Archives de catégorie : Justice

Cybersécurité, Justice, loi

Chaque policier Néo-Zélandais formé à la cybersécurité

Voilà une initiative de la police Néo-Zélandaise qui mériterait de traverser mers et océans. Chaque nouveau policier fraichement sorti de l’école recevra une formation sur la cybersécurité.

Intéressante idée que celle proposée par le Ministère de l’Intérieur de Nouvelle Zélande. Chaque nouveau policier recevra une formation sur la cyber sécurité et la cyber délinquance. Une manière de faire rentrer les forces de l’ordre du pays, du « simple » policier aux forces spéciales, dans le monde 2.0 qui nous entoure.

Argent, backdoor, Banque, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Justice, Leak, Paiement en ligne, Particuliers, Piratage, Social engineering, Virus

Des pirates dans le réseau bancaire Isabel

Des pirates informatiques auraient visé le système bancaire belge Isabel.

Le nombre de cyberattaques contre les utilisateurs de toutes sortes de plateformes de banque en ligne est en nette augmentation. Les utilisateurs Isabel aussi peuvent être victimes d’actes de fraude ou de maliciels (logiciel malveillant). Malgré toutes les mesures de sécurité prises par Isabel SA et les banques, la sécurité des transactions n’est possible qu’avec la collaboration active des utilisateurs. Cependant, il semble que des pirates ont trouvé le moyen de nuire à cette entreprise forte de 35 000 clients professionnels.

Isabel SA est le principal prestataire belge de services en matière de PC Banking destinés aux utilisateurs professionnels. Les grandes entreprises, comme Breetec, des PME et des services publics utilisent ce système. Isabel c’est annuellement 400 millions de transactions pour une valeur de 2.400 milliards d’euro. Bref, de quoi attirer les pirates informatiques.

Selon la justice belge, des malveillants auraient mis en place un virus qui se serait attaqué à 35 000 entreprises belges. Des enquêtes ont été ouvertes par les parquets de Bruxelles et de Furnes. D’après le journal De Tijd, plusieurs sociétés auraient été victimes de ponctions pécuniaires orchestrées par le code pirate.

Isabel indique de son côté que le PC de l’utilisateur est contaminé par un maliciel (logiciel malveillant) au travers d’une pièce jointe proposé par un courriel. Le fraudeur prend le contrôle du PC à distance. Il effectue des transactions frauduleuses et les fait signer par l’utilisateur. « Le mode d’attaque ne change pas dans l’environnement Isabel. La seule différence se situe au moment où le fraudeur veut faire signer la transaction : à ce moment, le lecteur de carte émet un bip. Si l’utilisateur considère la demande du lecteur comme suspecte et n’introduit pas son code PIN, aucun problème. » Malheureusement, si l’utilisateur a le réflexe d’introduire son code PIN, il signera sans le savoir une transaction frauduleuse. C’est donc bien l’utilisateur qui signe des transactions qui seront ensuite exécutées par la banque.

Breetec, l’une des victimes, a été en mesure de retracer l’une des transactions qui s’est terminée dans une banque situé à Dubaï.

Argent, Banque, Cybersécurité, Entreprise, Fuite de données, Justice, Paiement en ligne, Particuliers, Phishing, Social engineering

Piratage de cartes de crédit prépayées

La justice belge enquête sur une fraude à la carte bancaire prépayée. Plusieurs centaines de cas déjà référencés.

Une faille a-t-elle était découverte dans les cartes de crédit prépayées belges ? Selon les journaux belges Gazet van Antwerpen et Het Belang van Limburg, des pirates informatiques auraient mis la main sur plusieurs centaines de cartes de crédit prépayées. Des CB qui ne demandent pas à être connectées directement à un compte en banque. Ces cartes se rechargent. Pas besoin de fournir une pièce d’identité pour en acquérir une.

En Belgique, Axa, Belfius et bpost proposent ce type de service. En France, Veritas, Ukash, NeoCash ou encore Carte Zero existent sur un marché comptant plusieurs dizaines de concurrents. Les pirates auraient réussi à manipuler les cartes prépayées de plusieurs établissements financiers. Phishing de clients ou attaque ciblée ? La justice belge n’a pour le moment aucune réponse. A suivre ! (RTBF)

backdoor, Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, Justice, Particuliers, Sauvegarde, Téléphonie, Vie privée

Les Députés américains votent la fin de la collecte en vrac de la NSA

Un commentaire

La NSA collecte, à la tonne, les données téléphoniques. Mission officielle, traquer les terroristes. 338 députés, sur 88, ont décidé que cet espionnage devait être mieux contrôlé.

