Archives de catégorie : Justice

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Justice, Leak, loi, Particuliers, Piratage, Propriété Industrielle, Vie privée

Données personnelles, l’Europe s’active…

La très prochaine Réglementation Générale de l’Union Européenne sur la Protection des Données, prévue pour la fin de l’année, concerne toutes les entreprises disposant de bases de données personnelles. Celles-ci auront 2 ans pour se mettre en conformité avec cette nouvelle réglementation. Des sanctions financières lourdes (jusqu’à 5% du chiffre d’affaires annuel) seront appliquées en cas d’infraction.

Gouverner, c’est prévoir. Cette maxime doit être complétée par l’évidence qu’il faut, pour anticiper les décisions, disposer de l’information. Toutes les entreprises qui utilisent des bases de données personnelles doivent donc aujourd’hui s’intéresser à la future Réglementation Générale de l’Union Européenne sur la Protection des Données qui verra le jour à la fin de l’année. Avec d’autant plus d’attention que des sanctions financières lourdes (jusqu’à 5% du chiffre d’affaires annuel) seront appliquées en cas d’infraction.

Une Réglementation Générale sur la Protection des Données
Soucieuse de renforcer les droits sur la vie privée en ligne, la Commission Européenne a proposé le 25 janvier 2012 une réforme de l’UE 95/46 /CE sur la protection des données, une réglementation déjà vieille de 10 ans. Depuis la mise en œuvre de la directive initiale, les progrès technologiques ont en effet entraîné une modification profonde de la façon de collecter, de rendre accessibles et d’utiliser les données. Une proposition de Réglementation Générale sur la Protection des Données a donc vu le jour. Approuvée par le Parlement Européen en mars dernier, elle est en cours d’adoption par le Conseil de l’Union Européenne et sera effective d’ici la fin de l’année, c’est-à-dire dans un mois, pour entrer en vigueur définitive après une période transitoire de deux ans.

Des conséquences pour tous les résidents de l’Union…
La Réglementation Générale sur la Protection des Données sera applicable si l’entreprise ou le sujet des données – la personne – est installé dans l’Union Européenne. Ce qui est déjà le cas de la Directive actuelle qui soumet les entreprises européennes à des règles beaucoup plus strictes que les entreprises hors UE. Désormais, les entreprises établies en dehors de l’Union Européenne devront obéir aux mêmes normes que les sociétés européennes lorsqu’elles traiteront des données personnelles de résidents de l’UE.

Par donnée personnelle, la Commission Européenne désigne « toute information relative à une personne physique, se rapportant à sa vie privée, professionnelle ou publique. Il s’agit du nom, d’une photo, d’une adresse électronique, de coordonnées bancaires, de messages sur les réseaux sociaux, d’une information médicale ou de l’adresse IP d’un ordinateur. »

Les principales modifications touchent à trois sujets majeurs.
Le droit à effacer des données personnelles
Le droit à l’oubli numérique permettra aux personnes qui veulent maîtriser leur vie en ligne de ne plus avoir de données personnelles stockées, traitées ou accessibles. Tout particulier pourra obtenir qu’elles soient supprimées, à condition qu’aucun motif légitime ne justifie leur maintien.

Chaque utilisateur final aura le droit de transférer des données d’un service à l’autre. D’autre part, les entreprises devront obtenir l’accord des intéressés pour recueillir leurs données personnelles. La non-obtention ou la non-fourniture de ce consentement invalidera le processus. Les entreprises doivent être en mesure de prouver comment les données personnelles sont traitées, recueillies, conservées, accessibles et utilisées. Elles doivent pouvoir produire l’accord explicite qui leur permet de traiter les données en question.

Le Responsable de la protection des données
Les entreprises de plus de 250 salariés seront tenues de nommer un Responsable de la protection des données, dont les coordonnées devront être publiées, pour veiller au respect de la réglementation. En cas de violation des données, il devra informer les organismes de réglementation en fournissant des renseignements détaillés, dans les 72 heures qui suivent la prise de connaissance de l’infraction. Toute action ayant un impact «hostile» devra être notifiée. En conséquence, l’entreprise doit se préparer et prendre les dispositions nécessaires pour fournir les informations détaillées sur les violations de données, aux autorités compétentes, dans le laps de temps autorisé. Ces exigences signifient que l’entreprise doit être capable d’identifier rapidement l’infraction et mesurer l’étendue de la fuite.

