La vulnérabilité critique CVE-2023-3460 dans le plugin Ultimate Member pour WordPress vous permet d’ajouter un compte avec des privilèges d’administrateur sur le site, en contournant les mesures de sécurité. Des hackers malveillants l’ont adoptée.
Le plugin Ultimate Member est conçu pour faciliter l’enregistrement et la gestion des comptes sur le site ; il vous permet d’ajouter des profils d’utilisateurs, de leur attribuer des rôles, de créer des champs personnalisés dans des formulaires Web, des listes de membres de la communauté, etc.
Actuellement, cette extension WordPress compte plus de 200 000 installations actives. La vulnérabilité CVE-2023-3460 (9,8 points sur l’échelle CVSS) appartient à la classe d’élévation de privilèges et est causée par une protection imparfaite des clés de métadonnées contre la manipulation.
Le fait est qu’à cette fin, le membre ultime utilise des listes de blocage et les vérifie chaque fois qu’un utilisateur tente d’enregistrer une clé lors de la création d’un compte.
Il s’est avéré que ce mécanisme peut être contourné en forçant le plugin à modifier la valeur de wp_capabilities pour le nouvel utilisateur.
Au cours d’attaques actuelles, les pirates informatiques en possession de l’exploit créent des comptes et utilisent la faille pour modifier les métadonnées afin de s’inscrire dans le groupe d’administrateurs, d’obtenir un accès complet au site WordPress et d’installer une extension CMS malveillante via le panneau d’administration.
Il est fortement conseillé aux utilisateurs de toutes les versions du plugin, y compris la 2.6.6, qui a été publiée le 29 juin 2023, d’installer la version 2.6.7, de réinitialiser tous les mots de passe sur le site et de rechercher les comptes inconnus avec le rôle d’administrateur.
L’organisation MITRE a récemment publié une liste des 25 vulnérabilités et bogues logiciels les plus dangereux qui ont suscité des préoccupations chez les utilisateurs et les entreprises du monde entier au cours des deux dernières années.
Cette initiative vise à attirer l’attention de la communauté de la sécurité de l’information sur ces failles critiques. En plus des vulnérabilités classiques, MITRE a également inclus des erreurs de configuration, des bogues et des implémentations incorrectes dans cette liste exhaustive.
La gravité de ces vulnérabilités peut entraîner des problèmes sérieux, allant de la prise de contrôle de systèmes cibles par des attaquants à la possibilité de voler des données et de provoquer des pannes d’applications. Dans le cadre de l’élaboration de cette liste, MITRE a étudié 43 996 vulnérabilités répertoriées par le National Institute of Standards and Technology (NIST) des États-Unis, en se basant sur leur niveau de gravité. Le catalogue CISA Known Exploited Vulnerabilities (KEV) a également été pris en compte. L’objectif de MITRE est de fournir à la communauté une compréhension claire de certains problèmes logiciels majeurs.
MITRE, l’organisation bien connue pour ses contributions à la sécurité informatique, vient de rendre publique une liste inquiétante des 25 vulnérabilités logicielles les plus dangereuses. Cette compilation, qui a suscité l’attention de la communauté mondiale de la sécurité de l’information, met en évidence les failles qui ont tourmenté les utilisateurs et les entreprises au cours des deux dernières années.
Top 5
– Out-of-bounds Write
– Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’)
– Improper Neutralization of Special Elements used in an SQL Command (‘SQL Injection’)
– Use After Free
– Improper Neutralization of Special Elements used in an OS Command (‘OS Command Injection’)
La liste de MITRE ne se limite pas aux vulnérabilités classiques telles que les erreurs de programmation ou les faiblesses connues. Elle inclut également des erreurs de configuration, des bogues et des implémentations incorrectes. La diversité des failles répertoriées témoigne de l’ampleur des défis auxquels sont confrontés les développeurs et les utilisateurs de logiciels.
L’impact de ces vulnérabilités est considérable
Les attaquants peuvent exploiter ces failles pour prendre le contrôle de systèmes cibles, voler des données sensibles et causer des pannes d’applications. Face à ces risques, MITRE estime qu’il est essentiel de sensibiliser la communauté de la sécurité de l’information à ces problèmes majeurs.
La méthodologie utilisée par MITRE pour établir cette liste est rigoureuse. L’organisation a analysé pas moins de 43 996 vulnérabilités répertoriées par le National Institute of Standards and Technology (NIST) des États-Unis, en se concentrant sur leur niveau de gravité. En outre, elle a pris en compte le catalogue CISA Known Exploited Vulnerabilities (KEV), qui recense les vulnérabilités exploitées.
