Archives de catégorie : Communiqué de presse

Communiqué de presse, Cybersécurité, IOT, Mise à jour, Patch, Securite informatique

Pas (encore) de normes de sécurité pour les objets connectés

De nombreux objets connectés iot pour la maison et le bureau ne sont tout simplement pas sécurisés. On ne compte plus les histoires sur les vulnérabilités des objets connectés – particulièrement ceux utilisés à domicile. Bien que certaines aient l’air « tirées par les cheveux » – comme celle de la caméra pour bébé piratée qui répondait à sa mère – d’autres, comme le botnet Mirai, montrent que les problèmes de sécurité liés aux petits objets peuvent rapidement prendre de l’ampleur. Bref, difficile d’oublier que nombre d’objets connectés ne sont pas très sécurisés.

Camouflés derrière le plastique lustré de ces appareils connectés iot tout neufs pour la maison, de nombreux facteurs contribuent pourtant à créer cet environnement à risque. Voici les trois facteurs principaux, mais il en existe d’autres :
1.Les mots de passe codés en dur
2.Les mots de passe par défaut difficiles à changer
3.Les vulnérabilités non corrigées

La balle n’est PAS dans votre camp (mais vous êtes quand même coupable)
Avec un ordinateur à la maison, vous pouvez suivre de bonnes mesures de sécurité. Cela signifie entre autres, avoir installé un antivirus et faire en sorte que toutes vos applications et pilotes soient à jour (voire même utiliser un programme qui s’en charge tout seul). Et puis il y a cet élément important du piratage psychologique, vous en tant qu’utilisateur, ne cliquez pas sur des offres trop alléchantes sur Internet sans en être sûr.

Mais avec les objets connectés, impossible de suivre ce genre de précautions. Dans le meilleur des cas, vous pouvez modifier le mot de passe par défaut, mais ça s’arrête là. Le plus souvent, vous ne saurez même pas avec qui votre télé connectée communique et de quoi elle parle. Et ces appareils recueillent un tas de données potentiellement compromettantes sur vous et vos activités. En fait, même si votre caméra de surveillance faisait partie d’une armée internationale de botnets par DDoS, vous ne le sauriez pas.

SOS, mais qui pouvez-vous appeler ?
Les failles de sécurité de nombreux objets connectés ont lancé le débat sur les moyens des autorités ou des instances de réglementation pour remédier au problème. Aux États-Unis, une loi a été proposée qui obligerait les objets connectés achetés par le gouvernement fédéral à répondre à certaines normes. L’entrée en vigueur de cette loi aurait des répercussions sur la sécurité, car les fabricants devraient faire en sorte que leurs appareils soient plus sécurisés pour les clients du secteur public. Puis, cette certification pourrait également être utilisée pour d’autres types de clients.

Dans l’Union européenne, la Commission européenne dispose de l’AIOTI, l’Alliance for Internet of Things Innovation, un groupe de travail qui souhaiterait que les labels sur les produits – comme ceux utilisés pour présenter les données sur la consommation d’énergie – s’étendent aussi aux objets connectés.

Toutefois, cet autre concept d’auto réglementation ferait encore appel à des organismes de tests indépendants comme l’American Underwriters Laboratories, le German Stiftung Warentest ou l’AFNOR en France.

Il est temps de faire vos propres recherches sur la sécurité
Cependant, toutes ces options n’en sont encore qu’à leurs balbutiements et au moment d’acheter un objet connecté sécurisé, vous êtes encore livré à vous-même. La seule option pratique qui vous soit disponible pour le moment est de faire des recherches pour écarter toute marque ou modèle lié(e) à un problème de sécurité. Vous pouvez également jeter un œil à la liste de Krebsonsecurity des objets considérés comme problématiques. Cependant, cette approche en mode « système D » ne mettra pas au jour les composants génériques d’objets connectés, qui ont été intégrés à un système.

Il existe aussi des solutions qui peuvent vous aider à sécuriser vos connexions telle que Avira Home Guard. Il s’agit d’une application gratuite pour Windows qui scanne les objets intelligents connectés au réseau, identifie les vulnérabilités de sécurité, suggère des solutions et conserve un inventaire des appareils connectés. Cette solution vous donne une vue complète des appareils connectés à votre réseau et de leurs failles potentielles. Avira Home Guard est inclue dans le tableau de bord Avira pour Windows.

Communiqué de presse, Cybersécurité, RGPD, Securite informatique

GDPR : 4 étapes essentielles pour se préparer avant mai 2018

Il ne reste plus que quelques semaines avant l’entrée en vigueur du Règlement général sur la protection des données (GDPR). Évolution majeure de la Loi informatique et libertés de 1978, GRPD renforce les droits individuels pour devenir le nouveau texte de référence dans l’Union Européenne. La réglementation impose aux entreprises d’adopter un comportement responsable en améliorant l’évaluation des risques concernant les données collectées.

Il s’agit également d’harmoniser le paysage juridique à échelle européenne afin de construire un seul et même cadre pour tous les Etats membres.  Qualifiée de « bombe à retardement » ou de « contrainte », GRPD est souvent perçue comme une loi aux impacts négatifs aux yeux des entreprises. Une étude menée par Vanson Bourne révélait en avril dernier que près de la moitié des entreprises dans le monde redoutait de ne pas pouvoir répondre à la réglementation, faute de technologie adaptée. 20% d’entre elles craignaient même de devoir mettre la clé sous la porte à la vue du montant des pénalités (jusqu’à 4% du chiffre d’affaires annuel) en cas de non-conformité. S’il est maintenant de plus en plus évident que les entreprises ne seront pas totalement conformes le 25 mai prochain, elles doivent en revanche pouvoir prouver en cas de contrôle de l’Autorité responsable, qu’elles ont initié les mesures nécessaires pour s’assurer que les données collectées soient bien protégées.

