Archives de catégorie : Justice

Attaque informatique contre le parlement lituanien

Ce lundi 11 Avril , le site du parlement lituanien (le Seimas ) a subi une cyber-attaque d’ampleur. L’attaque coïncidait avec la retransmission sur le site du parlement d’une réunion du Congrès mondial des Tatars de Crimée et d’une conférence internationale sur les violations massives des droits de l’homme dans les territoires occupés de Crimée.

L’ attaque DDoS a rendu impossible d’assister à la rediffusion en ligne de l’événement en dehors de la Lituanie. Selon Loreta Grauzinenie, porte-parole du parlement, il s’agirait de la première attaque du genre sur le Seimas .

Si le groupe EzBTC Squad a revendiqué l’attaque sur Twitter, prétextant des motivations financières (réclamant 4 Bitcoins soit 1 600 euros). Toutefois, ce groupe, nouvel émergent sur la scène pirate, a peiné à démontrer la crédibilité de ses menaces et même son implication réelle dans l’attaque.

On peut légitimement se demander si l’attaque DDoS ne serait pas en train de devenir un moyen politique visant à museler administrations, organismes, communautés. On peut aussi tout simplement se demander si le EzBTC Squad est véritablement l’auteur ou s’il essaie de tirer parti de la situation. Le business du DDoS rapporte aussi beaucoup d’argent aux boutiques cachées derrière ces « attaques ».

Mais de fait, puisque la liberté d’expression s’exerce sur Internet, l’attaque DDoS pourrait bientôt s’avérer un outil efficace pour les hacktivistes, groupements d’intérêts, voire les gouvernements souhaitant limiter la liberté d’expression en dehors des frontières sur lesquels leur pouvoir s’exerce. ZATAZ.COM a diffusé, ce dimanche 17 avril, les commentaires d’un de ces groupes d’hacktivistes, Interview de DownSec, manifestant du numérique, des adeptes de la cyber manifestation sous forme de DDoS.

Fuite, perte, piratage de données ? Entreprise, il va falloir communiquer !

La directive européenne de protection des données personnelles est morte ! Vive le règlement général sur la protection des données (GDPR). Fuite, perte, piratage de données ? Entreprise, il va falloir communiquer !

En 1995, l’Europe s’équipait de la directive européenne de protection des données personnelles. Mission, protéger les informations des utilisateurs d’informatique. 21 ans plus tard, voici venir le règlement général sur la protection des données (GDPR). La Commission européenne avait proposé en 2012 un nouveau règlement portant sur un ensemble de règles unique pour toutes les données collectées en ligne afin de garantir qu’elles soient conservées de manière sûre et de fournir aux entreprises un cadre clair sur la façon dont les traiter.

Mercredi 13 avril 2016, le paquet législatif a été formellement approuvé par le Parlement dans son ensemble. Le GDPR impose aux entreprises (petites ou grandes) détenant des données à caractère personnel d’alerter les personnes touchées par une fuite, une perte, un piratage de la dire informations privée. Grand groupe, PME, TPE doivent informer les autorités de contrôle nationales (CNIL) en cas de violation importante de ces données. Comme je pouvais déjà vous en parler en 2014, il faut alerter les autorités dans les 72 heures après avoir découvert le problème. Les entreprises risquent une grosse amende en cas de non respect : jusqu’à 4% de son chiffre d’affaire. Les informations que nous fournissons doivent être protégées par défaut (Art. 19). A noter que cette régle est déjà applicable en France, il suffit de lire le règlement de la CNIL à ce sujet. Faut-il maintenant que tout cela soit véritablement appliqué.

Fuite, perte, piratage de données

Parmi les autres articles, le « 7 » indique que les entreprises ont l’obligation de demander l’accord « clair et explicite » avant tout traitement de données personnelles. Adieu la case par défaut imposée, en bas de page. De l’opt-in (consentement préalable clair et précis) uniquement. Plus compliqué à mettre en place, l’article 8. Je le vois dans les ateliers que je mets en place pour les écoles primaires et collèges. Les parents devront donner leur autorisation pour toutes inscriptions et collectes de données. Comme indiqué plus haut, les informations que nous allons fournir devront être protégées par défaut (Art. 19). Intéressant à suivre aussi, l’article 20. Comme pour sa ligne téléphonique, le numéro peut dorénavant vous suivre si vous changez d’opérateur, cet article annonce un droit à la portabilité des données. Bilan, si vous changez de Fournisseur d’Accès à Internet par exemple, mails et contacts doivent pouvoir vous suivre. L’histoire ne dit pas si on va pouvoir, du coup, garder son adresse mail. 92829@orange.fr fonctionnera-t-il si je passe chez Free ?

La limitation du profilage par algorithmes n’a pas été oublié. En gros, votre box TV Canal +, Orange ou Netflix (pour ne citer que le plus simple) utilisent des algorithmes pour vous fournir ce qu’ils considèrent comme les films, séries, émissions qui vous conviennent le mieux. L’article 21 annonce que l’algorithme seul ne sera plus toléré, surtout si l’utilisation n’a pas donné son accord. Enfin, notre vie numérique est prise en compte. Les articles 33 et 34 s’annoncent comme les défenseurs de notre identité numérique, mais aussi notre réputation numérique. L’affaire Ashley Madisson est un des exemples. Votre identité numérique est volée. L’entreprise ne le dit pas. Votre identité numérique est diffusée sur Internet. Vous ne la maîtrisez plus.

Bref, 33 et 34 annonce clairement que les internautes ont le droit d’être informé en cas de piratage des données. La CNIL sera le récipiendaire des alertes communiquées par les entreprises piratées. Bref, fuite, perte, piratage de données ? Entreprise, il va falloir communiquer !

Les entreprises ont jusqu’au 1er janvier 2018 pour se mettre en conformité. Les 28 pays membres doivent maintenant harmoniser leurs lois sur le sujet. Je me tiens à la disposition des entreprises, associations, particuliers qui souhaiteraient réfléchir à leur hygiène informatique.

Police : nouvelles règles sur les transferts de données

Le paquet sur la protection des données inclut par ailleurs une directive relative aux transferts de données à des fins policières et judiciaires. La directive s’appliquera aux transferts de données à travers les frontières de l’UE et fixera, pour la première fois, des normes minimales pour le traitement des données à des fins policières au sein de chaque État membre.

Les nouvelles règles ont pour but de protéger les individus, qu’il s’agisse de la victime, du criminel ou du témoin, en prévoyant des droits et limites clairs en matière de transferts de données à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales – incluant des garanties et des mesures de prévention contre les menaces à la sécurité publique, tout en facilitant une coopération plus aisée et plus efficace entre les autorités répressives.

« Le principal problème concernant les attentats terroristes et d’autres crimes transnationaux est que les autorités répressives des États membres sont réticentes à échanger des informations précieuses », a affirmé Marju Lauristin (S&D, ET), députée responsable du dossier au Parlement. « En fixant des normes européennes sur l’échange d’informations entre les autorités répressives, la directive sur la protection des données deviendra un instrument puissant et utile pour aider les autorités à transférer facilement et efficacement des données à caractère personnel tout en respectant le droit fondamental à la vie privée« , a-t-elle conclu.

La France : une cible privilégiée pour les cybercriminels

Selon la société américaine de sécurité informatique Symantec, la France fait son retour dans le top 10 des pays à cybercriminalité la plus active, aux côtés de la Chine et des Etats-Unis. Quelles sont les sanctions en pratique ? Ce récent sondage questionne l’effectivité des dispositifs juridiques mis en place en vue de lutter contre le piratage. Bref, comment ne pas finir comme cible privilégiée pour les cybercriminels ?

La position de la France en la matière s’explique en grande partie par l’utilisation croissante des rançongiciels. En effet, ces derniers représenteraient plus de 391 000 attaques en 2015. L’utilisation de ces logiciels malveillants permet aux hackers de chiffrer les fichiers d’un ordinateur, avant d’exiger une rançon en contrepartie de leur décryptage.

Un récent sondage de Kaspersky montrait que les pays les plus visés par cette pratique sont la Russie, l’Inde et l’Allemagne. Il sévit également en Italie, en Autriche, aux Etats-Unis, et en Chine. Marco Preuss, chargé de la recherche et du développement au sein de Kaspersky Lab en Europe, a d’ailleurs déclaré que « 2016 est probablement l’année du ransomware. Au cours du seul mois de février, nous avons déjà dénombré autant de tentatives d’attaques contre nos clients que lors des cinq mois précédents cumulés ». Des chiffres qu’il faut cependant modérer. L’entreprise américaine se base sur ses chiffres clients.

Bien qu’il existe 60 variantes de ce programme, le procédé est toujours le même. Il est généralement reçu par courriel dans lequel figure la plupart du temps une pièce jointe qui peut se présenter sous la forme d’une notification de fax ou de scanner. Une fois installé sur l’ordinateur, une bannière sur laquelle il est indiqué qu’il faut envoyer un SMS à un numéro de téléphone spécifié ou verser de l’argent sur un compte bancaire, s’affiche.

Cible privilégiée pour les cybercriminels

L’Agence nationale de sécurité des systèmes informatiques mène actuellement une campagne de sensibilisation sur l’utilisation des rançongiciels, ce qui démontre l’ampleur du phénomène. En cas d’infection de l’ordinateur, elle préconise de porter plainte au commissariat de police.

Il est en effet possible d’agir à l’encontre des pirates informatiques sur le fondement des articles 323-1 et suivants du Code pénal. En effet, le fait d’accéder ou de se maintenir frauduleusement dans tout ou partie d’un système de traitement automatisé de données est puni de deux ans d’emprisonnement et de 60 000 euros d’amende. De même, le fait d’entraver le fonctionnement d’un système informatique est puni de cinq ans d’emprisonnement et 150 000 euros d’amende. Enfin, est puni des mêmes peines, le fait d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données d’un tel système.

D’où il résulte, la nécessité accrue d’une vigilance renforcée pour ne pas finir comme une cible privilégiée pour les cybercriminels. Les entreprises ont de plus en plus conscience des enjeux que représente la sécurité de leurs systèmes informatiques. Toutefois, encore faut-il que les textes précités soient appliqués ! L’impunité du piratage informatique engendre un risque augmenté d’insécurité des systèmes informatiques. Il est indispensable que les forces de police et les magistrats veillent au respect de ces dispositions, ce qui n’est pas le cas à l’heure actuelle. A quand une prise de conscience ?

