Archives de catégorie : Patch

Base de données, BYOD, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, IOT, Leak, Mise à jour, Patch, Piratage, Propriété Industrielle, Social engineering

Les dirigeants ne sont pas en phase sur la façon de lutter contre les cybercriminels

Selon les résultats de l’étude C-Suite d’IBM : les dirigeants ne sont pas en phase sur la façon de lutter contre les cybercriminels. Éducation et engagement sont nécessaires pour mettre les dirigeants au niveau du nouvel environnement de sécurité.

La division sécurité d’IBM et l’Institut IBM for Business Value (IBV) publient aujourd’hui les résultats d’une étude réalisée auprès de plus de 700 dirigeants qui met en lumière leur confusion concernant leurs véritables ennemis cyber et la façon de les combattre efficacement.

La nouvelle étude, Securing the C-Suite, Cybersecurity Perspectives from the Boardroom and C-Suite est basée sur des entretiens avec des dirigeants de 28 pays et de 18 secteurs industriels concernant la cybersécurité dans l’entreprise. L’étude n’a pas pris en compte les responsables de la sécurité des systèmes d’information (RSSI), afin d’obtenir une image fidèle de ce que les dirigeants pensent de la cybersécurité. Si sur le papier, la cybersécurité est considérée comme une préoccupation majeure pour 68% des dirigeants1, et que 75% pensent qu’une stratégie globale de sécurité est importante, l’étude révèle que les dirigeants clés doivent être plus engagés auprès des RSSI, au-delà de la stratégie en matière de sécurité, et avoir un rôle plus actif.

L’une des principales conclusions de l’étude est que 70% des dirigeants pensent que les individus malveillants constituent la plus grande menace pour leur entreprise. Selon un rapport des Nations Unies2, la réalité est que 80% des cyberattaques sont réalisées par des réseaux criminels hautement organisés au sein desquels les données, les outils et l’expertise sont largement partagés. L’étude C-Suite révèle un large éventail d’ennemis : 54% des  dirigeants reconnaissent que les réseaux criminels sont un sujet de préoccupation mais leur ont donné un poids à peu près égal aux individus malveillants (50%).

Plus de 50% des PDG s’accordent à dire qu’une collaboration est nécessaire pour lutter contre la cybercriminalité. Ironiquement, seulement 1/3 des chefs d’entreprise a exprimé sa volonté de partager à l’extérieur ses informations sur les incidents liés à la cybersécurité survenus dans leur entreprise. Cette situation est un frein à la collaboration coordonnée au niveau de l’industrie, alors même que les groupes de pirates partagent de mieux en mieux l’information en temps quasi réel sur le Dark Web. Les PDG soulignent également que les organisations externes doivent faire davantage ; une surveillance accrue du gouvernement, une augmentation de la collaboration dans l’industrie, un partage de l’information transfrontalière – cette dichotomie doit être résolue.

«Le monde de la cybercriminalité est en pleine évolution, mais de nombreux dirigeants n’ont pas mis à jour leur compréhension des menaces », a déclaré Caleb Barlow, Vice-Président, IBM Security. « Bien que les RSSI et le Conseil d’administration puissent aider à fournir les conseils et des outils appropriés, les dirigeants en marketing, ressources humaines et finances, quelques-uns des départements les plus exposés et les plus fournis en données sensibles, devraient s’impliquer de façon plus proactive dans les décisions de sécurité avec les RSSI. »

En fait, les départements marketing, ressources humaines, et finances représentent des cibles de choix pour les cybercriminels car ils gèrent les données clients et employés parmi les plus sensibles, avec les données financières de l’entreprise et les informations bancaires. Dans l’étude, environ 60% des directeurs financiers, DRH, et directeurs marketing reconnaissent volontiers qu’ils, et par extension leurs divisions, ne sont pas actifs dans la stratégie et l’exécution de la politique de cybersécurité de l’entreprise. Par exemple, seuls 57% des DRH ont déployé une formation à la cybersécurité pour les employés, première étape pour que ces derniers s’engagent en la matière.

Que peuvent faire les entreprises ?
Un nombre impressionnant de dirigeants interrogés, 94%, pensent qu’il y a une certaine probabilité pour que leur entreprise subisse un incident de cybersécurité significatif au cours des deux prochaines années. Selon l’étude d’IBM, 17% des personnes interrogées se sentent capables et prêtes à répondre à ces menaces. IBM a identifié des répondants exceptionnels, 17% de répondants classés «Cyber-Securisés», ce sont les dirigeants les plus préparés et capables de faire face aux menaces. Les dirigeants « Cyber-sécurisés » sont deux fois plus susceptibles d’avoir intégré la collaboration dans leur politique de cybersécurité et deux fois plus susceptibles d’avoir intégré la cybersécurité à l’ordre du jour des Conseils d’administration de façon régulière.

 Conseils « Cyber-Securisés» pour les entreprises :
• Comprendre le risque : Évaluer les risques liés à votre écosystème, analyser les risques de sécurité, développer l’éducation et la formation des employés et intégrer la sécurité dans la stratégie de risques de l’entreprise.

• Collaborer, éduquer et responsabiliser : Mettre en place un programme de gouvernance de la sécurité, accroître le pouvoir des RSSI, promouvoir et discuter régulièrement de la cybersécurité lors des réunions de direction, intégrer les dirigeants dans l’élaboration d’une stratégie de réponse aux incidents.

• Gérer les risques avec vigilance et rapidité : Mettre en œuvre une surveillance continue de la sécurité, tirer profit des analyses d’incidents, partager et utiliser les renseignements de sécurité pour sécuriser l’environnement, comprendre où les données numériques des entreprises se trouvent et élaborer des stratégies en conséquence, développer et appliquer les politiques de cybersécurité.