Alors qu’en France les députés ont décidé de permettre la collecte de données « en vrac » de personnes considérées comme dangereuses par les services de renseignements, aux USA, le Capitole a confirmé par le vote positif de 338 députés (pour 88 contre, NDR) que la même collecte, réalisée par la Nationale Security Agency (NSA) devait être contrôlée.

La Chambre a voté ce 13 mai le projet de loi baptisée USA Freedom Act. Bilan, elle aura pour effet, si le Sénat vote dans le même sens, de faire fermer de nombreux programmes d’espionnage de la NSA. Un espionnage visant les ressortissants américains, sur le sol de l’Oncle Sam. Ce projet de loi, adopté massivement par les députés, mettra peut-être fin à la collecte en vrac des appels téléphoniques à partir d’un fournisseur de télécommunication américain.

Un programme d’espionnage dénoncé en 2006 par USA Today, et qui reviendra sur le devant de la scéne en 2013, via les dossiers de la NSA volés par Edward Snowden, ancien analyste privé des grandes oreilles américaines.

Ce projet de loi prévoit que la NSA devra passer par la Foreign Intelligence Surveillance Court avant de demander une écoute. Ce projet exige de l’agence l’utilisation de mots spécifiques lors de ces
recherches. Des mots qui doivent affiner son accès aux seuls dossiers pertinents. Il faut attendre, maintenant, le vote du Sénat pour entériner ce projet de loi. L’Electronic Frontier Foundation (EFF) se félicite de cette nouvelle avancé, même si l’EFF doute du vote final. La semaine dernière, une cour
d’appel fédérale avait statué que cette collecte massive de données téléphonique était totalement illicite. Une collecte qui n’avait jamais été autorisée par l’article 215 du Patriot Act (Fight 215).

Arnaque, Cybersécurité, Entreprise, escroquerie, ID, Identité numérique, Justice, Particuliers, Propriété Industrielle, Social engineering, Vie privée

Il vendait une méthode pour contrer les détecteurs de mensonge

Un ancien agent fédéral américain, fondateur du site Polygraph.com, se retrouve devant la justice pour avoir commercialisé des méthodes pour contrer les détecteurs de mensonge.

Douglas Williams, un ancien agent fédéral américain de 69 ans a plaidé coupable après avoir été accusé d’aider de potentiels demandeurs d’emplois à tricher lors de leur « interrogatoire » dans la fonction publique de l’Oncle Sam.

Il faut savoir que pour viser un poste de fonctionnaire, d’autant plus quand ce poste touche à la sécurité du pays, une obligation est faite de passer au polygraph, le détecteur de mensonges. Le DRH local cherche à savoir si le candidat a consommé de la drogue, a eu des problèmes avec la justice, … Le polygraphe permet aussi aux prisonniers de demander une libération conditionnelle.

Williams a avoué être le fondateur du site Polygraph.com. Un espace qui lui permettait de commercialiser des formations qui avaient pour mission de piéger le polygraphe et les questions attenantes.

Argent, Banque, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Justice, Leak, loi, Paiement en ligne, Particuliers, Piratage, Vie privée

25 pirates arrêtés dans une opération internationale

Les autorités roumaines ont arrêté vingt-cinq cybercriminels qui s’apprêtaient à s’attaquer aux données bancaires de millions de personnes.

Les pirates présumés agissaient en Roumanie, mais aussi en Belgique, Canada,  Colombie, République dominicaine, Égypte, Estonie, Allemagne, Indonésie, Italie, Lettonie, Malaisie, Mexique, Pakistan, Russie, Espagne, Sri Lanka, Thaïlande, Ukraine, Émirats arabes unis, Royaume-Uni, Etats-Unis. Data Security Breach a appris que la France a été concernée par ce « gang », sans en avoir pour le moment, la confirmation officielle.

Les présumés pirates s’attaquaient aux banques et fabriquaient des clones de cartes bancaires. Ils auraient retiré plus de 15 millions de dollars via des transactions frauduleuses effectués dans 24 pays différents. Si 25 membres de cette équipe ont été arrêtés, il en resterait 27 dans la nature. C’est la Direction des enquêtes sur la criminalité organisée et le terrorisme (DIICOT), le FBI roumain. Pour éviter la détection, les pirates accéléraient le processus en faisant plusieurs petites transactions sur une courte période, généralement le week-end.