Par Maitre Antoine Chéron, pour DataSecurityBreach.fr, avocat spécialisé en propriété intellectuelle et NTIC, fondateur du cabinet ACBM (http://www.acbm-avocats.com)

Le FBI aurait un faille 0Day visant firefox

La police fédérale américaine, le FBI, aurait en sa possession une faille agissant à partir du navigateur Firefox. Une faille 0Day visant firefox permettrait de piéger les utilisateurs de TOR ?

En février 2016, FBI avait reçu une demande particulièrement gênante de la part d’un avocat. Dans l’affaire du réseau de pédophiles Paypen, le FBI avait réussi à retrouver des utilisateurs via une network investigative technique (NIT). L’espace pédophile officiant via le système d’anonymisation TOR avait été stoppé par le Federal Bureau of Investigation grâce à l’exploitation d’une NIT. 137 internautes avaient été arrêtés. Des arrestations rendues possibles via l’utilisation de ce NIT. Bref, l’avocat voulait connaitre les petits secrets de ce fameux code du FBI.

Faille 0Day visant firefox ?

Aujourd’hui, des experts estiment que le FBI a peut-être bien plus qu’un simple outil permettant de tracer les internautes utilisateurs de TOR. Une vulnérabilité dans le navigateur Firefox, un logiciel utilisé par des centaines de millions de personnes partout dans le monde, est montré du doigt. Un chercheur de l’Université de Berkeley pense que le FBI cache ce petit secret informatique qui lui permettrait de remonter aux informations des « anonymes ».

Pour rappel, le FBI avait utilisé une faille dans Flash d’Adobe lors d’une enquête, en 2012, contre un autre espace numérique proposant de la pédopornographie. « Les Efforts acharnés du FBI à protéger son exploit suggère qu’il fonctionne toujours » indique Christopher Soghoian de l’American Civil Liberties Union (ACLU). En 2013, le journal britannique The Guardian expliquait comment la NSA utilisait un exploit dans Firefox, baptisé EgotisticalGiraffe afin de tracer les utilisateurs de TOR. (Vice)

Un adolescent arrêté pour avoir lancé des attaques DDoS

Un internaute de 15 ans arrêté pour avoir lancé des attaques DDoS contre une école. Une manipulation qui va perturber durant 48 heures l’hébergeur.

Le problème pour certains adolescents agissant sur Internet est de leur faire comprendre qu’une attaque de DDoS n’a rien de génial, de techniquement mirobolant. Non, un DDoS peut se comparer à déverser des poubelles devant une porte d’entrée car l’auteur de cette décharge publique n’a pas les capacités techniques et intellectuelles pour reproduire la clé ou crocheter la serrure qui lui aurait permis de rentrer dans la maison visée. Bref, un DDoS, du bullshit en paquet de 10.

Il a lancé des attaques DDoS 

C’est ce qu’aurait du se dire un adolescent de 15 ans, arrêté le 8 avril dernier en Australie. Le jeune homme a attaqué une école, le Reynella East College. Un DDoS non maîtrisé qui a perturbé, durant 48 heures, l’hébergeur du site de l’école et les clients de l’entreprise. Le piratin signait ses actes sur la toile sous les pseudonyme de Will Star, Purple city et Global line. [Police]

Projet de loi pour interdire le chiffrement indéchiffrable

Interdire le chiffrement indéchiffrable ! Pour aider les forces de l’ordre dans leurs taches, deux sénateurs proposent un nouveau projet de loi qui souhaite contrôler le chiffrage des données.

Ce qui est bien avec les hommes politiques est qu’ils ont de la suite dans les idées dès qu’il s’agit de marquer leur nom dans l’histoire, ou dans les pages des journaux. Les sénateurs Richard Burr et Dianne Feinstein (Californie) ont bien l’intention de marquer de leur empreinte l’histoire US.

Les deux politiques peaufinent la version préliminaire d’un projet de loi Sénatorial qui aurait pour effet d’interdire le chiffrement indéchiffrable. Cette loi exigerait des entreprises qu’elles apportent le moyen de déchiffrer téléphone et ordinateur dès que les autorités le souhaiteront.

Les deux sénateurs n’ont pas encore annoncé la date de présentation de ce projet de loi. Ils ne le feront peut-être jamais. Leur coup médiatique étant réussi, ils sont dans les journaux !

Walking dead

Walking dead – Risque d’amende et de prison pour les piétons qui utilisent leur smartphone, en marchant, dans la rue.

Certaines lois américaines, celles prodiguées par les états, font parfois sourire. Certaines inquiètent. Par exemple dans l’Etat d’Alabama, il est  interdit de conduire une voiture avec les yeux bandés. Dans la ville de Glendale (Arizona), il est illégal de conduire en marche arrière. Pire, en Californie, et plus précisément à Los Angeles, un homme peut légalement frapper sa femme avec une ceinture de cuir. Attention, elle ne doit pas dépasser 2 pouces de large, sauf… avec l’autorisation de sa femme. Bref, la proposition de loi faite dans le New Jersey, il y a quelques jours, risque de rejoindre ce nid d’obligation bien difficile à tenir.

Walking dead

La député Pamela Lampitt voudrait punir les marcheurs, dans la rue, qui utilisent leur smartphone pour envoyer des textos. Elle souhaite aussi que soit interdit tout appel dans la rue, sauf si le piéton possède un kit main libre. Le contrevenant risquera 50 dollars d’amende ou 15 jours de prison. La politique explique sa proposition à la lecture du nombre croissant de décès de piéton. 11% en 2005 ; 15% en 2014. Lampitt indique que la mesure est nécessaire pour dissuader et sanctionner les « comportements à risque ». Elle cite aussi un rapport du Conseil national de sécurité qui affiche les incidents visant des piétons distraits par leur téléphone : environ 11,100 blessures de 2000 à 2011.

A Haiwaï, les piétons risqueront 250 $ si ces derniers traversent un passage clouté avec son téléphone à la main. Au cours des dernières années, des projets de loi similaires ont échoué en Arkansas, Illinois, Nevada ou encore New York.

Nouvelle tentative de Google d’échapper au droit à l’oubli

Le géant Google a été condamné à 100 000 euros d’amende par la Commission Nationale Informatique et Libertés (CNIL) pour ne pas avoir appliqué le droit à l’oubli sur l’ensemble des extensions géographiques de son nom de domaine.

Cette condamnation fait suite à une mise en demeure datant de mai 2015, par laquelle la CNIL reprochait au moteur de recherche de limiter le déférencement des liens signalés par les internautes européens, aux extensions géographiques européennes de son nom de domaine, comme par exemple : « google.fr » en France, « google.it » en Italie. Les contenus litigieux restent donc accessibles sur l’extension « google.com ».

En réplique, Google avait affirmé qu’il ne revient pas à une agence nationale de protection des données à caractère personnel de se revendiquer « une autorité à l’échelle mondiale pour contrôler les informations auxquelles ont accès les internautes à travers le monde ».

Isabelle Falque-Pierrotin, Présidente de la CNIL, avait alors décidé d’engager une procédure de sanction à l’encontre de Google. Elle souhaitait ainsi faire preuve d’une certaine fermeté en raison des nombreuses plaintes des internautes (700 plaintes dont 43% sont fondées).

En réalité, la CNIL cherche à faire appliquer l’arrêt du 13 mai 2014 dans lequel la Cour de justice européenne avait consacré le droit à l’oubli. Ce dernier permet à tout internaute européen qui en fait la demande, d’obtenir le déférencement de contenus de nature à porter atteinte au respect de sa vie privée.

Bien que désapprouvant cette décision, Google avait mis à disposition des internautes un formulaire de signalement. La démarche n’en est pas pour autant faciliter puisqu’en France seules 52% des pages web ayant fait l’objet d’une demande de déférencement ont été partiellement retirées. De plus, en cas de refus du moteur de recherche de déférencer les informations signalées, il ne reste à ces derniers plus qu’à se tourner soit vers le juge des référés, soit vers la CNIL. Or, le juge a tendance à mettre en balance le droit à l’oubli avec la liberté d’information (TGI de Paris, 23 mars 2015).

En janvier dernier, Google a proposé de mettre en place un filtrage afin que les internautes qui consultent le moteur de recherche à partir du même pays d’origine que le demandeur, ne voient plus le résultat ayant été déférencé. Comme soutenu par la CNIL, ce filtre ne permettrait pas de garantir efficacement le droit au respect de la vie privée au travers du droit à l’oubli.

A contrario, la position du géant américain est justifiée notamment au regard du principe de neutralité des contenus sur internet. De plus, le droit à l’oubli affaiblit la valeur économique de Google qui réside dans le référencement des liens hypertextes et qui est fondé sur le droit à l’information.

Google entend contester cette décision.

Par Par Maitre Antoine Chéron, avocat spécialisé en propriété intellectuelle et NTIC, fondateur du cabinet ACBM.

Une fausse société revendait des identifiants de connexion à des Chinois

Identifiants de connexion – Les identifiants et les mots de passe d’environ 18 millions d’utilisateurs d’Internet Japonais retrouvés dans un serveur mis en place par une fausse société. Elle revendait les connexions à des Chinois.

La Nicchu Shinsei Corp., basée dans le quartier de Toshima Ward de Tokyo semblait être une PME nippone comme toutes les autres. Sauf qu’elle fournissait à des Chinois des moyens de se connecter à Internet en usurpant les identités des clients originaire du pays du soleil levant.

La police locale a trouvé sur un serveur informatique de cette entreprise, pas moins de 18 millions de japonais piratés. Nicchu Shinsei Corp. fournissait un serveur de relais pour des accès illicites. 18 millions de données (ID, Mot de passe), ainsi que 1,78 millions de données Twitter, Rakuten… Le nombre de victimes dans cette affaire récente fait de ce piratage le plus grand cas de vol d’informations au Japon. Sur le serveur, un programme automatique tentait illégalement d’accéder aux espaces ainsi compromis.

Des pirates Chinois seraient derrière cette « installation ». Un piratage qui ressemble comme deux goutes d’eau à celui vécu, en 2014. Ici aussi, une autre société avait permis d’intercepter 5.928.290 millions de données personnelles. (Japan News)

Apple vs. FBI : suite et fin ?

Apple vs. FBI – Suites du jugement rendu mardi 16 février par la Cour fédérale du Riverside en Californie, dans lequel cette dernière exigeait de la multinationale « une assistance technique raisonnable » au FBI afin de lui permettre d’accéder au contenu crypté de l’iPhone d’un des auteurs présumés de la fusillade de San Bernadino.