Pour les appuyer dans cette démarche, voici les 4 étapes essentielles à prendre en compte dès aujourd’hui pour bien commencer leur entrée dans la conformité :

Avoir une vision et une gestion des données à 360 degrés

La première étape incontournable pour être en conformité à GDPR est d’adopter une approche holistique de la gestion des données qui va bien au-delà du simple stockage. Avec une réglementations plus stricte que les précédentes, les entreprises doivent s’assurer d’avoir une visibilité complète de leurs données, y compris sur la nature des informations stockées, la manière dont elles sont utilisées, mais aussi qui détient ces données et peut y avoir accès.

Cette approche doit inclure la possibilité de classer automatiquement de gros volumes de données, les numériser et les étiqueter de la manière la plus intelligente et la plus détaillée possible, afin de garantir que les informations sont gérer efficacement et restent à portée de main.

Se doter d’une solution qui permet de localiser et d’identifier rapidement les données personnelles est donc la première des priorités. A long terme, ce type de solution permettra également de déterminer comment exploiter les données et en extraire de la valeur.

 Pouvoir notifier une faille de données dans les 72 heures

Près de la moitié des entreprises qui pensent être conformes (48%) n’ont pas de visibilité totale sur les incidents de pertes de données personnelles. De plus, 61% d’entre-elles admettent qu’il est difficile d’identifier et de signaler une faille de données personnelles dans les 72 heures – une exigence fondamentale de la réglementation GDPR quand il y a un risque pour les individus concernés. Il s’agit de la deuxième priorité, considérée comme l’une des plus importantes de la réglementation. En effet, toute entreprise incapable de signaler la perte ou le vol de données personnelles – telles que les dossiers médicaux, les adresses e-mail et les mots de passe – à l’organe de surveillance dans ce délai est en rupture avec cette exigence clé.

L’exercice du droit à l’oubli

Avec GDPR, les entreprises doivent s’assurer que les données personnelles ne sont utilisées que pour les raisons pour lesquelles elles ont été collectées et doivent être supprimées lorsqu’elles ne sont plus nécessaires. En effet, dans le cadre du « droit à l’oubli », les citoyens européens auront le droit de demander la suppression de toutes leurs données personnelles des bases de données d’une entreprise. Les entreprises qui n’ont pas les capacités de rechercher et d’analyser les données personnelles pour détecter des références explicites ou implicites d’un individu sont encore très nombreuses. Se doter des outils pour visualiser avec précision la localisation des données ainsi qu’identifier les sources de dépôts fait donc partie des priorités essentielles.

Insuffler une culture de la conformité en interne

Si la plupart des entreprises admettent ne pas posséder une bonne culture de gouvernance des données et de conformité en interne, ces dernières sont tout de même conscientes qu’inciter les employés à adopter la bonne attitude vis-à-vis des données est primordial pour impulser de véritables changements culturels au sein de l’entreprise. Nombreuses sont celles qui comptent mettre en place des sessions de formations, instaurer des primes ou encore ajouter le respect obligatoire de mesures concernant GDPR dans les contrats d’embauche.

Initier sa conformité à GDPR et mettre en place les bonnes pratiques passent d’abord par les salariés. Prendre des mesures concrètes pour conduire à un changement culturel en interne fait également partie des priorités. Les salariés peuvent ainsi réaliser leur rôle à jouer concernant la protection des données et pourront voir leurs avantages positivement impactés, puisque ces derniers contribuent à promouvoir une bonne gouvernance des données au sein de l’entreprise.

Les entreprises qui savent créer de nouvelles opportunités business en s’appuyant sur les exigences réglementaires tireront un avantage certain. En étant conformes à GDPR, elles ne réduisent pas seulement le risque d’être exposées à des amendes, mais ont également l’opportunité d’offrir à leur clients une meilleure expérience à travers une bonne gestion des données, ce qui peut avoir un impact favorable sur la fidélité des clients, le chiffre d’affaires et la réputation de la marque. Mais plus encore, GDPR est aussi un réel moyen de redonner confiance aux citoyens dans leurs entreprises ainsi que d’instaurer une meilleure gestion et une diminution non négligeables des risques liés au numérique (cyberattaques, fraudes, etc.) (Par Daniel de Prezzo, Head of Technologies Southern Europe chez Veritas Technologies)

Argent, Base de données, Communiqué de presse, Cybersécurité, Entreprise, Fuite de données, Particuliers, RGPD, Securite informatique

Les cyber attaques contre le secteur financier de la zone EMEA ont diminué de 24% en 2017

FireEye vient de publier son rapport annuel M-Trends, qui révèle que les attaques contre le secteur financier de la zone EMEA ont diminué au cours de l’année écoulée. En 2016, 36% des cyberattaques observées dans la région EMEA ont ciblé le secteur financier. Cependant, en 2017, ce nombre a diminué d’un tiers à 24%. Malgré cette baisse du nombre d’attaques, le secteur financier est toujours victime des attaques les plus importantes, suivi de près par la haute technologie et les soins de santé.

  • Les attaques répétées sont une tendance croissante – Les organisations sont de plus en plus ciblées de nouveau. 49% des clients ayant au moins une découverte hautement prioritaire ont été attaqués de nouveau dans un délai d’un an. 56% des organisations mondiales qui ont reçu un soutien en cas d’incident ont été ciblées à nouveau par le même groupe d’attaque motivé de la même manière.
  • Le temps de séjour des organisations EMEA est de 175 jours – Le temps d’attente médian (la durée d’un acteur de la menace dans l’environnement d’une organisation avant qu’il ne soit détecté) est de 175 jours, soit environ six mois. La durée médiane de séjour est de 101 jours dans le monde entier, ce qui fait que les organisations de l’EMEA ont un délai de réponse inférieur de 2,5 mois à la médiane mondiale.
  • L’activité cyber-menace iranienne était prédominante – Tout au long de 2017, l’Iran est devenu plus capable d’une perspective offensive. Nous avons observé une augmentation significative du nombre de cyberattaques provenant d’acteurs menacés par l’Iran.

