Archives de catégorie : Cybersécurité

Actualités liées à la CyberSecurité.

Cloud, Cybersécurité, Entreprise, Mise à jour

Votre système d’information est-il protégé des dangers du cloud ?

Plan de la sécurité – Blue Coat Systems, Inc. fournisseur de solutions avancées de sécurité du Web pour les entreprises et administrations publiques, a présenté les premiers résultats d’une enquête en ligne menée auprès de 3 130 salariés d’entreprises d’une variété de secteurs en Europe. Cette enquête réalisée par YouGov offre une vision détaillée de la façon dont ceux-ci utilisent actuellement des applications cloud telles que Dropbox, Box, Office 365, Slack, LinkedIn, Facebook et Gmail sur le plan de la sécurité.

plan de la sécurité – Les professionnels européens d’aujourd’hui exposent leur entreprise à des risques de fuite et d’utilisation abusive de données sensibles. Ces risques atteignent désormais des proportions alarmantes pour les organisations. Ainsi, les résultats de l’enquête indiquent que 53 % des personnes interrogées utilisent des applications cloud au travail. Et c’est en France que celles-ci sont le plus populaires avec 64 % des répondants, soit plus qu’au Royaume-Uni (49 %) ou en Allemagne (47 %).

Les entreprises s’appuient de plus en plus sur ces technologies ; pourtant, il est fréquent que les applications cloud utilisées n’aient pas été validées par les services informatiques. C’est ainsi que des données professionnelles sensibles se retrouvent exposées à un risque d’utilisation inappropriée par des employés les partageant ou les stockant (volontairement ou non) ailleurs que sur des applications protégées d’entreprise. L’enquête met en évidence les principaux risques que le cloud représente pour les organisations, notamment celui de se retrouver avec des données échappant à leur contrôle (« shadow data »). En voici les principaux enseignements :

L’utilisation d’applications cloud au travail motivée par une quête de productivité
Le partage de données se fait principalement à des fins collaboratives : 23 % des personnes interrogées utilisent des applications cloud pour transmettre des informations à leurs collègues. En outre, 17 % des répondants se servant d’applications cloud pour travailler à distance et 10 % de ceux en utilisant en déplacement à l’étranger affirment agir dans un souci de productivité. La génération Y fait par ailleurs figure de pionnier en matière de partage de données sur de telles applications : 30 % des 18-24 ans et 25 % des 25-34 ans partagent des informations avec leurs collègues, contre 18 % des 45-54 ans et 21 % des 55 ans et plus.

Les fonctions les plus critiques présentent les risques les plus sérieux pour la sécurité des informations
Les spécialistes de la gestion des systèmes d’information (76 %), des RH (69 %) et des finances (59 %) sont ceux qui utilisent le plus ces applications cloud au travail. Ils exposent ainsi les données d’entreprise les plus sensibles et précieuses aux risques d’une sécurité moins élevée.

Les données clients et de marketing sont les plus vulnérables
Les applications cloud servent régulièrement à échanger des bases de données et du contenu. Les registres de ventes et les bases de données clients, deux éléments ciblés par la future réglementation GDPR (General Data Protection Regulation), sont donc particulièrement exposés. En effet, parmi les individus partageant des informations professionnelles confidentielles à l’aide de telles applications, 29 % partagent des données de marketing ; viennent ensuite les données clients (23 %), informatiques (20 %) et financières (17 %).

Les employés vont même jusqu’à enfreindre la loi
De nombreuses utilisateurs d’applications cloud admettent le faire à des fins non autorisées, comme pour récupérer des données de leur ancienne société, pour dénoncer leur entreprise, voire pour assurer leur protection personnelle. Bien qu’il soit illégal de dérober des données appartenant à une entreprise avant d’en rejoindre une nouvelle, 7 % des répondants admettent se servir d’applications cloud pour se livrer à cette pratique. La dénonciation d’actes répréhensibles commis par une entreprise n’est, elle, pas illégale, et est la motivation derrière 8 % de l’utilisation du cloud pour conserver des données.