Une protection intégrée
Des garanties de protection des données devraient être intégrées dès les premiers développements des produits et des services proposés par les entreprises. Les paramètres par défaut respectant la vie privée devraient devenir la norme, comme par exemple sur les réseaux sociaux.

Des conséquences importantes pour l’entreprise
La Directive en vigueur n’est pas appliquée de la même manière dans tous les pays membres de l’Union Européenne. La nouvelle Réglementation sur la Protection des Données sera, au contraire, mise en œuvre de manière identique dans tous les pays membres. Le fait que ce soit une Réglementation et non une Directive signifie qu’elle sera directement applicable à chaque Etat membre de l’UE.

Le respect de la Réglementation évitera des pénalités financières et d’éventuelles poursuites judiciaires. Des sanctions sont prévues. Etablies en fonction de l’ampleur de la fuite de données, elles peuvent atteindre 2 à 5% du chiffre d’affaires annuel global et aller jusqu’à 100 millions d’euros.

Une grande sévérité pour les entreprises !
Les diverses modifications comme le droit à l’oubli, l’accès facilité pour l’utilisateur à ses propres données, l’accord nécessaire pour pouvoir utiliser ou traiter les données des particuliers, la nomination d’un Responsable à la protection des données, la notification et les informations concernant les flux en cas de violation ainsi que la confidentialité par défaut sont évidemment à inclure dans le plan d’évolution du Système d’Information, et cette nouvelle réglementation, qui a des conséquences importantes sur l’organisation de l’entreprise, doit être mise en place avec attention.
Comment se conformer à cette nouvelle norme ?

La Réglementation Générale sur la Protection des Donnée engendrera des changements au niveau de la collecte, du stockage, de l’accessibilité et de l’utilisation des données. Quant à l’obligation de déclarer toute violation des données, cela nécessite un système actif de surveillance des échanges et des flux de données et un certain nombre de bonnes pratiques.

Un examen approfondi des politiques de sécurité et de protection des données ainsi que des rôles et responsabilités au sein de l’entreprise s’impose. La priorité est un audit pour évaluer les risques et déterminer les actions à entreprendre en fonction des faiblesses propres à l’entreprise sur ce sujet. En second lieu, l’adoption d’une solution de SIEM* est un moyen efficace de contrôler l’accès aux systèmes où sont stockées les données personnelles. Ce type de solution permet aussi de surveiller la sécurité des systèmes et recevoir des alertes quand on y accède. Les logs fournissent en effet une vision complète et exacte de ce qui a été consulté. Il est donc possible d’informer rapidement les organismes de réglementation en cas de violation des données. Il est également possible de configurer des rapports prouvant la conformité à la Réglementation, ce qui aide considérablement les Responsables de la protection des données.

Faire appel à des experts et mettre en place dès 2015 ces nouvelles exigences en matière de sécurité et de conformité s’avère d’ores et déjà une tâche à planifier. On peut bien sûr penser que la mise en œuvre effective de la réglementation étant prévue après une période de deux ans, rien ne presse… Mais l’expérience montre que l’examen d’une structure organisationnelle ainsi que les mises à niveau nécessaires du système prennent du temps. Anticiper est aussi un avantage concurrentiel (voire marketing) pour les entreprises utilisant pour leur métier de gros volumes de données personnelles. (Par Frédéric Saulet, Directeur Régional Europe du Sud de LogPoint.)

* SIEM : Security Information and Event Management – Le principe du security information management est de gérer les événements du système d’information (Wikipédia).

Cyber-attaque, Cybersécurité, Justice, Piratage, Virus

Opération MouseTrap : 15 utilisateurs de RAT arrêtés

Cette semaine, Europol et plusieurs services de police et autorités judiciaires ont mené des actions contre des citoyens européens suspectés d’utiliser des chevaux de Troie (ou RAT) pour réaliser des activités cybercriminelles. Il s’agit principalement d’adolescents et de jeunes adultes. Cette action et les perquisitions associées ont permis l’interpellation ou l’audition d’une quinzaine de suspects dans plusieurs pays Européens.