En toile de fond, le rapport est basé sur des informations recueillies lors d’enquêtes menées par les analystes de sécurité en 2017 et révèle les nouvelles tendances et tactiques utilisées par les acteurs de la menace pour compromettre les organisations.

Cyber attaques, 49% des victimes sont revisitées par les attaquants après la première détection contre seulement 37% en 2013

Comme tous les ans FireEye publie le rapport MTRENDS. Le rapport 2018 met à jour la collecte d’informations lors des interventions Mandiant et des analyses basées sur le renseignement FireEye Isight de définir les grandes tendances 2017 en termes de cyber-attaques ainsi que les prévisions pour 2018.

Cette édition du rapport, la septième depuis 2011, offre un comparatif détaillé sur des métriques précis lié à la cyber menace. Ainsi nous pouvons observer cette année les éléments suivants :

–          Un abaissement du temps de résidence moyen de l’attaquant sur le réseau de sa victime lors d’une détection interne, avec une moyenne qui passe de 80 jours en 2016 à 57,5 jours en 2018.Néanmoins le temps de détection moyen global lui reste quasi inchangé en passant de 99 jours à 101 jours en 2018

–          Une volonté de réattaque des victimes par leurs attaquants avec 49% des victimes revisitées par les attaquants après la première détection contre seulement 37% en 2013.

–          Des attaquants qui pendant nos investigations en Europe (EMEA) sont restés 54% des fois plus de 121 jours sur le réseau de leur victime.

–          Plus aucun secteur d’activité n’est épargné par les attaquants, de la cyber criminalité au cyber espionnage toutes les industries même les associations caritatives sont aujourd’hui des cibles. Néanmoins le TOP3 des industries visées par de multiples attaques simultanées est : High Tech, Education, Télécommunication

Le rapport permet aussi de mettre en avant des informations sur les grandes tendances 2017 et les risques associés :

–          Les attaquants utilisent de plus en plus le Phishing et les attaques ciblées à travers l’ingénierie sociale.

–          Les entreprises manquent de ressources et de talents pour faire face à l’industrialisation des attaquants et mettre en place des plans de réponses à incidents Adhoc.

–          L’IRAN a été une des sources les plus active en 2017 avec les publications sur les groupes spécifiques comme APT33, 34 et 35

–          La cyber revêt une importance capitale dans le positionnement géopolitique de certains pays, c’est ainsi que l’on voit apparaître de nouveaux pays sur l’échiquier du risque cyber avec à titre d’exemple en 2017, APT32 au Vietnam

–          Les attaquants sont de plus en plus rapides dans l’utilisation de zero days, ils utilisent aussi de manière massives les outils « autorisés » et la « supply chain » pour attaquer leurs victimes.

–          Les groupes chinois continuent leur moisson de patrimoine informationnel en Europe.

Enfin le rapport permet de mettre en avant les tendances à venir sur 2018, avec un contexte géopolitique tendu qui se traduit déjà par une menace cyber de plus en plus forte et une volonté de tous les états du monde à se doter de compétences sur le sujet.

Communiqué de presse, Cybersécurité, Justice, loi, RGPD

Données personnelles : les députés ignorent les sénateurs !

Protection des données personnelles : Les députés de la majorité veulent passer en force et ignorer les apports du Sénat au prix de reculs pour les libertés publiques et les collectivités territoriales.

Protection des données personnelles – Au lendemain de l’échec de la commission mixte paritaire chargée d’examiner le projet renforçant l’efficacité de l’administration pour une relation de confiance avec le public, la commission mixte paritaire (CMP) qui s’est réunie le vendredi 6 avril 2018, à l’Assemblée nationale, pour examiner le projet de loi relatif à la protection des données personnelles n’est pas parvenue, elle non plus, à un accord. Pour rappel, ce projet de loi vise à mettre la loi Informatique et libertés en conformité avec le règlement général sur la protection des données personnelles, qui entrera en vigueur le 25 mai 2018, et avec la directive sectorielle spécifique aux traitements en matière policière et judiciaire, qui doit être transposée avant le 6 mai 2018.

Pour le président de la commission des lois du Sénat, Philippe Bas (Les Républicains – Manche), « ce résultat décevant est entièrement imputable à l’attitude des députés du groupe majoritaire à l’Assemblée nationale qui étaient fermés d’emblée à tout compromis et ont rejeté en bloc les apports du Sénat en faveur des libertés publiques et des collectivités territoriales ».

Pour renforcer la protection des droits et libertés des citoyens, le Sénat avait notamment prévu d’encadrer beaucoup plus strictement l’usage des algorithmes par l’administration pour prendre des décisions individuelles, et de renforcer les garanties de transparence en la matière, par exemple pour les inscriptions dans l’enseignement supérieur (« Parcoursup »).

« Est-il normal que l’administration puisse aussi bien établir une feuille d’impôt qu’interdire une réunion publique ou expulser un étranger sur le seul fondement d’un algorithme, sans examen individualisé ? Est-il légitime que les lycéens sélectionnés par les universités au moyen de traitements automatisés ne puissent savoir quels paramètres leur ont été appliqués ? » s’est interrogée le rapporteur Sophie Joissains (Union Centriste – Bouches-du-Rhône).

Sur ce point, le président Bas a ajouté : « Pourquoi les étudiants n’auraient-ils pas le droit d’accéder aux informations nécessaires pour comprendre les raisons d’un refus d’inscription dans une université de leur choix ? ». Il a déploré que « le manque de respect pour les apports du Sénat se double d’une certaine incohérence : dans leurs discours, les députés du groupe majoritaire à l’Assemblée nationale et le Président de la République lui-même ne cessent d’appeler à l’encadrement et à la transparence des algorithmes. Dans les faits, ils s’apprêtent à voter la suppression de tous les garde-fous ! »

Le Sénat, fidèle à sa vocation particulière d’assemblée protectrice des libertés

  • rétablir l’autorisation préalable des traitements de données portant sur les infractions, condamnations et mesures de sûreté, et préciser les conditions d’extension de la liste des personnes autorisées à mettre en œuvre ces fichiers ;
  • maintenir à 16 ans, conformément au droit commun européen, l’âge minimal à partir duquel un mineur peut consentir seul au traitement de ses données personnelles;
  • encourager le recours aux technologies de chiffrement des données pour assurer leur sécurité ;
  • conserver le droit général à la portabilité des données, personnelles comme non personnelles, pour permettre de faire véritablement jouer la concurrence entre services en ligne ;
  • s’assurer que les utilisateurs de terminaux électroniques aient le choix d’y installer des applications respectueuses de la vie privée.