1.     “Redefining Boundaries: Insights from the Global C-suite Study.” IBM Institute for Business Value. November 2015.
2.     UNODC Comprehensive Study on Cybercrime 2013

Banque, Cybersécurité, Mise à jour, Patch, Téléphonie

Fraude dans la publicité mobile : comment la mettre K.O

Avec l’apparition des Smartphones, la publicité digitale sur le mobile est devenue le nouvel Eldorado des annonceurs. Interactivité, accessibilité, capacités pointues de ciblage… les avantages du mobile sont nombreux et expliquent les budgets publicitaires considérables investis sur ce support. Mais, de manière presque attendue et comme cela fut le cas pour la publicité sur desktop, l’explosion de cette jeune industrie s’est accompagnée d’une menace bien réelle pour les annonceurs : LA FRAUDE. 

Moins connue du grand public – car elle ne touche pas les consommateurs finaux, la fraude sur le mobile a pourtant un coût considérable pour les annonceurs : 1.3 milliards de dollars en 2015 et ce seulement aux Etats-Unis, selon la dernière étude d’Ernest & Young*. En quoi consiste cette fraude ? Comment peut-on identifier les acteurs frauduleux ? D’où viennent-ils ? Comment les contrer ?

La fraude, qu’est-ce-que c’est ?
Afin de mieux comprendre ce qu’est la fraude sur le mobile, revenons rapidement sur les principes basiques de la publicité digitale. Un annonceur souhaite cibler des utilisateurs de Smartphones afin de communiquer sur sa marque, son application ou son site. Il va pour cela payer un montant fixe à un éditeur pour la réalisation d’une action sur son trafic (impression d’une publicité, clic, téléchargement d’app, inscription sur un site,…). L’éditeur, qui offre généralement du contenu gratuit sur son application ou site web, se voit donc offrir une opportunité unique de monétiser son audience et de construire ainsi un modèle économique pérenne. Jusque là … tout va bien. Seulement voilà, des éditeurs peu « scrupuleux »  ont décidé de « rafler la mise » en simulant des fausses actions sur leur trafic. L’annonceur, qui souhaitait acquérir des utilisateurs qualifiés, se retrouve donc avec une part non-négligeable d’utilisateurs  non-qualifiés voire inexistants !

La conséquence directe et mathématique est que l’annonceur se retrouve avec un prix de revient réel beaucoup plus élevé que prévu.  Or ses budgets n’étant pas extensibles, il va devoir exercer une pression déflationniste sur les prix. C’est alors toute la chaîne des éditeurs qui en paie les conséquences… fraudeurs inclus !

Détecter la fraude, un combat du quotidien
Il existe aujourd’hui toute une panoplie de pratiques permettant de détecter la fraude. Il s’agit d’un exercice à la fois simple et complexe mêlant rigueur et technologie. Différents principes de bons sens et basés sur l’expérience du métier permettent d’obtenir de très bons résultats et de proposer une approche systématique ayant pour objectif d’écarter le risque potentiel de fraude. Il ne s’agit donc pas de trouver la formule magique qui permettra de se mettre à l’abri de la fraude mais de combiner plusieurs approches afin de rendre de plus en plus compliqué le travail des fraudeurs jusqu’à ce qu’ils décident eux-mêmes d’abandonner ou de s’attaquer à une autre proie plus faible.

Les schémas frauduleux les plus classiques et quelques approches pour le contrer : Les robots prennent le contrôle… Non ce n’est pas le titre du dernier Spielberg.  Certains hackers ont bel et bien mis au point des robots capables de « regarder » des publicités, cliquer dessus et même installer des applications. Ces techniques sont en fait l’héritage d’une longue pratique de la fraude sur Desktop et représentent aujourd’hui sur le mobile, la majorité des cas de fraude. Une solution ? Le meilleur moyen pour contrer ces robots est d’analyser en temps réel les campagnes : depuis quels terminaux sont vues les publicités, quelles adresses IP, quel langage de terminal, quelle redondance pour une même action de la part d’un utilisateur, quel timing entre le clic et l’action, etc. Autant de données et de paramètres permettant d’identifier des tendances suspectes, des proxy et des robots, et donc de bloquer la source à l’origine du trafic frauduleux.

Pas de robots mais une performance exceptionnelle de campagne pour une très faible qualité ? L’annonceur est probablement victime d’une fraude tout aussi courante :  le trafic incentivé (i.e l’utilisateur reçoit une prime à l’action). Cette fois, les utilisateurs sont bel et bien « réels ». Seulement ils sont « payés » par l’éditeur pour voir, cliquer ou faire une action. Résultats : des taux de conversions très intéressants, mais un taux d’engagement ou de fidélité à la marque très faible. Là encore une analyse du trafic (taux de conversion horaire, taux d’engagement de l’utilisateur ,…) permettra de dégager des tendances assez flagrantes et de bloquer les sources frauduleuses.

