Archives de catégorie : double authentification

Biométrie, double authentification, famille, ID, Identité numérique, Particuliers, santé, Vie privée

Protection numérique : Google renforce la sécurité des jeunes

Google amorce une révolution dans la protection des mineurs en ligne : l’intelligence artificielle détecte l’âge pour bloquer contenus sensibles et pubs ciblées, sans intervention des éditeurs.

Google déploie une nouvelle technologie d’estimation d’âge par intelligence artificielle pour protéger les mineurs aux États-Unis. Grâce à un système d’apprentissage automatique, l’âge des utilisateurs connectés est évalué afin d’appliquer automatiquement des restrictions. Les publicités personnalisées sont désactivées, les catégories sensibles interdites, et plusieurs fonctionnalités limitées. Ce changement concerne les plateformes publicitaires Google (AdSense, AdMob, Ad Manager) sans aucune action requise des éditeurs. Ce dispositif répond à des exigences réglementaires croissantes tout en respectant la vie privée. L’initiative pourrait être étendue à d’autres pays, alors que les législateurs mondiaux s’attaquent à la question de la protection des jeunes en ligne. Un tournant stratégique majeur dans le paysage numérique.

Une IA pour protéger les jeunes : l’approche inédite de Google

Depuis juillet 2025, Google expérimente un modèle d’intelligence artificielle inédit pour estimer l’âge des utilisateurs connectés aux États-Unis. L’objectif ? Identifier automatiquement les personnes de moins de 18 ans afin d’activer des protections renforcées, sans collecte intrusive ni vérification manuelle préalable. Ce système s’applique en priorité à ses services publicitaires (AdSense, AdMob, Ad Manager), ainsi qu’à des plateformes comme YouTube, Google Maps et Google Play. Une technique qui n’est pas nouvelle, des sites comme TikTok vous propose aussi de vérifier votre âge à grand coup de biométrie !

Le modèle s’appuie sur les données comportementales associées au compte Google : types de recherches, historique de navigation, vidéos visionnées ou interactions avec des contenus spécifiques. En détectant qu’un utilisateur a probablement moins de 18 ans, Google désactive plusieurs fonctions : Suppression des annonces personnalisées ; Blocage des catégories publicitaires sensibles : alcool, tabac, jeux d’argent, perte de poids, etc. ; Désactivation de Timeline dans Google Maps ; Limitation des recommandations sur YouTube ; Activation automatique des rappels de pause et de coucher.

Ces mesures s’inscrivent dans une logique proactive, sans nécessité pour l’utilisateur ou l’éditeur de modifier ses paramètres. Lorsqu’un compte est classé comme « mineur probable« , le système applique instantanément des restrictions conformes aux standards en vigueur en matière de sécurité numérique des mineurs.

Aucun changement requis chez les éditeurs : Google centralise la régulation

Pour les éditeurs de contenus utilisant les services publicitaires Google, cette évolution ne requiert aucune configuration manuelle. Le déploiement de cette fonctionnalité se fait entièrement côté serveur, sur la base des données associées au compte utilisateur connecté. Le système détecte localement si un compte doit être traité comme appartenant à un mineur, et modifie en conséquence les flux publicitaires.

Les éditeurs doivent cependant être conscients des impacts potentiels : une baisse possible des revenus peut survenir dans les segments où les annonces personnalisées généraient historiquement de meilleures performances. Les créations publicitaires contenant certains mots-clés ou images peuvent aussi être bloquées si elles correspondent à des catégories jugées sensibles. En clair, les mineurs ne verront plus certains types de campagnes, et la monétisation de ces impressions pourrait être affectée.

Google précise que cette technologie s’applique exclusivement lorsque l’utilisateur est connecté à son compte Google. Si l’utilisateur navigue anonymement ou en mode invité, ces protections ne s’activent pas automatiquement.

Pour les internautes mal catégorisés — par exemple, un adulte considéré comme mineur — une procédure permet de vérifier son âge : pièce d’identité, carte bancaire (pour 0,50 $ soit environ 0,46 €), ou selfie biométrique traité localement. Aucune donnée n’est conservée après vérification.

Ce mouvement stratégique répond à une pression réglementaire croissante dans plusieurs pays. En Europe, le Digital Services Act impose des garde-fous stricts sur la collecte de données des mineurs et le ciblage algorithmique. Le Code britannique pour la conception adaptée à l’âge, en vigueur depuis 2021, oblige les entreprises numériques à minimiser les risques pour les moins de 18 ans. L’Irlande et la France suivent des lignes similaires.