Quant aux collectivités territoriales, le président Bas a déploré que « l’État leur impose une nouvelle fois de nouvelles obligations sans leur en donner les moyens, et sous la menace de sanctions très lourdes ! »

« N’oublions pas qu’elles sont responsables de nombreux traitements sur lesquels elles n’ont pas prise, car ils découlent d’obligations légales ou de compétences transférées (fichier d’état civil, fichier des cantines scolaires, fichiers d’aide sociale, listes électorales, fiscalité locale, cadastre…) », a ajouté le rapporteur Sophie Joissains.

Pour mieux accompagner les petites structures, TPE-PME et collectivités territoriales, dans la mise en œuvre de leurs nouvelles obligations, le Sénat avait prévu :

  • dégager de nouveaux moyens financiers, en « fléchant» le produit des amendes et astreintes prononcées par la Commission nationale de l’informatique et des libertés (CNIL) à leur intention, et en créant une dotation communale et intercommunale pour la protection des données personnelles ;
  • faciliter la mutualisation des services numériques entre collectivités ;
  • réduire l’aléa financier pesant sur ces dernières en supprimant la faculté pour la CNIL de leur imposer des amendes administratives et en reportant de deux ans l’entrée en vigueur de l’action de groupe en réparation en matière de données personnelles ;
  • d’encourager la diffusion d’informations et l’édiction de normes de droit souple par la CNIL adaptées aux besoins et aux moyens des collectivités comme des TPE-PME.

Après une nouvelle lecture devant chaque chambre (l’examen est prévu en séance à l’Assemblée nationale le jeudi 12 avril, et au Sénat le jeudi 19 avril), le Gouvernement pourra demander à l’Assemblée nationale de statuer sur ce texte en lecture définitive (« dernier mot »).

La promulgation du texte pourra alors intervenir après, le cas échéant, l’examen des éventuels recours déposés devant le Conseil constitutionnel.

Base de données, Chiffrement, Communiqué de presse, cryptage, Cybersécurité, Entreprise, Fuite de données, ransomware, Securite informatique

La France toujours sous le feu des ransomware

Une nouvelle étude sur les ransomwares montre que l’impact des attaques est toujours aussi important en France et coûte cher aux entreprises.

Les résultats de la deuxième édition d’une étude mondiale présentant les conséquences des ransomwares sur les entreprises, réalisée en février 2018 par le cabinet Vanson Bourne en France, Allemagne, Royaume Uni, États-Unis a de quoi inquiéter sur le comportement des entreprises face aux Ransomwares. Cette étude, mise en place par SentinelOne, spécialiste des solutions autonomes de protection des terminaux, montre qu’en France, le nombre d’attaques a progressé, passant de 52 % en 2016 à 59 % pour les entreprises qui admettent avoir subi une attaque par ransomware au cours des 12 derniers mois. Les entreprises touchées ont dû faire face à une moyenne de 4 attaques durant cette période. A noter que l’Allemagne a vécu une année particulièrement mouvementée avec 79 % des organisations qui ont été ciblées au moins une fois par un ransomware contre 51 % en 2016.

En France, si dans 53 % des cas, l’attaque la plus réussie a permis aux attaquants de chiffrer des fichiers, cela s’est révélé sans conséquence pour l’entreprise soit parce qu’elle disposait de sauvegardes pour remplacer les données corrompues, soit parce qu’elle a été en mesure de déchiffrer les fichiers. 7 % des victimes n’ont pas trouvé de solution pour récupérer leurs données et 3 % ont préféré payer la rançon pour déchiffrer les données. A titre compartif, aux Etats-Unis, les entreprises ont davantage tendance à payer la rançon (11 % des victimes).

Des conséquences financières et réputationnelles considérables

Le coût direct de l’attaque ainsi que le temps de remédiation ne sont pas négligeables. Ainsi, le coût moyen estimé par les répondants français suite aux attaques par ransomware est de près de 650 000 euros. Le nombre moyen d’heures consacrées au remplacement des données chiffrées par des données de sauvegarde ou à la tentative de déchiffrement des fichiers est estimé à 42 heures (contre 33 heures en 2016).

Les entreprises françaises figurent parmi celles qui ont payé le montant de rançon le plus bas : ceux qui choisissent de payer ont dépensé en moyenne 31 500 euros en rançon, contre une moyenne mondiale de 38 900 euros au cours des douze derniers mois. Ces montants sont en baisse puisqu’en 2016 le montant moyen pour la France était de 85 900 euros et de 51 500 euros au niveau global.

L’ensemble des répondants français s’accordent pour dire que les ransomware ont eu un impact sur leur organisation. La conséquence la plus importante a consisté en une augmentation des dépenses de sécurité informatique (54 %) ainsi qu’un changement de stratégie de sécurité pour se concentrer sur l’atténuation (34 %). En outre, plus d’un répondant sur cinq rapporte que son organisation a connu une publicité négative dans la presse et 34 % que cela à nuit à la réputation de l’entreprise.

« On aurait pu croire qu’après les récentes attaques et l’impact qu’ont eu les ransomware au cours de l’année écoulée les entreprises auraient pris davantage de mesures, or ce n’est pas le cas », déclare Frédéric Benichou, directeur régional Europe du Sud de SentinelOne. « Pourtant, au vu de l’impact que peuvent avoir les ransomware sur l’activité économique et l’image d’une entreprise, c’est un risque qu’il peut être dangereux de prendre. »

Quelles sont les données ciblées ?