C’est dans le domaine des RH que cette pratique est la plus fréquente avec 17 % des professionnels du domaine. Enfin, le souci d’assurer sa propre protection (en récupérant des données d’entreprise afin de protéger des informations personnelles) motive 14 % de l’utilisation d’applications cloud au bureau. Les spécialistes de la gestion des RH (21 %), des systèmes d’information (18 %) et financière (17 %) sont ceux qui en utilisent le plus dans ce contexte. Compte tenu de la sensibilité des données gérées par ces types de professionnels, cette pratique présente donc un risque sérieux pour les entreprises.

L’âge, un facteur majeur dans l’utilisation du cloud
Plus les employés sont jeunes, plus ils utilisent d’applications cloud : 63 % des 18-24 ans s’en servent au travail, contre 59 % des 25-34 ans, 55 % des 35-44 ans, 48 % des 45-54 ans et 47 % des 55 ans et plus. Généralement plus à l’aise avec les nouvelles technologies, les jeunes peuvent en revanche se montrer moins respectueux des mesures de sécurité.

« Cette enquête met en lumière les comportements des employés utilisant des applications cloud au bureau, ainsi que les risques auxquels ils exposent leurs employeurs en adoptant de tels comportements », déclare à DataSecurityBreach.fr le Dr Hugh Thompson, directeur technique et vice-président sénior de Blue Coat Systems, Inc. « Il est important de noter que les équipes gérant les données les plus critiques (soit les professionnels de la gestion financière, des systèmes d’information et des RH) sont les plus adeptes de ces applications. Les données sensibles placées sous leur responsabilité sont souvent les cibles privilégiées des pirates. La chasse aux shadow data, ou données « fantômes » car échappant au contrôle des équipes informatiques, restent clairement un défi de taille pour les organisations. Celles-ci doivent adopter une approche proactive afin d’éviter le partage de données sur des applications non approuvées, et pour s’assurer que les employés accèdent aux informations conformément aux paramètres d’utilisation établis pour éviter tout danger. »

N.B. Tous les chiffres, sauf mention contraire, sont fournis par YouGov Plc. Taille totale de l’échantillon : 6 044 adultes, dont 3 130 individus actifs. Le travail sur le terrain a été réalisé du 6 au 12 mai 2016. L’enquête a été réalisée en ligne. Les chiffres ont été pondérés et sont représentatifs de tous les adultes britanniques, français et allemands (âgés de 18 ans et plus).

Adobe, Cybersécurité, Logiciels, Microsoft, Mise à jour, Patch

Patch Tuesday Juin 2016

L’analyse du Patch Tuesday juin contient une menace 0-Day connue sur Flash, qui est actuellement en cours d’exploitation à l’aveugle. Le reste est plutôt classique avec 16 bulletins de Microsoft pour corriger plus de 40 vulnérabilités pour le mois de juin.

Le Patch Tuesday juin 2016 arrive avec un cortège de 16 bulletins publiés par Microsoft pour résoudre plus de 40 vulnérabilités (CVE) différentes. Cela porte à 81 le nombre de bulletins pour les 6 premiers mois, ce qui laisse augurer plus de 160 bulletins d’ici fin 2016, un nouveau record pour la dernière décennie en termes de correctifs.

Votre attention doit se porter en priorité sur Adobe Flash. En effet, Adobe a reconnu qu’une vulnérabilité (CVE-2016-4171) au sein du lecteur Flash actuel est en cours d’exploitation en aveugle, si bien que l’éditeur a reporté le patch mensuel pour Adobe Flash. Dans son avis de sécurité APSA16-03. Adobe promet ce patch pour d’ici la fin de la semaine. Surveillez attentivement sa diffusion et déployez-le dès que possible. Si l’outil EMET est installé sur vos systèmes, vous êtes protégés. Pour information, c’est le troisième mois d’affilée qu’une faille 0-Day est découverte dans Flash, ce qui en fait le logiciel certainement le plus ciblé sur les points d’extrémité de votre entreprise.

Ce mois-ci, un ensemble de bulletins à la fois pour les serveurs et les systèmes clients va occuper cette semaine toute l’équipe IT qui devra sécuriser les systèmes de l’entreprise.

Vulnérabilité critique

La vulnérabilité la plus intéressante côté serveur est résolue dans le bulletin MS16-071. Ce dernier corrige une vulnérabilité critique unique sur le serveur DNS de Microsoft. En cas d’exploitation réussie, l’attaquant déclenche une exécution de code à distance (RCE) sur le serveur, ce qui est extrêmement fâcheux pour un service aussi critique que DNS. Les entreprises qui exécutent leur serveur DNS sur la même machine que leur serveur Active Directory doivent être doublement conscientes du danger que représente cette vulnérabilité.

