Archives de catégorie : Cybersécurité

Actualités liées à la CyberSecurité.

Cybersécurité, Justice

UFC Que Choisir contre Twitter: la victoire historique des consommateurs !

UFC Que Choisir vient de remporter une grande victoire contre le géant des réseaux sociaux, Twitter Inc. La Cour d’appel de Paris a confirmé une décision antérieure qui a établi que 24 clauses des conditions d’utilisation de Twitter étaient illicites.

24 clauses des conditions d’utilisation, 29 clauses de la politique de confidentialité et 7 clauses de son règlement sont illégales. Twitter vient de découvrir la décision de la Cour d’appel de Parus concernant une série de plainte à l’encontre du réseau sociaux au petit oiseau bleu. Bilan, cette décision a des implications importantes pour les droits des internautes sur les réseaux sociaux.

La Cour a d’abord considéré que les règles du droit de la consommation s’appliquent aux conditions d’utilisation de Twitter, malgré le caractère apparemment gratuit du service. La Cour a souligné que la fourniture de données de l’utilisateur est la contrepartie du service rendu et que, par conséquent, le contrat a un caractère onéreux. Cette décision renforce la célèbre formule « Si c’est gratuit, c’est toi le produit !« .

Consentement des utilisateurs

En outre, la Cour a rejeté deux clauses importantes relatives au consentement des utilisateurs, qui ont été jugées non écrites. Ces clauses ont été rejetées car elles n’étaient pas clairement exposées au moment de la souscription du contrat.

« Chacun saura désormais que les clauses qui ne figurent pas dans l’écrit que le consommateur accepte ou qui sont reprises dans un autre document auquel il n’est pas fait expressément référence ne sont pas valables. » souligne Alexandre Lazarègue, Avocat spécialisé en droit du numérique.

La Cour a également sanctionné les clauses qui permettaient à Twitter de modifier les services et les conditions générales de manière unilatérale. Cela a des implications importantes pour les utilisateurs, car cela signifie que Twitter ne peut pas changer les termes du contrat sans l’accord explicite de l’utilisateur, quitte à en boquer son évolution.

Il paraissait pourtant légitime que, si une partie ne doit pas pouvoir modifier unilatéralement l’esprit général d’un contrat, elle puisse faire évoluer celui-ci sans qu’un consommateur puisse, à lui seul, bloquer toute évolution.

Utilisation du service et les contenus publiés

En outre, plusieurs clauses du contrat prévoyaient que l’utilisation du service et les contenus publiés se trouvaient sous la responsabilité de l’utilisateur. Le tribunal a considéré que ces clauses étaient illicites. « S’il est logique que Twitter assure la sécurité des données qu’elle collecte, et qu’elle endosse la responsabilité d’un éventuel piratage, il n’apparaissait pas abusif que l’auteur d’un contenu en soit responsable et que twitter en tant que simple hébergeur en soit déchargé. » explique Alexandre Lazarègue.

Enfin, la Cour a également souligné que la suppression d’un compte Twitter pour violation de de son règlement éthique doit faire l’objet d’un débat contradictoire et de mises en garde préalables. Les utilisateurs de Twitter, y compris tels que Donald Trump et les influenceurs sur le grill, devront désormais savoir précisément sur quel fondement leur compte est supprimé et avoir la possibilité de contester cette décision à l’amiable.

En somme, cette décision est une grande victoire pour les consommateurs et les internautes, car elle renforce leurs droits et leurs protections sur les réseaux sociaux. Elle rappelle également aux grandes entreprises que leurs pratiques commerciales doivent être transparentes et justes envers les utilisateurs.

Banque, Cybersécurité

Visa, les pirates et ma CB

Visa a annoncé la suspension d’une expérience de trois ans au cours de laquelle les résidents de l’Inde pouvaient régler des achats en ligne en un seul clic, sans fournir de code CVV, ni de mot de passe à usage unique.

Voilà une expérience qui semble avoir coûté quelques millions de dollars à Visa, le fournisseur de cartes bancaires éponymes. La publication locale India Times suggère que cette décision est due aussi à la position sévère de la banque centrale du pays, qui prévoit de renforcer les règles relatives aux paiements numériques.