En France, les données financières sont particulièrement ciblées (dans 46 % des attaques), suivie des données clients (38 %) et celles relatives aux produits (32 %). Au niveau informatique, les matériels les plus touchés sont avant tout les PC (68 %), les serveurs (56 %) et les terminaux mobiles (31 %).

La sensibilisation des employés reste négligée

Dans 58 % des cas, les professionnels de la sécurité français déclarent que les cybercriminels ont accédé au réseau de leur organisation par le biais d’emails de phishing ou via les réseaux sociaux. 42 % ont indiqué que l’accès avait été obtenu grâce à la technique du drive-by-download déclenché lorsque l’on clique sur un lien menant à un site web compromis, et 39 % ont déclaré que l’attaque est arrivée via un poste de travail faisant partie d’un botnet. La France semble quand même relativement mieux sensibilisée sur le phishing que les autres pays puisque le phishing a permis l’accès dans 69 % des cas en moyenne sur l’ensemble des pays couverts par l’étude.

La sensibilisation reste néanmoins largement perfectible puisque pour 34 % des répondants français, si l’attaque a été couronnée de succès, c’est à cause de la négligence d’un employé. 44 % reconnaissent néanmoins que la faute revient en premier à un antivirus traditionnel inccapable de stopper ce type d’attaque. Il n’en reste pas moins que 39 % des employés français ont quand même décidé de payer la rançon sans intervention ou accord préalable de leur département informatique/sécurité.

« Le problème des ransomware est là pour durer », conclu Frédéric Bénichou. « Il est plus que temps pour les entreprises de prendre les mesures nécessaires pour faire face à ces attaques récurrentes que ce soit au niveau technologique ou humain. Cela implique de mettre en œuvre des solutions de lutte contre les menaces de nouvelles génération et de prêter davantage de considération à la sensibilisation et la formation dispensée aux employés, un point clé trop souvent négligé. »

Chiffrement, Communiqué de presse, Cybersécurité, double authentification, RGPD, Securite informatique

Atteintes à la vie privée

Atteintes à la vie privée : Les consommateurs français craignent un recul de leurs libertés individuelles.

Une étude publiée par The Economist Intelligence Unit (EIU) avec ForgeRock révèle les nombreux risques liés à la collecte et au partage des données personnelles, tels qu’ils sont perçus par les consommateurs du monde entier. Ces derniers demandent plus de transparence et de contrôle, ainsi que des engagements des autorités publiques et des industriels pour protéger leur vie privée.

What the Internet of Things means for consumer privacy (L’Internet des Objets et son impact sur la vie privée des consommateurs) est une étude menée par l’EIU avec Forgerock. Elle sonde les préoccupations et priorités des consommateurs mondiaux vis-à-vis de l’Internet des Objets (IoT). Elle est basée sur un sondage mené auprès de 1 629 personnes dans huit pays (Allemagne, Australie, Chine, Corée du Sud, États-Unis, France, Japon et Royaume-Uni). Les données utilisées ici sont les chiffres français, alignés sur les tendances observées dans les autres pays. (1)

Dans leur majorité, les consommateurs interrogés font part de nombreuses inquiétudes liées à la collecte et à la transmission de leurs données personnelles. Profilage comportemental, vol et usurpation d’identité, etc. : 73% des sondés s’inquiètent de voir ces petites intrusions dans leur vie privée affecter leurs libertés individuelles. 92% déclarent vouloir un contrôle sur les informations transmises dans les collectes automatiques des données, et ils sont 83% à vouloir être informés dans les points de ventes sur les capacités de collecte de l’objet connecté.

L’importance des actions suivantes en matière de protection des données personnelles transmises automatiquement par les objets connectés :
– Permettre aux utilisateurs de contrôler quelles informations sont collectées : 92%
– Informer les utilisateurs lors de la collecte : 90%
– Informer les utilisateurs des mises-à-jour de sécurité : 87%
– Informer les utilisateurs sur les capacités de collecte de l’objet connecté dans les points de vente : 83%

Malgré les efforts menés par les entreprises pour se conformer aux réglementations à venir, les consommateurs souhaitent que les droits relatifs aux données soient inclus dans le Règlement Général de Protection des Données de l’Union Européenne, qui entrera en vigueur en mai 2018. Ils sont 68% à considérer le droit d’effacer leurs données ( le « droit à l’oubli » ) comme prioritaire. Sur cette question, les français se montrent significativement plus sensibles que la moyenne de l’étude qui est de 57%. (2)

Les résultats de l’étude – complétés d’entretiens avec des experts – proposent des stratégies pour aider les entreprises à renforcer la confiance des consommateurs. Parmi celles-ci : la collaboration avec les autorités publiques, et des engagements fermes de la part des industriels pour protéger la vie privée de leurs clients.

Un contrôle rigoureux par les autorités de l’application des standards est essentiel : 89% des sondés demandent des sanctions accrues pour les entreprises qui violeraient les normes de confidentialité.

Ben Goodman, Vice-Président de ForgeRock en charge de la stratégie globale et de l’innovation : « Les consommateurs sont de plus en plus conscients des conséquences de leurs interactions numériques quotidiennes. Les entreprises doivent donc prendre à bras le corps ce sujet si elles veulent conserver la confiance des consommateurs. Cela fait des années que nous bénéficions tous gratuitement des services des plateformes sociales en échange de nos informations personnelles. À la lumière des récentes révélations concernant les politiques de traitement des données de Facebook, il est temps de reconsidérer ce qui relève du piratage et les comportements qui devraient être assimilés comme tels afin de mettre en place les mesures de protection appropriées. Doit-on par exemple considérer comme étant du piratage toute situation où une entreprise utilise la data de ses clients d’une manière inattendue ? Quel est le niveau acceptable de divulgation d’informations personnelles par un individu ? Toutes ces questions doivent faire l’objet d’un débat, d’autant plus que les technologies de l’IoT continuent de remodeler la vie quotidienne à la maison, au travail et les façons dont nous nous déplaçons« .