Côté client, la vulnérabilité la plus importante est résolue dans le bulletin MS16-070 Elle corrige plusieurs problèmes dans Microsoft Office. Principale vulnérabilité associée au format Microsoft Word RTF, CVE-2016-0025 déclenche une exécution RCE au profit de l’attaquant. Le format RTF pouvant être utilisé pour attaquer via le volet d’aperçu d’Outlook, la faille peut être déclenchée à l’aide d’un simple email et sans interaction avec l’utilisateur.

Côté navigateur Web, les bulletins MS16-063 pour Internet Explorer, MS16-068 pour Edge et MS16-069 pour Javascript sur Windows Vista traitent plusieurs vulnérabilités RCE critiques qui sont exploitables lors d’une simple navigation sur le Web. Ces vulnérabilités constituent un vecteur d’attaque privilégié pour les cybercriminels et nous vous recommandons de les corriger dans les 7 prochains jours.

Les autres vulnérabilités concernées par ce Patch Tuesday juin sont toutes classées comme importantes. Elles sont généralement exploitées pour élever des privilèges une fois qu’un intrus est parvenu à exécuter du code sur la machine et sont donc associées avec une exécution de code à distance comme décrit ci-dessus. L’exception est MS16-076 qui résout une faille unique dans Windows Netlogon pouvant fournir une exécution RCE à l’attaquant. Sa gravité est moindre qu’une vulnérabilité RCE normale parce l’attaquant devra dans un premier temps prendre le contrôle du serveur Active Directory.

Deux autres vulnérabilités côté serveur dans le patch tuesday juin

Une élévation de privilèges sur le composant du serveur SMB résolue dans le bulletin MS16-075

Une faille dans Microsoft Exchange résolue dans le bulletin MS16-079 entraînant aussi une élévation de privilèges, certains étant liés au patch Oracle dans la bibliothèque Outside-in.

En résumé, il s’agit d’un Patch Tuesday relativement classique mais avec une menace 0-Day connue qui nécessite de surveiller impérativement la publication de la prochaine mise à jour de Flash. Corrigez les autres problèmes en fonction de vos priorités habituelles, mais faites particulièrement attention à la vulnérabilité qui affecte le serveur DNS et qui va forcément susciter des comportements indésirables. (Wolfgang Kandek, CTO de Qualys).

Base de données, Chiffrement, cryptage, Cybersécurité, double authentification, Entreprise, Fuite de données, ID, Identité numérique, Mise à jour, Particuliers, Social engineering

Piratage d’utilisateurs de TeamViewer : la faute aux utilisateurs

Un commentaire

Un nombre conséquent d’utilisateurs de TeamViewer se sont plaints du piratage de leur compte. La société américaine indique que les utilisateurs sont responsables… de leur négligence.

De nombreuses sociétés Internet comme Reddit ont dû modifier les mots de passe de certains de leurs utilisateurs, 100.000 pour Reddit, à la suite du piratage massif des données de Myspace, LinkedIn… Pourquoi ? Les utilisateurs exploitaient le même mot de passe sur différents supports numériques. Autant dire du pain béni pour les pirates. Parmi les victimes, le fondateur de Facebook. Lui, il cherchait doublement les ennuis, son mot de passe n’était rien d’autre que « dadada« . Bref, à force de penser que cela n’arrive qu’aux autres, le danger vous tombera dessus, un jour ou l’autre, et plus rapidement que vous pourriez le penser.

TeamViewer, l’outil qui permet de se connecter sur un ordinateur, à distance, vient d’alerter ses utilisateurs. Un grand nombre de clients TeamViewer s’étaient plaints du piratage de leur compte. L’entreprise a utilisé le terme de « négligence » pour définir les récents problèmes.

TeamViewer a mis en place, la semaine dernière, un nouveau système de sécurité pour renforcer les connexions : la double authentification. Le porte-parole de TeamViewer a indiqué que le développement des outils de sécurité avait commencé, il y a quelques semaines, lorsque les premiers rapports de vols de compte ont émergé du web.

