une figure incontournable de la cybersécurité, reconnu à l’international pour son expertise et son engagement depuis plus de 30 ans. Fondateur de ZATAZ.com en 1989 (et DataSecurityBreach.fr en 2015), il a fait de ce média une référence majeure en matière de veille, d’alertes et d’analyses sur les cybermenaces. Auteur de 17 ouvrages et de plusieurs centaines d’articles pour des médias comme Le Monde, France Info ou 01net, il vulgarise les enjeux du piratage informatique et de la protection des données personnelles.
Lauréat du prix spécial du livre au FIC/InCyber 2022, finaliste du premier CTF Social Engineering nord-américain (2023), et vainqueur du CTF Social Engineering du HackFest Canada (2024), il est reconnu pour sa capacité à allier pratique du terrain et transmission pédagogique. Le New York Times ou encore Le Big Data ont salué son parcours, et l’agence Tyto PR l’a classé parmi les 500 personnalités tech les plus influentes en 2023. Il est aujourd’hui 9ᵉ influenceur cyber en Europe.
Chroniqueur à la radio et à la télévision (France Info, RTL, M6, Medi1...), il est également réserviste citoyen au sein de la Gendarmerie Nationale (Lieutenant-Colonel - Unité Nationale Cyber) et de l'Éducation Nationale (Hauts-de-France). Médaillé de la Défense Nationale (Marine) et des réservistes volontaires, il poursuit son engagement au travers de son entreprise veillezataz.com, lancée en 2022.
Street skater fu vient de diffuser un document rigolo concernant un document traitant de la fuite de documents internes chez Sony. Une source anonyme a fourni quelques captures d’écran d’un document baptisé « Report on Implementation of Preventing Information Leaks » – «Rapport sur la mise en œuvre de la prévention des fuites d’information».
Pendant ce temps, les informations concernant la Playstation 4 commencent à arriver. L’une des sources intéressantes sur ce sujet … le logiciel PSN Store Secret Search. Un outil qui permet, entre autres, d’afficher tout ce qui est stocké sur le PlayStation Store. Des informations qui ne sont pas visibles à l’utilisateur lambda. Dans les informations relevées, des tests de Sony pour la mise en ligne de contenus à destination de la PlayStation 4.
A quelques mois du lancement de la machine, il serait peut-être temps de s’y mettre ! Des mots semblent cacher des préparatifs secrets pour la PS4 : Chihiro, Marteau ou encore Espadon. (SKF)
Comme l’explique ZATAZ.COM, l’administrateur/fondateur du site de diffusion et partage de fichiers piratés, WawaMania coule des jours heureux aux Philippines. Zac, le pseudo de ce pirate, a fuit la France, la Justice et ses anciens amis. Datasecuritybreach.fr a demandé à l’ancien administrateur du forum Mamie Tracker, Fabien L. (@Skull) ce qu’il pensait de ce P2P là. Fabien a été jugé et condamné, il y a peu, à une très lourde peine en tant qu’administrateur d’un forum « pirate ».
Datasecuritybreach.fr – Que pensez-vous de ce pseudo mode de l’échange communautaire qui engraisse surtout certains ?
Skull : Malheureusement, cela a toujours existé. Dans le peer-to-peer (P2P) il y a deux catégories : il y a ceux qui font cela pour le plaisir du partage ; et ceux qui ne sont là que pour amasser de l’argent. Naturellement, ça nui énormément au peer-to-peer, car depuis quelques années tout le monde est dans le même panier.
Datasecuritybreach.fr – Parlez-nous de ce que vous avez vécu
Pour ma part, j’étais l’administrateur du tracker Mamietracker.com. A la base, j’avais créé ce site justement pour couper le pied aux gros trackers comme T411, Snowtigers et bien d’autres qui étaient/sont là pour le flux d’argent qui draine, ceux qui ne parlent que d’échange, de gratuité, … et qui s’en mettent plein les poches. MamieTracker est né pour cela. Au départ ce n’était que du tout « gratuit », 1 an plus tard il m’a fallu faire un appel aux dons car le site grandissait et il me fallait payer des serveur pour gérer tout cela. Alors oui, certains diront que j’ai gagné de l’argent ce qui n’est pas faux (3.000€ en tout et pour tout sur 3 ans). La suite, vous la connaissez. Visite des policiers et des cyberpoliciers de Bayonne à 6h00 du matin à mon domicile. Des gens très polis et compréhensifs. J’ai été condamné à 6 mois de prison avec sursis – 1000€ d’amende – 300 000 Euros à reverser aux ayants droit (SACEM, Warner, Scpp).
Datasecuritybreach.fr – Aujourd’hui que devennez-vous ?
