Archives de catégorie : loi

Un appareil médical interdit en raison de vulnérabilités numériques

La Food and Drug administration vient de faire interdire un appareil médical considéré comme dangereux en raison de trop nombreuses vulnérabilités informatiques. Un pirate pourrait manipuler les transfusions à un patient.

La FDA, la Food and Drug administration, l’Agence américaine des produits alimentaires et médicamenteux vient de tirer la sonnette d’alarme au sujet des matériels médicaux face aux pirates informatiques. Pour ce faire entendre, et faire de manière à ce que les constructeurs écoutent avec leurs deux oreilles, la FDA vient de faire interdire le dispositif médical de la société Hospita.

Le matériel incriminé, une pompe à perfusion, l’Hospira Symbiq Infusion System. La FDA encourage « fortement les établissements de soins de santé à changer de matériel, à utiliser des systèmes de perfusion de rechange, et de cesser l’utilisation de ces pompes [celles d’Hospita]. »

La raison de cette interdiction ? Trop de vulnérabilités pourraient être exploitées par des pirates informatiques, et donc mettre en danger les patients. Des failles qui pourraient permettre à un utilisateur non autorisé de contrôler l’appareil et de modifier la perfusion. Délivrer plus ou moins de médicament par exemple.

Une interdiction qui était prévue chez Hospira. Le constructeur avait annoncé en mai 2013 qu’il mettrait à la « retraite » Symbiq, ainsi que d’autres pompes à perfusion. Une mise à la retraite prévue pour la fin 2015.

Fuite de données dans les poubelles de Motel 6

Retrouver des photocopies de permis de conduire, des copies de plaques d’immatriculations, des signatures ou encore des identités à la sortie d’un Hôtel, voilà une fuite de données pas courante… ou presque.

La chaîne américaine d’hôtels, Motel 6, fait face à une fuite de données peu courante. Une cliente a découvert des centaines de dossiers aux pieds des poubelles d’une des structures hôtelière du groupe. En regardant les dossiers, des contenus privés et sensibles allant des photocopies de permis de conduire, des numéros de téléphones, des numéros de plaques d’immatriculation et même des signatures de clients.

A première vue l’Oncle Sam a du mal à faire comprendre à certaines entreprises comment bien détruire les données privées et sensibles qu’elles collectent. Comme ces confettis utilisés pour fêtes les championnes du monde de football qui n’étaient rien d’autre que des dossiers médicaux découpés en petites bandes de papier… pour faire la fête ! (Image KalTv)

Arrestations des pirates présumés de la banque JPMorgan Chase

Les services secrets américains semblent avoir mis la main sur les présumés pirates informatiques de la banque JPMorgan Chase. Les polices américaine et isralienne ont arrêtés 4 hommes. Un cinquième est en fuite.

Quatre personnes ont été arrêtées en Israël et en Floride dans le cadre de l’enquête sur le piratage informatique de la banque américaine de la banque JPMorgan Chase. Les réseaux informatiques de la banque avaient été attaqués au mois d’août 2014. 6 millions de foyers, et 7 millions de PME, avaient été visés par ce pirarate. Le porte-parole de la police israélienne, Micky Rosenfeld, a confirmé à l’agence Reuters que trois personnes avaient été arrêtées. Ils ont été présentés devant le juge de Rishon Lezion (région de de Tel Aviv. L’agence Bloomberg indique qu’un cinquième suspect est en fuite. Les 5 présumés pirates sont aussi accusés de l’infiltration de plus de 500.000 PC via l’exploitation du botnet Qbot (aussi appelé Qakbot). 800 000 transactions bancaires en ligne auraient été compromises. 59 % des sessions appartenaient à cinq des plus importantes banques américaines. 52 % des systèmes infectés étaient des systèmes Windows XP ! Des arrestations qui font suite à l’affaire Darkode ?

13 ans de prison pour un pirate informatique

Un ressortissant vietnamien condamné à 13 ans de prison pour avoir mis en place un groupe international de pirates informatiques. Il s’était spécialisé dans le vol d’identité.