En 2013, par exemple, les pirates ont pu retirer 9 millions de dollars via des guichets automatiques situés dans tout l’archipel du Japon. Le 2 décembre 2013, 42000 transactions, via des Distributeurs de billets automatiques, dans 15 villes roumaines différentes, pour un montant de 5 millions de dollars en espèces.

Dimanche 26 avril, les autorités roumaines ont exécuté 42 mandats de perquisition à travers six villes, saisissant des ordinateurs portables, des téléphones mobiles, et 150,000€ en en espèces, des lingots d’or et des peintures. Une opération qui fait suite à l’annonce des services secrets américains à l’encontre de la campagne CyberHeist qui avait permis à des pirates de mettre la main sur 45 millions de dollars en janvier 2013. En mai 2013, 8 pirates (qui semblent liés à gang roumain) se retrouvaient dans les mains de la justice américaine. Ils avaient retiré 2,8 millions de dollars en quelques heures, via des distributeurs de billets de New-York.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Espionnae, Facebook, Fuite de données, Identité numérique, Justice, Particuliers, Social engineering, Vie privée

Loi sur le renseignement : des hébergeurs Français inquiets

Un commentaire

Les hébergeurs AFHADS, Gandi, IDS, Ikoula, Lomaco, Online et OVH diffusent une lettre ouverte dédiée au projet de loi sur le renseignement. Les députés français doivent débattre à son sujet ce lundi 13 avril. Les hébergeurs indiquent que ce cyber espionnage de leurs clients, couteux et inutile, pourrait les contraindre à quitter l’hexagone.

Dans une lettre ouverte diffusée ce 9 avril, les sept hébergeurs indique qu’il est évident qu’il faille doter la France des moyens de renseignement nécessaires pour lutter contre le terrorisme. Il n’y a aucun débat là-dessus. « Là où le projet de loi renseignement pose problème, c’est qu’en voulant être capable de capter en permanence toutes les données personnelles des utilisateurs, notamment par le biais de « boîtes noires », le projet de loi du gouvernement est non seulement liberticide, mais également antiéconomique, et pour l’essentiel, inefficace par rapport à son objectif« .

Ce projet n’atteindra pas son objectif, mettra potentiellement chaque Français sous surveillance, et détruira ainsi un pan majeur de l’activité économique de notre pays. La lettre explique que ces boites noires, en plus d’être couteuse, concernera moins de 5 000 personnes en France. Les hébergeurs expliquent qu’en l’état, le projet de loi renseignement empêchera de réussir le renouveau économique de la France, détruisant un des rares avantages compétitifs majeurs que l’hexagone possède.

Les hébergeurs annoncent 30 % de croissance annuelle et créent des milliers d’emplois directs et indirects, tout en investissant des centaines de millions d’euros tous les ans en France.

Cybersécurité, Justice, loi, Twitter

Quand la propagande tourne au nez rouge

La presse s’est fait l’écho de la fermeture de 9,200 comptes Twitter de djihadistes par Anonymous. Vraiment ?

On a lu un peu partout que le groupe informel Anonymous avait réussi à faire fermer 9,200 comptes Twitter de présumés djihadistes. Une belle action signée Anonymous. Sauf que… Anonymous n’y est pour rien. Derrière cette liste, un site et un internaute anonyme qui en avait marre de voir s’afficher dans le réseau de micro blogging Twitter des images de soldats américains morts. Bilan, il a regroupé des comptes de présumés djihadistes via différents espaces les regroupant eux même de leurs côtés. Le message de XRSone, l’auteur de cette idée, a depuis disparu. La liste des adresses est toujours active via un nouvel espace numérique. Elle affiche plus de 8,908 sites actifs, suspectés d’être pro ISIS. 5,460 ont déjà été fermés par Twitter.

Il y a de forte chance que l’Oncle Sam lui a tapé, gentiment, sur les doigts. Pendant ce temps, les djihadistes ont diffusé les identités d’une centaine de soldats américains. Adresses et photographies mis en ligne pour que ces derniers soient tués « Grâce à l’énorme quantité de données que nous avons obtenues de différents serveurs et bases de données, nous avons décidé de communiquer 100 adresses afin que nos frères résidant en États-Unis d’Amérique puissent s’occuper de vous« . Bref, de la propagande que le Pentagone prend cependant très au sérieux. Les pseudos pirates de l’EI on simplement profité de la langue bien pendue de certains militaires sur Facebook ou encore Twitter. Preuve que lire le guide du bon usage des Médias Sociaux pour les militaires sur le terrain n’est pas un vain mot.

