Un « leak » provenant d’une application fintech a exposé plus de 10 000 clients, les informations de prêts et les remboursements.
Une fuite de données provenant de l’application fintech chinoise YangQianGuan a exposé plus de 10 000 enregistrements comprenant noms, numéros de téléphone et confirmations de remboursement. Un cas rare révélé par le pirate informatique lui même qui propose à la vente, 1 000 dollars, son larcin.
Selon les informations regroupées par le Service de Veille de ZATAZ, cette fuite concerne l’application YangQianGuan, opérant dans la région de Hefei, province de l’Anhui, sur la période 2023‑2025. Le fichier comprend au moins 10 000 enregistrements uniques, dont des numéros de téléphone chinois (11 chiffres), des noms complets en caractères chinois, ainsi que le contenu intégral des SMS confirmant le remboursement du prêt. Autant dire que cet exemple est intéressant tant les applications de ce type poussent comme champignon en Automne dans le monde.
Contexte réglementaire et réputation de l’entreprise
YangQianGuan, filiale de Beijing Lingyue Information Technology Co., Ltd., revendique des mécanismes de chiffrement avancés, une gestion des données conforme à la loi chinoise sur la protection des informations personnelles, et des certifications tierces. Le site précise que les données sensibles sont chiffrées, stockées selon des règles de classification et surveillées par un département dédié, avec des procédures d’alerte en cas d’incident.
Cependant, malgré ces garanties, cette fuite suggère une faille grave dans la mise en œuvre réelle de ces mesures. Les échantillons diffusés par le pirate ne sont pas chiffrés et/ou anonymisés. Elle s’inscrit dans une série d’incidents en Chine, y compris des fuites massives (WeChat, Alipay, police de Shanghai), où des données sensibles ont été exposées, souvent par des erreurs de configuration ou absence de protections. Il n’est pas impossible qu’un « Insider » [employé] soit aussi une source pour ce genre de fuite de données.
Cartographier son patrimoine de données est un prérequis essentiel d’une stratégie Zero Trust. Sans connaissance précise de ses actifs, ni classification ni politique d’accès cohérente, toute protection demeure incomplète.
Avant d’ériger des défenses, il faut dresser un inventaire. Toute stratégie de cybersécurité Zero Trust repose sur une vision exhaustive des données, de leurs formats, emplacements et sensibilité. Cette cartographie permet d’attribuer les niveaux de protection adaptés et d’identifier les risques potentiels, notamment ceux liés aux données sensibles ou critiques.
Cartographie, classification et traçabilité
La démarche de cartographie de MyDataCatalogue consiste à identifier toutes les sources utilisées, bases de données, fichiers bureautiques, SIG, messageries, APIs, et à documenter leurs flux, dépendances et usages. Les livrables incluent diagrammes interactifs, modèles visuels, et tableaux détaillés illustrant le parcours des données, leur structure et leurs relations. Cette étape permet aussi de détecter ce qui n’est pas encore repéré, les données « sombres » qui échappent à la gouvernance.
La classification vient ensuite : attribuer un niveau de sensibilité à chaque actif (ex : PII, santé, finance) et les étiqueter selon les exigences Zero Trust. Le data lineage, ou traçabilité, renforce cette approche en suivant la provenance et les transformations, crucial pour évaluer les impacts sur la sécurité.
MyDataCatalogue : un levier pour une gouvernance automatisée
Parmi les solutions du marché, MyDataCatalogue, un module de la plateforme Phoenix mis en place par l’éditeur français Blueway, propose une approche innovante. Née de l’acquisition de Dawizz en 2023, cette solution assure une cartographie et une classification automatisées du patrimoine de données.
Grâce à des sondes d’audit, la solution scanne automatiquement les données structurées ou non structurées, qu’il s’agisse de bases SQL, fichiers bureautiques, messageries ou applications métiers, pour extraire métadonnées, formats et contenu. Les algorithmes d’intelligence artificielle facilitent le nettoyage, la normalisation et la classification selon des labels RGPD ou cybersécurité.
Une console 360° permet ainsi de visualiser tout le patrimoine, d’imposer des politiques d’accès fondées sur la sensibilité, d’assurer la traçabilité des accès et mises à jour — atouts majeurs pour un dispositif Zero Trust. La conformité est simplifiée par des rapports automatiques sur les accès, les modifications, et la gouvernance des données.
Les étapes incontournables d’une démarche réussie
Un guide pratique établi par Blueway articule les phases suivantes : Cartographier pour inventorier l’ensemble du patrimoine ; Classifier afin de prioriser les données selon leur sensibilité et usage ; Documenter et cataloguer les traitements et métadonnées ; Analyser la qualité tout au long du cycle de vie et Remédier aux anomalies ou données interdits.
Cette démarche, qui lie valorisation, conformité et protection, permet de passer d’une vision cloisonnée à une gouvernance fluide, consciente du risque.
Cartographie + classification = socle Zero Trust
Le modèle Zero Trust repose sur l’absence de confiance implicite. Ainsi, toute requête d’accès aux données est évaluée : l’utilisateur est identifié, le contexte analysé, la sensibilité de la donnée vérifiée. Sans inventaire précis ni classification, ce mécanisme échoue : on ne peut pas vérifier ce que l’on ne connaît pas.
Avec MyDataCatalogue, la classification automatisée alimente la politique d’accès Zero Trust ; les logs et audits la rendent vérifiable. En cas d’anomalie ou fuite, la connaissance des flux et dépendances permet une réponse rapide, contenue et structurée.
MyDataCatalogue se distingue par une intégration native à une plateforme low‑code (Phoenix), combinant ESB, MDM, BPA et API management. Cette synergie permet un pilotage complet du cycle de vie des données, depuis leur découverte jusqu’à leur utilisation ou suppression. Les atouts de MyDataCatalogue ?
Agnostique aux formats. Tout support scannable (base, fichier, API…) peut être indexé ; Classification en continu : les audits et enrichissements via IA garantissent un catalogue à jour ; Intégration MDM : la liaison avec le module master data centralise les référentiels ; et, loin d’être négligeable (et à ne surtout pas négliger) : Conformité RGPD et cybersécurité avec la classification des données.
Comme vous l’aurez compris, connaître son patrimoine de données est donc impératif : sans cette base, les approches Zero Trust ou DLP peinent à tenir le cap. La cartographie donne les clés, la classification hiérarchise les risques, la gouvernance livre les politiques, et la traçabilité complète la boucle. La solution MyDataCatalogue ancre la démarche dans une plateforme cohérente, end‑to‑end, un atout décisif pour les DSI, RSSI et DPO en quête de résilience numérique.
Une nouvelle vulnérabilité critique dans le démarrage sécurisé UEFI remet en cause la confiance accordée à l’infrastructure de démarrage sur des millions d’appareils dans le monde.
Aucun spam. Désinscription en un clic. Votre vie privée est respectée.
Le 10 juin 2025, la société de cybersécurité BINARLY a révélé la vulnérabilité CVE-2025-3052 affectant le composant UEFI « Dtbios-efi64-71.22.efi », signé par le certificat Microsoft UEFI CA 2011. Ce fichier, chargé avant le système d’exploitation, est exécuté comme un composant de firmware sur les systèmes compatibles Secure Boot, indépendamment de l’OS installé. Le probléme, noté 8,2 sur 10 a été notifié CVE 2025-3052.
Un rapport détaillé démontrant que cette application effectue des écritures non sécurisées en mémoire à partir de la variable NVRAM nommée « IhisiParamBuffer ». Le module vulnérable, utilisé notamment dans certains firmwares basés sur InsydeH2O, exécute plusieurs opérations de copie mémoire sans valider les adresses cibles. Cela ouvre la voie à une attaque de type « arbitrary write », permettant à un utilisateur disposant de privilèges administrateur de manipuler des pointeurs sensibles, y compris ceux gérant la sécurité de démarrage.
Le Secure Boot peut être désactivé à distance
Lors d’une démonstration technique, les chercheurs de BINARLY ont montré qu’un attaquant peut neutraliser le démarrage sécurisé UEFI en réinitialisant à zéro un pointeur vers la structure « gSecurity2 », responsable de la vérification des modules signés. Une fois cette structure désactivée, le système accepte n’importe quel module, même non signé, autorisant ainsi l’installation de bootkits ou de malwares avant que l’OS ne démarre.
Cette attaque affecte tous les systèmes où la condition de boucle initiale est remplie et où le certificat Microsoft UEFI CA 2011 est approuvé.
L’un des éléments les plus préoccupants est que le fichier vulnérable, signé par Microsoft, a été retrouvé sur la plateforme VirusTotal, ce qui confirme sa présence dans la nature. Cette signature garantit que l’exécutable est accepté par la majorité des plateformes utilisant le Secure Boot activé par défaut, y compris sous Windows et certaines distributions Linux compatibles UEFI.
La présence de cette signature légitime empêche son blocage automatique, ce qui rend l’exploitation d’autant plus simple pour des attaquants capables d’obtenir un accès local avec privilèges élevés.
Une menace à large échelle, dépendante du firmware
La gravité de la faille, classée 8,2 sur l’échelle CVSSv3.1, découle de sa présence dans un composant certifié et dans des conditions d’exécution fréquentes. Toutefois, tous les systèmes ne sont pas également vulnérables. BINARLY note que l’attaque dépend de l’implémentation du BIOS et de la gestion des variables NVRAM.
Par exemple, les firmwares d’Insyde peuvent restreindre l’accès aux variables NVRAM en dehors de certaines phases du cycle d’amorçage. Cependant, cette protection n’est pas infaillible. Si une autre faille permet d’accéder à la NVRAM ou d’injecter des valeurs, la vulnérabilité redevient exploitable.
La centralité du certificat Microsoft UEFI CA 2011 dans cette attaque augmente sa surface d’impact. Ce certificat est intégré à la base de données de confiance (« db ») de la plupart des plateformes, ce qui signifie que des millions d’appareils sont potentiellement exposés. Aucun changement dans les réglages utilisateur ne suffit à corriger ce problème sans mise à jour du firmware ou révocation explicite du binaire vulnérable.
BINARLY appelle les éditeurs de BIOS/UEFI à supprimer les appels non sécurisés au tampon NVRAM « IhisiParamBuffer » et à renforcer les protections des variables NVRAM. Surtout, il est recommandé d’ajouter l’empreinte du binaire vulnérable à la liste noire UEFI dbx (UEFI Forbidden Signature Database), permettant son rejet explicite lors du démarrage.
Une nouvelle opération de ransomware nommée Mora_001 exploite deux vulnérabilités critiques dans les pare-feux Fortinet. Cette menace, liée au groupe LockBit, met en danger des infrastructures sensibles malgré la publication de correctifs.
Depuis le début de l’année, une nouvelle campagne de ransomware appelée Mora_001 inquiète les experts en cybersécurité. Le groupe exploite deux vulnérabilités majeures dans les pare-feux Fortinet, identifiées sous CVE-2024-55591 et CVE-2025-24472. La Cybersecurity and Infrastructure Security Agency (CISA) a réagi rapidement en janvier, ordonnant aux agences fédérales de corriger la première faille dans un délai d’une semaine seulement — un des délais les plus courts jamais imposés. Malgré la publication des correctifs, les attaques se multiplient. Des chercheurs ont découvert que Mora_001 utilise un ransomware baptisé SuperBlack, une variante modifiée de LockBit 3.0. Ce groupe semble maîtriser les tactiques héritées de LockBit tout en adaptant ses méthodes pour contourner les dispositifs de sécurité.
Une exploitation des failles fortinet
En janvier, la CISA a ordonné une correction immédiate de la faille CVE-2024-55591 après avoir constaté son exploitation active dans des environnements critiques. Fortinet a rapidement confirmé la vulnérabilité, avant de mettre à jour son alerte en y ajoutant CVE-2025-24472.
Les intrusions ont commencé à la fin du mois de janvier, avec une intensification notable à partir du 2 février. Mora_001 cible principalement les interfaces de gestion des pare-feux Fortigate visibles depuis internet. Une fois le système compromis, le ransomware SuperBlack est rapidement déployé.
Le groupe a adopté une stratégie d’attaque en plusieurs étapes : infiltration par exploitation des failles, prise de contrôle des pare-feux, chiffrement des fichiers critiques et exfiltration des données. Les attaquants laissent ensuite une note de rançon, exigeant une somme importante pour restaurer l’accès aux systèmes. Le groupe exploite ces failles depuis fin janvier. Les attaques ciblent des organisations qui n’ont pas appliqué les mises à jour de sécurité ou qui présentent des configurations de pare-feu vulnérables.
« Mora_001 exploite une combinaison de méthodes opportunistes et de tactiques sophistiquées héritées de LockBit. »
SuperBlack : une variante de LockBit 3.0
Le ransomware SuperBlack déployé par Mora_001 est directement inspiré de LockBit 3.0 (aussi appelé LockBit Black). Des similitudes dans la structure du chiffrement, le processus d’exfiltration des données et le contenu de la note de rançon.
La principale différence réside dans la personnalisation du code. Mora_001 a retiré toutes les références à LockBit dans la note de rançon. Les attaquants utilisent également un exécutable d’exfiltration de données sur mesure, conçu pour automatiser le transfert d’informations vers des serveurs externes.
La fuite du builder LockBit 3.0 en 2022 a permis à plusieurs groupes cybercriminels de développer leurs propres variantes de ransomware. Mora_001 semble avoir intégré des éléments techniques issus de LockBit, tout en adoptant des pratiques utilisées par d’autres groupes comme BlackCat/ALPHV.
Les méthodes employées par Mora_001 montrent une capacité d’adaptation impressionnante. Les attaquants utilisent des techniques connues tout en introduisant de nouvelles méthodes d’infiltration. Cette flexibilité rend les détections traditionnelles plus difficiles.
« Le ransomware SuperBlack combine la puissance du chiffrement de LockBit avec une nouvelle approche d’exfiltration de données. »
Des liens avec LockBit
Mora_001 ne cache pas son héritage. Les experts ont identifié plusieurs indices techniques reliant le groupe à l’écosystème LockBit. Le code du ransomware, le modèle de chiffrement et la structure des notes de rançon rappellent fortement LockBit 3.0.
Les chercheurs de Forescout estiment que Mora_001 pourrait être une cellule indépendante affiliée à LockBit, ou un groupe utilisant simplement le code du builder LockBit 3.0. L’analyse des communications entre les attaquants montre également une proximité avec des canaux utilisés par LockBit.
L’adoption de tactiques utilisées par BlackCat/ALPHV renforce la thèse d’une coopération ou d’un échange de pratiques entre ces groupes. Cette convergence des méthodes complique la réponse des équipes de cybersécurité.
Mora_001 exploite d’abord une vulnérabilité dans le pare-feu Fortinet pour obtenir un accès initial. Une fois l’accès établi, le ransomware SuperBlack est déployé. Le chiffrement des fichiers est rapide, souvent terminé en quelques minutes. Les attaquants laissent une note de rançon personnalisée et lancent le processus d’exfiltration des données vers des serveurs externes.
L’exécutable utilisé pour l’exfiltration est difficile à détecter car il masque son activité en utilisant des processus légitimes du système. Les attaquants suppriment également les journaux de sécurité pour compliquer la traçabilité. Le groupe utilise des techniques d’accès similaires à celles de LockBit, mais avec une exécution plus rapide. L’infiltration initiale est souvent indétectable jusqu’au déclenchement du processus de chiffrement.
Une menace persistante
Malgré la publication des correctifs par Fortinet, les attaques se poursuivent. Certaines organisations n’ont pas encore appliqué les mises à jour ou présentent des failles de configuration dans leurs pare-feux. DataSecurityBreach.fr recommande une correction immédiate des vulnérabilités et un renforcement des configurations de sécurité. La surveillance des accès réseau et la limitation des connexions aux interfaces de gestion sont des mesures essentielles pour réduire le risque d’attaque.
Les experts s’attendent à ce que Mora_001 adapte encore son mode opératoire dans les mois à venir. Le succès initial de cette campagne pourrait encourager d’autres groupes à adopter des tactiques similaires. Dernier point, alors que plusieurs membres importants de LockBit, comme l’un des administrateurs extradé aux USA en mars 2025, l’ombre de LockBit continue de roder sous d’autres formes !
EvilLoader menace les utilisateurs d’Android en ciblant leurs comptes Telegram. Ce logiciel malveillant, déguisé en fichier vidéo, permet aux pirates de prendre le contrôle des appareils infectés et de voler des données confidentielles.
Les utilisateurs d’Android font face à une nouvelle menace sérieuse avec l’apparition du virus EvilLoader. Ce logiciel malveillant utilise une méthode d’infection sournoise en se faisant passer pour une mise à jour légitime de Telegram ou un lecteur multimédia. Lorsqu’un utilisateur tente d’ouvrir un fichier vidéo piégé, une erreur s’affiche, suggérant d’installer une mise à jour. Si l’utilisateur accepte, le virus s’installe discrètement sur l’appareil, donnant ainsi aux pirates un accès total aux données personnelles et aux messages Telegram. Ce type d’attaque s’appuie sur la confiance des utilisateurs envers des plateformes sécurisées comme Telegram, rendant la menace encore plus dangereuse. EvilLoader met en lumière une stratégie d’attaque psychologique qui n’est pas nouvelle, mais un Social Engineering efficace, exploitant la curiosité et le sentiment d’urgence des victimes.
Un virus sournois qui cible les utilisateurs de Telegram
Le virus EvilLoader fonctionne selon un schéma d’attaque bien rodé [Voir vidéo]. Les pirates diffusent des fichiers vidéo corrompus en utilisant des canaux Telegram ou en se faisant passer pour des contacts de confiance. L’utilisateur reçoit un fichier vidéo accompagné d’un message engageant, l’incitant à ouvrir le fichier. Dès qu’il tente de le lancer, une erreur s’affiche, expliquant que le fichier ne peut pas être lu sans une mise à jour de Telegram ou sans l’installation d’un lecteur multimédia. Ce message est conçu pour paraître crédible et pousse l’utilisateur à agir rapidement, créant un sentiment d’urgence qui réduit la méfiance.
Si l’utilisateur télécharge la mise à jour suggérée, EvilLoader s’installe automatiquement sur l’appareil. Le virus prend alors le contrôle du compte Telegram de la victime, récupérant les identifiants de connexion, accédant aux messages privés et interceptant les informations échangées. Pire encore, les pirates peuvent utiliser le compte compromis pour envoyer de nouveaux fichiers malveillants aux contacts de la victime, amplifiant ainsi la portée de l’attaque. Cette capacité à se propager rapidement fait d’EvilLoader une menace particulièrement inquiétante.
Les faux bots Telegram sont souvent utilisés comme point d’entrée pour cette attaque. Les pirates créent de faux comptes se faisant passer pour des services de type « Free Telegram Premium« , promettant des fonctionnalités avancées ou des bonus gratuits. Une fois que l’utilisateur tombe dans le piège et installe le fichier malveillant, le virus s’infiltre dans le système, prenant le contrôle non seulement de Telegram mais aussi d’autres données sensibles stockées sur l’appareil.
Une attaque psychologique basée sur la manipulation
EvilLoader ne repose pas uniquement sur une faille technique, mais également sur une stratégie psychologique redoutable. Les cybercriminels exploitent plusieurs mécanismes mentaux pour pousser la victime à agir sans réfléchir. La première tactique repose sur l’appât de la nouveauté. En promettant des fonctionnalités premium ou des bonus gratuits, les pirates éveillent la curiosité de l’utilisateur, le poussant à ouvrir le fichier corrompu.
Ensuite, le message d’erreur affiché après l’ouverture du fichier joue sur le sentiment d’urgence. L’utilisateur, confronté à une panne apparente, est encouragé à réagir rapidement en installant une mise à jour. Cette pression temporelle empêche souvent une réflexion rationnelle et pousse la victime à suivre aveuglément les instructions affichées.
Enfin, la dernière clé de cette manipulation est la confiance dans Telegram. La plateforme étant reconnue pour son haut niveau de sécurité et son système de chiffrement, les utilisateurs ont tendance à accorder leur confiance à tout ce qui semble provenir de Telegram. Les pirates jouent sur cette confiance pour contourner les défenses naturelles des utilisateurs et faciliter l’installation du virus.
Comment les utilisateurs peuvent-ils se protéger ?
Pour éviter une infection par EvilLoader, il est essentiel d’adopter une approche proactive en matière de cybersécurité. Tout d’abord, il est crucial de ne jamais télécharger d’application ou de mise à jour en dehors des sources officielles. Telegram, comme toutes les grandes plateformes, propose ses mises à jour exclusivement via le Google Play Store. Installer une application depuis un fichier APK externe représente un risque majeur.
Ensuite, il est important de se méfier des fichiers reçus de contacts inconnus. Si un fichier vidéo est accompagné d’un message insistant pour une mise à jour ou une installation, il est préférable de le supprimer immédiatement. Vérifier le type de fichier peut également permettre de détecter une tentative d’infection : un fichier portant une extension inhabituelle (.exe ou .apk) envoyé via Telegram est presque toujours suspect.
L’installation d’un logiciel antivirus est également recommandée. Une solution de sécurité efficace permet de détecter les logiciels malveillants avant qu’ils ne s’installent et de bloquer les processus suspects en arrière-plan. Une analyse régulière du téléphone peut aider à repérer les fichiers ou applications malveillantes déjà installés.
Enfin, il est essentiel d’activer l’authentification à deux facteurs (2FA) sur Telegram. Cette mesure de sécurité ajoute une couche supplémentaire de protection, rendant le vol de compte beaucoup plus difficile, même si le mot de passe a été compromis. La vérification régulière de la liste des sessions actives dans les paramètres de sécurité de Telegram permet également de détecter rapidement une connexion suspecte.
Que faire en cas de compromission ?
Si votre compte Telegram a été compromis par EvilLoader, il est important d’agir rapidement pour limiter les dégâts. La première étape consiste à changer immédiatement le mot de passe de Telegram depuis un autre appareil non infecté. Cela permet de révoquer la session active du pirate.
