Archives de catégorie : Justice

Un demi million de patients médicaux piratés

Un pirate informatique a mis la main sur 500 000 dossiers appartenant à des patients belges en piratant le site Digitale Wachtkamer.

Le site Digitale Wachtkamer a été piraté ! Ce site dédié à la prise de rendez-vous chez un médecin, par exemple, a été visité et vidé de sa base de données. Selon le journal flamand VTM Nieuws, 500 000 dossiers de patients belges ont été copiés par un pirate informatique. Le pirate informatique me fait penser au maître chanteur Rex Mundi. Après avoir volé les données, il a envoyé un courriel à l’entreprise afin de lui demander de l’argent. Son silence contre 85 000 euros (42 BTCs). Digitale Wachtkamer n’a pas payé et a déposé plainte. Il y a de forte chance que les données de plus de 500 000 utilisateurs finissent sur le web, dans les heures à venir en représailles. D’après Digitale Wachtkamer, aucuns dossiers médicaux n’étaient accessibles, seules les prises de rendez-vous. Digitale Wachtkamera contacté ses utilisateurs afin qu’ils changent leur mot de passe.

Il y a deux ans, un pirate informatique du nom de Rex Mundi avait agit de la sorte à l’encontre de plusieurs entreprises Belges, Suisses et Françaises. En France, le laboratoire de santé Labio avait été la victime de ce type de chantage. Digitale Wachtkamer semble faire parti de ces TROP nombreuses entreprises alertées d’un manque de sécurité, alertée par des hackers et dont les messages sont restées lettres mortes. En 2013, Digitale Wachtkamer avait été alertée d’un manque de sécurité dans son code.

https://twitter.com/JeroenCeyssens/status/887380075557081088

Un chercheur crée Bitscout afin de faciliter les enquêtes après une cyberattaque

Afin d’éviter aux enquêteurs d’avoir à se déplacer pour rassembler des indices sur des ordinateurs infectés après une cyberattaque, un expert de Kaspersky Lab a développé un outil simple, Bitscout, capable de recueillir à distance des données essentielles sans risque de les contaminer, ni de les perdre. Baptisé BitScout, cet outil est mis gracieusement à la disposition de tous les enquêteurs souhaitant y faire appel.

Bitscout, l’outil de secours ! Dans la plupart des cyberattaques, les entreprises victimes ne connaissent pas leurs attaquants. Elles acceptent généralement de coopérer avec les chercheurs en sécurité afin d’aider ceux-ci à trouver le vecteur d’infection ou d’autres informations sur les auteurs de l’attaque. Cependant, le problème pour ces enquêteurs a toujours été de devoir parcourir de longues distances en vue de recueillir des indices cruciaux, par exemple des échantillons de malware sur les machines infectées, ce qui retardait et renchérissait leurs investigations. Or, le temps mis à comprendre une attaque est autant de temps pendant lequel les utilisateurs ne sont pas protégés ni les auteurs identifiés. Jusqu’à présent, les solutions consistaient à employer des outils coûteux et complexes à mettre en œuvre, ou bien à prendre le risque de contaminer ou perdre des indices en les transférant entre ordinateurs.

Dans le but de remédier au problème, Vitaly Kamluk, Directeur de l’équipe GReAT (Global Research & Analysis Team) de Kaspersky Lab en Asie-Pacifique, a créé un outil numérique open source capable de collecter à distance les indices essentiels, de récupérer des images disques entières via le réseau ou un périphérique de stockage local, ou encore d’aider tout simplement à distance au traitement d’incidents malveillants. Les indices relevés peuvent être observés et analysés à distance ou localement, tandis que la source de stockage des données demeure intacte grâce à un dispositif fiable d’isolement par conteneur.

« La nécessité d’analyser les incidents de sécurité avec un maximum d’efficacité et de rapidité prend d’autant plus d’importance que les menaces sont toujours plus avancées et sournoises. Cependant la précipitation n’est pas la solution : nous devons veiller à ce que les indices restent intacts de sorte que les investigations soient fiables et que les résultats puissent avoir une valeur légale si nécessaire. N’ayant pas trouvé d’outil qui permette tout cela gratuitement et facilement, j’ai décidé d’en créer un », explique Vitaly Kamluk.

Les experts de Kaspersky Lab travaillent en étroite collaboration avec les forces de police à travers le monde afin de contribuer aux analyses techniques dans le cadre des cyberinvestigations. Cela leur confère une connaissance unique des défis auxquels les enquêteurs sont confrontés dans leur lutte contre la cybercriminalité moderne. Le paysage de la cybersécurité présente aujourd’hui un tel niveau de complexité que les enquêteurs ont besoin d’outils à même de s’adapter à l’évolution des exigences de leur mission. BitScout en est un bon exemple. Il peut s’adapter aux besoins particuliers d’un enquêteur et faire l’objet de perfectionnements et de mises à jour, avec des fonctionnalités supplémentaires et des logiciels personnalisés. Avant tout, cet outil est gratuit, repose sur des solutions open source et offre une totale transparence : au lieu de dépendre d’outils tiers créés à partir de code propriétaire, les experts peuvent partir du code open source BitScout afin de fabriquer leur propre couteau suisse pour leurs cyberinvestigations.

BitScout offre les fonctionnalités suivantes :

  • Récupération d’images disques, y compris par un personnel sans formation spécifique
  • Formation du personnel en situation de mobilité (via une session de terminal partagée en lecture seule)
  • Transfert de données complexes vers le laboratoire pour une inspection plus poussée
  • Analyse Yara ou antivirus à distance de systèmes non connectés (fonction essentielle dans la lutte contre les rootkits)
  • Recherche et visualisation des clés de registre (exécution automatique, services, périphériques USB connectés)
  • Extraction de fichiers à distance (récupération de fichiers effacés)
  • Correction à distance du système si l’accès est autorisé par le propriétaire
  • Analyse à distance des autres postes du réseau (utile pour répondre à distance à un incident)

L’outil est disponible gratuitement sur le référentiel de code GitHub : https://github.com/vitaly-kamluk/bitscout

Pour en savoir plus, rendez-vous sur Securelist.com : https://securelist.com/bitscout-the-free-remote-digital-forensics-tool-builder/78991/

Lutte contre le terrorisme, Google montre les dents ?

Le géant américain de l’Internet Google annonce renforcer sa lutte contre le terrorisme… un diffusant des vidéos contre la radicalisation.

Google vient d’annoncer dans le Financial Times, via la bouche de Kent Walker, qu’il allait renforcer sa lutte contre le terrorisme. Google et Youtube ont été montrés du doigt après la diffusion de vidéos de propagande terroriste. Google et Youtube ont donc décidé de renforcer leurs règles, dernièrement, face aux vidéos violentes ou déplaisants à leurs annonceurs. Bilan, des dizaines de Youtubeurs se retrouvent aujourd’hui avec des montants publicitaires divisés par 10. La grande majorité n’ont plus droit à la publicité pour diverses raisons.

Côté « terrorisme », Google a donc annoncé dans le journal économique, donc lu par les annonceurs, quatre nouvelles règles. « Nous ne sommes pas les seuls à procéder depuis des années déjà à l’identification et à la suppression de contenus qui enfreignent notre façon de faire. La vérité embarrassante, c’est qu’il nous faut bien reconnaître que nous devons en faire plus« , confirme Kent Walker dans le Financial Times.

Quatre nouvelles règles donc : d’abord plus d’experts humains qui pourront juger de la pertinence, ou non, d’une vidéo. Google annonce l’embauche de 50 personnes supplémentaires ; les robots, avec l’apprentissage des machines de contrôle ; un « logo » avertissement qui sera accolé aux vidéos de groupes religieux. Les vidéos resteront, mais elles n’auront pas de publicité. Dernier point, des vidéos anti propagande seront diffusées pour combattre la radicalisation.

A noter que la semaine dernière, Facebook a annoncé la création d’une team anti terroristes (150 personnes) et un partenariat avec Google pour participer à cette lutte.

Droit d’accès : Un dentiste n’a pas répondu à la CNIL, le voilà condamné !

La formation restreinte de la CNIL a prononcé une sanction de 10.000 € à l’encontre d’un cabinet dentaire, pour non-respect du droit d’accès et non coopération avec la CNIL.

Droit d’accès : En novembre 2015, la CNIL a reçu une plainte d’un patient ne parvenant pas à accéder à son dossier médical détenu par son ancien dentiste.

Les services de la CNIL ont plusieurs fois interrogé le cabinet dentaire au sujet de cette demande.

En l’absence de réponse de sa part, la Présidente de la CNIL a mis en demeure le cabinet  dentaire de faire droit à la demande d’accès du patient et de coopérer avec les services de la Commission.

Faute de réponse à cette mise en demeure, la Présidente de la CNIL a désigné un rapporteur afin que soit engagée une procédure de sanction à l’encontre du responsable de traitement.

Après examen du dossier, la formation restreinte de la CNIL a considéré :

  • qu’il y avait bien un manquement au droit d’accès du patient prévu par la loi ;
  • que les obligations déontologiques auxquelles sont soumises les professions médicales, notamment celles liées au secret médical, ne pouvaient justifier au cas d’espèce une absence de communication du dossier médical au plaignant.
  • que le cabinet dentaire avait fait preuve d’un défaut manifeste de prise en compte des questions « Informatique et Libertés » et avait méconnu son obligation de coopération avec la CNIL résultant de la loi.

Compte tenu de l’ensemble de ces circonstances propres au cas d’espèce dont elle était saisie, la formation restreinte a donc décidé de prononcer une sanction pécuniaire de 10 000 euros à l’encontre du cabinet dentaire.

En rendant publique sa décision, elle a souhaité rappeler aux patients leurs droits et aux professionnels de santé leurs obligations.

Chaque année, la CNIL reçoit un nombre significatif de plaintes concernant le droit d’accès à un dossier médical. Près de la moitié des demandes d’accès concernent des médecins libéraux.

Dans ce contexte, il est nécessaire de souligner que chaque professionnel de santé doit mettre en place une procédure permettant de répondre aux demandes faites par le patient d’accéder aux données figurant dans son dossier médical et administratif.

La loi informatique et libertés précise également que les données de santé peuvent être communiquées directement à la personne ou, si elle le souhaite, à un médecin qu’elle aura préalablement désigné (article 43).

Enfin, la communication du dossier médical doit être faite au plus tard dans les 8 jours suivant la demande et au plus tôt dans les 48 heures. Si les informations remontent à plus de cinq ans, le délai est porté à 2 mois. A lire, le dossier de la CNIL sur « Comment répondre à une demande de droit d’accès ?« 

Règlement eiDAS, 2017 année charniére

Règlement eiDAS : 2017, une année charnière pour l’identification et la confiance numérique.

Grâce au règlement eIDAS (Règlement européen sur l’identification électronique et les services de confiance pour les transactions électroniques), l’Union européenne se distingue comme la première région mondiale à disposer d’un cadre juridique pour les transactions numériques transnationales visant à renforcer la confiance des échanges électroniques. Cela constitue un défi autant qu’une promesse dans un marché qui rassemble plus de 500 millions d’habitants. La mise en place de l’eIDAS, qui a débuté en 2015 avec une phase d’accompagnement et de précision des modalités d’application de ce règlement, s’échelonnera sur une période de 5 ans.

2017 sera une année charnière, marquée par les premières notifications des schémas d’identités numériques par des Etats membres au sein de l’Union européenne. C’est aussi une année importante pour le développement des services de confiance numérique qualifiés en Europe, le régime de transition cessant dès juillet prochain.

Un des aspects les plus novateurs et aussi des plus attendus du règlement est la possibilité d’accéder à de nombreux services presque partout en Europe, avec la même identité numérique nationale, qu’elle soit publique ou privée à condition que celle-ci soit officialisée par les autorités du pays où elle est actuellement utilisée. Les entreprises pourront également bénéficier de règles communes pour la reconnaissance mutuelle des signatures électroniques, des cachets ou des certificats numériques en s’appuyant sur un réseau de prestataires de confiance qualifiés, permettant de réduire les barrières aux transactions numériques et d’augmenter l’adoption de nouveaux services à travers les frontières.

Le Règlement de la confiance numérique, eIDAS introduit ainsi des bénéfices et des avancées sur le plan national pour presque tous les Etats membres. Un point important car la volumétrie des échanges numérique à l’intérieur des Etats reste pour l’instant largement supérieure à celle des flux transfrontières de l’UE. Concrètement, le dialogue initié par les acteurs économiques nationaux pour s’adapter aux exigences du règlement peut amener des améliorations significatives en particulier dans 4 domaines :

  1. 1.   1. Le renforcement d’une identité numérique nationale pour pouvoir s’authentifier avec fiabilité et signer numériquement
  1.  2. La modernisation de l’architecture des échanges numériques
  1. 3.  3.L’accélération du déploiement des services numériques utilisables. Cette démarche peut aussi favoriser une meilleure complémentarité et des synergies dans l’usage des infrastructures numériques entre secteur public et privé.
  1. 4.  4. La mise en place des signes de reconnaissance d’une confiance qualifiée assurant une garantie pour des échanges électroniques formels, caractéristique essentielle pour que les utilisateurs tirent pleinement avantage des services proposés.

Les citoyens et résidents pourront maintenant bénéficier de la reconnaissance aisée du nouveau label européen de confiance, instauré par le règlement dans le but de signaler les prestataires de services qualifiés. Ce label augmente la transparence du marché et apporte une présomption de valeur légale permettant de s’assurer de la sécurité maximale juridique et technique des échanges réalisés ou des services utilisés.

Les entreprises devront donc disposer de solutions compatibles avec le règlement eIDAS et les actes d’implémentation qui en découlent, afin de se mettre en conformité et ainsi bénéficier de solutions éprouvées.

Si vous souhaitez approfondir le sujet, vous trouverez ci-dessous le communiqué complet proposé par Gemalto : Règlement eIDAS : 2017 l’année charnière pour l’identification numérique

Piratage de données ? 1,5 million de données étudiants à vendre sur le web

Piratage de données ? Numéros de téléphone, adresse électronique, … appartenant à plus d’1,5 million d’étudiants en vente sur le web.

Le piratage de données privées est une manne financière loin d’être négligeable pour les pirates informatiques. 1,5 million d’étudiants Indiens en font les frais, sauf que dans ce cas, il ne semble pas s’agir de données « piratées ». Depuis quelques jours, dans le Blackmarket, leurs données sont à vendre. Identités, adresses postales et électroniques, numéros de téléphone mobile, … sont commercialisées entre 13 et 800 euros ! D’après les échantillons qu’il est possible de trouver sur des sites tels que studentsdatabase.in, kenils.co.in et allstudentdatabase.in, les informations appartiennent à des étudiants ayant passé les tests d’entrée en MBA (santé et ingénierie) depuis 2009. Une fuite de données qui étonne en Inde d’autant plus que les sites n’expliquent pas d’où proviennent leurs informations qu’ils commercialisent.

L’affaire n’aurait pas connu un aspect public si des écoles de commerce n’achetaient pas les informations en question pour leurs démarchages. Il faut savoir qu’en Inde, tout comme en France, le collecte de données est illégale sans l’accord des personnes concernées pas cette collecte. En France, la loi Informatique et Liberté veille à ce sujet. Ce qui ne m’empêche pas de trouver, chaque jour, des milliers de données appartenant à des Français, oubliés/sauvegardés sur des sites Web sans aucun respect de la loi et de l’éthique. Autant de données que peuvent collecter des malveillants du web, qu’ils soient professionnels du marketing ou de « simples » pirates informatiques.

Brexit, ou le déclenchement d’un cyber-risque Européen

Cyber-risque : A quelques jours du second tour des présidentielles, et tandis que certains candidats affirment leur volonté de quitter l’Union Européenne à l’instar de nos voisins britanniques, les discussions sur les conséquences d’une telle décision sont animées.

Outre la dimension économique, la mise en application par le Royaume-Uni de l’article 50 du traité de l’Union Européenne selon lequel « tout État membre peut décider, conformément à ses règles constitutionnelles, de se retirer de l’Union » marque un nouveau moment d’incertitude en termes de cybersécurité. Le début des négociations pourrait en effet conduire à une hausse des pratiques malveillantes de la part des hacktivistes ainsi qu’à du phishing politique, ce qui suscite naturellement des inquiétudes autour du partage continu des connaissance de sécurité.

Pour Jean-François Pruvot, Regional Director France, chez CyberArk, alors que trop d’entreprises adoptent la politique de l’autruche concernant les potentielles implications de ce basculement, la collaboration cruciale entre les organisations et les membres de l’UE peut pourtant les aider à garder le contrôle :

« Internet est un vaste exutoire où les utilisateurs partagent leurs frustrations, certains pouvant aller jusqu’à y exercer des actes de vengeance. Les réactions suscitées par le Brexit risquent ainsi de conduire à une augmentation des cyberattaques contre nos voisins britanniques. Selon les derniers chiffres publiés par Gemalto, les attaques hacktivistes ont enregistré une hausse de 31 % en 2016. En effet, les gouvernements, media, infrastructures critiques et tout organisme impliqué de près ou de loin dans le Brexit, qu’ils soient en faveur ou contre lui, sont de potentielles cibles d’attaques et doivent donc rester sur le qui-vive ; il suffit d’un individu aux idées politiques ou idéologiques très fortes pour s’emparer de privilèges et causer d’importants dégâts ! Les entreprises peuvent garder une longueur d’avance sur les pirates informatiques engagés en gérant notamment l’accès aux comptes de réseaux sociaux institutionnels. La protection des accès à privilèges permet également d’empêcher les assaillants d’étendre insidieusement leur empreinte initiale à travers les systèmes.

Cyber-risque

Par ailleurs, l’article 50 reste confus pour un grand nombre d’individus en ce qui concerne ses implications et la manière dont nous – consommateurs et entreprises – devons y répondre. Les cybercriminels s’appuyant sur l’incertitude, le Brexit représente une opportunité en or pour nous effrayer et nous inciter à agir. En effet, le mois suivant les résultats du référendum, des chercheurs de Symantec ont identifié une augmentation de 392 % des emails de spam utilisant le terme « Brexit » dans leur objet pour cibler les individus et organisations. Une nouvelle preuve, s’il en fallait, que les entreprises doivent être diligentes et mettre en place les mesures de sécurité appropriées !

Les tentatives de phishing, de cyber-risque, liées à l’article 50 peuvent en effet assurer le succès d’une attaque ransomware ou permettre à un cybercriminel de s’introduire à l’intérieur des défenses périmétriques puis d’installer une base d’opérations au sein du réseau. Le début des négociations autour de la sortie du Royaume-Uni, devrait donc servir de rappel opportun pour éduquer les employés sur les bonnes pratiques relatives aux emails, comme ne pas ouvrir les pièces jointes émanant d’expéditeurs inconnus, ou encore s’assurer qu’ils possèdent les bons outils de sécurité pour empêcher une tentative de phishing.

C’est pourquoi face aux recrudescences d’attaques, les agences d’intelligence britanniques et internationales doivent impérativement rester soudées pour anticiper et stopper toute cyberactivité hostile pouvant émaner d’autres pays. Le Royaume-Uni, ou tout autre nation souhaitant quitter l’Union, doit donc impérativement veiller à ne pas s’isoler au risque de devenir une cible plus attrayante. L’une des meilleures solutions pour que les entreprises gardent le contrôle reste la collaboration cross-secteurs, encourageant ainsi les dirigeants à partager leurs bonnes pratiques et leurs connaissances pour lutter ensemble contre la cybercriminalité. Quelle qu’en soit la nature, les changements d’une telle ampleur sont une vulnérabilité pour les organisations, et l’adaptation à ces paysages à risques doit donc faire partie intégrante de leurs plans. Une problématique qui ne touche finalement pas seulement le Royaume-Uni ou les pays qui envisagent également un « exit » ! A bon entendeur. » (Par Jean-François Pruvot, Regional Director France, chez CyberArk)

À la poursuite de « Lazarus »

À la poursuite de « Lazarus » : sur les traces du groupe chasseur de grandes banques internationales

Kaspersky Lab vient de publier les conclusions d’une enquête menée par ses experts pendant plus d’un an au sujet du groupe de hackers « Lazarus », présumé responsable du vol de 81 millions de dollars à la Banque Centrale du Bangladesh en 2016. L’analyse scientifique des indices laissés par les pirates dans des banques situées dans le Sud-est asiatique et en Europe, a permis de cerner leur mode opératoire. Ses experts ont mis au jour le type d’outils utilisés pour les attaques visant des institutions financières, des casinos, des éditeurs de logiciels dédiés aux sociétés de placement du monde entier, ainsi que des entreprises de crypto-monnaies. Ces renseignements ont permis d’interrompre au moins deux opérations lancée dans le but de dérober de très grosses sommes à des institutions financières.

En février 2016, un groupe de pirates (non-identifié lors des faits) a tenté de dérober 851 millions de dollars, réussissant à transférer 81 millions de dollars depuis la Central Bank of Bangladesh. Ce vol est considéré comme l’un des plus grands jamais perpétrés par des pirates informatiques à ce jour. Des experts de sociétés spécialistes de la sécurité informatique ont conclu que les attaques avaient très probablement été perpétrées par Lazarus, un groupuscule passé maître dans l’art du cyberespionnage et du cybersabotage. Cette cellule est connue pour avoir perpétré une série d’attaques de grande envergure ayant ciblé des fabricants, des médias et des institutions financières dans au moins 18 pays aux quatre coins du monde depuis 2009.

Très discret pendant plusieurs mois après l’attaque contre la banque du Bangladesh, le groupe Lazarus n’est en pas moins demeuré actif. Ses membres préparaient une autre opération visant d’autres banques. Lorsqu’ils ont été prêts, ils avaient déjà réussi à trouver un point d’entrée dans une institution financière du Sud-est asiatique. Après avoir été interrompus par des solutions Kaspersky Lab et par l’enquête menée ensuite, ils se sont mis au vert pendant plusieurs mois avant de changer de continent. Ils ont alors ciblé des établissements en Europe, où là encore les logiciels de sécurité de Kaspersky Lab ont repéré leurs tentatives et les ont bloquées, aidés par ses équipes d’intervention, d’analyse scientifique et de reverse engineering ainsi que par ses meilleurs chercheurs.

Le modus operandi de Lazarus

Les experts ont passé au crible les indices collectés sur les lieux des attaques. Cette analyse scientifique leur a permis de reconstituer le mode opératoire des pirates.

  • Compromission initiale : les pirates ouvrent une brèche dans un seul des systèmes informatiques de la banque, soit en exploitant à distance des portions de code vulnérables (sur un serveur web par exemple), soit à l’aide d’une attaque dite de « watering hole » qui consiste à piéger un site web légitime. Lorsqu’une victime (un employé de la banque ciblée) consulte ce dernier, son ordinateur est infecté par des composants additionnels.
  • Trouver ses marques : les membres du groupe migrent vers d’autres ordinateurs hôtes au sein de la banque où ils déploient des backdoors persistants, qui leur permettent d’aller et venir à leur guise à l’aide des programmes malveillants installés.
  • Reconnaissance interne : le groupe passe ensuite des jours et des semaines à étudier scrupuleusement le réseau afin d’identifier les ressources intéressantes. Il peut s’agir d’un serveur de sauvegarde qui conserve les données d’authentification, des serveurs de messagerie, des contrôleurs de noms de domaine donnant accès à l’ensemble de l’entreprise, ou encore de serveurs où sont stockées les archives des transactions financières.
  • Passage à l’acte : l’ultime étape consiste, pour les pirates, à déployer leur malware conçu pour passer outre les dispositifs de sécurité internes des logiciels financiers et effectuer des transactions illicites au nom de la banque.

Empreinte géographique et attribution

Les attaques passées au crible par les experts se sont étalées sur plusieurs semaines, sachant que les pirates ont réussi à opérer pendant des mois sans se faire repérer. À titre d’exemple, pendant l’analyse de l’incident survenu dans le Sud-est asiatique, les experts ont découvert que les pirates avaient en fait corrompu le réseau de la banque 7 mois avant qu’elle ne réagisse et sollicite l’intervention des équipes de réponse aux incidents. Le groupe avait même eu accès au réseau de la banque bien avant l’incident survenu au Bangladesh.

Le groupe Lazarus a fait parler de lui à partir de décembre 2015 : des échantillons de malwares en lien avec ses activités ont été repérés sur les réseaux d’institutions financières, de casinos, d’éditeurs de logiciels dédiés à des sociétés de placement et d’entreprises de crypto-monnaies en Corée, au Bangladesh, en Inde, au Vietnam, en Indonésie, au Costa Rica, en Malaisie, en Pologne, en Irak, en Ethiopie, au Kenya, au Nigeria, en Uruguay, au Gabon, en Thaïlande et dans plusieurs autres pays. Les derniers échantillons malveillants repérés datent de mars 2017, ce qui laisse penser que les pirates ne comptent pas s’arrêter là.

S’ils ont pris soin d’effacer leurs traces, ils se sont grossièrement trahis sur au moins l’un des serveurs utilisés dans une autre campagne. En préparation de l’attaque, ce serveur avait été configuré pour faire office de centre de commande et de contrôle (C&C) du malware. Les premières connexions effectuées le jour de la configuration provenaient de nouveaux serveurs VPN/proxy, laissant penser à une période de test du C&C. Les pirates ont laissé un indice : une connexion très brève a été détectée, émanant d’une plage d’adresses IP très rare en Corée du Nord.

Selon les chercheurs, cela pourrait avoir plusieurs significations :

  • Les attaquants se sont connectés depuis cette adresse IP en Corée du Nord ;
  • Il s’agit d’un leurre savamment orchestré par quelqu’un d’autre ;
  • Quelqu’un en Corée du Nord a visité par accident l’URL du C&C.

Le groupe Lazarus investit énormément pour créer de nouvelles variantes de son malware. Ses membres ont, pendant des mois, essayé de mettre au point une version totalement indétectable par les solutions de sécurité. Mais à chaque nouvelle tentative de leur part, les spécialistes ont réussi à repérer leurs créations en identifiant des paramètres récurrents au niveau du code. À l’heure actuelle, ceux-ci ne montrent aucun signe d’activité, ce qui laisse penser qu’ils les ont suspendues pour renforcer leur arsenal.

« Nous sommes persuadés qu’ils referont surface prochainement. Les attaques comme celles menées par le groupe Lazarus montrent qu’une erreur de configuration, même minime, peut ouvrir une brèche importante dans le réseau d’une entreprise, avec à la clé la perte potentielle de centaines de millions de dollars. Nous espérons que les dirigeants des banques, des casinos et de sociétés de placement du monde entier apprendront à se méfier de Lazarus », témoigne Vitaly Kamluk, Directeur de l’équipe de recherches et d’analyses APAC chez Kaspersky Lab.

RSSI, un métier qui bouge

La place et la perception de la sécurité du numérique sont en pleine évolution dans les entreprises. La transformation numérique est désormais stratégique pour elles. La conscience des cyber-risques, longtemps négligés par les dirigeants, augmente avec la nécessité de se mettre en conformité avec une réglementation sévère. Bien au-delà du Service Informatique, les cyber-menaces sont désormais des risques économiques, mais aussi d’image pour l’entreprise, touchant la Direction générale, la Direction financière et le marketing. Une vision globale qui fait bouger la fonction de Responsable de la Sécurité des Systèmes d’Information.

Le RSSI conserve bien sûr son rôle technique. Mais il est désormais au cœur d’un dispositif qui l’oblige à « communiquer » avec les métiers, à expliquer les mesures de sécurité adoptées et leurs contraintes. Il doit convaincre la Direction générale, de la nécessité d’investir dans certaines technologies. Le RSSI devient un partenaire et un conseiller pour chaque métier : la sécurité est l’affaire de tous.