Un guide pour les militaires français
Les médias sociaux sont des plates-formes qui peuvent être collaboratives, de partage et d’échange. Ils offrent des services très variés aux utilisateurs : actualités, mails, chats, blogs, partage de photos, vidéos, géolocalisation, wiki , forum… Les réseaux sociaux font partie intégrante des médias sociaux, ils réunissent des individus autour d’intérêts communs. Le Ministère Français de la Défense a diffusé, il y a quelques temps, un guide à destination des militaires « Notre objectif est de vous aider à utiliser ces médias, à vous poser les bonnes questions avant de publier certains contenus et de vous sensibiliser aux risques potentiels lorsque vous publiez des photos, des vidéos, des informations relatives à une opération, à votre situation personnelle…« 

Un guide à mettre dans toutes les mains, il explique les règles de bon usage, pour un militaire, mais aussi pour les familles. Utiliser les médias sociaux en toute sécurité sans jamais mettre en péril ni le bon déroulement d’une opération, ni votre vie, ni celle de vos camarades ou de votre famille tout en conservant la liberté de surfer sur les réseaux sociaux.

Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Justice, Leak, loi, Mise à jour, Paiement en ligne, Piratage, Sécurité

Mot de passe inchangé : les sociétés de maintenance responsables

2 commentaires

Pour ne pas avoir formé et informé son client sur la bonne gestion de ses mots de passe, une société de maintenance condamnée en France.

Le site Legalis est revenu, dernièrement, sur l’arrêt de la cour d’appel de Versailles et du tribunal de commerce de Nanterre. Ce dernier a jugé qu’une société en charge de la maintenance informatique d’une entreprise avait pour obligation de sensibiliser son client à la sécurité informatique et à la bonne gestion de ses mots de passe. Le professionnel de l’informatique n’avait pas sensibilisé son client à la nécessité de changer le mot de passe de son PABX (Private Automatic Branch eXchange), un standard  téléphonique informatisé.

Bilan, le tribunal a considéré qu’il y avait une faute par négligence. Le client était dans une situation de grande vulnérabilité en raison d’un mot de passe faible. Tout avait débuté après le piratage d’un loueur de véhicules. Son standard avait été piraté. Le PABX avait été exploité par un pirate après avoir trouvé le mot de passe de ce dernier, un mot de passe usine (0000) qui n’avait jamais été changé. 12,208€ avaient ainsi été perdus par le loueur.

Le tribunal a obligé la société de maintenance à payer la somme. « Il revient à l’utilisateur de gérer la sécurité de son matériel, à condition toutefois qu’il ait été informé de cette nécessité et qu’on lui ait montré comment procéder » indique Legalis. Il incombait au prestataire des missions d’information, d’assistance et de formation ainsi qu’une visite annuelle de vérification de l’état de sécurisation de l’installation téléphonique, et donc de faire changer, régulièrement le dit mot de passe.

Des attaques fréquentes
Début février 2015, des pirates informatiques, spécialisés dans la téléphonie (des phreakers, NDR), avaient utilisé ce fameux mot de passe usine pour piéger le standard de la mairie de Licques. Le pirate avait ensuite permis à des tiers de téléphones vers l’île de l’Ascension, au sud de l’Équateur. En 2013, ce fût la Mairie de Pessac à se retrouver avec une facture de 15.000€. Dans le Nord de la France, l’école de musique municipale d’une ville de la banlieue de Lille se retrouvait, elle aussi, avec une fuite téléphonique dés plus couteuse. Même sanction pour une entreprise du Pays châtelleraudais. Début mars 2015, la société a découvert, via sa facture téléphonique, qu’un malveillant était passé dans ces autocommutateurs afin d’obtenir un accès gratuit au réseau téléphonique. Les Cyber Gendarmes enquêtent.

 

Banque, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Justice, Leak, loi, Mise à jour, Patch, Piratage, Social engineering

Cyber-protection des entreprises : bientôt les vraies questions

Un sujet qui ne les concerne pas. C’est sans doute ainsi que les citoyens, s’ils étaient interrogés, qualifieraient la question des moyens utilisés par les entreprises pour lutter contre les cyber-menaces.