Ensuite, il faut vérifier la liste des sessions actives dans les paramètres de sécurité de Telegram. Si des connexions suspectes apparaissent depuis des appareils ou des localisations inhabituelles, il est essentiel de les fermer immédiatement.
Il est également recommandé de supprimer le fichier malveillant téléchargé, ainsi que toutes les applications suspectes récemment installées. Une analyse complète de l’appareil à l’aide d’un logiciel antivirus est indispensable pour s’assurer qu’aucun autre fichier corrompu ne reste actif dans le système.
ChatGPT, désormais doté de capacités de recherche en ligne, ouvre de nouvelles possibilités aux utilisateurs, mais révèle aussi des failles significatives. Ses vulnérabilités à la manipulation mettent en lumière les défis que doivent relever les modèles d’intelligence artificielle face aux abus.
Depuis l’ouverture de ses fonctionnalités de recherche à tous les utilisateurs, ChatGPT s’est positionné comme un assistant innovant dans le domaine des requêtes en ligne. Cependant, ce nouvel usage n’est pas exempt de risques. Les chercheurs en cybersécurité ont démontré que le chatbot peut être trompé par des techniques comme l’injection de stimuli (prompt injection), qui exploitent sa confiance en l’information fournie. Cette faille permet de manipuler ses réponses pour promouvoir des produits douteux ou diffuser des contenus potentiellement dangereux. Bien que prometteur, le système reste vulnérable, notamment face aux tactiques employées par des acteurs malveillants.
Un chatbot vulnérable à l’injection de stimuli
L’une des principales failles de ChatGPT en tant que moteur de recherche réside dans sa capacité à interpréter et à répondre aux instructions dissimulées. Cette technique, connue sous le nom de prompt injection, permet à un tiers de contrôler indirectement les réponses du chatbot. En intégrant des instructions dans des textes invisibles ou peu visibles sur une page web, les manipulateurs peuvent orienter les résultats générés par ChatGPT.
Par exemple, un site frauduleux peut afficher de faux avis positifs sur un produit en masquant ces commentaires dans le code HTML de la page. Lorsque ChatGPT consulte ce site, il interprète ces avis comme authentiques, ce qui influence sa réponse lorsqu’un utilisateur pose une question sur le produit. Pire encore, si une instruction cachée oblige le modèle à toujours promouvoir un produit, même en présence d’avertissements légitimes, le chatbot obéira sans évaluer les risques.
Cette vulnérabilité n’est pas propre à ChatGPT, mais elle illustre les limites des grands modèles de langage. Comme l’explique Karsten Nohl, expert chez Security Research Labs, ces modèles « sont très crédules, presque comme des enfants ». Leurs vastes capacités de mémoire et leur absence de subjectivité les rendent particulièrement sensibles à la désinformation dissimulée.
L’absence d’expérience face à un défi de taille
En tant que nouvel acteur dans le domaine de la recherche en ligne, ChatGPT souffre d’un manque d’expérience comparé aux moteurs traditionnels comme Google. Ce dernier a développé, au fil des années, des mécanismes sophistiqués pour ignorer les contenus cachés ou les reléguer en bas des résultats. ChatGPT, de son côté, n’a pas encore acquis cette capacité d’analyse critique, le rendant vulnérable aux pages web manipulées.
Les experts soulignent que cette limitation est aggravée par l’absence de filtres robustes pour distinguer les contenus fiables des contenus frauduleux. Contrairement à un moteur de recherche classique, ChatGPT ne hiérarchise pas les résultats en fonction de critères de fiabilité, mais s’appuie sur les données accessibles au moment de la requête. Cela le rend particulièrement sensible aux stratégies malveillantes visant à manipuler son processus décisionnel.
L’impact potentiel de ces failles
Les vulnérabilités de ChatGPT posent des risques significatifs pour les utilisateurs et les entreprises. À court terme, elles peuvent être exploitées pour promouvoir des produits contrefaits, diffuser de la désinformation ou même fournir des instructions nuisibles. Par exemple, un utilisateur cherchant des informations sur un médicament ou une technologie pourrait recevoir des recommandations basées sur des informations manipulées, mettant en danger sa sécurité ou celle de son entreprise.
À long terme, ces failles pourraient éroder la confiance dans les systèmes d’intelligence artificielle. Si les utilisateurs commencent à percevoir ChatGPT comme peu fiable, cela pourrait ralentir l’adoption de ces technologies dans des secteurs critiques, tels que la santé, la finance ou l’éducation.
Vers une intelligence artificielle plus résiliente
Pour surmonter ces défis, les développeurs d’OpenAI doivent renforcer la capacité de ChatGPT à détecter et ignorer les contenus manipulés. Cela pourrait inclure des algorithmes plus avancés pour analyser les sources, des protocoles pour limiter l’influence des contenus cachés et une transparence accrue sur la manière dont le chatbot sélectionne ses réponses.
Cependant, la responsabilité ne repose pas uniquement sur OpenAI. Les utilisateurs doivent être sensibilisés aux limites des modèles d’intelligence artificielle et adopter une approche critique lorsqu’ils interprètent les réponses fournies. Comme le souligne Karsten Nohl, il est essentiel de ne pas prendre les résultats générés par ces modèles « pour argent comptant ».
Conclusion : une technologie prometteuse à perfectionner
ChatGPT en tant que moteur de recherche représente une avancée significative, mais ses vulnérabilités actuelles rappellent que l’intelligence artificielle reste une technologie en développement. Pour éviter les abus et garantir la fiabilité de ses réponses, des efforts supplémentaires sont nécessaires, tant de la part des développeurs que des utilisateurs.
Une campagne sophistiquée, nommée « DeceptionAds », utilise de faux CAPTCHA et des commandes PowerShell pour diffuser le malware Lumma Stealer via des réseaux publicitaires légitimes.
Une vaste campagne publicitaire, surnommée « DeceptionAds » par les chercheurs de Guardio Labs et Infoblox, a été détectée. Celle-ci diffuse le malware Lumma Stealer, conçu pour voler des données sensibles telles que mots de passe, cookies, informations bancaires et portefeuilles de cryptomonnaies. Les attaquants, dirigés par un hacker connu sous le pseudonyme « Vane Viper », utilisent des réseaux publicitaires légitimes pour tromper les utilisateurs avec de faux CAPTCHA. Les victimes sont invitées à exécuter des commandes PowerShell malveillantes sous prétexte de prouver qu’elles ne sont pas des bots.
Cette campagne est une évolution des attaques « ClickFix », où les utilisateurs étaient piégés via des pages de phishing, des sites de logiciels piratés, et même des failles GitHub. Avec plus d’un million d’affichages publicitaires par jour, cette attaque souligne les risques croissants liés à l’exploitation des réseaux publicitaires. Découvrez les mécanismes de cette menace et comment vous protéger.
Un fonctionnement ingénieux et trompeur
Les cybercriminels derrière DeceptionAds ont mis en place une stratégie complexe exploitant les réseaux publicitaires pour diffuser leur malware :
Utilisation des réseaux publicitaires légitimes :
La campagne s’appuie sur Monetag, une plateforme de publicité populaire, pour afficher des annonces sur plus de 3 000 sites web, générant plus d’un million d’affichages quotidiens. Les publicités redirigent les utilisateurs vers des pages contenant de faux CAPTCHA, via le service de suivi publicitaire BeMob, souvent utilisé à des fins légales.
Mécanisme de redirection :
Les annonces proposent des offres attractives ou des téléchargements sur des sites de contenu piraté. Après un clic, un script vérifie si l’utilisateur est humain avant de le rediriger vers une page CAPTCHA falsifiée. Cette page contient du JavaScript qui copie discrètement une commande PowerShell malveillante dans le presse-papiers de la victime.
Manipulation des victimes :
Les utilisateurs sont invités à coller et exécuter la commande dans le menu Windows Run pour « résoudre le CAPTCHA ». Cette commande télécharge et installe le malware Lumma Stealer, qui commence immédiatement à collecter des données sensibles.
Exergue 1 : Plus d’un million d’affichages publicitaires quotidiens, générant des milliers d’infections potentielles.
Les impacts de Lumma Stealer : une menace multiforme
Le malware Lumma Stealer est conçu pour voler un large éventail de données sensibles :
Données personnelles et bancaires :
Les cookies, mots de passe, informations bancaires, historiques de navigation et portefeuilles de cryptomonnaies des victimes sont ciblés. Ces données sont ensuite revendues sur le dark web ou utilisées pour des fraudes financières.
Vol de documents sensibles :
Le logiciel collecte également des fichiers texte et PDF contenant des informations confidentielles, qui peuvent être exploitées dans des attaques ciblées ou vendues.
Propagation rapide :
En utilisant des réseaux publicitaires de confiance comme Monetag et des services légitimes comme BeMob, les attaquants ont pu diffuser leur malware à grande échelle. Malgré la fermeture de 200 comptes associés à cette campagne par Monetag et l’arrêt de BeMob en quatre jours, une nouvelle vague d’activité a été détectée le 11 décembre, montrant que les hackers s’adaptent rapidement.
Prévention et enseignements : comment éviter l’infection
Face à des campagnes comme DeceptionAds, quelques mesures peuvent réduire les risques :
Toute demande d’exécution de commandes PowerShell ou autres doit être traitée avec suspicion, surtout lorsqu’elle prétend résoudre un problème ou un CAPTCHA. Les sites de téléchargement illégal collaborent souvent avec des réseaux publicitaires peu sûrs, augmentant le risque d’exposition à des campagnes malveillantes. Les extensions de navigateur comme celles proposées par Guardio Labs peuvent détecter et bloquer les redirections suspectes.
Informer les internautes sur les techniques employées par les hackers, comme les faux CAPTCHA, est crucial pour réduire leur efficacité. Les campagnes de vol de données, comme celle-ci, montrent l’importance de la vigilance en ligne. Elles rappellent également aux entreprises de publicité l’obligation de renforcer leurs processus de modération pour éviter l’exploitation de leurs plateformes par des cybercriminels.
Cette campagne malveillante illustre une nouvelle ère dans l’exploitation des réseaux publicitaires légitimes pour diffuser des malwares. La vigilance des utilisateurs et des entreprises publicitaires est essentielle pour réduire l’impact de ces menaces. Pour suivre les dernières alertes en cybersécurité et obtenir des conseils de protection, abonnez-vous à notre newsletter.
Les distributeurs de logiciels malveillants par courrier électronique ont presque cessé d’utiliser des liens. Selon les statistiques, au troisième trimestre 2024, 99,1 % des mails malveillants contenaient une pièce jointe, le plus souvent sous la forme d’un fichier archivé. Les analystes expliquent ce changement par le désir de réduire les frais.
L’utilisation d’URL nécessite la création ou la location d’un stockage Web pour le code malveillant, tandis que les pièces jointes sont moins susceptibles d’éveiller des soupçons et sont plus directes à manipuler. Bilan, les pirates réfléchissent avec leur argent : combien va coûter une attaque, combien doit leur rapporter cette attaque.
Bien que l’usage des liens dans les envois de masse ait considérablement diminué, cette méthode reste prisée lors des attaques ciblées. Dans ces cas, les attaquants dressent le profil d’une victime potentielle et peuvent vérifier qui clique sur un lien et dans quelles conditions. Sur la base des résultats de leur social engineering, les attaquants peuvent fournir une charge utile malveillante ou un fichier factice.
Les fichiers d’archives, principalement aux formats ZIP et RAR, sont les types de pièces jointes malveillantes les plus courants. La part des fichiers PDF et DOCX a augmenté de 2,4 points de pourcentage par rapport au deuxième trimestre, atteignant 8,8 %, tandis que l’utilisation des fichiers XLS a notablement diminué. Ces documents contiennent souvent des logiciels espions tels que Formbook. AgentTesla, un autre logiciel malveillant très répandu dans les canaux de courrier électronique, a vu sa présence multipliée par quatre au cours de la même période, surpassé par Formbook et le cheval de Troie multifonctionnel DarkGate.
Lorsqu’on analyse la répartition par classe de logiciels malveillants, les logiciels espions fournis en tant que service (Malware-as-a-Service, MaaS) restent les plus populaires, représentant 63 % des envois malveillants, bien que ce chiffre soit en baisse de 8 points de pourcentage par rapport au trimestre précédent. La part des programmes de téléchargement est passée de 10 % à 23 %, tandis que celle des portes dérobées a chuté à 8 %.
Enfin, la popularité des services de messagerie gratuits parmi les cybercriminels continue de diminuer, ne représentant plus que 2,6 % des mails malveillants, plus de la moitié étant envoyés depuis des adresses Gmail. Les attaquants créent également des domaines spécifiques (COM, FR, NET, ORG) et utilisent le spoofing pour dissimuler leur véritable identité.
La Fondation OWASP (Open Worldwide Application Security Project), une référence dans le domaine de la sécurité logicielle, a récemment révélé une fuite de données due à une configuration incorrecte de leur ancien serveur Web Wiki. Ce problème a mené à l’exposition publique des curriculum vitae de certains de ses membres.
Fondée en décembre 2001, l’OWASP est une organisation à but non lucratif qui se concentre sur l’amélioration de la sécurité des logiciels à travers le monde. Avec des dizaines de milliers de membres répartis en plus de 250 sections, l’OWASP organise des événements éducatifs et des formations sur la sécurité logicielle globalement.
Détails de l’incident
La découverte de cette mauvaise configuration de Media Wiki a été faite fin février 2024, après que plusieurs membres ont contacté l’assistance technique de l’organisation. Les investigations ont montré que seuls les membres ayant rejoint OWASP entre 2006 et 2014 et ayant soumis leur CV lors de leur adhésion étaient affectés. Ces documents comprenaient des informations sensibles telles que noms, adresses email, numéros de téléphone, et adresses physiques.
Réponse de l’owasp
Andrew van der Stock, directeur exécutif de l’OWASP, a précisé que l’organisation avait pris des mesures immédiates pour contenir la fuite. Cela inclut la désactivation de la navigation dans les répertoires du serveur, la révision de la configuration de Media Wiki, et la suppression des CV du site Wiki. L’OWASP a également vidé le cache de Cloudflare et contacté les archives Web pour s’assurer que les informations accidentellement exposées soient également retirées.
L’OWASP s’est engagée à informer toutes les victimes identifiées par des lettres explicatives, mentionnant que beaucoup des informations exposées pourraient être désuètes, étant donné que nombre de ces membres ne font plus partie de l’organisation. Van der Stock a souligné que, pour les données toujours actuelles, il est conseillé aux membres concernés de rester vigilants face aux communications non sollicitées.
Le paysage numérique mondial est de plus en plus façonné par une force invisible mais omniprésente : les bots. Thales, en partenariat avec Imperva, dévoile les résultats alarmants de son dernier rapport, le Bad Bot 2024. Cette analyse offre un aperçu du trafic automatisé des bots sur internet.
Une Analyse Approfondie du Trafic des Bots en 2023
En 2023, près de la moitié (49,6 %) de tout le trafic internet était généré par des bots, selon les conclusions du rapport. Cette augmentation de 2 % par rapport à l’année précédente marque le niveau le plus élevé signalé par Imperva depuis le début de sa surveillance du trafic en 2013. Cette croissance alarmante souligne l’urgence pour les entreprises de comprendre et de contrer la menace des bots.
Impact Financier et Opérationnel : Les Coûts des Attaques de Bots
Le coût des attaques de bots pour les entreprises est astronomique, se chiffrant en milliards de dollars chaque année. Des attaques contre les sites Web, les API et les applications compromettent la sécurité des données et la fiabilité des services en ligne, nécessitant des investissements importants dans l’infrastructure et le support client. En examinant de près les différents vecteurs d’attaque utilisés par les bots, les entreprises peuvent mieux évaluer les risques et mettre en place des mesures de protection efficaces.
Une Menace Multiforme : Les Différents Visages des Bots Malveillants
Les bots prennent différentes formes, de la simple extraction automatisée de données en ligne à la prise de contrôle de compte utilisateur, en passant par le spam et le déni de service. Le rapport identifie plusieurs tendances clés qui façonnent le paysage actuel de la cybermenace, soulignant la diversité des attaques et la nécessité d’une approche holistique en matière de sécurité.
IA Générative et Augmentation des Bots Simples :
L’adoption rapide de l’IA générative a conduit à une augmentation du volume de bots simples, passant de 33,4 % en 2022 à 39,6 % en 2023. Cette technologie permet aux utilisateurs sans connaissance technique d’écrire des scripts automatisés pour leur propre usage, alimentant ainsi la prolifération des bots. En explorant les implications de cette tendance émergente, les entreprises peuvent mieux anticiper les défis à venir en matière de cybersécurité.
Risques Persistants pour les Comptes Utilisateurs :
Les attaques de prise de contrôle de compte (ATO) ont augmenté de 10 % en 2023 par rapport à l’année précédente. Les attaques ciblant les points de terminaison des API représentent une préoccupation majeure, avec 44 % de l’ensemble des attaques ATO visant spécifiquement ces points de vulnérabilité. En renforçant les mesures d’authentification et en surveillant de près l’activité des comptes utilisateurs, les entreprises peuvent réduire les risques d’exploitation par les bots.
Les API comme Vecteur d’Attaque Privilégié :
Les attaques automatisées représentent désormais 30 % des attaques d’API, avec 17 % de ces attaques exploitant les vulnérabilités de logique métier. Les cybercriminels ciblent les API en raison de leur accès direct aux données sensibles, ce qui en fait une cible lucrative pour les attaques automatisées. En renforçant la sécurité des API et en mettant en place des stratégies de surveillance proactive, les entreprises peuvent réduire leur exposition aux risques d’exploitation par les bots.
Impact Sectoriel Varié :
Chaque secteur est touché par les bots, avec des industries telles que le gaming, le commerce de détail et les services financiers étant particulièrement vulnérables. Les bots malveillants évolués, capables d’imiter le comportement humain, représentent une menace particulière pour les sites d’affaires juridiques, gouvernementaux et de divertissement. En comprenant les modèles d’attaque spécifiques à leur secteur, les entreprises peuvent adapter leurs stratégies de sécurité pour mieux se protéger contre les menaces émergentes. [rapport]
Google s’apprête à mettre à jour sa fonctionnalité de navigation sécurisée afin de renforcer une protection en temps réel contre les logiciels malveillants et le phishing à tous les utilisateurs de Chrome.
Depuis son lancement en 2005, la navigation sécurisée de Google a constamment évolué pour mieux protéger ses utilisateurs contre les menaces en ligne comme le phishing, les logiciels malveillants et les programmes indésirables. Grâce à l’utilisation de l’intelligence artificielle, Google a introduit un mode de protection améliorée pour ceux qui recherchent une sécurité proactive, permettant une analyse en profondeur des fichiers téléchargés.
La version standard actuelle de Safe Browsing vérifie les sites, les téléchargements et les extensions contre une liste locale d’URL malveillantes mise à jour toutes les 30 à 60 minutes. Avec cette mise à jour, Google prévoit de passer à une vérification des sites en temps réel, une mesure qui vise à contrer les sites malveillants éphémères, apparus et disparus en moins de dix minutes.
L’impact global de la navigation sécurisée
La navigation sécurisée protège déjà plus de 5 milliards d’appareils à travers le monde, offrant des avertissements sur plus de 3 millions de menaces potentielles chaque jour. Avec la vérification en temps réel des sites, Google espère augmenter l’efficacité de sa protection contre les attaques de phishing de 25 %.
La nouvelle fonctionnalité, qui sera lancée d’abord pour Android, intègre des méthodes de cryptage et de préservation de la confidentialité pour que vos visites sur le web restent anonymes, même vis-à-vis de Google. Cette confidentialité est assurée par une nouvelle API utilisant Fastly Oblivious HTTP (OHTTP), qui masque les URL visitées et mélange les données des utilisateurs pour une sécurité renforcée.
Le fonctionnement technique de la protection de la confidentialité
Les URL, partiellement hachées, sont envoyées à la navigation sécurisée via un serveur OHTTP qui cache les adresses IP et mélange les hachages avec ceux d’autres utilisateurs. Ce processus est renforcé par le cryptage des préfixes de hachage avant leur transmission, garantissant que seuls les serveurs de vérification d’URL de Google peuvent les décrypter.
Le serveur de confidentialité, crucial pour la préservation de l’anonymat des utilisateurs, est géré indépendamment par Fastly. Cette gestion assure que Google n’a accès à aucune donnée d’identification personnelle, comme les adresses IP ou les agents utilisateurs, lors des vérifications de sécurité.
Cette mise à jour de la navigation sécurisée par Google marque un tournant significatif dans la lutte contre les menaces en ligne, offrant une protection en temps réel tout en préservant la confidentialité des utilisateurs. C’est une évolution prometteuse pour la sécurité sur internet, renforçant la position de Chrome comme navigateur de choix pour des millions d’utilisateurs à travers le monde.
Une récente analyse révèle que des applications de traduction compromises sont utilisées pour cibler les Tibétains dans une campagne de cyber espionnage initiée en septembre 2023.
Selon l’entreprise spécialisée en cybersécurité ESET, les pirates responsables seraient affiliés au groupe Evasive Panda, un groupe de hackers malveillants liés au gouvernement chinois. Ils viseraient des individus tibétains résidant en Inde, à Taiwan, à Hong Kong, en Australie et aux États-Unis.
La campagne inclut la corruption de logiciels pour Windows et macOS, ainsi que la compromission du site d’un organisateur du Monlam Festival, un événement religieux annuel se déroulant en Inde. Les assaillants ont injecté du code malicieux sur ce site, créant ainsi une attaque par empoisonnement d’eau, ciblant des groupes spécifiques via des plateformes populaires.