Calculer la gravité des vulnérabilités
Selon MITRE, la création de cette liste s’est appuyée sur une formule qui permet de calculer la gravité des vulnérabilités. Les scores CVSS (Common Vulnerability Scoring System) ont également été pris en compte pour évaluer la gravité de chaque vulnérabilité. Ainsi, la liste résultante met en évidence les problèmes logiciels les plus critiques, touchant une large gamme de logiciels qui ont été publiés ces deux dernières années.
L’objectif de MITRE est de fournir à la communauté une compréhension claire et approfondie de ces problèmes logiciels majeurs. En rendant cette liste publique, l’organisation cherche à sensibiliser les développeurs, les entreprises et les utilisateurs aux risques auxquels ils sont confrontés.
La publication de cette liste ne vise pas seulement à attirer l’attention sur les vulnérabilités, mais aussi à encourager les acteurs de l’industrie à prendre des mesures proactives pour remédier à ces failles. En identifiant et en comprenant ces vulnérabilités, la communauté de la sécurité de l’information peut développer des stratégies pour renforcer la sécurité des systèmes, améliorer les pratiques de développement et mettre en place des mesures de protection efficaces.
Il est essentiel de noter que la liste de MITRE ne représente pas un classement statique et immuable. Les vulnérabilités évoluent avec le temps et de nouvelles failles peuvent être découvertes. Néanmoins, cette liste offre un point de départ précieux pour identifier les problèmes les plus urgents et les plus préoccupants.
Proxy jacking : Des hackers malveillants détournent les serveurs SSH en les attachant à un réseau proxy.
Les attaques en ligne sont devenues une préoccupation majeure pour les entreprises et les utilisateurs individuels. Une nouvelle menace a été identifiée par les experts d’Akamai Technologies, mettant en évidence une campagne de proxy jacking qui cible les serveurs SSH vulnérables. Les attaquants exploitent les serveurs pour lancer un service Docker qui utilise la bande passante de la victime pour alimenter un réseau proxy commercial.
Cette technique, moins visible que le cryptojacking, offre aux attaquants un moyen discret de générer des avantages financiers en utilisant la bande passante des victimes. Dans cet article, nous allons examiner de plus près cette menace croissante et discuter des mesures que vous pouvez prendre pour protéger vos serveurs SSH contre les attaques de proxy jacking.
Les attaques de proxy jacking
Les attaques de proxy jacking sont une méthode sophistiquée utilisée par les attaquants pour détourner les serveurs SSH vulnérables. Une fois qu’ils ont obtenu un accès à distance au système, les attaquants déploient un service Docker qui partage le canal Internet de la victime avec un réseau proxy commercial. Contrairement au cryptojacking, cette attaque est beaucoup moins visible, ce qui réduit considérablement le risque de détection précoce. Les attaquants utilisent cette méthode pour obtenir des avantages financiers en exploitant la bande passante supplémentaire de la victime, pour laquelle ils reçoivent une récompense du propriétaire du service proxy.
Les chercheurs notent que, contrairement au cryptojacking, de telles attaques sont beaucoup plus discretes : elles chargent beaucoup moins de ressources, ce qui réduit le risque de détection. L’objectif : obtenir des avantages financiers, seuls les proxyjackers n’utilisent pas la puissance de l’ordinateur, mais la bande passante supplémentaire de la victime, pour laquelle ils reçoivent une récompense du propriétaire du service proxy – comme Peer2Profit ou Honeygain.
Le rôle des services proxy
Les services de proxy de trafic sont des outils légaux couramment utilisés par les annonceurs et d’autres utilisateurs. Les participants à ces réseaux proxy installent volontairement un logiciel spécialisé sur leurs machines, permettant ainsi le partage de leur bande passante inutilisée avec d’autres appareils. Malheureusement, ces outils et services ne sont pas à l’abri des abus. Les attaquants exploitent depuis longtemps les proxys pour masquer la source du trafic malveillant et recherchent activement des services qui offrent un anonymat similaire.
Détection d’une campagne de proxy jacking
Dans cette campagne de proxy jacking, les pirates informatiques ont réussi à installer un script Bash obscurci après avoir détourné un serveur vulnérable. Ce script recherche et met fin à tous les processus concurrents, puis lance un service Docker pour partager la bande passante de la victime. Une analyse plus approfondie a révélé que le logiciel malveillant obtenait toutes les dépendances nécessaires du serveur Web compromis, y compris un outil de ligne de commande Curl déguisé en fichier CSS (csdark.css). (Akamai)
Une équipe de chercheurs de l’Université Ben Gourion et de l’Université Cornell ont trouvé un moyen de récupérer les clés secrètes des appareils cibles en analysant la LED d’alimentation.