Il faut dire aussi que permettre de payer par carte bancaire sur Internet, sans fournir la moindre authentification semble être dès plus dangereux en cas de perte, de vol ou de piratage de la carte bancaire. « Visa travaille sur une forme améliorée de produit d’authentification de réseau conformément aux recommandations de la Banque de réserve de l’Inde », a déclaré Visa dans un communiqué. Les titulaires de cartes Visa peuvent continuer à les utiliser avec une authentification supplémentaire pour garantir la sécurité des paiements. »

Le programme Visa Single Click a été lancé en Inde en 2019. À l’époque, la limite de paiement sans authentification supplémentaire était de deux mille roupies (22€), puis a été portée à cinq mille (55€). Les principaux géants des télécommunications, ainsi que des détaillants, des services de livraison et d’autres grandes entreprises ont adhéré à cette option. Dans le même temps, le service a été très populaire en Inde, avec 250 000 personnes s’inscrivant dans les 45 premiers jours suivant son lancement.

Toutefois, selon les représentants de la Banque centrale, seule une procédure de débit impliquant du plastique physique peut être considérée comme sûre. Dans ce cas, il est acceptable d’abaisser le seuil de sécurité. Les paiements numériques, en revanche, suscitent de vives inquiétudes au sein de la principale institution financière du pays, qui exige donc le maintien de l’authentification à deux facteurs.

Visa surveille les cardeurs

Pendant ce temps, il faut savoir que Visa disposerait d’un service de renseignement distinct qui recueille des données sur les actions et les tactiques des fraudeurs, notamment sur les marchés noirs du web. C’est ce qu’a révélé Michael Jabbara, responsable de la lutte contre la fraude chez Visa en tant que vice-président, dans une interview accordée à Benzinga. « L’entreprise a mis en place plusieurs couches de sécurité, érigées pour protéger tout élément et tout membre de notre écosystème. explique le spécialiste de chez Visa. Cela dit, nous savons qu’il n’existe pas de stratégie unique qui permette de protéger les utilisateurs contre les fraudeurs et les cardeurs, qui sont très ingénieux et persistants. Nous avons donc plusieurs tactiques défensives, dont l’une est l’analyse des sites fantômes« .

Il explique que Visa surveille de près l’évolution des différentes familles de logiciels malveillants et de ransomwares, les personnes qui les utilisent et la manière dont ils sont introduits dans des organisations spécifiques du secteur financier. « Nous examinons les types de données vendues sur le darknet, les données personnelles, les numéros de carte, et nous suivons les grandes tendances. »

Parmi les enquêtes et questions, le Service Veille ZATAZ expliquait que les recherches pouvaient se tourner sur de nombreuses questions comme « Y a-t-il une banque en particulier qui devient soudainement le leader du nombre de cartes vendues sur le darknet ? » ;  « Pourquoi cela se produit-il ?« .

Il a ajouté que le service de renseignement enquêtait sur toute fuite de données sérieuse survenant dans le monde entier. Des spécialistes analysent des échantillons de code utilisés dans ces attaques, les intègrent dans leur bibliothèque et les analysent ensuite. Visa se concentre également sur des familles de logiciels malveillants spécifiques ciblant les vendeurs et les bourses de crypto-monnaies.

Marketing de la malveillance

« Il y a un niveau de sophistication assez large en termes de personnes » explique le chercheur. Vous avez des gens qui sont les stéréotypes du petit pirate de 16 ans, dans le sous-sol de leurs parents. Ils sont capables d’acheter un script sur le dark web et de générer toute une série d’attaques par force brute qui aura pour mission de deviner le numéro de carte, la date d’expiration et le CVV2 en générant des centaines de milliers de transactions de test en quelques minutes.

« Ensuite, les groupes de criminels« . Ils sont organisés. Ils profitent de rançongiciels, de logiciels malveillants, d’attaques et de défaillances. « Certains ont été arrêtés il n’y a pas si longtemps après que les enquêteurs sur la fraude Visa les ont retrouvés.« 

Vient enfin les organisations soutenues par un État « Ils sont bien financés et bien organisés. Ils mènent des attaques à grande échelle contre des institutions financières. Vous pouvez penser au piratage Swift qui s’est produit il y a plusieurs années avec la banque centrale du Bangladesh, par exemple« .

Piratage de SWIFT : l’attaque qui a permis de détourner 81 millions de dollars

Le piratage de SWIFT est une attaque informatique qui a eu lieu en février 2016. SWIFT, pour Society for Worldwide Interbank Financial Telecommunication, est un réseau utilisé par les banques du monde entier pour transférer des fonds entre elles.