L’attaque était vraisemblablement planifiée pour coïncider avec le festival de Monlam en janvier et février 2024, afin de compromettre les visiteurs du site devenu un vecteur d’attaque. La chaîne d’approvisionnement d’un développeur d’applications de traduction en tibétain a également été corrompue.
Evasive Panda a recouru à divers outils malveillants déjà utilisés dans des attaques en Asie de l’Est, dont MgBot, une porte dérobée pour Windows utilisée par le groupe depuis au moins 2012 pour dérober des données et enregistrer les frappes clavier. En avril, ce malware a été utilisé contre une entreprise de télécommunications en Afrique.
MgBot cible principalement les applications chinoises populaires comme QQ, WeChat, QQBrowser et Foxmail. Il a été identifié une porte dérobée inédite nommée « Nightdoor », employée depuis 2020, notamment contre une cible de premier plan au Vietnam.
La campagne a été découverte en janvier, suite à la détection de code malicieux sur un site géré par le Kagyu International Monlam Trust, promouvant le bouddhisme tibétain. La compromission semble viser à exploiter l’intérêt pour le festival de Bodhgaya. En parallèle, une entreprise indienne développant un logiciel de traduction tibétain a été corrompue, infectant les systèmes Windows et macOS avec des téléchargeurs malveillants.
Un site d’information tibétain, Tibetpost, a également été compromis pour diffuser ces logiciels malveillants. L’utilisation de MgBot a permis d’attribuer ces attaques à Evasive Panda, un groupe actif depuis 2012 et réalisant des attaques alignées sur les intérêts géopolitiques de la Chine.
La blockchain ne cesse de permettre de remonter à des pirates informatiques. Il a été découvert qu’un hacker avait blanchi une partie de l’argent volé via des cartes Magic : The Gathering !
Tout a commencé en avril 2021, lorsque la plateforme Uranium Finance DeFi a été piratée. Le résultat de cette attaque a été une perte massive de 50 millions de dollars, dont 80 Bitcoins, 1 800 ETH, et divers autres actifs numériques. Cependant, ce qui a suivi a été encore plus surprenant.
L’attaquant, cherchant à brouiller les pistes, a pris des mesures pour blanchir une partie des fonds volés. Le pirate a envoyé 2 438 ETH à Tornado Cash, une plateforme de confidentialité cryptographique, et a également converti d’autres crypto-monnaies en ETH et Bitcoin. Mais c’est là que cela devient vraiment intéressant.
En 2021, ce mystérieux pirate a commencé à retirer environ 11 200 ETH de Tornado Cash, en petits incréments de 100 pièces, puis il a entrepris une série de transactions complexes. Il a échangé ces ETH contre de l’ETH enveloppé (WETH), les a transférés vers une nouvelle adresse et les a échangés contre des pièces stables USDC. Jusque-là, tout semble être une opération de blanchiment de routine, mais voici le tournant inattendu.
Le pirate a utilisé une partie de ces fonds pour acheter des cartes Magic : The Gathering. Pour ce faire, il a fait appel à un courtier américain, agissant comme intermédiaire, sans jamais révéler son identité aux vendeurs. Les sommes en jeu étaient astronomiques, avec des dépenses de plusieurs millions de dollars en decks de démarrage, en sets alpha et en boîtes de cartes scellées. Ce qui est encore plus étonnant, c’est que le pirate a accepté de payer entre 5 et 10 % de plus que la valeur réelle de ces cartes.
Mais les manigances ne s’arrêtent pas là. Une partie des fonds a également été transférée vers des échanges centralisés tels que Kraken, Bitpay et Coinbase. Selon le chercheur ZachXBT, ces mouvements visaient à rendre la traçabilité des fonds encore plus difficile, rendant ainsi la tâche des enquêteurs complexe.
Le piratage d’Uranium Finance en avril 2021 reste l’un des incidents les plus retentissants dans le domaine de la finance décentralisée (DeFi). La plateforme Uranium Finance, basée sur la Binance Smart Chain et dérivée du populaire protocole DeFi Uniswap V2, a été victime d’une faille de sécurité critique lors de sa migration vers la version V2. Cela a permis au pirate d’effacer du système une multitude de cryptomonnaies, dont Bitcoin (BTC), Ethereum (ETH), Binance USD (BUSD), Tether (USDT), Cardano (ADA), Polkadot (DOT), Wrapped BNB (wBNB), ainsi que les jetons natifs Uranium U92.
Une histoire qui met en lumière les défis et les ruses auxquels sont confrontés ceux qui tentent de suivre la trace des criminels de la blockchain. Le mystérieux pirate qui a utilisé Magic : The Gathering pour blanchir des millions de dollars reste dans l’ombre.
Les groupes militants, notamment ceux soutenus par l’Iran, sont en train de changer leurs méthodes de financement, passant du Bitcoin au Tron, une plateforme de blockchain plus rapide et moins coûteuse.
Voilà une transformation dans le monde de la cryptomonnaie qui attire l’œil. Selon de nombreux experts interviewés par l’agence de presse Reuters, les groupes para militaires, notamment ceux soutenus par l’Iran, changeraient leurs méthodes de financement. Ils ne passent plus par la cryptomonnaie Bitcoin. Ils préfèrent dorénavant Tron.
Le réseau Tron se distingue par sa rapidité et ses coûts réduits, devenant ainsi une option privilégiée pour ces groupes. Les autorités israéliennes ont remarqué cette tendance et ont intensifié la saisie de portefeuilles Tron liés à des activités suspectes.
Saisies et gel de portefeuilles Tron
Entre juillet 2021 et octobre 2023, la NBCTF, le National Bureau for Counter Terror Financing of Israel, a gelé 143 portefeuilles Tron soupçonnés d’être associés à des organisations terroristes ou utilisés dans des crimes graves. Ces actions ciblaient des groupes tels que le Hezbollah libanais, le Djihad islamique palestinien et le Hamas, ainsi que des entités liées à l’échangeur Dubai Co, basé à Gaza.
A noter d’ailleurs qu’Israël a récemment réalisé une saisie record de crypto-monnaies, impliquant environ 600 comptes liés à Dubai Co. Les détails précis des réseaux ou des crypto-monnaies impliquées n’ont pas été divulgués. Les autorités israéliennes ont confisqué des millions de shekels sur des comptes cryptographiques suspectés d’avoir des liens avec le Hamas et d’autres groupes militants au Moyen-Orient au cours des deux dernières années.
Déclarations des utilisateurs de Tron
Suite à ces saisies, plus d’une douzaine de personnes dont les fonds ont été bloqués ont affirmé à Reuters utiliser Tron pour des transactions personnelles, sans lien avec le financement du terrorisme. Une seule personne, s’identifiant comme Neo, a admis avoir transféré de l’argent à une personne associée au Hamas. Cependant, ces affirmations n’ont pas été vérifiées indépendamment par Reuters.
Selon le Wall Street Journal, les militants palestiniens ont reçu au moins 134 millions de dollars en cryptomonnaies. TRM Labs rapporte que les structures de soutien à l’ISIS en Asie ont utilisé des cryptomonnaies, principalement le stablecoin USDT sur le réseau Tron, pour lever plus de 2 millions de dollars.
Position de Tron
Hayward Wong, porte-parole de Tron, a souligné que la société ne contrôle pas les utilisateurs de sa technologie et n’est pas associée à des groupes terroristes. Justin Sun, cofondateur de Tron, a affirmé que le protocole luttait contre le financement du terrorisme en intégrant divers outils analytiques. La fondation TRON a été créée en juillet 2017 à Singapour par l’entrepreneur chinois Justin Sun. Une levée de fonds en cryptomonnaies (Initial Coin Offering) a généré 70 millions de dollars pour le lancement de la blockchain.
Dans le paysage en constante évolution du commerce en ligne, les commerces français font face à une menace croissante en matière de cybersécurité. Selon de récentes données, 60% des attaques ciblant ces entreprises sont des attaques de logique commerciale, dépassant largement la moyenne mondiale de 37%. Cette tendance inquiétante met en lumière les défis croissants auxquels le secteur du e-commerce est confronté en France.
De plus, une proportion significative du trafic non désiré sur les sites français de vente au détail est désormais associée à des robots avancés, dépassant la moyenne mondiale de 53%. Ces « bad bots » posent un problème sérieux en matière de sécurité en ligne, car ils sont souvent utilisés pour des activités malveillantes.
L’évolution des attaques est également préoccupante. Au cours des 12 derniers mois, on a observé une augmentation spectaculaire de 4 fois des attaques DDoS de niveau 7 chez les commerçants français. De plus, les attaques DDoS de la couche applicative ont augmenté de près de 10 fois pendant la période des achats de Noël par rapport à l’année précédente. Ces attaques automatisées, en particulier celles visant la logique commerciale des applications, représentent une menace majeure pour les commerces.
Les cybercriminels cherchent à exploiter les vulnérabilités des applications, des API et des données du secteur du e-commerce, avec des conséquences potentiellement désastreuses pour les entreprises visées.
Karl Triebes, SVP et GM de la sécurité des applications chez Imperva, met en garde : « Les risques sécuritaires auxquels le secteur du e-commerce est confronté sont de plus en plus élaborés, automatisés et difficiles à détecter. Cette automatisation sophistiquée peut sérieusement affecter les résultats financiers des retailers, compromettant ainsi les ventes de fin d’année.«
Les perspectives pour la période des fêtes de fin d’année 2023 sont également inquiétantes. Une récente augmentation des attaques de bots malveillants, en particulier sur les sites de e-commerce basés aux États-Unis et en France, laisse présager une perturbation potentielle des ventes pendant le Black Friday et le Cyber Monday. Les attaques DDoS au niveau des applications sont en hausse par rapport à la même période l’année dernière, accentuant les risques pour la période des fêtes.
Les experts de VADE viennent de découvrir des tentatives de fraudes, via des courriels piégés, s’attaquant spécifiquement aux hôtels.
Les premiers messages envoyés ne contiennent pas forcément de pièces jointes ou de liens nuisibles, mais leur rédaction est telle qu’ils sont reconnus comme potentiellement frauduleux par les systèmes de filtrage. Ces courriers électroniques ne sont pas toujours détectés par les filtres anti-spam habituels car ils ne contiennent pas d’éléments malveillants évidents. Le but est d’amener le destinataire, souvent la réception ou la direction de l’hôtel, à répondre à l’arnaqueur. Un second message, potentiellement avec une pièce jointe ou un lien dangereux, serait alors envoyé.
Le Blog ZATAZ, référence depuis plus de 20 ans dans les actualités liées à la lutte contre le cybercrime avait alerté de ce type de fraude, au mois d’août 2023. Même méthode, même excuse : la plainte d’un client.
Les analyses de l’entreprise française Vade suggèrent qu’il s’agit d’un malware versatile, capable de dérober des informations, d’obtenir des droits d’accès supérieurs, de se maintenir dans le système et de récolter des données d’identification, avec un potentiel de dégénérer en ransomware. Des indices laissent penser que cet acteur de menaces pourrait être d’origine chinoise, sans que cela puisse être affirmé avec certitude. « Nos analystes ont trouvé des preuves de l’existence de variantes apparentées qui indiquent qu’il s’agit très probablement d’un acteur chinois, mais les données ne permettent pas de le conclure à 100 %. » indique Romain Basset, directeur des services clients Vade.
Les auteurs se font passer pour des clients mécontents pour engager une conversation avec le personnel, comme l’alerte de ZATAZ au mois d’août 2023. Ces tentatives d’escroquerie sont généralement brèves et exemptes de charge malicieuse, du moins jusqu’à présent, avec l’hypothèse que cela intervient dans les échanges ultérieurs.
Une découverte notable est celle d’un courriel intégrant un lien vers un fichier malicieux sous un faux prétexte visuel. Bien que ces attaques aient jusqu’à présent visé principalement des entités anglophones, elles pourraient s’étendre à d’autres langues. Nos systèmes de détection n’identifient pas toujours ces tentatives, à l’instar d’autres filtres.
Voici quelques exemples de ces emails :
« Bonjour, lors de mon séjour à votre hôtel, j’ai subi un désagrément impliquant l’un de vos employés. J’ai dû contacter mon avocat. Pourriez-vous m’assister ?«
« Bonjour, je souhaite signaler un souci rencontré avec ma réservation. J’ai besoin de renseignements et d’aide. Merci de répondre rapidement.«
Les tentatives semblent viser les adresses email génériques telles que « info@ » trouvées sur les sites des hôtels, souvent consultées par le personnel de gestion. Les pirates créé un prétexte d’urgence dans la réponse [des clients pas content] pour une réponse rapide et une action de la part de la victime, augmentant ainsi les chances de succès de l’arnaque. Le fondateur de ZATAZ, Damien Bancal, a participé au mois d’octobre 2023 à une compétition de Social Engineering, au Québec [il a fini avec la médaille d’argent]. Il a démontré lors de la compétitions de 48 heures, comment les services hôteliers étaient des mines d’informations.
Preuves de l’objectif de l’attaque : Bien que le logiciel semble principalement conçu pour le vol d’informations, il est équipé pour évoluer vers des attaques plus sérieuses, telles que le ransomware, avec des indications d’utilisation de bibliothèques de cryptographie, suggérant une volonté de chiffrer les données et perturber les opérations hôtelières.
Des experts révèlent une campagne de cyberattaques visant les domaines éducatifs et technologiques en Israël.
Ces offensives sont attribuées à un groupe APT, étroitement lié à l’Iran, surveillé par l’Unité 42 sous le nom d’Agonizing Serpens (également connu sous le nom d’Agrius), actif depuis 2020. Ce groupe est spécialisé dans les attaques cybernétiques destructrices, utilisant des malwares Wiper (appelés « essuie-glaces » car ils suppriment intégralement les données des systèmes infectés) et des ransomwares trompeurs visant principalement des institutions israéliennes.
Lancées en janvier 2023 et persistantes jusqu’en octobre 2023, ces attaques sont marquées par des tentatives de dérobement de données confidentielles, incluant des informations personnelles identifiables (PII) et de la propriété intellectuelle.
Les offensives d’Agonizing Serpens ont pour but le vol d’informations sensibles et la destruction massive de données par l’effacement des contenus des systèmes impactés. Les responsables ont subtilisé des données critiques, dont des informations personnelles et de propriété intellectuelle des organisations visées, et les ont divulguées sur les réseaux sociaux ou via des canaux Telegram, probablement dans le but d’intimider ou de nuire à la réputation des victimes.
Les analyses des nouveaux malwares Wiper indiquent que le groupe a peaufiné ses méthodes, privilégiant des techniques discrètes et évasives pour échapper aux systèmes de sécurité, notamment les technologies EDR.
Les chercheurs ont repéré 3 nouveaux Wiper et 1 outil de pillage de bases de données employés récemment par Agonizing Serpens :
Wiper multicouche
Wiper PartialWasher
Wiper BFG Agonizer
Sqxtractor – un outil spécifique pour l’extraction de données de serveurs de bases de données
Des détails supplémentaires et une analyse technique détaillée sont disponibles dans le rapport complet.
Qu’est-ce que le groupe APT Agonizing Serpens ?
Agonizing Serpens, aussi appelé Agrius, est un groupe APT associé à l’Iran, actif depuis 2020. Des rapports précédents avaient évoqué l’usage de ransomwares et de demandes de rançon, mais ces éléments se sont avérés être des diversions, comme noté dans le rapport de l’Unité 42 de 2023 sur le ransomware et la cyberextorsion. Lors des récentes attaques, aucune rançon n’a été exigée ; à la place, les conséquences ont été la perte de données et des interruptions d’activité significatives.
Les chercheurs estiment que ces attaques sont l’œuvre d’Agonizing Serpens, lié à l’Iran, basé sur les similitudes de code dans les différents Wipers : le Wiper MultiLayer analysé montre des correspondances de code et des schémas de noms similaires déjà documentés pour les Wipers d’Agonizing Serpens connus sous les noms Apostle, Fantasy et la backdoor IPsec Helper.
Les similitudes de code dans les web shells : les assaillants ont utilisé des web shells variant légèrement de l’un à l’autre, les différences résidant principalement dans les noms de variables et de fonctions. La nature destructrice des attaques : la phase finale des assauts implique une stratégie de « terre brûlée », avec l’utilisation de Wipers sur mesure pour détruire les terminaux et dissimuler les traces.
Enfin, le ciblage exclusif d’organisations israéliennes : la télémétrie de l’Unité 42 n’a relevé aucune victime non israélienne, suggérant une focalisation du groupe APT sur Israël.
La guerre commerciale entre la Chine et les USA passe aussi dans les fausses alertes de piratage informatique !
Les appareils Huawei et Vivo considèrent dorénavant l’application Google comme un malware. Voilà la réponse des marques chinoises au blocage américain de ses technologies et l’interdiction d’utiliser les outils Google. Les utilisateurs ont découvert que d’étranges avertissements de menace de sécurité apparaissent sur les smartphones et tablettes Huawei, Honor et Vivo, les invitant à supprimer l’application Google. Les appareils signalent que l’application est reconnue comme un malware TrojanSMS-PA. Un faux positif, mais qui a fait son effet !
Ce problème est signalé en masse sur les forums d’assistance de Google, Reddit et les forums Huawei. L’alerte explique que l' »application a été observée envoyant des messages SMS à l’insu de l’utilisateur, attirant les utilisateurs avec du contenu payant pour adultes, téléchargeant/installant des applications à l’insu de l’utilisateur ou volant des informations sensibles, ce qui peut entraîner des dommages matériels et une fuite de données sensibles. Nous vous recommandons de le supprimer immédiatement ». A noter que l’éditeur de solutions de cybersécurité Avast a annoncé un bug de son service annonçant Google Quick Search Box comme un malware sur les smartphones Huawei, Vivo et Honor.
Du côté de Samsung, des utilisateurs d’appareils Samsung ont commencé à recevoir des avertissements de Google Play Protect dès plus inquiétants. Le service d’analyse des logiciels malveillants intégré aux appareils Android se méfie, depuis octobre, de certaines applications populaires, notamment Samsung Wallet et Samsung Messages. Comme le rapporte 9to5Google, les utilisateurs se sont plaints en masse sur le forum d’assistance de Google du fait que Play Protect signalait les applications du système Samsung comme « dangereuses ».
Pendant ce temps, en Russie, le ministère des communications et contrôle de l’Internet local [Roskomnadzor] a fait interdire dans les moteurs de recherche russes qu’apparaissent dans les résultats : Hetzner Online GmbH ; Network Solutions, LLC ; WPEngine, Inc. ; HostGator.com, LLC ; Ionos Inc. ; DreamHost, LLC ; Amazon Web Services, Inc. ; GoDaddy.com LLC ; Bluehost Inc. ; Kamatera Inc. ; DigitalOcean, LLC.
La loi russe [n° 236-FZ] oblige les hébergeurs étrangers dont les utilisateurs sont situés, y compris sur le territoire de la Fédération de Russie, à remplir les obligations locales. Les hébergeurs doivent créer un compte personnel sur le site Web de Roskomnadzor ; publier un formulaire de commentaires pour les citoyens et organisations russes ; créer un bureau de représentation autorisé en Russie.
Une coalition mondiale de dirigeants gouvernementaux en matière de cybersécurité annoncent des efforts visant à renforcer le partage d’informations sur les menaces numériques et à s’attaquer aux paiements en cryptomonnaies des chantages numériques.
Lors de sa réunion à Washington, la Maison Blanche a décidé de mettre les bouchées doubles à l’encontre des rançongiciels et maîtres-chanteurs adeptes de ransomware. L’administration Biden a accueilli des responsables de 47 pays pour son Initiative internationale de lutte contre les ransomwares – (International Counter Ransomware Initiative – CRI), au cours de laquelle les participants ont dévoilé un certain nombre d’actions.
La Maison Blanche a exhorté, ce 31 octobre, les gouvernements participants à prendre un engagement politique commun annonçant qu’ils ne paieraient pas de rançon aux cybercriminels. « Nous n’en sommes pas encore là, avec 50 pays, ce sera de la haute voltige« , a déclaré Anne Neuberger, conseillère adjointe à la sécurité nationale pour la cybersécurité et les technologies émergentes. Bref, une posture politique déjà prise en octobre 2021.
International Counter Ransomware Initiative
De son côté, le Conseil de sécurité nationale des États-Unis (NSC) exhorte les gouvernements de tous les pays participant à l’Initiative internationale de lutte contre les ransomwares (CRI) à publier une déclaration commune annonçant qu’ils ne paieront pas de rançon aux cybercriminels. La France, via l’ANSSI, l’Agence Nationale de Sécurité des Systèmes d’Information, a été l’une des premiéres structures à rappeler ce fait : ne payez pas !
Il faut dire aussi qu’il n’existe pas de norme mondiale sur la question suivante : Le paiement d’une rançon doit-il être effectué lors d’une cyberattaque ? Une plateforme de partage d’informations doit être mise en place « où les pays pourront s’engager à partager rapidement des informations après un incident majeur ». Une plate-forme gérée par les Émirats arabes unis.
L’argent des pirates, le nerfs de la guerre !
Les américains non jamais partagé auparavant des portefeuilles pirates, ni d’informations concernant les portefeuilles de la blockchain qui déplacent des fonds illicites liés aux ransomwares. D’ici peu, ces données seraient partagées avec les départements du Trésor du monde entier.
Le CRI a été lancé en 2021 avec 31 membres Australie, Brésil, Bulgarie, Canada, République tchèque, République dominicaine, Estonie, Union européenne, France, Allemagne, Inde, Irlande, Israël, Italie, Japon, Kenya, Lituanie, Mexique, Pays-Bas, Nouvelle-Zélande, Nigéria, Pologne, République de Corée, Roumanie, Singapour, Afrique du Sud, Suède, Suisse, Ukraine, Émirats arabes unis, Royaume-Uni et États-Unis) et en a ajouté d’autres à mesure que les ransomware gagnaient du terrain, comme le gouvernement du Costa Rica.