Une équipe de chercheurs de l’Université Ben Gourion et de l’Université Cornell a récemment fait une découverte inquiétante en matière de sécurité informatique. Ils ont trouvé un moyen de récupérer les clés secrètes des appareils cibles en analysant la LED d’alimentation. Cette méthode, basée sur l’analyse des variations de luminosité, permet à un attaquant potentiel de dérober des clés cryptographiques en utilisant une caméra de smartphone ou une caméra de surveillance. Dans cet article, nous explorerons les détails de cette découverte et ses implications pour la sécurité des données.
Le lien entre la consommation électrique et la luminosité de la LED
Les chercheurs expliquent dans leur rapport que les calculs effectués par le processeur d’un appareil ont un impact direct sur sa consommation électrique, ce qui se reflète dans la luminosité de la LED d’alimentation. Ils ont découvert que ces changements de luminosité peuvent être exploités pour extraire les clés cryptographiques d’un appareil. En analysant les variations rapides de luminosité de la LED, un attaquant peut utiliser l’effet de « parallaxe temporelle » de la caméra pour capturer les émissions physiques.
Les résultats des tests
Les chercheurs ont réalisé plusieurs tests pour valider leur méthode de piratage via la LED d’alimentation. Ils ont réussi à récupérer avec succès une clé ECDSA de 256 bits à partir d’une carte à puce en analysant l’enregistrement vidéo du scintillement de la LED. Dans un autre test, ils ont extrait une clé SIKE de 378 bits à partir d’un téléphone Samsung Galaxy S8. Dans ce cas, ils ont pointé la caméra d’un iPhone 13 vers la LED d’alimentation des haut-parleurs Logitech Z120 connectés au hub USB. Ces tests démontrent l’efficacité de la méthode et la vulnérabilité des appareils face à cette nouvelle forme de piratage.
Les conditions nécessaires pour une attaque réussie
Pour qu’une attaque réussisse, plusieurs conditions doivent être remplies. Tout d’abord, la caméra utilisée par l’attaquant doit être capable de capturer les variations de luminosité de la LED à une distance de 16 mètres du dispositif cible. De plus, la LED d’alimentation doit être en ligne de mire directe de la caméra. Ces exigences peuvent sembler restrictives, mais avec l’avancée des technologies de caméra, il est probable que les attaquants puissent contourner ces limitations à l’avenir.
Une entreprise américaine, en collaboration avec une société de détection de fraude, est actuellement confrontée à des accusations portées par une organisation européenne de défense des droits numériques. Ils se serviraient de milliards de données de téléphones portables sans autorisation.
Ces allégations soutiennent que les lois sur la confidentialité ont été violées par la collecte et le transfert de données cellulaires de la moitié de la population mondiale, utilisées ensuite pour établir des scores personnalisés de fiabilité pour chaque individu. Cette affaire, déposée auprès de l’Autorité belge de protection des données par le Centre européen pour les droits numériques (noyb), met en cause BISC, une société de télécommunications opérant avec plus de 500 opérateurs mobiles dans plus de 200 pays, TeleSign, une entreprise spécialisée dans l’intelligence artificielle et la prévention de la fraude, ainsi que leur société mère, Proximus.
Les accusations portées contre BISC et TeleSign font suite à un article paru en mars 2022 dans le journal Le Soir, qui révélait que le fournisseur de télécoms collectait des données sur l’activité téléphonique des clients et les partageait secrètement avec TeleSign. Ces données incluaient des informations telles que le type de technologie utilisée pour passer des appels ou des SMS, la fréquence et la durée des appels.
Grâce à l’utilisation d’un algorithme sophistiqué, TeleSign attribue ensuite à chaque utilisateur des « scores de confiance » qui sont prétendument utilisés par des géants de l’industrie tels que Microsoft, Salesforce et TikTok pour décider si les utilisateurs doivent être autorisés à créer des comptes.
Classement par activité téléphonique !
Cependant, lorsque certains plaignants ont demandé l’accès à leurs propres données conformément au Règlement général sur la protection des données (RGPD) de l’Union européenne, ils ont découvert qu’ils avaient effectivement été classés par TeleSign en fonction de leur activité téléphonique. Dans un exemple cité dans la plainte, l’un des plaignants s’est vu attribuer un niveau de risque qualifié de « moyen-faible« .