Il semblerait que le gouvernement qui parallèlement à ce jugement poursuivait ses efforts pour accéder au contenu de l’iPhone soit arrivé à ses fins. Le FBI contacté par un tiers serait sur le point de parvenir à accéder (si ce n’est déjà le cas) aux données de l’iPhone. S’en est suivie la levée d’une audience qui devait se tenir ce mardi. Le test de la viabilité de méthode fera l’objet d’un rapport d’évaluation et sera prochainement communiqué au juge en charge de l’affaire, Sheri Pym.

Il y serait parvenu sans l’aide d’Apple. Dans une telle hypothèse, la personne à l’origine de cette méthode pourrait néanmoins s’exposer à des poursuites judiciaires. Selon Robert Enderle, expert en technologies, il pourrait s’agir de John McAfee (créateur de l’anti-virus éponyme), ou d’un ancien employé d’Apple. En France, cette personne aurait pu être poursuivie sur le fondement des articles L 323-1 et suivants du Code pénal qui incriminent l’accès ou le maintien frauduleux dans un système automatisé de traitement des données. S’il s’agit d’un ancien employé d’Apple, il pourrait se voir opposer la clause de confidentialité présente dans son ancien contrat de travail.

Apple vs. FBI

En réalité, il serait surprenant qu’Apple ne soit pas intervenu. La version des faits telle qu’avancée par le gouvernement américain constituerait un juste milieu et permettrait à Apple de collaborer avec le FBI tout en maintenant son image de garant des libertés fondamentales auprès des consommateurs. En effet, depuis le jugement du 16 février dernier, la multinationale était dans une position ambigüe puisque si fournir au FBI un moyen pour accéder au contenu de l’iPhone permet de démontrer qu’Apple participe à lutter contre le terrorisme, a contrario cela engendrerait une menace de sécurité pour ses clients.

Depuis l’affaire Snowden qui avait révélé une collecte massive des données par la NSA dépassant le cadre sécuritaire, les sociétés américaines surfant sur cette vague d’indignation ont fait de la sécurité des données un véritable argument marketing. Si l’inviolabilité des téléphones rassure les consommateurs, les autorités regrettent qu’elle puisse aider la criminalité. Cette affaire ravive ainsi le débat sur la nécessité d’accéder aux contenus en vue de lutter contre le terrorisme d’une part et de renforcer la sécurité des données, d’autre part. D’un point de vue informatique, le premier suppose l’introduction d’une faille de sécurité dans le programme au moyen notamment des backdoors (ou « portes dérobées »), tandis que le second vise à rendre le logiciel infaillible à toute intrusion tierce.

Dans l’un comme dans l’autre cas, l’impact en termes d’image est négatif pour Apple. Il semble qu’elle s’en soit néanmoins sortis de cette confrontation Apple vs. FBI. Ainsi, lundi dernier alors que le FBI affirmait détenir une méthode viable pour accéder aux données de l’iPhone, Tim Cook déclarait que « nous devons décider en tant que nation quel pouvoir devrait avoir le gouvernement sur nos données et notre vie privée ».

En France, le projet renforçant la lutte contre le crime organisé, le terrorisme et leur financement qui sera prochainement en discussion devant le Sénat, complète l’article L 230-1 du Code pénal qui permet aux autorités judiciaires de désigner toute personne morale ou physique en vue d’accéder à des données chiffrées. Ce faisant, il disposera désormais en son dernier alinéa que « le fait, pour un organisme privé, de refuser de communiquer à l’autorité judiciaire requérante enquêtant sur des crimes ou délits terroristes (…) des données protégées par un moyen de cryptologie dont il est le constructeur, est puni de cinq ans d’emprisonnement et de 350 000 euros d’amende », l’amende étant portée au quintuple concernant les personnes morales. (Par Maitre Antoine Chéron, avocat spécialisé en propriété intellectuelle et NTIC, fondateur du cabinet ACBM.)

Concours Correspondants Informatique et Libertés

L’AFCDP (Association française des Correspondants à la protection des Données à caractère Personnel) lance un concours destiné à récompenser le meilleur mémoire réalisé sur un sujet qui intéresse les Correspondants Informatique et Libertés – destinés à devenir les futurs DPO (Data Protection Officer) et, plus largement, tout professionnel de la conformité à la loi Informatique et Libertés et à la protection des données personnelles. Ce prix est dénommé « Meilleur Mémoire AFCDP ».

Pour cette première édition du Prix du Meilleur Mémoire AFCDP, le thème porte sur les moyens et techniques permettant de rendre « inintelligibles » les données personnelles afin de mieux les protéger et d’éviter à avoir à notifier les personnes concernées en cas de violation à un traitement de données. Ce thème s’inscrit dans la préparation des responsables de traitements au futur règlement européen sur les données personnelles.

L’objectif du mémoire est donc de vulgariser et de montrer, de façon opérationnelle, les apports de techniques telles que le chiffrement, le hachage, la tokenisation, la pseudonymisation pour éviter la notification des violations de données aux personnes concernées. Le règlement de ce concours est librement accessible ICI.

FBI Vs Apple : violation du système de confiance

Pourquoi la demande du FBI auprès d’Apple constitue une violation du système de confiance … une question qui va bien au delà du chiffrement des données.

En résumé, on demande à Apple de démonter le système de confiance utilisé depuis plus de 20 ans pour sécuriser Internet. Cette action du gouvernement américain -qui exige de pouvoir utiliser des certificats Apple- constitue un détournement et un piratage d’Internet. La question n’est pas de décrypter un téléphone utilisé par un terroriste.

Les certificats constituent le socle de la cybersécurité. Si le gouvernement est autorisé à utiliser les certificats Apple, il contrôle le logiciel qui contrôle en grande partie l’accès aux logiciels, à Internet et aux applications. Il en prendra alors le contrôle et le détournera.

L’enjeu de la demande du FBI et le défi d’Apple ne se limitent pas à un seul téléphone chiffré utilisé par un terroriste. C’est une violation du système de confiance à base de certificats [numériques] sur lequel reposent les logiciels et Internet ! Le FBI souhaite qu’Apple utilise un certificat Apple pour signer le logiciel qui s’exécutera ensuite (ce que le FBI appelle le fichier logiciel signé de l’iPhone [‘‘signed iPhone Software File’’]). Ces tactiques rappellent celles utilisées pour rendre Stuxnet si efficace – un malware signé à l’aide de certificats valides qui avait pu s’exécuter sans éveiller la méfiance. La requête du FBI risque de marquer un précédent, car elle porte, non sur le fait de casser le chiffrement, mais sur le fait de casser le logiciel. D’où la réponse de Tim Cook : ‘‘Le gouvernement demande à Apple de pirater ses propres utilisateurs et de saper les avancées réalisées depuis plusieurs décennies dans le domaine de la sécurité pour assurer la protection de nos clients.’’

Or, la plus grosse ‘‘avancée’’ dans le cas présent est l’intérêt croissant que les cybercriminels portent au système de confiance créé par les certificats tel que nous le connaissons, et les attaques dont il fait l’objet. Les logiciels font tourner le monde et c’est le rôle des certificats TLS ou les signatures de code de distinguer ce qui est digne de confiance de ce qui ne l’est pas, de trier le bon grain de l’ivraie. Le logiciel signé par Apple ne deviendrait pas seulement une arme convoitée, ce serait également un prototype supplémentaire dans le manuel d’attaques des méchants, comme l’a été Stuxnet il y a 6 ans.

Qu’est-ce que cela signifie pour les entreprises du Global 5000 ? À une époque où certificats et clés suscitent de plus en plus l’intérêt des gouvernements et les convoitises de personnes mal intentionnées, je dirais qu’il est d’autant plus important de connaître les certificats et clés auxquels l’on peut se fier, pour protéger ceux que l’on utilise.

La réponse rapide et légitime d’Apple au FBI contraste fortement avec un autre grand problème de sécurité qui a concerné tous les utilisateurs de smartphones et d’ordinateurs dans le monde. L’autorité de certification chinoise CNNIC, une entité du gouvernement chinois qui contrôle le ‘‘Grand Pare-feu de Chine’’ et surveille le cybercomportement des citoyens de l’Empire du Milieu, était jugée digne de confiance par l’ensemble des navigateurs, ordinateurs, smartphones et tablettes Microsoft, Apple et Google. Or, la CNNIC a été impliquée dans une tentative d’usurpation de Google en Égypte – un incident auquel Google et Mozilla ont rapidement réagi en jetant le discrédit sur la CNNIC. Face aux dizaines de milliards de dollars de chiffres d’affaires en jeu chaque trimestre sur le marché chinois, Apple et Microsoft n’ont pas bougé pendant des mois. Apple a discrètement choisi de faire confiance à certains certificats CNNIC, tandis que Microsoft a laissé faire. L’incident n’a pas reçu la même couverture médiatique que la requête du FBI. Malheureusement, dans le cas de la CNNIC et contrairement à aujourd’hui, Apple n’a pas réagi. Son absence de réaction rapide ou publique a donné l’impression que la firme à la pomme faisait passer ses intérêts financiers chinois devant la sécurité et la confidentialité des données de tous les utilisateurs d’iPhone, d’iPad et de Mac à travers le monde. La réactivité d’Apple à la demande du FBI est un changement bienvenu et nous espérons qu’à l’avenir, l’entreprise ferait de même en cas d’incidents impliquant les autorités chinoises. [Kevin Bocek, VP Threat Intelligence and Security Strategy, Venafi]

Jurisprudence : Vers un revirement de la jurisprudence Google Adwords ?

Les acteurs de l’économie numérique ont très vite compris que le choix d’une marque pertinente était un critère décisif de la compétitivité et de la performance de leur site e-commerce. La course à la créativité est donc lancée afin de disposer d’un nom de marque ou de domaine qui soit à la fois original et captif de l’attention du client internaute. Les enjeux commerciaux y sont importants si l’on considère, comme il est souvent prédit dans la presse économique, que le commerce électronique supplantera à terme les ventes traditionnelles.

Le fait de disposer d’une marque captivante peut offrir une garantie de réussite commerciale sur Internet mais encore faut-il que la validité de son titre soit indiscutable et qu’un dispositif de vigilance a été mise en place, avec l’aide d’un conseil en propriété industrielle le plus souvent, pour s’assurer que son titre ne fait pas l’objet d’acte de contrefaçon. Le risque de contrefaçon de sa marque est réel sur Internet puisque le contentieux ne cesse de s’intensifier notamment depuis l’existence de certaines fonctionnalités publicitaires proposées par les moteurs de recherche, dont le très contesté achat de mots-clés.