Un ressortissant vietnamien a été condamné, aux USA, à 13 ans de prison pour le piratage de centaines d’ordinateurs d’entreprises américaines. But avoué par le pirate, mettre la main sur un maximum d’informations personnelles, les fameux PII américains. Ses attaques, qu’il orchestrait avec une bande de malveillants 2.0 qu’il avait recruté sur Internet, auraient visé environ 200 millions de citoyens américains. Des actions menées entre 2007 et 2013.

Hieu Minh Ngo, 25 ans, a été condamné par la Cour du district du New Hampshire pour ces agissements. HMN passait par des forums et sites de black market, dont Darkode, pour vendre les millions d’identités qu’il avait volé, les fullz (identités, données bancaires, …). Il a été découvert que le pirate possédait un porte feuille d’un millier de « clients » dispersés à travers le monde. Ngo possédait plusieurs sites Internet dont superget.info et findget.me.

La grande majorité des 200 millions de données volées provenaient du piratage d’une entreprise basée dans le New Jersey. Il aurait gagné sur une période de 6 ans, 2 millions de dollars. 13 673 citoyens américains, dont la PII a été volée et revendue, aurait été touché par des dépôts et des retraits  d’argent frauduleux à hauteur de 65 millions de dollars, dixit l’Internal Revenue Service.

Hieu Minh Ngo a été pourchassé par les Services Secrets, le FBI, et les services informatiques de plusieurs divisions de lutte contre le crime informatique de nombreux pays et de la section de la propriété intellectuelle des États-Unis.

Pendant ce temps…

L’Université de Miami piratée. La rédaction de DataSecurityBreach.fr a pu constater sur un site de diffusion de document, les identifiants de connexion de plusieurs centaines d’enseignants : logins, mots de passe (chiffrés, NDR) et adresses mails. Le pirate, qui semble Russe, a mis en ligne dans la foulée l’accès et les identifiants de connexion au WordPress de l’établissement. Les motifs évoqués par le pirate sont puériles « Depuis de nombreuses années, nous vous regardons. explique le pirate qui signe d’un dragon crachant du feu. Les gens se réveillent. Nous allons vous détruire. » Ce que ne dit pas le pirate est que sa base de données volée n’a pu être revendue dans le blackmarket en raison des mots de passe inutilisables. Bilan, une mise en pâture d’informations privées et personnelles à défaut d’en tirer quelques bitcoins.

La Chine renforce sa loi dédiée au cyber crime

La Chine vient va promulguer une nouvelle loi dédiée à la cyber sécurité. Pékin veut plus de coopération internationale pour contrer les pirates et renforcer ses moyens de réponse.

Le gouvernement Chinois a décidé de prendre le taureau par les cornes et souhaite arrêter les pirates qui, via son sol, attaqueraient toute la planète. Bref, Pékin en a marre d’être montré du doigt par les Etats-Unis et autres gouvernements du monde qui l’accusent d’orchestrer des attaques numériques. L’Assemblée Populaire Nationale (APN) a adopté cette nouvelle loi cyber défense. Zheng Shuna, vice-présidente de la Commission des affaires législatives de l’APN a indiqué que cette la loi était nécessaire car « la situation de la sécurité nationale de la Chine était de plus en plus difficile« . Cette nouvelle législation indique vouloir « développer la sécurité des informations rentrantes et sortantes du pays ; le renforcement des capacités scientifique de la Chine, ainsi que le renforcement de la coopération internationale« . Un moyen aussi pour la Chine de renforcer le contrôle des logiciels rentrant sur son territoire.

Pendant ce temps…

Les pirates chinois soupçonnés du piratage de milliers de dossiers de fonctionnaires de l’Oncle Sam auraient, aussi, mis la main sur les dossiers personnels d’agents du FBI. Une fuite qui pourrait avoir des implications de sécurité nationale. 35.000 agents fédéraux américains travaillent pour le FBI.

Un pirate informatique arménien condamné à de la prison ferme

Davit Kudugulyan, la tête pensante d’une groupe de pirates informatiques arméniens condamné à de la prison ferme pour piratage de données bancaires.