Bien que le RGPD autorise certaines concessions en matière de protection de la vie privée, notamment dans le cadre de la détection des fraudes et des utilisations malveillantes des réseaux et services, la plainte soutient que l’étendue de l’activité de TeleSign et de BISC est injustifiée. Selon les plaignants, « le transfert systématique et massif de tous les numéros de téléphone à TeleSign pour qu’il puisse attribuer une note à chaque numéro n’est pas proportionné ». Ils estiment que cela revient à surveiller tous les utilisateurs dont les communications passent par BISC, alors que la conservation systématique de telles données à des fins policières et judiciaires n’est autorisée que dans des cas très précis.
Violation du RGPD ?
De plus, les plaignants allèguent que ce système de classement viole l’interdiction du RGPD de profiler les individus à l’aide d’algorithmes prédictifs. En effet, la loi interdit « le traitement automatisé de données à caractère personnel… pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des facteurs concernant les performances au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les mouvements de cette personne physique« .
En outre, la plainte souligne que les transferts de données de BISC à une société basée en Californie exposent potentiellement les informations des citoyens européens aux forces de l’ordre américaines, ce qui soulève des préoccupations supplémentaires quant à la protection de la vie privée des utilisateurs.
Un porte-parole de TeleSign a répondu à la plainte en affirmant que l’entreprise avait mis en place un programme de confidentialité des données, conformément aux réglementations mondiales telles que le RGPD et la loi californienne sur la protection des consommateurs. L’entreprise affirme également revoir en permanence ses politiques et pratiques internes pour se conformer à l’évolution du paysage réglementaire.
Le Centre européen pour les droits numériques demande à l’autorité belge des données d’agir en faveur des plaignants. Ils réclament l’arrêt des transferts de données de BISC et le traitement des données par TeleSign. De plus, ils demandent une amende pouvant atteindre 236 millions d’euros (257,4 millions de dollars), correspondant à 4 % du chiffre d’affaires annuel de Proximus, conformément au RGPD et la législation européenne.
Marseille future capitale de la cyber sécurité : Unitel Group rassemble un consortium d’industriels pour créer le premier Campus Cyber méditerranéen.
Unitel Group rassemble un consortium d’industriels pour lancer le projet Campus Cyber basé à Marseille, un investissement majeur dans l’innovation et la réindustrialisation. Ce projet ambitieux vise à créer un campus de pointe dédié à la cyber sécurité et aux technologies connexes, afin de répondre aux attaques ciblant désormais l’ensemble des acteurs économiques français dans un monde de plus en plus connecté.
La Cité phocéenne aujourd’hui reconnue pour ses datacenters et sa position de 7ème Hub mondiale de télécommunications accueille son Campus Cyber. Ce site idéalement positionné au cœur d’Euromediterannée sera un lieu de recherche, d’innovation et de formation pour les professionnels de la cybersécurité et les futurs talents du secteur. Il rassemblera des laboratoires de recherche, des centres de formation, des entreprises de la tech et des partenaires industriels, afin de créer un écosystème dynamique de collaboration et de développement de projets innovants.
Avec des cyberattaques dont la gravité a augmenté et un niveau de menace qui reste « très élevé » le projet Campus Cyber est une réponse aux défis posés par la transformation numérique et la nécessité de protéger les infrastructures critiques, les données sensibles et les systèmes de communication. Il contribuera également à la réindustrialisation de la France en stimulant la croissance de l’industrie de la cybersécurité et en favorisant l’innovation dans d’autres secteurs clés.
Les attaques par déni de services ou par ransomwares peuvent paralyser pendant plusieurs semaines des entreprises ou collectivités en proie à des ruptures de services aux conséquences difficiles à anticiper. Certains groupes n’ayant aucune limite avec l’attaque d’hôpitaux ou d’opérateurs d’intérêt vital.
« Le projet Campus Cyber est un investissement crucial pour l’avenir de notre territoire. Il témoigne de notre engagement à développer une attractivité forte, compétitive et résiliente dans un monde en mutation rapide. Les équipes seront prioritairement axées sur la sensibilisation et à la prévention des menaces. Nous sommes convaincus que la cybersécurité est un domaine stratégique qui peut apporter une contribution majeure à la croissance économique et à la souveraineté nationale », a déclaré Kevin Polizzi, Président d’Unitel Group
Le projet Campus Cyber bénéficiera d’un premier financement de 3,6 millions d’euros portés par les entreprises, ainsi que d’un soutien de partenaires technologiques de premier plan. Les équipes seront logées dans la tour Mirabeau dont la finalisation des travaux est attendue en fin d’année. Cette localisation est idéale car le quartier concentre une forte densité d’infrastructures numériques et de start’ups. Ce tiers lieu de la sécurité numérique mettra librement à disposition 24h/24 ses espaces collaboratifs pour les entreprises de toutes tailles et collectivités locales.