La sécurité change de niveau

La culture numérique est inscrite dans la pratique quotidienne des générations des années 2010. La distinction entre les outils de la vie privée et ceux de la vie professionnelle s’estompe. Le RSSI doit adapter son action, devenir plus réactif et plus agile. L’écosystème des solutions de sécurité s’élargit, et avec lui le champ du métier. La mutation est plus qu’amorcée, elle est déjà inscrite, par exemple, dans la pratique des métiers marchands connectés. Le RSSI est devant d’énormes volumes de données complexes dont l’intégrité doit être conservée face aux cyber-attaques. Pour répondre à cette accélération des volumes et à cette complexité, il a besoin de disposer de capacités d’analyses de plus en plus performantes pour traiter et analyser ce que l’on nomme le Big Data. Les outils ont eux-mêmes évolué, intégrant des fonctionnalités plus riches et une souplesse toujours plus grande. Ses responsabilités ont donc très largement augmenté, tout en se diversifiant. Cette expertise très ouverte fait qu’il doit manier des outils qui élargissent son champ d’action tout en lui permettant de se concentrer sur son métier de garant de la sécurité.

Rssi : Des outils qui répondent à l’exigence

Les solutions à sa disposition doivent donc être très performantes tout en restant faciles à utiliser et simples à maintenir. Le SIEM (security information and event management) est l’unique moyen automatisé pour un RSSI de traiter les données des logs générés par le réseau et les outils de sécurité. Tout produit connecté générant des logs, ceux-ci sont collectés, corrélés et analysés pour détecter et bloquer les mouvements suspects ou les attaques et alerter sur les dysfonctionnements. Désormais, les solutions de SIEM agissent en agrégeant les informations internes et externes issues des bases de données de Threat intelligence ou de réputation.

Une plateforme de gestion des informations et des événements de sécurité doit être très flexible pour collecter, analyser et surveiller toutes les données, qu’elles viennent du réseau, des applications, des bases de données, des infrastructures, qu’elles concernent des actifs sensibles, des systèmes industriels ou des systèmes de sécurité.

Rssi : Faire sienne la réglementation

Des obligations comme le Règlement Général sur la Protection des Données ou la Loi de Programmation Militaire imposent en France de mettre en place une solution permettant à l’entreprise de respecter ces règlements, sous peine de pénalités financières. Le RSSI doit anticiper ces obligations, intégrant ainsi dans sa démarche la responsabilité de l’entreprise. Il a besoin de s’appuyer sur des expertises et des solutions qui s’adaptent facilement pour rester en phase avec ses besoins – anticipation des demandes de conformité, défense transparente contre la cybercriminalité et la fraude et optimisation des opérations IT… La tâche n’est pas mince pour relever ce challenge permanent de l’évolution des compétences, des connaissances et des risques. (par Frédéric Saulet, Directeur Régional Europe du Sud de LogPoint)

RGPD – Seconde consultation de la CNIL au sujet du règlement européen de protection des données personnelles

RGPD, c’est bientôt ! La CNIL (Commission nationale de l’informatique et des libertés) vient de lancer une 2e consultation nationale auprès des professionnels sur le règlement européen de protection des données personnelles (entrée en vigueur : mai 2018 pour les 28 Etats membres).

Les sujets abordés sont le profilage (« Comment intégrer les principes de privacy by design and by default ? », « Le profilage appliqué à votre secteur d’activité »), le consentement (« Qu’est ce que le consentement ? », « Le retrait du consentement ? »)  et les notifications de violation de données personnelles (« qui a obligation de notifier ? », « à quel moment notifier ? », « comment informer ? »).

Cette consultation se tient jusqu’au 24 mars et viendra alimenter les travaux du G29 (groupe des CNIL européennes) qui se réunissent en avril.

L’année dernière, de juin à juillet 2016, 225 contributeurs avaient posté 540 contributions et émis 994 votes sur les 4 premiers thèmes qui font l’objet de lignes directrices : le délégué à la protection des données, portabilité, études d’impact sur la vie privée, certification).

Du 23 février au 23 mars 2017, la CNIL ouvre la consultation sur 3 nouveaux thèmes : Notification de violation de données personnelles ; profilage et consentement. Ces éléments permettront de clarifier et de rendre pleinement opératoires les nouvelles règles européennes et nourriront les lignes directrices que produira le G29.

La protection des données personnelles doit être pleinement intégrée à l’ensemble de vos activités dès lors qu’elles impliquent un traitement d’informations. En effet, l’entrée en vigueur en mai 2018 du Règlement général sur la protection des données (RGPD) requiert dès aujourd’hui la mise en conformité de votre organisation, vos processus et votre stratégie. La société iTrust et ZATAZ ont proposé, le 28 février, un rendez-vous dédié à la compréhension de la GRPD. Un Webinaire avec Damien Bancal (ZATAZ.COM) et par ITrust, société d’expertise en cybersécurité française.

Fuite de données sensibles concernant des juges

Un document papier retraçant les identités, les adresses et les numéros de téléphones de dizaines de juges découvert… par terre !

Le moins que l’on puisse dire est que les fuites de données peuvent prendre toutes les formes possibles et imaginables. 126 juges canadiens viennent de découvrir les joies du document ulta sécurisé, tellement qu’il n’existe qu’en version papier… mais qui se retrouve au sol, sur une place de parking. Un dossier comprenant les identités, les adresses postales privées, les numéros de téléphones de juges. Une tête en l’air l’a oublié ? la fait tomber ?

Comme l’indique nos cousins de « La Presse« , une copie a été retrouvée sur la place de stationnement d’un commerce des Laurentides. Un document qui n’existerait pas en mode numérique [ils l’ont tapé avec une vieille machine à écrire ?, NDR], sur aucun serveur et qu’il « est interdit de transmettre par voie électronique » [donc en numérique !, NDR].

Plus étonnant, cette liste, en plus des données professionnelles, comporte aussi les données privées, dont les identités des conjoints. Vue l’ambiance locale entre les nombreuses affaires de corruptions, de détournement d’argent, une telle liste pourrait être particulièrement préjudiciable pour le pays et ces hommes de loi.

désinfecter les machines Windows victimes du réseau criminel, Avalanche

Le 30 novembre, une enquête approfondie a été lancée sous le nom de code “Opération Avalanche“ et s’est concrétisée par un travail de grand nettoyage extrêmement complexe, trans-juridictionnel et interprofessionnel. Ce projet, coordonné par Europol et soutenu par des partenaires éditeurs de solutions de sécurité, a ciblé des familles de malwares qui ont fait des ravages ces dernières années, causant des dommages considérables à leurs victimes, dans le monde.

L’opération Avalanche cible vingt familles de programmes malveillants différents, qui sont d’anciens botnets (toujours en activité) tels que Goznym, Marcher, Dridex, Matsnu, URLZone, XSWKit, Pandabanker, mais aussi des menaces plus récentes et plus connues, comme les souches de ransomwares Cerber ou Teslacrypt. Bien que l’ampleur des dommages ne puisse être déterminée avec précision en raison du volume élevé d’opérations traitées par la plateforme Avalanche, ces malwares ont réussi à extorquer plusieurs centaines de millions d’euros dans le monde entier.

Dans le cadre de cette opération, Europol et ses partenaires internationaux ont saisi, neutralisé ou bloqué plus de 800 000 noms de domaines utilisés par les malwares, dans le but de confisquer plus de 30 serveurs et de mettre plus de 220 serveurs hors ligne via des protocoles de notification d’abus.

Tous ces efforts garantissent l’arrêt des mécanismes de commande et de contrôle des botnets ciblés, et les empêchent de recevoir de nouvelles instructions de leurs administrateurs.

En plus des procédures judiciaires en cours, le but de cette mobilisation massive est de procéder à un nettoyage complet des malwares ciblés, afin de garantir leur suppression totale des ordinateurs des victimes, après que les centres de commande et de contrôle (serveurs C&C) aient été bloqués.

Pourquoi le nettoyage est-il nécessaire ?

Une fois les centres de commande et de contrôle rendus inutilisables, les bots sur les ordinateurs infectés ne peuvent généralement plus causer de dommages directs. Cependant, leurs tentatives permanentes de communication avec ces centres pour d’autres instructions conduisent non seulement au gaspillage des cycles CPU précieux, mais génèrent aussi du trafic Internet indésirable. Dans certains cas, ces bots modifient la configuration de base de l’ordinateur, ce qui peut l’empêcher de se connecter à Internet ou d’accéder à des ressources spécifiques. Un exemple bien connu de ce comportement est le malware DNS-Changer qui a rendu impossible l’accès à Internet pour près de 25000 ordinateurs, suite à la fermeture de son centre de commande et de contrôle.

BitDefenser propose son outil.

Les tools d’Avast.

CITES tape « Ctrl, Alt, Suppr » sur la cybercriminalité

Les cybercriminels sont les derniers perdants de la 17ème Conférence des Parties (COP 17) de la CITES (Convention sur le commerce international des espèces de faune et de flore sauvages menacées d’extinction) suite à la décision de ratifier l’engagement pris par les 183 Parties d’éradiquer le commerce illégal de la faune en ligne.

La décision exige de toutes les Parties qu’elles prennent une série de mesures pour s’assurer de mettre un coup d’arrêt à la criminalité en ligne liée à la faune sauvage et rassembler gouvernements, responsables de l’application des lois et sociétés de technologie en ligne dans la mission commune de sauver la faune. IFAW (le Fonds international pour la protection des animaux – www.ifaw.org) se félicite de cette décision qui constitue un énorme progrès dans la lutte pour bousculer le monde souvent sombre et secret de la criminalité en ligne liée à la faune sauvage.

« Nous sommes ravis de cette décision et remercions particulièrement le Kenya qui a mis le sujet sur la table de la CoP à Johannesburg. La criminalité en ligne liée à la faune sauvage est une menace sérieuse pour les espèces en voie de disparition, comme nos recherches le montrent depuis 2004. Cette décision permettra aux gouvernements du monde entier de prendre les mesures les plus strictes pour lutter contre ce fléau », a déclaré Tania McCrea-Steele, Chef de projet international Criminalité en ligne liée à la faune sauvage d’IFAW.

La décision ratifiée au cours de la dernière séance plénière de la CITES permet aux gouvernements de:
Identifier et partager les meilleures pratiques en matière d’application de la loi, notamment en travaillant avec INTERPOL, pour établir des lignes directrices pour les enquêtes;

Permettre aux gouvernements de s’assurer qu’ils ont la législation la plus stricte possible et encourager un engagement accru et partagé du Secrétariat, des gouvernements et des plates-formes de commerce en ligne et de réseaux sociaux pour lutter contre la criminalité en ligne liée à la faune sauvage;

En outre, il appelle à la mise en place d’un atelier sur la criminalité en ligne liée à la faune sauvage qui rassemble à la fois les pays sources, les pays consommateurs, ceux qui hébergent les grandes entreprises du web, les organisations non-gouvernementales expertes, des avocats et tout autre expert compétent pour faire avancer cette question d’ici à la prochaine CoP.

« Cette décision va conduire à une contre-offensive beaucoup plus cohérente contre les criminels qui ciblent la faune sauvage en ligne en permettant une application plus efficace de la loi et une meilleure collaboration avec le secteur commercial, le tout soutenu par une législation plus stricte pour éradiquer cette forme de criminalité. » a déclaré Tania McCrea-Steele.

La proposition sur la lutte contre la criminalité en ligne liée à la faune sauvage a été soumise par le Kenya et a été soutenue à l’unanimité des 183 Parties à la CITES.

Quand le digital défie l’Etat de droit

La révolution numérique bouleverse profondément la technique, les usages, nos modèles économiques mais aussi… le droit. Cette transformation oubliée n’est pas le fruit du hasard. Elle est le fait d’une alliance entre les libertariens californiens, les grandes entreprises de la Silicon Valley et le Gouvernement américain. Ensemble, ils imposent leurs valeurs et leur droit.

Avez-vous lu les CGU (Conditions générales d’utilisation) des services Google, Facebook, Twitter, WhatsApp et consorts ? Ces CGU désignent le plus souvent le droit de l’Etat de Californie comme applicable et le juge californien comme juge du contrat. Jamais le droit français n’est affiché en clair et de manière explicite. Pourtant, la Cour d’appel de Pau a jugé en 2012, dans une affaire impliquant Facebook, que ce genre de clause est illicite, contraire au droit de la consommation. Or, quatre ans plus tard, Facebook maintient cette clause abusive dans ses CGU au mépris du droit et en toute impunité. Car qui a les moyens d’affronter la puissance financière et juridique des géants américains du numérique ? Les États européens eux-mêmes abdiquent et, au mieux, cherchent à négocier plutôt qu’à faire appliquer la loi.

Mais l’auteur va plus loin. Il analyse quatre concepts fondamentaux du droit. Ces quatre concepts sont : la liberté d’expression, la vie privée, les droits d’auteur et la place de l’Etat et de la Loi. Il constate leur glissement vers le droit anglo-saxon.

Les symptômes de cette évolution non démocratique sont des paroles de haine qui se diffusent sans réponse judiciaire efficace dans une Europe en ébullition, un affaissement de la vie privée, des données personnelles sans contrôle, des citoyens épiés chaque seconde par le partenariat NSA et grandes entreprises de la Silicon Valley, l’affaiblissement de la Loi et la dérégulation au profit du contrat.

L’AUTEUR : Me Olivier Iteanu est avocat à la Cour d’Appel de Paris depuis décembre 1988 et est fondateur et dirigeant de la société Iteanu Avocats. Spécialisé dans le droit d’Internet dès l’origine, il a publié le premier livre de droit français sur ce sujet en 1996 chez Eyrolles (Internet et le droit). Il a été président du chapitre français de l’Internet Society de 2000 à 2003 et un des rares européens ayant eu un rôle actif au sein de l’ICANN (autorité mondiale de gestion des noms de domaines). Il est expert en noms de domaine auprès de l’Organisation mondiale de la propriété intellectuelle. 12,90 € / ISBN 978-2-212-11859-9 / Edition Eyrolles.

Retour sur le RGPD, le Règlement Général de l’Union Européenne sur la Protection des Données

Le Règlement Général de l’Union Européenne sur la Protection des Données (RGPD) impose aux entreprises d’effectuer un suivi de toutes les occurrences des données à caractère personnel des clients au sein de leur organisation, d’obtenir le consentement des clients concernant l’utilisation de leurs informations personnelles (y compris le « droit à l’oubli ») et de documenter l’efficacité de cette gouvernance des données pour les auditeurs.

Deux tiers (68 %) des entreprises, selon Compuware, risquent de ne pas être en conformité avec le RGPD, en raison d’une augmentation de la collecte des données, de la complexité informatique grandissante, de la multiplicité des applications, de l’externalisation et de la mobilité. Ce risque tient aussi aux politiques laxistes concernant le masquage des données et l’obtention d’une autorisation explicite des clients en matière de données. Les entreprises européennes comme américaines doivent, par conséquent, adopter une série de bonnes pratiques, notamment un masquage plus rigoureux des données de test et de meilleurs pratiques concernant le consentement des clients, afin d’éviter des sanctions financières et une altération possible de leur image de marque résultant d’une non-conformité.

Le RGPD de l’Union européenne a été adopté en avril 2016, afin d’unifier des obligations auparavant réparties à travers différentes juridictions européennes concernant l’utilisation, la gestion et la suppression des informations personnellement identifiables (IPI) des clients par les entreprises. Toutes les entreprises dans l’UE, aux États-Unis et ailleurs, qui collectent des IPI relatives à des citoyens de l’UE, ont jusqu’en mai 2018 pour se conformer à ces dispositions. Tout non-respect du RGPD expose les entreprises à des amendes pouvant atteindre 20 millions € ou 4 % du chiffre d’affaires mondial.

RGPD et les données de test : une vulnérabilité critique

L’étude montre aussi deux vulnérabilités critiques, prépondérantes et interdépendantes en rapport avec le respect du RGPD par les entreprises : les données de test et le consentement des clients.

Les données de test constituent une vulnérabilité critique et omniprésente en matière de conformité, car elles constituent une des méthodes les plus courantes pour répliquer et transférer des IPI des clients dans l’entreprise. Des jeux de données de test sont régulièrement nécessaires à mesure que les développeurs créent des applications ou améliorent les applications existantes, et ce travail/produit des développeurs doit être testé en permanence en termes d’assurance qualité fonctionnelle et non fonctionnelle. Si les données de test ne sont pas masquées et « anonymisées » correctement, tout nouveau jeu de données de test devient un problème de conformité potentiel dans l’avenir. Pourtant, malheureusement, 43 % des répondants admettent ou ont un doute sur le fait qu’ils font courir un risque aux IPI des clients en ne garantissant pas l’anonymisation systématique de leurs données avant leur utilisation pour des tests. Votre entreprise utilise-t-elle l’anonymisation ou d’autres techniques pour dépersonnaliser les données des clients avant de les utiliser dans des environnements de tests ? L’absence de masquage des données de test crée en fait plusieurs vulnérabilités de conformité, notamment :

  • L’impossibilité de localiser chaque occurrence d’information personnelle des clients.
  • L’incapacité à supprimer chaque occurrence d’information personnelle des clients.
  • L’impossibilité de respecter les exigences de documentation pour les auditeurs concernant ces deux obligations.
  • L’absence de masquage des données clients avant leur partage avec des sous-traitants, qu’il s’agisse de développeurs ou testeurs, présente un risque supplémentaire pour les entreprises car elles sont à la merci des pratiques de sécurité et de conformité du sous-traitant.

Réseaux sociaux : la police utilise une vieille loi obsolète pour arrêter des internautes

Un rapport publié récemment par le Bureau National Crime Records indien indique suggère que la police des différents états se moque ouvertement de la modification d’une loi. Bilan, Plus de 3.000 personnes arrêtées illégalement.

Le problème avec les lois c’est qu’elles changent souvent. Modifications, amendements… Bilan, se mettre à jour n’est pas chose aisée. Si en plus vous rajoutez de la mauvaise foi, vous voilà avec une constatation inquiétante du Bureau National Crime Records.

Cette entité Indienne explique ouvertement que les policiers en charge de L’internet et du Cybercrime font fi de la modification d’une loi « Section 66A of the Information Technology Act » qui permettait d’arrêter des internautes donnant un avis « contraire » que celui prôné, par exemple, par le gouvernement ou des politiques, sur les réseaux sociaux. Bref, râleurs, dissidents politiques… ne doivent plus être inquiétés.

Sauf que les autorités des différents états indiens ont du mal avec cette mise à jour. 3 133 personnes ont été arrêtées arbitrairement par la police pensant que la Section 66A of the Information Technology Act était toujours en activité. Un tribunal avait confirmé, en 2015, le droit de la liberté de parole et d’expression des citoyens indiquant même que « l’article 66A s’attaque de manière arbitraire, excessive et disproportionnée le droit de la liberté d’expression« . En 2015, sur les 3 133 personnes arrêtées, 64 avant moins de 18 ans. 2 avait plus de 60 ans. (BS)

Lutte anti-terrorisme et chiffrement : le Conseil national du numérique lance une réflexion à la rentrée 2016

Mardi 23 août, le ministre de l’Intérieur Bernard Cazeneuve a rencontré son homologue allemand pour soutenir une initiative européenne de lutte contre le terrorisme visant à limiter le chiffrement. En réaction, le Conseil national du numérique (CNNum) souhaite instruire les implications politiques, sociales et économiques d’une limitation du chiffrement. Le Conseil se saisira de cette question à la rentrée pour apporter sa contribution au débat.

A l’initiative du Président du CNNum Mounir MAHJOUBI, plusieurs membres du Conseil et experts extérieurs (dont Isabelle FALQUE-PIERROTIN – Présidente de la CNIL, Gilles BABINET – Digital Champion de la France auprès de l’Union européenne et Tristan NITOT – Fondateur de Mozilla Europe et Chief Product Officer de Cozy Cloud) se sont exprimés en faveur du chiffrement dans une tribune publiée dans “Le Monde” le 22 août. Ils alertent le gouvernement français sur les conséquences graves et non anticipées d’une limitation du chiffrement ou d’une généralisation des portes dérobées (backdoors). De telles mesures auraient pour conséquence d’affaiblir la sécurité des systèmes d’information dans leur ensemble” en ouvrant des failles de sécurité utilisables par tous, à des fins légitimes ou mal-intentionnées. De plus, elles auraient “une efficacité toute relative sur l’infime minorité d’utilisateurs ciblés”.

Accusé de faciliter la propagande et la préparation d’actes terroristes, le chiffrement est avant tout utilisé par les citoyens, entreprises et pouvoirs publics pour protéger des communications ou transactions. Il consiste à protéger des données en les rendant illisibles de l’extérieur et déverrouillables par une clé.

Mounir MAHJOUBI, Président du CNNum, résume ainsi les enjeux : “Il n’est pas question de nier les enjeux de sécurité et l’urgence d’agir. Le chiffrement peut être utilisé par des terroristes mais il constitue surtout un élément essentiel de notre sécurité en ligne et, partant, de celle de notre pays.

Afin d’apporter à ce débat un éclairage à la hauteur des enjeux liés au chiffrement, le Conseil national du numérique prévoit donc de lancer dès la rentrée des travaux dédiés à ce sujet, notamment sur les règles de coopération judiciaire internationale et la généralisation d’une culture du chiffrement.

Drones pirates : 352% de plaintes en plus en 1 an

Les drones sont devenus des objets courants, aujourd’hui. A partir de quelques euros, il est possible d’acquérir un engin volant. Au Royaume-Uni, la crainte grimpe au sujet des drones pirates. 425 plaintes déposées en 2015.

Les drones pirates envahissent les commissariats. Les drones prennent de plus en plus de place dans le ciel. Amateurs de belles images, geek et autres amateurs d’objets high-tech se jettent sur ces objets volants. Il semble que les criminels aussi ! Il n’y a malheureusement pas de raison que ce genre d’engin ne soit pas utilisé, par exemple, pour filmer une zone à cambrioler.

Au Royaume-Uni, les autorités viennent de tirer la sonnette d’alarme. Une méthode pour attirer le regard bien veillant du législateur. Un rapport de la police britannique indique que les plaintes, concernant des drones, ont augmenté de 352 % en un an. En 2014, la police avait reçu 94 plaintes de particuliers et entreprises. En 2015, le chiffre est passé à 425. Pour 2016, semble-t-il, un chiffre encore plus élevé. Depuis mois de mai 2016, déjà 272 dossiers ont été enregistrés par les autorités. A noter que de nombreuses complaintes concernent aussi des drones appartenant à la police.

Des chiffres collectés par le journal The Independent. 21 postes de police du Royaume-Uni, sur 45, ont répondu. Autant dire que le chiffre global de 352% est très certainement en dessous de la réalité. Les chiffres comprennent également des drones ayant mis en danger des avions commerciaux, des transports de drogue vers des cellules de prison. 257 rapports ont été répertoriés comme étant une préoccupation sérieuse pour la sécurité publique… sept faisaient état de drones appartenant à de jeunes enfants.

Facebook a répondu à une demande sur deux de la Justice Française

Le portail communautaire sollicité par la justice ne répond pas toujours positivement aux autorités. Une demande sur deux en France trouve écoute.

Les autorités judiciaires souhaiteraient que Facebook répondent plus souvent, positivement, à leurs demandes d’informations sur des utilisateurs ciblés par une enquête policière. Facebook ne répond pas en cas de demande vague ou non correctement formulée.

En 2015, Facebook a fourni des données d’internautes [lire quels types de données Facebook possède sur ses utilisateurs] dans 54% des cas, en France ; 82 % en Grande Bretagne et 42 % en Allemagne. La semaine dernière, les autorités Allemandes avaient montré du doigt Facebook en indiquant que le portail communautaire était réticent à collaborer avec la justice locale. Facebook a rejeté l’accusation en expliquant qu’un grand nombre de demandes reçues d’Allemagne avait été mal formulé.

Facebook a confirmé avoir aidé les services de renseignements Allemands en ouvrant les vannes après les attaques de Munich, Wuerzburg et Ansbach. L’un des terroristes, Ansbach, avait six comptes Facebook, y compris un compte sous une fausse identité. « Les réseaux sociaux sont une méthode de communication pour les djihadistes. Par conséquent, une coopération plus étroite entre les agences de sécurité et les opérateurs de réseaux sociaux est nécessaire » souligne Hans-Georg Maassen, le chef de l’agence de renseignement intérieur Allemande BfV.

Protéger votre organisation en appliquant la nouvelle réglementation sur la protection des données

La bataille de la confidentialité sur les données personnelles a franchi un nouveau cap avec l’accord de l’Union européenne sur la nouvelle réglementation sur la protection des données. Cette loi modifie profondément l’approche des entreprises en matière de protection des données clients.

Non seulement elle donne aux citoyens européens un meilleur contrôle sur le moment où les informations personnelles seront recueillies, mais également sur la manière dont elles seront utilisées. Elle prévoit par ailleurs de lourdes pénalités financières en cas d’échec des entreprises à protéger correctement les données collectées. Ces pénalités pouvant représenter jusqu’à 4 % du chiffre d’affaires annuel d’une entreprise, elles serviront ainsi de piqûres de rappel aux équipes dirigeantes.

Bien qu’elle ne s’applique qu’aux données des citoyens européens, cette réglementation s’adresse à toutes les entreprises qui disposent d’une localisation en Europe, ce qui lui confère un véritable rayonnement à l’international. Cette nouvelle loi entraînera des modifications matérielles par rapport aux nouveaux usages et procédés de stockage des données clients, et surtout sur la façon dont les entreprises prévoient de donner l’accès à ces données à leurs employés, à leurs sous-traitants et à leurs partenaires commerciaux.

Cette nouvelle réglementation impose aux entreprises de signaler toute violation de données de ses comptes clients dans les 72 heures, ce qui les poussera à faire évoluer leur système de sécurité de la simple prévention sur le réseau à la détection des intrusions et leur correction en temps réel.

La mise en œuvre du règlement sur la protection des données se traduit par d’importantes implications pour les programmes de gouvernance des identités des entreprises. C’est l’occasion de mettre de l’ordre dans la gestion des identités avant que l’application des pénalités prévues par cette loi n’entre en vigueur. Par anticipation, les entreprises peuvent prendre des mesures significatives, en se reconcentrant sur les priorités de la gouvernance des identités :

·         En premier lieu, répertorier les différents lieux de stockage au sein de l’entreprise dans lesquels figurent les données clients à protéger selon la réglementation sur la protection des données. Elles peuvent se trouver dans des systèmes structurés, tels que les applications ou les bases de données, ou dans des fichiers situés dans des des portails de collaboration (comme SharePoint) ou même dans des systèmes de stockage dans le cloud (comme Box ou GoogleDrive).

·         Ensuite, il convient d’identifier qui doit avoir accès aux données clients et regrouper avec ceux qui y ont déjà accès. Cette démarche doit faire l’objet d’une interrogation permanente, il ne s’agit pas d’un événement ponctuel. Il est important de s’assurer de bien prendre en compte toutes les applications et les plateformes de stockage de fichiers où sont stockées les données clients.

·         Enfin, prévoir des contrôles de gouvernance des identités pour protéger l’accès aux données en accord avec la réglementation sur la protection des données, à mesure que les utilisateurs rejoignent, changent de fonctions ou quittent l’entreprise.

Il n’est pas impossible de se sentir au début un peu dépassé par les exigences de cette nouvelle réglementation sur la protection des données, en particulier concernant les pénalités financières applicables en cas de non-conformité. Toutefois, le fait de placer la gouvernance des identités au cœur de la stratégie de sécurité, dans l’optique de protéger l’accès aux données clients, peut contribuer de manière significative à atténuer le risque d’une potentielle violation des données et d’éviter les pénalités qui en découleraient. (Par Juliette Rizkallah, chief marketing officer, SailPoint)

La reconnaissance d’un « droit du sampling » en faveur de Madonna

Jeudi 2 juin 2016, la chanteuse Madonna a remporté une nouvelle victoire, non pas de la musique mais sur le plan judiciaire. En effet, elle avait été accusée par la maison de disque VMG Salsoul d’avoir abusé de l’art du « sampling » qui consiste à incorporer un très court extrait de la musique d’un autre dans son propre morceau.

