Archives de catégorie : Cybersécurité

Actualités liées à la CyberSecurité.

Argent, Arnaque, Banque, Particuliers, Phishing, Sauvegarde, Scam

Pour que les e-soldes d’été riment avec e-sécurité

Pour que les e-soldes d’été riment avec e-sécurité Pour que les bonnes affaires le restent, 6 conseils de Data Security Breach pour succomber à la tentation des bonnes affaires estivales sans tomber dans les pièges qui peuvent être tendus sur internet. 26 juin, c’est officiellement le coup d’envoi des soldes d’été. C’est l’occasion de se faire plaisir en réalisant des économies d’autant que le mauvais temps de ces dernières semaines présage d’un important stock à écouler. Malgré la crise, 80% des français ont l’intention de faire les soldes cette année selon l’étude Ifop pour Spartoo avec un panier moyen prévu de 201 euros.

De plus en plus de français font leur achat sur des sites d’e-commerce. Cependant, même si ces sites sont mieux protégés qu’auparavant, le risque de se faire arnaquer sur Internet persiste. Alors que 52% des victimes de fraude déclarent que la fraude subie « a été effectué dans un commerce en ligne », 27% des acheteurs continuent d’utiliser leur carte de crédit avec désinvolture pour effectuer des achats en ligne selon une étude Harris Interactive pour Kaspersky Lab. Les montants volés constatés sont en moyenne de 250 euros mais si 20% de ces débits sont supérieurs à 1 000 euros.

Voici une liste de 6 conseils prodigués par Kaspersky Lab pour ne pas tomber dans les mailles du filet des cybercriminels pendant cette période d’achats :

1.     Etre vigilant face aux offres trop alléchantes – Les internautes ont pour habitude de recevoir des promotions de différentes marques soit via e-mail ou sur les réseaux sociaux tels que Facebook et Twitter. Cependant, certains cybercriminels abusent de cette méthode de distribution en envoyant de faux e-mails déguisés en messages légitimes de marques (phishing). Après avoir cliqué sur le lien, l’utilisateur est alors redirigé vers un site malveillant au lieu de celui du distributeur. Les pirates pourront récupérer toutes les informations bancaires stockées sur l’ordinateur; 1/3 des internautes conservent ce type d’information sur leur ordinateur domestique.

2.     Vérifier l’authenticité et la sécurité du site – Si une bonne affaire se profile, il suffit de se rendre sur le site officiel de la marque pour confirmer qu’il s’agit bien d’une offre légitime et que le site n’est pas un faux. Le témoignage de clients, la présence de conditions générales et la réactivité du service client constituent d’autres indices prouvant la véracité du site. Le paiement en ligne doit également être sécurisé car même si 44% des acheteurs sur Internet ne sont pas particulièrement inquiets lorsqu’ils utilisent leurs cartes de crédit en ligne1, il est important de vérifier l’existence du cadenas et de la mention https dans la barre d’adresse.

3.     Privilégier les réseaux 3G/4G au Wi-Fi – Les smartphones et les tablettes peuvent aider à suivre les bonnes affaires même au sein des centres commerciaux physiques. Cependant, les cybercriminels savent que les consommateurs ont tendance à se rendre sur des sites dotés d’identifiants ou d’informations bancaires pendant ces événements particuliers. Ils peuvent facilement surveiller les informations envoyées sur les réseaux Wi-Fi publics, telles que le numéro de compte ou de carte bancaire.

4.    Favoriser des moyens de paiements fiables – Il est important de privilégier les moyens de paiement qui permettent un recours comme les systèmes de paiement sécurisés par carte bancaire et d’éviter au maximum les services de transfert d’argent, notamment à l’étranger.

5.     Eviter de renseigner les sites avec trop de données personnelles – Certains sites d’e-commerce sont très intrusifs et demandent de fournir beaucoup de données personnelles. Il faut donc éviter de laisser trop d’informations sur soi.

6.     Choisir un mot de passe sécurisé – Un bon mot de passe est la condition indispensable pour une protection optimale de ses données. Le mot de passe idéal doit combiner plusieurs combinaisons de caractères mais ne doit pas être réutilisé à l’infini. Plusieurs mots de passe sont nécessaires pour éviter de se faire pirater ses comptes.

Chiffrement, cryptage, Cyber-attaque, Entreprise, Fuite de données, Leak, Linkedin, Patch, Propriété Industrielle, Sauvegarde, Sécurité

Les responsables informatiques aveugles face aux failles de sécurité des réseaux d’entreprise ?