Le pays avait été paralysé après avoir refusé de payer une rançon de 20 millions de dollars aux pirates du groupe CONTI, le 16 avril 2022. L’expérience du Costa Rica montre que la politique peut également jouer un rôle dans la décision d’un gouvernement. Lors d’une comparution au Centre d’études stratégiques et internationales (CSIS) à la fin du mois de septembre, le président costaricien Rodrigo Chaves a déclaré que même si le paiement d’une rançon aurait nécessité une législation, il ne l’aurait pas fait même s’il en avait eu la possibilité.
A noter que cette demande de ne pas payer ne concerne que les Pays. Les paiements de rançons améliorent non seulement les capacités des groupes de cybercriminalité, mais qu’ils peuvent également financer d’autres actions malveillantes ou des Etats-nation aux intérêts criminels et/ou terroristes. Bien qu’aucun gouvernement national n’ait publiquement reconnu avoir payé une rançon, rien n’empêche de penser que certains ont payé le silence des pirates, comme ont pu le faire des milliers d’entreprises privées de part le monde.
Un outil web russe inonde les réseaux sociaux de robots permettant, dans certains cas, d’orchestrer des vagues de fakes news.
Des cybercriminels peu qualifiés utilisent un nouvel outil pour créer des centaines de faux comptes de réseaux sociaux en quelques secondes seulement, ont découvert des chercheurs de chez Trend Micro. Appelé Kopeechka (« penny » en russe), le service permet de contourner deux obstacles principaux pour quelqu’un qui tente de créer un faux compte : la vérification par courrier électronique et par téléphone.
J’avoue être très étonné, le site Kopeechka existe depuis plusieurs années [2019] et il est légal. Il affiche être une solution prête à l’emploi pour l’achat groupé de comptes de messagerie sans nécessiter de maintenance supplémentaire de ces comptes. Mais, comme d’habitude, des pirates et autres malveillants ont trouvé le moyen de détourner le service.
Bref, les cyber criminels peuvent utiliser Kopeechka pour mener des campagnes de désinformation, de spam et de promotion de logiciels malveillants. Il semble que ce service a été utilisé pour enregistrer en masse des comptes sur la plateforme de médias sociaux Mastodon afin de mener des campagnes de spam à grande échelle promouvant des plateformes d’investissement frauduleuses en crypto-monnaie.
Une lutte contre les faux comptes
Les géants des médias sociaux comme Instagram, Facebook et X (anciennement Twitter) s’efforcent depuis longtemps de minimiser l’enregistrement massif de faux comptes, également appelés robots, car ils sont souvent utilisés par les pirates informatiques dans leurs activités illégales. Les mesures anti-bot de base, comme la validation de l’adresse e-mail et du numéro de téléphone, l’utilisation d’adresses IP non suspectes et le CAPTCHA (un puzzle sur un site Web conçu pour confirmer qu’il est utilisé par une personne réelle plutôt que par un programme informatique), sont dissuasives.
Les cybercriminels peuvent contourner les CAPTCHA et les contrôles de réputation des adresses IP à l’aide de scripts automatisés, mais obtenir des adresses électroniques et des numéros de téléphone uniques peut s’avérer plus difficile. C’est alors qu’ils se tournent vers des services comme Kopeechka. En plus des principales plateformes de médias sociaux comme Facebook et X, les cybercriminels ont utilisé l’API de Kopeechka pour enregistrer des comptes sur Discord ou encore Telegram.
Un détournement malveillant voulu ?
Des chercheurs de Trend Micro ont également découvert un script Python via Kopeechka qui pourrait être utilisé pour créer des comptes sur Virus Total, un service en ligne qui analyse les fichiers informatiques à la recherche de virus, ce qui implique que certains utilisateurs pourraient enregistrer ces comptes pour tester la détection de leurs logiciels malveillants. Kopeechka permet aux utilisateurs d’accéder aux courriels reçus des plateformes de médias sociaux. Il ne cède pas lui-même le compte de boîte aux lettres, car il est contrôlé par Kopeechka et non par un utilisateur tiers.
Kopeechka dispose de plusieurs comptes de messagerie en stock, notamment avec Hotmail, Outlook ou encore Gmail. L’outil étant russe, Mail.ru fait parti du râtelier du service. Il permet d’utiliser une seule adresse pour plusieurs inscriptions sur différentes plateformes de médias sociaux. Les chercheurs soupçonnent que ces adresses sont soit compromises, soit créées par les acteurs de Kopeechka eux-mêmes.
Pour vérifier les numéros de téléphone des utilisateurs lors de l’enregistrement du compte, Kopeechka offre l’accès à 16 services SMS en ligne différents, provenant pour la plupart de Russie. Le blog ZATAZ a montré, il y a deux ans, dans son espace OSINT, différents sites web permettant de recevoir des SMS, sans être obligé de fournir un numéro de téléphone officiel ou enregistré.
Il faut compter moins de 0.0020$ par message. Deux adresse en .fr sont disponibles : outlook.fr et gmx.fr.
Une version bêta d’une extension baptisée Review Checker a été publiée pour le navigateur Mozilla Firefox. Elle détecte les fausses critiques de produits.
La fonction « Review Checker » examine tous les avis sur la page, raye ceux que les algorithmes déterminent comme étant faux en fonction de la formulation typique et de la similitude avec d’autres commentaires, puis calcule la note ajustée du produit.
L’extension est actuellement testée auprès d’une petite partie d’utilisateurs américains sur trois plateformes d’achat : Amazon, BestBuy et Walmart. La version 119 de Firefox introduit Review Checker. La sortie officielle devrait avoir lieu en novembre 2023 , mais il n’est pas clair si à l’avenir la fonction prendra en charge des marchés nationaux ou ne se contentera d’entreprises partenaires.
Propulsée par Fakespot de Mozilla, cette fonctionnalité évalue la qualité des avis sur les produits en vous aidant à savoir si les avis proviennent probablement de vrais clients ou s’ils proviennent d’évaluateurs biaisés ou rémunérés. Review Checker utilise la technologie d’IA pour analyser les avis sur Amazon, Best Buy et Walmart.
Il attribue aux avis de chaque produit une note alphabétique, allant de A à F, indiquant leur fiabilité.
Une vulnérabilité a été découverte dans l’application mobile Skype qui permet aux pirates d’obtenir l’adresse IP de l’utilisateur lors de l’ouverture d’un message avec un lien spécifique.
Trouver votre adresse IP, via un simple message sur Skype, possible. Ce défaut a été identifié par un chercheur indépendant en sécurité nommé Yossi. Le chercheur a découvert qu’n pirate informatique peut déterminer l’emplacement général d’un utilisateur en lui demandant d’ouvrir un message contenant un lien. Yossi a signalé le problème à Microsoft début du mois d’août. Pour démontrer la vulnérabilité, Yossi a réalisé une démonstration avec l’adresse IP d’un journaliste de 404 Media.
Un pirate pourrait faire de même et récupérer l’IP originale, même si cette adresse est cachée derrière un réseau privé virtuel (VPN). Lorsque Yossi a contacté Microsoft le 12 août, on lui a répondu que « la divulgation d’une adresse IP en soi n’est pas considérée comme une faille de sécurité ». À la suite d’un appel de 404 Media, Microsoft a déclaré qu’il résoudrait le problème dans une « future mise à jour du produit« , sans préciser de date. Rappelons que des pirates chinois ont récemment eu accès au courrier électronique du gouvernement américain via Microsoft Azure, ce qui a suscité des critiques à l’encontre de l’entreprise pour son approche des failles de sécurité.
Plus tôt cet été, le PDG de la société de cybersécurité Tenable, Amit Göran, a accusé Microsoft de « négligence grave » en citant le retard de l’entreprise à corriger une vulnérabilité critique.
Dans le monde numérique d’aujourd’hui, où les pirates informatiques sont constamment à la recherche de nouvelles méthodes pour accéder à des données sensibles, une menace revient sur le devant de la scéne : les attaques acoustiques.
Des chercheurs d’universités britanniques ont développé un modèle d’apprentissage qui peut voler des données à partir de frappes de clavier enregistrées via un microphone, avec une précision étonnante de 95 %.
L’impact de cette nouvelle attaque a la capacité de compromettre les données les plus sensibles des utilisateurs, allant des mots de passe aux discussions confidentielles. Du moins sur le papier. Contrairement à d’autres attaques nécessitant des conditions spécifiques, les attaques acoustiques sont rendues plus accessibles en raison de la prolifération d’appareils équipés de microphones capables d’enregistrer des sons de haute qualité. Cette situation, conjuguée aux avancées rapides en matière d’apprentissage automatique, rend ces attaques sonores plus dangereuses et accessibles que jamais.
L’évolution des menaces et la nécessité d’une sécurité renforcée
Cette attaque met en évidence la nécessité d’adopter des mesures de sécurité renforcées. Les méthodes traditionnelles de protection, telles que les mots de passe, ne suffisent plus à garantir la sécurité des données. L’authentification multifactorielle, les clés physiques et les systèmes d’entrée sans mot de passe deviennent essentiels pour contrer ces menaces émergentes. Alors que les pirates continuent de rechercher des failles, les entreprises et les individus doivent prendre des mesures proactives pour sécuriser leurs données.
Bien que ce type d’attaque ne soit pas entièrement nouveau, son taux de réussite élevé, atteignant 95 %, est préoccupant. L’idée de capturer les frappes de clavier à partir du son est similaire à la prise d’empreintes digitales via la frappe, incluant la vitesse de frappe, les erreurs et les intervalles entre les touches. Tout cela peut être accompli simplement en écoutant une communication vocale, comme une conversation téléphonique. Cette menace a conduit à l’exploration de concepts tels que l’outil « keytap » développé par Georgi Gerganov en 2018, qui se concentrait sur le son spécifique des claviers mécaniques.
Récemment, Google a annoncé une initiative audacieuse visant à réduire le nombre d’attaques sur ses collaborateurs en expérimentant une approche de sécurité innovante. L’entreprise souhaite exclure temporairement certains de ses employés d’Internet.
L’idée centrale derrière cette démarche est basée sur le concept bien connu de l »air gap’ (séparation physique). Ce concept a déjà fait ses preuves dans les milieux de la sécurité informatique en rendant les serveurs de sauvegarde moins vulnérables aux attaques. Lorsqu’un serveur est déconnecté d’Internet, il devient beaucoup plus difficile pour les agresseurs d’y accéder à distance, obligeant ainsi les pirates à se trouver physiquement près de l’ordinateur pour essayer de le compromettre. Mais comment cela se traduit-il lorsqu’il s’agit de collaborateurs travaillant au sein de la plus grande entreprise Internet au monde ?
Selon des documents internes relayés par le site d’information américain CNBC, Google est actuellement en train de mener une expérience ambitieuse impliquant environ 2 % de ses collaborateurs. Ces volontaires ont été choisis pour être exclus d’Internet pendant la durée de l’expérience. Cela signifie qu’ils ne peuvent pas accéder au World Wide Web et n’ont pas les privilèges root sur leurs ordinateurs. Le but ultime de cette démarche est de renforcer considérablement la sécurité des collaborateurs participants.
Des collaborateurs pas complètement déconnectés
Néanmoins, cette exclusion d’Internet ne signifie pas que les collaborateurs sont complètement déconnectés de tout support numérique. Google a pris soin de permettre l’utilisation de ses propres outils basés dans le nuage, ce qui permet aux employés de continuer à travailler de manière productive malgré l’absence d’accès à Internet. De plus, des exceptions ont été mises en place pour les collaborateurs qui ont un besoin impératif d’accéder à Internet dans le cadre de leurs tâches professionnelles.
Il est important de noter que Google a rapidement souligné sur Twitter que cette expérimentation ne deviendra pas une politique générale. Autrement dit, l’entreprise n’a pas l’intention de désactiver Internet pour l’ensemble de ses employés à l’avenir. Cependant, cette démarche est un exemple de l’approche proactive adoptée par Google pour renforcer la sécurité de ses infrastructures et de ses collaborateurs face à un paysage de cyber-menaces en constante évolution.
Une fuite de données inattendue a secoué le monde de la cybersécurité en juin dernier. Un fichier de clients VirusTotal s’est retrouvé accidentellement sur Internet, exposant une liste de 5 600 noms, parmi lesquels figuraient des employés des services secrets américains de la NSA et des services de renseignement allemands.
VirusTotal est essentiellement une immense base de données de logiciels malveillants. Les utilisateurs peuvent soumettre des fichiers suspects ou des liens vers des sites Web douteux, qui sont ensuite comparés aux bases de données de 70 fabricants d’antivirus pour détecter toute activité suspecte. Cela a permis la création d’une archive mondiale d’outils d’attaque numérique, une précieuse bibliothèque de codes malveillants. Cependant, cette plateforme n’est pas exempte de critiques, car elle peut potentiellement exposer involontairement des données confidentielles, comme l’a averti l’Office fédéral de la sécurité de l’information (BSI) l’année dernière.
Révélations troublantes sur la liste divulguée
La liste, 5 600 clients de VirusTotal, comprend des organismes gouvernementaux de premier plan tels que le Cyber Command américain, le FBI, le département américain de la Justice, la NSA ou encore le service de renseignement allemand MAD. De nombreuses entreprises allemandes sont également concernées, notamment la Deutsche Bahn, la Bundesbank, Allianz, BMW, Mercedes-Benz et Deutsche Telekom. Cette fuite suscite des inquiétudes quant à l’utilisation abusive des données pour l’ingénierie sociale et les attaques de phishing ciblées. Alertés, pas de doute que les « clients » concernés ont changé d’adresse électronique et redoublé de prudence.
Les implications de la fuite de données
Bien que les mots de passe ne soient pas affectés par cette fuite, la liste divulguée permet d’identifier les personnes en charge de la sécurité informatique et de la lutte contre les logiciels malveillants au sein des organisations concernées. Cela pourrait ouvrir la voie à des tentatives d’attaques ciblées contre ces individus. Ce qui rend cette fuite encore plus folle, c’est que VirusTotal appartient à Google. Cette situation soulève des questions sur la sécurité et le contrôle des données chez Google.
Google a rapidement supprimé la liste de la plateforme dès qu’ils ont été informés de la fuite. Ils se sont également engagés à améliorer leurs processus internes et leurs contrôles techniques pour éviter de tels incidents à l’avenir. Le BSI, tout en utilisant VirusTotal comme source d’informations, conseille aux autorités fédérales de ne pas télécharger de fichiers sur cette plateforme. Un courriel de 2022, temporairement retrouvé sur la plateforme de sécurité, montre l’importance de VirusTotal en termes de sécurité informatique et quelles informations critiques peuvent s’y retrouver. Dans ce mail, l’Association allemande pour l’ingénierie des machines et des installations (VDMA) a envoyé un lien vers un portail Web du ministère de l’Intérieur de Rhénanie-Palatinat en tant que service pour ses membres – avec le mot de passe associé.
D’autres entreprises touchées par la fuite, telles que Deutsche Telekom, ont également pris des mesures pour informer leurs employés et prévenir les éventuelles attaques.
Proxy jacking : Des hackers malveillants détournent les serveurs SSH en les attachant à un réseau proxy.
Les attaques en ligne sont devenues une préoccupation majeure pour les entreprises et les utilisateurs individuels. Une nouvelle menace a été identifiée par les experts d’Akamai Technologies, mettant en évidence une campagne de proxy jacking qui cible les serveurs SSH vulnérables. Les attaquants exploitent les serveurs pour lancer un service Docker qui utilise la bande passante de la victime pour alimenter un réseau proxy commercial.
Cette technique, moins visible que le cryptojacking, offre aux attaquants un moyen discret de générer des avantages financiers en utilisant la bande passante des victimes. Dans cet article, nous allons examiner de plus près cette menace croissante et discuter des mesures que vous pouvez prendre pour protéger vos serveurs SSH contre les attaques de proxy jacking.
Les attaques de proxy jacking
Les attaques de proxy jacking sont une méthode sophistiquée utilisée par les attaquants pour détourner les serveurs SSH vulnérables. Une fois qu’ils ont obtenu un accès à distance au système, les attaquants déploient un service Docker qui partage le canal Internet de la victime avec un réseau proxy commercial. Contrairement au cryptojacking, cette attaque est beaucoup moins visible, ce qui réduit considérablement le risque de détection précoce. Les attaquants utilisent cette méthode pour obtenir des avantages financiers en exploitant la bande passante supplémentaire de la victime, pour laquelle ils reçoivent une récompense du propriétaire du service proxy.
Les chercheurs notent que, contrairement au cryptojacking, de telles attaques sont beaucoup plus discretes : elles chargent beaucoup moins de ressources, ce qui réduit le risque de détection. L’objectif : obtenir des avantages financiers, seuls les proxyjackers n’utilisent pas la puissance de l’ordinateur, mais la bande passante supplémentaire de la victime, pour laquelle ils reçoivent une récompense du propriétaire du service proxy – comme Peer2Profit ou Honeygain.
Le rôle des services proxy
Les services de proxy de trafic sont des outils légaux couramment utilisés par les annonceurs et d’autres utilisateurs. Les participants à ces réseaux proxy installent volontairement un logiciel spécialisé sur leurs machines, permettant ainsi le partage de leur bande passante inutilisée avec d’autres appareils. Malheureusement, ces outils et services ne sont pas à l’abri des abus. Les attaquants exploitent depuis longtemps les proxys pour masquer la source du trafic malveillant et recherchent activement des services qui offrent un anonymat similaire.
Détection d’une campagne de proxy jacking
Dans cette campagne de proxy jacking, les pirates informatiques ont réussi à installer un script Bash obscurci après avoir détourné un serveur vulnérable. Ce script recherche et met fin à tous les processus concurrents, puis lance un service Docker pour partager la bande passante de la victime. Une analyse plus approfondie a révélé que le logiciel malveillant obtenait toutes les dépendances nécessaires du serveur Web compromis, y compris un outil de ligne de commande Curl déguisé en fichier CSS (csdark.css). (Akamai)
Une équipe de chercheurs de l’Université Ben Gourion et de l’Université Cornell ont trouvé un moyen de récupérer les clés secrètes des appareils cibles en analysant la LED d’alimentation.
Une équipe de chercheurs de l’Université Ben Gourion et de l’Université Cornell a récemment fait une découverte inquiétante en matière de sécurité informatique. Ils ont trouvé un moyen de récupérer les clés secrètes des appareils cibles en analysant la LED d’alimentation. Cette méthode, basée sur l’analyse des variations de luminosité, permet à un attaquant potentiel de dérober des clés cryptographiques en utilisant une caméra de smartphone ou une caméra de surveillance. Dans cet article, nous explorerons les détails de cette découverte et ses implications pour la sécurité des données.
Le lien entre la consommation électrique et la luminosité de la LED
Les chercheurs expliquent dans leur rapport que les calculs effectués par le processeur d’un appareil ont un impact direct sur sa consommation électrique, ce qui se reflète dans la luminosité de la LED d’alimentation. Ils ont découvert que ces changements de luminosité peuvent être exploités pour extraire les clés cryptographiques d’un appareil. En analysant les variations rapides de luminosité de la LED, un attaquant peut utiliser l’effet de « parallaxe temporelle » de la caméra pour capturer les émissions physiques.
Les résultats des tests
Les chercheurs ont réalisé plusieurs tests pour valider leur méthode de piratage via la LED d’alimentation. Ils ont réussi à récupérer avec succès une clé ECDSA de 256 bits à partir d’une carte à puce en analysant l’enregistrement vidéo du scintillement de la LED. Dans un autre test, ils ont extrait une clé SIKE de 378 bits à partir d’un téléphone Samsung Galaxy S8. Dans ce cas, ils ont pointé la caméra d’un iPhone 13 vers la LED d’alimentation des haut-parleurs Logitech Z120 connectés au hub USB. Ces tests démontrent l’efficacité de la méthode et la vulnérabilité des appareils face à cette nouvelle forme de piratage.
Les conditions nécessaires pour une attaque réussie
Pour qu’une attaque réussisse, plusieurs conditions doivent être remplies. Tout d’abord, la caméra utilisée par l’attaquant doit être capable de capturer les variations de luminosité de la LED à une distance de 16 mètres du dispositif cible. De plus, la LED d’alimentation doit être en ligne de mire directe de la caméra. Ces exigences peuvent sembler restrictives, mais avec l’avancée des technologies de caméra, il est probable que les attaquants puissent contourner ces limitations à l’avenir.
Thales, un fournisseur mondial de technologies et de solutions de sécurité, a annoncé un nouveau partenariat avec Google Cloud dans le but de développer de nouvelles capacités de sécurité des données alimentées par l’IA générative. Cette collaboration vise à renforcer la faculté des entreprises à découvrir, classer et protéger leurs données les plus sensibles. En exploitant l’IA générative, Thales cherche à améliorer sa plateforme de sécurité des données CipherTrust, offrant ainsi de nouvelles fonctionnalités et expériences aux utilisateurs.
Dans un monde où de plus en plus d’entreprises hébergent leurs données sensibles dans le cloud, la sécurité et la protection de ces données sont devenues des préoccupations majeures. Selon le rapport sur les menaces liées aux données de Thales en 2023, seulement 24 % des entreprises connaissent l’emplacement exact de l’intégralité de leurs données. Pour remédier à cela, Thales s’associe à Google Cloud pour exploiter l’IA générative et renforcer la capacité de sa plateforme de sécurité des données CipherTrust.
L’objectif principal de ce partenariat est d’améliorer la découverte, la classification et la protection des données sensibles dans le cloud. Grâce à l’utilisation de l’IA générative, la plateforme CipherTrust bénéficiera d’une nouvelle fonctionnalité appelée « Data Discovery and Classification Machine Learning ». Cette fonctionnalité, alimentée par Vertex AI de Google Cloud, permettra une découverte et une classification plus précises des données.