Le piratage a commencé lorsque des cybercriminels ont réussi à pénétrer dans le système de sécurité d’une banque bangladaise, la Banque du Bangladesh. Les pirates ont ensuite utilisé cette brèche pour accéder au système SWIFT de la banque, leur permettant de transférer de l’argent vers des comptes bancaires appartenant à des complices dans le monde entier.

Les pirates ont réussi à transférer près de 81 millions de dollars de la Banque du Bangladesh vers des comptes bancaires aux Philippines, à Hong Kong et au Sri Lanka. Les transactions ont été approuvées par la Banque centrale des Philippines, mais certaines d’entre elles ont été bloquées par d’autres banques, qui ont été alertées par des erreurs de frappe dans les ordres de transfert.

L’enquête sur l’attaque a révélé que les pirates avaient utilisé des logiciels malveillants pour accéder au système SWIFT et masquer leurs traces. Les pirates ont également utilisé des techniques de phishing pour obtenir les identifiants et mots de passe nécessaires pour accéder au système.

Après l’attaque, SWIFT a émis des avertissements à l’ensemble de ses membres, les exhortant à renforcer leur sécurité et à mettre en place des mesures de sécurité supplémentaires pour prévenir de telles attaques à l’avenir. Les enquêteurs ont également découvert que d’autres banques avaient été ciblées par des attaques similaires, mais que leurs défenses informatiques avaient empêché les pirates d’accéder à leur système SWIFT.

L’attaque contre la Banque du Bangladesh a mis en évidence les vulnérabilités du système SWIFT et la nécessité pour les banques d’investir dans des systèmes de sécurité plus avancés pour protéger leurs actifs et leurs clients.

Banque, Cybersécurité

350 000 comptes en banque de chômeurs gelés suite à une fraude informatique

Des chômeurs de l’État de Californie, dont les allocations ont été volées à la suite de fraudes informatiques poursuivent Bank of America.

Selon le portail CourtHouse News, l’action en justice découle du fait que l’institution financière n’a pas protégé les cartes de débit à partir desquelles les allocations ont été volées.

Bank of America avait conclu un contrat exclusif avec le département californien de la promotion de l’emploi pour le paiement des prestations par carte de débit. Or, pendant plusieurs mois, de nombreux bénéficiaires ont constaté que leur compte était soudainement débité sans avertissement. La banque a ainsi été contrainte de geler 350 000 comptes liés au programme d’aide aux chômeurs américains en novembre dernier. Seuls 8 % d’entre eux ont finalement repris vie.

L’action en justice reproche à Bank of America de ne pas s’être conformée aux normes de sécurité du secteur et d’avoir émis des cartes de débit à bande magnétique, obsolètes et facilement accessibles aux fraudeurs, au lieu de puces de sécurité. Par ailleurs, les chômeurs qui ont perdu leurs fonds se sont plaints du peu d’intérêt manifesté par le personnel de la banque pour enquêter sur la perte. Dans certains cas, ils ont été ignorés pendant un mois, passant d’un service à l’autre et refusant d’être reçus personnellement.

Cela va directement à l’encontre des accords que Bank of America a conclus avec l’État de Californie, qui stipulent que toute demande de fonds perdus doit être résolue dans les dix jours et que les Américains qui ont perdu des prestations en raison d’une fraude n’en sont pas responsables.

L’essentiel de la réclamation consiste à exiger l’émission de cartes avec des puces de sécurité et le recouvrement intégral de tous les fonds volés par les fraudeurs. La banque elle-même n’a pour l’instant publié qu’une longue déclaration indiquant que les fraudeurs ont réussi à voler des milliards de dollars appartenant aux Californiens et qu’elle travaille en étroite collaboration avec le gouvernement de l’État pour résoudre le problème. (CN)

Cybersécurité, double authentification

Google Authenticator prend en charge la sauvegarde

L’application d’authentification à deux facteurs Google Authenticator synchronise désormais les codes à usage unique 2FA qu’elle génère avec les comptes d’utilisateurs Google.

Auparavant, les codes à usage unique Authenticator étaient stockés localement sur un seul appareil, et leur perte pouvait empêcher de se connecter à n’importe quel service configuré avec Authenticator.