Cybersécurité, Facebook, ID, Identité numérique, Social engineering, Téléphonie

Espionnage : Facebook et le microphone de votre appareil mobile

Facebook a fermé les rumeurs selon lesquelles il utilise le microphone de votre appareil mobile pour écouter les conversations afin de mieux cibler les annonces publicitaires qu’il commercialise.

Microphone de votre appareil mobile utilisé par Facebook ? Dans un communiqué publié le 2 Juin, Facebook a déclaré qu’il « n’utiliser pas le microphone de votre téléphone mobile pour analyser et diffuser des annonces publicitaires ou pour changer ce que vous voyez dans les nouvelles diffusées par RSS. » La compagnie explique de montrer que des annonces basées sur les intérêts des utilisateurs et d’autres informations diffusées par les utilisateurs. Facebook répond directement aux allégations formulées par Kelli Burns, professeur de communication à l’Université de Floride du Sud. Burns pensait que Facebook avait secrètement mis sur écoute les conversations de ses utilisateurs. Si l’idée est loin d’être farfelue, après tout Google enregistre bien votre voix lors de l’utilisation de la recherche vocale, Facebook réclame un accès au micro pour enregistrer le son des vidéos. C’est l’utilisateur qui lui donne l’autorisation. A noter que des appareils tels que l’Echo d’Amazon ou encore certaines nouvelles télévisions connectées écoutent, non stop leurs utilisateurs.

Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Mise à jour, Particuliers, Patch

Problème de confidentialité pour le site My pension

Le site Belge Mypension.be souffre d’un problème de confidentialité. Un utilisateur pensant être déconnecté… le reste sans le savoir.

problème de confidentialité – Les cookies sont de petits fichiers permettant de rendre « unique » l’utilisation d’un site Internet. Il permet de garder en mémoire une session après l’utilisation d’un identifiant de connexion ; de garder en mémoire les choix que vous avez pu effectuer sur un forum, une boutique… Le cookie peut aussi être un problème, surtout si ce dernier est mal géré.

C’est ce qui vient d’arriver au site Internet du gouvernement Belge, Mypension.be. Cet espace du service public du royaume ne prend pas en compte l’ordre pourtant donné par le bouton « deconnexion ». Bilan, si une personne surfe sur un ordinateur public ou semi public (bureau…) un second internaute, face au clavier, peut se retrouver connecter aux informations privées et sensibles du propriétaire légitime. « Une solution technique est en préparation et sera déployée aussitôt qu’elle aura été validée. La sécurité est en effet essentielle pour nos utilisateurs. » infique le site des pensions belges au journal Le Vif.

Espérons pour ce site qu’aucune faille de type XSS (Cross-Site Scripting) existe. Une XSS permet de dérober, par le biais d’un lien particulièrement formulé, d’intercepter les données d’un cookie, donc dans ce cas, de connexion d’un belge utilisateur de My Pension. Une attaque qui peut faciliter, pour un malveillant, l’accès aux données d’une cible pensant être déconnectée de son administration.

Cybersécurité, Mise à jour

Télécom Lille propose un Mastère Spécialisé « Ingénierie de la Cybersécurité »

Télécom Lille propose un Mastère Spécialisé  « Ingénierie de la Cybersécurité »  accrédité par la Conférence des Grandes Ecoles en septembre 2016.

Ingénierie de la Cybersécurité – Les entreprises et les organisations privées et gouvernementales font face chaque jour à de nouveaux enjeux en matière de protection de leurs patrimoines et de sécurisation de leurs infrastructures. En effet, l’omniprésence de la technologie sans fil, les systèmes d’information répartis, le cloud computing, le nomadisme, ont profondément modifié et accentué les risques touchant à la sécurité des données.

Télécom Lille, grande école d’ingénieurs dans le domaine du numérique, a fait de la sécurité l’un de ses axes majeurs de formation et de recherche depuis plus de 20 ans. Pour répondre aux besoins croissants de ce secteur, elle proposera à partir de la rentrée 2016 une formation diplômante en « Ingénierie de la Cybersécurité », accréditée Mastère Spécialisé par la Conférence des Grandes Ecoles.
Cette formation, conçue en partenariat avec les entreprises, s’appuie sur 522 heures d’enseignements théoriques, de travaux pratiques et de travaux de groupes et sur une thèse professionnelle de 5 mois à réaliser en entreprise.