Les individus interpellés ou interrogés, en Estonie, France, Roumanie, Lettonie, Italie, Norvège, Royaume-Uni, utilisaient de façon frauduleuse ces troyens d’administration à distance pour commettre différents types de délits dont le vol de données personnelles, des attaques en déni de service et des extorsions. Cette opération, pilotée par la France qui réalise six enquêtes dans le cadre de cette opération, prend place dans le cadre d’EMPACT – le plan multi-annuel d’action de l’Union européenne – en collaboration avec le Centre européen de lutte contre la cybercriminalité d’Europol (EC3) et les autorités européennes concernées. EC3 a apporté son soutien à sept pays dans leurs efforts pour identifier les individus utilisant de façon frauduleuse ce type de RATs, en hébergeant deux réunions de coordination, en collationnant le renseignement et en fournissant un appui en analyse criminelle.

 Un objectif important de cette action coordonnée au plan Européen est d’informer le public sur la menace posée par ce type de virus informatiques. Les exemples de ces RATs parmi les plus connus sont Blackshades, Poisonivy et DarkComet. Des actions similaires sont d’ores et déjà programmées au cours de l’année à venir.

Les chevaux de Troie ou troyens d’administration à distance (Remote access trojans – RATs) sont des codes informatiques qui sont utilisés pour espionner l’ordinateur des victimes (pour accéder à des informations personnelles, enregistrer l’activité à l’écran ou encore enregistrer l’image de la caméra ou le son du microphone intégrés ou connectés à l’ordinateur, collecter des mots de passe ou des numéros de cartes bancaires). Ces RATs frauduleux sont distincts des outils légitimes d’administration à distance (remote administration tools) qui sont par exemple souvent utilisés dans les réseaux d’entreprises pour assister les utilisateurs ou installer des logiciels à distance, avec le consentement et la connaissance de l’utilisateur légitime de la machine.

Ils sont souvent utilisés dans la réalisation des formes graves de criminalité organisé pour détourner des informations confidentielles des entreprises ou des réseaux des administrations, mais ils sont utilisés pour cibler des individus pour commettre différentes formes de fraude ou d’atteinte à la vie privée. Parfois, la motivation des délinquants est décrite comme un amusement ou une distraction consistant à s’immiscer dans la vie privée d’inconnus. Dans tous les cas, l’utilisation de ces RATs est une infraction dans la plupart des pays du Monde et en tous cas dans toute l’Europe (infractions d’accès illégal à un système de traitement automatisé de données, collecte illégale de données à caractère personnel ou d’atteintes à la vie privée). A titre d’exemple l’article 323-3-1 du code pénal français punit l’utilisation de ce type de virus informatiques de peines pouvant aller au maximum de 2 ans à 7 ans d’emprisonnement suivant les circonstances.

Cyber-attaque, Cybersécurité, Justice, Leak

Le Ninja Chinois vivait au Canada

2 commentaires

La police canadienne vient de mettre la main sur un présumé piraté informatique Chinois. Ce dernier est accusé par les services secrets américains d’avoir visité, sans autorisation, les systèmes informatiques de Boeing.

Ce pirate informatique aurait réussi à mettre la main et la souris sur des dossiers traitant du Boeing C-17 et des Lockheed Martin F-22 et F-35. Bref, si cela est vrai, nous pouvons constater cinq choses. Les « IP made in China » que l’on nous affiche dans les logs sont en grande partie des leurres; que les pirates Chinois sont plus efficace hors de chez eux; que les géants de l’industrie ont des trous partout;  qu’ils n’ont pas l’air d’être choqué quand, toujours dans les logs, des centaines de gigas octets de dossiers s’envolent dans la nature; que le chiffrement n’a pas l’air d’être important.

Le présumé pirate, Su Bin, vit au Canada. Il était le patron d’une société spécialisée dans l’aéronautique. Avec deux complices, basés en Chine, ils auraient collecté des informations sur les nouveautés de Boeig (C17, F22 et F35). L’Oncle Sam affirme que les informations ont été transmises au gouvernement Chinois et que le Y20, clone du C17, serait la résultance de ce piratage… durait depuis 2009. Bref, « Y-a-t-il un pilote dans l’avion ?« . Une seconde annonce de piratage chinois au moment ou le secrétaire d’Etat américain John Kerry et le secrétaire au Trésor Jacob Lew visent le gouvernement Chinois pour parler business.