Pour bénéficier de la nouvelle fonctionnalité de synchronisation, vous devez mettre à jour votre application. Lorsque vous vous connectez à votre compte Google sur Google Authenticator, les codes sont automatiquement enregistrés et restaurés sur tout nouvel appareil. Ils peuvent également être transférés manuellement vers un autre appareil. Comment vous allez vous en rendre compte ? D’abord le logo d’authenticator a changé.

Ensuite, un petit nuage rouge et une virgule apparaissent dans l’application, à côté de votre compte Google.

Le géant américain affirme que cette mesure ne compromet pas la sécurité. « Nous avons lancé Google Authenticator en 2010 comme moyen gratuit et facile pour les sites d’ajouter des 2FA (Double authentification, ce qui améliore la sécurité de l’utilisateur lors de la connexion. Dans cette mise à jour, nous apportons une solution à ce problème, en rendant les codes à usage unique plus sûrs en les stockant en toute sécurité dans les comptes des utilisateurs de Google« .

L’application Authenticator était à l’origine un projet open-source, mais le code a été fermé par la suite, et les forks open-source officielles des applications Android, iOS et BlackBerry n’ont pas été mises à jour depuis des années. Il existe des alternatives à Authenticator, comme Authy et Duo.

En 2022, Google a annoncé l’introduction d’un support de connexion sans mot de passe avec Passkeys pour Android et Chrome. Les développeurs Android pourront mettre en œuvre la prise en charge de l’accès sans mot de passe à l’aide de l’API WebAuthn et la tester dans le navigateur Chrome Canary ou dans le programme bêta Google Play Sequence.

Bitcoin, Cybersécurité

Loi anti-blanchiment via les crypto-monnaies

Un projet de loi américain visant à lutter contre le blanchiment d’argent via les crypto-monnaies est retardé en raison d’un manque de soutien.

Le projet de loi américain visant à lutter contre le blanchiment d’argent via les crypto-monnaies, qui avait été initié par les sénateurs Elizabeth Warren et Roger Marshall, subit un retard en raison d’un manque de soutien. Cette loi, présentée pour la première fois en décembre, vise à imposer la procédure KYC à l’industrie de la cryptographie, ce qui affecterait les fournisseurs de portefeuilles hors ligne, les mineurs, les validateurs et les autres participants indépendants au réseau.

Bien qu’une version révisée du projet de loi ait été promise en février, elle n’a pas encore été rendue publique, et la date de présentation de la mise à jour n’a pas été annoncée. Les législateurs auront ainsi plus de temps pour évaluer l’impact potentiel de cette loi sur l’industrie. Alors que certains passionnés de crypto-monnaie critiquent la proposition de Warren, la qualifiant de dure et entravant le développement de l’industrie, ses partisans affirment qu’elle fournira des règles claires pour protéger les consommateurs et empêcher les activités illégales utilisant des crypto-monnaies.

Armée anti-crypto-monnaie !

En mars, Elizabeth Warren avait appelé à la création d’une « coalition anti-crypto-monnaie » pour protéger la sécurité des investisseurs, mais cette initiative a été critiquée pour restreindre la liberté économique.

Pendant ce temps, un chercheur aurait trouvé des portefeuilles de bitcoins appartenant aux services de sécurité russes. Ce passionné de bitcoins non identifié a étudié la blockchain bitcoin et a découvert des centaines de portefeuilles qui, selon lui, appartiennent aux services secrets russes.

Le chercheur a utilisé la fonction de documentation des transactions de la blockchain bitcoin pour identifier 986 portefeuilles contrôlés par la Direction du renseignement militaire extérieur (GRU), le Service de renseignement extérieur (SVR) et le Service fédéral de sécurité (FSB). Dans des rapports rédigés en russe, il indique que ces portefeuilles sont impliqués dans des cyberattaques !

Ce que l’on sait, c’est que le dénonciateur a pris le contrôle d’au moins quelques portefeuilles BTC qui, selon lui, appartiennent aux services secrets russes, peut-être par le biais d’un piratage ou (si l’on en croit le dénonciateur) par l’intermédiaire de sources internes. À l’appui de l’enquête du mystérieux internaute, les analystes de Chainalysis signalent qu’au moins trois des portefeuilles cités ont déjà été liés à la Russie.

Deux d’entre eux auraient été impliqués dans l’attaque Solarwinds, tandis que le troisième a payé pour des serveurs utilisés dans une campagne de désinformation pour les élections de la Douma d’État russe de 2016.