Dimension Data, le fournisseur mondial de services et de solutions informatiques, a déclaré à Data Security Breach que le nombre de périphériques vulnérables sur les réseaux informatiques d’entreprise a chuté entre 2011 et 2012, passant de 75 % à 67 %. Même s’il s’agit du chiffre le plus bas en deux ans, cette tendance met en évidence l’approche laxiste en matière de sécurité actuellement adoptée par les gestionnaires de réseau.

Telle est l’une des conclusions tirées dans le Baromètre des réseaux 2013 publié aujourd’hui par Dimension Data. Depuis son lancement en 2009, le Baromètre des réseaux informe de l’état des réseaux à l’échelle mondiale, en compilant des données en provenance des entreprises et les résultats des audits Technology Lifecycle Management (TLM) réalisés par Dimension Data dans le monde au cours de l’année écoulée. Ce rapport analyse la capacité opérationnelle des réseaux en évaluant la présence de failles de sécurité, le statut en fin de vie et le respect des bonnes pratiques de configuration des périphériques réseau. Aujourd’hui, Dimension Data affiche au compteur plus de 1 200 audits réalisés ces cinq dernières années, grâce à la solution Technology Lifecycle Management (TLM), auprès d’entreprises de toutes tailles et opérant dans tous les secteurs d’activités.

Comme l’explique à datasecuritybreach.fr Raoul Tecala, directeur du développement commercial de l’activité Intégration réseau chez Dimension Data : « Certaines failles de sécurité présentes depuis des années n’ont toujours pas été corrigées — et ce, malgré la proactivité dont font preuve certains fournisseurs comme Cisco Systems avec l’envoi d’alertes en cas de correctifs et les constantes mises à niveaux de leurs logiciels et systèmes. (…) « L’élimination de toutes les failles de sécurité peut constituer un défi de taille dans le cas d’environnements complexes d’envergure. Il convient toutefois de mettre en balance les perturbations subies et les efforts nécessaires, d’une part, avec les répercussions potentielles et les mesures qui s’avèrent indispensables. Bien que les réseaux semblent actuellement moins en proie aux failles de sécurité, la proportion importante de périphériques vulnérables se maintiendra jusqu’à l’application d’un correctif logiciel ou à la mise à niveau vers une nouvelle version plus sécurisée du code. »

Data security breach conseille aux entreprises de concentrer leurs efforts sur les failles de sécurité qui représentent le plus grand danger. « Plus le périphérique est proche d’Internet, plus le risque est important. Par conséquent, les entreprises doivent se montrer vigilantes et nous leur recommandons de mettre en place un système visant à évaluer, à hiérarchiser et à corriger en permanence les failles de sécurité des réseaux. termine Raoul Tecala, Même si les réseaux informatiques paraissent aujourd’hui moins vulnérables, bon nombre des failles de sécurité restantes sont difficiles à supprimer complètement et on en identifie de nouvelles chaque année. Il serait donc malvenu de se reposer sur ses lauriers ».

Cybersécurité, Sécurité

HackNowLedge Contest édition France

Samedi 29 juin, le HackNowLedge Contest Europe Afrique dépose ses conférences et concours de hacking éthique à Lille. Le programme ! La capitale du Nord, Lille, et Euratechologie, accueillent, ce samedi 29 juin, le HackNowLedge Contest Europe Afrique.

Après le Maroc, la Belgique, la Côte d’Ivoire et avant l’Algérie, la Tunisie, l’Espagne et le Congo, ce grand rendez-vous dédié au Hacking Ethique vient déposer ses conférences, cours et concours de hacking éthique dans l’hexagone.

Cette édition française va permettre de suivre des cours de hacking & forensic ; de participer à un Challenge de HACKING ouvert à tous ; de croiser la séance d’accréditation CACERT et de participer aux conférences sur la sécurité informatique. A noter que votre serviteur ouvrira le bal, avec la présentation des petits secrets du Protocole d’Alerte de ZATAZ.COM.

L’ensemble du programme est ci-dessous. Imprimer votre badge d’accès ICI.

Cybersécurité, Fuite de données, Linkedin

Linkedin piraté dans la nuit de jeudi ?

Jeudi, de 02h20 à 06h16, le réseau social Linkedin n’était plus dans son état normal. Durant quatre heure, les internautes qui rentraient leur login et mot de passe pour s’identifier se retrouvaient à fournir leur précieux sésame à un site qui n’avait rien à voir avec Linkedin. Le réseau social professionnel indique ne pas avoir subit de piratage mais un « problème » technique qui aurait été occasionné par son prestataire de service.