Les utilisateurs ne sont pas du tout actifs, pourtant il est certain qu’ils ne viennent pas de trafic incentivé. Dans ce cas, l’annonceur est exposé à une fraude encore plus sournoise : les « fermes » d’installations mises en place dans certains pays. Les employés de ces « fermes » sont payés pour installer des milliers de fois la même application à partir du même terminal en simulant des utilisateurs différents. Comment ? Par une opération très simple que les systèmes de tracking ne parviennent pas encore à repérer : ils installent et ouvrent l’application sur leur terminal, la désinstallent, réinitialisent leur identifiant de terminal et répètent l’opération des dizaines de fois, le tout en se cachant derrière des proxy. Laborieux mais ingénieux. Il faut donc être malin et, une nouvelle fois, analyser les données reçues, notamment le nom et le langage du terminal. En effet, les terminaux ont généralement un nom, et envoient le langage de la machine lors de l’installation. Par exemple si l’on observe pour une même campagne ciblant les Etats-Unis, plusieurs téléchargements provenant de terminaux portant le même nom d’utilisateur (e.g iPhone de Michael) et ayant le même language (e.g VN pour Vietnam), il s’agit très certainement de téléchargement frauduleux en provenance d’une de ces « fermes » d’installations localisées dans le pays. Ou alors c’est vraiment que votre produit cartonne chez les Vietnamiens habitant aux Etats-Unis!

Ceci n’est malheureusement qu’un échantillon limité des actions frauduleuses observées sur le mobile. Il existe des pratiques encore plus sophistiquées que de bons algorithmes sauront débusquer (click spamming, « viewability » de campagne, …).

Des techniques pour gagner votre combat
L’écosystème des éditeurs de media mobile est une véritable jungle dans laquelle se glissent facilement des intermédiaires mal intentionnés. S’il est difficile d’y voir clair et de désigner un coupable, il existe heureusement des outils et des méthodologies permettant de se protéger de façon très efficace. Annonceurs, ne soyez donc pas paranos ! Le marketing mobile – bien qu’encore à ses débuts – est un monde d’opportunités qui s’ouvre à vous avec de nouvelles possibilités de ciblage et de transformations jusqu’alors inédites sur le digital. Au contraire, l’activité frauduleuse est par nature court-termiste et nocive à l’ensemble du secteur. Il est donc fort à parier qu’avec le temps et la mise en place de bonnes pratiques, cette épidémie deviendra bien moins menaçante, comme cela a été le cas pour le Desktop.

Montrez donc l’exemple et soyez plus rusés que les fraudeurs pour déjouer leurs tentatives : Multipliez les sources de trafic (RTB, social, ad-networks …), les formats (display, vidéo, rich media, …) et les approches (retargeting, …) . Traquez et analysez au mieux l’engagement des utilisateurs. Choisissez le bon partenaire pour vous aider et vous aiguiller dans l’achat média. Toute source de trafic comprend des utilisateurs plus ou moins qualifiés, le tout est de savoir faire le tri et évacuer la pollution des fraudeurs ! (Par Stéphane Pitoun, Co-Fondateur et CEO d’Adxperience)

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, DDoS, IOT, Mise à jour, Patch, Piratage

Sécurité des voitures connectées : l’importance de l’identité

Depuis quelques années, de plus en plus de produits rejoignent l’Internet des Objets. S’il était auparavant réservé à de simples produits, il s’étend aujourd’hui à des produits haut de gamme tels que les voitures connectées. En effet, selon l’IDATE, en 2020, 420 millions d’automobilistes généreront un marché de connectivité d’une valeur de 9 milliards d’euros.

Cependant, les voitures, devenant de plus en plus de véritables plateformes informatiques au lieu d’être simplement un moyen d’aller d’un point A à un point B, sont également des cibles de plus en plus attrayantes pour les hackers. 40 millions d’automobilistes a notamment dévoilé en 2014 que trois quarts des voitures volées en France sont électroniquement piratées. Les questions de sécurité et d’identité doivent donc être prises en compte en faisant appel à des experts du domaine. La sécurité menée par l’identité va devenir une nécessité, et le contrôle de sécurité par le propriétaire est susceptible de devenir monnaie courante.
 
Voitures connectées : Un secteur en pleine expansion mais un manque de sécurité
La transformation numérique touche l’ensemble des secteurs d’activités mais en particulier celui de l’automobile. En effet, ce secteur est incontestablement en pleine mutation. Le métier des constructeurs automobiles évolue sans cesse et d’ici une dizaine d’années les sociétés automobiles seront totalement différentes, passant d’un profil de constructeurs à celui de prestataires de services.

L’ensemble des constructeurs et des sous-traitants du secteur automobile produisent aujourd’hui en majorité des smart devices, c’est-à-dire des objets intelligents tous connectables. Pourquoi ? Car à terme ils souhaitent récupérer l’ensemble des données attenantes à un véhicule (distance parcourue, vitesse, taux de freinage, etc.) pour fournir des services basés sur ces dernières. En effet, en manipulant ces données relatives à l’utilisateur, ils pourront lui fournir des services dédiés et ainsi augmenter leur part de marché.

On estime aujourd’hui qu’il y a entre 40 et 60 millions de voitures connectées dans le monde, chacune comportant un grand nombre d’objets intelligents eux-mêmes connectés à internet. D’ici 5 ans, ce chiffre devrait passer à plus de 200 000 millions. Seulement, on estime aussi que le niveau de sécurité de ces voitures est équivalent au niveau de sécurité dont disposaient les ordinateurs et les systèmes d’informations des entreprises des années 80-85…

Des voitures connectées encore trop vulnérables
A ce jour, énormément de tests ont été réalisés pour démontrer la vulnérabilité des voitures connectées, au cours desquels des ingénieurs spécialisés en sécurité ont pu à distance se connecter à des voitures. Une grande partie des véhicules proposés par les grandes marques du marché automobile ont en effet été testés et piratés. La totalité des constructeurs est réellement concernée par ce sujet.

Au cours de ces tests, les ingénieurs ont pu effectuer à distance différentes actions relativement bénignes : allumer la radio, activer les essuies glaces, allumer les feux, etc. Cependant, ils ont également réussi à baisser les vitres, à stopper le moteur sans que le conducteur de la voiture ne puisse le redémarrer ou encore à couper les freins sans que ce dernier ne puisse les réactiver. Ces prises de contrôle à distance peuvent donc avoir des conséquences graves si la personne aux commandes est un pirate informatique mal intentionné.