Pendant ce temps…

Qendrim Dobruna, un Albanais de 27 ans qui évoluait sur la toile sous les pseudonymes de « cl0sEd » et « cL0z », arrêté en Allemagne en 2012 et extradé aux USA vient de plaider coupable de fraude bancaire. C’est devant le tribunal de New York, vendredi, que l’homme a affiché son envie de ne pas finir en prison durant les 100 prochaines années. Il est accusé d’avoir participé au vol de 14 millions de dollars, en 2011, via des centaines de distributeurs de billets basés dans 18 pays et quelques 15.000 retraits frauduleux. En février 2011, ce brave garçon avait eu le courage d’attaquer le système de paiement en ligne mis en place pour la Croix rouge américaine. Il connaitra son sort le 24 octobre prochain. Il risque 1 million de dollars, la confiscation de ses biens. Il découvrira aussi si les 30 prochaines années il les passera dans une prison fédérale. Le Secret Service américain a travaillé en étroite collaboration avec le ministère de la Justice et INTERPOL pour mettre la main sur le pirate et ses amis.

Argent, Banque, Justice, Paiement en ligne, Piratage

Un pirate informatique Moldave jugé en Suisse

Un pirate informatique Moldave, qui avait piraté une banque américaine de Floride, vient d’être condamné par la justice Suisse.

L’homme âgé de 38 ans vient d’écoper d’une amende de 1,5 millions de francs Suisses, de quelques mois de prison et se retrouve avec une expulsion vers les Etats-Unis qui risquent de lui coûter encore plus cher. A noter que la justice a pu saisir 12 millions de francs (plus de 9 ,8 millions d’euros) que le pirate possédait sur six comptes bancaires qu’il possédait.

Avec 6 passeports en poche, le voleur numérique aurait, via ses actes de piratages et ses complices, transféraient quelques 200 millions de francs Suisse (+164 millions €). Il avait réussi à pirater des comptes bancaires de la Warrington Bank en piégeant une caissière, via un mail malveillant. Il lui avait dérobé ses identifiants de connexion qui avaient permis par la suite à opérer des dizaines de paiements frauduleux. (Le Matin)

Entreprise, Justice, Propriété Industrielle

L’Union européenne doit bloquer les sites « .vin » et « .wine », illégaux sur Internet

L’autorité américaine ICANN, qui gère au niveau mondial l’ensemble des noms de domaine sur Internet, vient de prendre la décision de ne pas suspendre sa décision d’accorder des délégations dans le secteur du vin. L’attribution de ces nouveaux domaines, tels que « wine » et « vin », ouvre la porte à des violations potentielles de la législation internationale sur la protection des appellations géographiques.
Eric Andrieu dénonce ainsi l’attitude proaméricaine de cet organisme. « Cette décision est absolument inacceptable : d’un côté les producteurs risquent d’être rackettés et, de l’autre, les consommateurs trompés. Des personnes pourront, sans être inquiétées, s’approprier des noms de domaine, comme « languedoc.wine », en mettant à la vente sur Internet des produits qui n’ont rien à voir avec cette région de production ».
Comme l’a exprimé le gouvernement français, l’eurodéputé considère que l’Union et ses Etats membres doivent renoncer à participer à la réforme de l’ICANN qui a montré les limites de son fonctionnement. Cette décision devra, par ailleurs, être prise en compte dans le cadre des négociations actuelles sur le Traité transatlantique entre les Etats-Unis et l’Union européenne.
La délégation socialiste et radicale française soutient l’ensemble des vignerons européens et du monde entier attachés à la défense de vins de qualité, dans leur campagne de boycott de vente de vins sur Internet. Demain, cette question se posera avec d’autres produits alimentaires, bénéficiant d’appellations de qualité et pouvant être mis en vente sur la toile. Ce n’est pas à l’ICANN, société de droit américain et qui sert les intérêts de quelques entreprises, de régenter la vente sur Internet de produits alimentaires de qualité. Aujourd’hui, il y a donc un besoin urgent d’action au niveau de l’Union européenne, une action forte et unie, capable de contribuer, par le droit international, à l’amélioration de la gouvernance mondiale en matière de gestion de l’Internet.
Justice, Logiciels, Propriété Industrielle

27.000€ de dommages pour avoir perturbé Deezer

Un commentaire

Le site de diffusion de musique en mode streaming, Deezer, vient de faire condamner un internaute français à 15.000€ d’amende (avec sursis) et 27.000€ de dommages-intérêts.