Aux États-Unis, des États comme la Louisiane, l’Arkansas ou l’Utah imposent déjà des vérifications d’âge obligatoires pour accéder à certains réseaux sociaux. Le Kids Online Safety Act (KOSA), en discussion au Sénat, pourrait imposer ces standards à l’échelle fédérale. En réponse, les grandes plateformes cherchent à automatiser la détection d’âge sans collecter de documents sensibles en amont.

Google opte pour un compromis innovant : un modèle probabiliste, non intrusif, capable d’identifier des signaux d’âge sans traitement biométrique systématique. Cette méthode « privacy-friendly » s’inscrit dans une stratégie plus large visant à réconcilier régulation, rentabilité et protection de la vie privée. Le système est testé auprès d’un petit échantillon d’utilisateurs avant extension progressive aux États-Unis, puis, sans doute, au reste du monde.

À moyen terme, cette politique pourrait être déclinée dans tous les produits Google, y compris Gmail, Discover et Chrome, et redessiner les contours de la publicité en ligne à l’ère des régulations générationnelles.

Cybersécurité, double authentification, Entreprise

Remplacer les mots de passe tous les mois ? Plus utile selon le NIST

La sécurité des mots de passe reste un enjeu majeur dans la protection des systèmes numériques et des données sensibles. Le guide du NIST, « Special Publication 800-63B », aborde en détail les pratiques à suivre pour garantir une gestion et une utilisation des mots de passe conformes aux normes de sécurité modernes.

Le National Institute of Standards and Technology (NIST) est l’autorité fédérale américaine. Sa mission, mettre en place des normes technologiques qui s’appliquent aux entreprises américaines. Ses recommandations dépassent les frontière et font, la plupart du temps, référence à l’échelle mondiale. Le guide SP 800-63B du National Institute of Standards and Technology place l’authentification au cœur de la protection des systèmes d’information avec quelque chamboulement. Le NIST rappelle que l’authentification est subdivisée en trois niveaux d’assurance, appelés AAL (Authentication Assurance Levels), qui varient en fonction du niveau de sécurité nécessaire :

AAL1 : Authentification à faible niveau d’assurance, généralement un mot de passe seul.
AAL2 : Authentification nécessitant au moins deux facteurs (par exemple, mot de passe et un facteur physique comme un smartphone ou une clé de sécurité).
AAL3 : Authentification à très haut niveau d’assurance, requérant des méthodes robustes et cryptographiquement sécurisées.

L’un des aspects critiques du SP 800-63B concerne la gestion des mots de passe à tous les niveaux d’authentification.

Traditionnellement, les politiques de sécurité exigeaient des mots de passe complexes, avec des règles telles que l’obligation d’inclure des caractères spéciaux, des chiffres et des majuscules. Le NIST recommande un changement d’approche radical. Plutôt que de forcer la complexité, le guide encourage à privilégier des mots de passe plus longs (au moins 8 caractères) qui sont plus faciles à retenir pour les utilisateurs mais plus difficiles à deviner pour les attaquants. Les mots de passe de 64 caractères ou plus sont autorisés, et les restrictions de complexité doivent être minimisées pour encourager l’utilisation de phrases de passe.

Une autre recommandation du NIST consiste à abandonner les politiques de changement de mot de passe régulier, qui peuvent avoir des effets contre-productifs. Lorsqu’on oblige les utilisateurs à changer leurs mots de passe trop fréquemment, cela les conduit souvent à choisir des mots de passe plus simples ou à réutiliser des variantes faciles à deviner. Bilan, le NIST préconise de ne pas imposer de changement de mot de passe à moins qu’il y ait une raison spécifique, comme la détection d’une compromission. Cela permet de diminuer le stress des utilisateurs tout en garantissant une meilleure protection des comptes.

Désactivation des contraintes inutiles

Le guide déconseille également l’utilisation de règles de composition restrictives qui refusent certains caractères ou qui exigent des combinaisons spécifiques. Cela inclut également la désactivation des systèmes qui empêchent les utilisateurs de copier-coller ou de générer automatiquement des mots de passe, une pratique courante avec les gestionnaires de mots de passe. Le but est de faciliter la création de mots de passe sécurisés tout en réduisant le fardeau cognitif sur les utilisateurs. Le NIST recommande que les mots de passe proposés par les utilisateurs soient vérifiés par rapport à des listes de mots de passe compromis, communément disponibles après des violations de données. Cela inclut les mots de passe courants, les mots de passe exposés et les termes prévisibles associés à des informations personnelles. En bloquant l’utilisation de ces mots de passe connus, le risque de compromission est considérablement réduit. A noter que le Service Veille ZATAZ, entreprise Française, est capable de vous alerter lors de la compromission des informations de votre entreprise, dont les mots de passe.