Un élément au cœur de la transformation numérique du secteur : l’identité
Aujourd’hui, l’ensemble des voitures dites « intelligentes » dispose d’un ordinateur de bord connecté à internet. A travers cette connexion internet, il est possible de se connecter à ces ordinateurs et d’accéder aux différents appareils tels que celui gérant l’allumage du moteur, le réglage des freins, etc.

Désormais lorsque l’on parle d’une automobile, l’identité est un élément central : identité de l’utilisateur, de la voiture, des dizaines voire des centaines d’objets connectés au sein d’un véhicule, etc. Le problème majeur est qu’il n’y a pas de corrélation entre l’identité du conducteur et l’ensemble des identités des objets intelligents présents dans la voiture.

En terme de sécurité, il faut créer cette relation pour que seule l’identité du conducteur, préalablement fortement authentifiée, puisse engager les actions sur ou au travers de l’identité des différents objets connectés. Ainsi lorsqu’un pirate cherchera à prendre le contrôle d’un véhicule à distance, son identité n’étant pas reconnue par les différents objets connectés, il n’y aura pas accès. Il est donc nécessaire de mettre en œuvre une plateforme de gestion des identités qui va permettre de contextualiser et de relier entre elles ces différentes identités.

Une authentification nécessaire mais non contraignante pour les voitures connectées
Lorsqu’il y a authentification de l’identité du propriétaire, le véhicule n’est pas forcément uniquement dédié à ce dernier. L’identité d’un véhicule ou d’un objet peut être reliée aux différentes identités physiques des individus qui auraient une interaction avec elle. Un véhicule peut par exemple être rattaché aux différents membres d’une famille avec une autorisation pour chacun des parents ainsi que pour leur fille titulaire du permis de conduire. De plus, chacun peut avoir des autorisations spécifiques quand aux différentes actions qu’ils vont pouvoir réaliser. On peut par exemple relier l’identité de la voiture à celle du fils âgé de 10 ans et lui interdire totalement d’avoir accès au contrôle du moteur, des freins, etc.

Enfin, au delà d’une base logicielle s’appuyant sur des standards d’authentification, différentes méthodes sont envisageables : empreinte digitale, reconnaissance faciale … et tout ce que les constructeurs seront capables d’imaginer dans les années à venir ! (Ismet Geri, vice-président France et Europe du sud chez ForgeRock)

Base de données, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Sauvegarde, Virus

G DATA partenaire sécurité de l’équipe Ducati pour le championnat MotoGP 2016

G DATA, l’éditeur de logiciels allemand spécialisé dans les solutions antivirus, devient partenaire technique de Ducati Corse pour le championnat du monde de MotoGP. En tant que partenaire, G DATA protège le système informatique de l’équipe Borgo Panigale contre les menaces en ligne pendant toute la saison du championnat, qui commence le 20 mars sur le circuit international de Losail au Qatar.

G DATA protège les serveurs de données de l’équipe Ducati, équipements vitaux pour les activités sur pistes de l’équipe. Ces ordinateurs gèrent le stockage des données générées pendant des essais et les courses, synchronisent l’acquisition de données avec les serveurs distants de l’entreprise et permettent aux techniciens de piste de traiter les données et réaliser des simulations en temps réel.

« Protéger l’intégrité des données et des systèmes critiques en itinérance est un vrai challenge. Nous devons garantir leur sécurité avec des solutions et des politiques qui doivent s’adapter aux différents réseaux que l’équipe trouvera sur les multiples lieux de la compétition internationale MotoGP, et gérer à distance les informations, les mises à jour et journaux d’entrée des données en garantissant un service continu. C’est un défi et nous sommes honorés de relever », déclare Giulio Vada, Country Manager de G DATA Italie.

La relation avec Ducati inclut également une série d’activités conjointes pour l’année 2016.

BYOD, Cloud, Cybersécurité, Emploi, Entreprise, IOT, Mise à jour, Patch, Propriété Industrielle, ransomware, Scada

BYOD au 0Day : sécurité, une année bissextile à l’autre

Vous avez peut-être remarqué que le 29 février figurait dans notre calendrier, cette année : 2016 est en effet une année bissextile ! En matière de cybersécurité, beaucoup de choses ont changé, comme l’arrivée du BYOD, au cours des quatre dernières années. Voici quatre évolutions majeures intervenues depuis 2012, soit une moyenne d’une par an.

Sécurité du cloud : de l’adoption à la redéfinition des frontières
2012 : les experts prévoyaient une hausse de l’adoption de solutions de sécurité des données dans le cloud ; cette hausse était censée affecter l’approche des entreprises en la matière, ainsi que les modes de fourniture des éditeurs. Le cloud hybride commençait à émerger en raison de ses avantages en matière d’agilité et de sécurité. En outre, suite à l’explosion en 2011 des APT (menaces persistantes avancées) à l’encontre de grandes sociétés ou d’administrations publiques, on s’attendait à une recrudescence de ces attaques ciblées en 2012.

2016 : entre l’invalidation de l’ancien cadre Safe Harbor et la création du nouveau cadre baptisé E.U.-U.S. Privacy Shield, les réglementations en matière de résidence et de souveraineté sur les données ont été des sujets de conversations majeurs. Et à la suite de la révélation au grand jour d’affaires de surveillance/d’espionnage, des législations de plus en plus rigoureuses sont à prévoir. En outre, avec le développement des nouvelles technologies et l’évolution des solutions de sécurisation des applications dans le CLOUD (CASB), les frontières entre les applications et processus opérationnels compatibles avec le cloud et les autres feront l’objet d’une nouvelle délimitation. Les entreprises utiliseront plus volontiers le cloud là où cela aurait été considéré comme inconcevable il y a quelques années.