C’est pour illustrer cette forme de contrefaçon à la marque sur Internet que nous faisons ici retour sur une décision récente du Tribunal d’Instance de Paris qui a eu notamment à connaître de l’hypothèse d’une atteinte à la marque verbale d’autrui par reproduction de celle-ci dans l’adresse URL du site du concurrent (TGI de Paris 29 janvier 2016, Sarl Un Amour de Tapis v/ WW E-Services France).

Jurisprudence : Les circonstances de l’affaire jugée
En l’espèce, la Sarl Un Amour de tapis-tapis pas cher est titulaire des marques enregistrées verbales et semi-figuratives « Un Amour de Tapis ». Elle commercialise des tapis à travers son site Internet à l’adresse www.unamourdetapis.com. En 2013 elle autorise la société WW E Services qui exploite le site Westwing.com, réputé pour ses ventes de produits de décoration intérieure et spécialement de tapis, à organiser sur Internet et pendant quatre jours une vente privée de tapis portant la marque Un Amour de Tapis.

La Sarl un Amour de Tapis s’est toutefois rendue compte que la société WW E Services avait quelques mois plus tard et sans autorisation, organisé une deuxième vente privée de tapis sous le signe « un amour de tapis » à l’adresse URL https://www.westwing.fr/un-amour-de-tapis-choisissez-votreclassique/.

Considérant que ces agissements étaient constitutifs d’actes de contrefaçon de marque, de concurrence déloyale et de parasitisme, la Sarl Un Amour de Tapis assigna le site WW E-Services devant le TGI de Paris. Elle demande au tribunal sur le fondement des articles L713-2 et suivants du CPI et 1382 du Code civil de condamner son adversaire à lui verser environ 60.000 euros de dommages-intérêts.

Nous nous arrêterons ici essentiellement sur l’action en contrefaçon de marque et la contrefaçon rappelons-le constitue selon l’article L716-1 du CPI une atteinte aux droits du propriétaire de la marque et engage la responsabilité civile de l’auteur de l’acte.

Les arguments avancés par la victime des actes de contrefaçon
La Sarl Un Amour de Tapis soutient préalablement que conformément à l’article L711-2 du CPI sa marque verbale « Un Amour de Tapis » enregistrée à l’INPI en classe 27 est distinctive et non descriptive du produit tapis puisqu’elle renvoie à une passion ou à un fantasme. Le mot « amour » qui est placé en attaque de l’ensemble « Un Amour de Tapis », n’est ainsi pas employé pour désigner des tapis et les autres produits de la classe 27.

S’agissant plus spécialement des actes de contrefaçon de sa marque par reproduction à l’identique et par imitation, la Sarl Un Amour de Tapis faisait constater par procès-verbal que le site Westwing.fr sur lequel se déroulait la vente en ligne comportait une adresse URL ainsi formulée : https://www.westwing.fr/un-amour-de-tapis-choisissez-votreclassique/. Sa marque est également reproduite dans le contenu de la page accessible à cette adresse, dans son code source et ses balises meta.

Le Sarl reproche en outre à WW E-Services d’avoir réservé auprès du moteur de recherche Bing le mot clé « unamourdetapis », reproduisant ainsi la marque dans l’annonce publicitaire diffusée par ce moteur de recherche ainsi que dans le nom de domaine de la page de renvoi.

Ces reproductions à l’identique et par imitation de sa marque génèrent selon la Sarl un risque de confusion chez le consommateur en ne lui permettant plus d’individualiser les produits de la Sarl Un Amour de Tapis.

Les arguments opposés par le contrefacteur
Pour sa défense la société WW E-Services prétend à l’irrecevabilité de l’action en contrefaçon. Elle soutient classiquement que la marque « un amour de tapis » n’est pas valable faute de distinctivité. Cette marque serait constituée de l’adjonction de deux termes usuels français « amour » et « tapis » et serait évocatrice des produits « tapis ». En conséquence les mots de la marque « un amour de tapis » seraient banals, même dans leur association, empêchant ainsi de conférer à son titulaire un droit de propriété sur cette marque pour les produits et services qu’il a désignés, ici les tapis.

La société WW E-Services soutient subsidiairement qu’elle n’a pas reproduit à l’identique la marque « un amour de tapis » dans l’adresse URL figurant sur son site, qu’au contraire, certaines différences signifiantes comme les tirets entre chaque mot (www.westwing.fr/un-amour-de-tapis-choisissez-votreclassique), permettent de faire la distinction avec la marque reprise. Elle prétend également que si elle a repris la marque considérée c’est sous forme de simple titre, pour servir d’annonce à la vente en ligne et non à titre de marque.

S’agissant de l’imputation relative à l’achat du mot clé «unamourdetapis » auprès de Bing, la société WW E-Services oppose « qu’elle ne peut être tenue pour responsable des outils automatiques de recherche des moteurs de recherche qui utilisent leur propre algorithme ». Elle ajoute enfin que la présence du signe « un amour de tapis » dans son code source ne peut constituer une contrefaçon de marque dans la mesure où il n’est pas visible et accessible à l’internaute.

Jurisprudence : Pour quelles raisons la marque « un amour de tapis » est jugée valable par le tribunal ?
Le tribunal rappelle en premier lieu qu’en présence d’une marque verbale composée de plusieurs termes, il convient d’en apprécier la validité, au regard des articles L711-2 et suivants du CPI, de manière globale et non pas au regard de ses éléments pris isolément. Les juges vont alors retenir que si le terme « tapis » contenu dans la marque est descriptif des produits considérés, il y a lieu en revanche de considérer que son association avec les termes « un amour de » enlève à l’ensemble son caractère descriptif, car ces termes ne sont pas habituellement employés et associés ensemble pour désigner des tapis.

Pour le tribunal le signe « un amour de tapis » présente ainsi un caractère parfaitement arbitraire par rapport aux produits désignés, ici les tapis, caractère arbitraire grâce auquel le public pertinent pourra identifier l’origine des produits et les distinguer de ceux des autres fournisseurs.

Plusieurs décisions du TGI de Paris ont déjà statué en ce sens et notamment celle relative à la marque Emailing France qui a été jugée valable du fait de l’ajout du mot France à celui d’emailing, mot générique à lui seul (TGI de Paris 24 mars 2009 SNDC et autres / Ludopia Interactive, Impact Net).

C’est donc une décision très satisfaisante pour la Sarl « Un Amour de Tapis » qui voit confirmer son titre et qui peut désormais prétendre à une protection par le droit de la propriété industrielle.

Jurisprudence : Pourquoi en l’espèce la contrefaçon de marque est-elle caractérisée ?
La question se posait au tribunal de savoir si l’adresse URL www.westwing.fr/un-amour-de-tapis-choisissez-votreclassique/ était ou non constitutive d’une contrefaçon à la marque « un amour de tapis » ? Du point de vue de la société WW E Services il n’y a pas de reproduction à l’identique de la marque puisqu’il existe des modifications signifiantes consistant en des rajouts de tirets entre les mots.

Or pour le tribunal au contraire la marque est clairement et entièrement reproduite à l’identique et les tirets entre les mots constituent des différentes insignifiantes. Il s’agit donc en l’espèce d’une reproduction servile de la marque d’autrui et dans ce cas selon le tribunal, point n’est besoin d’apporter la preuve d’un quelconque risque de confusion dans l’esprit du consommateur.

La difficulté est souvent grande pour le juge à caractériser l’atteinte à la marque et notamment lorsque la contrefaçon porte sur des détails qui peuvent passer inaperçus auprès du consommateur. L’appréciation est subjective et le juge prend en considération l’impression d’ensemble qui peut se dégager de la reprise de la marque pour décider s’il y a ou non risque de confusion.

La CJUE a fixé en la matière certaines règles à suivre : la comparaison entre les signes doit reposer sur une appréciation globale et doit se baser sur une impression d’ensemble produite par les marques (CJCE 22 juin 1999, Llyod, Aff. C-342/97). Dans le domaine du numérique, le juge s’attachera avant tout à comparer la similitude visuelle des signes et cela plus particulièrement lorsqu’une marque a été reprise dans un nom de domaine.

Ainsi, a été retenue une contrefaçon de marque à propos de la reprise du signe Monoprix par le signe Motoprix.com (CA de Versailles 20 oct. 2011, Propriété intellectuelle 2012 n°42 P.77). La Cour de cassation rappelle également que l’ajout d’un TLD à une marque ne permet pas de faire la distinction entre le nom de domaine et la marque : il n’est pas possible d’enregistrer le nom de domaine lezard-graphique.com car il existe déjà la marque verbale Lézard graphique (Ch. commerciale, 25 mars 2014 n°13-13690).

Dans la présente affaire la société WW E Services soutenait n’avoir utilisé la marque « un amour de tapis » dans son adresse URL que pour servir de titre à sa vente en ligne et non pas à titre de marque. Cet argument aurait pu prospérer car effectivement, selon la jurisprudence Arsenal de la CJCE, la contrefaçon ne peut être caractérisée que si l’usage de la marque par le supposé contrefacteur l’a été à titre de marque CJCE  Arsenal 12 nov. 2002 Aff. C206/01.

Or en l’espèce, dans la mesure où c’est précédée de l’indication www.westwing.fr, qu’apparaît la marque « un amour de tapis », on pouvait légitimement s’interroger sur cet usage de la marque : à titre d’annonce de la vente en ligne ou à titre de marque ? Mais le TGI relève à cet égard que s’agissant d’annoncer une vente de tapis, le site Westwing.fr aurait pu se contenter simplement d’indiquer dans l’URL de son adresse « vente de tapis ». Pour le tribunal, la reprise à l’identique de la marque ne faisait pas de doute et la preuve en est qu’il n’était pas même nécessaire « de qualifier un quelconque risque de confusion ».

En ce qui concerne la reprise de la marque dans le code source de la page web du site Westwing.fr, le tribunal n’y voit pas un usage contrefaisant de la marque. En effet, le signe n’est pas utilisé dans le code source pour désigner des produits et services et surtout il reste invisible et inaccessible à l’internaute.

Enfin, l’achat du mot clé « unamourdetapis » auprès de Bing est de nature à favoriser la confusion dans l’esprit de l’internaute puisqu’en cliquant sur le lien, ce dernier est automatiquement redirigé sur le site concurrent et non pas sur celui de la Sarl « Un Amour de Tapis ». Le risque étant celui d’attribuer une origine commune aux produits et services concernés.

La Sarl Un Amour de Tapis n’obtiendra pas gain de cause sur le terrain de l’action en concurrence déloyale et du parasitisme et se contentera d’une indemnisation de 8000.00 euros en réparation de son préjudice patrimonial résultant de l’atteinte à sa marque. Une nouvelle jurisprudence à intégrer.  (Par Maitre Antoine Chéron, avocat spécialisé en propriété intellectuelle et NTIC, fondateur du cabinet ACBM)

Technique et légalité des émulateurs de jeux vidéo

La nostalgie des années passées ne touche pas uniquement le monde de la mode ou de la musique !