Aujourd’hui j’ai complètement coupé les ponts avec le peer to peer, passionné d’informatique j’ai remonté un site web nommé www.anywheres.fr, spécialisé dans l’assistance informatique et le dépannage informatique à distance, j’essaie de faire de ma passion mon métier mais les temps sont durs en ce moment il est donc difficile d’acquérir de nouveaux clients.
Datasecuritybreach.fr – Avec le recul, referiez-vous un site d’échange ?
Oui et non. Au niveau du partage et du contact humain oui. Maintenant, le jeu n’en vaut pas la chandelle. J’ai eu très peu de soutient le jour de mon arrestation. Sur mes 120 000 membres actifs, seulement une dizaine de personnes m’ont soutenu. Merci à eux. Les autres ne sont que des bouffeurs de copies. Faut pas croire, passer au tribunal, en correctionnel, c’est nerveusement terrible. Comme j’ai fait appel, je me suis ensuite retrouvé en cour d’assise. Autant vous dire que vous passez un sale quart d’heure (dont 4 heures d’audience, ndlr). Alors non, refaire un site d’échange pour toutes ces raisons, je ne le referai pas! Et je le déconseille à quiconque.
Datasecuritybreach.fr –Existe-t-il une solution pour que les internautes, en mal de nouveautés ?
Oui, aujourd’hui il y’a la VOD. cela reste cependant cher, et les nouveautés sont inexistantes. Des nouveautés qui sortent bien après les diffusions sur le peer-to-peer. Ca reste un vrai problème !
Datasecuritybreach.fr – Vous devez rembourser beaucoup ?
Comme dit plus haut, oui. Je dois payer énormément. Je dirai même que c’est démesuré. Je pense que j’ai servi d’exemple malheureusement. J’assume complétement. Je savais ce que j’encourrai dès le départ. DSB – Comment faites-vous ? Aujourd’hui, je survis. Je suis sans emploi et je m’occupe exclusivement de anywheres.fr. Mentalement j’ai tiré un trait sur MamieTracker. Tout ceci est derrière moi, ce n’est pas simple tous les jours. Je dois verser 300.000€ aux ayants droits. Des huissiers me rendent visite régulièrement. Je sais qu’ils attendent des saisies sur salaires dés que ma situation le permettra. Je me dis que la vie continue et que peut être un jour, je pourrai vivre de ma passion, l’informatique.
Datasecuritybreach.fr -Que pensez-vous du site Wawamania qui fait énormément parler de lui ?
Pour moi, et depuis le début, Wawamania n’est qu’une pompe à fric. Souvenez-vous, il y a 2/3 ans, une association s’était monter pour aider ce pauvre administrateur. Le reportage de TF1 risque d’en faire flipper plus d’un, au sujet du comportement de l’administrateur à l’époque et aujourd’hui. Pour rappel, il s’était vanté, il y a peu, de gagner entre 10 000 et 15 000€ par mois. C’est aussi pour cela qu’il est parti vivre au Philippine. C’est ce genre de type qui nuit au P2P. Les gros sites sont tous dans la course au gain. Regardez FrenchTorrentDB. Les dons sont effectués vers un pseudo hébergeur Canadien, Fouweb. Bilan, Paypal n’y voit rien à redire. Les internautes ne payent pas le pirate, mais font un don à un … herbergeur !
Une coalition d’organisations internationales et européennes, dont Access, Bits of Freedom, Digitale Gesellschaft, EDRI, La Quadrature du Net, Open Rights Group, et Privacy International, démarre une campagne commune et un site Internet, nakedcitizens.eu. Ce site permet aux citoyens de contacter leurs représentants au Parlement européen pour les appeler à protéger leur droit fondamental à la vie privée.
Un règlement dépouillant les citoyens de leur droit à la vie privée Des organisations citoyennes exigent que les membres du Parlement européen protègent la vie privée des citoyens. Depuis son lancement, la révision de la législation européenne encadrant la protection des données donne lieu à une campagne de lobbying sans précédent de la part d’entreprises privées et de gouvernements étrangers. Le Parlement européen examine en ce moment le texte proposé par la Commission européenne, et envisage d’y faire de dangereux amendements. Selon une coalition d’organisations citoyennes, si ces amendements étaient adoptés, ils dépouilleraient les citoyens de leur droit à la vie privée. Cette affirmation est basée sur l’analyse des 4 000 amendements actuellement examinés par le Parlement européen.
« Sans une protection efficace de nos données, nos vies privées sont mises à nu, pour être utilisées et exploitées abusivement par des entreprises privées et des gouvernements. » déclare Joe McNamee de l’organisation citoyenne European Digital Rights (EDRI) et porte-parole de la coalition. « Nous appelons les membres du Parlement européen à faire primer les droits des citoyens et à rejeter ces propositions dangereuses.»