En utilisant l’apprentissage automatique, les données seront classées en différentes catégories et sous-catégories, en s’appuyant sur la « reconnaissance d’entités nommées » pour identifier différents types d’informations sensibles. Les techniques d’apprentissage automatique permettront également de renforcer la découverte et la classification des données en utilisant des caractéristiques sémantiques communes. Cette approche permettra de découvrir et de classifier les informations sensibles à partir d’un ensemble de référentiels documentaires d’entreprise, tout en garantissant leur protection.
Ce partenariat entre Thales et Google Cloud vise à aider les entreprises à accélérer leur efficacité opérationnelle, à réduire les délais de mise en conformité et à corriger les lacunes en matière de sécurité. En renforçant la capacité de la plateforme CipherTrust à protéger les données sensibles, les utilisateurs bénéficieront d’une meilleure tranquillité d’esprit et pourront se concentrer sur leur activité principale, en sachant que leurs informations les plus sensibles sont sécurisées.
Les chercheurs ont récemment découvert une nouvelle technique d’attaque qui exploite les capacités du modèle de langage OpenAI ChatGPT. Cette technique permet aux attaquants de distribuer des packages malveillants dans les environnements de développement. Dans un avis conjoint publié aujourd’hui, les chercheurs ont alerté sur cette nouvelle menace et ont souligné l’importance de prendre des mesures pour atténuer les risques.
Selon les auteurs du rapport technique, ChatGPT a été observé en train de générer des URL, des liens et même des bibliothèques et des fonctions de code qui n’existent pas réellement. Ce phénomène, connu sous le nom d’hallucinations des grands modèles de langage, a été documenté auparavant et pourrait résulter de données d’apprentissage obsolètes. Ces hallucinations ou recommandations erronées peuvent être exploitées par les attaquants pour tromper les utilisateurs.
L’hallucination du package AI
La nouvelle technique de distribution de packages malveillants, baptisée « l’hallucination du package AI« , repose sur l’interaction entre les attaquants et ChatGPT. Les attaquants posent une question à ChatGPT en demandant un package pour résoudre un problème d’encodage, et en réponse, ils obtiennent plusieurs recommandations de package, y compris certains qui ne sont pas publiés dans des référentiels légitimes. Les attaquants remplacent ensuite ces packages inexistants par leurs propres packages malveillants, incitant ainsi les utilisateurs futurs à faire confiance aux recommandations de ChatGPT.
Atténuation des risques et meilleures pratiques
La détection des packages malveillants issus de l’IA peut être difficile car les attaquants utilisent des techniques d’obscurcissement et créent des packages de chevaux de Troie fonctionnels. Cependant, il existe des mesures que les développeurs peuvent prendre pour atténuer les risques. Tout d’abord, il est essentiel d’examiner attentivement les bibliothèques proposées par ChatGPT, en tenant compte de facteurs tels que la date de création, le nombre de téléchargements, les commentaires et les notes jointes. Une certaine prudence et un certain scepticisme à l’égard des packages suspects sont également importants pour assurer la sécurité des logiciels.
Les opportunités de l’IA générative et les risques associés
L’intelligence artificielle (IA), en particulier l’IA générative, représente une avancée majeure dans le domaine de la science et de la technologie. Elle offre des opportunités passionnantes dans de nombreux domaines, tels que la création de contenu, le design, la musique, la recherche médicale et bien d’autres. Cependant, cette avancée technologique soulève également des inquiétudes quant à son utilisation potentielle à des fins malveillantes.
L’IA générative est capable de créer du contenu de manière autonome, imitant et produisant des résultats indiscernables de ceux créés par des humains. Cela ouvre de nouvelles perspectives créatives et permet des avancées significatives dans de nombreux domaines. Cependant, cette même capacité peut être exploitée par des individus mal intentionnés pour des activités telles que la manipulation de l’opinion publique, la production de contrefaçons, la falsification de documents, voire la création de faux médias.
Il est donc impératif de sécuriser l’IA contre le vol, la falsification, la manipulation et autres attaques. Les chercheurs et les entreprises du secteur ont pris conscience de ces enjeux et travaillent activement pour développer des solutions de sécurité pour l’IA générative.
Le Secure AI Framework (SAIF) de Google pour la protection de l’IA
Le 8 juin 2023, Google a présenté le Secure AI Framework (SAIF), un cadre conceptuel conçu pour protéger les technologies d’IA contre les attaques malveillantes. SAIF s’appuie sur l’expérience de Google dans le développement de modèles de cybersécurité éprouvés, tels que le cadre collaboratif de niveaux de chaîne d’approvisionnement pour les artefacts logiciels (SLSA) et BeyondCorp, une architecture de confiance zéro.
SAIF repose sur six principes fondamentaux pour sécuriser l’IA générative
Étendre des bases de sécurité solides à l’écosystème de l’IA : Cela inclut l’utilisation de protections d’infrastructure par défaut, telles que les techniques de prévention des injections SQL, pour renforcer la sécurité des systèmes d’IA générative.
Développer la détection et la réponse : Il est essentiel de surveiller attentivement les entrées et les sorties des systèmes d’IA générative afin de détecter les anomalies potentielles. En utilisant les renseignements sur les menaces, il est possible de prévoir et de contrer les attaques.
Automatiser la protection : Face aux menaces existantes et émergentes, l’automatisation joue un rôle crucial pour garantir la sécurité de l’IA générative. En automatisant les processus de protection, il est possible de réagir rapidement aux attaques.
Harmoniser les contrôles au niveau de la plateforme : Pour assurer une sécurité cohérente dans toute l’organisation, il est nécessaire de mettre en place des contrôles de sécurité standardisés au niveau de la plateforme.
Adapter les contrôles : Il est important d’ajuster les mesures d’atténuation pour sécuriser l’IA générative. Cela comprend l’utilisation de techniques telles que l’apprentissage par renforcement basé sur les incidents et les commentaires des utilisateurs, la mise à jour des ensembles de données de formation, le réglage des modèles pour une réponse stratégique aux attaques et l’utilisation de commandes de drapeaux rouges.
Contextualiser les risques des systèmes d’IA : Il est essentiel de comprendre les risques associés aux systèmes d’IA générative dans le contexte des processus métier environnants. Cela nécessite des évaluations complètes des risques pour déterminer comment les organisations utiliseront l’IA de manière sécurisée. Google s’est engagé à publier plusieurs outils open source pour aider à mettre en œuvre les éléments du SAIF et renforcer la sécurité de l’IA générative. De plus, la société étendra ses programmes de recherche de bogues pour encourager la communauté à contribuer à la sécurité et à la fiabilité de l’IA.
Une étude affiche une inquiétante mauvaise habitude dans la revente de matériel informatique. 22% des routeurs de seconde main affichent encore des données sur les clients !
Une étude présentée ce 24 avril 2023 affiche des chiffres qui laissent perplexe sur la compréhension de certains utilisateurs professionnels de matériels informatiques. Le laboratoire ESET Research découvre que les routeurs d’occasion détiennent de nombreux secrets d’entreprises. Plus de 56 % des routeurs réseaux achetés à des fournisseurs de matériel d’occasion contenaient un trésor de données sensibles, notamment des identifiants, des configurations VPN, des clés cryptographiques, etc. Entre de mauvaises mains, ces données suffisent pour débuter une cyberattaque pouvant conduire à une atteinte à la sécurité des données, mettant en danger l’entreprise, ses partenaires et ses clients.
Cette étude montre que les entreprises ne suivent pas des protocoles de sécurité suffisant lors de la mise au rebut de leur matériel. Après avoir examiné les données de configuration de 16 appareils distincts, 9 routeurs contenaient encore des données d’entreprise sensibles.
Des données clients toujours présentes
22 % contenaient des données sur les clients ; 33 % exposaient des données permettant à des tiers de se connecter au réseau ; 44 % disposaient d’identifiants pour se connecter à d’autres réseaux en tant que tiers de confiance ; 89 % contenaient des détails de connexion pour des applications spécifiques ; 89 % contenaient des clés d’authentification de routeur à routeur ; 100 % contenaient un ou plusieurs identifiants de VPN ou IPsec, ou des hash de mots de passe root ; 100 % disposaient de données suffisantes pour identifier l’ancien propriétaire/exploitant avec certitude.
Les données découvertes sur les équipements entrent dans ces catégories : informations de tiers de confiance ; Données sur les clients ; Données d’applications spécifiques ; Informations complètes sur le routage central ou encore données d’usurpation d’opérateurs de confiance.
Nous pourrions attendre à ce que les entreprises de taille moyenne et les grandes entreprises disposent d’un ensemble de protocoles de sécurité stricts pour mettre les appareils hors service « mais nous avons constaté le contraire » confirme ESET. Les organisations doivent être beaucoup plus conscientes de ce qui reste sur les appareils qu’elles mettent hors service « Les appareils d’occasion que nous avons obtenus contenaient un schéma numérique détaillé de l’entreprise concernée, notamment des informations réseau essentielles, des données d’applications, des identifiants de l’entreprise et des informations sur les partenaires, les fournisseurs et les clients.«
Le géant des télécommunications AT&T a informé environ 9 millions de clients que certaines de leurs données avaient été exposées en raison du piratage d’un fournisseur de marketing tiers en janvier 2023.
Le blog ZATAZ, référence mondiale dans les actualités liées au cybercrime, révélait, en janvier 2023 et février 2023, le cas de plusieurs fuites de données impactant des géants des télécom US. Dans le lot, Verizon et A&T.
Des représentants de la société américaine AT&T ont déclaré que l’ensemble de données divulgué datait de plusieurs années et était associé au droit de mettre à niveau les appareils. La société a souligné que la fuite n’affectait pas les propres systèmes d’AT&T.
C’est un fournisseur tiers, qui n’a pas été nommé, qui serait responsable de cette fuite d’informations impactant « d’environ 9 millions de comptes […] Un fournisseur que nous utilisons à des fins de marketing a subi un incident de sécurité. Les informations réseau appartenant aux clients ont été divulguées, telles que le nombre de lignes associées à un compte ou les détails du forfait de données sans fil. Les informations n’incluaient pas les informations de carte de crédit, les numéros de sécurité sociale, les mots de passe de compte ou d’autres informations sensibles« , a déclaré AT&T.
Des chercheurs identifient un nouveau logiciel malveillant de récupération de données du nom de SwiftSlicer capable de détruire Windows.
Voilà un code malveillant dès plus déplaisant. Son nom, SwiftSlicer. On peut traduire cette chose par « trancheur rapide ». Sa mission malveillante et d’écraser les fichiers importants utilisés par le système d’exploitation Windows.
SwiftSlicer utilise la stratégie de groupe Active Directory qui permet aux administrateurs de domaine d’exécuter des scripts et des commandes sur tous les appareils d’un réseau Windows.
Ce virus a été déployé pour supprimer (ou écraser) les fichiers critiques dans le répertoire système de Windows, en particulier les pilotes et la base de données Active Directory.
SwiftSlicer écrase les données en utilisant des blocs de 4096 octets remplis d’octets générés aléatoirement. Une fois le code de destruction des données terminé, le logiciel malveillant redémarre et remet les systèmes à zéro.
Une vulnérabilité vieille de 15 ans dans le langage Python refait surface et risque d’affecter plus de 350 000 projets open source.
Une vieille faille dans un langage très couru, voilà qui n’arrange pas les affaires des codeurs et concepteurs de projets sous Python.
Un récent rapport de Trellix détaillant la présence d’une vulnérabilité de traversée de répertoire non corrigée vieille de 15 ans (CVE-2007-4559) dans le module tarfile de Python, une bibliothèque utilisée pour lire et écrire des fichiers archivés sur bande (tar), expose potentiellement plus de 350 000 dépôts open source qui l’utilisent dans leurs projets.
Cette situation rappelle les défis que pose l’intégration de code source ouvert dans les projets logiciels, en particulier ceux utilisés dans les environnements d’entreprise. « Alors que les retombées de la découverte de Log4Shell dans la bibliothèque Log4j remontent à près d’un an, les chercheurs continuent d’identifier des faiblesses dans la chaîne d’approvisionnement, ce qui souligne le besoin continu de ressources supplémentaires pour aider à identifier et à traiter les vulnérabilités dans certaines des bibliothèques et des logiciels les plus courants utilisés aujourd’hui par les organisations. » indique Satnam Narang, Senior Staff Research Engineer chez Tenable.
Des initiatives telles que les niveaux de la chaîne d’approvisionnement pour les artefacts logiciels (SLSA) et l’inventaire logiciels (SBOM), ainsi que des projets tels qu’Alpha-Omega sous l’égide de l’Open Source Security Foundation, sont conçus pour combler le fossé de la sécurité au sein de la communauté open source, car de nombreux développeurs sont souvent des contributeurs non rémunérés qui donnent de leur temps.
Il n’existe pas de solution unique pour résoudre le problème de la sécurité de la chaîne d’approvisionnement des logiciels, mais les propositions ci-dessus offrent la possibilité de contribuer à faire une différence significative.
Des rapports comme celui-ci ne seront certainement pas les derniers, c’est pourquoi la poursuite des initiatives est cruciale.
L’association des développeurs de produits high-tech russe s’inquiète d’une probable fin d’utilisation d’Android et iOS Apple en Russie.
La présidente de l’Association des développeurs de produits logiciels nationaux, Natalya Kasperskaya, vient de lancer une alerte qui fait résonnance pour les anciens consommateurs de produits Huawei, interdits par l’Oncle Sam.
Natalya s’inquiète des risques de déconnexion de tous les smartphones en Fédération de Russie sous Android et iOS (Apple).
De son côté, l’éditeur Russe de solutions de cybersécurité Kaspersky est convaincu que la probabilité d’un tel scénario doit être évaluée comme une cybermenace. Comme alternative aux smartphones, Kaspersky a suggéré d’utiliser un ordinateur portable, un téléphone d’ancienne génération (avec bouton à la NOKIA) ou, dans les cas extrêmes, le courrier ordinaire.
Microsoft bloque désormais les macros VBA par défaut dans les applications Office.
Les macros sont un vecteur d’infection populaire depuis des décennies. Elles ont été utilisées par les menaces décrites dans le rapport sur les menaces du deuxième trimestre 2022, notamment les chevaux de Troie d’accès à distance comme Nerbian RAT, un nouveau RAT écrit en Go apparu au deuxième trimestre 2022, et par le groupe APT Confucius pour déposer d’autres logiciels malveillants sur les ordinateurs des victimes.
Nous avons déjà remarqué que les acteurs de la menace commencent à préparer des vecteurs d’infection alternatifs, maintenant que les macros sont bloquées par défaut. Par exemple, IcedID et Emotet ont déjà commencé à utiliser des fichiers LNK, des images ISO ou IMG, et d’autres astuces supportées par la plateforme Windows comme alternative aux maldocs pour diffuser leurs campagnes.
Microsoft était revenue sur ce blocage à la suite d’une série de gens pas contents. Début août, retour du blocage, définitivement.
L’entreprise F-Secure, nouvellement baptisée WithSecure, renforce les solutions cybersécurité à destination des entreprises hexagonales. Rencontre avec Benoit Meulin, consultant. Depuis maintenant 2 années chez WithSecure, après de nombreuses années passées dans la cyber, il a en charge du portfolio de la BU Solution créé, cette année, par le spécialiste des solutions de protection numérique.
Les besoins pour protéger les entreprises se sont accentués ?
Ces besoins sont en constante évolution et la pression ne cesse d’augmenter sur les entreprises. L’accélération est très importante. Nous avons fait le choix de mettre en place une organisation spécifique afin de suivre cette accélération et toujours mieux protéger nos clients.
WithSecure propose de nouveaux services. Pouvez-vous nous les présenter ?
Nous disposions d’une offre de Managed Detection & Response (MDR) bien implantée en France qui s’appelle COUNTERCEPT. Nous avons décidé de soutenir cette offre de protection par une offre de gestion de la surface d’attaque (EASM : Enterprise Attack Surface Management) qui permet aux clients de mieux appréhender et maîtriser leur surface d’attaque externe et donc de la réduire. Nous proposons également dans le prolongement de ces offres des accompagnements à la préparation des incidents cyber ainsi que des services d’Incident Response.
Quelles seraient les priorités à mettre en place, pour une entreprise souhaitant prendre à bras-le-corps sa cybersécurité ?
Il me semble que la première marche à passer est celle du choix d’un partenaire pour accompagner ce gain en maturité. Commencer par la mise en place d’un MDR permet d’acheter du temps et de la sérénité pour démarrer des chantiers plus structurant autour des aspects de gouvernance et gestion de risque, qui sont les piliers d’une démarche efficace et qui permet à terme de faire les bons choix stratégiques. Je le dis souvent mais mon client idéal est celui qui trois années après avoir souscrit à notre offre MDR nous dit qu’il n’a plus besoin de nous car il est à un niveau de maturité suffisant pour assurer sa propre défense.
Que faut-il craindre, demain, des pirates ?
Nous avons en face de nous une R&D motivée par des sujets aussi bien géopolitiques que financiers. Ces innovations couvrent bien des domaines, de la technique à la stratégie. Nous avons vu évoluer les approches des cybercriminels pour augmenter leurs chances de gain financier lors des attaques, par de la méthode et de la technologie : voler de la donnée (commerciale, R&D etc…) avant de la rendre inaccessible et demander une rançon par exemple. Les supports disponibles pour attaquer une organisation sont de plus en plus nombreux (applications, mobiles, cloud etc…) et une fois de plus, la créativité des attaquants ne doit en aucun cas être sous-estimée. Nous monitorons les évolutions des attaques constamment pour être au plus près de la menace.
Bref, être pro actifs devient indispensable, que ce soit à l’extérieur, mais aussi et surtout à l’intérieur de l’entreprise ?
Je ne serais pas de ces gens qui disent que la faiblesse est entre la chaise et le clavier. L’intérieur de l’entreprise est un des rideaux de défense qui doit être pris en compte, aussi bien au niveau des postes des utilisateurs que des utilisateurs eux-mêmes. Cela passe par des couches de protections technologiques comme par des mesures de sensibilisation et de formation des collaborateurs. Que l’attaquant soit interne ou externe, il finira par essayer de se faire passer pour quelqu’un de légitime sur le réseau et il faudra s’assurer qu’on l’attrape à ce moment là.
Les attaques par hameçonnage vocal (vishing ou voice phishing) auraient augmenté de près de 550 % au cours des douze derniers mois, selon le dernier rapport trimestriel sur les tendances en matière de menaces. Une hausse peu étonnante à la vue des méthodes pirates mises en place pour passer outre la double authentification.
Au cours du premier trimestre 2022, les sociétés Agara/Phishlabs ont détecté des centaines de milliers d’attaques phishing en provenance des réseaux sociaux, messageries électroniques ciblant un large éventail d’entreprises et de marques. Ce rapport analyse les principales tendances du paysage des menaces actuel.
Les attaques par vishing dépassent la compromission des e-mails
Depuis le troisième trimestre 2021, les attaques par vishing ont dépassé la compromission des e-mails professionnels, se positionnant comme deuxième source de menaces pesant sur les systèmes de messagerie électronique. À la fin de l’année, ces dernières représentaient plus d’une menace sur quatre, et cette tendance s’est poursuivie au premier trimestre 2022.
« Les campagnes de vishing hybride continuent de générer des chiffres stupéfiants, puisqu’elles constituent 26,1 % du volume total des attaques enregistrées jusqu’à présent en 2022 », indique John LaCour, de chez HelpSystems. « On assiste à une multiplication des acteurs de la menace qui délaissent les campagnes de phishing vocal standards pour lancer des attaques par e-mail malveillant en plusieurs étapes. Au cours de ces attaques, les hackers se servent d’un numéro de rappel inséré dans le corps de l’e-mail comme appât, puis s’appuient sur l’ingénierie sociale et l’usurpation d’identité pour inciter la victime à appeler et à interagir avec un faux représentant. »
Un chiffre qui pourrait étonner, mais qui pourtant montre l’évolution des pirates. Le blog ZATAZ, référence en matière des actualités liées à la lutte contre le cybercrime, révélait en 2021, une méthode pirate baptisée la méthode du « ALLO » qui consiste à appeler les victimes, par téléphone, pour leur soutirer les informations que les pirates informatiques ne possèdent pas déjà !
Autres enseignements de ce rapport
Les attaques par usurpation d’identité sur les réseaux sociaux sont en hausse. Depuis le deuxième trimestre 2021, le volume des usurpations d’identité ciblant les marques a bondi de 339 % et celui des usurpations d’identité de dirigeants de 273 %. D’après les résultats, les marques constituent des cibles faciles pour les cyber criminels, surtout lorsqu’elles sont associées à des opérations de contrefaçon de produits vendus au détail. Cependant, pour certaines attaques ciblées, des comptes sociaux de dirigeants sont utilisés pour renforcer le réalisme.
Les escroqueries par e-mail dont l’objectif est le vol d’identifiants restent le type de menaces par messagerie électronique le plus courant signalé par les collaborateurs, à hauteur de près de 59 % de tous les typologies de menaces rencontrées. Les vols d’identités ont augmenté de 6,9 % en volume par rapport au quatrième trimestre 2021.
Le paysage des malware est en constante évolution
Qbot a été une fois de plus le malware le plus usité par les acteurs de la menace pour servir leurs attaques par ransomware, mais Emotet a refait surface au premier trimestre prenant la première place du podium.
Alors que près de la moitié des sites d’hameçonnage s’appuient sur un outil ou un service gratuit, le premier trimestre 2022 a été le premier de cinq trimestres consécutifs où les services payants ou compromis (52 %) ont dépassé les solutions gratuites pour les mises en scène des sites de phishing.