La mise en œuvre du Campus Cyber débutera dans les toutes prochaines semaines, avec une ouverture opérationnelle prévue pour Janvier 2024. Ce projet audacieux témoigne de la volonté des entreprises de jouer un rôle de premier plan dans le développement et l’innovation, et de se positionner comme un acteur clé de la cybersécurité à l’échelle mondiale.
Des incitations financières, tirées des factures clients, pour renforcer la cybersécurité des services publics : un pas vers une protection renforcée contre les menaces en ligne ?
Dans le domaine de la cybersécurité, le manque de ressources financières représente souvent un obstacle majeur pour les services publics. Cependant, une nouvelle règle mise en place par la Commission fédérale de réglementation de l’énergie (FERC) américaine pourrait apporter une solution à ce problème. À partir du mois prochain, les services publics d’électricité auront la possibilité de financer des investissements dans la cybersécurité grâce à une augmentation des factures d’électricité des consommateurs. Cette mesure vise à aider les propriétaires et les opérateurs qui manquent de ressources à renforcer leur protection contre les cyberattaques malveillantes.
Le nouveau cadre volontaire de cyber incitations, requis par la loi bipartite sur l’investissement et l’emploi dans les infrastructures de l’administration Biden, permettra aux services publics de bénéficier d’un allégement tarifaire lorsqu’ils effectuent des investissements préqualifiés dans la cybersécurité ou rejoignent un programme de partage d’informations sur les menaces. Cette règle vise à éliminer l’excuse financière souvent invoquée par les acteurs du secteur public pour ne pas investir dans la cybersécurité.
Le défi du manque de ressources financières
Cette nouvelle règle pour surmonter le principal obstacle rencontré par les propriétaires et les exploitants d’infrastructures critiques, à savoir le manque d’argent pour investir dans la cybersécurité. Les services publics dépendent des tarifs réglementés approuvés pour l’électricité, et ils ne peuvent pas compter sur les contribuables pour couvrir l’ensemble de leurs dépenses. Les commissions des services publics sont généralement réticentes à approuver une augmentation des tarifs, à moins qu’elle ne soit directement liée à la fourniture d’électricité aux clients.
Une opportunité pour les services publics
La nouvelle règle ouvre la voie à une opportunité pour les services publics d’investir dans la cybersécurité. Les commissions des services publics pourront désormais accorder des allégements tarifaires aux services publics qui souhaitent effectuer des investissements dans la cybersécurité. Cela incite les services publics à renforcer leurs défenses numériques et à mieux se protéger contre les menaces croissantes.
Une réponse aux besoins changeants
La règle qui entrera en vigueur le 3 juillet s’inscrit dans les efforts du gouvernement fédéral pour renforcer la cybersécurité des infrastructures critiques. Alors que les cybermenaces évoluent rapidement, il est crucial que les services publics puissent s’adapter rapidement aux nouvelles menaces. La lenteur du processus réglementaire existant est une préoccupation majeure, mais les incitations proposées permettront aux services publics de mettre en place des mesures de cybersécurité plus rapidement et d’assurer une protection plus efficace.
La nouvelle règle prévoit des investissements préqualifiés qui bénéficieront d’un allégement tarifaire. Actuellement, deux investissements préqualifiés sont mentionnés : la surveillance de la sécurité du réseau interne et l’adhésion à un ISAC (Information Sharing and Analysis Center). Ces investissements permettront aux services publics de renforcer leur capacité à détecter et à prévenir les attaques cybernétiques. De plus, la FERC envisage d’autoriser des incitations au cas par cas pour d’autres investissements qui amélioreraient considérablement la posture de sécurité des services publics.
La FERC prévoit également d’intégrer des contrôles supplémentaires provenant du catalogue de l’Institut national des normes et de la technologie (NIST) et des recommandations spécifiques d’agences fédérales telles que CISA, le FBI, la National Security Agency et le DOE. Ces mesures garantiront une approche plus complète de la cybersécurité et aideront les services publics à se conformer aux normes et aux meilleures pratiques recommandées.