Nick Caley, Vice-Président de ForgeRock en charge des industries financières et de régulation : « 9 français sur 10 réclament des sanctions accrues pour les entreprises qui violent la vie privée des consommateurs. C’est un signal fort pour toute organisation qui traite et utilise les données de ses clients, et plus particulièrement les sociétés de services financiers. Au fur et à mesure que les entreprises adaptent leurs infrastructures et leurs pratiques pour se conformer à l’Open Banking, à la directive PSD2 ou au RGPD, ils doivent garder à l’esprit que les régulateurs ont fait du consentement la clé de voute de chacune de ces lois. Et à juste titre, l’étude montre clairement que les consommateurs attendent des organisations qu’elles sollicitent et obtiennent le consentement des individus avant de recueillir leurs données personnelles. »

Veronica Lara, rédacteur en chef de l’étude : « Les consommateurs sont inquiets à juste titre, car l’omniprésence de capteurs interconnectés via l’Internet des Objets génère des nouvelles couches de risques qui sont difficiles à appréhender. Le manque de transparence et l’impossibilité pour les consommateurs de contrôler leurs données exacerbent la perception des menaces pesant sur leur vie privée et leur sécurité. Les choses semblent évoluer, cependant, à mesure qu’ils exigent des garanties plus fortes et que le RGPD étend son influence au-delà des frontière de l’UE. »

Banque, Bitcoin, Communiqué de presse, Cyber-attaque, Cybersécurité, Leak, Piratage, ransomware, ransomware, Securite informatique

cryptojacking et ransomware

La 23e édition du rapport annuel cyber menaces (ISTR) revient sur les attaques de l’année écoulée. Alors que les ransomware deviennent coûteux pour les cyber criminels et donc moins rentables, et que l’activité est saturée, un nouveau type d’attaque s’ajoute à l’arsenal des cyber attaquants et génère de nouvelles sources de revenus pour ces derniers : le cryptojacking.

Le cryptojacking est une nouvelle forme de menace pour la cybersécurité et la protection des données personnelles. L’appât du gain continu chez les cyber attaquants présente un danger pour les particuliers, les équipements et les entreprises, qui risquent de voir leurs ressources monétaires détournées de leurs systèmes. Les cyber attaquants n’hésitent pas à s’infiltrer aussi bien dans les ordinateurs personnels que dans les plus grands centres de données.

Le rapport annuel de Symantec sur les cyber menaces fournit un aperçu compréhensif du panorama des menaces informatiques dans le monde et des enseignements précieux quant aux activités émergentes et motivations des cyber attaquants. Le rapport analyse les données issues du réseau international d’intelligence de Symantec (le Symantec Global Intelligence Network), le plus important réseau civil de surveillance des menaces, qui comprend 126,5 millions de capteurs dans le monde et couvre 157 pays et territoires.

Alors que les Etats-Unis, la Chine et l’Inde occupent à nouveau les 3 premières places du classement mondial des pays où la cybercriminalité est la plus active, la France chute d’une place et se place au 9e rang mondial. L’Hexagone confirme sa place dans le top 10 et maintient sa position au 4e rang européen (derrière l’Allemagne et le Royaume-Uni). Tous types de menaces confondues, la France enregistre une légère baisse de pourcentage de cyber attaques sur un niveau mondial, passant de 2,35 % à 2,21 % entre 2016 et 2017 – contrairement aux Etats-Unis, à la Chine, la Russie ou encore l’Allemagne.

Explosion du cryptojacking : la France se classe au 4e rang mondial en volume d’attaques

L’an passé, la montée en flèche de la valeur des crypto-monnaies a déclenché une ruée vers l’or parmi les cybercriminels, qui entendent profiter d’un marché volatile. Les détections de service de minage installés sur des terminaux ont progressé de 8 500 % en 2017. L’Hexagone concentre 5,9 % du volume total des attaques de cryptojacking, se classant ainsi au 4e rang mondial (et au 2e rang européen).

Sans avoir besoin de compétences poussées en information et grâce à quelques lignes de code, les cyber criminels peuvent désormais profiter des ressources dont disposent les particuliers et les entreprises grâce à la puissance de traitement de calcul liée aux processeurs, afin de procéder à des attaques de cryptojacking. Les services de minage peuvent ralentir les équipements, entraîner une surchauffe des batteries et, dans certains cas, rendre les systèmes inutilisables. De leur côté, les entreprises sont susceptibles de constater des interruptions de réseau et une intensification de l’utilisation des processeurs, ce qui alourdit les coûts liés à l’infrastructure réseau.

« Il est désormais possible, pour des esprits malveillants, d’exploiter les ressources stockées sur nos téléphones, nos ordinateurs ou n’importe quel appareil connecté à des fins lucratives, » déclare Laurent Heslault. « S’ils ne renforcent pas leurs systèmes de défense, les utilisateurs risquent de devoir payer pour une autre personne utilisant leur appareil de façon frauduleuse ».

Les ransomware se stabilisent et s’installent durablement

En 2016, la rentabilité des ransomware a déclenché une saturation du marché entraînant une baisse notable du montant moyen des rançons : 522 dollars en 2017 contre 1 077 en 2016.  C’est pourquoi le ransomware est entré dans la catégorie des attaques dites communes, poussant nombre de cybercriminels à se tourner vers le minage pour attaquer les crypto monnaies et tirer pleinement profit de leur valeur élevée.

Malgré une réduction du nombre de familles de ransomware, la quantité de variantes de logiciels malveillants de ce type a augmenté de 46 % par rapport à 2016. Les groupes criminels innovent donc moins mais demeurent toujours très productifs.

Quant à la France, elle chute de la 11e à la 17e place dans le classement mondial des pays les plus actifs en matière de ransomware.