En l’espèce, c’est dans sa version pour radio de la chanson « Vogue » sortie en 1990 que la Madonne a repris à cinq reprises un sampling d’une mélodie de cuivres extraite du morceau « Ooh I Love it (Love Break) » du Salsoul Orchestra, une groupe de funk américain qui étais sorti au début des années 80’. C’est le producteur de cette dernière chanson qui avait collaboré avec Madonna pour enregistrer ce qui est ensuite devenu un tube planétaire.

Sampling : la légitimité de l’action contre Madonna en vertu du droit d’auteur
La magistrate Susan Graber n’a pas remis en cause le fait que même de courts extraits de morceaux, qui pourraient donc potentiellement servir à d’autres artistes sampleurs, sont protégées par le droit d’auteur. C’est pourquoi elle est revenue sur la décision des juges du fond qui avaient considéré que les poursuites engagées par la maison de disque étaient déraisonnables.

Cependant, la juge a estimé que « le grand public [ne pouvant pas] de détecter l’origine des cuivres », le groupe Salsoul Orchestra n’avait aucune légitimité à réclamer des royalties, c’est-à-dire des redevances au titre de l’utilisation par Madonna d’une partie de leur morceau.

Des limites apportées au droit d’auteur en faveur de la créativité musicale
C’est donc de manière très concrète que cette affaire a été abordée. On part du postulat que tout artiste peut s’opposer au sample de ses chansons, mais sa demande ne sera accueillie que si le public est en mesure de faire un lien direct entre les deux morceaux. L’atteinte au droit d’auteur n’est donc pas automatique, ce qui est très favorable à la création musicale.

En effet, cette décision montre qu’à partir du moment où un artiste créé une œuvre musicale assez originale pour qu’on ne puisse pas détecter l’utilisation d’un sample, alors il n’a pas à verser de royalties au titulaire des droits d’auteur sur le morceau original. A l’inverse, l’artiste qui en quelques sortes ne camoufle pas assez le sample à travers sa propre création de telle sorte qu’on peut reconnaître l’origine du court extrait repris devra rémunérer l’auteur original.

Sampler n’est pas forcément plagier : Une solution française déjà établie
Cette décision américaine fait écho à une jurisprudence établie en France depuis une affaire qui avait confronté Les inconnus à Maceo Parker en 1993 et qui a été confirmée par un arrêt du 5 juillet 2000 du Tribunal de grande instance de Paris. Les juges français ont en effet considéré que « le caractère reconnaissable de l’emprunt par un auditeur moyen » constitue le critère de qualification de l’acte de contrefaçon quand le sample n’a pas fait l’objet d’une autorisation préalable. Cela permet de concilier les intérêts des artistes samplés comme des artistes sampleurs.

En conclusion, il est à espérer que l’alignement des États-Unis sur la solution française entrainera l’avènement d’un véritable « droit au sample » dans le monde. Les artistes recourent de plus en plus, et ce depuis l’apparition du Hip Hop, à cette technique et les sanctionner à ce titre lorsqu’ils ont fait un sérieux effort de création serait préjudiciable à l’ensemble de l’industrie musicale. (Par Maitre Antoine Chéron, avocat spécialisé en propriété intellectuelle et NTIC, fondateur du cabinet ACBM).

Lutte contre le cyber-terrorisme : vie privée et sécurité nationale

Une étude révèle des attitudes et des avis différents dans la région EMEA quant à l’utilisation des données personnelles et la lutte contre le cyber-terrorisme.

Une étude initiée par F5 Networks et menée à l’échelle européenne auprès de 7 000 personnes (1) révèle que 75 % des individus n’ont aucune confiance dans les réseaux sociaux et les entreprises marketing, en ce qui concerne la protection de leurs données personnelles. 70 % des individus se disent « préoccupés » lorsqu’ils partagent leurs données avec des entreprises et 64 % inquiets pour leur vie privée. Seuls 21 % sont convaincus que les entreprises peuvent protéger efficacement leurs données contre le piratage.

Lutte contre le cyber-terrorisme : Une confiance sous conditions
Sur l’ensemble du panel, plus de la moitié des individus sont prêts à partager leurs données – date de naissance (53 %), statut matrimonial (51 %) et intérêts personnels (50 %) en échange de l’utilisation gracieuse de services. En France, ils sont 55 % à être prêts à communiquer leurs intérêts personnels (contre seulement 35 % au Royaume-Uni).

Pourtant, près d’un cinquième des répondants (18 %) déclare qu’ils ne partageraient jamais leurs données contre un service, ce qui est le cas de 21 % des français et de 33 % des britanniques. En fait, sur la région EMEA, les habitants du Royaume-Uni sont les moins disposés à communiquer leurs données.

Un degré de confiance différent selon le secteur d’activité de l’entreprise
Les individus considèrent les banques comme les sociétés les plus dignes de confiance (76 %) et leur font davantage confiance pour protéger leurs données (73 %) que les entreprises d’autres secteurs. Il reste toutefois une insatisfaction concernant les méthodes utilisées pour protéger les données. Les utilisateurs trouvent ainsi que les banques (77 %), les organismes de santé (71 %), de même que le secteur public et le gouvernement (74 %), ont besoin de renforcer leurs systèmes d’authentification pour atteindre un plus haut niveau de sécurité.

« Les acteurs traditionnels tels que les banques sont, par leur activité, considérés comme de confiance », commente Antoine Huchez, responsable marketing Europe du Sud chez F5 Networks à DataSecurityBreach.fr. « Pourtant, cela ne nous empêche pas les consommateurs de partager des informations sur les réseaux sociaux, alors qu’ils considèrent ceux-ci comme peu fiables, en matière de protection des données personnelles. Les utilisateurs étant de plus en plus sensibilisés sur les risques, les entreprises doivent mettre en place une infrastructure de sécurité et de protection des données – technologie, éducation et processus – suffisamment rigoureuse pour répondre aux inquiétudes de leurs utilisateurs et garder la confiance de leurs clients ».

Le débat lutte contre le cyber-terrorisme : confidentialité ou protection ?
Le règlement européen sur la protection des données personnelles (General Data Protection Regulation – GDPR), récemment approuvé par le Parlement européen, donne aux citoyens le droit de se plaindre et d’obtenir réparation si leurs données sont mal utilisées au sein de l’UE. Lorsqu’on leur demande ce qu’ils considèrent comme un mauvais usage de leurs données, plus des deux tiers (67 %) des individus mentionnent le partage de leurs données avec des tiers sans leur consentement. A noter que sur les pays Européens si ce partage de données sans consentement est une mauvaise pratique pour 75 % des consommateurs britanniques, les français sont seulement 59 % à le penser – les polonais (71%), les allemands (68 %) et les habitants du Benelux (62 %).

Dans le sillage du débat entre Apple et le FBI concernant le déverrouillage d’un smartphone, 43 % des individus sont d’accord avec l’affirmation selon laquelle les entreprises sur le marché des nouvelles technologies devraient accorder la priorité à la sécurité nationale plutôt que sur la vie privée et fournir aux organismes gouvernementaux l’accès aux périphériques verrouillés. Les chiffres sont encore plus élevés au Royaume-Uni (50 %), au Benelux (49 %) et en France (46%) mais plus faibles en Allemagne (38 %) et en Arabie Saoudite (37 %).

La sécurité nationale passe devant le droit à la vie privée avec une différence de 12 points, mais pour 43% des individus, la responsabilité de protéger les citoyens contre les menaces cyber-terroristes incombe à leur gouvernement et un cinquième (21 %) des personnes interrogées pensent que chacun devrait être responsable de sa protection. « Les individus prennent ainsi conscience qu’ils peuvent jouer un rôle dans la sécurité nationale mais les responsabilités ne sont pas encore clairement établies », conclut à DataSecurityBreach.fr Antoine Huchez, responsable marketing Europe du Sud chez F5 Networks.

(1)L’étude, menée par Opinium Research, a interrogé plus de 7 000 individus à travers le Royaume-Uni, l’Allemagne, la France, le Benelux, les Émirats Arabes Unis, l’Arabie Saoudite et la Pologne, afin de recueillir leur avis quant à la sécurité et l’utilisation des données personnelles.

Empreintes biométriques, le FBI veut sa BDD

Le FBI vient d’annoncer qu’elle trouvait judicieux de pouvoir stocker toutes les informations concernant les empreintes biométriques, dans un espace de stockage qui lui serait propre.

Le FBI propose de sauvegarder toutes les empreintes biométriques, dans ses locaux, que les Américains auront pu soumettre à l’administration de l’Oncle Sam. Les Américains, mais pas seulement. Si vous avez fait une demande de visa, par exemple, vos données pourraient être sauvegardées et stockées dans la base de données du FBI.

Connu comme le système d’identification de prochaine génération (NGIS), la base de données contiendra les enregistrements des passeports, des contrôles de sécurité, et les informations des traitements judiciaires, comme ceux enregistrés lors d’une arrestation. Il n’y aura pas que les empreintes digitales de vos doigts. NGIS prévoit de sauvegarder les scans d’iris, du visage, palmaires, et toute autre information corporelles qui peuvent être recueillies dans le cadre d’une interaction avec l’agence gouvernementale.

Le FBI explique que sa base de données doit être considérée comme sensible, donc exemptée du contrôle effectué par la Loi sur la protection des renseignements personnels. Bilan, personne ne pourra lui demander le moindre compte. Le FBI a ajouté que l’agence pourrait utiliser les données pour arrêter de futurs criminels. On ne sait pas combien de personnes sont dans cette base de données. L’Electronic Frontier Foundation a déclaré en 2014 que le FBI prévoyait d’avoir plus de 52 millions de photos dans cette « BDD » d’ici la fin de l’année 2015. Le législateur à jusqu’au 6 juin pour freiner les hardeurs du FBI. (Zdnet)

Ross : La justice prochainement rendue par une intelligence artificielle ?

Des chercheurs ont mis en place une intelligence artificielle baptisée ROSS qui sera capable, dans les mois à venir, de remplacer un avocat.

Comme si le monde n’était pas assez inquiet à la vue de l’automatisation et de la création d’intelligence artificielle capable de remplacer l’homme dans les taches professionnelles du quotidien. Les avocats vont pouvoir commencer à trembler. La semaine dernière, le cabinet d’avocats Baker & Hostetler a annoncé mettre en place une intelligence artificielle exclusive signée IBM. Une technologie baptisée Ross.

ROSS est le premier avocat artificiellement intelligent du monde. Conçu comme un outil algorithmique d’auto-apprentissage, Ross est capable de la plupart des actions cognitives de base et possède des capacités de recherche « affinées », dont la possibilité de faire des citations complètes. Ross se joindra à l’équipe de 50 avocats du cabinet Baker & Hostetler, des juristes spécialisés dans les affaires de faillite.

Il suffit de poser une question simple à ROSS, et ce dernier fournit l’ensemble des textes de lois, et dirige son interlocuteur vers la lecture de la législation en vigueur concernant l’affaire en cours, la jurisprudence et des sources secondaires. ROSS surveille les jugements afin d’informer les avocats de nouvelles décisions judiciaires qui peuvent influer sur les cas traités.

Ross sera principalement utilisé comme un outil de recherche, à synthétiser rapidement un grand nombre de dossiers et extraire les sources les plus pertinentes. Bref, après l’IA de Google qui a ingurgité des milliers de romans à l’eau de rose et qui est capable aujourd’hui de créer des poésies d’amour [très étranges] ; après le professeur de la Georgia Tech’s School of Interactive Computing qui n’était en fait qu’un bot [les élèves l’ont appris à la fin de l’année scolaire], voici donc venir le robot avocat. Une idée sortie tout droit du nanar de science-fiction Demolition Man ? En 2015, un étudiant britannique de l’université de Stanford avait créé un site internet baptisé « Ne payez pas« . Son site, et le bot programmé à cet effet, est capable de noyer d’arguments juridiques les tribunaux pour permettre aux internautes condamnés à payer une amende à ne pas être condamné.

Droit à l’oubli : Google interjette appel de sa condamnation par la CNIL

Cnil contre Google : Le combat du droit à l’oubli continue après l’appel de sa condamnation par la CNIL ce 19 mai.

Google est bousculé par les autorités européennes et nationales depuis 2 ans concernant le référencement des personnes physiques au sein du moteur de recherches.

Tout a commencé avec l’affaire dite ‘’Google Spain’’ en 2014, au terme de laquelle la Cour de justice de l’Union Européenne a condamné le géant mondial de l’internet à retirer les résultats « inadéquats, pas ou plus pertinents ou excessifs » référençant le nom de personnes qui ne le souhaitaient pas ou plus et en ont formulé la demande.

Suite à cette décision, le moteur de recherche a reçu des dizaines de milliers de requêtes de la part de citoyens français. On dit qu’ils cherchent à exercer leur « droit à l’oubli », bien que celui-ci n’existe pas actuellement de manière explicite dans la législation ou jurisprudence européenne et française.

Les tentatives de Google pour échapper au droit à l’oubli
Suite à la décision de la Cour de Strasbourg, la société Google a accédé en demi-teinte aux demandes des internautes. Après avoir créée un formulaire à cet effet, elle a procédé au déréférencement de certains résultats mais seulement sur les extensions européennes du moteur de recherches comme google.fr ou google.uk. A contrario, elle refuse catégoriquement de faire jouer le droit à l’oubli des personnes sur le portail google.com. Or, tout le monde peut utiliser cette extension, ce qui revient à rendre illusoire le déférencement.

En mai 2015, face à ce manque de volonté, la présidente de la Commission nationale de l’informatique et des libertés (CNIL) a publiquement mis en demeure le moteur de recherche mondial n°1 d’accéder aux demandes de déréférencement sur tous les noms de domaine de la société. Un recours gracieux a été formé fin juillet 2015 par Google faisant valoir que l’injonction entraverait le droit à l’information de ses internautes tout en instaurant une forme de censure. Selon la société, il ne revient pas à une agence nationale de protection des données à caractère personnel de se revendiquer « une autorité à l’échelle mondiale pour contrôler les informations auxquelles ont accès les internautes à travers le monde ».

Après le rejet de ce recours gracieux, la CNIL a engagé une procédure de sanction à l’encontre de Google qui s’est soldée par sa condamnation à 100 000 euros d’amende pour ne pas avoir appliqué le droit à l’oubli sur l’ensemble de ses extensions géographiques.

Google interjette appel de sa condamnation par la CNIL
Ce jeudi 19 mai 2016, Google a fait appel de cette condamnation peu sévère au regard du chiffre d’affaire astronomique de cette société de droit américain, qui était de 66 milliard de dollars en 2014, soit 19% de plus qu’en 2013. On en déduit que Google en fait une affaire personnelle, une affaire de principe : La société ne veut pas se laisser dicter sa conduite par la Cour de justice de l’Union européenne et certainement pas par une autorité administrative française.

A l’image de David contre Goliath, le combat de la CNIL contre Google est extrêmement déséquilibré. Nous ne pouvons que saluer la persévérance de la CNIL dans sa confrontation avec Google pour faire respecter les droits des particuliers français partout dans le monde. Le projet de loi pour une République numérique conforte la position de la CNIL en consacrant un droit à l’oubli pour les mineurs. De plus, toute personne pourra dorénavant organiser les conditions de conservation et de communication des données à caractère personnel la concernant après son décès, ce qu’on peut rattacher au droit à l’oubli. Entre neutralité du net et droit à l’oubli, des choix vont devoir être pris et il faudra les imposer à Google, ce qui présage encore une longue vie à la saga judiciaire sur le déréférencement. (Par Maitre Antoine Chéron, avocat spécialisé en propriété intellectuelle et NTIC)

Les cybers attaques ont un impact réel sur la confiance des consommateurs

Une enquête menée par le cabinet d’études VansonBourne à l’initiative de FireEye auprès d’un panel représentatif de 1000 consommateurs français, révèle que les cyber attaques de grande ampleur qui se sont produites en 2015 ont affecté durablement la confiance des consommateurs envers les grandes marques.

Les résultats de l’enquête ont mis en évidence une inquiétude grandissante du public directement liée à la perception d’un manque d’intérêt des directions générales pour la protection des données, plus des trois quarts (77%) des consommateurs déclarant être prêts à stopper leurs achats auprès d’une entreprise si une cyber attaque révélait une négligence de la part des dirigeants sur la protection des données. Cette négligence des dirigeants est d’ailleurs jugée plus grave que si la faille de sécurité est simplement due à une erreur humaine, seules 53% des personnes interrogées évoquant cette raison pour stopper leurs achats.

Les conclusions de l’enquête révèlent également l’impact financier potentiel sur le long terme des vols de données pour les grandes marques, 54% des consommateurs déclarant qu’ils engageraient des poursuites judiciaires contre les entreprises si leurs données personnelles étaient volées ou utilisées à des fins criminelles à la suite d’une cyber attaque. 71% des consommateurs indiquent également qu’ils divulgueront à l’avenir moins d’informations personnelles aux marques avec lesquelles ils sont en relation, ce qui pourrait avoir un impact négatif sur les ventes de beaucoup d’entreprises qui exploitent les donnes de leurs clients pour optimiser leur marketing.

Richard Turner, President EMEA de FireEye, a déclaré : « Les cyber attaques et les vols de données se sont multipliés dans l’actualité au cours de l’année écoulée, et les entreprises françaises n’ont pas toutes été épargnées. Les dirigeants des entreprises concernées ont dû réagir immédiatement pour limiter les pertes financières directes, en offrant des ristournes ou d’autres compensations aux consommateurs ». Mais cette enquête montre que les pertes financières dues à un vol de données s’étendent longtemps après que l’attaque initiale ait eu lieu. Elle met en lumière le « coût caché » des cyber attaques sur les entreprises, avec des consommateurs moins enclins à acheter auprès d’organisations réputées négligentes en matière de sécurité, et de plus en plus tentés d’engager des poursuites contre des fournisseurs si leurs données tombent en de mauvaises mains.

Les conclusions de cette enquête sur la confiance des consommateurs montrent que les perceptions négatives du public pour les marques attaquées peuvent persister longtemps après qu’elles aient quitté l’actualité, et que de plus en plus de consommateurs affectés par les vols de données pointent du doigt les responsables tout en haut de l’échelle. Il y a là des leçons importantes à retenir pour les directions générales, qui commencent à comprendre pourquoi elles doivent jouer un rôle plus actif dans la cyber sécurité. Il est également intéressant de voir dans ces résultats que les consommateurs accordent de plus en plus d’importance à la sécurité des données et gardent cet aspect à l’esprit lors de leurs décisions d’achat. Alors que la sécurité des données a été trop souvent considérée par le passé par les entreprises comme un simple centre de coût, elle représente désormais pour elles une opportunité d’attirer de nouveaux clients qui veulent avoir l’assurance que leurs données seront en sécurité. »

Les principales conclusions de l’enquête sur la confiance des consommateurs

·         Plus de la moitié des consommateurs interrogés (53%) déclarent prendre la sécurité de leurs données personnelles en considération lorsqu’ils achètent des produits et services.

·         71% des consommateurs interrogés divulgueront dans l’avenir moins de données personnelles aux organisations qui leur fournissent des produits et des services, en conséquence des cyber attaques majeures qui ont eu lieu l’année dernière.

·         Près de la moitié (42%) des consommateurs seraient prêts à payer plus un fournisseur de service garantissant une meilleure sécurité des données.

·         54% des consommateurs déclarent qu’ils engageraient des poursuites judiciaires contre leurs fournisseurs de produits et services si leurs données personnelles étaient volées ou utilisées à des fins criminelles à la suite d’une cyber attaque.

·         13% des personnes interrogées déclarent que la sécurité de leurs données personnelles est désormais leur principale préoccupation lorsqu’elles achètent des produits et services.

·         38% des consommateurs déclarent que les cyber attaques de grande ampleur qui se sont produites l’année dernière ont eu un impact négatif sur leur perception de la réputation des entreprises attaquées, tandis que 30% d’entre eux déclarent que ces cyber attaques ont dégradé la réputation de toutes les entreprises auprès desquelles elles font leurs achats.

·         21% des personnes interrogées qui ont eu connaissance des cyber attaques de l’année passée considèrent que la communication des dirigeants des entreprises concernées a été mauvaise ou très mauvaise.

·         L’enquête a également révélé que 93% des personnes interrogées s’attendraient à être informées dans les 24 heures si leur fournisseur de service était victime d’une attaque susceptible de compromettre leurs données. La nouvelle directive européenne GDPR (General Data Protection Regulation) imposant que les autorités soient informées d’un vol de données dans les 72 heures, ceci montre que les consommateurs sont encore plus stricts dans leurs exigences, 68% d’entre eux s’attendant même à être informés immédiatement.

7 ans de prison et 750000€ d’amende pour les réseaux de contrefacteurs en France

Vêtements, produits de luxe, dvd, films, albums de musique… Les réseaux de contrefacteurs en bande organisée, comme un portail diffuseur de liens torrents reliés à des copies illicites risquent 7 ans d’emprisonnement et 750.000€ d’amende.

L’Union des Fabricants (Unifab), association française de lutte anti-contrefaçon qui œuvre depuis plus de 140 ans pour la protection et la promotion du droit de la propriété intellectuelle, et ses 200 entreprises adhérentes issues de tous les secteurs d’activité, se félicitent de l’adoption en Commission Mixte Paritaire (CMP) de l’amendement concernant l’aggravation des sanctions en matière de contrefaçon en bande organisée, portant les peines encourues pour les contrefacteurs, de 5 ans et 500.000€,  à 7 ans d’emprisonnement et 750.000€ d’amende.

Les discussions dans le cadre du projet de loi lutte contre le terrorisme, entamées à l’Assemblée Nationale et poursuivies au Sénat, ont abouti à une véritable avancée,  dans la protection des œuvres de l’esprit qui sont, il est important de le rappeler, les piliers de la tradition, du savoir-faire, de l’économie, de la création, et de la sécurité des consommateurs.

Réseaux de contrefacteurs

Cette disposition, qui demeure à l’adoption finale et définitive du texte, s’inscrit dans la droite ligne des 10 recommandations formulées par l’Unifab à l’occasion de la sortie de son rapport sur le lien direct entre « contrefaçon et terrorisme » remis officiellement au Ministre des Finances et des Comptes Publics M. Michel Sapin le 28 janvier dernier.

« Aujourd’hui nous célébrons une véritable et authentique victoire, une avancée spectaculaire, qui provoquera une réelle prise de conscience dans l’application des peines à leur plus juste niveau. Je ne peux que féliciter et remercier les acteurs majeurs de cette initiative, et particulièrement le président du Comité National Anti-Contrefaçon (CNAC) et Sénateur des Français à l’étranger M.Richard Yung, qui, grâce à un engagement sans faille a permis de réévaluer le cadre répressif de la propriété intellectuelle pour être en phase avec l’échelle des peines des délits similaires… » déclare Christian Peugeot, Président de l’Unifab.

Alors que la France, leader en matière de protection des droits de propriété intellectuelle, renforce son système répressif concernant les activités liées aux réseaux de contrefacteurs, le tribunal populaire de Putuo, à Shanghai vient de condamner un revendeur, sur une célèbre plateforme chinoise de e-commerce, à fermer sa boutique en ligne et à cesser d’utiliser frauduleusement la marque « Bonpoint ». Le contrefacteur a été condamné à payer 35.000 yuans, et, fait surprenant, à exprimer publiquement ses excuses dans le journal local Xinmin.

Pirate de données bancaires arrêté en Pologne

Un pirate de données bancaires Polonais, recherché depuis 6 mois, arrêté après avoir volé plus de 100.000 €. Il en avait 800.000 en réserve.

Selon les autorités polonaises, Mateusza C., un internaute de 35 ans originaire de Varsovie, est accusé de piratage bancaire. Lui et un complice [Polsilverem], ce dernier a été arrêté en octobre 2015, auraient réussi à s’infiltrer dans des banques locales pour orchestrer des virements illicites. 100.000 euros ont pu être dérobés et transformés en bitcoin, la crypto monnaie. Les pirates avaient encore la main sur 800.000 euros qu’ils n’ont pu transférer. Connu sur la toile sous le pseudonyme de Pocket, le pirate risque 10 ans de prison. Pendant ce temps, en Russie, le gouvernement de Vladimir Poutine se penche à punir les utilisateurs « malveillants » de Bitcoin. Des peines d’amendes et de prisons sont proposés dans une loi qui doit être votée le mois prochain.

Le droit des données personnelles

N’attendez pas que la CNIL ou les pirates vous tombent dessus ! « Le droit des données personnelles » aux éditions Eyrolles.

La seconde édition de « Le droit des données personnelles » de Fabrice Mattatia, aux éditions Eyrolles augmentée et mise à jour, fait le point sur le droit applicable en France aux traitements de données personnelles. Elle intéressera aussi bien les juristes en quête d’un ouvrage de synthèse ou les informaticiens préparant un nouveau développement, que les directeurs informatiques et les dirigeants d’entreprises ou d’administrations désireux de connaître leurs obligations légales. Ils y trouveront un exposé méthodique des lois applicables, ainsi que l’analyse des jurisprudences les plus récentes, afin de pouvoir répondre aux questions concrètes qu’ils peuvent se poser : quelles formalités administratives accomplir ? Quels sont les droits des personnes concernées ? Y a-t-il des données dont le traitement est interdit ou encadré ? Combien de temps peuvent-ils conserver les données personnelles collectées ? Peut-on envoyer des données personnelles hors d’Europe, et notamment aux États-Unis ? Quel risque pénal prennent-ils en négligeant leurs obligations ? Quelles évolutions du cadre européen sont prévues dans les années à venir ? Un livre d’autant plus indispensable que le Parlement européen vient d’adopter définitivement le règlement sur la protection des données personnelles qui sera applicable d’ici 2 ans et dont l’analyse constitue le chapitre 9 de cet ouvrage. « Le droit des données personnelles » Ed. Eyrolles, chez votre libraire depuis le 22 avril 2016. (240 pages / 978-2-212-14298-3 / 35€).

Fraude au président : 2 millions de dollars volés, il attaque ses associés

Fraude au président : 2 millions de dollars volés à un ancien employé de Lehman Brothers, une banque d’investissement multinationale.

Ce qui est bien avec le public dit « en col blanc » est qu’il n’écoute pas. On pourrait penser, à la suite des centaines de piratages médiatiques qu’une banque d’affaire, et donc ses employés, sont au fait de la sécurité informatique. Je les vois ses « stages » coutant des milliers d’euros de sensibilisation. Sensibilisations effectuées, dans la plupart des cas, par des gens qui ne connaissent du terrain numérique, que les heures de bureau qu’ils lui allouent.

Bref, normalement, un phishing et une fraude au président, cela ne doit plus exister chez nos banquiers. Le cas de Robert Millard, ancien codirigeant de la banque d’investissement multinationale Lehman Brothers a de quoi faire sourire. L’homme de « pouvoir » et « d’argent » a fait un virement de 1.938.000 dollars pour un achat d’appartement qu’il était en train d’orchestrer. Une jolie studette à 20 millions de dollars, à New York. Sauf que le virement a été effectué à destination d’un arnaqueur. L’escroc a piraté l’agence immobilière de Millard, son compte mail AOL et l’avocat en charge de son immobilier. Personne n’avait remarqué que le nom de l’avocat avait été mal orthographié.