En prévision du vote final de la commission « libertés civiles » le 29 mai, la coalition de la société civile met en lumière les cinq amendements les plus dangereux proposés par les membres du Parlement européen pour modifier le règlement encadrant la protection des données. Le règlement proposé par la Commission européenne a pour objectif de renouveler et de moderniser le cadre législatif existant pour l’adapter à l’ère numérique, et de conférer aux citoyens un plus grand contrôle sur leurs données personnelles. Le lobbying démesuré venant de grandes entreprises et de gouvernements risque au contraire de réduire à néant ce cadre juridique. Les citoyens doivent pouvoir faire confiance aux services en ligne qu’ils utilisent. Le niveau de confiance exceptionnellement bas rapporté par des études tant européennes qu’américaines n’est tout simplement pas viable, tant pour les citoyens que pour les entreprises. La confiance doit être reconstruite en rendant aux citoyens le contrôle de leurs données grâce aux droits : (1) d’accéder à leurs données personnelles et de les supprimer, (2) de transférer simplement leurs données d’un service à un autre, (3) d’être assurés que leurs données personnelles ne seront utilisées que pour la finalité précise et limitée à laquelle ils ont consenti, (4) d’être assurés que leurs données sont à l’abri des gouvernements étrangers, (5) d’être assurés qu’en cas de faille de sécurité impliquant leurs données, les entreprises responsables les en informeront.
Dictao, éditeur logiciel de solutions de confiance, annonce que sa solution de contractualisation numérique Dictao Trust Platform (DTP) a obtenu la certification CSPN délivrée par l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI). Le basculement des grandes organisations vers la contractualisation numérique implique qu’elles puissent disposer de preuves de transactions solides et opposables en cas de litige.
Cette nouvelle certification CSPN (Certification de Sécurité de Premier Niveau) de la solution Dictao vient attester et renforcer la fiabilité du processus de souscription numérique qu’elle met en œuvre. L’entreprise dispose alors des garanties nécessaires à la dématérialisation de la relation client pour développer son activité commerciale en ligne et sur mobile, augmenter son taux de transformation et optimiser le temps de traitement de ses dossiers. Cette entreprise permet ainsi à ses clients de marquer leur engagement sur des contrats grâce à la signature électronique tout en disposant d’un dossier de preuves retraçant exactement le processus de contractualisation (contrat signé, preuve d’authentification, pièces justificatives, parcours et actions du client, etc.).
Laurent Fournié, Directeur Architecture de Dictao déclare à Data Security Breach : « Notre solution de contractualisation numérique Dictao Trust Platform (DTP) est la première à obtenir une certification CSPN, attestant la fiabilité du processus de contractualisation et celle du procédé de constitution de la preuve. Cette certification, en complément de notre démarche globale de certifications internationales EAL3+, confirme notre volonté de développer une gamme de produits respectant les critères de sécurité et de conformité en face des cadres techniques et juridiques les plus exigeants.»
Le Ministère du Travail américain infiltré. Des traces de hackers Chinois retrouvés. Analyse !DataSecurityBreach.fr vient d’être alerté par Jaime Blasco, directeur du labs d’AlienVault au sujet de plusieurs infiltrations web d’envergure qui semblent être signés par des hackers Chinois. Dans les « cibles », le site du ministère du Travail américain. Les pirates y ont caché un code malveillant.
L’idée des intrus, installer une redirection sur un programme espion. Au cours des dernières heures, Data Security Breach a pu identifier plusieurs autres sites web, moins importants que cet espace ministériel. Les pirates ont profité du site sem.dol.gov pour, ensuite, piéger dol.gov, dol.ns01.us et statse.webtrendslive.com. Lors de la visite de « SEM », l’internaute se retrouvait à lire, via son navigateur, le fichier textsize.js. Un JavaScript qui contient le code suivant malveillant. Le serveur « malicieux » est exécuté via un fichier baptisé xss.php caché sur NS01.
Le script pirate recueille beaucoup d’informations du système et il télécharge les informations recueillies sur le serveur malveillant. L’attaque est intéressante car dans les commandes de l’outil pirate, un détecteur de Flash fonctionnant sur l’ordinateur du visiteur, ainsi que des tueurs d’antivirus. Le code malveillant élimine l’antivirus Bitdefender. Une fonction détermine si BitDefender est exécuté sur le système et le désactive. Même sanction pour Avast antivirus et AntiVir. Pour ce dernier cas, le code pirate cherche la présence de l’extension fonctionnant sou Chrome. Le JavaScript cherche aussi les antivirus : Avira, BitDefender 2013, McAfee entreprise, avg2012, Eset nod32, Dr.Web, Mse, Sophos, f-secure 2011, Kaspersky 2012/2013 ainsi que les versions de Microsoft Office, Adobe Reader installés.