La nostalgie des années passées ne touche pas uniquement le monde de la mode ou de la musique, celui de l’informatique et des jeux vidéo n’est pas en reste. Alors que les grandes entreprises informatiques et éditrices de jeux vidéo comme Sony ou Nintendo investissent des sommes colossales en R&D afin de mettre au point des appareils de haute technologie, il se développe un marché moins officiel qui est celui des logiciels émulateurs destinés à faire revivre des vieux jeux vidéo « abandonnés » par leurs éditeurs ou qui sont devenus commercialement obsolètes. L’émulateur est défini comme le logiciel ou programme permettant de simuler sur une machine le fonctionnement d’une autre. Plusieurs sites Internet proposent de rendre compatibles des ordinateurs récents avec d’anciens jeux vidéo. Les jeux vidéo d’une ancienne console qui ne fonctionnaient qu’avec des ordinateurs de l’époque (environnement MS-DOS) deviendront compatibles avec par exemple des périphériques graphiques, carte son et écran fonctionnant sous Windows XP.

Quid de la légalité des émulateurs au regard du droit d’auteur
Le développement de ce marché caché a fait si l’on peut dire des émules puisque Nintendo lui-même a stratégiquement choisi d’intégrer des émulateurs dans sa Wii, permettant à cette console d’accueillir des jeux édités pour d’anciennes consoles Nintendo. Mais si Nintendo dispose du droit de modifier ses propres logiciels, il n’en va pas de même du développeur qui sans aucun droit sur le jeu vidéo ou logiciel présent à l’intérieur de la console créé un programme permettant de simuler les composants du logiciel d’une console. En effet, modifier le Bios d’un logiciel constitue un acte de contrefaçon aux droits d’auteur portant sur ce logiciel. Cela est particulièrement vrai depuis l’arrêt de l’Assemblée plénière de la Cour de cassation du 7 mars 1986 considérant que le logiciel était une œuvre de l’esprit protégeable (protection du droit à la paternité et à l’exploitation de l’œuvre).

Mais qui sont les bénéficiaires de cette protection contre les actes de contrefaçon et ici singulièrement contre les logiciels émulateurs ?
Le droit d’auteur français étant un droit personnaliste, l’œuvre de l’esprit est relativement bien protégée et sauf les exceptions du droit à la décompilation, des logiciels libres ou lorsqu’il y a eu renoncement aux droits d‘auteur, ces œuvres ne sont jamais libres de droits durant le temps de protection prévu par l‘article L.123-1 du Code de la propriété intellectuelle (qui est de 70 ans après le décès de l’auteur de l‘œuvre).

Peu importe par conséquent les doutes récurrents en jurisprudence sur la qualification juridique à retenir du logiciel. Qu’il s’agisse d’une œuvre collective (bien souvent une personne morale en est l’instigatrice) ou d’une œuvre de collaboration entre plusieurs auteurs, les droits d’auteur sur le logiciel sont garantis pendant 70 ans après le décès de l’auteur. Ce droit d’exclusivité profitera donc aux ayants droits de chacun des auteurs en cas de qualification d’œuvre de collaboration du logiciel. Ce droit de protection bénéficiera également en cas de qualification d’œuvre collective du logiciel aux associés d’une entreprise ayant cessé son activité pour une raison quelconque (départ en retraite du dirigeant, liquidation etc…).

Il en résulte donc que les développeurs d’émulateurs ne pourront pas en cas de contentieux, invoquer devant le juge le décès de l’auteur ou l’abandon par une société éditrice de ses droits sur le logiciel reproduit. Tout acte de reproduction du logiciel ou de ses composants est  normalement soumis à l’autorisation de l’éditeur en vertu de l‘article L.122-6 du Code de la propriété intellectuelle.

Justification de l’émulateur par l’exclusivité de décompilation ?
La seule possibilité envisageable en cas de litige reste celle de l’exclusivité de décompilation prévue à l’article L.122-6-1 du CPI, exception légale aux droits d’auteur prévue afin de garantir une concurrence saine entre éditeurs de logiciels en permettant une interopérabilité entre différents logiciels. Les conditions de mise en œuvre de ce droit à décompilation sont très strictes et il est peu probable que les émulateurs de logiciels puissent entrer dans cette exception.

Décompiler un logiciel (ou ingénierie inverse) consiste à le désassembler afin d’en connaître les données et les instructions qui en permettent le fonctionnement, en vue de retraduire le code objet pour remonter au code source. Toutefois, entre les différentes phases de conception et les éléments qui composent le logiciel, il est difficile de déterminer ce qui est protégeable par le droit d’auteur. Si les fonctionnalités d’un logiciel ne sont pas protégeables selon la Cour européenne (CJUE, 2 mai 2012,  SAS Institute Inc. c/ World Programming Ltd), les travaux préparatoires de conception du logiciel tels que les plans électroniques sont eux susceptibles d’une protection par le droit d’auteur.

L’une des conditions essentielles pour décompiler légalement est d’être un utilisateur légitime du logiciel. La cour d’appel de Paris a rappelé que les développeurs de linkers, dispositifs permettant de lire des jeux vidéo piratés sur la console DS de Nintendo, étaient responsables d’actes de contrefaçon au motif pris qu’ils n’étaient pas des utilisateurs légitimes (Paris, 26/09/2011 affaires Nintendo).

L’émulateur de logiciel n’est donc pas en harmonie avec le droit d’auteur sauf lorsque les auteurs, éditeurs ou les ayants droits de ces derniers ont manifesté leur volonté de ne plus exploiter leurs droits et hormis ce cas, on est en présence d’actes de contrefaçon en cas de reproduction du logiciel ou de décompilation à d’autres fins que celle d’interopérabilité. (Par Maitre Antoine Chéron, avocat spécialisé en propriété intellectuelle et NTIC)

Le législateur mécontente Google dans son renforcement des droits des internautes

Le projet de loi pour une République Numérique parviendra-t-il enfin à faire plier Google ? Les pratiques controversées de ce géant américain ne finiront pas de faire couler de l’encre. Le projet de loi, porté par Axelle Lemaire, pourrait bien contribuer à y remédier au regard des inquiétudes formulées par le directeur général de Google France.

Ce dernier considère en effet que le projet de loi présente un risque « d’inflation règlementaire » lié aux différences entre ce dernier et la jurisprudence européenne. Il est vrai que ce texte instaure une législation plus contraignante à l’égard de Google que ce qui est actuellement prévu au niveau européen. De cette manière, il garantit aux internautes une protection accrue.

Il créé à charge des plateformes une obligation de loyauté à l’égard des internautes, laquelle consiste notamment à donner davantage de lisibilité à leurs conditions générales. Ces dernières seront tenues de faire apparaitre clairement l’existence d’une relation contractuelle ou de liens capitalistiques avec les personnes référencées, ainsi que l’impact de cette relation sur le classement des contenus. Ce faisant, le gouvernement souhaite encourager la transparence des pratiques sur la toile et notamment celles très contestées de Google au regard du droit au respect de la vie privée des utilisateurs.

De plus, ce projet de loi met en place un droit à la portabilité c’est-à-dire le droit pour toute personne de récupérer ses données auprès des prestataires de services numériques en vue de les transférer à d’autres prestataires. Il consacre également le principe de la « mort numérique » selon lequel toute personne a le droit de décider par avance du sort de ses données en cas de décès. Il prévoit par ailleurs la mise en place d’une procédure accélérée pour le droit à l’oubli des mineurs. Ainsi, il redonne à l’internaute la possibilité de gérer ses données à sa guise et de ne plus en être dépossédé par le moteur de recherche.

L’ensemble de ces mesures s’inscrit dans le prolongement de l’arrêt du 13 mai 2014 de la CJUE reconnaissant le droit à l’oubli (CJUE, C-131/12 Google Spain SL, Google Inc./ Agencia Espanola de Proteccion de Datos, Mario Costeja Gonzalez, 13 mai 2014). Depuis lors, Google est tenu de retirer tout contenu portant atteinte à la vie privée de l’internaute qui en fait la demande. Toutefois, Google a réussi à nouveau à passer à travers les mailles du filet à partir du moment où il est seul juge de l’illicéité du contenu.

Plus généralement, le projet de loi porte atteinte au monopole de Google en contribuant à inverser la répartition du marché du numérique au profit des « petites entreprises ». Une question reste en suspens… quel moyen trouvera Google pour contourner ce dispositif ? (Par Maitre Antoine Chéron, avocat spécialisé en propriété intellectuelle et NTIC)

La CNIL lance un ultimatum à Facebook

Le leader mondial des réseaux sociaux tant décrié pour ses pratiques en matière de données à caractère personnel, va-t-il enfin plier face à la CNIL ? Le G29 est à l’assaut de Facebook depuis mars 2015. La France est la première à se prononcer sur le cas du site internet. (Par Maitre Antoine Chéron, avocat spécialisé en propriété intellectuelle et NTIC)

Dans une décision du 26 janvier 2016, la CNIL a mis en demeure Facebook de se conformer à la loi Informatique et Libertés du 6 janvier 1978. Eu égard à « la gravité des manquements constatés et de l’atteinte consécutive aux intérêts et libertés fondamentaux des personnes concernées », la CNIL a choisi d’en faire la publicité.

Elle reproche tout d’abord à Facebook, de suivre la navigation des internautes non-titulaires d’un compte, sur des sites tiers. Pour ce faire, le réseau social dépose un cookie sur le terminal de chaque personne ayant visité une page Facebook publique. L’article 32-II de la loi Informatique et Libertés dispose que la mise en place de cookies sur le terminal d’un utilisateur implique le consentement préalable de ce dernier, ce qui n’est pas le cas en l’espèce.

Il est également fait grief au réseau social de ne pas recueillir le consentement exprès des internautes au moment de la collecte et du traitement des données relatives à leurs opinions politiques ou religieuses, et à leur orientation sexuelle. S’agissant de données sensibles, Facebook aurait dû solliciter de la CNIL une autorisation antérieurement à la réalisation dudit traitement ou de la personne concernée son consentement.