Normal. Après tout – et heureusement – aucun drame de type coupure généralisée de l’électricité revendiquée par des pirates n’est survenu, mettant de facto ce thème aux allures techniques à la une des médias et des préoccupations. Plus de 25 000 sites ont certes été piratés suites aux drames de janvier, mais les autorités ont rapidement calmé les esprits en rappelant qu’il s’agissait d’actes de cyber vandalisme et de communication, non de cyber guerre – aucune donnée n’a été volée, aucun système industriel n’a été détruit. Quelques attaques informatiques ont par ailleurs été médiatisées – celle de Home Dépôt en septembre dernier, puis celle de Sony Pictures, entre autres. Mais pour les citoyens, ces affaires semblent bien éloignées …

Double erreur d’interprétation. D’abord parce ces organisations, comme toutes les autres grandes entreprises, avaient bien sûr déployé la batterie traditionnelle de solutions de sécurité. Simplement, cette dernière ne suffit plus, désormais, pour détecter rapidement une attaque, la comprendre, et en limiter ainsi les impacts – ce sont d’ailleurs les pirates qui ont révélé leurs méfaits à Sony, après plusieurs semaines de vols de données. L’entreprise, elle, n’avait rien vu. Ensuite parce que les organisations françaises ne savent pas exactement dans quelle mesure elles peuvent utiliser les nouvelles techniques d’analyse et de détection faute d’avoir la réponse à une question clef : jusqu’où peuvent-elles aller dans la surveillance de leur réseau tout en respectant la vie privée de leurs employés ? Et cette question, elle, concerne directement tous les citoyens…

Car hélas les attaques les plus visibles sont souvent les moins graves – on l’a vu en janvier. Ce sont celles qui ne se voient pas qui font le plus de dégâts. Or, ce sont justement celles-là que les entreprises sont de moins en moins capables de détecter, pour une raison en simple : une part croissante des flux qui transitent sur leurs réseaux sont chiffrés, c’est-à-dire rendus illisibles par Google, Yahoo et autres géants de la high-tech – un phénomène qui s’est accentué après l’Affaire Snowden. Le problème n’en serait pas un si tous ces flux étaient d’ordre professionnel – dans ce cas, les entreprises ne se poseraient pas la question de savoir si elles peuvent les déchiffrer et les analyser. Elles le feraient, c’est tout. Mais l’infrastructure de nos entreprises est également utilisée par les employés à des fins personnelles, et cela de manière tout à fait légale. Les données échangées et stockées sur les ordinateurs peuvent tout naturellement avoir une composante personnelle, donc confidentielle. Les salariés seraient-ils alors prêts à laisser leur employeur déchiffrer ces traces personnelles – et renoncer ainsi à une partie de leur intimité – pour que leur entreprise puisse mieux se protéger et empêche les pirates d’utiliser les flux chiffrés comme des tunnels d’accès direct, sans péage, à son système d’information ? Sous quelles conditions pourraient-ils l’accepter ? Sur ces sujets la législation aujourd’hui se tait et le débat, d’ordre sociétal autant qu’économique, peine à être lancé.

Le sera-t-il à court terme ? C’est fort probable. Non à l’initiative des entreprises ou des pouvoirs publics – dans le contexte économique actuel, les premières ont en effet d’autres sujets de préoccupation. Les autorités, elles, subissent déjà des polémiques de type – « sécurité vs liberté » – depuis qu’elles travaillent sur l’échange des données des passagers aériens, pour lutter contre le terrorisme. En fait, ce sont plutôt les citoyens eux-mêmes qui pourraient bien mettre la question à l’ordre des débats publics. Aux États-Unis en effet les employés de Sony Pictures ont intenté une action en justice contre l’entreprise pour défaut de protection de leurs données personnelles – ces dernières ayant été volées par les pirates. Ont-ils vraiment conscience de ce qu’impliquerait la mise en œuvre d’une protection plus efficace ? La démarche sera-t-elle répliquée en France ? Nul ne le sait. Mais les débats, c’est certain, ne font que commencer. En échange de moyens accrus pour faire face aux cyber-menaces, indispensables, il faudra bien définir de nouvelles garanties pour les individus. La cyber-protection des entreprises, y a-t-il quelqu’un qui ne se sente pas concerné ? (Par Dominique Loiselet, Directeur France et Afrique francophone de Blue Coat)