Le débat sur la cybersécurité à Washington
2012 : le projet de loi Cybersecurity Act de 2012, soit la législation la plus complète en la matière à l’époque, est rejeté par le Sénat à l’issue d’un vote à 52 voix contre 46. À ce moment, nombreux sont ceux qui pensent que ce rejet empêchera l’adoption de la moindre législation en matière de cybersécurité pour le reste de l’année, voire pour les années à venir.

2016 : nous sommes maintenant en 2016, et l’atmosphère à Washington est clairement différente. En octobre 2015, le Sénat a adopté à 74 voix contre 21 le projet de loi sur le partage d’information de sécurité informatique. De plus, en 2016, la Maison Blanche a dévoilé un plan d’actions national en matière de cybersécurité (CNAP) afin de renforcer les systèmes de protection numérique des États-Unis.

Des failles de plus en plus grandes   
2012 : cette année-là, de très grandes entreprises ont été victimes de piratages affectant des millions de personnes. Des enseignes commerciales pour le grand public et de grandes sociétés de cartes de crédit ont connu des fuites de données qui ont donné le ton pour l’avenir. À cette époque, les pirates ciblaient principalement les informations relatives aux cartes de crédit, qu’ils obtenaient et revendaient ensuite sur le marché noir.

2016 : en quatre ans, les attaques ont considérablement évoluées. Les secteurs des services financiers et de santé sont désormais durement touchés. En outre, les types d’informations dérobées par les pirates ont également changé. Les données des dossiers médicaux ont une durée de vie largement supérieure et peuvent être utilisées pour des usurpations d’identité. Contrairement aux données financières, qui deviennent inexploitables une fois que la victime s’aperçoit de la fraude et fait opposition sur sa carte, un numéro de sécurité sociale peut difficilement être changé, tandis que des dossiers médicaux et pharmaceutiques sont permanents. Il existe également un marché important pour la fraude et l’arnaque à l’assurance santé, une opportunité bien cernée par les pirates.

Sécurité du BYOD vs. sécurité de l’IdO
2012 : il y a quatre ans, le BYOD devenait sans cesse plus populaire sur le lieu de travail et connaissait son plus bel essor. À l’époque, les acteurs du secteur étaient obsédés par les problèmes de compatibilité que provoquerait cette tendance croissante, ainsi que par les risques de sécurité liés au fait que des employés accèdent à des données professionnelles privées sur leurs appareils personnels.

2016 : bien que le BYOD suscite toujours plus d’inquiétudes sur le plan de la sécurité, les experts prêtent davantage attention à la recrudescence des attaques par des machines « zombies ». Le cabinet de recherche Gartner prévoit que 6,8 milliards d’appareils connectés seront utilisés en 2016, soit une hausse de 30 % par rapport à 2015. Le nombre important d’appareils connectés, ou le phénomène de l’« Internet des Objets », représente une opportunité sans précédent pour les pirates, et beaucoup pensent que le problème va s’aggraver en raison de l’exposition croissante des consommateurs.

Android, Chiffrement, Cybersécurité, Leak, Mise à jour, Patch, Piratage, Sécurité, Smartphone, Téléphonie

Puzzle Color Blend : histoire d’une application Android piégée

Une application dans le Play Store souscrivait automatiquement des connexions WAP payantes.

Parmi les 1,4 million d’applications dans le Google Play Store, certaines sont à manipuler avec précaution. Il s’agit là de la découverte de G DATA avec Puzzle Color Blend. Après son installation, l’application mettait en place des abonnements WAP payants vers une société néerlandaise. Une nouvelle technique à surveiller à l’avenir.

« Ce type d’attaque par abonnement automatique est nouveau », explique Ralf Benzmüller, directeur de G Data SecurityLabs. « Nous assistons ici à une escroquerie très pointue. La création des nombreux faux avis positifs sur le Play Store et la désactivation automatique des connexions de données au profit de connexions WAP payantes montrent que l’attaque est préparée et techniquement avancée.« 

L’application en question
L’application Puzzle Color Blend en cause est un jeu qui consiste à reconnaître et à sélectionner des bonnes nuances de couleur. Disponible dans le Google Play Store depuis le 3 novembre 2015, il avait été téléchargé plus de 50.000 fois jusqu’à son retrait fin janvier. La similitude avec le jeu Blendoku (téléchargé à 1 million d’exemplaires sur le PlayStore) pourrait expliquer le succès rapide de Color Blend. Les images de l’application affichées par l’éditeur dans le Play Store usurpaient par ailleurs l’interface de Blendoku.

Son action nuisible
Après avoir installé le jeu, les utilisateurs contractaient sans le savoir des abonnements à des services WAP payants. Cette méthode d’abonnement automatique est nouvelle. Les attaques détectées précédemment, utilisant la facturation WAP, résultaient d’une action de l’utilisateur, par l’ouverture d’une bannière web par exemple.

Antivirus, Cybersécurité, Logiciels, Mise à jour, Patch, Téléphonie

La Suite complète Avast Mobile Security accessible gratuitement

La nouvelle version pour Android propose une nouvelle interface et des fonctionnalités additionnelles pour encore plus de sécurité.