Thales, un fournisseur mondial de technologies et de solutions de sécurité, a annoncé un nouveau partenariat avec Google Cloud dans le but de développer de nouvelles capacités de sécurité des données alimentées par l’IA générative. Cette collaboration vise à renforcer la faculté des entreprises à découvrir, classer et protéger leurs données les plus sensibles. En exploitant l’IA générative, Thales cherche à améliorer sa plateforme de sécurité des données CipherTrust, offrant ainsi de nouvelles fonctionnalités et expériences aux utilisateurs.
Dans un monde où de plus en plus d’entreprises hébergent leurs données sensibles dans le cloud, la sécurité et la protection de ces données sont devenues des préoccupations majeures. Selon le rapport sur les menaces liées aux données de Thales en 2023, seulement 24 % des entreprises connaissent l’emplacement exact de l’intégralité de leurs données. Pour remédier à cela, Thales s’associe à Google Cloud pour exploiter l’IA générative et renforcer la capacité de sa plateforme de sécurité des données CipherTrust.
L’objectif principal de ce partenariat est d’améliorer la découverte, la classification et la protection des données sensibles dans le cloud. Grâce à l’utilisation de l’IA générative, la plateforme CipherTrust bénéficiera d’une nouvelle fonctionnalité appelée « Data Discovery and Classification Machine Learning ». Cette fonctionnalité, alimentée par Vertex AI de Google Cloud, permettra une découverte et une classification plus précises des données.
En utilisant l’apprentissage automatique, les données seront classées en différentes catégories et sous-catégories, en s’appuyant sur la « reconnaissance d’entités nommées » pour identifier différents types d’informations sensibles. Les techniques d’apprentissage automatique permettront également de renforcer la découverte et la classification des données en utilisant des caractéristiques sémantiques communes. Cette approche permettra de découvrir et de classifier les informations sensibles à partir d’un ensemble de référentiels documentaires d’entreprise, tout en garantissant leur protection.
Ce partenariat entre Thales et Google Cloud vise à aider les entreprises à accélérer leur efficacité opérationnelle, à réduire les délais de mise en conformité et à corriger les lacunes en matière de sécurité. En renforçant la capacité de la plateforme CipherTrust à protéger les données sensibles, les utilisateurs bénéficieront d’une meilleure tranquillité d’esprit et pourront se concentrer sur leur activité principale, en sachant que leurs informations les plus sensibles sont sécurisées.
Les soldes d’été débutent se mercredi 28 juin, il est essentiel de prendre conscience des dangers liés à la recrudescence de la cybercriminalité sur les sites de e-commerce. Le commerce en ligne est le marché le plus ciblé par les cyberattaques, avec plus de 14 milliards d’incursions recensées dans le monde entier et 4,6 milliards d’attaques.
Dans ce contexte préoccupant, il est primordial que les enseignes et les clients redoublent de vigilance. Les attaques visant les applications Web et les API de e-commerce sont les plus courantes, et ce sont précisément les entreprises de ce secteur qui en sont le plus souvent victimes, représentant 51% des attaques. Cependant, les bots malveillants ciblent également les internautes. Selon notre rapport, entre janvier 2022 et mars 2023, le nombre de ces bots opérant dans le domaine du e-commerce a atteint près de 835 milliards dans la zone EMEA.
Alors que la Fevad vient d’annoncer une progression de 20,2% des ventes en ligne en France au cours de la dernière année, atteignant ainsi 39,2 milliards d’euros au cours des trois premiers mois de cette année, les enjeux sont considérables. Le panier moyen augmente également, démontrant l’attrait lucratif de ce secteur pour les cybercriminels. Les sites de vente en ligne constituent une mine d’or de données sensibles sur les internautes, qui peuvent être facilement compromises étant donné que ce secteur est moins réglementé que d’autres, mais nécessite néanmoins le même niveau de maturité en termes de sécurité.
Il est donc crucial que les enseignes demeurent vigilantes et protègent leurs sites de vente en ligne afin d’offrir aux internautes une expérience d’achat sûre et exempte de bots malveillants. Parallèlement, les internautes doivent adopter les meilleures pratiques en matière de cybersécurité, telles que l’utilisation de mots de passe robustes et la mise à jour régulière de leurs logiciels pour éviter les attaques.
En cette période de soldes d’été, il est essentiel de faire preuve de prudence et de se protéger contre les risques de cybercriminalité. Les astuces présentées dans cet article vous aideront à naviguer en toute sécurité sur les sites de e-commerce et à profiter pleinement de ces soldes sans compromettre la confidentialité de vos données personnelles.