« Comme la diversité des canaux numériques utilisés par les entreprises pour conduire leurs activités et communiquer avec les consommateurs se développe, les hackers disposent de multiples vecteurs pour conduire leurs exactions », ajoute John LaCour. « La plupart des attaques ne démarrent pas de zéro ; elles reposent sur la refonte de tactiques traditionnelles et l’intégration de multiples plateformes. Pour continuer à se protéger, les entreprises ne doivent plus uniquement se concentrer sur une protection périmétrique mais augmenter leur visibilité sur différents canaux externes, afin de recueillir des renseignements et de surveiller les menaces de manière proactive.En outre, les équipes de sécurité doivent investir dans des partenariats qui garantiront la prévention rapide et complète des attaques avant qu’elles n’entraînent des préjudices financiers et des atteintes à la réputation. »
Pirates, services DDoS-for-Hire et autres armées de botnets de classe serveur ont facilité le lancement d’attaques de plus en plus sophistiquées. Plus de 9 millions de cyberattaques de type DDoS en 2021 !
La nouvelle étude semestrielle Threat Intelligence Report de la société Netscout affiche une année 2021 très « hard » du côté de la cyber. Au cours du second semestre 2021, les cybercriminels ont lancé environ 4,4 millions d’attaques par déni de service distribué (DDoS), portant à 9,75 millions le nombre total d’attaques de ce type effectuées au cours de l’année. Bien qu’en baisse de 3 % par rapport au record établi au plus fort de la crise sanitaire, ces attaques se poursuivent à un rythme supérieur à 14 % aux niveaux pré pandémiques.
Le second semestre 2021 a été marqué par la mise en place d’armées de botnets de très grande puissance et par un rééquilibrage entre les attaques volumétriques et les attaques par voie directe sans usurpation ; créant des procédures opérationnelles plus sophistiquées pour les attaquants, qui ont pu ajouter de nouvelles tactiques, techniques et méthodes à leur arsenal.
« S’il est tentant de considérer la baisse du nombre total d’attaques comme un recul de l’activité des cybercriminels, nous avons constaté une activité sensiblement plus importante par rapport aux niveaux antérieurs à la pandémie, a déclaré Richard Hummel, responsable des renseignements sur les menaces de NETSCOUT. En réalité, les attaquants innovent et utilisent en permanence de nouvelles techniques, telles que les botnets de type serveur, les services DDoS-for-Hire et le lancement accru d’attaques par voie directe, qui contribuent à la transformation permanente du paysage des menaces. »
Hausse des extorsions DDoS et des ransomwares — Trois campagnes DDoS de grande ampleur ont eu lieu simultanément, établissant un nouveau record. Des gangs de ransomware, parmi lesquels Avaddon, REvil, BlackCat, AvosLocker et Suncrypt, ont été identifiés alors qu’ils utilisaient le DDoS pour extorquer leurs victimes. Forts de ce succès, certains groupes de ransomwares exploitent des opérateurs d’extorsion DDoS se faisant passer pour des affiliés — c’est le cas par exemple d’une campagne d’extorsion DDoS signée par REvil.
Les services Voix sur IP, à leur tour victimes d’extorsions DDoS — Des campagnes d’extorsion DDoS ont été menées à travers le monde par un imitateur de REvil contre plusieurs prestataires de services de téléphonie sur Internet (VoIP). L’un d’eux a fait état d’une perte de comprise entre 9 et 12 millions de dollars à cause des attaques DDoS.
Les services DDoS-for-Hire simplifient le processus d’attaque — NETSCOUT a examiné 19 services DDoS-for-Hire, ainsi que les moyens qu’ils utilisent pour éliminer les exigences techniques et le coût de lancement d’offensives DDoS de grande envergure. Ensemble, ils proposent plus de 200 types d’attaques.
Les attaques ont progressé de 7 % dans la région APAC, mais reculé dans les autres régions — Dans un contexte géopolitique tendu en Chine, à Hong Kong et à Taïwan, la région APAC a connu la plus forte augmentation du nombre d’attaques en variation annuelle par rapport aux autres régions du monde.
Les armées de botnets de classe serveur débarquent — Les cybercriminels ont non seulement augmenté le nombre de botnets connectés à l’Internet des objets (IoT), mais également enrôlé des serveurs de très forte puissance et des périphériques connectés de grande capacité, avec notamment les botnets GitMirai, Mēris et Dvinis.
Les attaques par voie directe gagnent en popularité — Les groupes de hackers ont submergé les entreprises par leurs attaques DDoS de type TCP Flood et UDP Flood, également connues sous le nom d’attaques par voie directe ou sans usurpation. Parallèlement, le recul de certaines attaques par amplification a fait baisser le nombre total d’agressions.
Les pirates ciblent principalement certaines activités — Les secteurs les plus touchés sont les éditeurs de logiciels (hausse de 606 %), les agences et courtiers d’assurance (+257 %), les fabricants d’ordinateurs (+162 %) et les collèges, universités et établissements d’enseignement professionnel (+102 %).
L’attaque DDoS la plus rapide en hausse de 107 % par rapport à l’année précédente — Regroupant les vecteurs DNS, d’amplification DNS, ICMP, TCP, ACK, TCP RST et TCP SYN, l’attaque multi vectorielle lancée contre une cible russe a atteint le débit de 453 millions de paquets par seconde (Mpps).
Vouloir accéder à ses données sauvegardées dans un cloud, partout dans le monde, est devenu une obligation pour les utilisateurs du numérique que nous sommes. Mais au fait, qu’est qu’un cloud sécurité ? Explication !
Pour comprendre l’importance d’un tel outil, nous sommes allés voir du côté de la société Pyxya. Cette entreprise est basée à Lyon. Elle s’est spécialisée dans des solutions fortes de WAN Hybride. L’intérêt d’allier cloud et sécurité apparait ici évident.
D’abord, l’aspect pratique. Allier cloud sécurité permet de mettre en relation, deux réseaux (WAN) géographiquement séparés.
Le trafic est acheminé par deux types de connexions distinctes. La première connexion passe par le classique Multiprotocol Label Switching. La seconde, par Internet. Le MPLS rend plus souple et rapide le routage, la communication et le transfert de vos données. Bref, indispensable pour l’interconnexion entre datacenters et succursales.
La force de la solution repérée chez Pyxya, permettre une totale sécurisation des données échangées car évoluant au cœur d’un réseau privé, en dehors d’une infrastructure publique, donc par nature ouverte comme Internet. pyxya, dans sa solution, propose une seconde connexion à large bande et via VPN.
Comme le rappel Pyxya, Le WAN hybride contribue aussi à la cloud sécurité. Parmi les avantages, en plus d’une amélioration de la gestion du trafic et la surveillance du trafic qui se trouve améliorée. Une sécurité optimisée qui peut-être renforcée par un SD-WAN hybride (en complément d’un réseau SD-WAN) et « profiter des avantages des deux solutions pour disposer d’un accès cloud sécurisé. » confirme l’entreprise lyonnaise. Une sécurisation des communications indispensable en cette période ou le télétravail a pris un essor exponentiel, et que l’accès à distance aux données de l’entreprise n’est plus une option.
La plateforme cryptographique Wormhole qui permet d’envoyer des cryptos vers d’autres blockchains se voit voler 326 millions de dollars.
Un pirate informatique a trouvé un exploit qui lui a permis de libérer 120 000 ETH sans aucun investissement.
La plateforme a déjà offert au hacker une prime de 10 millions de dollars. Il semble que s’il accepte l’offre, il s’agirait d’un versement de prime record dans l’histoire.
En utilisant l’exploit, le pirate a volé 120 000 jetons Ether enveloppés sur la blockchain Solana. Sur ces 120 000 jetons, il en a converti 80 000 en Ethereum et laissé le reste sur la blockchain Solana.
Le pirate n’a pas encore répondu à la proposition de la société. La société d’analyse de blockchain Elliptic lui offre une prime de 10 millions de dollars dans le cadre d’un « accord whitehat ».
Mais vu qu’il a déjà récupéré une partie de la somme, et vendue le reste, 10 millions de dollars ne semblent pas l’intéresser ! (voir ici, là et encore ici)
L’attaque Wormhole est désormais la deuxième plus grande cyberattaque contre les services DeFi, la plus importante a visé au mois d’août 2021 Poly Network, avec plus de 600 millions de dollars.
Le Centre Canadien pour la cybersécurité s’inquiète d’une augmentation d’activités de cybermenace qui pourraient être parrainées par de pirates Russes.
Mais que recherchent les pirates informatiques Russes sur le sol Canadiens ? Le froid ? Non, ils ont ! Les magnifiques étendues naturelles ? Non, ils ont aussi ! A première vue, selon le Centre Canadien pour la cybersécurité (L’ANSSI de nos cousins du Grand-Nord), ils loucheraient sur les infrastructures essentielles du Canada.
Parmi ces piratages, et ils ne sont pas que Russes à se pencher sur le Canada, infiltrer pour voler des données ; rançonner à coup de ransomware et réclamer une rançon ; jouer avec les cours de l’Energie en tentant de bloquer la production. « Le Centre canadien pour la cybersécurité(CCC) encourage la communauté canadienne de la cybersécurité, surtout les responsables de la défense des réseaux des IE, à prendre des mesures proactives de surveillance et d’atténuation sur les réseaux.«
Le CCC rappel aussi que se doter « d’un plan d’intervention en cas de cyber incident, d’un plan de continuité des activités et d’un plan de communication, et se préparer à les appliquer » ne doit plus être une option.
Parmi les dernières victimes repérées par Data Security Breach, la société Medical Pharmacies, un leader en matière de gestion des médicaments, de services pharmaceutiques spécialisés et de fourniture de matériel et d’équipement médicaux à l’industrie canadienne des soins de santé. Le groupe de pirates Snatch a volé pour plus de 100 GB d’informations internes et diffusé plus de 260 Mo.
Vous êtes nombreux à demander si Google et Google map étaient capable de suivre, à la trace, vos moindres faits et gestes. En voici une réponse, en image !
Des manifestations ont eu lieu aux États-Unis plus tôt cette année – des « supporters » de Trump en colère ont envahi le Capitole. Des activistes de la droite dure américaine voyant d’un mauvais œil la démocratie électorale mettre à la porte Donald Trump. Beaucoup de ces « révolutionnaires » sont encore en procès.
Selon les journalistes de WIRED qui ont étudié ces affaires de près quelques mois plus tôt, les données de géolocalisation de Google ont permis d’arrêter 45 personnes qui étaient apparemment impliquées dans les manifestations.
Où je veux en venir ? Voici de quoi il s’agit. L’autre jour, ils ont publié des documents sur l’un des défendeurs. Sur la carte ci-dessous, vous pouvez voir 57 points qui enregistrent les mouvements d’une personne dans le bâtiment.
Si vous vous êtes déjà demandé comment des données précises vous concernant peuvent être collectées par toutes ces applications qui demandent l’accès à la géolocalisation, vous voici avec la réponse.
Disposer d’une connexion internet est indispensable de nos jours. En effet, grâce à internet, il est possible de réaliser une multitude de taches du quotidien facilement. Et pour en avoir, la meilleure option est de disposer d’une box internet. Avec le développement de l’internet et la prolifération des hackers, il n’est pas rare de subir un piratage de votre box. Et lorsque cela arrive, dans le meilleur des cas, le pirate se contente d’utiliser votre connexion internet. Mais dans le pire des cas, il pourrait commettre des actes illégaux. Pour éviter cela, découvrez dans cet article comment vérifier que votre box internet est piraté.
Vérifier votre connexion internet
Vérifier votre connexion internet est la première étape si vous voulez découvrir si votre box a été piratée. Il est possible que pendant les jours de forts vents ou de pluie, la connexion puisse être affectée. Ce qui entraîne par moment une certaine lenteur de votre navigation par rapport aux autres jours. Cependant, vous devriez savoir que de manière générale, le Wifi fonctionne toujours correctement. Alors, si vous commencez par constater que votre connexion est plus lente que d’habitude, il pourrait s’agir d’une utilisation de votre réseau par quelqu’un d’autre. À cet effet, effectuez ce test de débit ici par exemple.
En dehors de la vitesse de votre connexion, vous pouvez également vérifier au niveau de la lumière de votre routeur destinée au Wifi (ou WLAN). Observez si elle clignote après que vous ayez éteint tous les appareils, y compris les smartphones. Si c’est le cas, cela indique clairement que quelqu’un utilise votre réseau.
Utiliser des outils en ligne
Il existe des outils en ligne et disponibles pour Windows, ainsi que Mac, qui peuvent vous permettre de détecter une présence inconnue sur votre réseau internet. Pour Microsoft Windows et Apple, vous avez le réseau wireless watcher et gestionnaire de réseau Microsoft. Pour mobiles Android, vous avez les dispositifs Fing, découverte du réseau et scan du réseau. Pour mobiles iOS, il s’agit également de Fing. À celui-ci s’ajoutent scanner du réseau IP et iNet.
Toutefois, il faut noter un défaut avec ces outils. Ils ne sont pas en mesure de détecter les ordinateurs qui sont connectés au réseau. Aussi, il n’y a aucune possibilité d’accéder à une liste d’autres adresses IP qui ont pu se connecter à votre réseau sans fil.
Consulter votre retour
Le retour est un dispositif qui dispose d’un dossier qui vous permettra de savoir si une autre personne que vous est connectée à votre réseau en ce moment. Pour ce faire, vous devez entrer dans l’interface de gestion de votre routeur. Ensuite, cliquez sur votre adresse IP dans la barre de navigation (sur le même routeur). Vous verrez une boîte s’ouvrir et vous y entrez le code : ipconfig/all. Après, cliquez sur « intro », et vous verrez une adresse apparaître dans la barre du navigateur. Copiez-la et l’interface de votre routeur s’ouvrira. Il vous demandera le nom d’utilisateur et un mot de passe. Ils sont disponibles dans le manuel de votre routeur ou sur l’autocollant.
Recherchez l’historique de votre dispositif relié au Wifi. Elle apparaît souvent dans la section DHCP. Ainsi, vous verrez toutes les adresses IP connectées à votre routeur.
Le Centre hospitalier Belge de la ville de Tournai impactée par une cyberattaque.
Le centre hospitalier Belge de Tournai, commune Belge à la frontière Franco-Belge, victime d’une attaque informatique qui a imposé à l’administration de l’entreprise de santé de stopper toutes ses opérations de soin non urgentes. Une cyberattaque qui ressemble à un ransomware, mais selon la communication interne, aucune demande de rançon n’aurait été réclamée.
80 des 300 serveurs informatiques du CH ont été impactés. Plus aucun accès aux données informatiques, imposant aux personnels de consulter les dossiers papiers. La communication indique aussi qu’aucun vol informatique n’a été constaté. Une centaine d’opérations a été annulée lundi. Etonnante cyberattaque ! L’intérêt des pirates ? Ne rien voler ? Ne pas demander d’argent ?
Voilà une action, mais ce n’est que mon expérience qui parle, que ce poker menteur risque de voir un perdant, les patients.
Un nouveau rapport sur les activités cybercriminelles liées aux logiciels malveillants et l’évolution des cybermenaces au cours du 2e trimestre 2020 affiche des chiffres qui ont de quoi inquiéter sur l’appétit grandissant des pirates informatiques.
Pendant cette période, une moyenne de 419 nouvelles menaces par minute et une augmentation de 11,5 % de nouveaux logiciels malveillants. Une importante prolifération d’attaques malveillantes utilisant des fichiers offices malveillant Donoff ont été observé, augmentant de ce fait le nombre d’attaques utilisant PowerShell de 117%. L’influence mondial du Covid-19 a incité les cybercriminels à adapter leurs campagnes pour attirer les victimes avec des thèmes liés à la pandémie et exploiter le contexte d’une main-d’œuvre travaillant à domicile.
« Le deuxième trimestre de 2020 a vu l’évolution continue de menaces innovantes utilisant PowerShell. Par ailleurs l’adaptation rapide des cybercriminels au contexte actuel a permis un ciblage des organisations par le biais des employés travaillant à distance, déclare Raj Samani, fellow et chief scientist chez McAfee. Ce qui ne représentait au début qu’une poignée de campagnes de phishing et d’applications malveillantes s’est rapidement transformé en un déluge d’URL piratés, d’attaques sur les utilisateurs de services cloud et d’acteurs malveillants capables de tirer parti de la soif mondiale d’informations sur le Covid-19 comme porte d’entrée dans les systèmes informatiques du monde entier ».
Chaque trimestre, la société de cybersécurité évalue l’état du paysage de la cybermenace sur la base de recherches approfondies, d’analyses d’enquêtes et de données sur les menaces. Ces renseignements sont recueillis par la plateforme cloud Global Threat Intelligence, à partir de plus d’un milliard de capteurs répartis sur plusieurs vecteurs de menace dans le monde.
Les campagnes cybercriminelles sur le thème du Covid-19
Après un 1er trimestre qui a vu le monde plonger dans la pandémie, le 2e trimestre a vu les entreprises continuer à s’adapter à un nombre sans précédent d’employés travaillant à domicile, avec les challenges de cybersécurité qui accompagnent cette nouvelle norme.
En réponse à cela, un Tableau de Bord des Menaces Covid-19 McAfee pour aider les RSSI et les équipes de sécurité à comprendre comment les acteurs malveillants utilisent des techniques de plus en plus sophistiquées pour cibler les entreprises, les gouvernements, les écoles et une main-d’œuvre qui doit faire face aux restrictions liées au Covid-19 et aux vulnérabilités potentielles de la sécurité des dispositifs à distance et de bande passante. Au cours du T2, une augmentation de 605 % des détections d’attaques liées au Covid-19 par rapport au T1.
Le malware Donoff
Les fichiers Donoff Microsoft Office agissent comme des « TrojanDownloaders » en utilisant le système de commande Windows pour lancer PowerShell et procéder au téléchargement et à l’exécution de fichiers malveillants. Donoff a joué un rôle essentiel dans l’augmentation de 689 % de codes PowerShell malveillant au premier trimestre 2020.
Au second trimestre, la croissance des logiciels malveillants liée à Donoff a ralenti mais demeure constante, entraînant une hausse de 117 % de code malveillants PowerShell et contribuant à une augmentation de 103 % de l’ensemble des nouveaux logiciels malveillants utilisant Microsoft Office. En 2019, le nombre total d’échantillons de malwares PowerShell a augmenté de 1 902 %.
Attaques sur les utilisateurs de services cloud
7,5 millions d’attaques externes sur les comptes d’utilisateurs cloud. Ce chiffre est basé sur l’agrégation et l’anonymisation des données d’utilisation du cloud de plus de 30 millions d’utilisateurs mondiaux au cours du T2 2020. Cet ensemble de données représente des entreprises de tous les grands secteurs d’activité mondiaux, notamment les services financiers, la santé, le secteur public, l’éducation, le commerce, la technologie, l’industrie, l’énergie, les services publics, le secteur juridique, l’immobilier, les transports et les services aux entreprises.
Paysage des menaces au 2e trimestre 2020
Les logiciels malveillants. 419 nouvelles menaces par minute au cours du T2 2020, soit une augmentation de près de 12 % par rapport au trimestre précédent. La croissance des rançongiciels est restée constante par rapport au T1 2020.
Les Coinminer malwares. Après avoir augmenté de 26 % au T1, les nouveaux logiciels malveillants faisaint du mining de cryptomonnaies ont augmenté de 25 % par rapport au trimestre précédent.
Les malwares mobiles. Après une augmentation de 71 % des nouveaux échantillons de malwares mobiles au T1, la tendance s’est ralentie de 15 % au T2, malgré une forte augmentation des logiciels publicitaires Android Mobby.
IoT. Les nouveaux logiciels malveillants IoT n’ont augmenté que de 7 % au cours du T2, mais le domaine a enregistré une activité importante des menaces Gafgyt et Mirai, qui ont toutes deux entraîné une croissance de 22 % des nouveaux logiciels malveillants Linux au cours de la période.
Vecteurs d’attaque. Dans l’ensemble, les logiciels malveillants sont en tête des vecteurs d’attaque signalés, représentant 35 % des incidents dévoilés publiquement au T2. Les détournements de comptes et les attaques ciblées ont représenté respectivement 17 % et 9 %.
Activité sectorielle. Les incidents divulgués détectés au cours du T2 2020 et visant le secteur scientifique et technologique ont augmenté de 91 % par rapport au trimestre précédent. Les incidents dans le secteur industriel ont augmenté de 10 %, mais les événements dans le secteur public ont diminué de 14 %.
Des centaines d’entreprises par le monde proposent d’héberger sites et applications web. Les États-Unis accaparent la moitié du business. Mais qu’en est-il de la sécurité de celui qui va vous héberger ? Voici les points primordiaux à contrôler avant de se lancer dans l’aventure.
Les propriétaires de site web vivent une vie secrète. Un webmaster marié vit avec une maîtresse qu’il ne peut ignorer, oublier, … Son hébergeur. Un hébergeur permet d’installer son site web, ses applications, … Un gros hangar qui, sur le papier, se charge uniquement de vous proposer de quoi installer vos informations. Mais comment choisir cet hébergeur ? Quelles sont les règles à mettre en place pour sécuriser son bien.
Avec un business pris en main par les Etats-Unis, 50,8% de part de marché liés à l’hébergement dans le monde (11,5 pour l’Allemagne ; 3,30% pour la France ; 2,5% pour le Canada), choisir son hébergeur doit d’abord prendre en compte plusieurs points, dont les diverses réglementations (États-Unis, France, Europe, …) : RGPD, California Consumer Privacy Act, … Prendre en compte cet élément n’est pas négligeable. Vous ne pourrez pas stocker, utiliser, les données fournies par vos visiteurs comme bon vous semble.
Vient ensuite les sécurités à vérifier avant même de parler hébergement. Quels sont les outils mis en place par l’hébergeur ? A-t-il un espace d’administration ? A-t-il une gestion de la double authentification pour vous y connecter ? Pouvez-vous recevoir une alerte (courriel, SMS, …) lors de la connexion à votre administration ? Pouvez-vous créer des sous-comptes sécurisés, avec la gestion des droits pour chaque utilisateur de votre administration ? Voilà quelques questions à se poser. Perdre l’accès à son administration d’hébergement à la suite d’un piratage, par exemple, c’est perdre votre espace numérique et son contenu. Les attaques sont multiples, allant de la recherche d’un mot de passe un peu trop faible ou facilement récupérable (OSINT, SE, …), hameçonnage, mots de passe retrouvés dans d’autres bases de données de sites piratés.