Comme le stipule le site juridique Legalis, les juges ont estimé qu’il avait porté atteinte à une mesure technique efficace de protection et proposé sciemment à autrui des moyens conçus pour porter atteinte à une telle mesure, en violation des articles L. 335-3-1, I et II du CPI, qu’il avait développé et diffusé auprès du public un logiciel manifestement destiné à la mise à disposition du public non autorisé d’œuvres protégées, en violation de l’article L 335-2-1 du CPI. Bref, le jeune français avait créé le logiciel Tubemaster++ qui permettait, en profitant d’une faille de Deezer, pour copier les musiques proposés par le site web.

L’étudiant s’est retrouvé face à l’article L 331-5 du code de la propriété intellectuelle, introduit par la loi Hadopi du 12 juin 2009. Il a du créer un outil pour contourner la sécurité de Deezer et s’est retrouvé face aux « mesures techniques efficaces destinées à empêcher ou à limiter les utilisations non autorisées par les titulaires d’un droit d’auteur ou d’un droit voisin du droit d’auteur d’une œuvre, autre qu’un logiciel, d’une interprétation, d’un phonogramme, d’un vidéogramme ou d’un programme sont protégées dans les conditions prévues au présent titre. ».

ios, Justice, Sécurité, Smartphone, Téléphonie

Deux rançonneurs d’iPhone sous les verrous

Un commentaire

La section K, les renseignements russes, ont mis la main sur ce qui semble être les rançonneurs d’iPhone qui avaient defrayé la chronique, fin mai. Pour rappel, le rançongiciel pour iPhone bloquait les précieux smartphones d’Apple. Le logiciel malveillant bloquait les smartphones et réclamait de l’argent.

Le Ministère de l’Intérieur Russe vient d’indiquer que des suspects avaient été arrêtés dans cette affaire. Les suspects ont été arrêtés dans le sud de Moscou. Ils sont âgés de 23 et 16 ans. Le service presse du département K du Ministère de l’Intérieur russe indique que les deux hommes ont été incarcérés.

Lors de la perquisition, du matériel informatique, des cartes SIM et des téléphones utilisés dans des activités illégales ont été saisis. Ils risquent quelques années de prison.

Justice

Consulter un film en streaming n’est plus illégal ?

2 commentaires

Voilà un titre qui annonce d’entrée de jeu la couleur. L’Union Européenne a décidé, la semaine derniére, que les internautes qui consultent dorénavant du contenu protégé par le droit d’auteur en ligne ne risquent  plus d’être inquiétés par la justice.

Voilà qui laisse perplexe. La décision indique clairement qu’un internaute européen qui regarde un film, une série TV, une émission ou encore une musique via un site de streaming pirate ne sera plus inquiété par la justice dans la mesure ou le dit internaute n’a rien téléchargé. Ici, la finesse est intéressante car, dans tous les cas, même en streaming, des données sont téléchargées sur l’ordinateur.

Cette extrapolation vient à la suite d’une décision de la justice européenne qui a du trancher entre deux sociétés, Meltwater et Newspaper Licensing Agency. La premiére entreprise, basée en Suède, avait copié et diffusé dans sa newsletter à destination de ses clients des actualités récupérées dans la presse. Une revue de presse vue d’un mauvais oeil par le britannique Newspaper Licensing Agency. Meltwater ne diffusait que le début du texte et un lien renvoyant sur le site d’origine et l’intégralité de l’article. [Supreme Court]

L’agence de presse s’était aussi attaquée aux clients, considérant que ces derniers devaient payer une licence d’utilisation. L’Europe vient donc de trancher considérant que le « lecteur » n’était pas responsable et n’avait rien à payer. Bref, l’internaute visionneur n’enfreint pas l’article 5 de la Directive européenne sur l’harmonisation du droit d’auteur et des droits voisins dans la société de l’information.