Les attaques par force brute, où un pirate (ou ses logiciels automatisés) tente d’essayer toutes les combinaisons possibles de mots de passe, restent une menace constante. Le NIST suggère des mesures pour limiter ces tentatives, comme l’introduction de temporisations après un certain nombre d’échecs de connexion. De nombreux sites utilisent cette solution, dont Data Security Breach. L’utilisation d’authentification multi-facteurs est également une défense efficace contre ces types d’attaques, car le hacker malveillant doit non seulement deviner un mot de passe, mais également obtenir un second facteur, ce qui est « quasiment » impossible rapidement et efficacement. Le NIST recommande l’authentification multi-facteurs (MFA) comme méthode essentielle pour garantir une sécurité accrue. Le MFA combine généralement un mot de passe avec quelque chose que l’utilisateur possède (comme un téléphone ou une clé de sécurité) ou quelque chose qu’il est (comme une empreinte digitale). Concernant la biométrie (contrôle par l’empreinte palmaire, l’iris, Etc), le NIST encourage à ne pas utiliser la biométrie comme unique facteur.

Algorithmes de hachage obsolètes

Le NIST déconseille de stocker les mots de passe en texte clair ou sous une forme faiblement protégée, comme les algorithmes de hachage obsolètes (par exemple, MD5 ou SHA-1). Il est essentiel d’utiliser des méthodes modernes de protection des mots de passe comme l’algorithme de hachage sécurisé PBKDF2 ou Argon2, qui ralentissent le processus de vérification hors ligne, rendant les attaques par force brute beaucoup plus difficiles. Les gestionnaires de mots de passe sont fortement recommandés par le NIST pour gérer la complexité de la création et de la mémorisation des mots de passe. Ces outils permettent aux utilisateurs de créer des mots de passe longs et uniques pour chaque service sans avoir à s’en souvenir, ce qui réduit le risque de réutilisation de mots de passe. Le guide suggère d’encourager les utilisateurs à adopter ces outils comme une solution viable pour renforcer leur sécurité personnelle.

Pour conclure, le NIST rappelle la base de la cyber : éducation ! L’un des éléments clés de la sécurité des mots de passe est la sensibilisation des utilisateurs. Les meilleures pratiques en matière de sécurité peuvent être inefficaces si les utilisateurs ne sont pas bien formés. Le NIST insiste sur l’importance de campagnes de sensibilisation pour encourager l’utilisation de phrases de passe, de gestionnaires de mots de passe et de l’authentification multi-facteurs. Il est également crucial que les utilisateurs comprennent les risques liés aux attaques par phishing et à la compromission de leurs identifiants.

Cybersécurité, double authentification

Lancement de Locknest : le premier gestionnaire de mots de passe physique et français

Sans dépendance au Cloud, Locknest propose de reprendre le contrôle sur ses données avec une clé physique.

Jeune entreprise innovante et française, spécialisée dans la cybersécurité, LockNest Group lance son premier produit : Locknest, le gestionnaire physique d’identité numérique. L’objectif : offrir au grand public l’opportunité de reprendre la main sur ses données confidentielles en les retirant du Cloud.

Locknest, c’est quoi ?

Locknest est un gestionnaire physique d’identité numérique. Sous la forme d’une clé qui tient dans la paume de la main, il est dédié à la protection des données confidentielles des utilisateurs. Facile à utiliser, il est universel (fonctionne avec tous types d’appareils, en Bluetooth et en USB-C) et autonome (aucune dépendance au Cloud).

Dans sa première version, Locknest permet de stocker jusqu’à 512 entrées. Une entrée c’est un identifiant, un mot de passe, une URL, un titre et une description. Locknest garantit le chiffrement des données critiques de bout en bout, jusqu’à ce que l’utilisateur récupère son mot de passe, automatiquement, dans le champ du formulaire à remplir. Grâce à un simple secret maître de 7 chiffres, il peut accéder au tableau de bord de son Locknest, sur l’application mobile ou l’application web, enregistrer des données et générer des mots de passe robustes.