A noter aucune information sur ce « sujet » sur le portail de Chainalysis. Le communiqué de presse relatant cette histoire aurait été envoyé à Coindesk !

Cybersécurité, double authentification

Un système pour craquer les mots de passe à base de RTX 4090

Mettez vingt-quatre cartes graphiques RTX 4090 en parallèle et regardez le matériel cracker les mots de passe plus vite que la lumière !

L’ancien pirate informatique, Kevin Mitnick (Alias le Condor) est aujourd’hui un spécialiste de la sécurité informatique. Il travaille pour la société KnowBe4. Dernièrement, sur Twitter, Mitnick a affiché à quoi ressemble sa nouvelle plate-forme de craquage de mots de passe.

L’ancien hacker, qui a passé environ cinq ans en prison dans les années 90, est depuis longtemps un spécialiste de la sécurité de l’information, un consultant et un conférencier recherché.

Le directeur exécutif de Mitnick Security Consulting explique que cette machine se compose de quatre serveurs, le tout pris en charge par vingt-quatre cartes graphiques RTX 4090 basées sur Ada Lovelace et six autres RTX 2080 basées sur Turing. L’histoire ne dit pas combien de temps et d’énergie vont devoir être exploités pour craquer des mots de passe, hashés par exemple, en sha256.

A noter qu’utiliser des RTX 4090 dans un centre de données serait une violation du contrat de licence du pilote de NVidia. Nvidia a interdit, en 2018, l’utilisation de ses cartes graphiques GeForce et Titan dans les centres de données, obligeant les organisations à débourser pour des équipements plus chers, comme ses puces Tesla V100.

Cybersécurité

Contrôler ChatGPT avant qu’il ne vous contrôle !

OpenAI, créateur de chatGPT, a annoncé qu’il sera désormais possible de ne pas conserver les entretiens et de ne pas les utiliser comme données de formation. On vous montre ce que sait l’IA sur vous et comment détruire vos informations personnelles.

Cependant, même si cela ne sera pas tout à fait anonyme, la CTO Mira Murati a déclaré à l’agence Reuters que l’entreprise donnera une plus grande priorité au respect de la vie privée. La rapide percée de l’outil ChatGPT a suscité des inquiétudes en Italie concernant le traitement des données par l’entreprise américaine. En réponse, OpenAI a déclaré qu’elle travaille en collaboration avec les régulateurs européens.

À partir de cette semaine, il sera possible de désactiver les paramètres « historique des discussions et formation » de ChatGPT. Cela signifie que l’outil ne conservera pas les déclarations antérieures et ne les utilisera pas à des fins de formation. Toutefois, les conversations ne seront pas tout à fait anonymes car elles seront conservées pendant 30 jours pour des contrôles d’abus avant d’être totalement supprimées.

Contrôler et effacer ses datas ChatGPT

Les Data Controls sont des paramètres de ChatGPT qui permettent aux utilisateurs de désactiver l’historique des conversations et de choisir si leurs conversations seront utilisées pour l’entraînement des modèles. Les utilisateurs peuvent également exporter leurs données ChatGPT et supprimer leur compte de manière permanente. Pour désactiver l’historique des conversations et l’entraînement des modèles, les utilisateurs doivent accéder à ChatGPT > Data Controls comme DataSecurityBreach.fr vous le montre ci-dessous. Les conversations récentes ne seront pas utilisées pour améliorer les modèles et n’apparaîtront pas dans l’historique des conversations, mais seront conservées pendant 30 jours pour des contrôles d’abus avant d’être supprimées.

Il est important de noter que cela n’empêchera pas les add-ons non autorisés ou les logiciels malveillants sur votre ordinateur de stocker votre historique. Les utilisateurs peuvent également exporter leurs conversations en accédant à Paramètres > Data Controls > Exporter données et peuvent supprimer leur compte en accédant à Paramètres > Data Controls > Supprimer compte. Si l’utilisateur choisit de supprimer son compte, comme Datasecuritybreach.fr vous le montre ci-dessous, cela est irréversible et toutes les données associées à ce compte seront également supprimées.

OpenAI utilise les données personnelles des utilisateurs pour améliorer ses modèles de langage naturel en les entraînant sur un corpus de texte large, qui comprend du contenu disponible publiquement, sous licence et généré par des examinateurs humains. OpenAI n’utilise pas les données à des fins publicitaires ou pour créer des profils de personnes, mais uniquement pour améliorer ses modèles.