De plus, elle relève que le site internet ne met pas à disposition des utilisateurs un mécanisme qui permettrait à ces derniers de s’opposer à la combinaison des données à caractère personnel à des fins publicitaires. Or, un tel traitement de données est soumis à l’article 7 de la loi Informatique et Libertés qui prévoit qu’à défaut d’obtenir le consentement de la personne concernée, le traitement n’est autorisé que s’il entre dans l’une des situations ci-après énoncées : s’il est effectué dans le respect d’une obligation légale incombant au responsable du traitement ; pour sauvegarder la vie de la personne concernée ; dans le cadre de l’exécution d’une mission de service public ; en vue de l’exécution d’un contrat ou de mesures précontractuelles ; si le responsable du traitement poursuit un intérêt légitime. La Politique d’utilisation des données de Facebook précise que l’utilisation des données à leur disposition permet de présenter des publicités pertinentes. Le traitement qu’elle réalise est donc contraire à l’article précité.

Enfin la CNIL constate que Facebook continue à transférer les données provenant de l’Union européenne vers les Etats-Unis sur la base du Safe Harbor, lequel a été invalidé le 6 octobre 2015 par la Cour de justice de l’Union européenne. Depuis lors, il n’est plus possible aux entreprises de procéder à des transferts de données à caractère personnel sur le fondement dudit accord. Cependant, le 3 février dernier le G29 a déclaré que les entreprises pourraient dans l’attente de l’entrée en vigueur  l’« EU-US Privacy Shield » (ou « bouclier de l’Union européenne et des Etats-Unis pour la protection de la vie privée »), continuer à exporter les données des citoyens européens vers les Etats-Unis sans être inquiétées. Il semblerait donc que Facebook ne sera pas sanctionné sur ce point.

Le réseau social a trois mois pour adopter les mesures propres à pallier ce défaut de conformité à la loi Informatique et Libertés. Passé ce délai, la présidente de la CNIL pourra désigner un rapporteur. Ce dernier peut être amené le cas échéant à proposer à la formation restreinte de la CNIL, le prononcé d’une sanction à l’encontre de Facebook.

Parallèlement, les autres CNIL du G29 (Belgique, Allemagne, Espagne et Pays-Bas) continuent leurs investigations. D’autres mises en demeure et sanctions pourraient bientôt tombées. [En Belgique, par exemple, les cookies FB ne peuvent plus suivre les Belges, ND DataSecurityBreach.fr]

Les backdoors constituent le graal des pirates informatiques

A l’occasion du Forum international sur la cybercriminalité, le gouvernement a réaffirmé sa prise position contre la mise en place d’une « porte dérobée » (dites « backdoor ») dans les logiciels. Décision qu’il convient de saluer dès lors que l’adoption d’une telle mesure aurait conduit au développement du piratage informatique.

Suite aux attentats de Paris, le débat sur le cybersécurité oscillait entre renforcement du chiffrement des données ou mise en place systématique des « portes dérobées » (dites « backdoors ») au sein des logiciels. Il semblerait que le gouvernement ait tranché en faveur du premier, à l’aune du gouvernement néerlandais et à contrecourant notamment de la Chine et de la Grande-Bretagne.

Ces techniques ont pour finalité la lutte contre le terrorisme, via des moyens diamétralement opposés. En effet, dans le premier cas il s’agit d’assurer une protection renforcée des données des citoyens, des entreprises et de l’Etat en vue de limiter l’espionnage. Tandis que, dans le second cas il s’agit de faciliter le décryptage des données appartenant à des organisations terroristes en permettant l’introduction d’une faille au sein de l’ensemble des logiciels.

Pour un renforcement du chiffrement des données

L’article 29 du projet de loi pour une République Numérique confère à la CNIL une nouvelle mission consistant à promouvoir le chiffrement des données. Dans un entretien accordé à l’AFP, Guillaume Poupard, président de l’Agence Nationale de Sécurité des Systèmes Informatiques, confirme que le chiffrement est « un outil indispensable » à la protection des données commerciales, personnelles et stratégiques, et qu’en ce sens il est nécessaire de le promouvoir.

La volonté du gouvernement d’encourager le cryptage des données aura très probablement pour effet le perfectionnement de logiciels créés à cette fin en raison de leur utilisation massive, y compris par les organisations terroristes.

Contre la mise en place de backdoors

La Secrétaire d’Etat au Numérique, Axelle Lemaire, a fait rejeté un amendement au projet de loi pour une République Numérique déposé par Nathalie Kosciusko-Morizet visant à imposer aux concepteurs de systèmes de communication la création d’une backdoor.

Selon Guillaume Poupard, une telle mesure aurait eu pour conséquence d’exposer les logiciels à davantage de vulnérabilités facilitant ainsi le piratage informatique réprimé aux articles 323-1 et suivants du Code pénal. Ces dispositions incriminent l’accès et le maintien dans tout ou partie d’un système informatique, ainsi que l’extraction de données.

Pour ma part, la mise en place systématique d’une backdoor rendrait impossible la condamnation de tels faits au regard du mouvement jurisprudentiel actuel. En effet, le juge écarte l’application des dispositions précitées dès lors que l’accès dans un système informatique ne présentant aucune restriction (code utilisateur, mot de passe) a été rendu possible par l’existence d’une faille de sécurité (CA Paris, 5 février 2014 dite affaire « Bluetouff »).

Par Antoine CHERON, avocat associé, est docteur en droit de la propriété intellectuelle, avocat au barreau de PARIS et au barreau de BRUXELLES et chargé d’enseignement en Master de droit à l’Université de Assas (Paris II).

Attaque informatique de masse à l’encontre de l’Irlande

Une attaque informatique de masse, de type DDoS, a mis au tapis plusieurs sites du gouvernement Irlandais.

Étonnante attaque,  la semaine dernière, que celle vécue par le gouvernement Irlandais. Un certain nombre de portails gouvernementaux ont été contraints de se déconnecter du web en raison d’une cyberattaque à grande échelle. Des services tels que le Central Statistics Office, the Oireachtas ( l’ensemble du corps législatif irlandais), le Ministère de la Justice, de la Défense, ainsi que la cour de justice d’Irlande ont bloqués par des Dénis Distribués de Service, des DDoS.

Des connexions pirates, par millions, lancées par des robots malveillants contrôlés par des inconnus. L’attaque n’a pas été revendiquée, du moins officiellement et publiquement. Quelques jours plus tôt, la Loterie Nationale avait connu une panne de deux heures à cause d’une attaque similaire. Un moyen pour des pirates, du type de ceux arrêtés il y a quelques jours [DD4B], de montrer leur force de frappe à de potentielles victimes prêtes à payer pour ne pas être bloqués ?

République numérique : 148 amendements et sécurité des données

148 amendements, sur 899, adoptés en première lecture du projet de loi pour une République numérique à l’Assemblée nationale.

La première lecture du projet de loi pour une République numérique à l’Assemblée nationale s’est achevée dans la nuit de jeudi 21 à vendredi 22 janvier 2016.  Au terme de trois jours de débats, 148 amendements ont été adoptés sur les 899 déposés par les parlementaires et le Gouvernement dont :

–       59 amendements ont été adoptés pour le titre I, consacré à la libre circulation des informations et des savoirs.
–       50 amendements adoptés pour le titre II, consacré à la protection des droits des citoyens en ligne.
–       39 amendements ont été adoptés pour le titre III, consacré à l’accès de tous à Internet.

Parmi les nouvelles mesures adoptées à l’occasion de ce débat parlementaire :

–       L’encouragement des administrations publiques à l’utilisation des logiciels libres.
–       La pénalisation des actes de vengeance pornographique sur internet, avec des peines pouvant aller jusqu’à 2 ans de prison et 60 000€ d’amende.
–       Le renforcement des pouvoirs de la Commission Nationale de l’Informatique et des Libertés (CNIL), qui pourra désormais sanctionner jusqu’à hauteur de 20 millions d’euros et 4% du chiffre d’affaires les entreprises ne respectant pas leurs obligations quant à la protection des données personnelles.
–       La protection pénale des lanceurs d’alerte qui détectent des failles de sécurité dans les systèmes informatiques.
–       L’introduction d’un droit de panorama pour les photographies de particuliers à but non lucratif de monuments ou bâtiments publics, respectueux du droit des auteurs
–       Le Gouvernement devra publier un rapport sur la nécessité de créer une consultation publique en ligne pour tout projet de loi ou proposition de loi avant son inscription à l’ordre du jour au Parlement

Pour Axelle LEMAIRE : « la qualité des débats, à l’occasion de l’examen du projet de loi pour une République numérique, a montré la prise de conscience aiguë des députés sur les enjeux majeurs de ce texte législatif pour l’avenir de l’économie et de la société numérique. Les travaux de l’Assemblée nationale s’inscrivent en pleine cohérence avec la volonté du Gouvernement de poser les fondements d’une République numérique ouverte, propice au partage des savoirs, à l‘innovation et au développement de l’économie numérique, protectrice des droits des citoyens et accessible à tous, dans tous les territoires. »

Mardi 26 janvier 2016, à 16h15, les députés procèderont au vote solennel du texte législatif.

Mamie veut récupérer le mot de passe de l’iPad de son défunt mari

Une grand mère souhaite pouvoir utiliser l’iPad de son défunt mari. Apple lui réclame une ordonnance du tribunal pour récupérer le mot de passe.

Je ne sais pas pour vous, mais l’affaire qui vise Peggy Bush, une grand mère canadienne de 72 ans et Apple me fait dire que la manipulation de l’opinion publique au sujet des mots de passe des téléphones et tablettes vient de débuter une nouvelle phase.

Je m’explique. La petite dame a perdu son mari. Décédé, monsieur est parti avec le mot de passe qui permet d’accéder à l’iPad familial. Bilan, la veuve a demandé à Apple le précieux sésame. Réponse de la firme américaine, la dame doit obtenir une ordonnance du tribunal pour récupérer le mot de passe de son défunt époux. « J’ai pu obtenir des pensions, des avantages du gouvernement fédéral. Mais d’Apple, je ne pouvais  pas obtenir un mot de passe ridicule. »

L’opinion public manipulé ? Imaginez le tollé. Apple, refuse d’aider une grande mère. Vite une loi pour faire plier les sociétés à fournir le mot de passe demandé par les familles. Pour finir l’histoire, Peggy ne voulait pas récupérer des photos sur la tablette… elle veut jouer aux jeux installés sur l’iPad.

Avouons aussi que ce problème sera de plus en plus récurant. Nous allons tous mourir laissant derrière nous mots de passe de sites web, forums, réseaux sociaux, smartphones… Comme j’ai déjà pu l’écrire sur le site zataz, il va falloir penser à se rapprocher de son notaire pour sauvegarder les précieux et les rendre disponibles aux proches parents.