Avast Software, l’éditeur des solutions de sécurité pour PC et mobiles les plus populaires au monde, annonce aujourd’hui la disponibilité de la toute dernière version gratuite de sa solution Avast Mobile Security pour Android, incluant de nouvelles fonctionnalités pour surfer sur le web en toute sécurité ! En plus d’une protection anti-virus accrue grâce à la base de données utilisateur d’Avast, la nouvelle version garantie la sécurité des connexions – y compris sur les réseaux Wi-Fi publics, ainsi qu’un meilleur contrôle des applications en ce qui concerne la gestion des données personnelles.

Parmi les principales fonctionnalités, la nouvelle version Avast Mobile Security inclut :
·         Privacy Advisor – Les mobinautes ne mesurent pas toujours le niveau d’intrusion des applications qui se trouvent sur leurs appareils, ni la nature des données qui sont collectées. Grâce à la fonctionnalité « Privacy Advisor, » l’utilisateur s’informe en un clin d’œil sur les données recueillies par chaque application et peut ainsi contrôler le type d’information communiqué. En outre, l’application alerte l’utilisateur si la manière dont les données collectées par une application présente d’éventuels risques de sécurité.

·         Sécurité Wi-Fi – Grâce à cette fonctionnalité, l’utilisateur identifie rapidement le niveau de sécurité des bornes Wi-Fi. De cette façon, le mobinaute peut évaluer les risques et adapter sa navigation en fonction de ses besoins ou décider de se déconnecter pour ne prendre aucun risque !

·         Verrouillage illimité des applications — Les utilisateurs téléchargent de plus en plus d’applications dont certaines contiennent des données personnelles – comme les applis de messageries ou associées aux réseaux sociaux par exemple. Avec Avast Mobile Security, les utilisateurs peuvent protéger toutes les applications qu’ils souhaitent à l’aide d’un mot de passe, et profitent ainsi d’une protection supplémentaire contre des regards indiscrets, ou en cas de perte ou de vol de leur terminal mobile.

L’application Avast Mobile Security est disponible au téléchargement dès aujourd’hui sur tous les appareils Android via Google Play Store.

Dernier point, n’oubliez jamais que si le produit est gratuit, il y a de forte chance que ce soit vois le produit !

Base de données, Chiffrement, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch

Un bug sur Instagram trahit la vie privée des utilisateurs

La nouvelle mise à jour de l’outil de socialisation Instagram emporte avec lui un bug particulièrement gênant capable de révéler la vie privée des utilisateurs exploitant l’option multi comptes.

Partager son compte Instagram n’est pas une bonne idée, surtout si vous sélectionner l’option « Multicompte« . Une nouveauté qui permet de partager son espace avec un ami, collègue, … sauf que dans ce cas, l’ami en question recevra vos informations personnelles, et vous recevrez les siennes. Les utilisateurs partageurs recevront les notifications de compte personnel et du compte mis en commun par cette nouvelle possibilité. Selon Android Central, Instagram travaille sur la correction de cette petite fuite, qui pourrait devenir gênante, si vous partagez des informations avec l’Instagram de votre entreprise par exemple.

Cybersécurité, Emploi, Entreprise, Mise à jour, Patch

Quel enseignement pour la cyber-sécurité ?

Enseignement complexe et désormais stratégique, la sécurité informatique n’est pas une simple spécialisation des études d’ingénieur, mais une vaste culture qui requiert une pédagogie adaptée. Quels choix sont faits par les écoles qui forment les professionnels de demain ? (Par Richard Rey, Enseignant, Directeur-Adjoint et RSSI du Laboratoire Confiance Numérique et Sécurité – ESIEA).

Selon une étude Gartner, la moitié des entreprises mondiales serait dans l’obligation, à horizon 2018 de recourir aux services d’un professionnel pour gérer le risque informatique. La principale raison : l’avènement du Cloud et des objets connectés, dont il est, de l’avis des experts, trop facile d’exploiter les vulnérabilités. Dans ce contexte, les entreprises s’intéressent de très près aux étudiants des écoles possédant une expertise en Cyber-sécurité. La discipline est en effet sensible en raison de son double aspect ; car qui parle de sécurisation doit aussi évoquer son autre versant : l’attaque. Former des professionnels de la sécurité est une responsabilité pour les écoles d’ingénieurs et toutes ne s’y emploient pas de la même façon.

Comment enseigne-t-on aujourd’hui ?
Le véritable enseignement en sécurité informatique, c’est-à-dire doté d’intitulés spécifiques, n’existe généralement qu’en troisième année d’études d’ingénieur. À cela une raison simple : c’est à ce moment que de nombreux étudiants rejoignent les écoles après des formations bac+2, pour y poursuivre leurs études supérieures. Or, il est important de comprendre que la sécurité informatique n’est pas un enseignement comme les autres. Les écoles qui ont à cœur de former les experts de demain ne peuvent pas se contenter d’une spécialisation de fin de cursus et doivent au contraire, sensibiliser au plus tôt à ce domaine et participer à la diffusion des connaissances en matière de sécurité. Cela implique de former, non seulement des spécialistes, mais aussi des professionnels capables d’évoquer ce sujet en restant intelligibles à tous les publics.