Si l’historique est désactivé, les nouvelles conversations seront supprimées dans les 30 jours et ne seront pas utilisées pour l’entraînement des modèles, mais les conversations existantes seront toujours sauvegardées et pourront être utilisées pour l’entraînement des modèles si l’utilisateur ne choisit pas de les exclure. Si l’historique est désactivé, les conversations ne seront pas récupérables une fois qu’elles sont fermées.

Il n’y a pas de limite au nombre de conversations que les utilisateurs peuvent avoir avec l’historique et l’entraînement désactivés, et cela s’applique aux abonnements gratuits et Plus. OpenAI honorera également les demandes précédentes d’exclusion de l’entraînement des modèles.

OpenAI travaille sur une nouvelle offre appelée ChatGPT Business, qui permettra aux professionnels de désactiver l’entraînement des modèles par défaut. En attendant, les utilisateurs peuvent remplir un formulaire pour demander l’exclusion de leurs données de l’entraînement des modèles. OpenAI prévoit de lancer ChatGPT Business dans les mois à venir pour les entreprises qui souhaitent gérer leurs utilisateurs finaux.

Dernier point que DataSecurityBreach.fr souhaite mettre en avant. Prudence aux courriels qui pourraient usurper ChatGPT. Le courrier électronique ressemble à la capture écran ci-dessous, provient de l’adresse tm.openai.com et OpenAI n’envoie aucune archive sans votre demande explicite. Cela vous éviter de fournir vos identifiants de connexions dans un phishing bien ficelé et ciblé !

Cybersécurité, Mise à jour, Securite informatique

Données clients dans des routeurs vendus d’occasion

Une étude affiche une inquiétante mauvaise habitude dans la revente de matériel informatique. 22% des routeurs de seconde main affichent encore des données sur les clients !

Une étude présentée ce 24 avril 2023 affiche des chiffres qui laissent perplexe sur la compréhension de certains utilisateurs professionnels de matériels informatiques. Le laboratoire ESET Research découvre que les routeurs d’occasion détiennent de nombreux secrets d’entreprises. Plus de 56 % des routeurs réseaux achetés à des fournisseurs de matériel d’occasion contenaient un trésor de données sensibles, notamment des identifiants, des configurations VPN, des clés cryptographiques, etc. Entre de mauvaises mains, ces données suffisent pour débuter une cyberattaque pouvant conduire à une atteinte à la sécurité des données, mettant en danger l’entreprise, ses partenaires et ses clients.

Cette étude montre que les entreprises ne suivent pas des protocoles de sécurité suffisant lors de la mise au rebut de leur matériel. Après avoir examiné les données de configuration de 16 appareils distincts, 9 routeurs contenaient encore des données d’entreprise sensibles.

Des données clients toujours présentes

22 % contenaient des données sur les clients ; 33 % exposaient des données permettant à des tiers de se connecter au réseau ; 44 % disposaient d’identifiants pour se connecter à d’autres réseaux en tant que tiers de confiance ; 89 % contenaient des détails de connexion pour des applications spécifiques ; 89 % contenaient des clés d’authentification de routeur à routeur ; 100 % contenaient un ou plusieurs identifiants de VPN ou IPsec, ou des hash de mots de passe root ; 100 % disposaient de données suffisantes pour identifier l’ancien propriétaire/exploitant avec certitude.

Les données découvertes sur les équipements entrent dans ces catégories : informations de tiers de confiance ; Données sur les clients ; Données d’applications spécifiques ; Informations complètes sur le routage central ou encore données d’usurpation d’opérateurs de confiance.

Nous pourrions attendre à ce que les entreprises de taille moyenne et les grandes entreprises disposent d’un ensemble de protocoles de sécurité stricts pour mettre les appareils hors service « mais nous avons constaté le contraire » confirme ESET. Les organisations doivent être beaucoup plus conscientes de ce qui reste sur les appareils qu’elles mettent hors service « Les appareils d’occasion que nous avons obtenus contenaient un schéma numérique détaillé de l’entreprise concernée, notamment des informations réseau essentielles, des données d’applications, des identifiants de l’entreprise et des informations sur les partenaires, les fournisseurs et les clients.« 

Cybersécurité, Entreprise

OTP : sécuriser ses données par un tour de clé

Dans un monde de plus en plus connecté, la sécurité des données est devenue une priorité pour toutes les entreprises. Les cyberattaques sont de plus en plus sophistiquées et fréquentes, ce qui peut compromettre les informations personnelles et sensibles de l’entreprise. C’est pourquoi la solution One Time Password (OTP) est devenue une véritable nécessité pour les sociétés.