En cas de perte : l’export chiffré de la base permet de sauvegarder ses données et de les réimporter sur un deuxième boîtier Locknest.

En cas de vol : A la manière d’une carte bancaire, Locknest applique une pénalité sous forme de bannissement temporaire à partir de 3 erreurs de secret maître et ce, jusqu’à ce que le bon secret maître ait été utilisé. Durant ces 10 minutes de bannissement, toute tentative d’ouverture de session sera purement ignorée. Avec un PIN de 7 chiffres, le temps nécessaire à l’attaquant pour trouver le secret maître est donc, en moyenne, de 13 ans. Ce qui permet assez largement de se rendre compte du vol de la clé et ainsi pouvoir agir avant que les secrets ne soient découverts.

Financement participatif réussi

En mars dernier, l’entreprise française a choisi de lancer son produit en précommande sur la plateforme de financement participatif KissKissBankBank. Avec près de 24 000 € récoltés, sur un objectif de 20 000€, la campagne de crowdfunding a été un véritable succès. La somme collectée a permis de lancer la production du premier lot de Locknest : les cartes électroniques ainsi que la coque en plastique ABS fabriquée sur-mesure par un plasturgiste français.

Pourquoi un boîtier physique à l’heure du tout-numérique ?

Locknest vise à modifier le comportement des utilisateurs en intégrant le moins de complexité possible. Plutôt que de miser sur une révolution technologique, les créateurs de Locknest ont préféré s’attaquer au frein le plus courant : le facteur humain. L’aspect hardware de la solution permet d’absorber une grande partie de la complexité de ce type de solutions, notamment en ne demandant qu’un PIN de 7 chiffres pour le déverrouiller, là où les solutions purement en ligne nécessitent un secret maître long et complexe. Le boîtier permet également de sécuriser physiquement les données grâce à un microcontrôleur sécurisé et un module d’accélération cryptographique AES supportant les clés allant jusqu’à 256 bits.

Enfin, l’aspect physique possède un avantage conséquent : il suffit d’éteindre le boîtier pour rendre inaccessibles ses données. Locknest permet de ne pas être dépendant du Cloud en enregistrant les données directement dans le boîtier. Les informations sont ensuite distribuées en USB ou en Bluetooth vers les différents équipements (PC, mobile). Un avantage en termes de sécurité, bien sûr, mais qui permet également d’éviter à l’utilisateur de devoir synchroniser ses appareils puisqu’il n’a plus qu’une seule source de données.

Un niveau de sécurité élevé pour tous

« Avec Locknest, nous souhaitons rendre la sécurité numérique accessible au plus grand nombre, explique Pierre Le Roy, président de LockNest Group. Plutôt que de chercher à optimiser encore le niveau de sécurité des utilisateurs déjà protégés, nous visons à remettre à niveau ceux qui n’ont pas encore trouvé de solution suffisamment simple. »

Locknest revendique en effet deux piliers d’égale importance dans sa conception : la sécurité et la simplicité. Plus besoin d’être un expert technique pour protéger ses données confidentielles.

« Notre vision est d’arriver à garantir un niveau de sécurité suffisant pour l’utilisateur tout en minimisant l’impact sur son quotidien, précise-t-il. Tous nos choix techniques offrent, selon nous, le meilleur compromis entre robustesse aux attaques et vitesse de calcul / simplicité d’utilisation. Toute sécurité est une contrainte, mais notre but est de la rendre la plus invisible possible. Rien ne sert d’avoir une défense quasi parfaite si l’utilisateur ne s’en sert jamais. »

Prix : 120 € TTC pour un Locknest. Aucun abonnement requis et les mises à jour logicielles sont gratuites.

Cybersécurité, double authentification

Une solution cyber à double anonymat pour prouver son âge sur le web

Docaposte expérimente une solution sécurisée et souveraine de preuve de majorité qui garantit le double anonymat. Une solution en cours de test sur des sites pour adultes !

Docaposte, la filiale numérique du groupe La Poste, expérimente, dans le cadre du Laboratoire de la protection de l’enfance porté par le Gouvernement, une solution délivrant une preuve d’âge destinée à limiter l’accès aux sites pour adultes aux personnes majeures. La solution développée par Docaposte répond à un triple enjeu : la protection des mineurs, le respect de l’anonymat des utilisateurs et un système ouvert proposant un choix de plusieurs moyens d’identification.