Site de contrefaçons : rien ne vas ! pas de https, prix, Etc. – Capture : datasecuritybreach.fr
Soldes en ligne : Les pièges à éviter pour une expérience d’achat sécurisée
Les soldes en ligne sont l’occasion idéale de faire de bonnes affaires sans avoir à se déplacer dans les magasins bondés. Cependant, il est essentiel de rester vigilant et d’éviter les pièges liés à la cybercriminalité qui peuvent compromettre votre sécurité en ligne. Dans cet article, nous vous présenterons les principaux pièges à éviter lors des soldes en ligne afin de vous assurer une expérience d’achat sûre et sans soucis.
Sites Web non sécurisés
L’un des pièges les plus courants lors des soldes en ligne est de tomber sur des sites Web non sécurisés. Assurez-vous toujours de vérifier si le site dispose d’un certificat SSL (Secure Sockets Layer) avant de saisir vos informations personnelles ou de paiement. Vous pouvez repérer cela en vérifiant si l’URL commence par « https:// » au lieu de simplement « http:// ». Un site sécurisé chiffre vos données, les rendant ainsi moins vulnérables aux interceptions malveillantes.
Offres trop belles pour être vraies
Les soldes peuvent être tentantes avec des réductions alléchantes, mais méfiez-vous des offres qui semblent trop belles pour être vraies. Les cybercriminels utilisent souvent des prix incroyablement bas pour attirer les consommateurs et les piéger. Faites preuve de bon sens et vérifiez la réputation du site et les avis des autres clients avant de faire un achat. Si une offre semble trop alléchante, il vaut mieux s’abstenir pour éviter les contrefaçons ou les arnaques.
Phishing et e-mails frauduleux
Les escrocs profitent des soldes pour envoyer des e-mails frauduleux, vous incitant à cliquer sur des liens malveillants ou à fournir vos informations personnelles. Soyez attentif aux e-mails provenant de sources inconnues ou suspectes. Ne cliquez jamais sur des liens dans des e-mails douteux et évitez de fournir des informations confidentielles par e-mail. Vérifiez toujours l’authenticité de l’e-mail en contactant directement l’expéditeur via un canal sécurisé.
Wi-Fi public non sécurisé
Lorsque vous effectuez des achats en ligne pendant les soldes, évitez d’utiliser des réseaux Wi-Fi publics non sécurisés. Les cybercriminels peuvent facilement intercepter les données envoyées sur ces réseaux, y compris vos informations de paiement. Privilégiez l’utilisation de votre propre connexion Internet sécurisée ou utilisez un réseau privé virtuel (VPN) pour crypter vos données et protéger votre vie privée.
Méfiez-vous des faux sites et des contrefaçons
Les soldes attirent également les contrefacteurs qui créent de faux sites Web ressemblant à des marques populaires. Avant d’acheter un produit, assurez-vous de vérifier l’authenticité du site et de la marque. Recherchez des indices tels que des fautes d’orthographe, des prix anormalement bas ou des politiques de retour et de remboursement peu claires. Optez toujours pour des sites de confiance et vérifiez les avis des clients pour vous assurer de la légitimité du vendeur.
Pendant les soldes en ligne, vous pouvez être confronté à des pop-ups et des publicités trompeuses qui vous redirigent vers des sites non sécurisés ou tentent de collecter vos informations personnelles. Évitez de cliquer sur des publicités suspectes et utilisez plutôt les liens directs vers les sites officiels des marques que vous souhaitez acheter.
Vérification des politiques de confidentialité
Avant de faire un achat en ligne, prenez le temps de lire attentivement les politiques de confidentialité du site. Assurez-vous que vos informations personnelles ne seront pas vendues ou partagées avec des tiers sans votre consentement. Optez pour des sites qui garantissent la protection de vos données.
Utilisation de méthodes de paiement sécurisées
Lorsque vous effectuez un paiement en ligne, privilégiez les méthodes de paiement sécurisées telles que les cartes de crédit ou les services de paiement réputés. Évitez d’utiliser des virements bancaires ou des modes de paiement non sécurisés qui peuvent être plus vulnérables aux fraudes.
En conclusion, pendant les soldes en ligne, il est crucial de rester vigilant et de prendre des mesures pour éviter les pièges de la cybercriminalité. En suivant ces conseils et en faisant preuve de bon sens, vous pouvez profiter des soldes en ligne en toute tranquillité, en protégeant vos informations personnelles et en évitant les arnaques. N’oubliez pas que la sécurité de vos données est essentielle, même lorsqu’il s’agit de faire de bonnes affaires en ligne.