Bilan, le « banquier » volé attaque en justice ce qu’il considère comme les coupables, ses anciens associés, afin de récupérer 200.000 dollars qu’il n’a pu retrouver.

Les agences immobilières sont aussi de belles cibles pour les pirates informatiques. Si vous êtes en train d’acquérir un bien, méfiez-vous de cette demande de changement d’adresse pour le virement bancaire. Je vous expliquais, en mars, comment les professionnels du FoVI, la fraude aux virements bancaires, visaient aussi les locataires de maison et d’appartements en faisant détourner les loyers.

Pendant ce temps…

… nous pourrions penser que les internautes sont maintenant habitués à ne plus cliquer sur n’importe quoi. Qu’ils ont entendu parler des ransomwares. Bref, ils se sont informés sur ces logiciels malveillants de rançonnage, ils sont donc sécurisés. A première vue… non ! Le département de la police de Newark, dans le New-Jersey s’est retrouvé fort dépourvu quand la bise numérique fut venue. Un ransomware activé et les machines des policiers prisent en otage. « Le service de police a indiqué  qu’il n’y avait aucune preuve d’une quelconque violation de données et que l’attaque n’a pas perturbé la prestation des services d’urgence aux citoyens« . Aucunes informations sur les informations chiffrées et à savoir si les données prises en otage ont été retrouvées.

Attaque informatique contre le parlement lituanien

Ce lundi 11 Avril , le site du parlement lituanien (le Seimas ) a subi une cyber-attaque d’ampleur. L’attaque coïncidait avec la retransmission sur le site du parlement d’une réunion du Congrès mondial des Tatars de Crimée et d’une conférence internationale sur les violations massives des droits de l’homme dans les territoires occupés de Crimée.

L’ attaque DDoS a rendu impossible d’assister à la rediffusion en ligne de l’événement en dehors de la Lituanie. Selon Loreta Grauzinenie, porte-parole du parlement, il s’agirait de la première attaque du genre sur le Seimas .

Si le groupe EzBTC Squad a revendiqué l’attaque sur Twitter, prétextant des motivations financières (réclamant 4 Bitcoins soit 1 600 euros). Toutefois, ce groupe, nouvel émergent sur la scène pirate, a peiné à démontrer la crédibilité de ses menaces et même son implication réelle dans l’attaque.

On peut légitimement se demander si l’attaque DDoS ne serait pas en train de devenir un moyen politique visant à museler administrations, organismes, communautés. On peut aussi tout simplement se demander si le EzBTC Squad est véritablement l’auteur ou s’il essaie de tirer parti de la situation. Le business du DDoS rapporte aussi beaucoup d’argent aux boutiques cachées derrière ces « attaques ».

Mais de fait, puisque la liberté d’expression s’exerce sur Internet, l’attaque DDoS pourrait bientôt s’avérer un outil efficace pour les hacktivistes, groupements d’intérêts, voire les gouvernements souhaitant limiter la liberté d’expression en dehors des frontières sur lesquels leur pouvoir s’exerce. ZATAZ.COM a diffusé, ce dimanche 17 avril, les commentaires d’un de ces groupes d’hacktivistes, Interview de DownSec, manifestant du numérique, des adeptes de la cyber manifestation sous forme de DDoS.

Fuite, perte, piratage de données ? Entreprise, il va falloir communiquer !

La directive européenne de protection des données personnelles est morte ! Vive le règlement général sur la protection des données (GDPR). Fuite, perte, piratage de données ? Entreprise, il va falloir communiquer !

En 1995, l’Europe s’équipait de la directive européenne de protection des données personnelles. Mission, protéger les informations des utilisateurs d’informatique. 21 ans plus tard, voici venir le règlement général sur la protection des données (GDPR). La Commission européenne avait proposé en 2012 un nouveau règlement portant sur un ensemble de règles unique pour toutes les données collectées en ligne afin de garantir qu’elles soient conservées de manière sûre et de fournir aux entreprises un cadre clair sur la façon dont les traiter.

Mercredi 13 avril 2016, le paquet législatif a été formellement approuvé par le Parlement dans son ensemble. Le GDPR impose aux entreprises (petites ou grandes) détenant des données à caractère personnel d’alerter les personnes touchées par une fuite, une perte, un piratage de la dire informations privée. Grand groupe, PME, TPE doivent informer les autorités de contrôle nationales (CNIL) en cas de violation importante de ces données. Comme je pouvais déjà vous en parler en 2014, il faut alerter les autorités dans les 72 heures après avoir découvert le problème. Les entreprises risquent une grosse amende en cas de non respect : jusqu’à 4% de son chiffre d’affaire. Les informations que nous fournissons doivent être protégées par défaut (Art. 19). A noter que cette régle est déjà applicable en France, il suffit de lire le règlement de la CNIL à ce sujet. Faut-il maintenant que tout cela soit véritablement appliqué.

Fuite, perte, piratage de données

Parmi les autres articles, le « 7 » indique que les entreprises ont l’obligation de demander l’accord « clair et explicite » avant tout traitement de données personnelles. Adieu la case par défaut imposée, en bas de page. De l’opt-in (consentement préalable clair et précis) uniquement. Plus compliqué à mettre en place, l’article 8. Je le vois dans les ateliers que je mets en place pour les écoles primaires et collèges. Les parents devront donner leur autorisation pour toutes inscriptions et collectes de données. Comme indiqué plus haut, les informations que nous allons fournir devront être protégées par défaut (Art. 19). Intéressant à suivre aussi, l’article 20. Comme pour sa ligne téléphonique, le numéro peut dorénavant vous suivre si vous changez d’opérateur, cet article annonce un droit à la portabilité des données. Bilan, si vous changez de Fournisseur d’Accès à Internet par exemple, mails et contacts doivent pouvoir vous suivre. L’histoire ne dit pas si on va pouvoir, du coup, garder son adresse mail. 92829@orange.fr fonctionnera-t-il si je passe chez Free ?

La limitation du profilage par algorithmes n’a pas été oublié. En gros, votre box TV Canal +, Orange ou Netflix (pour ne citer que le plus simple) utilisent des algorithmes pour vous fournir ce qu’ils considèrent comme les films, séries, émissions qui vous conviennent le mieux. L’article 21 annonce que l’algorithme seul ne sera plus toléré, surtout si l’utilisation n’a pas donné son accord. Enfin, notre vie numérique est prise en compte. Les articles 33 et 34 s’annoncent comme les défenseurs de notre identité numérique, mais aussi notre réputation numérique. L’affaire Ashley Madisson est un des exemples. Votre identité numérique est volée. L’entreprise ne le dit pas. Votre identité numérique est diffusée sur Internet. Vous ne la maîtrisez plus.

Bref, 33 et 34 annonce clairement que les internautes ont le droit d’être informé en cas de piratage des données. La CNIL sera le récipiendaire des alertes communiquées par les entreprises piratées. Bref, fuite, perte, piratage de données ? Entreprise, il va falloir communiquer !

Les entreprises ont jusqu’au 1er janvier 2018 pour se mettre en conformité. Les 28 pays membres doivent maintenant harmoniser leurs lois sur le sujet. Je me tiens à la disposition des entreprises, associations, particuliers qui souhaiteraient réfléchir à leur hygiène informatique.

Police : nouvelles règles sur les transferts de données

Le paquet sur la protection des données inclut par ailleurs une directive relative aux transferts de données à des fins policières et judiciaires. La directive s’appliquera aux transferts de données à travers les frontières de l’UE et fixera, pour la première fois, des normes minimales pour le traitement des données à des fins policières au sein de chaque État membre.

Les nouvelles règles ont pour but de protéger les individus, qu’il s’agisse de la victime, du criminel ou du témoin, en prévoyant des droits et limites clairs en matière de transferts de données à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales – incluant des garanties et des mesures de prévention contre les menaces à la sécurité publique, tout en facilitant une coopération plus aisée et plus efficace entre les autorités répressives.

« Le principal problème concernant les attentats terroristes et d’autres crimes transnationaux est que les autorités répressives des États membres sont réticentes à échanger des informations précieuses », a affirmé Marju Lauristin (S&D, ET), députée responsable du dossier au Parlement. « En fixant des normes européennes sur l’échange d’informations entre les autorités répressives, la directive sur la protection des données deviendra un instrument puissant et utile pour aider les autorités à transférer facilement et efficacement des données à caractère personnel tout en respectant le droit fondamental à la vie privée« , a-t-elle conclu.

La France : une cible privilégiée pour les cybercriminels

Selon la société américaine de sécurité informatique Symantec, la France fait son retour dans le top 10 des pays à cybercriminalité la plus active, aux côtés de la Chine et des Etats-Unis. Quelles sont les sanctions en pratique ? Ce récent sondage questionne l’effectivité des dispositifs juridiques mis en place en vue de lutter contre le piratage. Bref, comment ne pas finir comme cible privilégiée pour les cybercriminels ?

La position de la France en la matière s’explique en grande partie par l’utilisation croissante des rançongiciels. En effet, ces derniers représenteraient plus de 391 000 attaques en 2015. L’utilisation de ces logiciels malveillants permet aux hackers de chiffrer les fichiers d’un ordinateur, avant d’exiger une rançon en contrepartie de leur décryptage.

Un récent sondage de Kaspersky montrait que les pays les plus visés par cette pratique sont la Russie, l’Inde et l’Allemagne. Il sévit également en Italie, en Autriche, aux Etats-Unis, et en Chine. Marco Preuss, chargé de la recherche et du développement au sein de Kaspersky Lab en Europe, a d’ailleurs déclaré que « 2016 est probablement l’année du ransomware. Au cours du seul mois de février, nous avons déjà dénombré autant de tentatives d’attaques contre nos clients que lors des cinq mois précédents cumulés ». Des chiffres qu’il faut cependant modérer. L’entreprise américaine se base sur ses chiffres clients.

Bien qu’il existe 60 variantes de ce programme, le procédé est toujours le même. Il est généralement reçu par courriel dans lequel figure la plupart du temps une pièce jointe qui peut se présenter sous la forme d’une notification de fax ou de scanner. Une fois installé sur l’ordinateur, une bannière sur laquelle il est indiqué qu’il faut envoyer un SMS à un numéro de téléphone spécifié ou verser de l’argent sur un compte bancaire, s’affiche.

Cible privilégiée pour les cybercriminels

L’Agence nationale de sécurité des systèmes informatiques mène actuellement une campagne de sensibilisation sur l’utilisation des rançongiciels, ce qui démontre l’ampleur du phénomène. En cas d’infection de l’ordinateur, elle préconise de porter plainte au commissariat de police.

Il est en effet possible d’agir à l’encontre des pirates informatiques sur le fondement des articles 323-1 et suivants du Code pénal. En effet, le fait d’accéder ou de se maintenir frauduleusement dans tout ou partie d’un système de traitement automatisé de données est puni de deux ans d’emprisonnement et de 60 000 euros d’amende. De même, le fait d’entraver le fonctionnement d’un système informatique est puni de cinq ans d’emprisonnement et 150 000 euros d’amende. Enfin, est puni des mêmes peines, le fait d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données d’un tel système.

D’où il résulte, la nécessité accrue d’une vigilance renforcée pour ne pas finir comme une cible privilégiée pour les cybercriminels. Les entreprises ont de plus en plus conscience des enjeux que représente la sécurité de leurs systèmes informatiques. Toutefois, encore faut-il que les textes précités soient appliqués ! L’impunité du piratage informatique engendre un risque augmenté d’insécurité des systèmes informatiques. Il est indispensable que les forces de police et les magistrats veillent au respect de ces dispositions, ce qui n’est pas le cas à l’heure actuelle. A quand une prise de conscience ?

Par Maitre Antoine Chéron, pour DataSecurityBreach.fr, avocat spécialisé en propriété intellectuelle et NTIC, fondateur du cabinet ACBM (http://www.acbm-avocats.com)

Le FBI aurait un faille 0Day visant firefox

La police fédérale américaine, le FBI, aurait en sa possession une faille agissant à partir du navigateur Firefox. Une faille 0Day visant firefox permettrait de piéger les utilisateurs de TOR ?

En février 2016, FBI avait reçu une demande particulièrement gênante de la part d’un avocat. Dans l’affaire du réseau de pédophiles Paypen, le FBI avait réussi à retrouver des utilisateurs via une network investigative technique (NIT). L’espace pédophile officiant via le système d’anonymisation TOR avait été stoppé par le Federal Bureau of Investigation grâce à l’exploitation d’une NIT. 137 internautes avaient été arrêtés. Des arrestations rendues possibles via l’utilisation de ce NIT. Bref, l’avocat voulait connaitre les petits secrets de ce fameux code du FBI.

Faille 0Day visant firefox ?

Aujourd’hui, des experts estiment que le FBI a peut-être bien plus qu’un simple outil permettant de tracer les internautes utilisateurs de TOR. Une vulnérabilité dans le navigateur Firefox, un logiciel utilisé par des centaines de millions de personnes partout dans le monde, est montré du doigt. Un chercheur de l’Université de Berkeley pense que le FBI cache ce petit secret informatique qui lui permettrait de remonter aux informations des « anonymes ».

Pour rappel, le FBI avait utilisé une faille dans Flash d’Adobe lors d’une enquête, en 2012, contre un autre espace numérique proposant de la pédopornographie. « Les Efforts acharnés du FBI à protéger son exploit suggère qu’il fonctionne toujours » indique Christopher Soghoian de l’American Civil Liberties Union (ACLU). En 2013, le journal britannique The Guardian expliquait comment la NSA utilisait un exploit dans Firefox, baptisé EgotisticalGiraffe afin de tracer les utilisateurs de TOR. (Vice)

Un adolescent arrêté pour avoir lancé des attaques DDoS

Un internaute de 15 ans arrêté pour avoir lancé des attaques DDoS contre une école. Une manipulation qui va perturber durant 48 heures l’hébergeur.

Le problème pour certains adolescents agissant sur Internet est de leur faire comprendre qu’une attaque de DDoS n’a rien de génial, de techniquement mirobolant. Non, un DDoS peut se comparer à déverser des poubelles devant une porte d’entrée car l’auteur de cette décharge publique n’a pas les capacités techniques et intellectuelles pour reproduire la clé ou crocheter la serrure qui lui aurait permis de rentrer dans la maison visée. Bref, un DDoS, du bullshit en paquet de 10.

Il a lancé des attaques DDoS 

C’est ce qu’aurait du se dire un adolescent de 15 ans, arrêté le 8 avril dernier en Australie. Le jeune homme a attaqué une école, le Reynella East College. Un DDoS non maîtrisé qui a perturbé, durant 48 heures, l’hébergeur du site de l’école et les clients de l’entreprise. Le piratin signait ses actes sur la toile sous les pseudonyme de Will Star, Purple city et Global line. [Police]

Projet de loi pour interdire le chiffrement indéchiffrable

Interdire le chiffrement indéchiffrable ! Pour aider les forces de l’ordre dans leurs taches, deux sénateurs proposent un nouveau projet de loi qui souhaite contrôler le chiffrage des données.

Ce qui est bien avec les hommes politiques est qu’ils ont de la suite dans les idées dès qu’il s’agit de marquer leur nom dans l’histoire, ou dans les pages des journaux. Les sénateurs Richard Burr et Dianne Feinstein (Californie) ont bien l’intention de marquer de leur empreinte l’histoire US.

Les deux politiques peaufinent la version préliminaire d’un projet de loi Sénatorial qui aurait pour effet d’interdire le chiffrement indéchiffrable. Cette loi exigerait des entreprises qu’elles apportent le moyen de déchiffrer téléphone et ordinateur dès que les autorités le souhaiteront.

Les deux sénateurs n’ont pas encore annoncé la date de présentation de ce projet de loi. Ils ne le feront peut-être jamais. Leur coup médiatique étant réussi, ils sont dans les journaux !

Walking dead

Walking dead – Risque d’amende et de prison pour les piétons qui utilisent leur smartphone, en marchant, dans la rue.

Certaines lois américaines, celles prodiguées par les états, font parfois sourire. Certaines inquiètent. Par exemple dans l’Etat d’Alabama, il est  interdit de conduire une voiture avec les yeux bandés. Dans la ville de Glendale (Arizona), il est illégal de conduire en marche arrière. Pire, en Californie, et plus précisément à Los Angeles, un homme peut légalement frapper sa femme avec une ceinture de cuir. Attention, elle ne doit pas dépasser 2 pouces de large, sauf… avec l’autorisation de sa femme. Bref, la proposition de loi faite dans le New Jersey, il y a quelques jours, risque de rejoindre ce nid d’obligation bien difficile à tenir.

Walking dead

La député Pamela Lampitt voudrait punir les marcheurs, dans la rue, qui utilisent leur smartphone pour envoyer des textos. Elle souhaite aussi que soit interdit tout appel dans la rue, sauf si le piéton possède un kit main libre. Le contrevenant risquera 50 dollars d’amende ou 15 jours de prison. La politique explique sa proposition à la lecture du nombre croissant de décès de piéton. 11% en 2005 ; 15% en 2014. Lampitt indique que la mesure est nécessaire pour dissuader et sanctionner les « comportements à risque ». Elle cite aussi un rapport du Conseil national de sécurité qui affiche les incidents visant des piétons distraits par leur téléphone : environ 11,100 blessures de 2000 à 2011.

A Haiwaï, les piétons risqueront 250 $ si ces derniers traversent un passage clouté avec son téléphone à la main. Au cours des dernières années, des projets de loi similaires ont échoué en Arkansas, Illinois, Nevada ou encore New York.

Nouvelle tentative de Google d’échapper au droit à l’oubli

Le géant Google a été condamné à 100 000 euros d’amende par la Commission Nationale Informatique et Libertés (CNIL) pour ne pas avoir appliqué le droit à l’oubli sur l’ensemble des extensions géographiques de son nom de domaine.

Cette condamnation fait suite à une mise en demeure datant de mai 2015, par laquelle la CNIL reprochait au moteur de recherche de limiter le déférencement des liens signalés par les internautes européens, aux extensions géographiques européennes de son nom de domaine, comme par exemple : « google.fr » en France, « google.it » en Italie. Les contenus litigieux restent donc accessibles sur l’extension « google.com ».

En réplique, Google avait affirmé qu’il ne revient pas à une agence nationale de protection des données à caractère personnel de se revendiquer « une autorité à l’échelle mondiale pour contrôler les informations auxquelles ont accès les internautes à travers le monde ».

Isabelle Falque-Pierrotin, Présidente de la CNIL, avait alors décidé d’engager une procédure de sanction à l’encontre de Google. Elle souhaitait ainsi faire preuve d’une certaine fermeté en raison des nombreuses plaintes des internautes (700 plaintes dont 43% sont fondées).

En réalité, la CNIL cherche à faire appliquer l’arrêt du 13 mai 2014 dans lequel la Cour de justice européenne avait consacré le droit à l’oubli. Ce dernier permet à tout internaute européen qui en fait la demande, d’obtenir le déférencement de contenus de nature à porter atteinte au respect de sa vie privée.

Bien que désapprouvant cette décision, Google avait mis à disposition des internautes un formulaire de signalement. La démarche n’en est pas pour autant faciliter puisqu’en France seules 52% des pages web ayant fait l’objet d’une demande de déférencement ont été partiellement retirées. De plus, en cas de refus du moteur de recherche de déférencer les informations signalées, il ne reste à ces derniers plus qu’à se tourner soit vers le juge des référés, soit vers la CNIL. Or, le juge a tendance à mettre en balance le droit à l’oubli avec la liberté d’information (TGI de Paris, 23 mars 2015).

En janvier dernier, Google a proposé de mettre en place un filtrage afin que les internautes qui consultent le moteur de recherche à partir du même pays d’origine que le demandeur, ne voient plus le résultat ayant été déférencé. Comme soutenu par la CNIL, ce filtre ne permettrait pas de garantir efficacement le droit au respect de la vie privée au travers du droit à l’oubli.

A contrario, la position du géant américain est justifiée notamment au regard du principe de neutralité des contenus sur internet. De plus, le droit à l’oubli affaiblit la valeur économique de Google qui réside dans le référencement des liens hypertextes et qui est fondé sur le droit à l’information.

Google entend contester cette décision.

Par Par Maitre Antoine Chéron, avocat spécialisé en propriété intellectuelle et NTIC, fondateur du cabinet ACBM.

Une fausse société revendait des identifiants de connexion à des Chinois

Identifiants de connexion – Les identifiants et les mots de passe d’environ 18 millions d’utilisateurs d’Internet Japonais retrouvés dans un serveur mis en place par une fausse société. Elle revendait les connexions à des Chinois.

La Nicchu Shinsei Corp., basée dans le quartier de Toshima Ward de Tokyo semblait être une PME nippone comme toutes les autres. Sauf qu’elle fournissait à des Chinois des moyens de se connecter à Internet en usurpant les identités des clients originaire du pays du soleil levant.

La police locale a trouvé sur un serveur informatique de cette entreprise, pas moins de 18 millions de japonais piratés. Nicchu Shinsei Corp. fournissait un serveur de relais pour des accès illicites. 18 millions de données (ID, Mot de passe), ainsi que 1,78 millions de données Twitter, Rakuten… Le nombre de victimes dans cette affaire récente fait de ce piratage le plus grand cas de vol d’informations au Japon. Sur le serveur, un programme automatique tentait illégalement d’accéder aux espaces ainsi compromis.

Des pirates Chinois seraient derrière cette « installation ». Un piratage qui ressemble comme deux goutes d’eau à celui vécu, en 2014. Ici aussi, une autre société avait permis d’intercepter 5.928.290 millions de données personnelles. (Japan News)

Apple vs. FBI : suite et fin ?

Apple vs. FBI – Suites du jugement rendu mardi 16 février par la Cour fédérale du Riverside en Californie, dans lequel cette dernière exigeait de la multinationale « une assistance technique raisonnable » au FBI afin de lui permettre d’accéder au contenu crypté de l’iPhone d’un des auteurs présumés de la fusillade de San Bernadino.

Il semblerait que le gouvernement qui parallèlement à ce jugement poursuivait ses efforts pour accéder au contenu de l’iPhone soit arrivé à ses fins. Le FBI contacté par un tiers serait sur le point de parvenir à accéder (si ce n’est déjà le cas) aux données de l’iPhone. S’en est suivie la levée d’une audience qui devait se tenir ce mardi. Le test de la viabilité de méthode fera l’objet d’un rapport d’évaluation et sera prochainement communiqué au juge en charge de l’affaire, Sheri Pym.

Il y serait parvenu sans l’aide d’Apple. Dans une telle hypothèse, la personne à l’origine de cette méthode pourrait néanmoins s’exposer à des poursuites judiciaires. Selon Robert Enderle, expert en technologies, il pourrait s’agir de John McAfee (créateur de l’anti-virus éponyme), ou d’un ancien employé d’Apple. En France, cette personne aurait pu être poursuivie sur le fondement des articles L 323-1 et suivants du Code pénal qui incriminent l’accès ou le maintien frauduleux dans un système automatisé de traitement des données. S’il s’agit d’un ancien employé d’Apple, il pourrait se voir opposer la clause de confidentialité présente dans son ancien contrat de travail.

Apple vs. FBI

En réalité, il serait surprenant qu’Apple ne soit pas intervenu. La version des faits telle qu’avancée par le gouvernement américain constituerait un juste milieu et permettrait à Apple de collaborer avec le FBI tout en maintenant son image de garant des libertés fondamentales auprès des consommateurs. En effet, depuis le jugement du 16 février dernier, la multinationale était dans une position ambigüe puisque si fournir au FBI un moyen pour accéder au contenu de l’iPhone permet de démontrer qu’Apple participe à lutter contre le terrorisme, a contrario cela engendrerait une menace de sécurité pour ses clients.

Depuis l’affaire Snowden qui avait révélé une collecte massive des données par la NSA dépassant le cadre sécuritaire, les sociétés américaines surfant sur cette vague d’indignation ont fait de la sécurité des données un véritable argument marketing. Si l’inviolabilité des téléphones rassure les consommateurs, les autorités regrettent qu’elle puisse aider la criminalité. Cette affaire ravive ainsi le débat sur la nécessité d’accéder aux contenus en vue de lutter contre le terrorisme d’une part et de renforcer la sécurité des données, d’autre part. D’un point de vue informatique, le premier suppose l’introduction d’une faille de sécurité dans le programme au moyen notamment des backdoors (ou « portes dérobées »), tandis que le second vise à rendre le logiciel infaillible à toute intrusion tierce.

Dans l’un comme dans l’autre cas, l’impact en termes d’image est négatif pour Apple. Il semble qu’elle s’en soit néanmoins sortis de cette confrontation Apple vs. FBI. Ainsi, lundi dernier alors que le FBI affirmait détenir une méthode viable pour accéder aux données de l’iPhone, Tim Cook déclarait que « nous devons décider en tant que nation quel pouvoir devrait avoir le gouvernement sur nos données et notre vie privée ».

En France, le projet renforçant la lutte contre le crime organisé, le terrorisme et leur financement qui sera prochainement en discussion devant le Sénat, complète l’article L 230-1 du Code pénal qui permet aux autorités judiciaires de désigner toute personne morale ou physique en vue d’accéder à des données chiffrées. Ce faisant, il disposera désormais en son dernier alinéa que « le fait, pour un organisme privé, de refuser de communiquer à l’autorité judiciaire requérante enquêtant sur des crimes ou délits terroristes (…) des données protégées par un moyen de cryptologie dont il est le constructeur, est puni de cinq ans d’emprisonnement et de 350 000 euros d’amende », l’amende étant portée au quintuple concernant les personnes morales. (Par Maitre Antoine Chéron, avocat spécialisé en propriété intellectuelle et NTIC, fondateur du cabinet ACBM.)

Concours Correspondants Informatique et Libertés

L’AFCDP (Association française des Correspondants à la protection des Données à caractère Personnel) lance un concours destiné à récompenser le meilleur mémoire réalisé sur un sujet qui intéresse les Correspondants Informatique et Libertés – destinés à devenir les futurs DPO (Data Protection Officer) et, plus largement, tout professionnel de la conformité à la loi Informatique et Libertés et à la protection des données personnelles. Ce prix est dénommé « Meilleur Mémoire AFCDP ».

Pour cette première édition du Prix du Meilleur Mémoire AFCDP, le thème porte sur les moyens et techniques permettant de rendre « inintelligibles » les données personnelles afin de mieux les protéger et d’éviter à avoir à notifier les personnes concernées en cas de violation à un traitement de données. Ce thème s’inscrit dans la préparation des responsables de traitements au futur règlement européen sur les données personnelles.

L’objectif du mémoire est donc de vulgariser et de montrer, de façon opérationnelle, les apports de techniques telles que le chiffrement, le hachage, la tokenisation, la pseudonymisation pour éviter la notification des violations de données aux personnes concernées. Le règlement de ce concours est librement accessible ICI.

FBI Vs Apple : violation du système de confiance

Pourquoi la demande du FBI auprès d’Apple constitue une violation du système de confiance … une question qui va bien au delà du chiffrement des données.

En résumé, on demande à Apple de démonter le système de confiance utilisé depuis plus de 20 ans pour sécuriser Internet. Cette action du gouvernement américain -qui exige de pouvoir utiliser des certificats Apple- constitue un détournement et un piratage d’Internet. La question n’est pas de décrypter un téléphone utilisé par un terroriste.

Les certificats constituent le socle de la cybersécurité. Si le gouvernement est autorisé à utiliser les certificats Apple, il contrôle le logiciel qui contrôle en grande partie l’accès aux logiciels, à Internet et aux applications. Il en prendra alors le contrôle et le détournera.