Constituée d’une plateforme numérique et d’une application mobile, la solution propose un dispositif unique de double anonymat, sans transmission d’informations sur l’identité des utilisateurs ni de traçabilité des sites fréquentés. De plus, un hébergement souverain de la solution dans les datacenters installés en France de l’opérateur.

La solution a vocation à être généralisée en début d’année 2024 aux services en ligne nécessitant une vérification sécurisée de l’âge des utilisateurs.

La garantie de l’anonymat et l’absence de traçabilité

La solution est un dispositif sécurisé qui garantit l’anonymat de l’utilisateur et l’absence de traçabilité des sites qu’il consulte. La solution est constituée d’une plateforme internet et d’une application mobile. Ces deux composants ont chacun leur rôle : la plateforme internet sert d’intermédiaire entre l’utilisateur et le site auquel il souhaite accéder. L’application mobile récupère uniquement la preuve d’âge de l’utilisateur, qui est une donnée anonymisée.

Ces deux composants garantissent le double anonymat : le site consulté ne connaît pas l’identité de l’utilisateur et le moyen d’identification choisi par l’utilisateur ne connaît pas le site consulté avec la preuve d’âge.

Concrètement, lorsqu’un utilisateur souhaite accéder à un site requérant un âge minimum, il se connecte sur la plateforme qui confirmera son âge auprès du site pour en autoriser l’accès, en transmettant uniquement une preuve d’âge, sans transmettre la moindre information personnelle sur l’identité de l’utilisateur. De la même manière, le moyen d’identification utilisé (par exemple, L’Identité Numérique La Poste ou un numéro de carte bancaire Mastercard) ne connaît pas le site accédé avec la preuve d’âge.

Une solution sécurisée, souveraine et ouverte

Cette solution est hébergée en France dans ses propres datacenters. La sécurité des données est assurée par un stockage en compartiments étanches empêchant l’accès à l’ensemble des informations personnelles des utilisateurs et des usages de leur preuve d’âge. Conçue dans une logique de plateforme ouverte à différents moyens d’identification, la solution offre aux utilisateurs le choix de la modalité d’identification qui leur convient le mieux.

Dans la phase d’expérimentation, la plateforme propose L’Identité Numérique La Poste, l’utilisation de sa pièce d’identité (contrôlée par un service de vérification d’identité à distance) ou un numéro de carte bancaire Mastercard. Des négociations sont en cours en vue de l’intégration de nouveaux partenaires et de l’élargissement du nombre d’options d’identification proposées aux utilisateurs.

L’expérimentation, lancée depuis plusieurs semaines avec des sites pour adultes, s’achèvera début 2024. Une généralisation de la solution est par la suite prévue. Au-delà des sites pour adultes, elle apporte une réponse aux besoins de protection des mineurs et de respect de la loi en matière de vérification d’âge par des activités réglementées tels que les jeux vidéos à contenu violent ou adulte ou l’achat d’alcool et de tabac en ligne.

Cybersécurité, double authentification

Google Authenticator prend en charge la sauvegarde

L’application d’authentification à deux facteurs Google Authenticator synchronise désormais les codes à usage unique 2FA qu’elle génère avec les comptes d’utilisateurs Google.

Auparavant, les codes à usage unique Authenticator étaient stockés localement sur un seul appareil, et leur perte pouvait empêcher de se connecter à n’importe quel service configuré avec Authenticator.

Pour bénéficier de la nouvelle fonctionnalité de synchronisation, vous devez mettre à jour votre application. Lorsque vous vous connectez à votre compte Google sur Google Authenticator, les codes sont automatiquement enregistrés et restaurés sur tout nouvel appareil. Ils peuvent également être transférés manuellement vers un autre appareil. Comment vous allez vous en rendre compte ? D’abord le logo d’authenticator a changé.

Ensuite, un petit nuage rouge et une virgule apparaissent dans l’application, à côté de votre compte Google.

Le géant américain affirme que cette mesure ne compromet pas la sécurité. « Nous avons lancé Google Authenticator en 2010 comme moyen gratuit et facile pour les sites d’ajouter des 2FA (Double authentification, ce qui améliore la sécurité de l’utilisateur lors de la connexion. Dans cette mise à jour, nous apportons une solution à ce problème, en rendant les codes à usage unique plus sûrs en les stockant en toute sécurité dans les comptes des utilisateurs de Google« .