Un vrai faux site ? A première vue, un DNS capricieux et les internautes se sont retrouvés à fournir leurs identifiants à un inconnu. Ca montre aussi le niveau des utilisateurs. C’est un peu si vous fournissiez les données de votre carte bancaire dans une boite en carton posée à côté du distributeur de billets. Ca n’a pas le gout d’un distributeur, ca n’a pas la couleur d’un distributeur… mais c’est pas grave ! L’hébergeur a reconnu une erreur technique.

L’histoire ne dit pas ce qu’a bien pu récupérer le site Internet mis à la place de Linkedin durant ces 4 heures de « bug ».

Argent, Arnaque, Cyber-attaque, Cybersécurité, escroquerie, Phishing, pourriel, Wordpress

Volkswagen France piraté pour piéger les utilisateurs de Skype et iTunes

Le piratage informatique d’un site web cache très souvent des actions biens plus malveillantes qu’un simple barbouillage. Pour preuve, le cas vécu, ce jeudi, par le site Internet du groupe Volkswagen France. Datasecuritybreach.fr et ZATAZ.COM ont pu constater qu’un pirate informatique avait réussi à s’inviter dans le serveur de la marque automobile Allemande afin d’y cacher une redirection malveillante vers une fausse page d’administration à Skype.

Au moment de l’écriture de cet article, l’adresse volkswagengroup.fr/ (…) /connect.html renvoyait les internautes sur le site usurpateur skype-france.fr. Plus grave encore, le pirate a aussi caché une fausse page iTunes Connect dans le serveur de la filiale française du constructeur automobile.

Le voleur a lancé son hameçonnage Skype (comme pour iTunes) via un courriel électronique contenant ce type de message (exemple pour skype, ndlr datasecuritybreach.fr) « Chère/Cher client Nous vous informons que votre compte Skype arrive a l’expiration dans moins de 48H. Cliquez simplement sur le lien suivant et ouvrez une session a l’aide de votre Skype ID et Mot de passe. Vérifiez maintenant. Cordialement L’assistance a la clientèle Skype 2013« .

Chiffrement, cryptage, Entreprise, Fuite de données, Sauvegarde, Sécurité

Vers la fin du pare-feu ?

Par Jean-Philippe Sanchez, pour DataSecurityBreach.fr, Consultant chez NetIQ France – Chaque professionnel de l’informatique consacre beaucoup de temps et d’argent à s’équiper de pare-feux dernier-cri pour protéger ses informations contre toutes sortes d’agressions extérieures. C’est une situation pour le moins ironique car dans le même temps, les entreprises migrent leurs applications vers le Cloud, casse-tête auquel il faut ajouter la vague d’employés qui utilisent leurs propres appareils au bureau (BYOD – Bring your own device)…

Traditionnellement, les pare-feux constituent la pierre angulaire des stratégies pour protéger leurs actifs numériques. Il y aura toujours des pare-feux, les attaques par déni de service justifiant à elles seules leur existence. Mais l’argument selon lequel le pare-feu est le « meilleur moyen de défense » perd chaque jour de sa crédibilité. C’est pourquoi il est temps de revoir le rôle qu’il joue dans un contexte où les applications et les informations résident dans de multiples sources d’hébergement et prolifèrent sur de nombreux types de périphériques.

L’exercice est simple, datasecuritybreach.fr l’a testé pour vous : sur une feuille, indiquez l’emplacement actuel de vos actifs numériques, et d’ici trois ans. Ensuite, procédez de même pour les besoins d’accès. Vous serez étonné par l’afflux de périphériques personnels appartenant à des employés et d’autres personnes qui comptent les utiliser dans l’environnement professionnel.

De toute façon, si vous leur dites « non », ils trouveront le moyen de vous contourner et d’emporter quand même des données professionnelles ! En mettant ces renseignements à plat, vous allez rapidement vous rendre compte qu’il ne sera pas si simple de tracer un nouveau périmètre et des définir les limites à ne pas franchir. Est-ce un point de routage spécifique, un proxy ou un serveur ?

En réalité, même avant l’apparition du BYOD et des logiciels SaaS, les directions informatiques étaient probablement déjà trop dépendantes des pare-feux. Une étude récente montre que la source la plus courante de fuites de données réside à l’intérieur de l’entreprise. Les fuites de données proviennent habituellement d’utilisateurs lambda, peu qualifiés, et non de pirates sophistiqués.

Pourtant, malgré cette tendance, de nombreux services informatiques continuent de renforcer leur périmètre tout en généralisant les règles de contrôle d’accès applicables aux utilisateurs internes.