Le Club des Experts de la Sécurité de l’Information et du Numérique (CESIN) soulève une controverse autour des acteurs du cyber rating, mettant en évidence les limites des agences de notation quant à l’évaluation fiable de la maturité des entreprises en matière de cybersécurité. L’association demande une transparence totale des méthodes et des algorithmes utilisés par ces agences, ainsi que le développement de leaders européens dans ce domaine crucial. Cet article examine les questions entourant le cyber rating et explore les appels du CESIN en faveur de la transparence et du développement d’une norme européenne.
L’essor des agences de notation privées dans le domaine de la cybersécurité fait écho à celui des agences de notation financière. Ces acteurs sont chargés d’évaluer le niveau de maturité des organisations en matière de sécurité informatique. Cependant, alors que la demande de visibilité sur le marché est croissante, se posent des questions quant à la capacité de ces acteurs à évaluer de manière impartiale les entreprises. Quelle est la fiabilité des méthodes d’évaluation utilisées et quels sont les impacts sur les organisations ?
Dans un contexte de crises cyber de plus en plus fréquentes, les services de cyber rating sont de plus en plus sollicités. Ils sont utilisés dans le cadre de contrats d’assurance, de contrats de sous-traitance ou encore pour évaluer l’exposition publique des organisations. À ce jour, n’importe quel acteur se prétendant spécialiste du cyber rating peut évaluer la cybersécurité d’une organisation sans préavis et sur un périmètre non vérifié. Cette notation peut ensuite être vendue, partagée avec des tiers tels que des concurrents ou des autorités, voire rendue publique. Par conséquent, une entreprise peut présenter une image trompeuse de sa sécurité, affichant une note satisfaisante alors même que ses fondamentaux en matière de sécurité ne sont pas respectés.
« Nous ne disposons d’aucune garantie d’indépendance ni de consensus sur la véritable valeur des notations de risque cyber publiées par l’oligopole des agences américaines », ont alerté Arnaud Martin et Didier Gras, Administrateurs du CESIN (source : Vigile de notre autonomie stratégique, juin 2022).
Mylène Jarossay, Présidente du CESIN, insiste sur la nécessité d’un processus de notation vertueux, générant des progrès. Elle souligne l’importance de partager de manière transparente les méthodes de calcul des scores, tout en prenant conscience des limites des évaluations externes. Cela permettrait de connaître le véritable niveau de sécurité des organisations, c’est-à-dire leur capacité globale à faire face aux risques cyber. Ainsi, les systèmes de notation ne détourneraient pas les organisations de la mise en place de mesures moins visibles, mais essentielles en termes de défense.
Frank Van Caenegem, Administrateur du CESIN, souligne également l’importance d’adopter une approche du risque prenant en compte les vulnérabilités exploit ables et les solutions de notation. Les solutions de notation permettent de suivre les tendances et la réactivité des entreprises par rapport à leur posture en matière de cybersécurité.
Pour éviter les dérives potentielles, le CESIN propose la mise en œuvre d’un référentiel visant à soutenir l’émergence de notations claires et transparentes. Ce référentiel serait basé sur des méthodes et des critères qui reflètent fidèlement et de manière reproductible le niveau de maturité des organisations en matière de cybersécurité. Cela garantirait la compétence des analystes et favoriserait l’application du principe d’amélioration continue de la cybersécurité. De plus, le CESIN suggère la mise en place de normes et de mesures standardisées afin de rationaliser la communication avec les comités exécutifs et les conseils d’administration. Cette démarche faciliterait également le développement de sociétés de cyber rating en Europe, renforçant ainsi l’autonomie stratégique du continent dans le domaine de la cybersécurité.
En conclusion, le CESIN soulève des préoccupations légitimes concernant les acteurs du cyber rating et leur capacité à fournir des évaluations impartiales et fiables de la maturité des entreprises en matière de cybersécurité. La demande croissante de transparence et l’appel à développer des leaders européens dans ce domaine soulignent l’importance d’une approche rigoureuse et standardisée de l’évaluation de la cybersécurité. En adoptant un référentiel transparent et des normes communes, il serait possible de garantir des évaluations plus précises et de promouvoir une culture de la sécurité informatique renforcée au sein des organisations européennes.
Petites entreprises, grandes menaces : restez informés, restez protégés