L’application Authenticator était à l’origine un projet open-source, mais le code a été fermé par la suite, et les forks open-source officielles des applications Android, iOS et BlackBerry n’ont pas été mises à jour depuis des années. Il existe des alternatives à Authenticator, comme Authy et Duo.

En 2022, Google a annoncé l’introduction d’un support de connexion sans mot de passe avec Passkeys pour Android et Chrome. Les développeurs Android pourront mettre en œuvre la prise en charge de l’accès sans mot de passe à l’aide de l’API WebAuthn et la tester dans le navigateur Chrome Canary ou dans le programme bêta Google Play Sequence.

Cybersécurité, double authentification

Un système pour craquer les mots de passe à base de RTX 4090

Mettez vingt-quatre cartes graphiques RTX 4090 en parallèle et regardez le matériel cracker les mots de passe plus vite que la lumière !

L’ancien pirate informatique, Kevin Mitnick (Alias le Condor) est aujourd’hui un spécialiste de la sécurité informatique. Il travaille pour la société KnowBe4. Dernièrement, sur Twitter, Mitnick a affiché à quoi ressemble sa nouvelle plate-forme de craquage de mots de passe.

L’ancien hacker, qui a passé environ cinq ans en prison dans les années 90, est depuis longtemps un spécialiste de la sécurité de l’information, un consultant et un conférencier recherché.

Le directeur exécutif de Mitnick Security Consulting explique que cette machine se compose de quatre serveurs, le tout pris en charge par vingt-quatre cartes graphiques RTX 4090 basées sur Ada Lovelace et six autres RTX 2080 basées sur Turing. L’histoire ne dit pas combien de temps et d’énergie vont devoir être exploités pour craquer des mots de passe, hashés par exemple, en sha256.

A noter qu’utiliser des RTX 4090 dans un centre de données serait une violation du contrat de licence du pilote de NVidia. Nvidia a interdit, en 2018, l’utilisation de ses cartes graphiques GeForce et Titan dans les centres de données, obligeant les organisations à débourser pour des équipements plus chers, comme ses puces Tesla V100.

Bitcoin, Cybersécurité, double authentification, Mise à jour, nft

Porsche stoppe son projet NFT

Porsche stoppe la production d’une nouvelle collection de NFT suite aux risques de piratage informatique et de détournement de ses créations.

La marque de voitures de prestiges, Porsche, souhaitait mettre en circulation des NFT, les Non-Fungible Tokens. Suite à de nombreuses inquiétudes, le projet est mis à l’arrêt. Les craintes de piratage informatique et escroquerie numérique font que la marque préfère travailler sur un système plus sécurisé avant de se lancer dans l’aventure des NFT.

Les NFT (Non-Fungible Tokens) sont des actifs numériques stockés sur une blockchain qui fournissent la preuve de l’authenticité et de la propriété d’un élément.

Le marché de revente NFT OpenSea, où il était moins cher d’acheter des objets de collection Porsche que d’obtenir un original, a provoqué la colère des investisseurs. Cela dévalué immédiatement les actifs originaux des créations du constructeur automobile.

Porsche a annoncé qu’elle interromprait le processus de diffusion de ses NFT et réduirait les expéditions jusqu’à ce qu’elle sache comment lancer correctement les NFT.

double authentification, Entreprise

Faire face à l’augmentation des attaques par ingénierie sociale visant les télétravailleurs

Avec le reconfinement et le télétravail à nouveau imposé aux entreprises par le gouvernement au minimum jusqu’au 1er décembre prochain, la deuxième vague de la pandémie réunit une nouvelle fois les conditions propices à différents types d’attaques d’ingénierie sociale. En France et au niveau international, de nombreux rapports et avertissements d’organismes publics et d’entreprises privées réputées font état de l’augmentation des attaques liées au coronavirus, allant du phishing au vishing (hameçonnage par téléphone), en passant par le ransomware, alors que le monde entier évolue vers le télétravail et s’adapte aux risques qui y sont associés.

Les attaques deviennent de plus en plus sophistiquées, cependant les cybercriminels capitaliseront toujours sur le facteur humain. L’incertitude, la peur, la distraction, l’isolement et la confusion sont autant de facteurs qui contribuent à accroître la vulnérabilité des utilisateurs. Et tandis que l’actualité évolue rapidement, il est difficile, voire impossible, d’anticiper le prochain rebondissement de la pandémie ou événement majeur que des pirates informatiques opportunistes exploiteront.