Un enseignement indissociable d’autres enseignements informatiques
Certaines écoles choisissent, pour cela, d’aborder le sujet plus tôt, dès la première année post Bac via des exercices cryptographiques au sein de modules de mathématiques et avec des travaux pratiques orientés sécurité. En deuxième et troisième années, l’enseignement des systèmes et du réseau est là aussi, l’occasion d’évoquer des questions liées au risque : que ferait une personne malintentionnée, quels accès lui seraient possibles, etc. Pourquoi un tel choix ?
Ces exercices précoces qui incitent à adopter le point de vue d’un attaquant ou d’un adversaire, comme on le ferait dans un jeu d’échec, sont essentiels : ils font prendre conscience que la sécurité est une discipline qui concerne l’ensemble des autres enseignements. Il est en vérité difficile d’imaginer une formation pointue en sécurité informatique avant quatre années d’études supérieures. La culture qui la sous-tend est extrêmement large : maîtriser plusieurs langages de programmation, s’y connaître en architecture web, en technologies des réseaux, en systèmes (Linux, Windows, Android, MacOS), en virtualisation, en Big data, Cloud, etc. Ce qui s’avère impossible en un cycle court. Une étape essentielle consiste à démontrer aux étudiants que, parvenus à un certain niveau, 90% de ce qu’ils trouvent sur internet est souvent obsolète, incomplet, voire faux.

La sécurité informatique, une culture autant qu’une spécialisation
En troisième et quatrième année, les cours dédiés à la sécurité permettent aux étudiants, sans être encore des spécialistes, de disposer de solides connaissances, quelle que soit leur spécialisation ultérieure. Lorsqu’en cinquième année, les cours de spécialisation arrivent, on est ainsi assuré que tous les futurs ingénieurs (et pas seulement les futurs spécialistes) disposent de connaissances indispensables en matière de sécurité. À savoir que tous peuvent évoluer dans l’entreprise avec une conscience aigüe de ce qu’impliquent et signifient les risques ; lors de choix techniques, ils sauront avoir une vision d’ensemble propre à éviter les mauvaises décisions. Former à la sécurité tout au long des cinq années d’un cursus d’ingénieur, participe ainsi à une meilleure connaissance des enjeux de sécurité au sein de toutes les entreprises, et pas seulement des grands groupes.

Un enseignement soumis à confidentialité
Le cursus « sécurité » en cinquième année d’études d’ingénieur peu têtre très dense, (jusqu’à  60% d’un Mastère Spécialisé (Bac+6)) avec un tiers de cours et deux tiers de projets opérationnels, de cas concrets. Dans le cas des écoles bénéficiant de la proximité d’un laboratoire de recherche, il va de soi que les questions de confidentialité se posent très tôt. Les cas soumis par ses membres, des enseignants qui sont aussi des opérationnels, souvent mandatés par des entreprises, par l’État ou des organismes dits d’importance vitale (énergie, transports, etc.), sont confidentiels. Il arrive que l’on confie aux laboratoires et à leurs étudiants un PC, un téléphone portable, avec pour objectif de récupérer ses données, et de découvrir tout ce qui est exploitable. La sécurité réclame des profils de hackers responsables (aussi dénommés « white hats »). On comprendra que son enseignement ne peut se faire sans y adjoindre une solide formation humaine et éthique. Or il est difficile de parler d’éthique à de très jeunes gens dans de vastes promotions. Ce n’est possible qu’en petits effectifs. Plus tard dans leur cursus, des cours dédiés à ces questions les informeront du cadre juridique existant en France et en Europe, des aspects relatifs à l’organisation de la sécurité de l’État, aux agréments, réglementations, à leur histoire, etc. Comment aussi, ils peuvent être soumis, même pendant leurs études, à des enquêtes de moralité et ce que cela implique. Mais au-delà de ces informations, ce sont des valeurs et de l’intelligence qui doivent être transmises très tôt. Cela rend indispensable une formation humaine présente tout au long des études (tout l’inverse de la geek-attitude). C’est aussi une formation qui en leur « apprenant à apprendre » les prépare à l’exercice de leur métier et à une certaine humilité : tout ce que peut dire un expert en sécurité peut être remis en question du jour au lendemain. Ses connaissances demandent une constante mise à jour, (un poste d’expert en sécurité devra obligatoirement comporter 30% de temps consacré à la veille technologique). Les responsables hiérarchiques en ont bien conscience.

L’avenir de la sécurité au féminin ?
C’est aussi une des raisons pour lesquelles les écoles essaient autant d’attirer des jeunes femmes. On leur prête une plus grande maturité, et surtout, plus tôt. On remarque notamment que les entreprises, lorsqu’elles proposent des postes d’expert sécurité légèrement atypiques, qui impliquent entre autres une vision de l’orientation de la politique de sécurité, des rapports avec les fournisseurs, veulent en priorité des femmes dont elles considèrent qu’elles sont les seules à avoir la hauteur de vue nécessaire. Un autre sexisme, mais qui cette fois opère en faveur des jeunes femmes ! Est-ce dire qu’avec plus de jeunes filles, l’enseignement de la sécurité pourrait changer ? Oui.

On constate par exemple que face à une problématique technique, elles privilégient les premiers instants consacrés à la réflexion et à la construction intellectuelle. Ainsi, les solutions proposées sont plus abouties mieux « ficelées » (on parle d’élégance technologique). Il faut le reconnaître, aujourd’hui les filles sont « chouchoutées » dans les formations liées au numérique et plus spécifiquement à la cyber-sécurité ; tout est fait pour entretenir leur motivation et les convaincre que la discipline est passionnante. Seul hic : trop d’entre elles ignorent encore aujourd’hui qu’elles y sont attendues.

Adobe, Cybersécurité, Logiciels, Microsoft, Mise à jour, Patch

Analyse Patch Tuesday Fevrier 2016

Retour à des valeurs normales pour ce Patch Tuesday. Après un démarrage en douceur avec 9 bulletins en janvier, 12 (dont 5 critiques) sont publiés en février, cela correspond à la moyenne de 12,25 bulletins par mois observée l’an dernier.