Multiplication des attaques sur les mobiles

Les attaques sur mobiles continuent d’augmenter avec une progression de 54 % du nombre de nouvelles variantes de logiciels malveillants en 2017. Durant l’année, Symantec a bloqué en moyenne 24 000 applications mobiles malveillantes par jour. Une progression qui s’explique par un faible taux d’adoption des dernières mises à jour de la part des utilisateurs. Les attaquants profitant ainsi de l’utilisation d’anciens systèmes d’exploitation : à titre d’exemple, seulement 20 % des appareils sont à jour avec, utilisant la dernière version d’Android, et seulement 2,3 % possèdent la dernière mise à jour mineure.

La protection des données des utilisateurs est également mise à mal par des applications mobiles appelées grayware, qui ne sont pas entièrement malveillantes mais peuvent se révéler menaçantes avec pour dommage la fuite du numéro de téléphone (63 % des applications de ce type) ou encore la localisation du téléphone (37 %). Le problème est loin d’être réglé puisque leur nombre de logiciels grayware a augmenté de 20 % en 2017.

Par ailleurs, les ransomware constituent une vraie menace sur mobile, certains utilisent même la reconnaissance vocale forçant les victimes à dévoiler à l’oral leur code de déverrouillage plutôt que de rentrer manuellement sur le téléphone.

La majorité d’attaques ciblées utilise une méthode unique pour infecter les appareils des victimes

Le nombre global d’attaques ciblées en 2017 est en hausse de 10 % comparé à l’année précédente. Symantec suit aujourd’hui les activités de 140 groupes de cyber attaquants. 71 % des attaques ciblées ont commencé par du spear phishing (phishing ciblé), une méthode établie depuis des années, pour compromettre les victimes. Si les groupes responsables d’attaques ciblées continuent d’exploiter des tactiques testées dont la viabilité a été prouvée pour infiltrer les entreprises, les menaces de type zero day sont de plus en plus délaissées : seulement 27 % des groupes d’attaques ciblées ont utilisé ces vulnérabilités l’an dernier.

Le secteur de la sécurité s’est longtemps penché sur les différents types de dommages que pourraient produire les cyberattaques. Un groupe d’attaquants sur dix utilise des attaques conçues pour déstabiliser leurs cibles, la théorie fait dorénavant place à la pratique.

Une augmentation de programmes malveillants de 200 % au sein des logiciels légitimes

En 2017, Symantec a enregistré une augmentation de 200 % du nombre de programmes malveillants injectés au sein de logiciels légitimes. Cela équivaut à 1 attaque par mois, contre 4 en 2016. La non-application des mises à jour des logiciels offrent aux cyber criminels un point d’entrée pour s’infiltrer dans des réseaux bien gardés.

Petya en est un parfait exemple. En juin dernier, après avoir utilisé un logiciel de comptabilité ukrainien comme point d’entrée, Petya a utilisé une variété de méthodes de propagation de la menace dans les réseaux d’entreprise, permettant ainsi le déploiement de leur charge utile malveillante.

Chiffrement, Communiqué de presse, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage, Securite informatique, Social engineering

Protéger sa gestion des mots de passe

Quel est le comportement des utilisateurs de mot de passe ? La société IS Decisions s’est penchée sur le problème en lançant une grande enquête aux États-Unis et au Royaume-Uni. Le vol et le partage de mot de passe font amis-amis.

Pour un administrateur et autre responsable de sécurité informatique, identifier une activité suspecte peut rapidement devenir l’enfer. Dans le lot des attaques difficiles à « environnementer », l’utilisation par les pirates informatiques des identifiants de connexion officiels.

Bien que ce soit souvent le comportement de sécurité de l’utilisateur final qui permette de voler ces identifiants, plutôt que de blâmer les utilisateurs d’être humains, la société IS Decisions propose une infographie qui affiche comment mieux protéger les connexions authentifiées de tous les utilisateurs.

On découvre, par exemple, que 45% des violations de données sont le résultat d’informations d’identifications compromises. 58% de ces compromissions le sont en raison d’une attaque informatique sous forme de phishing ; 38% en raison du partage de votre mot de passe avec un collègue. Le social Engineering, qu’exploite l’hameçonnage, regroupe 35% des cyberattaques. 22% des vols d’identifiants en raison d’une base de données piratée comprenant les informations d’identification de l’utilisateur.

Chiffrement, Communiqué de presse, Cybersécurité, Mise à jour, Propriété Industrielle, Securite informatique

Trend Micro et Panasonic s’associent pour sécuriser les véhicules connectés

Trend Micro et Panasonic Corporation annoncent un partenariat innovant visant à développer une solution de cyber-sécurité permettant de détecter et contrer les risques de piratage ciblant les voitures connectées et autonomes.

Ce partenariat a pour objectif de garantir un niveau de sécurité élevé pour ces véhicules, la solution étant capable de déceler et de prévenir les intrusions visant, d’une part les unités de commande électronique (UCE – Electronic Control Unit)*1 qui assurent le contrôle des comportements dynamiques de conduite tels que l’accélération, la direction et le freinage ; et d’autre part les plateformes d’info-divertissement embarquées (IVI – In Vehicule Infotainment)*2 comme les systèmes de navigation et les boitiers télématiques*3.

Les risques de piratage des systèmes de direction et de freinage dans les véhicules connectés sont bien réels. De nouvelles failles de sécurité sont découvertes quotidiennement, permettant aux cybercriminels de prendre le contrôle d’un véhicule à distance. Il est donc indispensable de définir des mesures de sécurité dans chaque voiture connectée, mais également d’analyser les nouvelles formes d’attaques grâce à une surveillance continue des systèmes embarqués depuis le Cloud, tout en capitalisant sur les données analytiques produites pour développer et généraliser des contre-mesures adéquates.