Elle vise l’acquisition des connaissances méthodologiques, théoriques et techniques nécessaires pour maîtriser la mise en place de la sécurité du système d’information, l’identification des risques et l’élaboration des plans de sécurité destinés à  protéger les ressources vitales de l’entreprise contre les agressions internes et externes de toutes natures. De grandes entreprises leaders du secteur de la Cybersécurité/Cyberdéfense soutiennent ce nouveau Mastère et participeront à la formation à travers l’intervention de leurs experts.

Pour plus d’informations sur les conditions de candidatures : consulter le site web ou par tél  03.20.33.55.79

Chiffrement, cryptage, Cybersécurité, Entreprise, Mise à jour, ransomware, Social engineering

Le ransomware : une histoire de business criminel

Le ransomware est un modèle économique criminel, et non un problème de malware.

L’Unité 42 publie sa dernière analyse en date sur les ransomware, qui représentent l’une des cybermenaces les plus sérieuses auxquelles sont aujourd’hui confrontées les entreprises aux quatre coins du monde. Véritable modèle économique, le ransomware, ou rançongiciel, se révèle extrêmement efficace pour enrichir les cybercriminels tout en causant un préjudice opérationnel significatif aux entités touchées. Il ne fait pas de distinction entre ses victimes, sévit partout dans le monde et frappe les principaux marchés verticaux. Petites structures, grandes entreprises, particuliers : tous sont des cibles potentielles.

Si les rançongiciels existent, sous diverses formes, depuis plusieurs décennies, les criminels en ont perfectionné les principaux aspects au cours de ces trois dernières années. Résultat : les nouvelles familles de malware se sont multipliées, rendant cette technique particulièrement redoutable, et de nouveaux acteurs prennent aujourd’hui part à ces procédés très lucratifs.

Pour mener à bien une attaque de ce type, un pirate doit se conformer à la procédure suivante :
1.     Prendre le contrôle d’un système ou d’un équipement.
2.     Empêcher le propriétaire de l’équipement contrôlé d’y avoir accès, en partie ou en totalité.
3.     L’avertir que l’accès à son équipement lui sera restitué, moyennant le versement d’une rançon, et lui préciser les modalités de règlement de celle-ci.
4.     Accepter le paiement effectué par le propriétaire de l’équipement.
5.     Restituer au propriétaire un accès intégral à son équipement une fois le paiement perçu.

Si le pirate néglige l’une de ces étapes, il ne parviendra pas à ses fins. Bien que le concept de ransomware existe depuis plusieurs décennies, la technologie et les techniques requises pour s’acquitter de ces cinq étapes à grande échelle étaient encore inaccessibles il y a quelques années. La déferlante d’attaques imputables à l’exploitation de cette procédure a eu des répercussions sur les entreprises du monde entier qui, pour nombre d’entre elles, n’étaient pas préparées à les esquiver.

Multiplication des plates-formes
Les rançongiciels ont d’ores et déjà migré de Windows à Android, et un cas sous Mac OS X a été recensé. Aucun système n’est à l’abri de ce genre d’attaques, et tout équipement susceptible d’être détourné pour faire l’objet d’une demande de rançon sera une cible à l’avenir. Ce phénomène s’affirmera encore avec l’essor de l’Internet des objets (IoT). Si un pirate est en mesure d’infecter un réfrigérateur connecté à Internet, peut-être est-il plus délicat de monnayer cette intrusion. Pourtant, le modèle économique du ransomware peut s’appliquer à ce cas de figure, et plus largement, à partir du moment où le pirate est en mesure de s’acquitter des cinq étapes citées pour mener à bien ce type d’attaque. Une fois le réfrigérateur infecté, le pirate en question pourrait parfaitement désactiver à distance le circuit de refroidissement et ne le réactiver qu’en contrepartie d’un petit pécule versé par la victime.

Rançons très élevées
Dans le cadre d’attaques mono systèmes de type ransomware, des rançons allant de 200 à 500 $ sont exigées, mais les montants peuvent être nettement plus élevés. Si des pirates réalisent avoir compromis un système stockant de précieuses informations, et que l’entité infectée a les moyens de payer, ils reverront à la hausse le montant de leurs exigences. Nous avons d’ores et déjà constaté ce phénomène avec plusieurs attaques ultra-médiatisées dirigées contre des hôpitaux en 2016 : les rançons acquittées dépassaient largement les 10 000 $.