Davit Kudugulyan était le chef d’une petite bande de pirates informatiques qui aura occasionné plusieurs millions de pertes financières aux banques américaines. L’homme a été accusé, et condamné, pour le vol d’informations financière appartenant à des centaines de personnes aux USA.

Davit a plaidé coupable devant un tribunal du comté de New York, mercredi. En Mars 2015, Kudugulyan et trois autres suspects, Garegin Spartalyan, Hayk Dzhandzhapanyan et Aram Martirosian, étaient arrêtés à New York après avoir utilisé des centaines de clones de cartes bancaires piratées.

Après avoir plaidé coupable, Kudugulyan a été condamné à neuf ans de prison et payer 750.000 dollars d’amende. Lors de son arrestation dans un hôtel de New-York, les policiers vont retrouver 200.000 $ dans la chambre de Kudugulyan. (TH)

Nos données de santé, source de convoitises pour les pirates

91% des entreprises de santé interrogées ont subi une violation de leurs données au cours de ces 2 dernières années selon l’étude « Privacy and Security of Healthcare Data » du Ponemon Institute et seulement 32% pensent avoir les ressources suffisantes pour parer ces incidents1. La majorité des entreprises de santé sont désarmées et ne sont absolument pas en mesure de répondre à la Réglementation européenne sur la Protection des Données qui devrait être mise en application très prochainement.

L’étude Ponemon montre que, pour la première fois, les attaques criminelles sont la première cause de violations de données de santé. Jusqu’alors, la perte ou le vol d’ordinateurs, de tablettes ou de smartphones par négligence avait conduit à des violations de données. Aujourd’hui, les choses ont évolué. Nous passons des violations de données accidentelles ou opportunistes aux violations de données intentionnelles. Une tendance qui s’affirme. Les cybercriminels ciblent de plus en plus les données médicales. Ils exploitent cette mine de renseignements personnels, financièrement lucratifs. Les centres hospitaliers, laboratoires d’analyses médicales, pharmacies… ne disposent malheureusement pas des ressources, des processus et des technologies pour prévenir et détecter les attaques contre les données sensibles qu’elles manipulent. Leur défaillance, régulièrement pointée du doigt par les médias, se traduit par la fuite des données sensibles de leurs patients. On se souvient par exemple, des centaines de résultats d’analyses médicales provenant d’une soixantaine de laboratoires, accessibles sur Internet à cause d’une faille2 ou de la publication du dossier médical de Michael Schumacher3.

Si l’on observe une légère hausse des investissements des organisations de santé pour protéger les informations médicales, ces efforts restent cependant insuffisants pour contrer les cyber-menaces qui évoluent très rapidement. La moitié des entreprises de santé ont peu confiance – parfois même pas du tout – dans leur capacité à détecter une perte ou un vol de données de leurs patients.

Une faiblesse en décalage avec les obligations légales
En France, les informations relatives à l’état de santé physique et psychique d’un patient sont des données personnelles, soumises au Code de la santé publique et à la loi Informatique et Liberté. La Réglementation générale sur la protection des données, en cours d’adoption par le Conseil de l’Union Européenne vient compléter la législation française. Les professionnels et les établissements de santé sont strictement tenus au respect des obligations concernant la collecte, l’utilisation, la communication, le stockage et la destruction des données à caractère personnel. En pratique, les professionnels de la santé doivent prendre toutes les précautions nécessaires pour empêcher que ces données soient modifiées, effacées (par erreur ou volontairement) et que des tiers non autorisés y aient accès.

L’absence de mise en œuvre de mesures de sécurité est considérée comme une atteinte grave à la protection de la vie privée et peut être pénalement sanctionnée (amende et emprisonnement). Cependant, de nombreux professionnels ont des difficultés à se mettre en conformité avec la réglementation. En milieu hospitalier, par exemple, médecins, infirmiers et personnel administratif n’ont pas toujours été sensibilisés aux règles à respecter en matière de sécurité et de confidentialité des données.