A noter que le phishing est un élément qui fait grand mal. Une méthode qui a permis de piéger des milliers d’entreprises (via des employés mal ou pas formés). La propagation mondiale de la COVID-19 a changé le paysage des menaces.
Votre hébergeur est-il « humain »
Aussi idiot que cela puisse paraître, votre hébergeur est-il « humain ». Par cela, comprenez : « êtes-vous capable de joindre un employé, le SAV, le Service Technique, … par téléphone, par mail, rapidement ?« . Bref, avoir un support 24/7 est obligatoire. « Indispensable confirmePlanetHoster. En cas de problème, vous êtes assuré d’avoir une assistance personnalisée selon vos besoins.«
Vient ensuite les règles internes à l’entreprise. A-t-elle une politique cyber sécurité ? Une assurance. Pour l’hébergeur cité plus haut, une « assurance erreur et omission » vous protège jusqu’à 2 000 000 $ par incident. Panne, piratage, … Ont-ils des partenariats sécurité, par exemple, avec des entreprises liées au chiffrement (LetsEnrypt, …), aux certificats SSL, … Point important, n’hésitez jamais à poser des questions : les équipes sont-elles formées aux nouvelles attaques ? Aucun doute que oui, mais montrer que vous avez une réflexion sur le cyber sécurité permet de ne pas être le cocu d’un mariage qui pourrait mal tourner.
Les pirates se sont attaqués ces dernières semaines à de nombreux hébergeurs, mettant à mal les clients et les données de ces derniers.
RGPD, California Consumer Privacy Act, Convention 108
Si le RGPD, le Règlement Général de la Protection des Données Personnelles, est entré dans toutes les têtes (ou presque), c’est oublier l’ensemble des autres règles dédiés à la sécurité des données personnelles. Nous vous parlions plus haut de l’importance de choisir son hébergeur en prenant compte sa localisation géographique.
Pour rappel, la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, connue également sous le nom de « Convention 108 », est le seul instrument international juridiquement contraignant dédié à la protection des données et de la vie privée qui soit ouvert à la signature de tous les pays du monde.
Adopté en 1981, ce traité a été mis à jour en 2018 par un protocole, pas encore entré en vigueur, qui garantit que ses principes de protection des données sont toujours adaptés aux outils et pratiques actuels et renforce son mécanisme de suivi.
À ce jour, 55 pays (Belgique, France, Irlande, Luxembourg, Ukraine, …) ont ratifié la « Convention 108 » et de nombreux autres pays du monde s’en sont inspirés comme modèle de leur nouvelle législation relative à la protection des données.
Parmi les nouveautés, les détections de ransomwares multipliées par sept au premier semestre 2020. En mai et juin, en moyenne 60% de tous les e-mails reçus étaient frauduleux. Les menaces sur le thème du coronavirus deviennent la nouvelle norme.
Le rapport révèle que la pandémie mondiale de coronavirus a provoqué un changement important dans le paysage des menaces, à la fois sur la façon dont les cybercriminels opèrent, mais aussi dans la manière dont ils perfectionnent leurs attaques. Au premier semestre 2020, ils ont exploité les problèmes liés à la crise Covid-19 pour semer la peur et la désinformation. Résultat : une augmentation des escroqueries, du phishing et des logiciels malveillants sur toutes les plates-formes.
En mai et juin, 60% en moyenne de tous les e-mails reçus étaient frauduleux, selon l’étude.
Qu’il s’agisse d’une escroquerie de phishing exploitant le coronavirus, d’une collecte de fonds ou d’une offre exceptionnelle à ne pas rater, les escrocs ont utilisé toutes les cartes du commerce pour tromper les victimes en leur soutirant des informations sensibles ou en installant des logiciels malveillants.
Les vecteurs d’attaque couramment utilisés pour compromettre et prendre le contrôle des réseaux domestiques ont profité de la panique provoquée par la pandémie. Les chercheurs de Bitdefender ont par exemple découvert une attaque de détournement de DNS sur une marque populaire de routeurs domestiques, utilisée par des attaquants pour rediriger les victimes vers des sites Web malveillants, des applications prometteuses proposant des informations sur l’épidémie.
Les développeurs de logiciels malveillants Android ont aussi surfé sur la vague de la pandémie en se ruant notamment sur l’application de visioconférence Zoom, utilisée pour travailler à domicile. Certains développeurs Android légitimes ont même modifié le contenu des pages Web des applications Google Play pour obtenir un meilleur classement, principalement pour les applications des catégories Santé et Forme ou Médical.
Les attaques contre les appareils IoT (Internet des objets) domestiques ont également augmenté. La télémétrie a observé une hausse de 46% d’incidents suspects signalés entre janvier et juin. Les menaces Windows courantes, les ransomwares, les logiciels malveillants sans fichier (fileless malware), les mineurs de cryptomonnaie, les Troyen bancaires et exploits, sont toujours en plein essor.
Alors que le nombre de rapports thématiques a depuis diminué, à commencer par une baisse de 10 % en mai par rapport au mois d’avril, il est peu probable que la tendance s’inverse au deuxième semestre. Les cybercriminels vont probablement, à nouveau, saisir l’occasion de créer des campagnes de fraude avec des produits de santé fictifs et même d’envoyer des spams thématiques promettant de nouveaux traitements ou remèdes.
Avec la recrudescence des attaques informatiques et face au volume des données à traiter pour une entreprise, la cybersécurité est un enjeu essentiel pour toutes les entreprises peu importe leurs tailles.
Les outils traditionnels de sécurité ne sont plus suffisants pour se protéger contre une cyberattaque. La mise en place d’un SOC est essentiel.
La société Toulousaine iTrust, spécialiste de la cyber sécurité et de la protection via un SOC propose de se pencher sur cet outil devenu indispensable dans l’arsenal en charge de lutte contre les malveillances informatiques, qu’elles soient internes ou externes à l’entreprise. Quel type de SOC mettre en place au sein de son entité ? Quels sont les critères d’efficacité d’un SOC ? Quelles sont les composants essentiels d’un SOC ? A découvrir dans le livre blanc dédié au soc.
Le jeudi 12 mars 2020, Emmanuel Macron s’est adressé à ses concitoyens dans le cadre des premières ripostes contre la contamination croissante au Covid19. Dans son discours, le Président français a, entre autres, suggéré le télétravail aux entreprises. Depuis le concept fait recette dans toute la France et même au-delà des frontières. Malgré le déconfinement, certains salariés continuent de travailler depuis leur domicile. Mais une telle option n’est pas sans risque, car les pirates pourraient infiltrer certaines données sensibles de l’entreprise. Pour éviter ces intrusions, entreprises et employés doivent prendre certaines précautions. Quelles sont-elles ?
Changez d’adresse IP
Le salarié a l’habitude d’utiliser son ordinateur pour se divertir ou pour faire des recherches. Lors de ses activités, il se pourrait qu’il se rende fréquemment sur des sites non sécurisés, ou se connecte sur des réseaux wifi publics. L’adresse IP de son appareil est donc certainement connue de ces pages et réseaux insuffisamment protégés. Dans cette situation, il est souhaitable que l’employé change l’identifiant de son ordinateur lorsqu’il se met au télétravail. Le guide d’Opportunités Digitales vous décrit les étapes d’une telle opération. Cette solution permet au salarié de travailler de façon anonyme, le but final étant de ne pas se faire tracer par d’éventuels pirates informatiques.
Sécurisez votre réseau privé
Logiquement, la mise en œuvre du télétravail a induit de nombreuses réformes dans les entreprises. Parmi elles, l’installation d’un réseau informatique exclusif à la structure. Par ce canal, les collaborateurs peuvent s’échanger les données depuis leur domicile. Conscients de la situation, les pirates investissent ces réseaux en quête d’informations importantes sur les sociétés. Ils s’en servent comme moyen de chantage auprès des dirigeants d’entreprises. Pour s’en prémunir, il est nécessaire de crypter toutes les informations qui transitent par le système informatique. Il est donc recommandé aux entreprises de mettre un VPN à disposition de chaque travailleur. Toutes les structures ne savent pourtant pas pourquoi utiliser un VPN en 2020. En réalité le Virtual Private Network (VPN) permet avant tout d’authentifier l’accès au réseau internet. L’entreprise peut également mieux contrôler le partage des données professionnelles par les collaborateurs.
Modifiez votre mot de passe
Les salariés avaient l’habitude d’accéder au réseau de l’entreprise via des codes secrets. À partir du moment où ils se sont mis à télétravailler, il leur est conseillé de modifier aussitôt les mots de passe, car les hackers sont à l’affût de la moindre information sensible. Et, comme aucun système sécuritaire informatique n’est entièrement fiable, les codes conventionnels tels que 12345 ou 00000 sont à proscrire. Les pirates informatiques les maîtrisent du bout des doigts. Il vaut mieux opter pour un mélange de caractères. Les codes secrets longs sont également recommandés. Tout ceci permettra d’augmenter le niveau de sécurité de votre passe d’accès.
Analysez et votre appareil
À défaut de s’attaquer directement au réseau de l’entreprise, les hackers s’en prennent aux salariés. Ils peuvent tenter de prendre le contrôle de leurs appareils via des courriels malveillants. C’est pourquoi tous les travailleurs doivent installer des antivirus sur leur ordinateur. Ce logiciel préviendra toute intrusion de programmes suspects. En plus de cette précaution, le salarié doit actualiser ses programmes. Une mise à jour automatique des applications est la solution idéale.
A l’heure de la crise Coronavirus, beaucoup d’entreprises françaises ont adopté le télétravail mais ne prennent-elles toutes en compte les risques de sécurité liés ? Comment les Français se comportent en comparaison des autres pays Européens ?
Une enquête mondiale examinant les conséquences en matière de sécurité de la généralisation du télétravail en raison de la pandémie du Covid-19 met à jour quelques chiffres intéressants. L’enquête, réalisée par le cabinet d’études OnePoll en avril 2020 auprès de 1 000 professionnels en télétravail respectivement en Allemagne, en France, au Royaume Uni, en Irlande et aux Etats Unis, révèle que ces pays n’ont clairement pas accordé la priorité aux mesures de sécurité et aux meilleures pratiques en matière de mots de passe avec la mise en place de ce nouveau mode travail.
5 Français sur 10 ne change pas de mot de passe
Globalement, près de 52% des Français interrogés n’ont jamais changé le mot de passe de leur ordinateur professionnel contre seulement 37% des Allemands, exposant ainsi toutes les données de leur entreprise à un risque d’intrusion. L’enquête révèle aussi des risques externes, 46% des personnes interrogées, tous pays confondus, admettent ne pas avoir changé leur mot de passe WiFi à leur domicile depuis plus d’un an, exposant ainsi leur ordinateur professionnel à un risque de sécurité, soit un chiffre déjà impressionnant mais pourtant moins élevé qu’en France, puisque les statistiques Françaises s’élèvent elles à plus de 50%.
La rapidité avec laquelle le travail à distance a dû être instauré au début de 2020 a laissé beaucoup d’entreprises vulnérables, particulièrement en raison de l’utilisation inappropriée d’ordinateurs professionnels. Globalement, la majorité des Français interrogés dans l’enquête, soit 73% d’entre eux, estiment que l’adoption du télétravail va s’accroître encore après la crise du Covid-19 malgré ces menaces contre 60% des Anglais et 67% des Allemands. Si cette tendance se poursuit, beaucoup d’entreprises seront ainsi potentiellement vulnérables sans même le savoir.
Des différences entre les pays
Un examen des pratiques en matière de sécurité des différents pays interrogés révèle des différences dans de nombreux domaines dont notamment le partage des mots de passe et l’importance des accès à des sites web à risque. Parmi ces différences entre pays, on peut citer :
Les sites à risque: Les Anglais sont plus sages que les autres pays européens de l’étude puisque près de 60% d’entre eux n’utilisent pas leur ordinateur professionnel sur des sites à risques tel que le streaming, Youtube, jeux en ligne ou sites pour adultes, contre 51% des Allemands et seulement 44% des Français.
Téléchargements sans autorisation : Les Français sont aussi les moins précautionneux en matière de téléchargement puisque 20% d’entre eux téléchargent des applications sur leur ordinateur professionnel sans l’approbation au préalable de leur entreprise contre seulement 10% des Anglais et 7% des Allemands
Authentification multi-facteurs : Du point de vue de l’authentification, les Français cette fois-ci sont plutôt bons élèves puisque près d’un Français sur 2 utilise un système d’authentification multi-facteurs, tout comme la moitié des Allemands mais seulement un tiers des Anglais.
Les habitudes de changements de mots de passe : A la réception d’un nouvel ordinateur professionnel contre près de 40% des Allemands ont pris le réflexe de changer leur mot de passe dans les 48h, contre 35% des Français et seulement 30% des Anglais.
Le virus ILOVEYOU vient de fêter ses 20 ans. Le microbe numérique avait infecté 10 % des ordinateurs connectés à travers le monde à une époque ou les gens pensaient que les cyber malveillances n’arrivaient qu’aux autres. I Love You se faisait passer pour une lettre d’amour.
Aujourd’hui, les logiciels malveillants peuvent se propager vite, beaucoup plus rapidement que le virus ILOVEYOU il y a 20 ans, mais la situation n’est plus la même : à l’époque, personne n’avait vu un fichier .vbs (script de visuel basique) utilisé à des fins malveillantes, ce qui a poussé de nombreuses personnes à cliquer dessus. En outre, du point de vue de l’infrastructure, les réseaux affectés à l’époque – dont ceux de gouvernements et d’entreprises – n’avaient rien de comparable à ceux d’aujourd’hui. Il avait donc suffi qu’un seul réseau soit compromis pour que tout s’effondre. Enfin, l’emails était le seul outil de communication numérique utilisé par les entreprises ; il n’y avait pas d’applications de chat destinées aux professionnels, comme Slack. Les entreprises victimes s’étaient donc retrouvées complètement isolées. Les fournisseurs d’antivirus avaient dû envoyer des instructions par fax à leurs clients désespérés, car ces derniers ne pouvaient plus recevoir d’emails et le trafic généré par le virus pour se répandre les obligeait à se déconnecter totalement. Aujourd’hui, il n’est plus étonnant de voir cliquer sur un PDF, un Word, un Excel sans même vérifier la source de diffusion.
Suite à ILOVEYOU, nous avions vu des vers se propager beaucoup plus rapidement sans interaction avec les utilisateurs, affectant des millions de personnes à travers le monde. Cependant, les réseaux sont restés solides lors de ces attaques, notamment contre Blaster.
Aujourd’hui, le risque est ailleurs. Il y a des milliards d’appareils connectés à Internet. Pour qu’un ″ver malveillant″ se propage largement et rapidement, les malwares exploitent désormais une vulnérabilité qui leur permet d’infecter et de se propager sans interaction avec l’utilisateur, de la même manière que Wannacry. Un ver tirant parti de multiples vulnérabilités de l’Internet des Objets (IoT), par exemple, pourrait provoquer une attaque mondiale, ciblant à la fois les particuliers et les entreprises.
Iloveyou… to
La clé pour empêcher toute attaque est la sécurité. Windows était très vulnérable dans le passé, mais est désormais beaucoup plus sûr. Néanmoins, des personnes malveillantes continueront de découvrir des vulnérabilités et des risques dans le système d’exploitation Windows et tenteront donc d’en tirer profit. En ce qui concerne les appareils IoT, la plupart sont au stade de Windows 95 en termes de sécurité. Cette dernière est rarement prise en compte lorsqu’ils sont conçus. Par conséquent, le logiciel des objets connectés, la transmission des données et la sécurité des ports sont tous vulnérables.
De plus, une attaque peut être déclenchée par un utilisateur qui ouvre simplement un email, ou clique sur un lien, par phishing. Nous avons vu des cas où l’ouverture d’un lien malveillant par un utilisateur a compromis le routeur du réseau. Cela pourrait ouvrir plus de portes dérobées au système de l’utilisateur ou rediriger les sessions de navigation vers des sites Web malveillants ; qui peuvent alors élargir les menaces, allant du ransomware aux voleurs de mots de passe, et rechercher plus de victimes potentielles sur Internet.
La motivation des attaques a considérablement changé au cours des deux dernières décennies. Le premier virus que j’ai rencontré était Michel-Ange en 1991, qui a écrasé les cent premiers secteurs d’un disque dur, rendant la machine incapable de démarrer. Alors qu’à l’époque les virus ressemblaient davantage à des concepts et à une source de fierté pour leurs auteurs, le paysage des menaces est aujourd’hui une machine à sous bien huilée, visant les entreprises avec des ransomwares et des services bancaires pour voler de l’argent, ainsi que des fake news pour soutenir la propagande, ou encore des cyberguerres parrainées par des États.
Les appareils connectés ont élargi significativement la surface d’attaque, prête à être utilisée à mauvais escient. Nous sommes maintenant connectés 24 heures sur 24, 7 jours sur 7, ce qui laisse ces appareils disponibles pour une attaque à tout moment. Ceci, combiné au nombre important d’appareils vulnérables dotés d’une faible sécurité, rend inévitable une attaque à grande échelle. Le chaos mondial commence toujours par une faille largement présente. Nous avons vu ces dernières années une explosion massive d’attaques menées au niveau du microprogramme (firmware) des objets connectés ou des ordinateurs, et sans interaction avec l’utilisateur ; comme VPNFilter ou encore LoJack, des attaques visant le firmware du moteur de gestion d’Intel. En effet, ces attaques restent généralement indétectables, car difficiles à identifier par les utilisateurs non avertis.
J’ajouterais également que la sensibilisation des utilisateurs aux menaces courantes, à quoi elles ressemblent et comment les gérer est essentielle pour empêcher les attaques ; de même que se tenir au courant des problèmes de sécurité et d’utiliser des solutions adéquates. L’industrie de la sécurité, bien sûr, est responsable de la protection des personnes en améliorant les mécanismes de détection des produits de sécurité, en fournissant diverses solutions et en sensibilisant les utilisateurs.
Cependant, il revient aussi à ces derniers de se renseigner sur la cybersécurité et d’appliquer les bonnes pratiques pour se protéger. Il est également particulièrement important qu’ils soient en mesure de prendre du recul et la bonne décision lorsqu’ils sont confrontés à une tentative d’arnaque par ingénierie sociale, susceptible de conduire à l’installation de malwares ou au vol d’informations sensibles.
Soucieuse de ses dossiers privés, chaque entreprise doit mettre en place un dispositif de sécurisation des données chiffrées. Cette mesure essentielle réduit les éventuels risques de perte, de vol et de cyberattaque informatique. Diverses solutions à la pointe de la technologie sont proposées au profit des entreprises, permettant ainsi une sécurisation optimale des dossiers importants. Zoom sur le sujet !
Adopter une stratégie de protection des données informatiques
Les données importantes d’une entreprise peuvent être exposées à divers dangers. Cela inclut les mauvaises manipulations, les virus, les cyberattaques et les sinistres (incendie, vol…). Dans tous les cas, les dossiers importants doivent être protégés afin d’éviter une utilisation malveillante des données.
Créer un mot de passe complexe
Supposons que votre entreprise traite des données chiffrées importantes sur un projet de grande envergure. Par exemple, imaginons que votre travail consiste à effectuer des devis et des factures au nom d’un ou de plusieurs clients importants. Pour mener à bien cette tâche, vous pouvez par exemple utiliser un logiciel de devis gratuit récupérable sur les plateformes en ligne spécialisées et qui traitera les données chiffrées confidentielles sur votre ordinateur professionnel.
Cependant, imaginez que votre ordinateur ne soit pas protégé par un mot de passe assez compliqué et que les données tombent entre les mains de personnes malveillantes ou d’une société rivale. Ce schéma n’est pas un cas isolé. La preuve, même les grandes sociétés peuvent être confrontées à ce genre de problème informatique. C’est pourquoi il est essentiel, voire impératif, de protéger chaque ordinateur de l’entreprise en créant des mots de passe complexes pour éviter le risque de piratage.
Installer des logiciels de protection efficaces
Les logiciels de protection doivent être une priorité pour les pôles maintenance et informatique de votre entreprise. L’idée est de choisir un outil de qualité et performant qui sera installé sur chaque ordinateur. Antivirus, antispyware, antimalware… Plusieurs alternatives s’offrent à vous.
Une chose est sûre : ces logiciels préserveront vos données (dont les factures et devis) des dangers externes que l’on peut rencontrer via internet ou les périphériques utilisés.
Contrôler l’utilisation du réseau
Vous avez le droit de contrôler l’usage du réseau internet de vos employés. En effet, il n’est pas rare que des entreprises limitent l’accès aux sites web à risque. Certaines interdisent même toute forme de téléchargement qui ne relève pas du domaine de travail de l’employé.
Ce contrôle du réseau s’avère particulièrement nécessaire si vous conservez des informations strictement confidentielles qui ne doivent en aucun cas être dévoilées.
Toutefois, les employés concernés par cette restriction doivent être informés de cette politique de contrôle du réseau, et ce, pour éviter les malentendus. N’hésitez pas non plus à sensibiliser votre personnel sur l’importance de la protection des données.
Mettre en place un système de contrôle physique des accès
Toutes les entrées et les sorties dans le local de la société doivent être contrôlées et enregistrées à l’aide d’un système de surveillance performant. Là encore, de multiples possibilités s’offrent à vous.
Investir dans la vidéosurveillance
Les systèmes de vidéosurveillance permettent d’enregistrer tous les mouvements ainsi que les va-et-vient au sein de la société. On peut aussi s’en servir pour identifier de manière efficace les tentatives de piratage et/ou de vol.