Attaques ciblées avec demande de rançon
Une intrusion ciblée sur un réseau s’avère intéressante pour un pirate à plus d’un titre. La revente ou l’exploitation d’informations dérobées est une technique usuelle, mais qui nécessite souvent une infrastructure « back-end » supplémentaire et des préparatifs pour pouvoir les monnayer. Les attaques ciblées avec ransomware représentent un réel potentiel pour ces pirates susceptibles de ne pas savoir comment autrement monétiser leur intrusion. Une fois le réseau infiltré, rien ne les empêche d’isoler des fichiers très lucratifs, bases de données et systèmes de sauvegarde, puis de crypter simultanément l’ensemble de ces données. De telles attaques, qui font appel au logiciel malveillant SamSa, ont d’ores et déjà été observées et se sont révélées très rentables pour les adversaires les exécutant.

Base de données, Cybersécurité, Entreprise, Mise à jour, santé

L’Insee et la Drees ouvrent le code source d’Ines

L’Insee et la Drees mettent leurs données à disposition depuis de nombreuses années. Le 14 juin, ils iront encore plus loin et partageront le code source d’un de leurs outils de simulation, le modèle Ines, qui fête ses 20 ans cette année.

Cette ouverture sera précieuse pour tous ceux qui souhaitent utiliser un modèle fiable et éprouvé, afin de mener des évaluations de politiques publiques. Elle le sera également pour l’Insee et la Drees qui pourront améliorer le modèle grâce aux contributions libres.

Mais qu’est Ines ?
Créé en 1996, Ines est l’acronyme d’« Insee-Drees », les deux organismes qui développent conjointement le modèle. Le modèle Ines simule les prélèvements sociaux et fiscaux directs et les prestations sociales à partir de données représentatives de la population française que fournit l’enquête Revenus fiscaux et sociaux. Il est largement mobilisé par l’Insee et la Drees pour éclairer le débat économique et social dans les domaines de la redistribution monétaire, la fiscalité ou la protection sociale.

A partir d’Ines, l’équipe Insee – Drees  publie chaque année un dossier dans France Portrait Social qui décrit l’impact des mesures fiscales et sociales de l’année précédente sur le niveau de vie moyen et les inégalités.   Ines permet également l’estimation des indicateurs avancés du taux de pauvreté monétaire et des inégalités.  Il est aussi utilisé comme outil d’appui à la réflexion, notamment en réponse aux sollicitations des ministères de tutelles, de divers Hauts Conseils, ou d’organismes de contrôle (IGF, Cour des Comptes, Igas).

Pour en savoir plus sur le modèle Ines .

Que pourra-t-on faire à partir du code source d’Ines ?  
Mener des travaux de recherche à partir d’un outil performant et éprouvé. Fort de ses vingt ans d’existence, le modèle Ines est un modèle de référence en matière de simulation des prélèvements obligatoires et des prestations sociales. Le mettre à disposition, c’est permettre aux  équipes de recherche ayant accès aux données sur lesquelles s’appuie le modèle, de mener des travaux pointus et approfondis, notamment à des fins d’évaluation de politiques publiques.  De plus, l’Insee et la Drees joignent au code source une documentation très complète et continuellement alimentée via un wiki, pour permettre à chacun une utilisation autonome du modèle.

Contribuer à l’amélioration du modèle
L’Insee et la Drees se réjouissent de pouvoir bénéficier ainsi des contributions d’experts extérieurs à la conception du modèle Ines. Un dispositif sera mis en place dès le 14 juin pour recueillir les propositions d’amélioration. Les utilisateurs pourront communiquer entre eux et s’adresser à l’équipe qui administre le modèle pour signaler des erreurs dans le code et/ou proposer des améliorations, via un forum dédié. Ces propositions seront étudiées par l’équipe Insee – Drees et pourront être intégrées au modèle.

Cybersécurité, Justice, loi

La reconnaissance d’un « droit du sampling » en faveur de Madonna

Jeudi 2 juin 2016, la chanteuse Madonna a remporté une nouvelle victoire, non pas de la musique mais sur le plan judiciaire. En effet, elle avait été accusée par la maison de disque VMG Salsoul d’avoir abusé de l’art du « sampling » qui consiste à incorporer un très court extrait de la musique d’un autre dans son propre morceau.