Venant s’ajouter aux variables habituelles que sont les périphériques et les lieux, la base des utilisateurs gagne elle aussi en diversité. Les exigences professionnelles obligent de plus en plus les services informatiques à ouvrir leurs pare-feux et à laisser entrer davantage d’utilisateurs ; après tout, le but est de permettre aux utilisateurs de faire leur travail. Et bien que BYOD et le Cloud fassent tout pour réduire le rôle des pare-feux, la nécessité de partager des quantités d’informations de plus en plus importantes avec des sous-traitants, des consultants et même des partenaires distants implique une protection plus robuste et un contrôle granulaire au sein de l’intranet. Et votre pare-feu ne peut certainement pas répondre facilement à cette exigence, voire pas du tout.

Ainsi, l’ère « post-pare-feu » se dessine. Bien sûr, il y aura toujours un certain type de protection, mais la nouvelle norme en matière de contrôle d’accès sera incarnée par l’utilisation à grande échelle de passerelles au niveau des applications et des informations, et non plus par votre pare-feu.

Cybersécurité, Patch, Sécurité

Oracle publie des correctifs pour 40 vulnérabilités dans Java SE

Le Critical Patch Update (CPU) publié par Oracle, fixe 40 nouveaux problèmes de sécurité dans Java SE. Datasecuritybreach.fr rappelle que toutes les vulnérabilités, exceptées trois, peuvent être exploitées à distance par un attaquant, et dans la plupart des cas, celui-ci peut prendre le contrôle intégral du système. Pour atteindre son objectif, l’attaquant utilise une variété de techniques « drive-by », laissant une applet Java exécuter un code arbitraire en contournant la sécurité du sandbox Java. Ce CPU affecte les versions 5, 6 et 7 de Java Development Kit (JDK) et Java Runtime Environement (JRE). Nous recommandons vivement l’application de ces correctifs dès que possible. DataSecurityBreach.fr a récemment constaté de nombreux problèmes de sécurité dans Java.

Cette année, nous recensons 137 vulnérabilités contre seulement 28 et 38 au cours de la même période pour les deux dernières années. En coopération avec Oracle, Apple a également publié une mise à jour de sécurité Apple-SA-2013-06-18-1 afin de protéger les utilisateurs de Mac OS X contre ces vulnérabilités Java. Nous encourageons vivement les utilisateurs à appliquer ces correctifs dès que possible. (Qualys)

Cybersécurité, Livres

Un labo virtuel pour auditer et mettre en place des contre-mesures

Un commentaire

Ce livre s’adresse à toute personne souhaitant s’initier ou se perfectionner dans le domaine de la sécurité informatique et du hacking, et désireuse de faire un point sur ses compétences. Quand une entreprise, un particulier, une association souhaite mettre en place un système d’information, comment vérifier, avant la mise en production, qu’il n’existe pas de faille de sécurité ? Comment tester l’efficacité des protections mises en place ? Ce livre est conçu pour répondre à ces attentes en guidant le lecteur dans la conception d’un laboratoire virtualisé complet dans lequel de nombreux services seront implémentés.

Après cette première phase de création, le laboratoire virtualisé accueillera le système d’information et le lecteur pourra alors attaquer celui-ci afin d’en détecter les failles. Pour s’entraîner à cette phase d’attaque, les auteurs proposent de mettre en place dans le laboratoire un ensemble d’éléments faillibles. Ceux-ci sont présentés sous forme d’un challenge de sécurité dédié à l’entraînement. Le lecteur pourra ainsi vérifier ses compétences et évaluer la qualité des outils d’audit qu’il souhaite utiliser.

Les auteurs ont cherché à couvrir le domaine de manière large avec un coût très raisonnable en investissement matériel. Ainsi, l’apprenti hacker sera confronté à des failles applicatives, des failles Web, des failles systèmes, etc. Une correction des différentes épreuves lui est proposée. Pour terminer, les solutions pour se protéger et mettre en place les contre-mesures adaptées sont présentées.

Les chapitres du livre : Introduction – Proxmox – Machines virtuelles et services – Mise en place des épreuves – Plateformes d’entraînement – Le matériel indispensable – Sécurisation du PC. Un labo virtuel pour auditer et mettre en place des contre-mesures, par Franck Ebel et Jérôme Hennecart.