Tout d’abord, qu’est-ce que l’OTP et le MFA ? L’OTP est une solution d’authentification forte qui permet de générer un code unique pour chaque connexion. Le code est envoyé à l’utilisateur via SMS ou une application mobile et doit être utilisé en plus du mot de passe pour accéder à un portail ou une application. Le MFA (Authentification Multi Facteurs) est une méthode d’authentification qui combine deux ou plusieurs couches de sécurité pour renforcer l’authentification.

L’OTP est devenue une solution nécessaire pour les entreprises en 2023 pour plusieurs raisons. Tout d’abord, l’utilisation d’un mot de passe unique pour chaque utilisateur n’est pas suffisante pour garantir la sécurité des données. Les mots de passe peuvent être facilement piratés ou volés, ce qui peut entraîner des conséquences désastreuses pour l’entreprise. En utilisant l’OTP, les entreprises peuvent ajouter une couche de sécurité supplémentaire pour empêcher les cybercriminels d’accéder aux données sensibles de l’entreprise.

De plus, l’OTP est facile à mettre en place et à utiliser pour les utilisateurs. Les codes sont générés en temps réel et sont envoyés directement au téléphone de l’utilisateur via SMS ou une application mobile. Cela signifie qu’il n’est pas nécessaire de mémoriser plusieurs mots de passe ou d’installer des logiciels supplémentaires pour utiliser l’OTP.

Enfin, l’OTP est une solution rentable pour les entreprises. Contrairement à d’autres solutions d’authentification forte, comme les clés de sécurité, l’OTP ne nécessite pas d’investissement en matériel ou en infrastructure. Cela rend l’OTP accessible aux entreprises de toutes tailles, quelle que soit leur capacité financière.

OTP utilisé dans différents scénarios d’authentification forte

Par exemple, les entreprises peuvent l’utiliser pour accéder à des portails d’entreprise, des applications sensibles ou des réseaux privés. Les utilisateurs peuvent également utiliser l’OTP pour effectuer des transactions financières en ligne, ce qui peut aider à réduire le risque de fraude.

Cependant, comme pour toute solution de sécurité, il est important de prendre des précautions supplémentaires pour garantir la sécurité des données. Les entreprises doivent s’assurer que l’OTP est correctement configuré et que les codes sont envoyés de manière sécurisée aux utilisateurs. Les entreprises doivent également former les utilisateurs à l’utilisation de l’OTP et à la manière de protéger leur téléphone contre les attaques malveillantes.

Il convient également de noter que l’OTP n’est qu’une des nombreuses solutions de sécurité disponibles pour les entreprises. D’autres solutions d’authentification forte, telles que les clés de sécurité, les certificats numériques et la biométrie, peuvent également être utilisées pour renforcer la sécurité des données. Il est important pour les entreprises de choisir la solution de sécurité qui convient le mieux à leurs besoins.

La sécurité des données : une préoccupation croissante

Dans l’ensemble, la sécurité des données est une préoccupation croissante pour toutes les entreprises en 2023. Les cyberattaques sont de plus en plus sophistiquées et fréquentes, ce qui peut mettre en danger les informations sensibles de l’entreprise. En utilisant une solution d’authentification forte telle que l’OTP, les entreprises peuvent ajouter une couche de sécurité supplémentaire pour protéger leurs données et empêcher les cybercriminels d’accéder aux informations sensibles.

En conclusion, la solution One Time Password (OTP) est devenue une nécessité pour les entreprises en 2023 pour garantir la sécurité des données et protéger les informations sensibles de l’entreprise contre les cyberattaques. L’OTP est une solution facile à mettre en place et à utiliser pour les utilisateurs, tout en étant rentable pour les entreprises. Cependant, il est important de prendre des précautions supplémentaires pour garantir la sécurité des données, notamment en formant les utilisateurs à l’utilisation de l’OTP et en configurant correctement la solution.