L’enjeu de la demande du FBI et le défi d’Apple ne se limitent pas à un seul téléphone chiffré utilisé par un terroriste. C’est une violation du système de confiance à base de certificats [numériques] sur lequel reposent les logiciels et Internet ! Le FBI souhaite qu’Apple utilise un certificat Apple pour signer le logiciel qui s’exécutera ensuite (ce que le FBI appelle le fichier logiciel signé de l’iPhone [‘‘signed iPhone Software File’’]). Ces tactiques rappellent celles utilisées pour rendre Stuxnet si efficace – un malware signé à l’aide de certificats valides qui avait pu s’exécuter sans éveiller la méfiance. La requête du FBI risque de marquer un précédent, car elle porte, non sur le fait de casser le chiffrement, mais sur le fait de casser le logiciel. D’où la réponse de Tim Cook : ‘‘Le gouvernement demande à Apple de pirater ses propres utilisateurs et de saper les avancées réalisées depuis plusieurs décennies dans le domaine de la sécurité pour assurer la protection de nos clients.’’

Or, la plus grosse ‘‘avancée’’ dans le cas présent est l’intérêt croissant que les cybercriminels portent au système de confiance créé par les certificats tel que nous le connaissons, et les attaques dont il fait l’objet. Les logiciels font tourner le monde et c’est le rôle des certificats TLS ou les signatures de code de distinguer ce qui est digne de confiance de ce qui ne l’est pas, de trier le bon grain de l’ivraie. Le logiciel signé par Apple ne deviendrait pas seulement une arme convoitée, ce serait également un prototype supplémentaire dans le manuel d’attaques des méchants, comme l’a été Stuxnet il y a 6 ans.

Qu’est-ce que cela signifie pour les entreprises du Global 5000 ? À une époque où certificats et clés suscitent de plus en plus l’intérêt des gouvernements et les convoitises de personnes mal intentionnées, je dirais qu’il est d’autant plus important de connaître les certificats et clés auxquels l’on peut se fier, pour protéger ceux que l’on utilise.

La réponse rapide et légitime d’Apple au FBI contraste fortement avec un autre grand problème de sécurité qui a concerné tous les utilisateurs de smartphones et d’ordinateurs dans le monde. L’autorité de certification chinoise CNNIC, une entité du gouvernement chinois qui contrôle le ‘‘Grand Pare-feu de Chine’’ et surveille le cybercomportement des citoyens de l’Empire du Milieu, était jugée digne de confiance par l’ensemble des navigateurs, ordinateurs, smartphones et tablettes Microsoft, Apple et Google. Or, la CNNIC a été impliquée dans une tentative d’usurpation de Google en Égypte – un incident auquel Google et Mozilla ont rapidement réagi en jetant le discrédit sur la CNNIC. Face aux dizaines de milliards de dollars de chiffres d’affaires en jeu chaque trimestre sur le marché chinois, Apple et Microsoft n’ont pas bougé pendant des mois. Apple a discrètement choisi de faire confiance à certains certificats CNNIC, tandis que Microsoft a laissé faire. L’incident n’a pas reçu la même couverture médiatique que la requête du FBI. Malheureusement, dans le cas de la CNNIC et contrairement à aujourd’hui, Apple n’a pas réagi. Son absence de réaction rapide ou publique a donné l’impression que la firme à la pomme faisait passer ses intérêts financiers chinois devant la sécurité et la confidentialité des données de tous les utilisateurs d’iPhone, d’iPad et de Mac à travers le monde. La réactivité d’Apple à la demande du FBI est un changement bienvenu et nous espérons qu’à l’avenir, l’entreprise ferait de même en cas d’incidents impliquant les autorités chinoises. [Kevin Bocek, VP Threat Intelligence and Security Strategy, Venafi]

Jurisprudence : Vers un revirement de la jurisprudence Google Adwords ?

Les acteurs de l’économie numérique ont très vite compris que le choix d’une marque pertinente était un critère décisif de la compétitivité et de la performance de leur site e-commerce. La course à la créativité est donc lancée afin de disposer d’un nom de marque ou de domaine qui soit à la fois original et captif de l’attention du client internaute. Les enjeux commerciaux y sont importants si l’on considère, comme il est souvent prédit dans la presse économique, que le commerce électronique supplantera à terme les ventes traditionnelles.

Le fait de disposer d’une marque captivante peut offrir une garantie de réussite commerciale sur Internet mais encore faut-il que la validité de son titre soit indiscutable et qu’un dispositif de vigilance a été mise en place, avec l’aide d’un conseil en propriété industrielle le plus souvent, pour s’assurer que son titre ne fait pas l’objet d’acte de contrefaçon. Le risque de contrefaçon de sa marque est réel sur Internet puisque le contentieux ne cesse de s’intensifier notamment depuis l’existence de certaines fonctionnalités publicitaires proposées par les moteurs de recherche, dont le très contesté achat de mots-clés.

C’est pour illustrer cette forme de contrefaçon à la marque sur Internet que nous faisons ici retour sur une décision récente du Tribunal d’Instance de Paris qui a eu notamment à connaître de l’hypothèse d’une atteinte à la marque verbale d’autrui par reproduction de celle-ci dans l’adresse URL du site du concurrent (TGI de Paris 29 janvier 2016, Sarl Un Amour de Tapis v/ WW E-Services France).

Jurisprudence : Les circonstances de l’affaire jugée
En l’espèce, la Sarl Un Amour de tapis-tapis pas cher est titulaire des marques enregistrées verbales et semi-figuratives « Un Amour de Tapis ». Elle commercialise des tapis à travers son site Internet à l’adresse www.unamourdetapis.com. En 2013 elle autorise la société WW E Services qui exploite le site Westwing.com, réputé pour ses ventes de produits de décoration intérieure et spécialement de tapis, à organiser sur Internet et pendant quatre jours une vente privée de tapis portant la marque Un Amour de Tapis.

La Sarl un Amour de Tapis s’est toutefois rendue compte que la société WW E Services avait quelques mois plus tard et sans autorisation, organisé une deuxième vente privée de tapis sous le signe « un amour de tapis » à l’adresse URL https://www.westwing.fr/un-amour-de-tapis-choisissez-votreclassique/.

Considérant que ces agissements étaient constitutifs d’actes de contrefaçon de marque, de concurrence déloyale et de parasitisme, la Sarl Un Amour de Tapis assigna le site WW E-Services devant le TGI de Paris. Elle demande au tribunal sur le fondement des articles L713-2 et suivants du CPI et 1382 du Code civil de condamner son adversaire à lui verser environ 60.000 euros de dommages-intérêts.

Nous nous arrêterons ici essentiellement sur l’action en contrefaçon de marque et la contrefaçon rappelons-le constitue selon l’article L716-1 du CPI une atteinte aux droits du propriétaire de la marque et engage la responsabilité civile de l’auteur de l’acte.

Les arguments avancés par la victime des actes de contrefaçon
La Sarl Un Amour de Tapis soutient préalablement que conformément à l’article L711-2 du CPI sa marque verbale « Un Amour de Tapis » enregistrée à l’INPI en classe 27 est distinctive et non descriptive du produit tapis puisqu’elle renvoie à une passion ou à un fantasme. Le mot « amour » qui est placé en attaque de l’ensemble « Un Amour de Tapis », n’est ainsi pas employé pour désigner des tapis et les autres produits de la classe 27.

S’agissant plus spécialement des actes de contrefaçon de sa marque par reproduction à l’identique et par imitation, la Sarl Un Amour de Tapis faisait constater par procès-verbal que le site Westwing.fr sur lequel se déroulait la vente en ligne comportait une adresse URL ainsi formulée : https://www.westwing.fr/un-amour-de-tapis-choisissez-votreclassique/. Sa marque est également reproduite dans le contenu de la page accessible à cette adresse, dans son code source et ses balises meta.

Le Sarl reproche en outre à WW E-Services d’avoir réservé auprès du moteur de recherche Bing le mot clé « unamourdetapis », reproduisant ainsi la marque dans l’annonce publicitaire diffusée par ce moteur de recherche ainsi que dans le nom de domaine de la page de renvoi.

Ces reproductions à l’identique et par imitation de sa marque génèrent selon la Sarl un risque de confusion chez le consommateur en ne lui permettant plus d’individualiser les produits de la Sarl Un Amour de Tapis.

Les arguments opposés par le contrefacteur
Pour sa défense la société WW E-Services prétend à l’irrecevabilité de l’action en contrefaçon. Elle soutient classiquement que la marque « un amour de tapis » n’est pas valable faute de distinctivité. Cette marque serait constituée de l’adjonction de deux termes usuels français « amour » et « tapis » et serait évocatrice des produits « tapis ». En conséquence les mots de la marque « un amour de tapis » seraient banals, même dans leur association, empêchant ainsi de conférer à son titulaire un droit de propriété sur cette marque pour les produits et services qu’il a désignés, ici les tapis.

La société WW E-Services soutient subsidiairement qu’elle n’a pas reproduit à l’identique la marque « un amour de tapis » dans l’adresse URL figurant sur son site, qu’au contraire, certaines différences signifiantes comme les tirets entre chaque mot (www.westwing.fr/un-amour-de-tapis-choisissez-votreclassique), permettent de faire la distinction avec la marque reprise. Elle prétend également que si elle a repris la marque considérée c’est sous forme de simple titre, pour servir d’annonce à la vente en ligne et non à titre de marque.

S’agissant de l’imputation relative à l’achat du mot clé «unamourdetapis » auprès de Bing, la société WW E-Services oppose « qu’elle ne peut être tenue pour responsable des outils automatiques de recherche des moteurs de recherche qui utilisent leur propre algorithme ». Elle ajoute enfin que la présence du signe « un amour de tapis » dans son code source ne peut constituer une contrefaçon de marque dans la mesure où il n’est pas visible et accessible à l’internaute.

Jurisprudence : Pour quelles raisons la marque « un amour de tapis » est jugée valable par le tribunal ?
Le tribunal rappelle en premier lieu qu’en présence d’une marque verbale composée de plusieurs termes, il convient d’en apprécier la validité, au regard des articles L711-2 et suivants du CPI, de manière globale et non pas au regard de ses éléments pris isolément. Les juges vont alors retenir que si le terme « tapis » contenu dans la marque est descriptif des produits considérés, il y a lieu en revanche de considérer que son association avec les termes « un amour de » enlève à l’ensemble son caractère descriptif, car ces termes ne sont pas habituellement employés et associés ensemble pour désigner des tapis.

Pour le tribunal le signe « un amour de tapis » présente ainsi un caractère parfaitement arbitraire par rapport aux produits désignés, ici les tapis, caractère arbitraire grâce auquel le public pertinent pourra identifier l’origine des produits et les distinguer de ceux des autres fournisseurs.

Plusieurs décisions du TGI de Paris ont déjà statué en ce sens et notamment celle relative à la marque Emailing France qui a été jugée valable du fait de l’ajout du mot France à celui d’emailing, mot générique à lui seul (TGI de Paris 24 mars 2009 SNDC et autres / Ludopia Interactive, Impact Net).

C’est donc une décision très satisfaisante pour la Sarl « Un Amour de Tapis » qui voit confirmer son titre et qui peut désormais prétendre à une protection par le droit de la propriété industrielle.

Jurisprudence : Pourquoi en l’espèce la contrefaçon de marque est-elle caractérisée ?
La question se posait au tribunal de savoir si l’adresse URL www.westwing.fr/un-amour-de-tapis-choisissez-votreclassique/ était ou non constitutive d’une contrefaçon à la marque « un amour de tapis » ? Du point de vue de la société WW E Services il n’y a pas de reproduction à l’identique de la marque puisqu’il existe des modifications signifiantes consistant en des rajouts de tirets entre les mots.

Or pour le tribunal au contraire la marque est clairement et entièrement reproduite à l’identique et les tirets entre les mots constituent des différentes insignifiantes. Il s’agit donc en l’espèce d’une reproduction servile de la marque d’autrui et dans ce cas selon le tribunal, point n’est besoin d’apporter la preuve d’un quelconque risque de confusion dans l’esprit du consommateur.

La difficulté est souvent grande pour le juge à caractériser l’atteinte à la marque et notamment lorsque la contrefaçon porte sur des détails qui peuvent passer inaperçus auprès du consommateur. L’appréciation est subjective et le juge prend en considération l’impression d’ensemble qui peut se dégager de la reprise de la marque pour décider s’il y a ou non risque de confusion.

La CJUE a fixé en la matière certaines règles à suivre : la comparaison entre les signes doit reposer sur une appréciation globale et doit se baser sur une impression d’ensemble produite par les marques (CJCE 22 juin 1999, Llyod, Aff. C-342/97). Dans le domaine du numérique, le juge s’attachera avant tout à comparer la similitude visuelle des signes et cela plus particulièrement lorsqu’une marque a été reprise dans un nom de domaine.

Ainsi, a été retenue une contrefaçon de marque à propos de la reprise du signe Monoprix par le signe Motoprix.com (CA de Versailles 20 oct. 2011, Propriété intellectuelle 2012 n°42 P.77). La Cour de cassation rappelle également que l’ajout d’un TLD à une marque ne permet pas de faire la distinction entre le nom de domaine et la marque : il n’est pas possible d’enregistrer le nom de domaine lezard-graphique.com car il existe déjà la marque verbale Lézard graphique (Ch. commerciale, 25 mars 2014 n°13-13690).

Dans la présente affaire la société WW E Services soutenait n’avoir utilisé la marque « un amour de tapis » dans son adresse URL que pour servir de titre à sa vente en ligne et non pas à titre de marque. Cet argument aurait pu prospérer car effectivement, selon la jurisprudence Arsenal de la CJCE, la contrefaçon ne peut être caractérisée que si l’usage de la marque par le supposé contrefacteur l’a été à titre de marque CJCE  Arsenal 12 nov. 2002 Aff. C206/01.

Or en l’espèce, dans la mesure où c’est précédée de l’indication www.westwing.fr, qu’apparaît la marque « un amour de tapis », on pouvait légitimement s’interroger sur cet usage de la marque : à titre d’annonce de la vente en ligne ou à titre de marque ? Mais le TGI relève à cet égard que s’agissant d’annoncer une vente de tapis, le site Westwing.fr aurait pu se contenter simplement d’indiquer dans l’URL de son adresse « vente de tapis ». Pour le tribunal, la reprise à l’identique de la marque ne faisait pas de doute et la preuve en est qu’il n’était pas même nécessaire « de qualifier un quelconque risque de confusion ».

En ce qui concerne la reprise de la marque dans le code source de la page web du site Westwing.fr, le tribunal n’y voit pas un usage contrefaisant de la marque. En effet, le signe n’est pas utilisé dans le code source pour désigner des produits et services et surtout il reste invisible et inaccessible à l’internaute.

Enfin, l’achat du mot clé « unamourdetapis » auprès de Bing est de nature à favoriser la confusion dans l’esprit de l’internaute puisqu’en cliquant sur le lien, ce dernier est automatiquement redirigé sur le site concurrent et non pas sur celui de la Sarl « Un Amour de Tapis ». Le risque étant celui d’attribuer une origine commune aux produits et services concernés.

La Sarl Un Amour de Tapis n’obtiendra pas gain de cause sur le terrain de l’action en concurrence déloyale et du parasitisme et se contentera d’une indemnisation de 8000.00 euros en réparation de son préjudice patrimonial résultant de l’atteinte à sa marque. Une nouvelle jurisprudence à intégrer.  (Par Maitre Antoine Chéron, avocat spécialisé en propriété intellectuelle et NTIC, fondateur du cabinet ACBM)

Technique et légalité des émulateurs de jeux vidéo

La nostalgie des années passées ne touche pas uniquement le monde de la mode ou de la musique !

La nostalgie des années passées ne touche pas uniquement le monde de la mode ou de la musique, celui de l’informatique et des jeux vidéo n’est pas en reste. Alors que les grandes entreprises informatiques et éditrices de jeux vidéo comme Sony ou Nintendo investissent des sommes colossales en R&D afin de mettre au point des appareils de haute technologie, il se développe un marché moins officiel qui est celui des logiciels émulateurs destinés à faire revivre des vieux jeux vidéo « abandonnés » par leurs éditeurs ou qui sont devenus commercialement obsolètes. L’émulateur est défini comme le logiciel ou programme permettant de simuler sur une machine le fonctionnement d’une autre. Plusieurs sites Internet proposent de rendre compatibles des ordinateurs récents avec d’anciens jeux vidéo. Les jeux vidéo d’une ancienne console qui ne fonctionnaient qu’avec des ordinateurs de l’époque (environnement MS-DOS) deviendront compatibles avec par exemple des périphériques graphiques, carte son et écran fonctionnant sous Windows XP.

Quid de la légalité des émulateurs au regard du droit d’auteur
Le développement de ce marché caché a fait si l’on peut dire des émules puisque Nintendo lui-même a stratégiquement choisi d’intégrer des émulateurs dans sa Wii, permettant à cette console d’accueillir des jeux édités pour d’anciennes consoles Nintendo. Mais si Nintendo dispose du droit de modifier ses propres logiciels, il n’en va pas de même du développeur qui sans aucun droit sur le jeu vidéo ou logiciel présent à l’intérieur de la console créé un programme permettant de simuler les composants du logiciel d’une console. En effet, modifier le Bios d’un logiciel constitue un acte de contrefaçon aux droits d’auteur portant sur ce logiciel. Cela est particulièrement vrai depuis l’arrêt de l’Assemblée plénière de la Cour de cassation du 7 mars 1986 considérant que le logiciel était une œuvre de l’esprit protégeable (protection du droit à la paternité et à l’exploitation de l’œuvre).

Mais qui sont les bénéficiaires de cette protection contre les actes de contrefaçon et ici singulièrement contre les logiciels émulateurs ?
Le droit d’auteur français étant un droit personnaliste, l’œuvre de l’esprit est relativement bien protégée et sauf les exceptions du droit à la décompilation, des logiciels libres ou lorsqu’il y a eu renoncement aux droits d‘auteur, ces œuvres ne sont jamais libres de droits durant le temps de protection prévu par l‘article L.123-1 du Code de la propriété intellectuelle (qui est de 70 ans après le décès de l’auteur de l‘œuvre).

Peu importe par conséquent les doutes récurrents en jurisprudence sur la qualification juridique à retenir du logiciel. Qu’il s’agisse d’une œuvre collective (bien souvent une personne morale en est l’instigatrice) ou d’une œuvre de collaboration entre plusieurs auteurs, les droits d’auteur sur le logiciel sont garantis pendant 70 ans après le décès de l’auteur. Ce droit d’exclusivité profitera donc aux ayants droits de chacun des auteurs en cas de qualification d’œuvre de collaboration du logiciel. Ce droit de protection bénéficiera également en cas de qualification d’œuvre collective du logiciel aux associés d’une entreprise ayant cessé son activité pour une raison quelconque (départ en retraite du dirigeant, liquidation etc…).

Il en résulte donc que les développeurs d’émulateurs ne pourront pas en cas de contentieux, invoquer devant le juge le décès de l’auteur ou l’abandon par une société éditrice de ses droits sur le logiciel reproduit. Tout acte de reproduction du logiciel ou de ses composants est  normalement soumis à l’autorisation de l’éditeur en vertu de l‘article L.122-6 du Code de la propriété intellectuelle.

Justification de l’émulateur par l’exclusivité de décompilation ?
La seule possibilité envisageable en cas de litige reste celle de l’exclusivité de décompilation prévue à l’article L.122-6-1 du CPI, exception légale aux droits d’auteur prévue afin de garantir une concurrence saine entre éditeurs de logiciels en permettant une interopérabilité entre différents logiciels. Les conditions de mise en œuvre de ce droit à décompilation sont très strictes et il est peu probable que les émulateurs de logiciels puissent entrer dans cette exception.

Décompiler un logiciel (ou ingénierie inverse) consiste à le désassembler afin d’en connaître les données et les instructions qui en permettent le fonctionnement, en vue de retraduire le code objet pour remonter au code source. Toutefois, entre les différentes phases de conception et les éléments qui composent le logiciel, il est difficile de déterminer ce qui est protégeable par le droit d’auteur. Si les fonctionnalités d’un logiciel ne sont pas protégeables selon la Cour européenne (CJUE, 2 mai 2012,  SAS Institute Inc. c/ World Programming Ltd), les travaux préparatoires de conception du logiciel tels que les plans électroniques sont eux susceptibles d’une protection par le droit d’auteur.

L’une des conditions essentielles pour décompiler légalement est d’être un utilisateur légitime du logiciel. La cour d’appel de Paris a rappelé que les développeurs de linkers, dispositifs permettant de lire des jeux vidéo piratés sur la console DS de Nintendo, étaient responsables d’actes de contrefaçon au motif pris qu’ils n’étaient pas des utilisateurs légitimes (Paris, 26/09/2011 affaires Nintendo).

L’émulateur de logiciel n’est donc pas en harmonie avec le droit d’auteur sauf lorsque les auteurs, éditeurs ou les ayants droits de ces derniers ont manifesté leur volonté de ne plus exploiter leurs droits et hormis ce cas, on est en présence d’actes de contrefaçon en cas de reproduction du logiciel ou de décompilation à d’autres fins que celle d’interopérabilité. (Par Maitre Antoine Chéron, avocat spécialisé en propriété intellectuelle et NTIC)

Le législateur mécontente Google dans son renforcement des droits des internautes

Le projet de loi pour une République Numérique parviendra-t-il enfin à faire plier Google ? Les pratiques controversées de ce géant américain ne finiront pas de faire couler de l’encre. Le projet de loi, porté par Axelle Lemaire, pourrait bien contribuer à y remédier au regard des inquiétudes formulées par le directeur général de Google France.

Ce dernier considère en effet que le projet de loi présente un risque « d’inflation règlementaire » lié aux différences entre ce dernier et la jurisprudence européenne. Il est vrai que ce texte instaure une législation plus contraignante à l’égard de Google que ce qui est actuellement prévu au niveau européen. De cette manière, il garantit aux internautes une protection accrue.

Il créé à charge des plateformes une obligation de loyauté à l’égard des internautes, laquelle consiste notamment à donner davantage de lisibilité à leurs conditions générales. Ces dernières seront tenues de faire apparaitre clairement l’existence d’une relation contractuelle ou de liens capitalistiques avec les personnes référencées, ainsi que l’impact de cette relation sur le classement des contenus. Ce faisant, le gouvernement souhaite encourager la transparence des pratiques sur la toile et notamment celles très contestées de Google au regard du droit au respect de la vie privée des utilisateurs.

De plus, ce projet de loi met en place un droit à la portabilité c’est-à-dire le droit pour toute personne de récupérer ses données auprès des prestataires de services numériques en vue de les transférer à d’autres prestataires. Il consacre également le principe de la « mort numérique » selon lequel toute personne a le droit de décider par avance du sort de ses données en cas de décès. Il prévoit par ailleurs la mise en place d’une procédure accélérée pour le droit à l’oubli des mineurs. Ainsi, il redonne à l’internaute la possibilité de gérer ses données à sa guise et de ne plus en être dépossédé par le moteur de recherche.

L’ensemble de ces mesures s’inscrit dans le prolongement de l’arrêt du 13 mai 2014 de la CJUE reconnaissant le droit à l’oubli (CJUE, C-131/12 Google Spain SL, Google Inc./ Agencia Espanola de Proteccion de Datos, Mario Costeja Gonzalez, 13 mai 2014). Depuis lors, Google est tenu de retirer tout contenu portant atteinte à la vie privée de l’internaute qui en fait la demande. Toutefois, Google a réussi à nouveau à passer à travers les mailles du filet à partir du moment où il est seul juge de l’illicéité du contenu.

Plus généralement, le projet de loi porte atteinte au monopole de Google en contribuant à inverser la répartition du marché du numérique au profit des « petites entreprises ». Une question reste en suspens… quel moyen trouvera Google pour contourner ce dispositif ? (Par Maitre Antoine Chéron, avocat spécialisé en propriété intellectuelle et NTIC)

La CNIL lance un ultimatum à Facebook

Le leader mondial des réseaux sociaux tant décrié pour ses pratiques en matière de données à caractère personnel, va-t-il enfin plier face à la CNIL ? Le G29 est à l’assaut de Facebook depuis mars 2015. La France est la première à se prononcer sur le cas du site internet. (Par Maitre Antoine Chéron, avocat spécialisé en propriété intellectuelle et NTIC)

Dans une décision du 26 janvier 2016, la CNIL a mis en demeure Facebook de se conformer à la loi Informatique et Libertés du 6 janvier 1978. Eu égard à « la gravité des manquements constatés et de l’atteinte consécutive aux intérêts et libertés fondamentaux des personnes concernées », la CNIL a choisi d’en faire la publicité.

Elle reproche tout d’abord à Facebook, de suivre la navigation des internautes non-titulaires d’un compte, sur des sites tiers. Pour ce faire, le réseau social dépose un cookie sur le terminal de chaque personne ayant visité une page Facebook publique. L’article 32-II de la loi Informatique et Libertés dispose que la mise en place de cookies sur le terminal d’un utilisateur implique le consentement préalable de ce dernier, ce qui n’est pas le cas en l’espèce.

Il est également fait grief au réseau social de ne pas recueillir le consentement exprès des internautes au moment de la collecte et du traitement des données relatives à leurs opinions politiques ou religieuses, et à leur orientation sexuelle. S’agissant de données sensibles, Facebook aurait dû solliciter de la CNIL une autorisation antérieurement à la réalisation dudit traitement ou de la personne concernée son consentement.

De plus, elle relève que le site internet ne met pas à disposition des utilisateurs un mécanisme qui permettrait à ces derniers de s’opposer à la combinaison des données à caractère personnel à des fins publicitaires. Or, un tel traitement de données est soumis à l’article 7 de la loi Informatique et Libertés qui prévoit qu’à défaut d’obtenir le consentement de la personne concernée, le traitement n’est autorisé que s’il entre dans l’une des situations ci-après énoncées : s’il est effectué dans le respect d’une obligation légale incombant au responsable du traitement ; pour sauvegarder la vie de la personne concernée ; dans le cadre de l’exécution d’une mission de service public ; en vue de l’exécution d’un contrat ou de mesures précontractuelles ; si le responsable du traitement poursuit un intérêt légitime. La Politique d’utilisation des données de Facebook précise que l’utilisation des données à leur disposition permet de présenter des publicités pertinentes. Le traitement qu’elle réalise est donc contraire à l’article précité.

Enfin la CNIL constate que Facebook continue à transférer les données provenant de l’Union européenne vers les Etats-Unis sur la base du Safe Harbor, lequel a été invalidé le 6 octobre 2015 par la Cour de justice de l’Union européenne. Depuis lors, il n’est plus possible aux entreprises de procéder à des transferts de données à caractère personnel sur le fondement dudit accord. Cependant, le 3 février dernier le G29 a déclaré que les entreprises pourraient dans l’attente de l’entrée en vigueur  l’« EU-US Privacy Shield » (ou « bouclier de l’Union européenne et des Etats-Unis pour la protection de la vie privée »), continuer à exporter les données des citoyens européens vers les Etats-Unis sans être inquiétées. Il semblerait donc que Facebook ne sera pas sanctionné sur ce point.

Le réseau social a trois mois pour adopter les mesures propres à pallier ce défaut de conformité à la loi Informatique et Libertés. Passé ce délai, la présidente de la CNIL pourra désigner un rapporteur. Ce dernier peut être amené le cas échéant à proposer à la formation restreinte de la CNIL, le prononcé d’une sanction à l’encontre de Facebook.

Parallèlement, les autres CNIL du G29 (Belgique, Allemagne, Espagne et Pays-Bas) continuent leurs investigations. D’autres mises en demeure et sanctions pourraient bientôt tombées. [En Belgique, par exemple, les cookies FB ne peuvent plus suivre les Belges, ND DataSecurityBreach.fr]

Les backdoors constituent le graal des pirates informatiques

A l’occasion du Forum international sur la cybercriminalité, le gouvernement a réaffirmé sa prise position contre la mise en place d’une « porte dérobée » (dites « backdoor ») dans les logiciels. Décision qu’il convient de saluer dès lors que l’adoption d’une telle mesure aurait conduit au développement du piratage informatique.