En fait, il y en aurait même 13, mais le dernier, MS16-022, s’apparente davantage à un changement de packaging. Il concerne un package logiciel pour Adobe Flash dont la mise à niveau est assurée par Microsoft depuis 3 ans et demi sous les versions 10 et 11 d’Internet Explorer. Cette mise à jour était auparavant prise en charge par le seul avis de sécurité KB2755801. Maintenant, elle bénéficie d’un véritable bulletin. Ce nouveau format garantit pour le moins un traitement et un suivi supérieurs. Aucune des vulnérabilités décrites n’est utilisée en aveugle, mais beaucoup sont classées comme facilement exploitables par Microsoft et Adobe si bien que vous devriez les résoudre sans délai. C’est donc le bulletin MS16-022 qui est en tête des priorités de Qualys ce mois-ci.

La mise à jour d’Adobe Flash (APSB16-04) contient des correctifs pour 22 vulnérabilités, toutes classées comme étant « critiques », c’est-à-dire pouvant fournir un contrôle complet de la machine cible à l’attaquant. Les scénarios d’attaque peuvent aussi bien mettre en scène des sites Web compromis mais innocents (certains problèmes récents avec WordPress par exemple) qui redirigent vers des domaines contrôlés par un attaquant malveillant, que du Flash embarqué dans d’autres fichiers (des documents Office notamment) qui cherche un accès via la messagerie électronique. En outre, les attaquants ayant démontré l’an dernier leur intérêt pour les attaques basées sur Flash, ce bulletin fait donc partie des priorités absolues.

Le bulletin MS16-015 arrive en deuxième position sur notre liste. Il résout 7 vulnérabilités Microsoft Office dans Word, Excel et Sharepoint. Les vulnérabilités CVE-2016-0022, CVE-2016-0052 et CVE-2016-0053 dans Word sont toutes au format RTF et peuvent être déclenchées sans interaction de l’utilisateur via le volet de visualisation dans Outlook. Elles sont classées « critiques ». Je suis pour ma part étonné que Microsoft ne propose pas de facteurs de mitigation pour ces dernières et j’en conclus que les changements de configuration spécifiés dans le bulletin MS14-017 continuent de s’appliquer : Lire les courriers électroniques en texte brut dans Outlook et désactiver les fichiers RTF dans Microsoft Word via la politique de blocage de fichiers.

Les autres vulnérabilités de notre liste sont résolues dans le bulletin MS16-009 pour Internet Explorer et dans MS16-011 en ce qui concerne Microsoft Edge. Ces deux publications résolvent respectivement 13 et 6 vulnérabilités dont 7 et 4 de niveau critique. L’exploitation de ces vulnérabilités s’appuierait sur la navigation Web avec redirection vers des sites Web malveillants soit directement, soit par empoisonnement du moteur de recherche qui attire vos utilisateurs vers un site Web piégé, soit via la compromission d’un site a priori légitime, ou encore par inclusion dans un réseau publicitaire. Ce vecteur d’attaque est l’un des plus sensibles pour l’entreprise et nous recommandons de corriger ces vulnérabilités dès que possible.

En janvier Microsoft a mis un terme au support des navigateurs Internet Explorer propriétaires sur chacun de ses systèmes d’exploitation en réservant désormais les mises à jour aux toutes dernières versions des navigateurs sur chaque plate-forme. Les règles exactes sont exposées dans le document sur le cycle de vie de Microsoft, mais pour la plupart des points d’extrémité (Windows 7, 8.1 et 10) cela revient à Internet Explorer 11. Rien d’autre n’est plus supporté et les utilisateurs sont exposés à un vecteur d’attaque qu’il sera difficile d’endiguer à moyen terme.

Le prochain bulletin critique de notre liste, MS16-013, s’intéresse au Journal Windows. Un fichier malveillant avec l’extension .JNL doit être ouvert par l’utilisateur pour déclencher la vulnérabilité. Sous Windows 7, l’extension du fichier peut être dissociée de l’application pour neutraliser l’attaque. Cela se défend en raison du flux constant de patches dans les bulletins MS15-114, MS15-098, MS15-045, etc. qui pourraient être déclassés en empêchant les utilisateurs d’ouvrir ces fichiers.

Le dernier bulletin critique concerne la visionneuse de fichiers Microsoft PDF Reader. Ce lecteur est uniquement disponible sous Windows 8.1, 10 et Server 2012 et le bulletin MS16-012 ne s’applique donc qu’aux versions les plus récentes. Il s’agit d’un premier patch pour ce logiciel et il sera intéressant de voir combien d’autres vulnérabilités les chercheurs en sécurité pourront découvrir. Vous vous souvenez lorsqu’en 2012 Google utilisait sa technologie aléatoire pour s’intéresser à Adobe Reader ? Utilisez-vous la visionneuse de fichiers PDF fournie par Windows ou avez-vous adopté Adobe Reader y compris sur ces plates-formes ?

Ce Patch Tuesday comprend d’autres patches importants. Le système d’exploitation Windows lui-même est corrigé à l’aide des bulletins MS16-014 et MS16-018 tandis que MS16-016 résout la faille liée à l’élévation de privilèges via le service WebDAV, si vous exposez le protocole RDP sur Internet. MS16-017 nécessite cependant d’authentifier l’attaquant au préalable, MS16- 020 comble une faille DoS dans Active Directory et MS16-021 comble une faille du même acabit dans Radius, parmi les autres bulletins intéressants.

Comme toujours, un annuaire précis des logiciels installés permettra de décider où il est utile d’intervenir en priorité. Des mises à jour automatiques, dans la mesure du possible et par exemple sur les machines génériques des utilisateurs qui peuvent également soulager la tâche de l’équipe chargée du déploiement des correctifs. (Qualys)