Une réglementation unique pour toute l’Europe
La mise en œuvre de la future Réglementation sur la Protection des Données qui s’effectuera de manière identique dans tous les pays membres contrairement à la Directive actuelle, devrait avoir d’importantes conséquences sur l’organisation de l’entreprise. Comment respecter cette norme qui va engendrer des changements au niveau de la collecte, du stockage, de l’accessibilité et de l’utilisation des données ?

Toute violation des données devra obligatoirement être déclarée. Concrètement, un système actif de surveillance des échanges et des flux de données devient nécessaire. Il convient en premier d’examiner avec attention le rôle et la responsabilité des différents acteurs de l’entreprise manipulant les dossiers médicaux. Il faut engager une sensibilisation forte au respect des bonnes pratiques, puis établir une politique de sécurité et de protection des données. On commence par évaluer les risques pour décider les actions à adopter, en fonction des faiblesses de l’établissement de santé. Le point clé est la visibilité sur la circulation des données au sein du réseau, compte tenu du risque que leur transmission génère. La mise en place d’une solution de SIEM* est le moyen efficace pour surveiller la sécurité des systèmes informatiques, contrôler l’accès aux systèmes où sont stockées les données médicales et recevoir des alertes quand on y accède. Les logs fournissent une vision complète et exacte de ce qui a été consulté. Informer rapidement les organismes de réglementation en cas de violation des données devient alors possible ainsi que configurer des rapports prouvant la conformité à la Réglementation.

Anticiper la mise en place de solutions efficaces
La communauté des entreprises de santé partage des données vulnérables et offrent une grande surface d’attaque avec de nombreux points d’accès aux cybercriminels de plus en plus habiles à dérober et exploiter des informations personnelles. Aussi convient-il de faire appel à des experts pour mettre en place dès à présent ces exigences en matière de sécurité et de conformité. On peut bien sûr penser que rien ne presse, la mise en œuvre effective de la réglementation étant prévue après une période de deux ans. L’expérience montre que l’examen d’une structure organisationnelle ainsi que les mises à niveau nécessaires du système prennent du temps. (par Frédéric Saulet, pour DataSecurityBreach.fr, Directeur Régional Europe du Sud de LogPoint)

* SIEM : Security Information and Event Management – Le principe du security information management est de gérer les événements du système d’information (Wikipédia).

Le Sénat a adopté les conclusions de la commission mixte paritaire sur le projet de loi relatif au renseignement

Au cours de la séance du 23 juin 2015, le Sénat a adopté les conclusions de la commission mixte paritaire (CMP) sur le projet de loi relatif au renseignement. La CMP avait adopté plusieurs dispositions dans la rédaction issue des travaux du Sénat.

Ainsi, les dispositions du Sénat visant à garantir les libertés publiques ont été maintenues. Il s’agit notamment de la définition du respect de la vie privée qui implique le secret des correspondances, protection des données personnelles et l’inviolabilité du domicile ; la possibilité pour toute personne souhaitant vérifier qu’aucune technique de renseignement n’est mise en oeuvre de manière irrégulière à son encontre de saisir la CNCTR (Commission nationale de contrôle des techniques de renseignement) sans avoir à démontrer un “intérêt direct et personnel” à agir ; – la limitation à deux mois de la durée d’autorisation de mise en oeuvre des techniques particulières de renseignement portant sur les données de connexion ; la possibilité pour le Conseil d’Etat de statuer en référé en premier et dernier ressort dans le cadre de contentieux sur la mise en oeuvre des techniques de renseignement.

En outre, l’administration pénitentiaire ne pourra pas utiliser les techniques de recueil de renseignement et la computation du délai de conservation des renseignements se fera à partir du recueil de la donnée et non de son exploitation. En commission mixte paritaire, sénateurs et députés se sont accordés sur le délai de conservation des données recueillies par les techniques de renseignement, fixé à 30 jours pour les interceptions de correspondances, à 120 jours pour les renseignements collectés dans le cadre de la captation d’images ou de données informatiques, à quatre ans pour les données de connexion et à six ans pour les données cryptées.