Suite aux attentats de Paris, le débat sur le cybersécurité oscillait entre renforcement du chiffrement des données ou mise en place systématique des « portes dérobées » (dites « backdoors ») au sein des logiciels. Il semblerait que le gouvernement ait tranché en faveur du premier, à l’aune du gouvernement néerlandais et à contrecourant notamment de la Chine et de la Grande-Bretagne.

Ces techniques ont pour finalité la lutte contre le terrorisme, via des moyens diamétralement opposés. En effet, dans le premier cas il s’agit d’assurer une protection renforcée des données des citoyens, des entreprises et de l’Etat en vue de limiter l’espionnage. Tandis que, dans le second cas il s’agit de faciliter le décryptage des données appartenant à des organisations terroristes en permettant l’introduction d’une faille au sein de l’ensemble des logiciels.

Pour un renforcement du chiffrement des données

L’article 29 du projet de loi pour une République Numérique confère à la CNIL une nouvelle mission consistant à promouvoir le chiffrement des données. Dans un entretien accordé à l’AFP, Guillaume Poupard, président de l’Agence Nationale de Sécurité des Systèmes Informatiques, confirme que le chiffrement est « un outil indispensable » à la protection des données commerciales, personnelles et stratégiques, et qu’en ce sens il est nécessaire de le promouvoir.

La volonté du gouvernement d’encourager le cryptage des données aura très probablement pour effet le perfectionnement de logiciels créés à cette fin en raison de leur utilisation massive, y compris par les organisations terroristes.

Contre la mise en place de backdoors

La Secrétaire d’Etat au Numérique, Axelle Lemaire, a fait rejeté un amendement au projet de loi pour une République Numérique déposé par Nathalie Kosciusko-Morizet visant à imposer aux concepteurs de systèmes de communication la création d’une backdoor.

Selon Guillaume Poupard, une telle mesure aurait eu pour conséquence d’exposer les logiciels à davantage de vulnérabilités facilitant ainsi le piratage informatique réprimé aux articles 323-1 et suivants du Code pénal. Ces dispositions incriminent l’accès et le maintien dans tout ou partie d’un système informatique, ainsi que l’extraction de données.

Pour ma part, la mise en place systématique d’une backdoor rendrait impossible la condamnation de tels faits au regard du mouvement jurisprudentiel actuel. En effet, le juge écarte l’application des dispositions précitées dès lors que l’accès dans un système informatique ne présentant aucune restriction (code utilisateur, mot de passe) a été rendu possible par l’existence d’une faille de sécurité (CA Paris, 5 février 2014 dite affaire « Bluetouff »).

Par Antoine CHERON, avocat associé, est docteur en droit de la propriété intellectuelle, avocat au barreau de PARIS et au barreau de BRUXELLES et chargé d’enseignement en Master de droit à l’Université de Assas (Paris II).

Attaque informatique de masse à l’encontre de l’Irlande

Une attaque informatique de masse, de type DDoS, a mis au tapis plusieurs sites du gouvernement Irlandais.

Étonnante attaque,  la semaine dernière, que celle vécue par le gouvernement Irlandais. Un certain nombre de portails gouvernementaux ont été contraints de se déconnecter du web en raison d’une cyberattaque à grande échelle. Des services tels que le Central Statistics Office, the Oireachtas ( l’ensemble du corps législatif irlandais), le Ministère de la Justice, de la Défense, ainsi que la cour de justice d’Irlande ont bloqués par des Dénis Distribués de Service, des DDoS.

Des connexions pirates, par millions, lancées par des robots malveillants contrôlés par des inconnus. L’attaque n’a pas été revendiquée, du moins officiellement et publiquement. Quelques jours plus tôt, la Loterie Nationale avait connu une panne de deux heures à cause d’une attaque similaire. Un moyen pour des pirates, du type de ceux arrêtés il y a quelques jours [DD4B], de montrer leur force de frappe à de potentielles victimes prêtes à payer pour ne pas être bloqués ?

République numérique : 148 amendements et sécurité des données

148 amendements, sur 899, adoptés en première lecture du projet de loi pour une République numérique à l’Assemblée nationale.

La première lecture du projet de loi pour une République numérique à l’Assemblée nationale s’est achevée dans la nuit de jeudi 21 à vendredi 22 janvier 2016.  Au terme de trois jours de débats, 148 amendements ont été adoptés sur les 899 déposés par les parlementaires et le Gouvernement dont :

–       59 amendements ont été adoptés pour le titre I, consacré à la libre circulation des informations et des savoirs.
–       50 amendements adoptés pour le titre II, consacré à la protection des droits des citoyens en ligne.
–       39 amendements ont été adoptés pour le titre III, consacré à l’accès de tous à Internet.

Parmi les nouvelles mesures adoptées à l’occasion de ce débat parlementaire :

–       L’encouragement des administrations publiques à l’utilisation des logiciels libres.
–       La pénalisation des actes de vengeance pornographique sur internet, avec des peines pouvant aller jusqu’à 2 ans de prison et 60 000€ d’amende.
–       Le renforcement des pouvoirs de la Commission Nationale de l’Informatique et des Libertés (CNIL), qui pourra désormais sanctionner jusqu’à hauteur de 20 millions d’euros et 4% du chiffre d’affaires les entreprises ne respectant pas leurs obligations quant à la protection des données personnelles.
–       La protection pénale des lanceurs d’alerte qui détectent des failles de sécurité dans les systèmes informatiques.
–       L’introduction d’un droit de panorama pour les photographies de particuliers à but non lucratif de monuments ou bâtiments publics, respectueux du droit des auteurs
–       Le Gouvernement devra publier un rapport sur la nécessité de créer une consultation publique en ligne pour tout projet de loi ou proposition de loi avant son inscription à l’ordre du jour au Parlement

Pour Axelle LEMAIRE : « la qualité des débats, à l’occasion de l’examen du projet de loi pour une République numérique, a montré la prise de conscience aiguë des députés sur les enjeux majeurs de ce texte législatif pour l’avenir de l’économie et de la société numérique. Les travaux de l’Assemblée nationale s’inscrivent en pleine cohérence avec la volonté du Gouvernement de poser les fondements d’une République numérique ouverte, propice au partage des savoirs, à l‘innovation et au développement de l’économie numérique, protectrice des droits des citoyens et accessible à tous, dans tous les territoires. »

Mardi 26 janvier 2016, à 16h15, les députés procèderont au vote solennel du texte législatif.

Mamie veut récupérer le mot de passe de l’iPad de son défunt mari

Une grand mère souhaite pouvoir utiliser l’iPad de son défunt mari. Apple lui réclame une ordonnance du tribunal pour récupérer le mot de passe.

Je ne sais pas pour vous, mais l’affaire qui vise Peggy Bush, une grand mère canadienne de 72 ans et Apple me fait dire que la manipulation de l’opinion publique au sujet des mots de passe des téléphones et tablettes vient de débuter une nouvelle phase.

Je m’explique. La petite dame a perdu son mari. Décédé, monsieur est parti avec le mot de passe qui permet d’accéder à l’iPad familial. Bilan, la veuve a demandé à Apple le précieux sésame. Réponse de la firme américaine, la dame doit obtenir une ordonnance du tribunal pour récupérer le mot de passe de son défunt époux. « J’ai pu obtenir des pensions, des avantages du gouvernement fédéral. Mais d’Apple, je ne pouvais  pas obtenir un mot de passe ridicule. »

L’opinion public manipulé ? Imaginez le tollé. Apple, refuse d’aider une grande mère. Vite une loi pour faire plier les sociétés à fournir le mot de passe demandé par les familles. Pour finir l’histoire, Peggy ne voulait pas récupérer des photos sur la tablette… elle veut jouer aux jeux installés sur l’iPad.

Avouons aussi que ce problème sera de plus en plus récurant. Nous allons tous mourir laissant derrière nous mots de passe de sites web, forums, réseaux sociaux, smartphones… Comme j’ai déjà pu l’écrire sur le site zataz, il va falloir penser à se rapprocher de son notaire pour sauvegarder les précieux et les rendre disponibles aux proches parents.

Un plan secret pour couper le signal des téléphones en cas de crise

Le Homeland Security américain travaille sur un plan secret dédié à bloquer les services de communication cellulaire en situation d’urgence.

Pour étouffer une manifestation dans les rues de San Francisco, le Homeland Security, le service dédié à la sécurité sur le sol de l’Oncle Sam, a utilisé un « kill switch » pour empêcher toutes les communications via les téléphones portables. Les procès intentés par l’Electronic Privacy Information Center viennent de démontrer un plan secret du Department of Homeland Security (DHS) qui s’est donné comme possibilité de couper les services de communication à travers des villes entières, ou sur des domaines spécifiques. Un plan qui demeure inconnu. Les actions judiciaires n’ayant pas encore réussi à faire déclasser l’outil numérique de contrôle de masse utilisé. Le dernier commentaire en date de la justice US stipule que la cour suprême confirme que le DHS n’a pas à divulguer le contenu complet de son Standard Operating Procedure 303 [SOP 303]. Une action de blocage utilisé à Boston, en avril 2013.

Sous la direction du Comité consultatif sur les télécommunications de la sécurité nationale, SOP 303 permet la fermeture des réseaux sans fil « dans une zone localisée, comme un tunnel ou un pont, et au sein de toute une région métropolitaine.

Des hôtels de luxe Français visés par un piratage informatique

Je vous révélais, en décembre 2015, une attaque massive à l’encontre d’hôtels de luxe. Un piratage qui a visé, en France, Le Hyatt Regency Paris Étoile, le Hyatt Paris Madeleine et le Grand Hyatt Cannes Hôtel Martinez. Des stars dans les données volées ?

Après les Hôtels Sheraton, Hilton et Le Méridien, c’est au tour du groupe hôtelier Hyatt d’être la cible d’une attaque informatique. Des pirates ont infiltré les machines en charge de la gestion du système de paiement de ses sites Internet du groupe hôtelier. Hyatt vient de diffuser les conclusions de son enquête interne. 250 hôtels ont été piratés dans 54 pays. Une attaque massive entre le 13 août et le 8 décembre 2015. Trois hôtels Français ont été touché (du 13 août au 14 octobre 2015) : le Hyatt Regency Paris Etoile, le Hyatt Paris Madeleine et le Grand Hyatt Cannes Hôtel Martinez.

Alors qu’en décembre 2015, Hyatt indiquait ne pas savoir si des données bancaires avaient été touchées. Un mois plus tard, il a été confirmé le vol, via les terminaux de paiement de restaurants, spas, parking, réceptions… des noms, numéros de carte bancaire, dates d’expiration, CVV, codes de vérification interne.

Fraude : Pôle Emploi diffuse de fausses annonces

Devenir chauffeur, recevoir un chèque à débiter et renvoyer l’argent liquide par Wester Union ? Bienvenue dans les petites annonces pirates diffusées par Pôle Emploi.

Les fraudes à l’emploi, via Internet sont légions. Je vous en parle malheureusement très souvent. Elles prennent différentes formes : faux contrat de gestion de colis. Des objets volés ou acquis avec des CB piratées. Les colis sont à renvoyer à une adresse donnée (DropBox) au dernier moment, par le pirate. Gestion de fausses commandes. L’employé reçoit de l’argent sur son compte en banque. L’escroc explique qu’il provient de commandes de clients d’un « grand distributeur international de produits de créateurs ». Il s’agit surtout de fraudes bancaires [Phishing, CB piratée, cyber boutiques pillées…). Le pigeon doit renvoyer un pourcentage en liquide, par Western Union. Bref, la fausse offre d’emploi permet aux voleurs d’amadouer sa victime. Il lui communique un chèque à déposer en banque. La cible doit renvoyer la liquidité par un procédé choisi par le pirate. Le chèque est faux ou sans provision.

De la Mule à l’âne, il n’y a qu’un pas

En plus de devenir une « mule » en blanchissant de l’argent volé et de participer à une escroquerie en bande organisée, l’internaute piégé par ce type d’escroquerie met aussi ses informations personnelles en danger. En fournissant des renseignements privés comme son compte bancaire ou la photocopie de son passeport. L’activité de la « mule » consiste à accepter des transferts d’argent sur son compte personnel. La victime utilise ensuite les services de transfert de fonds comme la Western Union pour envoyer l’argent vers une supposée adresse d’entreprise, en Europe de l’Est, à Hong-Kong ou simplement en Belgique. L’ « employé » conserve un certain pourcentage sur le montant du transfert, généralement entre 3% et 5%, comme commission pour le service. L’opportunité d’embauche proposée dans ces emails est alléchante : travailler comme agent financier ou chef de transaction, pour quelques heures par semaine seulement et à partir de son domicile, contre une rémunération élevée. Une fois l’argent en route vers l’étranger, la victime escroquée n’a quasiment plus aucune chance de récupérer son argent. Lorsque la fraude est découverte, ce sont les blanchisseurs d’argent, les mules insouciantes, qui reçoivent les demandes de dommages et intérêts et/ou les lettres de l’accusation. Sans parler de la visite des « Amis du petit déjeuner« . Bref, de la Mule à l’âne, il n’y a qu’un pas.

Fausse annonce, faux chèque, vraie arnaque

C’est cette dernière possibilité qui a touché plusieurs demandeurs d’emploi du nord de la France. Un habitant de la région Lilloise a répondu, par exemple, à une petite annonce diffusée par Pôle emploi. La mission, devenir chauffeur de maître pour une famille Suisse qui doit s’installer quelques temps en France. L’arnaque est simple, mais efficace. Pour louer la voiture dédiée à ce travail, l’escroc envoie un chèque à sa victime. Le document bancaire, d’un montant variant de 2000 à 3000se, doit permettre de louer la voiture. La cible le dépose donc sur son compte en banque. Le surplus d’argent doit être renvoyé, par Wester union. Le voyou 2.0 vient de récupérer des euros sonnants et trébuchants. La personne piégée se retrouve avec un énorme trou dans son compte en banque. Sans parler de la location de la voiture, que les escrocs pourront récupérer et utiliser à d’autres fins que les vacances !

Comment les repérer ?

Pôle Emploi, qui dans le Nord de la France ne semble pas vérifier l’intégralité de ces offres comme l’indique la Voix du Nord du 5 janvier 2016, donne quelques clés pour ne pas être piégés. Parmi les propositions : Ne donnez jamais vos données personnelles à un inconnu (votre numéro de sécurité sociale, le numéro de permis de conduire, votre RIB, numéros de compte, de carte bancaire, accès de connexions, etc.). Tout recruteur qui vous demanderait ce type d’information, avant même de vous avoir rencontré, doit être considéré comme suspect ; protégez votre ordinateur ou votre périphérique en installant antivirus et pare-feu ; n’envoyez pas d’argent à un employeur potentiel ; Ne versez aucune somme d’argent en échange d’un contrat de travail potentiel ; N’acceptez aucune rétribution, de quelque nature que ce soit, de votre futur employeur tant que vous n’avez pas signé le contrat de travail [Attention, j’ai pu croiser de faux contrats de travail. Bannissez les entreprises inconnues, basées à l’étranger, NDR) ; Ne poursuivrez pas la communication si vous doutez de l’honnêteté de votre interlocuteur. « N’hésitez pas à demander toute précision qui vous semble utile afin de vous assurer que l’offre proposée est bien réelle et sérieuse » termine Pôle Emploi sur son site web.

Dans le quotidien nordiste, l’une des victimes indique cependant n’avoir reçu aucune réponse à ses demandes insistantes sur le sérieux d’une des annonces « J’ai contacté mon conseiller pour demander si une vérification est faite sur le sérieux des offres. Je n’ai jamais obtenu de réponse. »

En cas de fraude ou d’abus de ce type, n’hésitez pas à contacter la rédaction de ZATAZ.COM via leur protocole d’alerte sécurisé ou encore Info Escroquerie au 0 811 02 02 17 ou via le site Internet internet-signalement.gouv.fr.

Le Royaume-Uni veut stocker l’historique Internet des utilisateurs

Un pas de plus dans les idées nauséabondes de cyber surveillance. Le législateur britannique se penche sur une idée folle, garder en mémoire l’historique Internet des utilisateurs.

Imaginez, dans 20 ans, n’importe quelle personne autorisée (ou non) pourra connaitre vos habitudes de surfs. Votre passion à visiter Cam4 et autres Youporn. De troller comme un sauvage dans Call of Duty. De passer votre temps à regarder des chats sur la toile. De la science fiction ? Le gouvernement
Britannique se penche depuis novembre sur une nouvelle loi, légitimant la cyber surveillance de masse. Bref, une loi qui doit autoriser et légaliser ce que faisait déjà les 007 locaux depuis les années 60.

Par exemple, l’article 94 de la Loi sur les télécommunications élargit les capacités de surveillance. Les
FAI auront obligation de stocker la liste de tous les sites que les internautes britanniques ont visité lors des 12 derniers mois. Ils vont bien finir par imposer la communication des bookmarks à ce rythme là !

Pour répondre à la communication de masse du gouvernement de David Cameron, l’association dédiée à la protection des droits de l’homme Open Rights Group lance une opération de crowdfunding pour récolter 20,000 livres sterling afin de communiquer, elle aussi, sur ces aberrations législatives.

En 2014, l’Europe indiquait déjà la disproportion de certains articles de loi dédiés à la surveillance de masse des sujets de sa Gracieuse Majesté. En juillet 2015, la Haute Cour du Royaume-Uni a également statué que la loi DRIPA, l’état d’urgence britannique depuis 2014, poussée par le parlement sans aucun examen approprié, était illégale selon le droit européen lié aux droits de l’homme.

Protéger son site web c’est possible, même s’il s’agit d’un site « banal ».

Consciemment ou pas, il est toujours plus aisé de s’inspirer du travail des autres que de créer ex-nihilo son propre site web (tant en termes d’apparence que de process ou de fonctionnalités). Pour autant, la frontière entre l’inspiration et la reproduction est parfois mince et souvent génératrice de risques. D’autant plus que l’actualité judiciaire attire notre attention sur la faculté ouverte aux entreprises d’empêcher la reproduction des éléments de leurs sites, au-delà de la protection classique par la propriété intellectuelle.

Lorsqu’il s’agit de protéger une création, le premier reflexe est d’avoir recours à la protection au titre des droits d’auteurs. Un site Internet est effectivement une œuvre de l’esprit au sens du code de la propriété intellectuelle et entre donc dans le champ d’application de la protection.  Mais, pour bénéficier de cette protection, le site web doit nécessairement revêtir un caractère original, c’est-à-dire refléter la personnalité de son auteur.

Dans les faits, une telle originalité peut être caractérisée lorsque les différents éléments du site sont combinés selon une certaine présentation qui procède d’une recherche esthétique (non imposée par un impératif fonctionnel), conférant au site une physionomie particulière le distinguant d’autres sites du même secteur d’activité et révélant un effort créatif. Dans une telle situation, le titulaire des droits peut envisager une action sur le fondement de la contrefaçon. Cependant, l’expérience nous montre que peu de sites web sont en mesure de démontrer une telle originalité. Et, fort de ce constat, nombreux sont ceux qui pense pouvoir s’approprier le travail des autres sous prétexte qu’il n’est pas original. Mais, l’actualité judiciaire nous montre que d’autres actions sont envisageables, et permettent de protéger efficacement un site internet même s’il n’a rien d’original.

L’essor de la protection du site internet par l’action en parasitisme
Pour mémoire, le parasitisme vise un comportement économique par lequel une personne s’immisce dans le sillage d’une autre afin de tirer profit, sans en supporter les coûts, de ses efforts et de son savoir-faire, et ce indépendamment de tout risque de confusion. Fondée sur la responsabilité délictuelle, l’action en parasitisme permet de protéger la valeur économique de son travail et notamment de son site internet. Or, sur ce fondement juridique, le caractère original ou non du travail n’a aucune importance. Le Tribunal de Commerce de Paris vient de l’affirmer clairement dans une décision du 28 septembre 2015 : le parasitisme économique d’un site internet peut être retenu malgré l’existence de sites ressemblant à celui objet du litige ou malgré son caractère banal.

Ce jugement précise également que cette protection ne concerne pas seulement l’aspect esthétique du site, mais également son fonctionnement (cheminement de la commande, choix des messages, paiements et modes de livraison, …).

Rappelons en outre que le Tribunal de Commerce de Paris a déjà jugé que reproduire (ou même s’inspirer) les conditions générales de ventes d’un site Internet, sans la moindre contrepartie financière est un acte de parasitisme (jugement du 22 juin 2012). Si aucune originalité n’est à démontrer, il faut néanmoins pouvoir prouver que les éléments copiés ont résulté d’un véritable travail et ont engendré un coût de réalisation. Il n’est évidemment pas possible de reprocher à un concurrent de s’approprier un actif que l’on a soit même obtenu sans effort, sans coût. L’action en parasitisme est en plein essor dans le cadre de notre activité judiciaire notamment car sa mise en œuvre est aisée pour celui qui maitrise le sujet. Il est donc très important d’être conscient de cette situation et être attentif sur le sujet. Ce qui peut se traduire en pratique à se poser régulièrement la question suivante : les éléments objet d’une inspiration, outre leur originalité éventuelle, ont-ils pu engendrer un réel coût de développement ? … (Maitre Jérémie Courtois du Cabinet Cornet Vincent Segurel – bureau de Lille)

Google en sait plus sur les enfants que leurs propres parents

De plus en plus d’écoles publiques utilisent les outils gratuits de Google. Bilan, le géant américain de l’Internet en sait plus sur les enfants que les parents d’élèves.

L’inquiétude monte chez certains parents d’élèves américains. Mais soyons honnêtes, il est trop tard. Dans de nombreuses écoles publiques à travers le pays, Google est devenu, techniquement, un collecteur de données légitime, un « school official » pour la loi US. Il faut dire aussi que l’attrait des enseignants à exploiter les suites gratuites de logiciels Google se fait de plus en plus grand.

Logiciels comme Picasa et autres ordinateurs bon marché dont l’OS tourne sous Chrome. La domination croissante de la société suscite de graves inquiétudes chez certains défenseurs de la vie privée qui prétendent que Google utilise des données sur les étudiants pour son propre bénéfice.

La loi américaine exige que les écoles obtiennent le consentement écrit des parents avant de partager des informations personnelles sur les enfants. Mais il y a une exception qui a de quoi inquiéter, aux USA, mais aussi en France et partout dans le monde. Le partage des données avec un « school official » est autorisé aux USA à la condition ou ce dernier a un « intérêt éducatif légitime« . Seulement, le Ministère de l’Éducation a interprété et a modifié la loi au cours des dernières années de manière à permettre maintenant à presque tout individu ou organisation, qui indique proposer une « fonction éducative« , de devenir un « school official« . Bilan, Google et ses outils s’invitent dans les établissements et engrangent des milliards de données sur les élèves et leurs « comportements » numériques sans que les établissements, ni les parents, ne puissent contrôler les informations sauvegardées. De son côté, Google rappelle qu’il est fermement engagé à protéger et sécuriser la vie privée des élèves. (WP)

Attaque électronique contre le site de la BBC

La prestigieuse BBC attaquée le 31 décembre par un DDoS violent qui a bloqué durant quelques heures ses sites et espaces de travail.

Un DDoS, lancé jeudi 31 décembre au matin, a bloqué le média britannique BBC durant plusieurs minutes. Une attaque qui a empêché, en interne, de fournir la moindre information sur le site officiel de l’antenne médiatique publique Anglaise. L’ensemble de ses services : replay, mails… étaient injoignables pour le public, comme pour les employés.

Qui derrière ce DDoS ? Plusieurs choix possibles allant du « piratin » qui teste un outil de Dénis Distribués de Services qu’il a loué ; un propagandiste de Daesh. Les choix sont tellement nombreux !

A noter que le site avait encore de sérieux ralentissement en ce 2 janvier. Une attaque qui change de celle orchestrée contre la British Broadcasting Corporation, en décembre 2013, par les pirates Hash et Rev0lver. Ces derniers avaient réussi à mettre la main sur les identifiants de connexion de ftp.bbc.co.uk. Un espace qui permettait aux journalistes et annonceurs de télécharger leurs contenus. Un an auparavant, un pirate iranien s’était invité dans l’espace « Perse » de la BBC [http://www.bbc.com/persian/].

Pour répondre à savoir qui est derrière l’attaque, une piste, qui reste cependant très « lol! ». Le journaliste Rory Cellan-Jones a reçu le message d’un groupe baptisé New World Hackers. Les « pirates » indiquent avoir testé leurs capacités opérationnelles sur le site de la BBC pour, ensuite, lutter contre Daesh ! « Ce n’était qu’un test. Nous n’avions pas l’intention d’empêcher son fonctionnement pendant plusieurs heures« .

A noter que les mêmes zouaves ont attaqué le site de Donald Trump, un autre extrémiste, mais à mille lieux de Daesh ! Bref, ils ont acheté des minutes DDoS et s’en servent !

Chantage informatique saveur Macaron

Une entreprise de Montmorillon piratée. Sa base de données volée. Les pirates ont tenté de faire chanter la PME spécialisée dans les Macarons.

Les amateurs de Macarons connaissent l’artisan Rannou-Métivier. Cette entreprise familiale basée à Montmorillon, dans la région de Poitiers, est spécialisée dans cette petite gâterie sucrée qu’est le macaron. Des pirates informatiques ont jeté leur dévolu sur le site Internet de la société. Une faille SQL plus tard et les malveillants sont repartis avec la base de données [BDD].

Une BDD comprenant les informations clients : mails et mots de passe. « Notre service informatique a immédiatement réagi pour renforcer la sécurité du site. Cependant, des données ont déjà été volées » souligne dans le courriel envoyé aux clients de Rannou-Métivier. Les pirates ont réclamé de l’argent à la société. En contre partie, les voyous du web ne diffuseraient pas les informations collectées. Depuis, le chiffrement des sésames a été instauré, espérons juste que cela n’est pas un modeste format MD5 et que les pirates ne diffuserons pas les informations volées.

Une attaque qui démontre une fois de plus l’intérêt des base de données pour le blackmarket. Si cette derniére ne peut-être vendue, ce qui ne veut pas dire  que les données n’ont pas été diffusés dans le BM, les pirates n’hésitent plus à contacter les victimes pour « dealer » une rançon. L’année derniére, le groupe Rex Mundi s’était spécialisé dans ce type de chantage à la base de données clients. [La Nouvelle république]

Manipulation des données d’une compagnie aérienne chinoise

Un internaute met la main sur le site Internet d’une compagnie aérienne Chinoise et réussi à détourner 150 000 euros en annulant des voyages.

Zhang est un internaute Chinois de 19 ans. Comme beaucoup de ses petits camarades, ils touchent au piratage. Le gouvernement ne dit rien, tant que ces « visites » ne visent pas les entreprises locales. Sauf que Zhang a oublié l’adage « Une petite armée résiste à l’ennemi, une grande armée le capture » L’art de la Guerre – Art. III. Bilan, après s’être invité dans le serveur d’une compagnie aérienne, il a manipulé les comptes clients et réussi à soutirer 150 000 euros via les 1,6 million d’informations de réservations qu’il a copié et qui incluaient noms, numéros de carte d’identité, numéros de téléphone, adresses e-mail et autres données de vol. Dans son « attaque », elle va durée 15 jours, Zhang écrivait aux passagers en indiquant que leur vol avait été annulé et qu’il fallait reprogrammer un voyage. Zhang vendait de nouveaux billets et prenant sa commission. Il a été arrêté. (People)

Facebook menace l’employeur d’un chercheur en sécurité informatique

Après avoir découvert une porte d’entrée dans l’administration d’Instragram, un chercheur en sécurité informatique est menacé par Facebook.