Les experts s’attendent à ce que la distanciation sociale se poursuive et que les interactions virtuelles se multiplient bien après la fin de la crise sanitaire. Cela signifie que les entreprises doivent s’appuyer sur une authentification forte pour se prémunir contre l’augmentation des attaques par ingénierie sociale. Par ailleurs, avec un environnement de travail de plus en plus décentralisé et la baisse de confiance dans les systèmes de sécurité, il est essentiel de regagner la confiance des utilisateurs.

Dans ce contexte, bien qu’elle soit essentielle, la sensibilisation des employés à la détection des escroqueries liées au Covid-19 ne constitue pas une réponse pleinement satisfaisante. Quel que soit le degré de sensibilisation des utilisateurs au phishing ou à l’ingénierie sociale, certains cybercriminels parviendront tout de même à leurs fins. Tant que la participation des utilisateurs sera nécessaire et que l’on comptera sur eux pour identifier le phishing et les attaques de type « man-in-the-middle » (qui a pour objectif d’intercepter les communications entre deux parties, sans que ni l’une ni l’autre ne puisse se douter de la compromission du canal de communication), les vulnérabilités continueront à poser problème.

Des solutions modernes d’authentification forte capables de réduire à zéro l’impact d’attaques de type phishing existent, telles les clés de sécurité basées notamment sur l’usage de clés asymétriques, sujettes ni à la fatigue de l’utilisateur ni à son niveau de sensibilisation à la cybersécurité. C’est la raison pour laquelle les organisations ont tout intérêt à revoir leur stratégie d’authentification. Elles ne peuvent en effet plus se permettre de reposer éternellement la sécurité des réseaux via de simples mots de passe, des questions de récupération ou une authentification de base à deux facteurs pour se protéger contre de futures attaques d’ingénierie sociale. Ces méthodes ont prouvé à maintes reprises qu’elles n’étaient pas à la hauteur face aux logiciels malveillants mobiles, au SIM Swapping ou encore aux attaques de phishing. Les cybercriminels sont aujourd’hui de mieux en mieux préparés, et les entreprises doivent suivre la même voie.

De plus, l’expérience de l’utilisateur est essentielle pour garantir la sécurité d’une organisation. Dans un monde où les télétravailleurs se trouvent physiquement éloignés de leurs collègues et de l’équipe IT, et où ils essayent de concilier vie professionnelle et vie privée, l’authentification forte doit fonctionner sur une multitude d’appareils, d’applications métiers critiques et dans différents environnements. En effet, plus l’expérience de l’utilisateur est optimale, plus il est facile de déployer et de sécuriser l’entreprise — contrairement aux solutions ponctuelles complexes qui ne protègent qu’un ensemble d’utilisateurs.

Ainsi, la recrudescence des attaques liées au Covid-19 représente un danger réel et bien présent. Toutefois, il ne s’agit pas seulement de menaces temporaires ou propre à la pandémie. Il est aujourd’hui davantage question de prendre des mesures opérationnelles et matérielles afin de limiter au maximum les vulnérabilités malgré l’intensification des attaques d’ingénierie sociale. (Par Laurent Nezot, Sales Director France chez Yubico)

 

double authentification

Mise en place de la 2FA à la suite d’un ransomware

La commune américaine de Keizer, située dans le comté de Marion dans l’Oregon, a été victime d’une attaque de ransomware. Son administration, composée de plusieurs divisions telles que les patrouilles de police, les travaux publics, le développement communautaire, etc s’est retrouvée coincée par la cyber attaque. La ville traite des données extrêmement sensibles et doit donc en assurer la protection et l’accès sécurisé.

Pour aider la ville à se protéger contre de nouvelles attaques, une stratégie de sécurité renforcée a été mise en place. En haut de la liste des priorités figurait l’implémentation de l’authentification à deux facteurs (A2F).

Pour les patrouilles de police, les réglementations exigeaient déjà l’utilisation de deux facteurs pour s’identifier. Pour être conforme, le département avait installé Duo A2F, mais la solution n’avait pas été considérée comme simple à mettre en place ou intuitive. Pour cette raison, Bill Hopkins, administrateur réseau, recherchait une nouvelle solution qui pourrait être facilement déployée sur tous les comptes utilisateurs et administratifs, de tous les départements. Une étude de cas proposée par la société IS Decisions.