En séance, lors de la lecture des conclusions de CMP, le Sénat a adopté l’amendement n° 8 du Gouvernement qui supprime une disposition adoptée par la commission mixte paritaire et qui prévoyait que le Premier ministre pouvait autoriser le recours aux techniques de renseignement sans avis préalable de la CNCTR lorsque leur mise en œuvre ne concerne ni un Français, ni un résident habituel en France.

Ce texte sera adopté définitivement si l’Assemblée nationale adopte les conclusions de la commission mixte paritaire dans les mêmes termes le 24 juin 2015.

Le pirate d’un logiciel de simulation d’hélicoptère Apache plaide coupable

Austin Alcala, un diplômé de Fishers High School, vient de plaider coupable pour le piratage informatique de Microsoft, Epic Games, Valve, Activision ou encore Zombie Studios, des éditeurs de jeux vidéo. Il avait mis la main sur un logiciel de simulation d’hélicoptère Apache.

Nous vous révélions, en octobre 2014 dans l’article « De la XBOX one aux secrets de l’armée US, il n’y a qu’un pas » comment un étudiant américain avait mis la main sur les codes des jeux vidéo comme « Call of Duty: Modern Warfare 3 » ou « Gears of War 3« . Lui et plusieurs de ses amis, membres du groupe Xbox Underground (membre d’un groupe international baptisé Groupe XU), avaient été arrêtés en juin 2014 par le FBI pour le piratage de Microsoft. Il avait mis la main sur des informations sensibles concernant la « Durango », la nouvelle console de Microsoft connue aujourd’hui sous le nom de Xbox One.

Dans la liste des autres victimes du Xbox Underground, des éditeurs de jeux vidéo, dont Epic Games, Valve, Activision ou encore Zombie Studios, des éditeurs de jeux vidéo. Ce dernier a attiré les regards des services secrets américains. Zombie Studios propose un simulateur d’hélicoptère de combat (AH-64D Apache Simulator) pour l’armée de l’Oncle Sam. Austin Alcala, la tête pensante du groupe vient de plaider coupable. Les autres suspects, Nathan Leroux, David Pokora, et Sanadodeh Nesheiwat ont également plaidé coupable. Pokora a été condamné à 18 mois de prison fédérale, suivie de trois ans de liberté surveillée.

Leroux et Nesheiwat connaitront leur avenir le 11 Juin prochain. Alcala est accusé d’avoir occasionné pour 100 millions de dollars de dégâts/réparations/préjudices. Il connaitra la sentence, le 29 juillet prochain.

Un lycéen risque 5 ans de prison pour DDoS

A 17 ans, un lycéen fait face à des accusations qui pourraient l’entrainer en prison. L’adolescent a payé un service pour lancer une attaque DDoS.

S’il fallait faire simple, le DDoS n’a rien d’un acte de piratage informatique. S’il fallait comparer, un pirate informatique va crocheter la serrure de votre porte de maison et réussir à ouvrir cette dernière en exploitant une faille technique et humaine. Le DDoS n’a rien de technique et ne demande pas le moindre « savoir-faire » de pirate informatique. L’utilisateur de DDoS ne sait pas crocheter la porte, bilan, il va recouvrir la porte de déchets, histoire d’empêcher que quelqu’un puisse sortir/entrée dans la maison.

Un adolescent de 17 ans a cru la jouer grand pirate informatique en employant cette méthode. Il va payer un service dédié pour paralyser le West Ada school district, un établissement de l’Idaho (États-Unis). Le jeune homme a été retrouvé et arrêté. Il risque aujourd’hui jusqu’à 5 ans de prison ferme (dont 180 jours dans un établissement pour adolescents, NDR).

Le blocage par ce Déni Distribué de Service a empêché des élèves d’étudier en ligne, d’accéder aux cours. Le corps professoral et le personnel ont eu des problèmes d’accès aux systèmes administratifs. En outre, la famille du lycéen est responsable des actes de l’adolescent. Autant dire que l’amende s’annonce salée. 50 écoles ont été perturbées par ce DDoS.

Aujourd’hui, acheter des attaques DDoS est aussi simple qu’un clic de souris comme l’a démontré, dernièrement, ZATAZ.COM.