Un plan secret pour couper le signal des téléphones en cas de crise

Le Homeland Security américain travaille sur un plan secret dédié à bloquer les services de communication cellulaire en situation d’urgence.

Pour étouffer une manifestation dans les rues de San Francisco, le Homeland Security, le service dédié à la sécurité sur le sol de l’Oncle Sam, a utilisé un « kill switch » pour empêcher toutes les communications via les téléphones portables. Les procès intentés par l’Electronic Privacy Information Center viennent de démontrer un plan secret du Department of Homeland Security (DHS) qui s’est donné comme possibilité de couper les services de communication à travers des villes entières, ou sur des domaines spécifiques. Un plan qui demeure inconnu. Les actions judiciaires n’ayant pas encore réussi à faire déclasser l’outil numérique de contrôle de masse utilisé. Le dernier commentaire en date de la justice US stipule que la cour suprême confirme que le DHS n’a pas à divulguer le contenu complet de son Standard Operating Procedure 303 [SOP 303]. Une action de blocage utilisé à Boston, en avril 2013.

Sous la direction du Comité consultatif sur les télécommunications de la sécurité nationale, SOP 303 permet la fermeture des réseaux sans fil « dans une zone localisée, comme un tunnel ou un pont, et au sein de toute une région métropolitaine.

Des hôtels de luxe Français visés par un piratage informatique

Je vous révélais, en décembre 2015, une attaque massive à l’encontre d’hôtels de luxe. Un piratage qui a visé, en France, Le Hyatt Regency Paris Étoile, le Hyatt Paris Madeleine et le Grand Hyatt Cannes Hôtel Martinez. Des stars dans les données volées ?

Après les Hôtels Sheraton, Hilton et Le Méridien, c’est au tour du groupe hôtelier Hyatt d’être la cible d’une attaque informatique. Des pirates ont infiltré les machines en charge de la gestion du système de paiement de ses sites Internet du groupe hôtelier. Hyatt vient de diffuser les conclusions de son enquête interne. 250 hôtels ont été piratés dans 54 pays. Une attaque massive entre le 13 août et le 8 décembre 2015. Trois hôtels Français ont été touché (du 13 août au 14 octobre 2015) : le Hyatt Regency Paris Etoile, le Hyatt Paris Madeleine et le Grand Hyatt Cannes Hôtel Martinez.

Alors qu’en décembre 2015, Hyatt indiquait ne pas savoir si des données bancaires avaient été touchées. Un mois plus tard, il a été confirmé le vol, via les terminaux de paiement de restaurants, spas, parking, réceptions… des noms, numéros de carte bancaire, dates d’expiration, CVV, codes de vérification interne.

Fraude : Pôle Emploi diffuse de fausses annonces

Devenir chauffeur, recevoir un chèque à débiter et renvoyer l’argent liquide par Wester Union ? Bienvenue dans les petites annonces pirates diffusées par Pôle Emploi.

Les fraudes à l’emploi, via Internet sont légions. Je vous en parle malheureusement très souvent. Elles prennent différentes formes : faux contrat de gestion de colis. Des objets volés ou acquis avec des CB piratées. Les colis sont à renvoyer à une adresse donnée (DropBox) au dernier moment, par le pirate. Gestion de fausses commandes. L’employé reçoit de l’argent sur son compte en banque. L’escroc explique qu’il provient de commandes de clients d’un « grand distributeur international de produits de créateurs ». Il s’agit surtout de fraudes bancaires [Phishing, CB piratée, cyber boutiques pillées…). Le pigeon doit renvoyer un pourcentage en liquide, par Western Union. Bref, la fausse offre d’emploi permet aux voleurs d’amadouer sa victime. Il lui communique un chèque à déposer en banque. La cible doit renvoyer la liquidité par un procédé choisi par le pirate. Le chèque est faux ou sans provision.

De la Mule à l’âne, il n’y a qu’un pas

En plus de devenir une « mule » en blanchissant de l’argent volé et de participer à une escroquerie en bande organisée, l’internaute piégé par ce type d’escroquerie met aussi ses informations personnelles en danger. En fournissant des renseignements privés comme son compte bancaire ou la photocopie de son passeport. L’activité de la « mule » consiste à accepter des transferts d’argent sur son compte personnel. La victime utilise ensuite les services de transfert de fonds comme la Western Union pour envoyer l’argent vers une supposée adresse d’entreprise, en Europe de l’Est, à Hong-Kong ou simplement en Belgique. L’ « employé » conserve un certain pourcentage sur le montant du transfert, généralement entre 3% et 5%, comme commission pour le service. L’opportunité d’embauche proposée dans ces emails est alléchante : travailler comme agent financier ou chef de transaction, pour quelques heures par semaine seulement et à partir de son domicile, contre une rémunération élevée. Une fois l’argent en route vers l’étranger, la victime escroquée n’a quasiment plus aucune chance de récupérer son argent. Lorsque la fraude est découverte, ce sont les blanchisseurs d’argent, les mules insouciantes, qui reçoivent les demandes de dommages et intérêts et/ou les lettres de l’accusation. Sans parler de la visite des « Amis du petit déjeuner« . Bref, de la Mule à l’âne, il n’y a qu’un pas.

Fausse annonce, faux chèque, vraie arnaque

C’est cette dernière possibilité qui a touché plusieurs demandeurs d’emploi du nord de la France. Un habitant de la région Lilloise a répondu, par exemple, à une petite annonce diffusée par Pôle emploi. La mission, devenir chauffeur de maître pour une famille Suisse qui doit s’installer quelques temps en France. L’arnaque est simple, mais efficace. Pour louer la voiture dédiée à ce travail, l’escroc envoie un chèque à sa victime. Le document bancaire, d’un montant variant de 2000 à 3000se, doit permettre de louer la voiture. La cible le dépose donc sur son compte en banque. Le surplus d’argent doit être renvoyé, par Wester union. Le voyou 2.0 vient de récupérer des euros sonnants et trébuchants. La personne piégée se retrouve avec un énorme trou dans son compte en banque. Sans parler de la location de la voiture, que les escrocs pourront récupérer et utiliser à d’autres fins que les vacances !

Comment les repérer ?

Pôle Emploi, qui dans le Nord de la France ne semble pas vérifier l’intégralité de ces offres comme l’indique la Voix du Nord du 5 janvier 2016, donne quelques clés pour ne pas être piégés. Parmi les propositions : Ne donnez jamais vos données personnelles à un inconnu (votre numéro de sécurité sociale, le numéro de permis de conduire, votre RIB, numéros de compte, de carte bancaire, accès de connexions, etc.). Tout recruteur qui vous demanderait ce type d’information, avant même de vous avoir rencontré, doit être considéré comme suspect ; protégez votre ordinateur ou votre périphérique en installant antivirus et pare-feu ; n’envoyez pas d’argent à un employeur potentiel ; Ne versez aucune somme d’argent en échange d’un contrat de travail potentiel ; N’acceptez aucune rétribution, de quelque nature que ce soit, de votre futur employeur tant que vous n’avez pas signé le contrat de travail [Attention, j’ai pu croiser de faux contrats de travail. Bannissez les entreprises inconnues, basées à l’étranger, NDR) ; Ne poursuivrez pas la communication si vous doutez de l’honnêteté de votre interlocuteur. « N’hésitez pas à demander toute précision qui vous semble utile afin de vous assurer que l’offre proposée est bien réelle et sérieuse » termine Pôle Emploi sur son site web.

Dans le quotidien nordiste, l’une des victimes indique cependant n’avoir reçu aucune réponse à ses demandes insistantes sur le sérieux d’une des annonces « J’ai contacté mon conseiller pour demander si une vérification est faite sur le sérieux des offres. Je n’ai jamais obtenu de réponse. »

En cas de fraude ou d’abus de ce type, n’hésitez pas à contacter la rédaction de ZATAZ.COM via leur protocole d’alerte sécurisé ou encore Info Escroquerie au 0 811 02 02 17 ou via le site Internet internet-signalement.gouv.fr.

Le Royaume-Uni veut stocker l’historique Internet des utilisateurs

Un pas de plus dans les idées nauséabondes de cyber surveillance. Le législateur britannique se penche sur une idée folle, garder en mémoire l’historique Internet des utilisateurs.

Imaginez, dans 20 ans, n’importe quelle personne autorisée (ou non) pourra connaitre vos habitudes de surfs. Votre passion à visiter Cam4 et autres Youporn. De troller comme un sauvage dans Call of Duty. De passer votre temps à regarder des chats sur la toile. De la science fiction ? Le gouvernement
Britannique se penche depuis novembre sur une nouvelle loi, légitimant la cyber surveillance de masse. Bref, une loi qui doit autoriser et légaliser ce que faisait déjà les 007 locaux depuis les années 60.

Par exemple, l’article 94 de la Loi sur les télécommunications élargit les capacités de surveillance. Les
FAI auront obligation de stocker la liste de tous les sites que les internautes britanniques ont visité lors des 12 derniers mois. Ils vont bien finir par imposer la communication des bookmarks à ce rythme là !

Pour répondre à la communication de masse du gouvernement de David Cameron, l’association dédiée à la protection des droits de l’homme Open Rights Group lance une opération de crowdfunding pour récolter 20,000 livres sterling afin de communiquer, elle aussi, sur ces aberrations législatives.

En 2014, l’Europe indiquait déjà la disproportion de certains articles de loi dédiés à la surveillance de masse des sujets de sa Gracieuse Majesté. En juillet 2015, la Haute Cour du Royaume-Uni a également statué que la loi DRIPA, l’état d’urgence britannique depuis 2014, poussée par le parlement sans aucun examen approprié, était illégale selon le droit européen lié aux droits de l’homme.

Protéger son site web c’est possible, même s’il s’agit d’un site « banal ».

Consciemment ou pas, il est toujours plus aisé de s’inspirer du travail des autres que de créer ex-nihilo son propre site web (tant en termes d’apparence que de process ou de fonctionnalités). Pour autant, la frontière entre l’inspiration et la reproduction est parfois mince et souvent génératrice de risques. D’autant plus que l’actualité judiciaire attire notre attention sur la faculté ouverte aux entreprises d’empêcher la reproduction des éléments de leurs sites, au-delà de la protection classique par la propriété intellectuelle.

Lorsqu’il s’agit de protéger une création, le premier reflexe est d’avoir recours à la protection au titre des droits d’auteurs. Un site Internet est effectivement une œuvre de l’esprit au sens du code de la propriété intellectuelle et entre donc dans le champ d’application de la protection.  Mais, pour bénéficier de cette protection, le site web doit nécessairement revêtir un caractère original, c’est-à-dire refléter la personnalité de son auteur.