La MFA, brique cyber indispensable

Les attaques informatiques sont de plus en plus sophistiquées et les mots de passe ne suffisent plus à protéger les comptes en ligne. La MFA est une méthode de sécurité qui nécessite deux ou plusieurs formes d’identification avant d’autoriser l’accès à un compte, comme un mot de passe et un code envoyé par SMS. La MFA est également connue sous d’autres noms tels que : Authentification à deux facteurs (2FA) ; Authentification à plusieurs facteurs (MFA) ; Authentification forte (Strong Authentication) ; Authentification multi-étapes (Multi-Step Authentication) ; Authentification multi-niveaux (Multi-Level Authentication) ; Authentification renforcée (Enhanced Authentication) ; Authentification de sécurité (Security Authentication) ou encore Authentification de confiance (Trust Authentication).

Autant de termes qui indiquent la même idée. Voici, d’ailleurs, quelques exemples concrets pour une entreprise :

Accès aux données sensibles : Pour les entreprises qui stockent des données sensibles telles que des informations financières ou des données personnelles, la MFA est essentielle pour protéger ces informations contre les cyberattaques. La MFA peut empêcher les pirates informatiques d’accéder aux données même s’ils ont réussi à trouver le mot de passe.

Connexions à distance : Avec le travail à distance qui devient de plus en plus courant, les employés accèdent souvent aux réseaux d’entreprise depuis des endroits différents. La MFA peut aider à protéger ces connexions contre les attaques par force brute et les tentatives de phishing, qui sont de plus en plus fréquentes.

Services Cloud : Les entreprises qui utilisent des services cloud pour stocker et partager des fichiers doivent être particulièrement vigilantes en matière de sécurité. La MFA peut aider à protéger ces services contre les accès non autorisés, en garantissant que seules les personnes autorisées peuvent accéder aux fichiers stockés dans le cloud.

Cybersécurité, Entreprise

Les équipes de sécurité mettent en moyenne 145 heures jours pour résoudre une alerte cybersécurité

Selon le nouveau Cloud Threat Report, les équipes de sécurité mettent en moyenne 145 heures, soit environ six jours, pour résoudre une alerte de cybersécurité.

Les chercheurs du groupe Unit 42 ont analysé plus de 210 000 comptes cloud de 1 300 organisations dans le monde pour parvenir à cette conclusion. À mesure que les organisations adoptent le cloud, elles sont confrontées à des risques de sécurité croissants, car toute configuration erronée peut être exploitée par des cybercriminels. Dans son rapport, Palo Alto Networks met en garde contre les dangers de l’authentification insuffisante, des correctifs inadéquats et des logiciels open source malveillants.

Les chercheurs ont également constaté que 76 % des organisations n’utilisent pas d’authentification multi-facteur pour les utilisateurs ayant des droits de contrôle et que 58 % n’ont pas d’authentification multi-facteur pour les gestionnaires d’accès administrateur. Unit 42 a également observé que 63 % du code de base en production présentent des failles critiques non corrigées, tandis que seulement 5 % des règles de sécurité sont responsables de 80 % des alertes dans la plupart des environnements cloud.

Palo Alto Networks conseille donc aux organisations de planifier des sauvegardes et de les stocker dans des emplacements isolés, ainsi que d’élaborer des plans stratégiques en cas d’incident. Les chercheurs prévoient également un glissement de la sécurité des terminaux vers des plates-formes protégeant directement les applications dans le cloud, connues sous le nom de Cloud-Native Application Protection Platforms (CNAPP). Selon le cabinet-conseil Gartner, la demande de solutions CNAPP a augmenté de 70 % en 2021-2022.

CNAPP, Kesako ?

Un CNAPP (Cloud-Native Application Protection Platform) est une plateforme de sécurité des applications dans le cloud. Les CNAPP sont conçues pour protéger les applications qui fonctionnent nativement dans des environnements de cloud computing, tels que les conteneurs et les microservices. Les plates-formes CNAPP sont également adaptées aux environnements de développement DevOps, où les applications sont fréquemment mises à jour et déployées rapidement. Les CNAPP fournissent des fonctionnalités telles que la gestion des identités et des accès, la détection et la réponse aux menaces, la conformité et la gouvernance, ainsi que la surveillance et la gestion des risques. L’utilisation de CNAPP est de plus en plus courante car elle permet de mieux sécuriser les applications dans le cloud, qui est devenu une cible de choix pour les cyberattaques en raison de l’augmentation de la migration des applications des entreprises vers le cloud.