En l’espèce, c’est dans sa version pour radio de la chanson « Vogue » sortie en 1990 que la Madonne a repris à cinq reprises un sampling d’une mélodie de cuivres extraite du morceau « Ooh I Love it (Love Break) » du Salsoul Orchestra, une groupe de funk américain qui étais sorti au début des années 80’. C’est le producteur de cette dernière chanson qui avait collaboré avec Madonna pour enregistrer ce qui est ensuite devenu un tube planétaire.

Sampling : la légitimité de l’action contre Madonna en vertu du droit d’auteur
La magistrate Susan Graber n’a pas remis en cause le fait que même de courts extraits de morceaux, qui pourraient donc potentiellement servir à d’autres artistes sampleurs, sont protégées par le droit d’auteur. C’est pourquoi elle est revenue sur la décision des juges du fond qui avaient considéré que les poursuites engagées par la maison de disque étaient déraisonnables.

Cependant, la juge a estimé que « le grand public [ne pouvant pas] de détecter l’origine des cuivres », le groupe Salsoul Orchestra n’avait aucune légitimité à réclamer des royalties, c’est-à-dire des redevances au titre de l’utilisation par Madonna d’une partie de leur morceau.

Des limites apportées au droit d’auteur en faveur de la créativité musicale
C’est donc de manière très concrète que cette affaire a été abordée. On part du postulat que tout artiste peut s’opposer au sample de ses chansons, mais sa demande ne sera accueillie que si le public est en mesure de faire un lien direct entre les deux morceaux. L’atteinte au droit d’auteur n’est donc pas automatique, ce qui est très favorable à la création musicale.

En effet, cette décision montre qu’à partir du moment où un artiste créé une œuvre musicale assez originale pour qu’on ne puisse pas détecter l’utilisation d’un sample, alors il n’a pas à verser de royalties au titulaire des droits d’auteur sur le morceau original. A l’inverse, l’artiste qui en quelques sortes ne camoufle pas assez le sample à travers sa propre création de telle sorte qu’on peut reconnaître l’origine du court extrait repris devra rémunérer l’auteur original.

Sampler n’est pas forcément plagier : Une solution française déjà établie
Cette décision américaine fait écho à une jurisprudence établie en France depuis une affaire qui avait confronté Les inconnus à Maceo Parker en 1993 et qui a été confirmée par un arrêt du 5 juillet 2000 du Tribunal de grande instance de Paris. Les juges français ont en effet considéré que « le caractère reconnaissable de l’emprunt par un auditeur moyen » constitue le critère de qualification de l’acte de contrefaçon quand le sample n’a pas fait l’objet d’une autorisation préalable. Cela permet de concilier les intérêts des artistes samplés comme des artistes sampleurs.

En conclusion, il est à espérer que l’alignement des États-Unis sur la solution française entrainera l’avènement d’un véritable « droit au sample » dans le monde. Les artistes recourent de plus en plus, et ce depuis l’apparition du Hip Hop, à cette technique et les sanctionner à ce titre lorsqu’ils ont fait un sérieux effort de création serait préjudiciable à l’ensemble de l’industrie musicale. (Par Maitre Antoine Chéron, avocat spécialisé en propriété intellectuelle et NTIC, fondateur du cabinet ACBM).

Chiffrement, cryptage, Cybersécurité, Justice, loi

Lutte contre le cyber-terrorisme : vie privée et sécurité nationale

Une étude révèle des attitudes et des avis différents dans la région EMEA quant à l’utilisation des données personnelles et la lutte contre le cyber-terrorisme.

Une étude initiée par F5 Networks et menée à l’échelle européenne auprès de 7 000 personnes (1) révèle que 75 % des individus n’ont aucune confiance dans les réseaux sociaux et les entreprises marketing, en ce qui concerne la protection de leurs données personnelles. 70 % des individus se disent « préoccupés » lorsqu’ils partagent leurs données avec des entreprises et 64 % inquiets pour leur vie privée. Seuls 21 % sont convaincus que les entreprises peuvent protéger efficacement leurs données contre le piratage.