Dans les faits, une telle originalité peut être caractérisée lorsque les différents éléments du site sont combinés selon une certaine présentation qui procède d’une recherche esthétique (non imposée par un impératif fonctionnel), conférant au site une physionomie particulière le distinguant d’autres sites du même secteur d’activité et révélant un effort créatif. Dans une telle situation, le titulaire des droits peut envisager une action sur le fondement de la contrefaçon. Cependant, l’expérience nous montre que peu de sites web sont en mesure de démontrer une telle originalité. Et, fort de ce constat, nombreux sont ceux qui pense pouvoir s’approprier le travail des autres sous prétexte qu’il n’est pas original. Mais, l’actualité judiciaire nous montre que d’autres actions sont envisageables, et permettent de protéger efficacement un site internet même s’il n’a rien d’original.

L’essor de la protection du site internet par l’action en parasitisme
Pour mémoire, le parasitisme vise un comportement économique par lequel une personne s’immisce dans le sillage d’une autre afin de tirer profit, sans en supporter les coûts, de ses efforts et de son savoir-faire, et ce indépendamment de tout risque de confusion. Fondée sur la responsabilité délictuelle, l’action en parasitisme permet de protéger la valeur économique de son travail et notamment de son site internet. Or, sur ce fondement juridique, le caractère original ou non du travail n’a aucune importance. Le Tribunal de Commerce de Paris vient de l’affirmer clairement dans une décision du 28 septembre 2015 : le parasitisme économique d’un site internet peut être retenu malgré l’existence de sites ressemblant à celui objet du litige ou malgré son caractère banal.

Ce jugement précise également que cette protection ne concerne pas seulement l’aspect esthétique du site, mais également son fonctionnement (cheminement de la commande, choix des messages, paiements et modes de livraison, …).

Rappelons en outre que le Tribunal de Commerce de Paris a déjà jugé que reproduire (ou même s’inspirer) les conditions générales de ventes d’un site Internet, sans la moindre contrepartie financière est un acte de parasitisme (jugement du 22 juin 2012). Si aucune originalité n’est à démontrer, il faut néanmoins pouvoir prouver que les éléments copiés ont résulté d’un véritable travail et ont engendré un coût de réalisation. Il n’est évidemment pas possible de reprocher à un concurrent de s’approprier un actif que l’on a soit même obtenu sans effort, sans coût. L’action en parasitisme est en plein essor dans le cadre de notre activité judiciaire notamment car sa mise en œuvre est aisée pour celui qui maitrise le sujet. Il est donc très important d’être conscient de cette situation et être attentif sur le sujet. Ce qui peut se traduire en pratique à se poser régulièrement la question suivante : les éléments objet d’une inspiration, outre leur originalité éventuelle, ont-ils pu engendrer un réel coût de développement ? … (Maitre Jérémie Courtois du Cabinet Cornet Vincent Segurel – bureau de Lille)

Google en sait plus sur les enfants que leurs propres parents

De plus en plus d’écoles publiques utilisent les outils gratuits de Google. Bilan, le géant américain de l’Internet en sait plus sur les enfants que les parents d’élèves.

L’inquiétude monte chez certains parents d’élèves américains. Mais soyons honnêtes, il est trop tard. Dans de nombreuses écoles publiques à travers le pays, Google est devenu, techniquement, un collecteur de données légitime, un « school official » pour la loi US. Il faut dire aussi que l’attrait des enseignants à exploiter les suites gratuites de logiciels Google se fait de plus en plus grand.

Logiciels comme Picasa et autres ordinateurs bon marché dont l’OS tourne sous Chrome. La domination croissante de la société suscite de graves inquiétudes chez certains défenseurs de la vie privée qui prétendent que Google utilise des données sur les étudiants pour son propre bénéfice.

La loi américaine exige que les écoles obtiennent le consentement écrit des parents avant de partager des informations personnelles sur les enfants. Mais il y a une exception qui a de quoi inquiéter, aux USA, mais aussi en France et partout dans le monde. Le partage des données avec un « school official » est autorisé aux USA à la condition ou ce dernier a un « intérêt éducatif légitime« . Seulement, le Ministère de l’Éducation a interprété et a modifié la loi au cours des dernières années de manière à permettre maintenant à presque tout individu ou organisation, qui indique proposer une « fonction éducative« , de devenir un « school official« . Bilan, Google et ses outils s’invitent dans les établissements et engrangent des milliards de données sur les élèves et leurs « comportements » numériques sans que les établissements, ni les parents, ne puissent contrôler les informations sauvegardées. De son côté, Google rappelle qu’il est fermement engagé à protéger et sécuriser la vie privée des élèves. (WP)

Attaque électronique contre le site de la BBC

La prestigieuse BBC attaquée le 31 décembre par un DDoS violent qui a bloqué durant quelques heures ses sites et espaces de travail.

Un DDoS, lancé jeudi 31 décembre au matin, a bloqué le média britannique BBC durant plusieurs minutes. Une attaque qui a empêché, en interne, de fournir la moindre information sur le site officiel de l’antenne médiatique publique Anglaise. L’ensemble de ses services : replay, mails… étaient injoignables pour le public, comme pour les employés.

Qui derrière ce DDoS ? Plusieurs choix possibles allant du « piratin » qui teste un outil de Dénis Distribués de Services qu’il a loué ; un propagandiste de Daesh. Les choix sont tellement nombreux !

A noter que le site avait encore de sérieux ralentissement en ce 2 janvier. Une attaque qui change de celle orchestrée contre la British Broadcasting Corporation, en décembre 2013, par les pirates Hash et Rev0lver. Ces derniers avaient réussi à mettre la main sur les identifiants de connexion de ftp.bbc.co.uk. Un espace qui permettait aux journalistes et annonceurs de télécharger leurs contenus. Un an auparavant, un pirate iranien s’était invité dans l’espace « Perse » de la BBC [http://www.bbc.com/persian/].

Pour répondre à savoir qui est derrière l’attaque, une piste, qui reste cependant très « lol! ». Le journaliste Rory Cellan-Jones a reçu le message d’un groupe baptisé New World Hackers. Les « pirates » indiquent avoir testé leurs capacités opérationnelles sur le site de la BBC pour, ensuite, lutter contre Daesh ! « Ce n’était qu’un test. Nous n’avions pas l’intention d’empêcher son fonctionnement pendant plusieurs heures« .

A noter que les mêmes zouaves ont attaqué le site de Donald Trump, un autre extrémiste, mais à mille lieux de Daesh ! Bref, ils ont acheté des minutes DDoS et s’en servent !

Chantage informatique saveur Macaron

Une entreprise de Montmorillon piratée. Sa base de données volée. Les pirates ont tenté de faire chanter la PME spécialisée dans les Macarons.

Les amateurs de Macarons connaissent l’artisan Rannou-Métivier. Cette entreprise familiale basée à Montmorillon, dans la région de Poitiers, est spécialisée dans cette petite gâterie sucrée qu’est le macaron. Des pirates informatiques ont jeté leur dévolu sur le site Internet de la société. Une faille SQL plus tard et les malveillants sont repartis avec la base de données [BDD].

Une BDD comprenant les informations clients : mails et mots de passe. « Notre service informatique a immédiatement réagi pour renforcer la sécurité du site. Cependant, des données ont déjà été volées » souligne dans le courriel envoyé aux clients de Rannou-Métivier. Les pirates ont réclamé de l’argent à la société. En contre partie, les voyous du web ne diffuseraient pas les informations collectées. Depuis, le chiffrement des sésames a été instauré, espérons juste que cela n’est pas un modeste format MD5 et que les pirates ne diffuserons pas les informations volées.

Une attaque qui démontre une fois de plus l’intérêt des base de données pour le blackmarket. Si cette derniére ne peut-être vendue, ce qui ne veut pas dire  que les données n’ont pas été diffusés dans le BM, les pirates n’hésitent plus à contacter les victimes pour « dealer » une rançon. L’année derniére, le groupe Rex Mundi s’était spécialisé dans ce type de chantage à la base de données clients. [La Nouvelle république]

Manipulation des données d’une compagnie aérienne chinoise

Un internaute met la main sur le site Internet d’une compagnie aérienne Chinoise et réussi à détourner 150 000 euros en annulant des voyages.

Zhang est un internaute Chinois de 19 ans. Comme beaucoup de ses petits camarades, ils touchent au piratage. Le gouvernement ne dit rien, tant que ces « visites » ne visent pas les entreprises locales. Sauf que Zhang a oublié l’adage « Une petite armée résiste à l’ennemi, une grande armée le capture » L’art de la Guerre – Art. III. Bilan, après s’être invité dans le serveur d’une compagnie aérienne, il a manipulé les comptes clients et réussi à soutirer 150 000 euros via les 1,6 million d’informations de réservations qu’il a copié et qui incluaient noms, numéros de carte d’identité, numéros de téléphone, adresses e-mail et autres données de vol. Dans son « attaque », elle va durée 15 jours, Zhang écrivait aux passagers en indiquant que leur vol avait été annulé et qu’il fallait reprogrammer un voyage. Zhang vendait de nouveaux billets et prenant sa commission. Il a été arrêté. (People)

Facebook menace l’employeur d’un chercheur en sécurité informatique

Après avoir découvert une porte d’entrée dans l’administration d’Instragram, un chercheur en sécurité informatique est menacé par Facebook.

Wesley Wineberg, un chercheur en sécurité indépendant n’a pas apprécié la nouvelle méthode de Facebook pour récompenser les internautes qui lui remontent des problèmes de sécurité informatique. Il faut dire aussi que Wesley a été très loin dans sa recherche d’information.

Alors qu’il aurait pu se contenter d’expliquer comment il avait eu accès à un espace d’administration d’Instragram, le chercheur a continué de pousser sa recherche dans les méandres informatiques du service photographique de Facebook.

W.W. va sortir du serveur des fichiers de configuration, une clé d’un Amazon Web Services, … Il va utiliser cette clé [là, nous ne sommes plus dans de la recherche de bug, NDR] pour se connecter à des espaces de stockages. Une autre clé va lui ouvrir le code source d’Instagram, clés API et certificats SSL.

Wesley Wineberg va alerter le géant américain, le 1er décembre. L’entreprise va changer son fusil d’épaule à l’encontre de ce bidouilleur. Au lieu de parler « bug Bounty« , Facebook va le menacer en appelant son employeur. Alex Stamos, le CSO de Facebook, a contacté l’entreprise de Wesley en indiquant que les avocats de la firme étaient sur l’affaire. Facebook souhaitait faire disparaître la moindre trace de cette découverte et infiltration.