Ce partenariat s’appuiera sur la technologie de détection et de prévention des intrusions*4 pour le réseau CAN (Control Area Network) de Panasonic, ainsi que sur la solution Trend Micro IoT Security*5. La technologie Panasonic permettra de détecter l’ensemble des commandes non autorisées envoyées aux unités de commande électronique (ECU). Trend Micro IoT Security capitalise sur l’expertise de Trend Micro à l’échelle mondiale, ainsi que sur ses solutions basées sur l’intelligence connectée, notamment pour ce qui est de l’analyse des malware*6. La solution sera implémentée sur les plateformes d’info-divertissement embarqué (IVI) comme les systèmes de navigation, pour identifier les attaques tentant d’exploiter des vulnérabilités via le réseau Internet. Grâce à ce partenariat, les événements identifiés par les deux technologies seront collectés et envoyés à une plateforme d’analyse dans le Cloud pour détecter et bloquer le trafic suspect.

Ce partenariat technologique permettra ainsi de fournir une solution globale – dont des systèmes embarqués et des systèmes Cloud – visant à prévenir les cyber-attaques ciblant les véhicules autonomes et connectés. Les deux entreprises planifient un lancement commercial à l’horizon 2020.

*1 Unité de commande électronique : calculateurs qui commandent des actionneurs comme le moteur ou la direction
*2 Info-divertissement embarqué (IVI) : applications de divertissement et d’information disponibles dans les voitures
*3 Télématiques : service qui envoie et reçoit des données vers et depuis un véhicule
*4 Technologie de détection et de prévention CAN : technologie qui surveille le bus CAN (Control Area Network), autorisant les communications entre les unités de commande électroniques pour détecter les commandes non autorisées et les traiter comme invalides
*5 Trend Micro IoT Security : solution de sécurité pour les dispositifs embarqués connectant l’extérieur du véhicule à des communications IP sur des systèmes d’exploitation tels que Linux
*6 Malware : terme générique utilisé pour désigner différentes formes de logiciels ou de codes malveillants créés pour causer des dommages, y compris des virus informatiques.

backdoor, Chiffrement, Communiqué de presse, Cybersécurité, Securite informatique

Le cybercrime aurait coûté près de 600 milliards de dollars à l’économie mondiale

Le marché du cybercrime est de plus en plus facilité, à mesure que ses acteurs exploitent les marchés parallèles et les monnaies numériques.

McAfee en partenariat avec le CSIS – Center of Strategic and International Studies, a publié un nouveau rapport sur l’impact économique de la cybercriminalité. Intitulé ‘Economic Impact of Cybercrime – No Slowing Down’, il révèle que l’économie du cybercrime coûte près de 600 milliards de dollars aux entreprises, soit 0,8 % du PIB mondial. En comparaison avec la première étude réalisée en 2014, une hausse de 445 milliards de dollars est observée, soit une évolution de 26 %.

Le rapport attribue notamment cette croissance à la facilité de s’engager dans la cybercriminalité – le volume de centres de cybercriminalité connaît une importante croissance, à l’adoption rapide des nouvelles technologies par les cybercriminels, ainsi qu’à la sophistication financière croissante des plus aguerris d’entre eux.

« Le monde numérique a transformé presque tous les aspects de nos vies. Il en va de même pour en matière de criminalité, aujourd’hui, le cybercrime est moins risqué, plus rentable et plus facile que jamais », déclare Steve Grobman, Chief Technology Officer – McAfee.

« En matière de ransomwares, les cybercriminels peuvent externaliser une grande partie de leur travail à des tiers compétents. Les fournisseurs de ‘Ransomware-as-a-service’ adaptent désormais l’automatisation pour exécuter leurs attaques et cibler des millions de systèmes. C’est sans compter les cryptomonnaies qui offrent désormais un moyen de monétisation rapide pour un risque moindre. Le chiffre de $600 milliards de perte liées à la cybercriminalité reflète bien la manière dont la technologie a transformé l’économie du crime en ligne. »

Selon le rapport, les banques demeurent une cible préférée des cybercriminels, et les États représentent la source la plus dangereuse en termes de cybercriminalité. La Russie, la Corée du Nord et l’Iran sont les plus actifs en matière de piratage des institutions financières, tandis que la Chine est la plus active dans le cyber-espionnage.

« Notre recherche a démontré que la Russie dispose d’une longueur d’avance dans le domaine du cybercrime, reflétant les compétences de sa communauté de hackers et son mépris pour l’application des lois occidentales », explique James Lewis, Vice-Président du CSIS.

« La Corée du Nord est en seconde position, elle utilise le vol de cryptomonnaies pour aider à financer son régime. Nous observons aujourd’hui un nombre grandissant de centres de cybercrime, non seulement en Corée du Nord mais aussi au Brésil, en Inde ou encore au Vietnam. »

Au sein des différents pays où le cybercrime a été mesuré (Amérique du Nord, Europe, Asie centrale, Asie de l’Est et du Pacifique, Asie du Sud, Amérique latine, Caraïbes, Afrique subsaharienne, Moyen-Orient et Afrique du Nord), les pertes sont, sans surprise, les plus importantes dans les pays riches. Cependant, les nations enregistrant les plus grandes pertes (en pourcentage de leur revenu national) sont celles de niveau intermédiaire, c’est-à-dire qui sont numérisées mais pas encore pleinement équipées en matière de solutions de cybersécurité.

Le vol de propriété intellectuelle représente au moins 25% du coût de la cybercriminalité et peut menacer la sécurité nationale lorsqu’il s’agit de technologie militaire. Le ransomware est le vecteur d’attaque enregistrant le taux de croissance le plus rapide : on dénombre plus de 6 000 marchés en ligne et plus de 45 000 variants de « Ransomware-as-a-Service » (RaaS), qui gagne en popularité. Le « cybercrime-as-a-service » se sophistique, avec des marchés florissants offrant une grande diversité d’outils et de services tels que les kits d’exploitation, les malwares personnalisés et la location de réseaux de botnet. L’anonymat des cryptomonnaies, telles que Tor et le Bitcoin, protège les acteurs.