Franck Ebel est Enseignant à l’université de Valenciennes, commandant de gendarmerie réserviste et spécialiste de la lutte anticybercriminalité, Franck EBEL est expert en failles applicatives. Il a créé la licence professionnelle «ethical hacking» appelée CDAISI, la seule en France en sécurité dite offensive. Il est certifié CEH, OSCP et Wifu. Il forme les Ntech de la gendarmerie de la région Nord-Pas de Calais et le CICERT de Côte d’Ivoire. Il est aussi Président de l’associationACISSI et organise chaque année les RSSIL et le challenge de hacking « Hacknowledge ». Il est aussi membre de l’AFPY, association francophone pour Python. Il donne des conférences en Europe et en Afrique sur Python, les logiciels libres et la sécurité informatique.

Jérôme Hennecart Ancien chef de département Mesures physiques de l’IUT de Valenciennes, enseignant, formateur en sécurité informatique. Le Web et ses faiblesses constituent sa spécialisation.

Editions ENI – 381 pages – 54€. datasecuritybreach.fr vous le propose à 51€ via Amazon (voir ci-dessus).

Banque, BYOD, Chiffrement, Cloud, Cyber-attaque, Entreprise, Fuite de données, Leak, Sauvegarde, Sécurité

48% des entreprises n’utilisent pas d’outils de gestion centralisée de leur sécurité informatique

DataSecurityBreach.fr a appris que 48% des entreprises n’utilisent pas d’outils de gestion centralisée de leur sécurité informatique. Bien que ces outils facilitent grandement la gestion des paramètres de sécurité informatique,  près de la moitié des entreprises interrogées n’y ont pas recours selon une enquête européenne réalisée par Kaspersky Lab en collaboration avec B2B International en novembre 2012.

Les entreprises en général – et particulièrement les plus petites organisations – trouvent souvent que le déploiement et le contrôle des postes de travail et la protection des appareils mobiles n’est pas une tâche aisée. Des outils de gestion centralisés ont été mis en place pour faire face à cette problématique, cependant à peine la moitié des entreprises sont conscientes de leur potentiel. Selon les résultats de l’enquête, seulement 52% des entreprises dans le monde utilisent des solutions permettant une gestion centralisée de leur infrastructure informatique.

Une entreprise qui souhaite mettre en place une sécurité minimale doit configurer un large éventail d’outils de sécurité spécifiques à l’infrastructure informatique d’une entreprise, tels que les postes de travail et les appareils mobiles. En outre, chacune de ces interfaces doit être configurée pour répondre aux besoins spécifiques de l’entreprise, notamment aux politiques de sécurité interne. Les outils de gestion centralisés peuvent avoir un rôle prépondérant pour aider à réaliser cela. Mais, selon B2B International, ces outils sont utilisés par seulement la moitié des entreprises interrogées dans le monde entier. Alors que seulement 30% des entreprises ont pleinement mis en œuvre des outils de gestion clients, 29% des personnes interrogées se limitent à l’installation partielle d’une console de gestion centralisée.

Or, ces solutions augmentent le niveau de sécurité de l’infrastructure, tout en réduisant considérablement la charge de travail informatique de l’entreprise, en éliminant la nécessité de configuration de la protection informatique et de surveillance l’état de chaque poste de travail individuellement.

Cyber-attaque, Entreprise, Fuite de données, Justice, Leak, Propriété Industrielle, Sécurité

Demande de report des négociations TTIP

Suite au scandale PRISM, l’eurodéputée socialiste demande aux ministres européens du Commerce de reporter la réunion du 14 juin.

« Devant l’ampleur des révélations, je demande aux Ministres du Commerce des 27 d’ajourner leur réunion prévue dans trois jours à Luxembourg » déclare Françoise Castex à Datasecuritybreach.fr. Les 27 doivent décider ce vendredi du mandat de négociation de la Commission européenne dans le cadre de l’accord de libre échange UE / Etats-Unis.

Pour l’eurodéputée qui a saisi l’exécutif européen sur l’affaire PRISM par le biais d’une question écrite: « la confiance a été clairement rompue et nous ne pouvons engager des négociations avec nos partenaires américains tant que des garanties suffisantes n’auront pas été apportées par les autorités américaines. »

Pour la Vice-présidente de la Commission des affaires juridiques du Parlement européen: « cette affaire met en lumière le décalage entre notre vieux continent, où il existe déjà de puissantes règles en matière de protection des données, et les Etats-Unis qui n’ont pas les mêmes exigences en la matière. »

« Sur ce point nous devons être intransigeant: le traitement des données des citoyens européens par les autorités publiques américaines doit être fait selon nos normes. », souligne la députée.

Avant de conclure à Datasecuritybreach.fr : « cette affaire nous montre l’urgence de faire émerger en Europe les conditions d’un marché de l’Internet basé sur la confiance pour permettre aux citoyens de relocaliser leurs données en Europe, et non l’inverse! »