Une fois que toutes les informations ont été collectées, il communique les données via le fichier js.php (caché sur NS01). Cette attaque ressemble à celle lancée, il y a quelques semaines, à l’encontre de plusieurs ONG. La faille exploitée dans le départ de cette attaque a été fixée en début d’année (CVE-2012-4792). Elle avait fait surface en décembre 2012. La charge utile lancée dans le piratage du Ministère Américain est cachée dans le fichier bookmark.png sur NS01.
Une fois dans le pc du visiteur, le fichier espion se cache dans la machine sous le nom de conime.exe. Il se connecte à un C&C sur microsoftUpdate.ns1.name pointant vers un serveur DNS Google 8.8.8.8. Il pointait, quelques temps auparavant sur 173.254.229.176. L’attaque, du moins le code pirate Deep Panda, est connu pour être exploité par un chinois (Mr. Sun, CardMagic, Edward Sun, …). Les premières traces datent de 2007.
Pour se protéger de ce type d’attaque, data security breach vous conseille de mettre à jour l’ensemble de vos outils web (Flash, PDF, navigateur, antivirus) et bloquer JavaScript.
Les arnaqueurs ont récemment montré un fort intérêt pour le football. En effet, une grande variété d’attaques de phishing (faux sites web) se basant sur le football a été observée en 2012. Les arnaqueurs se sont déjà intéressés à la Coupe du Monde de la FIFA 2014, mais aussi aux stars et aux clubs phares du ballon rond.
Datasecuritybreach.fr vous a d’ailleurs présenté, l’arnaque ciblant les fans de Lionel Messi et celle visant les supporters du FC Barcelone. Deux bons exemples de ces pratiques. Les pirates informatiques comprennent qu’utiliser des célébrités avec une énorme base de fans offre un plus grand choix de cibles, et augmente ainsi leurs chances de récolter les identités des utilisateurs. Ces arnaques persistent encore en 2013 avec une stratégie toujours identique consistant à mettre en place de faux sites web en utilisant des hébergeurs gratuits.
Les sites de phishing ont incité des internautes à entrer leurs codes d’accès Facebook sur des pages consacrées à Lionel Messi, au FC Barcelone ou à Cristiano Ronaldo. Ces dernières affichent ostensiblement des images de Lionel Messi, du FC Barcelone ou de Cristiano Ronaldo, et essaient de donner l’impression qu’elles en sont les pages Facebook officielles. Certains de ces faux sites sont intitulés, « premier réseau social dans le monde ». Les utilisateurs sont ensuite incités à entrer leurs identifiants Facebook afin de se connecter à leur compte. Une fois que les identifiants ont été renseignés, les utilisateurs sont redirigés vers une page communautaire dédiée à Lionel Messi, au FC Barcelone, ou à Cristiano Ronaldo pour créer l’illusion qu’une session légitime s’est ouverte.
Si les utilisateurs sont victimes de sites de phishing en ayant entré leurs identifiants, alors les pirates ont réussi à voler leurs données à des fins d’usurpation d’identité. Pour éviter les attaques de phishing, les internautes sont invités à suivre les conseils ci-dessous :
§ Faites attention lorsque vous cliquez sur des liens qui semblent trop attractifs, envoyés par email ou postés sur les réseaux sociaux
§ Ne renseignez pas de données personnelles lorsque vous répondez à un email
§ N’entrez pas de données personnelles dans un pop-up qui apparaît dans une page ou à l’écran. Composez plutôt, de façon manuelle, le site web que vous souhaitez consulter, au lieu de cliquer sur un lien suspect.
§ Assurez-vous que le site web est crypté avec un certificat SSL en vérifiant que la mention « https » soit présente dans la barre d’adresse, ou que celle-ci soit de couleur verte lorsque vous entrez des données personnelles ou financières
§ Utilisez des suites de sécurité comme Norton Internet Security ou Norton 360, qui vous protègent contre le phishing et les fraudes sur les réseaux sociaux
Rapportez les faux sites web, emails ou pages Facebook via phish@fb.com.
Data Security Breach a reçu un nouvelle étude sur les arnaques se propageant sur Facebook, les plus répandues à l’échelle mondiale étant de type « qui a vu mon profil ». En seconde position et parmi les stars les plus dangereuses pour la sécurité de votre compte : Rihanna et sa fausse sex tape.Continuer la lecture de Le top 10 des arnaques sur Facebook→