Wesley Wineberg, un chercheur en sécurité indépendant n’a pas apprécié la nouvelle méthode de Facebook pour récompenser les internautes qui lui remontent des problèmes de sécurité informatique. Il faut dire aussi que Wesley a été très loin dans sa recherche d’information.

Alors qu’il aurait pu se contenter d’expliquer comment il avait eu accès à un espace d’administration d’Instragram, le chercheur a continué de pousser sa recherche dans les méandres informatiques du service photographique de Facebook.

W.W. va sortir du serveur des fichiers de configuration, une clé d’un Amazon Web Services, … Il va utiliser cette clé [là, nous ne sommes plus dans de la recherche de bug, NDR] pour se connecter à des espaces de stockages. Une autre clé va lui ouvrir le code source d’Instagram, clés API et certificats SSL.

Wesley Wineberg va alerter le géant américain, le 1er décembre. L’entreprise va changer son fusil d’épaule à l’encontre de ce bidouilleur. Au lieu de parler « bug Bounty« , Facebook va le menacer en appelant son employeur. Alex Stamos, le CSO de Facebook, a contacté l’entreprise de Wesley en indiquant que les avocats de la firme étaient sur l’affaire. Facebook souhaitait faire disparaître la moindre trace de cette découverte et infiltration.

Accord sur la protection des données personnelles : oui à la protection de nos vies privées !

Les négociations sur le paquet protection des données personnelles ont abouti mardi 15 décembre. C’est un succès pour les eurodéputé-e-s socialistes et radicaux. Nous voulions un accord dans le PNR ; il était pour nous indissociable de la protection des données personnelles. La commission des libertés civiles s’est prononcée aujourd’hui, et avant une adoption en plénière prévue au début 2016, en même temps que le PNR européen, ce que nous exigions.

Les données personnelles des Européens ont une valeur estimée aujourd’hui à 315 milliards d’euros, qui pourrait s’élever à 1 000 milliards d’euros en 2020 ! Elles sont donc l’objet de bien des convoitises. Le rôle de l’Europe, et tout particulièrement du Parlement européen, est de les protéger. Nous devions nous battre afin d’améliorer la législation sur la  protection des données devenue largement obsolète. Aujourd’hui, 97% de nos données transitent par le net alors que la législation encore en vigueur date d’avant le développement de la toile !

Parce que la technologie donne de nouveaux moyens de surveillance à la police et la justice, il était indispensable de bâtir un socle de garanties pour les droits et libertés des citoyens, tout en autorisant les forces de sécurité à échanger des informations de manière plus rapide et plus efficace. Nous sommes parvenus à un juste équilibre entre la protection des droits fondamentaux des citoyens et le renforcement de l’efficacité de la coopération policière dans l’ensemble de l’Union européenne.

Quant au bruit des derniers jours concernant l’accès des jeunes aux réseaux sociaux, nous nous félicitons, au Parlement, que la raison l’ait finalement emporté au Conseil. Le Parlement européen a en effet toujours défendu un accès libre aux réseaux sociaux pour les enfants à partir de 13 ans. Malheureusement, certains États membres au sein du Conseil privilégiaient une approche plus restrictive – et hors des réalités – avec un accès sans consentement parental seulement à partir de 16 ans ! Vouloir interdire l’accès libre aux réseaux sociaux aux moins de 16 ans relevait pourtant de l’absurde et risquait de discréditer l’Europe à leurs yeux et à ceux de bien de leurs parents. Quiconque a des enfants sait déjà que « tenir » jusqu’à 13 ans relève de l’impossible…. La sagesse était d’en rester à un relatif statu quo, en permettant aux États membres de fixer librement l’âge auquel un mineur peut s’inscrire sur les réseaux sociaux sans consentement parental.

Tout au long des débats, qui ont duré quatre ans, nous avons veillé à renforcer les droits des internautes en leur permettant de mieux contrôler leurs données, notamment en cas d’usage abusif. Droit à l’effacement, voies de recours, informations sur la façon dont les données sont traitées, encadrement des transferts de données des Européens vers les pays tiers, possibilités de profilage strictement limitées, sanctions en cas de non-respect des règles : avec cette réforme, l’Union sera dotée des standards de protection de la vie privée les plus élevés au monde ce qui, compte tenu de son poids démographique et économique, permettra d’influencer la norme du reste de la planète.

La police canadienne saisi un serveur diffuseur de Dorkbot

Les autorités américaines et canadiennes viennent de se féliciter du blocage de plusieurs points de départs de l’attaque du code malveillant Dorkbot. Des serveurs saisis.

Le Conseil de la radiodiffusion et des télécommunications canadiennes, le CRTC, vient d’indiquer qu’elle venait de faire saisir un serveur ayant était utilisé dans la diffusion du code malveillant Dorkbot. Une saisie qui rentre dans les obligations faites par la Loi anti-phishing du Canada. La machine, saisie chez un hébergeur de Toronto était utilisé comme un centre de commandes et de contrôle (C&C) pour permettre aux pirates acquéreurs (Dorkbot se loue, ndr) de faire fonctionner le logiciel d’espionnage partout dans le monde. Dorkbot agit sur la toile depuis 2010.

Il a été découvert un an plus tard, après avoir été utilisé contre les messageries de Facebook et Gmail. L’attaque, classique. Dorkbot est envoyé aux cibles via un courriel piégé par un lien de téléchargement. Cette opération a été coordonnée entre les autorités canadiennes, Interpol, Europol, le FBI et Microsoft. Plusieurs autres serveurs ont été bloqués et saisis en Amérique centrale, en Europe et en Asie. Le canada serait, selon Websense, la 8ème nation la plus utilisée par les pirates informatique.

Entre 2011 et 2013, les policiers canadiens ont observé une augmentation de 40% d’actes de cybercriminalité. Une police dédiée uniquement à la cyber criminalité est en cours de création dans le pays.

Obligation de notification en cas de fuite de données

Les entreprises des Pays-Bas vont être obligées de notifier leurs clients en cas de fuite de données dès janvier 2016.

Alors que la France est toujours en attente d’une vraie obligation de protéger les utilisateurs d’Internet face à une fuite de données visant les entreprises hexagonales, les sociétés Néerlandaises vont être obligées d’alerter leurs clients en cas de piratage de leurs bases de données.

Les entreprises néerlandaises vont devoir, dès janvier 2016, alerter la CNIL locale, la DPA, et les personnes ciblées par une fuite de leurs données personnelles en cas de piratage, backup oublié, perte d’un ordinateur… L’absence de notification pourra conduire à des amendes allant jusqu’à 500 000 €.

Toutes les entreprises locales, ou étrangères, ayant des serveurs au Pays-Bas, sont concernées par cette loi. Bilan, si un hébergeur Français, Suisse, Belge, Américain… se fait pirater sur le sol Néerlandais, il aura obligation d’en informer les autorités.

En Europe

Depuis le 25 août 2013, le règlement européen n° 611/2013 met en place une procédure d’information en cas de piratage de données d’un opérateur de services de télécommunications ou d’un fournisseur de services internet permettant à un tiers d’accéder à des données à caractère personnel (nom, adresse ou coordonnées bancaires par exemple).

Cette procédure comprend 3 obligations à la charge du professionnel :

  • La notification des faits auprès de la Commission nationale informatique et libertés (CNIL) dans un délai de 24 heures après leur constatation (avec un document normalisé et identique pour tous les membres de l’Union européenne),
  • La fourniture d’une description des données concernées et des mesures déjà prises ou qui seront prises,
  • Une évaluation de la nécessité d’informer ou non les abonnés, en fonction du type de données ayant fait l’objet d’une violation.

Invalidation du Safe Harbor : comment se préparer au prochain accord ?

En octobre 2015, la Cour européenne de justice a décidé d’annuler l’accord Safe Harbor, conclu il y a 15 ans entre l’Union européenne et les Etats-Unis. Cet accord portait sur un mécanisme simple de transfert de données entre les deux continents. La suppression du Safe Harbor est la conséquence directe de l’audacieux recours juridique déposé par Max Schrems, étudiant en droit autrichien de 28 ans.

Max Schrems est parvenu à s’attaquer à des entreprises du secteur des technologies semblant jusque-là invulnérables, et à enregistrer une victoire au nom des droits des utilisateurs, ce qui lui a valu de nombreux applaudissements, en particulier de la part d’Edward Snowden. Bien que la décision de la cour européenne puisse paraître surprenante, elle s’inscrit dans une tendance récente au renforcement des règles en matière de confidentialité des données.

Les lois américaines dans ce domaine sont moins contraignantes que celles en vigueur dans l’Union européenne. Jusqu’à cette décision, Safe Harbor constituait un compromis entre les procédures de confidentialité américaines et européennes. En vigueur depuis l’an 2000, cet accord a permis aux sociétés américaines de rapatrier les données des citoyens européens aux États-Unis tant qu’elles respectaient le même niveau de confidentialité que les normes européennes en la matière. Ces sociétés ont dû s’engager à respecter sept principes relatifs à l’exploitation des données collectées, mais la décision de la Cour européenne de justice envoie un signal fort selon lequel les droits des utilisateurs à la confidentialité doivent être consacrés par la loi et non pas par une simple auto-certification. Depuis la fin du Safe Harbor, les entreprises des deux côtés de l’Atlantique ont dû réviser leurs procédures de collecte, de stockage, de traitement et de transfert des données personnelles des citoyens européens.

Quel sera l’impact sur les entreprises ?
Les entreprises qui dépendent du libre transfert des données entre l’Union européenne et les États-Unis se retrouveront dans une position difficile. L’analyse des conséquences de cette décision a principalement porté sur sa signification pour les réseaux sociaux américains, mais les sites américains de partage de fichiers dans le cloud, comme Dropbox (et leurs clients utilisateurs de leurs services de stockage), le fournisseur de services cloud, les grands distributeurs internationaux comptant des clients dans l’Union européenne et toutes les entreprises américaines de gestion de ces données personnelles seront concernés.

Les directeurs de la sécurité des systèmes d’information des grandes entreprises doivent désormais s’efforcer de trouver les moyens de respecter ce nouvel arrêt. Il va sans dire que la confidentialité des données des utilisateurs est extrêmement importante et doit constituer un droit fondamental, mais cette décision concerne bien plus d’entreprises que Facebook et Google. Il est plus que probable que cela modifiera les procédures de transfert de données mises en place par les entreprises entre les deux continents. Près de la moitié des échanges de données dans le monde s’effectuant entre l’Europe et les États-Unis, l’invalidation de l’accord Safe Harbor se traduira par des changements radicaux pour les petites et moyennes entreprises.

Bien qu’il ne soit pas encore possible de savoir exactement ce qui remplacera cet accord, il est clair que cela aura des conséquences sur les activités au quotidien. Il deviendra plus difficile de fournir des services et des données entre l’Union européenne et les États-Unis.

Toutes ces préoccupations autour des réglementations relatives à la confidentialité des données ne sont pas nouvelles. Quelles sont les autres règles en vigueur ?
Le principal reproche formulé à l’encontre de l’accord Safe Harbor est qu’il ne respecte pas les exigences de la directive européenne sur la protection des données. L’Union européenne semble avoir de plus en plus tendance à s’opposer à l’approche américaine en matière de confidentialité des données. La décision sur l’accord Safe Harbor, et celle sur le droit à l’oubli, constituent un signal clair que l’attitude « La prospérité maintenant, la confidentialité plus tard » n’est plus de mise en Europe.

Le General Data Protection Regulation (ou GDPR) est acté, la réglementation à proprement parler est toujours en consultation, et il y aurait donc une certaine marge de manœuvre pour y faire figurer des directives claires à l’intention de ces entreprises. Cependant, il serait juste de partir du principe que cela pourrait avoir des répercussions sur la date d’adoption envisagée (actuellement la fin de l’année).

Comment les entreprises se préparent-elles à cette législation ?
Selon un récent sondage réalisé par Ipswitch, les entreprises se préparent aux changements annoncés, mais lentement. Bien que la nouvelle réglementation soit soumise à consultation depuis près de quatre ans, ce sondage mené en septembre 2015 indique qu’un peu moins d’une entreprise française sur cinq ne sait toujours pas si elle est concernée par ces mesures alors que ces mêmes sociétés affirment stocker et traiter des données personnelles. Par ailleurs, 71% d’entre elles estiment qu’elles devront investir dans des technologies de traitement et de stockage de données conformes à ces nouvelles normes.

Que peuvent faire les entreprises pour s’assurer qu’elles sont en conformité avec le GDPR ?
Elles ne doivent pas sous-estimer la charge que représente cette nouvelle législation. Selon leurs pratiques actuelles en matière de transfert de données, la décision relative à l’accord Safe Harbor pourrait nécessiter de profonds changements et impliquer de nombreux services au sein de l’entreprise.

Voici une checklist de cinq points destinée aux services informatiques afin de leur permettre de se mettre en conformité avec les règles de confidentialité.

1/ Des responsabilités clairement délimitées
Face aux exigences croissantes de confidentialité des données auxquelles les entreprises sont confrontées, la nomination d’un Responsable Protection des Données peut être un excellent point de départ. De nombreuses entreprises ont déjà procédé à une telle nomination, et la nouvelle réglementation GDPR en cours d’élaboration devrait inciter de nombreuses autres à leur emboîter le pas. Carsten Casper, analyste du cabinet Gartner, souligne qu’« il est logique que de nombreuses sociétés aient en leur sein un chargé des questions de confidentialité indépendamment de la législation ».

Ce processus de mise en conformité nécessitera le soutien des dirigeants, une collaboration entre les services, la validation d’un budget, des ressources et des investissements technologiques. Quelle que soit la démarche adoptée par les entreprises, elles devront clairement identifier le ou les responsables de ce projet en interne.

2/ Auditez vos pratiques actuelles
Alors que les entreprises bénéficieront d’un certain délai avant d’être obligées de se mettre en conformité, il faut qu’elles commencent immédiatement à auditer leurs pratiques de partage de données, notamment l’utilisation de services américains de partage dans le cloud comme Dropbox, pour pouvoir cerner précisément où elles en sont et être prêtes à agir dès l’officialisation de nouvelles directives. Cet audit doit aussi permettre d’identifier les personnes concernées par ces changements au sein de l’entreprise et le type d’assistance nécessaire.

Il faut s’interroger sur les procédures, les stratégies ou les technologies qu’il est possible de mettre en place aujourd’hui et qui serviront les projets futurs. Une entreprise mature et agile se caractérise par la capacité de ses solutions à répondre aux besoins actuels tout en étant suffisamment souple pour s’adapter aux évolutions futures.

3 / Quels sont vos points les plus vulnérables ?
La possibilité de transférer les données en toute sécurité afin de garantir les processus opérationnels stratégiques est un point important pour les entreprises. Il n’a jamais été aussi important d’être sûr de sa politique en matière de transfert de fichiers. En l’absence de nouvelles lignes directrices concernant le remplacement du système Safe Harbor, il faut partir du principe que son remplaçant sera plus draconien et exigera des preuves.

Dans un monde où le numérique s’impose de plus en plus comme la norme, il est logique du point de vue économique de renforcer ses liens avec les partenaires, les sous-traitants ou les clients. Gérer le transfert et le stockage de tous les fichiers entre les clients, les employés, les partenaires, les systèmes de gestion, etc. peut-être une lourde tâche. La gestion des transferts de fichiers représente l’une de ces technologies facilitant l’accès aux données et la visibilité et la maîtrise complètes par le service informatique.

4 / Diffusez le message
Il ne suffit plus de mettre en place les bonnes mesures de sécurisation des transferts de données, toute entreprise se doit de garantir qu’elle a déployé les bonnes technologies de transfert de fichiers, les bons systèmes de sécurité et processus, une piste d’audit complète et, peut-être plus important encore, qu’elle a formé son personnel.

Les meilleures technologies au monde peuvent être mises en place, mais si les collaborateurs de l’entreprise ne savent pas ce que l’on attend d’eux, l’échec sera de mise. Préparer ses collaborateurs aux nouvelles exigences en matière de protection des données est aussi important que d’apprêter ses technologies.

5 / Paré à agir
Les organismes nationaux de protection des données des différents États membres de l’Union européenne sont en pleine effervescence afin d’analyser, d’intégrer et d’émettre des directives sur les procédures de traitement au quotidien par les entreprises. L’emploi de clauses contractuelles est une question débattue au sein de ces organismes nationaux. Certains experts préconisent l’usage de clauses à titre de solution provisoire en l’absence d’autres directives. Mais tous ne sont pas d’accord, L’autorité de surveillance allemande, argumente que ces clauses ne sauraient remplacer Safe Harbor. Quoiqu’il en soit, l’accent est mis sur l’anticipation de l’avenir pour que la mise en conformité puisse intervenir rapidement en temps opportun.

Si tout cela semble être un obstacle chronophage que les entreprises devront franchir, il convient de rappeler les implications de cet arrêt à propos de l’accord Safe Harbor pour tous en tant que citoyens. C’est une grande victoire pour la confidentialité des données personnelles. Il pourrait aussi se révéler être une grande victoire pour les entreprises. Pour paraphraser un principe de physique, l’innovation a horreur du vide. Le vide créé par Safe Harbor s’avérera être une opportunité d’amélioration dans un contexte où les entreprises cherchent de meilleures solutions pour renforcer le degré de responsabilité vis-à-vis des enjeux du numérique. (Par Michael Hack, vice-président senior des opérations EMEA d’Ipswitch).

TOR a-t-il été piraté par le FBI ?

Des documents judiciaires utilisés par le gouvernement américain à l’encontre de réseaux de BlackMarket font référence à un groupe de recherche universitaire qui aurait aidé à trouver une faille dans TOR. Le FBI réfute les accusations.

Le service de chiffrement Tor a été conçu pour garder ses utilisateurs anonymes, mais l’année dernière, une faille aurait été découverte. Il y a quelques jours, les informaticiens derrières TOR ont annoncé que cette faille était plausible. Le groupe affirme que Tor a été « infiltré » par le FBI, avec l’aide de chercheurs de l’Université Carnegie Mellon. Ces derniers auraient été payée 1 million de dollars pour leur travail. Le FBI a réfuté ces accusations.

Dans son témoignage, le Projet Tor souligne que l’attaque ayant visé son service a débuté en février 2014. Plus d’une centaine de nouveaux relais sur le réseau Tor avaient été créés à la fin du mois de janvier, et avaient été utilisés jusqu’au 4 juillet 2014. Une infiltration qui aurait permis de collecter des informations. A l’époque, le Projet TOR ne connaissait pas encore le niveau de données collectables. Seule chose certaine pour l’équipe, c’était le Computer Emergency Response Team Carnegie Mellon (CERT) qui était derrière cette « visite ».

L’année dernière, lors du Black Hat de Las Vegas, des chercheurs du Carnegie Mellon devaient expliquer comment, avec du matériel n’ayant pas coûté plus de 3.000 dollars, ils avaient réussi à pirater le réseau TOR. Une conférence annulée au dernier moment. Le projet Tor dit que les chercheurs en question ont cessé de répondre à leurs mails.

TOR accuse le FBI, à la suite de la lecture des documents utilisés par le gouvernement, et le Département de la Justice US, à l’encontre de la boutique de blackmarket Silk Road 2.0. Son créateur, Brian Richard Farrell, aka DoctorClu, avait été arrêté en janvier 2015, et jugé. Le document indique que Farrell avait été identifié grâce à une information obtenue par « un institut de recherche universitaire. » Lors de la perquisition, le mandat judiciaire indiquait, dans les mots de l’agent spécial Michael Larson, que la source du FBI avaient permis de trouver « les adresses IP fiables Tor et des services cachés tels que Silk Road 2.0 ». Des adresses collectée entre Janvier 2014 et Juillet 2014, lors de l’opération Onymous.

L’opération Onymous a été lancée, en 2014, contre des boutiques du blackmarket par Europol, Eurojust, le FBI, le département américain de la Sécurité intérieure, et plusieurs autres services de police. 17 vendeurs et administrateurs de Silk Road 2.0 seront arrêtés, 1 million de dollars US, en Bitcoin, seront saisis.

L’Europe veut punir le simple fait de fournir un lien vers du contenu protégé

Pour faire payer les moteurs de recherches qui diffusent des liens vers des contenus illicites ou protégés par les droits d’auteurs, l’Union Européenne souhaite sanctionner les liens vers des contrefaçons.

La député européenne Julia Reda, membre du Parti Pirate, vient d’expliquer sur son blog que l’Union Européenne serait en train de se pencher sur un nouveau moyen de faire disparaître de la toile les liens renvoyant vers des contrefaçons de films, mp3, … mais aussi d’articles de presse protégés par le droit d’auteur.

Bref, le moindre lien vers un contenu protégé par le droit d’auteur pourrait être sanctionné par la justice. Cette loi, comme le précise Huse in writting a aussi pour mission de faire payer Google et compagnie dès que les moteurs de recherche indexent des contenus protégés, comme des articles de presse. Imaginez, un blog, qui diffuse automatiquement (ou non) des liens vers des articles. Cette loi Européenne pourrait sanctionner le blogueur. « Cela ouvre la voie à une censure généralisée et sans frontières. » indique AHW.

On va rire quand Google, en réponse, ne référencera plus aucun article de presse. Cette proposition législative doit être présentée au printemps 2016. (Ipkitten)

Facebook ne doit plus suivre les Belges à la Trace

Un tribunal a donné 48 heures à Facebook pour arrêter le suivi de ses utilisateurs Belges.

La CNIL Belge [Commission de la vie privée belge], par le biais d’un tribunal local, vient de gagner une bataille intéressante face à Facebook. Le portail communautaire doit stopper le suivi des internautes du royaume. Fini le cookie inquisiteurs qui dure 5 ans. Facebook a interjeté l’appel de la décision.

Le tribunal belge a déclaré que le géant américain doit obtenir le consentement des internautes afin de recueillir les données collectées par le cookie. Pour les juges, ce cookie et son contenu sont considérés comme des données personnelles. Facebook risque 250.000 euros d’amende, par jour, si le problème n’est pas corrigé. Facebook a précisé qu’il « utilisait le cookie DATR pendant plus de cinq ans pour garder Facebook sécurisé pour 1,5 milliard de personnes à travers le monde« .

Les plus bidouilleurs garderont un petit sourire aux lèvres en se souvenant d’une méthode du « cookie stealing » permettant de prendre la main sur un compte Facebook en interceptant le précieux document. Il suffisait alors de Wireshark et cookie injector pour devenir Kalif à la place du Kalif. Il fallait, certes, être sur le même réseau que la cible, mais soyons honnête, un détail… que ce détail.

La chasse aux phishings est ouverte

D’après le Ministère de l’Intérieur, 2 millions de Français touchés par un phishing en 2015.

Pour renforcer la lutte contre le phishing, le Ministère de l’Intérieur a signé ce jour, une convention de partenariat avec l’association Phishing Initiative, soutenue par Lexsi et Microsoft France. Cet accord vise à mutualiser les informations entre sa propre plateforme, PHAROS, et celle de Phishing Initiative qui a identifié de son côté plus de 150 000 adresses uniques de sites frauduleux visant la France depuis sa création en 2011.

Une convention commune pour renforcer la lutte contre le Phishing
En signant la convention de lutte anti-phishing, Catherine Chambon, sous-directeur de la lutte contre la cybercriminalité et Jérôme Robert, président de Phishing Initiative souhaitent renforcer la sensibilisation des internautes aux risques liés à cette malveillance majeure. « La complémentarité de nos actions rend évidente la nécessité d’un rapprochement et d’une coordination entre nos deux organisations », explique Jérôme Robert. « PHAROS et Phishing Initiative opèrent en effet tous deux des plateformes de signalement à destination du grand public. Il est par conséquent possible d’instaurer des conditions de partage de l’information de manière à optimiser d’une part, la recherche de données et d’autre part, la protection de l’internaute. »
Suite à la signature de cette convention et à l’engagement des parties prenantes, le Ministère de l’Intérieur et Phishing Initiative travailleront également à la rédaction d’un rapport commun et à l’élaboration d’un suivi des tendances au service de la protection des internautes.

Phishing Initiative et PHAROS : l’union des expertises
Elaborée et construite sous l’impulsion de Madame Catherine Chambon, Madame Valérie Maldonado, chef de l’OCLCTIC, Messieurs Jérôme Robert, Directeur Marketing, Vincent Hinderer, Expert Cybersécurité chez Lexsi, et Bernard Ourghanlian, directeur technique et sécurité de Microsoft, la convention a pour objectif d’augmenter le nombre d’URLs traitées et analysées.

Avec respectivement 60 000 et 30 000 URLs traitées depuis début 2015, Phishing Initiative et PHAROS unissent leurs forces pour protéger les internautes et rendre le web plus sûr. « L’association de nos dispositifs de lutte contre la fraude sur Internet représente une avancée majeure dans la protection des particuliers comme des entreprises » précise Bernard Ourghanlian de Microsoft France. « Face à la malveillance et à la fraude organisée, chaque citoyen et chaque entreprise est acteur d’un Internet plus sûr au bénéfice de tous. »

La Sous-Direction de la Lutte contre la Cybercriminalité (SDLC) a développé deux dispositifs destinés aux particuliers : la Plateforme d’Harmonisation d’Analyse et de Recoupement et d’Orientation des Signalements (PHAROS), lancée en janvier 2009, et Info-Escroqueries, une hotline téléphonique dédiée aux arnaques. PHAROS a notamment pour mission de recueillir et traiter les signalements de contenus et de comportements illicites détectés sur Internet.

Phishing Initiative, un programme de lutte européen
Cofinancé par le Programme de Prévention et de Lutte contre le Crime de l’Union Européenne, Phishing Initiative offre à tout internaute la possibilité de lutter contre les attaques d’hameçonnage en signalant de manière simple les liens lui paraissant suspects en un clic sur www.phishinginitiative.fr. Chaque signalement fait l’objet d’une analyse par les experts Lexsi qui, s’il se révèle frauduleux, est transmis aux partenaires de Phishing Initiative, notamment Microsoft. Ces derniers enrichissent alors leurs listes noires, de sorte que le lien frauduleux est bloqué par les principaux navigateurs Web (Edge, Internet Explorer, Chrome, Firefox et Safari).

Phishing Initiative en chiffres
A ce jour, plus de 400 000 adresses suspectes ont été signalées dans le cadre de la Phishing Initiative, dont plus de 300 000 uniques. Depuis le début de l’année 2015, 110 000 signalements ont déjà été transmis, représentant plus de 60 000 nouvelles adresses uniques. Parmi elles, plus de 35 000 URLs uniques ont été confirmées comme faisant partie d’une campagne de phishing, soit près de 120 adresses distinctes par jour. A noter que le temps médian nécessaire aux analystes pour catégoriser un nouveau cas signalé est de moins de 20 minutes. Microsoft rafraîchit sa liste noire toutes les 20 minutes au sein d’Internet Explorer et Edge, ce qui protège en moyenne les internautes en moins de 40 minutes suite à un signalement sur www.phishing-initiative.fr.

Des milliers d’internautes contribuent anonymement à ce projet chaque année et plusieurs centaines d’individus ont créé depuis la rentrée un compte personnel sur le site Phishing Initiative. Il leur permet désormais de signaler des URLs suspectes plus simplement et d’accéder à des informations, statistiques et services additionnels, relatifs notamment aux signalements effectués par leurs soins. Ces internautes peuvent, par exemple, suivre l’état du site en temps réel et demander à être prévenus du caractère frauduleux ou non d’une adresse ainsi soumise, mais surtout participer à la lutte anti-phishing et empêcher que d’autres internautes soient victimes de ce fléau.