Une exemption à la loi européenne car dans ce cas, l’internaute utilise une reproduction temporaire d’un contenu protégé. Bilan, consulter un article, un film, une série TV en mode ‘streaming » ne sont donc plus illicites. Par contre, que le diffuseur continue de trembler. Le fait de mettre à disposition ces contenus protégés reste interdit et punissable. [Curia Europa]

Entreprise, Identité numérique, Justice, Propriété Industrielle

Val Thorens, une marque protégée sur Internet

Comme l’explique le site Legalis, la station de ski Val Thorens est une marque qu’il vaut mieux éviter de détourner sur Internet.

Par un arrêt du 28 mai 2014, la cour d’appel de Lyon a estimé que les noms de domaine val-thorens.net et val-thorens.org appartenaient à la station de ski éponyme et non pas à l’internaute qui avait mis la main de ces adresses web. Pour la justice, il y a violation du droit d’auteur, même si la Ville et son office de tourisme n’avaient pas enregistré les noms de domaine.

Chiffrement, cryptage, Cybersécurité, Identité numérique, Justice

DGSI, les oreilles du coq Gaulois

Depuis vendredi 2 mai, l’Etat Français dispose d’une nouvelle arme de dissuation électronique baptisée DGSI. Le journal officiel présente la Direction Générale de la Sécurité Intérieure (DGSI) comme ayant pour mission « la surveillance des communications électroniques et radioélectriques« . Une nouvelle direction qui avait été annoncée par le Ministre de l’Intérieur Emmanuel Valls, en juin 2013.

« Les menaces auxquelles est exposé le pays nécessitent une action déterminée de l’Etat qui doit se doter de moyens performants de prévention et de répression de toute forme d’ingérence étrangère, d’actes de terrorisme, d’atteintes à la sûreté de l’Etat, à l’intégrité du territoire, à la permanence des institutions de la République et aux intérêts fondamentaux de la France. » explique le site Gouvernement.fr. C’est dans cette perspective qu’est créée la direction générale de la sécurité intérieure.

Dans son decret n° 2014-445 (du 30 avril 2014) on apprend que la DGSI est rattachée au Ministére de l’Intérieur. La DGSI remplace la DCRI, fusion de la DST et des RG. Dorénavant, la Dame est chargée « sur l’ensemble du territoire de la République, de rechercher, de centraliser et d’exploiter le renseignement intéressant la sécurité nationale ou les intérêts fondamentaux de la Nation« . Bref, nos services de renseignements intérieurs passent en mode 2.0 pour la sécurité des Français et des entreprises hexagonales. La DGSI va pouvoir, officiellement, mettre sur écoute téléphone, Internet, et les réseaux qui devront être surveillés. Bien entendu, la justice donnera son feu vert (ou non). La DGSI devra faire ses demandes auprès de la Commission nationale de contrôle des interceptions de sécurité (CNCIS).

Dans son article 2, le décret explique qu' »Au titre de ses missions, la direction générale de la sécurité intérieure pour assurer la prévention et concourt à la répression de toute forme d’ingérence étrangère ;

Concourir à la prévention et à la répression des actes de terrorisme ou portant atteinte à la sûreté de l’Etat, à l’intégrité du territoire ou à la permanence des institutions de la République ;

Participer à la surveillance des individus et groupes d’inspiration radicale susceptibles de recourir à la violence et de porter atteinte à la sécurité nationale ;

Concourir à la prévention et à la répression des actes portant atteinte au secret de la défense nationale ou à ceux portant atteinte au potentiel économique, industriel ou scientifique du pays ;

Concourir à la prévention et à la répression des activités liées à l’acquisition ou à la fabrication d’armes de destruction massive ;

Concourir à la surveillance des activités menées par des organisations criminelles internationales et susceptibles d’affecter la sécurité nationale ;

Concourir à la prévention et à la répression de la criminalité liée aux technologies de l’information et de la communication ».

432 agents devraient constituer, d’ici 2018, cette nouvelle Direction. A ce rythme là, la DGSI et la DGSE devrait fusionner d’ici quelques mois, histoire de partager les coûts, les moyens et les techniciens.