Lutte contre le cyber-terrorisme : Une confiance sous conditions
Sur l’ensemble du panel, plus de la moitié des individus sont prêts à partager leurs données – date de naissance (53 %), statut matrimonial (51 %) et intérêts personnels (50 %) en échange de l’utilisation gracieuse de services. En France, ils sont 55 % à être prêts à communiquer leurs intérêts personnels (contre seulement 35 % au Royaume-Uni).

Pourtant, près d’un cinquième des répondants (18 %) déclare qu’ils ne partageraient jamais leurs données contre un service, ce qui est le cas de 21 % des français et de 33 % des britanniques. En fait, sur la région EMEA, les habitants du Royaume-Uni sont les moins disposés à communiquer leurs données.

Un degré de confiance différent selon le secteur d’activité de l’entreprise
Les individus considèrent les banques comme les sociétés les plus dignes de confiance (76 %) et leur font davantage confiance pour protéger leurs données (73 %) que les entreprises d’autres secteurs. Il reste toutefois une insatisfaction concernant les méthodes utilisées pour protéger les données. Les utilisateurs trouvent ainsi que les banques (77 %), les organismes de santé (71 %), de même que le secteur public et le gouvernement (74 %), ont besoin de renforcer leurs systèmes d’authentification pour atteindre un plus haut niveau de sécurité.

« Les acteurs traditionnels tels que les banques sont, par leur activité, considérés comme de confiance », commente Antoine Huchez, responsable marketing Europe du Sud chez F5 Networks à DataSecurityBreach.fr. « Pourtant, cela ne nous empêche pas les consommateurs de partager des informations sur les réseaux sociaux, alors qu’ils considèrent ceux-ci comme peu fiables, en matière de protection des données personnelles. Les utilisateurs étant de plus en plus sensibilisés sur les risques, les entreprises doivent mettre en place une infrastructure de sécurité et de protection des données – technologie, éducation et processus – suffisamment rigoureuse pour répondre aux inquiétudes de leurs utilisateurs et garder la confiance de leurs clients ».

Le débat lutte contre le cyber-terrorisme : confidentialité ou protection ?
Le règlement européen sur la protection des données personnelles (General Data Protection Regulation – GDPR), récemment approuvé par le Parlement européen, donne aux citoyens le droit de se plaindre et d’obtenir réparation si leurs données sont mal utilisées au sein de l’UE. Lorsqu’on leur demande ce qu’ils considèrent comme un mauvais usage de leurs données, plus des deux tiers (67 %) des individus mentionnent le partage de leurs données avec des tiers sans leur consentement. A noter que sur les pays Européens si ce partage de données sans consentement est une mauvaise pratique pour 75 % des consommateurs britanniques, les français sont seulement 59 % à le penser – les polonais (71%), les allemands (68 %) et les habitants du Benelux (62 %).

Dans le sillage du débat entre Apple et le FBI concernant le déverrouillage d’un smartphone, 43 % des individus sont d’accord avec l’affirmation selon laquelle les entreprises sur le marché des nouvelles technologies devraient accorder la priorité à la sécurité nationale plutôt que sur la vie privée et fournir aux organismes gouvernementaux l’accès aux périphériques verrouillés. Les chiffres sont encore plus élevés au Royaume-Uni (50 %), au Benelux (49 %) et en France (46%) mais plus faibles en Allemagne (38 %) et en Arabie Saoudite (37 %).

La sécurité nationale passe devant le droit à la vie privée avec une différence de 12 points, mais pour 43% des individus, la responsabilité de protéger les citoyens contre les menaces cyber-terroristes incombe à leur gouvernement et un cinquième (21 %) des personnes interrogées pensent que chacun devrait être responsable de sa protection. « Les individus prennent ainsi conscience qu’ils peuvent jouer un rôle dans la sécurité nationale mais les responsabilités ne sont pas encore clairement établies », conclut à DataSecurityBreach.fr Antoine Huchez, responsable marketing Europe du Sud chez F5 Networks.

(1)L’étude, menée par Opinium Research, a interrogé plus de 7 000 individus à travers le Royaume-Uni, l’Allemagne, la France, le Benelux, les Émirats Arabes Unis, l’Arabie Saoudite et la Pologne, afin de recueillir leur avis quant à la sécurité et l’utilisation des données personnelles.