Une idée à saluer, elle demande cependant, pour être vraiment efficace, plus de rapidité encore ! Comme peut le faire votre serviteur, alerter et montrer sur Twitter, en temps réel, une attaque phishing permet de familiariser l’internaute face à cet ennemi 2.0.

Escroquerie à la mort

Connaître le décès d’une personne permet à des escrocs d’appeler les familles pour espérer les piéger.

Des escrocs se font passer pour des associations de généalogie afin de soutirer de l’argent aux familles d’un défunt. L’idée est malheureusement terriblement efficace. D’abord, l’escroc collecte les identités des personnes décédées. Il suffit de faire une revue de presse des quotidiens locaux, voir des journaux municipaux, pour trouver les informations de base.

Ensuite, les voleurs font un environnement de la famille. Les escrocs inscrivent toutes les informations qui serviront ensuite à convaincre l’interlocuteur qu’ils contacteront par téléphone. Ils expliquent être mandatés par un avocat, un notaire ou une association de généalogie, comme ces cas révélés en Picardie.

L’excuse des voleurs, le défunt aurait souscris une assurance vie. Bien entendu, si le cas vous touche, ne fournissez AUCUNES informations bancaires. Demandez un numéro de téléphone pour rappeler. Attention ! Les escrocs peuvent vous fournir un 0899 (numéro surtaxés). Refusez aussi !

Piratage contre action boursière

La Société britannique Optimal Payments Plc voit ses actions baissées après l’annonce du probable piratage d’un de ses serveurs, en 2012.

La Société britannique Optimal Payments Plc est spécialisée dans les paiements mobiles. Reuters indique qu’il aurait été découvert, en vente dans le black market, une base de données appartenant à OP. Une BDD comprenant des identités, des mails, … Une annonce qui a fait baisser l’action de l’entreprise de 11%. La société a déclaré qu’elle enquêtait sur ces allégations. Des données qui auraient été volées en 2012. Une baisse qui parait bien extrême pour quelques mails !

Faudra-t-il, bientôt, fournir son identité pour posséder un drone ?

Jeudi 29 octobre, le Parlement européen de Strasbourg a adopté un rapport sur les drones qui pose les bases d’une prochaine législation européenne pour encadrer leur utilisation.

Certes la future réglementation européenne aura pour ambition de répondre aux inquiétudes justifiées concernant la sécurité mais tentera aussi de donner à cette filière émergente les moyens de se développer dans un cadre respectueux des citoyens et des espaces aériens. Cette filière des drones est en pleine évolution, et il est du rôle de la Commission européenne de l’appuyer tout en l’encadrant. Il est ainsi prévu qu’un volet législatif européen soit ouvert dans le futur paquet aérien qui sera présenté par la commission en décembre prochain. En effet, il n’y pas moins de 14 législations nationales (plus ou moins contraignantes) parmi les 28 pays de l’Union européenne, et la France fut l’une des premières à légiférer.

Ce rapport entend assurer la traçabilité de l’ensemble des engins, mais aussi des exploitants et propriétaires comme conditions sine qua none à toute utilisation. C’est une bonne chose car l’on a pu voir lors du survol des centrales nucléaires françaises que nous étions incapables d’en retrouver les pilotes. Il faut mettre en place un système d’immatriculation qui permettra d’identifier facilement les drones, et même à distance si possible. Les risques terroristes font craindre une véritable menace sur la sécurité du parc nucléaire français, pouvant provoquer un black-out électrique ou même un accident nucléaire majeur, comme nous avions pu le démontrer dans une lettre au gouvernement français… restée sans réponse.

Il est aussi prévu d’assurer une meilleure navigabilité pour les drones avec un partage de l’espace aérien clair. Il faudra surtout bien distinguer les usages récréatifs et professionnels, et donner des autorisations différentes à leurs utilisateurs.

Les eurodéputées Karima Delli et Michèle Rivasi (écologistes) concluent que « Ce rapport est dans la droite ligne des préoccupations écologistes, et appelle clairement à l’interdiction des survols des zones nucléaires mais aussi des zones chimiques à risque. Nous avons de plus obtenu la garantie d’une protection efficace des données de l’ensemble des citoyens européens afin que la liberté de chacun soit assurée« .

La législation est pourtant claire sur ce sujet. Le survol de zone publique, industrielle est déjà interdite ou faisant face à des règles très précises. Dans une commune, par exemple, seul un arrêté municipal peut autoriser, ou non, le survol d’un drone.

Le Parlement européen a adopté l’accord législatif sur les règles relatives aux communications électroniques

Le nouveau paquet télécom est présenté comme une victoire pour les consommateurs alors que c’est tout simplement l’inverse. Ce paquet représente une réelle menace pour la neutralité du Net, principe fondateur de la liberté d’expression et d’information sur Internet selon le député européen europe écologie Pascal Durand.

Si le Parlement européen s’était initialement prononcé pour inscrire ce principe dans la législation, le compromis final négocié avec le Conseil de l’UE a produit un tout autre résultat. Non seulement la neutralité du Net n’est plus mentionnée, mais pire, l’accord autorise les fournisseurs de services Internet à introduire des « services spéciaux » et à mettre en place une gestion du trafic sur Internet, menaçant de facto la neutralité du Net.

Les pourfendeurs du paquet télécom annoncent par ailleurs la soi-disant « fin des frais d’itinérance ». Pur mensonge. En effet, si les frais d’itinérance seront abolis plus tôt que prévu, des failles et exceptions dans la législation vont permettre aux opérateurs de récupérer leur manque à gagner par d’autres moyens, au détriment des consommateurs. Les autorités nationales auront la responsabilité de vérifier et d’interpréter l’application des règles, ce qui risque de conduire à une myriade d’exceptions nationales. De ce fait, il est très incertain qu’utiliser son téléphone au-delà des frontières nationales après 2017 sera moins coûteux. Par Pascal Durand, Député européen europe ecologie.

Pendant ce temps…
Mardi 27 octobre 2015, le Sénat a adopté en première lecture la proposition de loi, adoptée par l’Assemblée nationale, relative aux mesures de surveillance des communications électroniques internationales. Ce texte fait suite à la décision du Conseil constitutionnel du 23 juillet 2015 par laquelle le Conseil a censuré certaines dispositions de la loi sur le renseignement, qui devaient devenir un chapitre du code de sécurité intérieure relatif aux mesures de surveillance des communications électroniques internationales. Le Conseil constitutionnel ne contestait pas la constitutionnalité de ces dispositions mais avait estimé que le législateur n’avait pas épuisé sa compétence en renvoyant l’édiction de certaines règles encadrant cette technique de recueil de renseignement au soin du pouvoir réglementaire.

Estimant que les dispositions législatives destinées à autoriser et à encadrer la surveillance des communications internationales doivent être votées rapidement, les auteurs de cette proposition de loi proposent un dispositif qui répond aux exigences du Conseil constitutionnel. Le texte vise donc à créer un cadre juridique spécifique pour la surveillance des communications internationales en introduisant un nouveau chapitre dans le code de la sécurité intérieure.

http://www.senat.fr/rap/l15-097/l15-097.html
http://www.senat.fr/rap/a15-100/a15-100.html
http://www.senat.fr/seances/comptes-rendus.html

Rencontres en ligne : les arnacœurs contre attaque !

35 % des français ont déjà créé un faux profil et 15 % ont menti sur leur âge : du petit mensonge aux escroqueries sentimentales, comment éviter les pièges ?

Les escroqueries qui fleurissent sur les sites et applications de rencontres sont de plus en plus courantes et les témoignages de victimes se suivent et se ressemblent. Tout internaute doit se montrer vigilant lors de ses activités en ligne et plus particulièrement lors de conversations intimes avec des inconnus. Il est essentiel de ne pas partager ses données personnelles, qu’il s’agisse d’informations bancaires, de coordonnées (adresse e-mail ou postale etc.) ou de détails sur sa vie privée. Alors, comment trouver l’amour en ligne sans se faire avoir ?

Une étude conduite par Avast auprès de plus de 1200 français de tous âges, confirme la nécessité d’appliquer certaines règles dans le cadre d’une rencontre en ligne : alors que plus de 30 % des répondants affirment être déjà tombé amoureux avant même leur première rencontre physique avec leur partenaire, des vérifications préalables s’imposent. S’il n’est probablement pas dramatique de mentir de quelques années sur son âge, la création d’un faux profil – avouée par 20 % des personnes interrogées – pose en revanche plus de questions sur les intentions de certains utilisateurs.

Parmi les informations régulièrement révélées par les membres de ce type de sites/applications, nombreuses sont celles qui permettent à des personnes mal intentionnées de mieux repérer les faiblesses de leurs interlocuteurs. L’enquête d’Avast le confirme : sur l’ensemble du panel, plus d’un tiers des personnes interrogées (34 %) affirment avoir déjà été sollicitées par une personne qui leur réclamait de l’argent lors d’échanges en ligne, et plus de 10 % ont d’ailleurs cédé ! Les arnaqueurs comptent en général sur la naïveté ou la détresse émotionnelle/sentimentale de leurs interlocuteurs pour arriver à leurs fins. Il existe pourtant des méthodes simples et efficaces pour éviter de tomber dans leurs filets.

En effet, il n’est pas compliqué de vérifier l’authenticité des photos de profil ou encore de déceler une arnaque suffisamment tôt pour ne pas se laisser impliquer émotionnellement. Car plus le temps passe avant de découvrir la supercherie, plus il sera difficile de stopper le processus, notamment dans le cadre d’un chantage qui devient « affectif ».

Près de 20 % des personnes interrogées déclarent avoir été victime de harcèlement sur un site ou une application de rencontre. Plus de la moitié des membres d’un site ou d’une application de rencontre sont mariés (38 %) ou entretiennent déjà une relation (13,78 %). La majorité des répondants sont inscrits sur un ou deux sites/applications (76 %) mais presque 5% sont membres de plus de 7 sites ou applications différentes. 20 % des répondants avouent avoir déjà créé un faux profil. 15 % confirment avoir déjà menti sur leur âge : 58 % se donnent entre 1 et 5 ans de moins (ou de plus), environ 20 % entre 6 et 11 ans et 20 % également modifient de plus de 18 ans leur véritable âge

« Il est évident que le partage d’informations personnelles est nécessaire dans le cadre d’une rencontre amoureuse en ligne, explique à DataSecurityBreach.fr Sarah Teboul, spécialiste e-commerce chez Avast. C’est la raison pour laquelle les utilisateurs doivent impérativement s’assurer de la crédibilité de leur interlocuteur avant de leur confier la moindre information personnelle. Il existe plusieurs façons de se prémunir contre ces pièges. Par exemple, lorsqu’ils sont sollicités pour de l’argent, ils peuvent entre autres bloquer la personne sur les réseaux sociaux et renforcer leurs paramètres de sécurité. Il leur est également possible de vérifier la source des photos ou poèmes reçus sur internet afin de confirmer l’identité de leur interlocuteur, les escrocs réutilisant en général les mêmes images et textes. De nombreuses ressources sont également disponibles en ligne tels que des portails dédiés mis en place par le gouvernement et des numéros verts qui apportent un soutien plus important aux victimes d’escroqueries. »

8 entreprises sur 10 canadiennes victimes d’un piratage informatique

Une enquête révèle que 87 pour cent des entreprises canadiennes auraient subi des incidents liés au piratage informatique.

Un sondage intéressant, signé par la société HSB BI&I, auprès de gestionnaires de risques permet de constater que les entreprises sont vulnérables. Près de 90 pour cent des entreprises canadiennes ont subi au moins un incident lié au piratage informatique dans la dernière année, selon une enquête réalisée auprès de gestionnaires de risques d’entreprises, publiée aujourd’hui par La Compagnie d’Inspection et d’Assurance Chaudière et Machinerie du Canada (HSB BI&I) faisant partie de la famille Munich Re.

« Les pirates informatiques ont évolué, et les risques également. Les entreprises doivent faire davantage pour protéger leurs informations sensibles et gérer toutes les violations de données ». Plus de la moitié (60 pour cent) d’entre eux croient que leurs entreprises consacrent suffisamment d’argent, ou de personnel qualifié et expérimenté, pour lutter contre l’évolution des techniques de piratage. Pourtant, 42 pour cent de ces entreprises n’ont pas souscrit une couverture de cyber-assurance.

« Avec la prévalence des cyber-attaques au Canada, il y a une nette divergence entre les perceptions des gestionnaires de risques et le niveau réel d’exposition de leurs entreprises face à une activité de piratage informatique », a déclaré à DataSecurityBreach.fr Derrick Hughes, vice-président chez HSB BI&I. « Les pirates informatiques ont évolué, et les risques également. Les entreprises doivent faire davantage pour protéger leurs informations sensibles et gérer toutes les violations de données ».

Parmi les gestionnaires de risques interrogés dans l’enquête, 66 pour cent représentaient les grandes entreprises, suivis par 28 pour cent pour les organisations de taille moyenne et de 6 pour cent pour les petites entreprises.

L’enquête a révélé une hausse notable de la sensibilisation et des préoccupations quant aux cyber-risques suite de l’adoption récente de la Loi sur la protection des renseignements personnels numériques (projet de loi S-4). Près de 70 pour cent des gestionnaires de risques ont déclaré qu’ils seraient plus enclins à souscrire une couverture de cyber-assurance pour leur entreprise en raison des nouvelles exigences en matière de notification de violation de données.

Les préoccupations concernant le type de renseignements pouvant être violés varient des informations sensibles de l’entreprise (50 pour cent) aux renseignements personnels identifiables (42 pour cent) et aux renseignements financiers (8 pour cent).

Interrogés sur les types de services de gestion des risques envisagés pour lutter contre les cyber-risques, les gestionnaires de risques répondent : la détection d’intrusion et les tests de pénétration (40 pour cent), le cryptage (24 pour cent) et les programmes de formation du personnel (19 pour cent).

HSB BI&I a réalisé la cyber enquête, le 28 septembre 2015, lors du congrès Risk and Insurance Management Society Conference Canada (RIMS Canada) à Québec. Cette enquête est destinée à représenter l’opinion des 102 gestionnaires de risques participants. Pour ce faire, ces derniers ont pris part à l’enquête par le biais d’une entrevue en personne. Les participants représentaient les entreprises de petites (1-99 employés), moyennes (100-999 employés) et grandes tailles (1 000 employés et plus), dans les secteurs d’activités suivants : les services publics et l’énergie; les mines; l’aérospatial, la défense et la sécurité; la fabrication; le secteur public; la technologie; les services financiers, la santé/médical; la vente au détail.

Gratuité et la réutilisation des informations du secteur public

Le Sénat a adopté un projet de loi sur la gratuité et la réutilisation des informations du secteur public.

Lundi 26 octobre le Sénat a examiné le projet de loi relatif à la gratuité et aux modalités de la réutilisation des informations du secteur public. Ce texte a pour objectif de favoriser la réutilisation des données publiques en transposant une directive européenne du 26 juin 2013 qui, selon le Gouvernement, « marque une étape importante dans la politique d’ouverture et de diffusion des données publiques (« open data »)« , et en allant au-delà des exigences de la directive, « dans un souci de simplification ou pour inscrire dans la loi les principes de l’open data, notamment celui de la gratuité« .

Le texte comprend 9 articles qui proposent notamment de supprimer le régime particulier de réutilisation des informations contenues dans les documents produits ou reçus par les établissements ou institutions d’enseignement et de recherche ou culturels (article 1er) ; de limiter à dix ans la possibilité d’accorder un droit d’exclusivité à un tiers pour la réutilisation d’informations publiques, sauf si ce droit a été accordé en contrepartie de la numérisation de ressources culturelles (article 2) et de poser le principe de la gratuité de la réutilisation des informations du secteur public (article 3). Le Gouvernement ayant engagé une procédure accélérée sur ce texte le 31 juillet 2015, il pourrait ne faire l’objet que d’une seule lecture au Parlement avant convocation de la commission mixte paritaire (CMP).

Ce texte a été modifié en commission des lois par l’adoption de 11 amendements et un sous-amendement du rapporteur, ainsi qu’un amendement du Gouvernement, visant à revenir au texte initial, voire à une transposition plus fidèle de la directive.

En séance, les sénateurs ont adopté ce texte. Au cours de l’examen, ils ont notamment souhaité :
· pour un meilleur accès des citoyens aux accords d’exclusivité et à leurs avenants, exiger leur publication électronique des accords d’exclusivité et leurs avenants (amt 22 – art 2) ;
· permettre la révision de la liste informations ou catégories d’informations tous les 5 ans (amt 18 – art 3).

http://www.senat.fr/rap/l15-093/l15-093.html
http://www.senat.fr/dossier-legislatif/pjl15-034.html

Piratage : 4 millions de clients du FAI TalkTalk dans la nature

Une faille de type injection SQL a permis à un pirate informatique de mettre la main sur 4 millions de clients du Fournisseur d’Accès à Internet TalkTalk. Il réclamait plus de 100 000 euros pour son silence.

Le Fournisseur d’Accès à Internet (FAI) britannique TalkTalk a confirmé qu’un pirate informatique était passé dans ses entrailles numériques. Une injection SQL aurait donné accès  à des données clients. Quatre millions de fiches clients ont été, dans le meilleur des cas lus, dans le pire copiés. Il est possible que les renseignements personnels, y compris les coordonnées bancaires, ont été dérobés. Les serveurs de l’entreprise ont été fermés durant plus de 24 heures, le temps que les autorités compétentes face les constatations d’usages, ainsi que des copies afin de remonter aux traces laissées (ou pas) par l’intrus.

Le FAI a admis que « malheureusement » il y avait une «chance» que certaines données clients, les noms des abonnés, les adresses, dates de naissance, numéros de téléphone, adresses e-mail, informations de compte bancaire et numéros de cartes de crédit ont pu être consultés par des pirates. Le pirate a réclamé 80 000 livres sterlings, soit plus de 110 000 euros contre son silence.

Les polices de caractères : elles aussi menacées par le téléchargement illégal

Alors que le téléchargement illégal est devenu une menace tant pour le 7ème art que pour le secteur de la musique, la préservation des droits d’auteurs est devenu un véritable cheval de bataille. Or il y a d’autres artistes à protéger.

En effet, pour les graphistes, les polices sont aussi importantes que les couleurs pour un peintre. Essentielles à chaque conception, les polices de caractères sont, elles aussi, menacées par ces pratiques malveillantes. Le travail du graphiste repose sur deux notions : les polices comme partie intégrante du processus de création et la nécessité de sauvegarder et de protéger l’œuvre des créateurs de polices sans quoi le devenir de nombreux artistes s’en trouverait menacé.

Entre piratage et législation : l’émergence d’un nouveau paradoxe
À l’ère du tout numérique, les polices de caractères n’ont jamais été aussi convoitées et téléchargées illégalement. Des pirates, souvent peu informés ou scrupuleux sur la législation qui encadre les polices de caractères, ne cessent de les utiliser sans licences. Cependant, tout autant que pour une célèbre œuvre de Claude Monnet ou de Kandinsky, l’utilisation frauduleuse d’une police de caractère peut entraîner de dures représailles. En réalisant ou en utilisant une copie non autorisée de polices de caractères, les utilisateurs ou les entreprises s’exposent à de lourdes amendes et poursuites pénales.

On peut ainsi légitiment se demander pourquoi les utilisateurs de polices ne respectent pas les créateurs : manque de connaissances sur les typographes ? Manque de connaissances de la législation ?… Alors que certains resserrent leurs contrôles, paradoxalement, les téléchargements illégaux de licence de police de caractères ne cessent de s’accroître.

Or, au même titre qu’un logiciel, il est primordial de se doter d’une licence de police de caractère qui fait office de contrat et qui a force de loi. Ainsi, le créateur reçoit des droits d’œuvres d’art sur chaque police utilisée et perçoit le fruit de son travail. Toute la chaîne de production est ainsi respectée.

Une solution clé en main proposée aux entreprises
Cette hausse du téléchargement des polices de caractères peut être expliquée par le fait que les licences de polices et leurs conditions d’utilisation sont propres à chaque fonderie et donc complexes à mettre en oeuvre. Il est donc important de proposer aux entreprises de l’aide dans la mise en place d’un gestionnaire de polices de caractères et d’effectuer un travail de vulgarisation des « process ». Une demande de plus en plus importante et nécessaire, preuve en est, le nombre de société, qui proposent un service répondant à cette problématique ne cesse de s’accroître. L’idée étant de proposer une solution clé en main : lever les freins rencontrés par les clients lors de l’achat et la mise en place, d’optimiser les ordinateurs et les logiciels afin que les polices de caractère fonctionnent le plus rapidement et le mieux possible.

Si aujourd’hui les polices de caractères font partie intégrante de l’image de marque des entreprises, elles constituent également le cœur de l’activité des fonderies et créatifs.

Ainsi, l’ensemble des acteurs de la chaîne de création se mobilise contre ce piratage moderne et entend protéger une toute nouvelle forme de capital. (Jean-Michel Laurent, Représentant France d’Extensis)

Amazon traque les faux avis 5 étoiles

Amazon vient de tirer à boulet rouge sur les avis de faux consommateurs. Le géant américain en aurait découvert un millier qui se feraient payer le « 5 étoiles ».

Avoir des avis positifs sur Internet, c’est gage de qualité, de service rendu. Seulement, les faux avis positifs sont nombreux, très nombreux. Amazon vient d’indiquer qu’il en avait repéré plusieurs centaines. Ces derniers passeraient par le site Fiverr.com. Un portail qui permet de vendre « son avis ». Les avis 5 étoiles sont vendus, par exemple, 5 dollars. Amazon a déposé plainte contre X et espère faire disparaître le site, comme ce fût le cas pour buyamazonreviews.com, bayreviews.net et buyreviewsnow.com.

La France s’engage dans la transition numérique

La France est pleinement engagée dans la transition numérique. Forte d’une population très largement connectée et portée par une économie numérique en croissance soutenue, la France dispose de talents et d’atouts à la pointe de l’innovation européenne et mondiale. Le numérique est également un espace de compétition et de confrontation. Concurrence déloyale et espionnage, désinformation et propagande, terrorisme et criminalité trouvent dans le cyberespace un nouveau champ d’expression.

Le Premier Ministre, Manuel Valls, a présenté le 16 octobre la feuille de route de la France dans ce monde de plus en plus connecté. « La « République numérique en actes », voulue par le gouvernement, doit promouvoir nos valeurs, notre économie et protéger les citoyens, indique le Premier Ministre, Œuvrer pour la sécurité du numérique, c’est favoriser le développement d’un cyberespace gisement de croissance pérenne et lieu d’opportunités pour les entreprises françaises, c’est affirmer nos valeurs démocratiques, c’est enfin préserver la vie numérique et les données personnelles des Français. Mon ambition dans le domaine est élevée.« 

Pour l’homme politique, la stratégie nationale pour la sécurité du numérique doit s’appuyer en particulier sur la formation et sur la coopération internationale et doit être portée par l’ensemble de la communauté nationale : le gouvernement, les administrations, les collectivités territoriales, les entreprises et plus largement, l’ensemble des Français. « Elle est l’affaire de tous. Répondre aux enjeux de sécurité du monde numérique est un facteur clé de succès collectif » termine Manuel Valls.

Cette feuille de route comprend cinq grands points. D’abord la stratégie nationale pour la sécurité du numérique. La numérisation de la société française s’accélère : la part du numérique dans les services, les produits, les métiers ne cesse de croître. Réussir la transition numérique est devenu un enjeu national. Vecteur d’innovation et de croissance, la numérisation présente aussi des risques pour l’état, les acteurs économiques et les citoyens. Cybercriminalité, espionnage, propagande, sabotage ou exploitation excessive de données personnelles menacent la confiance et la sécurité dans le numérique et appellent une réponse collective et coordonnée selon cinq objectifs stratégiques.

Ensuite, les Intérêts fondamentaux, défense et sécurité des systèmes d’information de l’état et des infrastructures critiques, crise informatique majeure. En développant une pensée stratégique autonome, soutenue par une expertise technique de premier plan, la France se donnera les moyens de défendre ses intérêts fondamentaux dans le cyberespace de demain. Parallèlement, elle continuera à renforcer la sécurité de ses réseaux critiques et sa résilience en cas d’attaque majeure en développant des coopérations tant à l’échelle nationale avec les acteurs privés qu’internationale. La France se donnera les moyens de défendre ses intérêts fondamentaux dans le cyberespace. Elle consolidera la sécurité numérique de ses infrastructures critiques et œuvrera pour celle de ses opérateurs essentiels à l’économie.

En troisiéme point, la confiance numérique, la vie privée, les données personnelles, la cybermalveillance. Afin que le cyberespace reste un espace de confiance pour les entreprises de toutes tailles et les particuliers, des mesures de protection et de réaction seront adoptées. La protection passera par une vigilance accrue des pouvoirs publics sur l’utilisation des données personnelles et par le développement d’une offre de produits de sécurité numérique adaptée au grand public. La réaction s’articulera autour d’un dispositif d’assistance aux victimes de cybermalveillance qui apportera une réponse technique et judiciaire à de tels actes. La France développera un usage du cyberespace conforme à ses valeurs et y protégera la vie numérique de ses citoyens. Elle accroîtra sa lutte contre la cybercriminalité et l’assistance aux victimes d’actes de cybermalveillance. Protéger la vie numérique, la vie privée et les données personnelles des Français. À la faveur du règlement européen en matière d’identité électronique (eIDAS), la France se dotera d’une feuille de route claire en matière d’identité numérique délivrée par l’État. Cette feuille de route sera élaborée avant la fin de l’année 2015. Elle viendra, normalement, prendre en compte la directive européenne sur l’obligation des entreprises à alerter leurs clients en cas de fuite, vol, piratage de données.

A noter que pour informer les Français sur l’utilisation faite des données confiées aux services numériques, une signalétique adaptée et partagée avec les États volontaires et en cohérence avec les travaux européens effectués dans le cadre du règlement européen relatif à la protection des données à caractère personnel sera mise en place courant 2016. Cette signalétique permettra de visualiser les caractéristiques essentielles des conditions d’utilisation des plates-formes et services numériques ou des moyens de paiement utilisés.

Un point important, traitant de la sensibilisation, les formations initiales, les formations continues a été mis en avant. La prise de conscience individuelle des risques liés à la numérisation de la société reste insuffisante. Face à ce constat, la sensibilisation des écoliers et des étudiants sera renforcée. En outre, afin de répondre aux demandes croissantes des entreprises et des administrations en matière de cybersécurité, la formation d’experts dans ce domaine sera développée. La France sensibilisera dès l’école à la sécurité du numérique et aux comportements responsables dans le cyberespace. Les formations initiales supérieures et continues intégreront un volet consacré à la sécurité du numérique adapté à la filière considérée.

Justice – Diffamation sur Facebook condamnable en France

Une Internaute qui avait publié sur Facebook des propos diffamatoires à l’encontre d’une boîte de nuit a été condamnée à 300 € d’amende avec sursis, et à verser 800 € au plaignant.

Le site juridique Legalis revient sur l’affaire d’une jeune internaute pensant que Facebook et Internet était des lieux ou il était possible d’injurier et diffamer à loisir. Le tribunal correctionnel de Béthune en a décidé autrement en condamnant la dame à 300 € d’amende avec sursis, et à verser à la direction de la boite de nuit 800 € dont 400 € de dommages-intérêts. Le tribunal a voulu rappeler que l’on ne pouvait pas écrire n’importe quoi impunément, sur Facebook comme sur n’importe quel support de diffusion. La jeune femme avait repris une « information » d’un ami, qu’elle n’avait pas vérifiée relatant une fausse altercation avec les vigiles d’une boite de nuit. 4.000 viewers plus tard, la dame efface le message mais les dirigeants avaient déposé plainte dans la foulée.