L’astuce est d’installer une caméra dans toutes les pièces importantes, surtout celles qui renferment les data. Ainsi, aucune personne ne sera à l’abri de la vidéosurveillance, de jour comme de nuit.
Noter les entrées et les sorties dans vos locaux
Votre entreprise emploie plus d’une cinquantaine de personnes ? Pour sécuriser au mieux vos données chiffrées, mieux vaut noter l’arrivée et la sortie de chacun de vos collaborateurs. Pour ce faire, utilisez une pointeuse. Notons que ce dispositif relève avant tout de l’organisation du personnel.
Aussi appelée badgeuse, la pointeuse se révèle très utile pour renforcer la sécurité des dossiers importants et des données chiffrées au sein de l’entreprise. En effet, à l’aide de ces badges biométriques, vous aurez un aperçu global et détaillé des mouvements de tous vos salariés.
Recourir aux services d’une agence de gardiennage
Toute société n’est jamais à l’abri des vols ainsi que des différentes tentatives d’effraction. Le seul moyen de ne pas être entièrement exposé est de prévenir cette situation à l’aide de différentes stratégies. Les services de gardiennage peuvent être nécessaires pour protéger les lieux et surtout le matériel. Ce service est particulièrement indispensable la nuit, voire juste après les heures de travail.
Créer un système de sauvegarde
Si l’on veut que l’entreprise prospère sur tous les plans, il est impératif de prévoir les meilleurs comme les pires scénarios. Afin d’avoir un contrôle complet sur les données émises par la société, il faut penser à un système de sauvegarde. Voici quelques exemples.
Le stockage des données sur un disque dur externe
Tous les fichiers lourds doivent être copiés et stockés sur un disque dur externe. Celui-ci ne doit être fourni à aucun tiers et sera conservé dans un lieu sûr, loin des regards des employés ou des partenaires/associés. Autrement dit, l’employeur sera le seul détenteur des matériels informatiques de sauvegarde. Vous aurez donc la lourde responsabilité de sécuriser les données importantes concernant votre entreprise et ses clients.
L’utilisation de clés USB
Les clés USB arborent le même principe de fonctionnement que les disques durs externes. La seule différence est qu’elles disposent de moins d’espace de stockage. En effet, si vous avez besoin de placer un dossier ou un fichier dans un lieu sûr, vous pouvez l’enregistrer sur votre clé USB.
Par contre, pour les données essentielles, qui sont assez volumineuses, il est conseillé d’utiliser un disque dur avec une capacité de stockage plus élevée.
Acheter un ordinateur dédié uniquement à la sauvegarde
Ce système est adopté par plusieurs entreprises travaillant sur des données chiffrées importantes et de grande taille. En effet, en investissant dans un ordinateur uniquement dédié à la sauvegarde, vous permettez un stockage plus étendu des informations.
Cette stratégie est de loin la plus efficace en termes de stockage de données. Toutefois, elle est soumise à certains prérequis. Par exemple, vous devez installer des dispositifs de protection très performants sur cet ordinateur. Il faudra aussi penser à un maximum de protection contre les crashs et les pannes.
Dans le secteur de la justice, les entreprises travaillent sur des affaires particulièrement délicates et importantes. Le risque que certains fichiers soient falsifiés est important car cela les rendrait inutilisables aux yeux de la loi. Les entreprises de l’industrie juridique doivent donc surveiller de près les dossiers sensibles ainsi que contrôler et limiter les accès.
C’est le cas de cette division d’un organisme gouvernemental d’application de la loi qui a décidé d’utiliser FileAudit afin de protéger ses fichiers et dossiers sensibles.
Découverte de cet outil qui permet de sécuriser certains éléments de votre informatique professionnel.
Les réseaux de diffusion de contenu, les Content Delivery Network (CDN) ont été conçus pour optimiser les performances en matière de distribution de contenus sur Internet et pour optimiser les coûts de bande passante pour celui qui produit ce contenu, afin de faire face à des demandes de plus en plus nombreuses, et à une volumétrie de données à fournir, en forte croissance. Nous entendons souvent l’argument que la protection contre les attaques DDoS fournie par un CDN est LA solution permettant de se protéger : Voyons sur quoi se base cet argument.
En simplifiant, un CDN est constitué d’un ensemble de serveurs interconnectés, largement distribués du point de vue géographique et mais aussi logique au sein du maillage de l’Internet. Le CDN utilise ces serveurs distribués pour cacher le contenu de leurs clients et le diffuser à leurs utilisateurs. Une utilisation astucieuse du routage permet de s’appuyer sur les « caches » les plus proches de chaque client, permettant une livraison plus rapide du contenu, et d’éviter ainsi de consommer des ressources – y compris la bande passante – du serveur d’origine hébergeant le contenu original.
Quand un client demande une première fois une ressource – une image ou une page web, le CDN doit chercher ce contenu auprès du serveur d’origine pour servir le client. Par contre, à partir de ce moment, la ressource reste « en cache », distribuée au sein du CDN, afin de servir toute nouvelle demande, par n’importe quel client, à partir de ces caches.
Les CDN cachent typiquement le contenu statique, qui ne change pas, comme justement les images d’un site web. Cependant, les CDN ne peuvent pas ou sont plus limités en leur capacité de cacher du contenu dynamique, comme les informations concernant les stocks et les commandes d’un site de vente.
Le contenu dynamique typiquement hébergé par le site d’origine. Le site d’origine sollicité, non pas par ses utilisateurs, mais par le CDN, d’une part pour du contenu statique pas encore caché et d’autre part pour le contenu dynamique, qui ne peut pas être caché.
CDN ET PROTECTION CONTRE LES ATTAQUES DDOS
De par sa nature, le CDN dispose des mécanismes qui peuvent être utiles en face d’attaques par déni de service distribuée. Par exemple, un CDN dispose souvent de ressources importantes en termes de capacité réseau et de serveurs, lui permettant souvent tout simplement d’absorber une quantité plus importante de requêtes que le serveur d’origine.
De plus, par les mêmes mécanismes de distribution et de routage qui lui permettent de distribuer la charge des utilisateurs, les attaques distribuées amenées à viser non plus une cible unique, mais une cible distribuée en fonction de la localisation de chaque source d’attaque.
« THE DEVIL IS IN THE DETAILS »
Par contre, malgré ces couches de protection utiles, le fonctionnement même d’un CDN peut ouvrir de nouveaux vecteurs d’attaque ou rendre la défense du serveur d’origine plus
difficile. Par exemple, si une attaque, faisant usage d’un botnet, sollicite un site web pour des ressources non-existantes, et donc non-cachées, cela peut amener le CDN à solliciter à son tour le serveur d’origine à répétition pour ces ressources et provoquer une condition de déni de service pour le serveur d’origine.
En plus, l’attaque vue par le serveur d’origine semble provenir du CDN lui même ! Dans cette situation, il peut être difficile au serveur d’origine de se protéger car le CDN est en même temps l’origine de l’attaque et des requêtes légitimes: Des approches simples s’appuyant sur le blacklisting des sources au niveau du serveur d’origine ne peuvent plus être utilisées dans ce cas.
D’autre part, il ne faut pas oublier que les protections fournies par le CDN ne couvrent que le contenu caché. Le serveur d’origine, ainsi que plus généralement, l’entreprise à qui le site appartient, aura probablement besoin d’une connectivité fonctionnelle. Au-delà du serveur d’origine qui doit pouvoir fournir le contenu non-caché et dynamique pour le CDN, le service aura peut-être besoin d’interagir avec d’autres sites, l’entreprise de pouvoir envoyer et réceptionner des emails, ses équipes d’accéder aux services de Voix sur IP ou de se connecter à Internet d’une manière générale pour accéder à des services cloud comme Google GSuite ou Microsoft Office 365.
Tout cela nécessite que des services on-site ou à minima l’accès Internet de l’entreprise, qui ne peuvent pas être protégés par un CDN, continuent à fonctionner.
Protections de type volumétriques
De plus, en fonction du CDN, les protections fournies limitées aux protections de type volumétriques, alors que des attaques applicatives plus sophistiquées risquent de traverser le CDN et d’atteindre le site d’origine. En somme, la situation est souvent bien plus complexe qu’imaginée au premier abord.
Premièrement, il est important de bien comprendre le fonctionnement, pas seulement de son site Internet, mais de son entreprise dans sa globalité et d’effectuer une analyse de risque pour identifier les différentes menaces. Ensuite, selon les risques impliquant la disponibilité et/ou la qualité de service des communications, des services réseau et/ou des applications, il peut être utile de s’appuyer sur des fonctionnalités de protection fournies par son CDN – potentiellement plus capables pour des grosses attaques volumétriques – ou utiliser des protections plutôt de type « On-Premise », potentiellement plus précises et capables pour des attaques applicatives.
Souvent une protection optimale implique une protection hybride, combinant la précision et rapidité d’une solution « On-Premise », avec des capacités volumétriques suffisamment élevés proposées par un fournisseur de service de mitigation.
Dans certains cas le CDN peut-être un composant adapté, dans d’autres vous aurez besoin d’une capacité de protection volumétrique importante capable aussi à protéger votre site local. (Par Jouni Viinikka, Directeur R&D chez 6cure ; Frédéric Coiffier, Ingénieur Développement Logiciel chez 6cure)
Depuis quelques années maintenant, le constat est sans appel : la cybercriminalité est en constante hausse. Si l’on entend souvent parler des attaques à l’encontre de grands groupes internationaux, les PME sont également exposées. Ces dernières sont même aujourd’hui des cibles de choix pour les cybercriminels. Il est donc devenu une véritable nécessité pour les PME de se protéger contre ces criminels informatiques. Mais quels sont donc les risques qui menacent les PME et quels sont les moyens disponibles pour s’en prémunir efficacement ? Découvrez des éléments de réponse dans cet article.
Le phishing et le spear-phishing
Également connu sous le nom de « hameçonnage », le phishing est une méthode utilisée par les cybercriminels pour extorquer des données confidentielles et sensibles, souvent des coordonnées bancaires. Le but étant dans la plupart des cas de récupérer une grosse somme d’argent. Pour ce faire, les pirates informatiques envoient des mails d’apparence officielle et fiable. Cependant, il arrive qu’ils fassent également apparaître des fenêtres pop-up.
Quant au spear-phishing, il s’agit d’un hameçonnage très ciblé. Les cybercriminels prennent le temps de créer des messages personnels et pertinents. Pour duper leurs cibles, ils usurpent une adresse électronique et falsifient la section « de » de l’e-mail. Ils peuvent également cloner des sites web.
Pour lutter contre ce type d’attaques, la prudence reste la meilleure solution. Demandez à l’ensemble de votre personnel de bien analyser tous les mails qu’ils reçoivent avant de les ouvrir pour détecter tout mail frauduleux. Si les mails contiennent des liens, déplacez le curseur sur les liens avant de cliquer dessus. Vous pourrez ainsi voir vers quelles pages ils mènent. Toutefois, vous pouvez également recourir aux services d’Oppens, le coach cybersécurité des entreprises, pour sensibiliser et tester vos salariés.
Le pharming
Dans le cadre d’un phishing et d’un spear-phishing, les mails sont utilisés comme appât. Cependant, il arrive que les cybercriminels n’utilisent pas d’appât. On parle dans ce cas de pharming, autrement dit d’hameçonnage sans appât. Ce sont alors des malwares — programmes malveillants (virus, vers informatiques, chevaux de Troie) — qui sont utilisés à la place des mails. Lorsque ces malwares sont installés sur un ordinateur de votre PME, ils vous redirigent vers un site cloné où les cybercriminels vous extorqueront vos données personnelles.
Pour lutter contre le pharming, il est vivement recommandé d’installer un antivirus efficace et de vérifier régulièrement le certificat de sécurité des pages. Vérifiez également que le site sur lequel vous être redirigé est sécurisé et pour limiter les risques, choisissez toujours un fournisseur d’accès internet de confiance et reconnu. Si vous suspectez la présence d’un malware, détectez-le et détruisez-le avec votre antivirus. N’effectuez aucune transaction bancaire en ligne. Si vous avez des doutes, contactez par téléphone votre banque et demandez à votre conseiller de procéder à la modification de vos codes et autres mots de passe.
L’ingénierie sociale
Dans le cadre d’une telle attaque, le cybercriminel use de ruses pour gagner la confiance d’une personne de votre entreprise afin de lui soutirer par la suite des données et des informations sensibles telles qu’un mot de passe ou l’identité d’une personne clé au sein de l’entreprise. Cette manœuvre peut aussi avoir pour objectif d’inciter la personne dupée à télécharger inconsciemment un malware ou à cliquer sur des liens infectés.
Il existe plusieurs formes de techniques d’ingénierie sociale mais les plus courantes sont :
Le spoofing c’est-à-dire l’usurpation d’identité d’un collaborateur. Le cybercriminel peut usurper l’identité d’un collaborateur ou d’un administrateur système pour récupérer des mots de passe et des identifiants. Il peut également se faire passer pour un dirigeant ou un cadre afin d’ordonner un virement frauduleux. On parle alors de fraude au président.
Le phishing, le spear-phishing et le pharming.
Pour limiter les risques de se faire piéger, il est important de sensibiliser tous vos collaborateurs à ces manœuvres et à toutes les pratiques dangereuses sur internet. Il faut également penser à mettre en place une politique de sécurité efficace pour bien sécuriser tous vos terminaux informatiques, surtout ceux qui sont mobiles car ils sont les plus vulnérables.
Le ransomware
Le ransomware est connu sous de nombreux noms en français : le rançongiciel, le logiciel rançonneur, logiciel de rançon ou encore logiciel d’extorsion. Comme son nom l’indique, il s’agit d’un logiciel malveillant qui prend en otage des données d’un ordinateur ou encore d’un serveur. Pour ce faire, le cybercriminel chiffre et bloque vos données, notamment celles qui vous sont utiles pour bien fonctionner. Il demande ensuite une rançon souvent élevée en échange d’une clé qui donne droit au déchiffrage et au déblocage de vos ressources informatiques.
Le mode de paiement préféré des pirates informatiques dans le cadre d’une telle attaque est la cryptomonnaie (monnaie virtuelle) pour éviter tout risque d’être tracés. Si vous ne payez pas la rançon exigée, il peut exposer et rendre vos données publiques ou les livrer à vos concurrents. Il peut également tout simplement les supprimer. Dans tous les cas, vous serez dans une situation très embarrassante. Il est souvent recommandé de ne pas payer. Gérer la crise n’est pas simple alors faites vous aider.
Les écoutes illicites
Certains cybercriminels recourent aux écoutes clandestines pour obtenir les mots de passe, les coordonnées bancaires et autres coordonnées confidentielles de votre entreprise. Pour ce faire, ils interceptent le trafic réseau. Ces écoutes peuvent être :
Passives : le pirate informatique procède au vol de données et d’informations en écoutant les transmissions de messages sur le réseau.
Actives : le pirate informatique usurpe l’identité d’une personne liée à l’entreprise et envoie des requêtes pour s’emparer des données et des informations de l’entreprise. On parle dans ce cas de sondage, sabotage ou encore de scan.
Pour lutter contre ces écoutes illicites, la meilleure solution reste à ce jour le chiffrement des données. Il faut également sensibiliser votre personnel, surtout les employés en télétravail, à n’envoyer des données sur le réseau que lorsque c’est vraiment indispensable.
Microservices, une technique de développement logiciel comme l’exprime Wikipedia. Sa mission, structurer une application comme un ensemble de services faiblement couplés. Les microservices indépendants communiquent les uns avec les autres en utilisant des API indépendantes du langage de programmation. Ce petit monde demande une véritable réflexion sécurité. Explication!
La société de cybersécurité Québécoise 8Brains vient de publier une réflexion sur la sécurité et les architectures microservices. L’avènement des Architectures Microservices requière une approche différente dans la mise en place des pratiques de sécurité.
Construire ce type d’Architecture ? Garder à l’esprit que la sécurité doit être adaptée à ces nouvelles règles.
Une Architecture Microservices n’a pas une équipe dédiée. Bilan, sa sécurité est multiple. Les équipes qui livrent le nouveau service se doit de se pencher sur la sécurité de son livrable.
Un aspect organisationnel souvent négligé « voir complètement oublié » indique Bruno Philippe, spécialiste des architectures de sécurité au sein de 8Brains.
D’abord, pour un Microservice donné, l’équipe en charge doit définir sa couche technique (Framework) : le(s) langage(s) utilisé(s), son dépôt de données, les mécanismes de déploiement, les mécanismes d’échanges avec les autres Microservices, etc.
Cette équipe doit donc se poser notamment les questions suivantes : Quelle taille doit faire notre Microservice ? Que doit contenir notre Microservice comme logiciels ? Pour un langage donné, quels sont les principes de développement sécurisés ? Pour un outil de déploiement donné, y-a-t-il des alertes de sécurité ? Si oui, sont-elles installées ? Quelles sont les autres Microservices qui échangent avec le nôtre ? Que devons-nous échanger ?
L’article complet, avec les réponses, à découvrir ici.
Une étude commanditée auprès de Forrester Consulting révèle une exposition croissante des acteurs industriels aux cybermenaces, une des conséquences de leur transformation digitale. Le manque de collaboration entre les équipes IT (Information Technology) et celles en charge de l’informatique industrielle (OT – Operational Technology) constitue également un frein à la cybersécurité des entreprises qui souhaitent tirer pleinement parti de la convergence IT/OT pour augmenter leur compétitivité.
Les industriels se sont engagés dans la transformation digitale de leur outil de production, pour doper leur productivité et améliorer leur capacité à recueillir des données liées à leur processus de production. 66% des personnes interrogées indiquent que leurs usines disposent de réseaux IP et qu’elles utilisent des données en temps-réel dans le cadre de leur prise de décision. Cependant, ces réseaux IP génèrent de nouveaux risques de cybersécurité et une expansion de la surface d’attaque, comme le reconnaissent 73% des répondants. Dans le même temps, seule la moitié des répondants estime que leur outil de production est suffisamment préparé pour lutter efficacement contre les menaces de cybersécurité. Ceci laisse l’autre moitié plus vulnérable, d’autant que 55% des interrogés n’ont aucun projet de déployer des technologies de cybersécurité au cours des 12 prochains mois.
Autre constat important : les systèmes de contrôle industriel subissent un risque important, compte tenu du manque de collaboration entre l’IT et l’OT. 51% des personnes interrogées déclarent opérer de manière cloisonnée : les équipes OT gèrent ainsi les équipements industriels critiques et la cybersécurité OT, tandis que les équipes IT sont responsables de la cybersécurité IT. Entre un quart et un tiers des personnes sondées ignorent qui détient la principale responsabilité pour les solutions de cybersécurité associées aux processus, aux systèmes de contrôle et d’automatisation, à la planification métier et à la logistique. Cependant, 91% d’entre elles estiment que la sécurité des machines de production doit être une responsabilité partagée entre l’IT et l’OT, tandis que 58% pensent que des communications claires et régulières sont importantes pour échanger sur la vision de la convergence IT/OT, et ainsi la mener à bien.
Les entreprises ont tout à gagner d’une collaboration étroite entre les équipes IT et OT. Les principaux avantages sont un accès aux données en temps-réel issues des opérations de production (66%), ainsi que la création et la monétisation de nouvelles opportunités business grâce à une visibilité plus claire sur les données de production (59%). Ce sont également des gains de productivité qui sont au rendez-vous, avec 43% des personnes interrogées qui déclarent constater moins de doublons entre les processus et workflows d’un site de production à l’autre, ainsi qu’une visibilité plus fine qui permet de maîtriser les menaces de sécurité.
Joe Sarno, VP International Emerging & Operational Technology & Critical Infrastructure EMEA, Fortinet : « Les entreprises industrielles doivent rapprocher l’IT et l’OT dans le cadre de leurs opérations. Il s’agit de nouer un lien de confiance entre les équipes de ces deux disciplines, pour mener à bien cette convergence IT/OT. Au fur et à mesure que la surface d’attaque s’élargit, les équipes IT et OT doivent collaborer pour améliorer la visibilité sur les menaces et les neutraliser. C’est la raison pour laquelle Fortinet investit beaucoup de temps et de ressources dans la Recherche et le Développement pour ses solutions de cybersécurité industrielle. »
Forrester Consulting a mené une enquête en ligne sur plusieurs pays : Inde, Turquie, Royaume-Uni, Espagne, Pologne, Allemagne, Slovaquie, Italie, France, République tchèque et Pays-Bas. L’objectif était d’évaluer les techniques utilisées par les entreprises industrielles pour gérer leur sécurité, les rôles et responsabilités entre IT et l’OT, ainsi que les défis et les opportunités qu’offre la convergence IT/OT. L’enquête a porté sur 459 décideurs IT et OT en charge des systèmes de contrôle industriel au sein d’entreprises industrielles de 1 000 collaborateurs ou plus (automobile, transport, fabrication, génie maritime et aéronautique), sur l’Europe et en Inde.
Entre août et octobre 2019, augmentation mensuelle du nombre d’attaques par force brute. Durant la même période, environ deux tiers des malwares détectés comportaient une fonction de collecte de mots de passe. Parmi ceux-ci, Emotet a été le plus répandu (56 % des détections), suivi d’Agent Tesla (25 %).
Selon l’étude 2019 Global Password Security Report de LastPass, un collaborateur d’une grande entreprise (comptant plus de 1000 salariés) doit en moyenne mémoriser jusqu’à 25 identifiants distincts. Dans les petites entreprises, cette moyenne atteint même 85. Cela amène inévitablement certains employés à réutiliser des mots de passe ou des variantes faciles à retenir – et donc à découvrir – ou encore à se servir de mots de passe aisément découverts par une attaque par dictionnaire.
Des cyberattaques dopées à l’IA
Le risque d’attaques par dictionnaire ou par force brute accentué si le cybercriminel peut recueillir des informations sur l’utilisateur via les réseaux sociaux, multipliant ainsi ses chances d’identifier des centres d’intérêt que l’utilisateur pourrait reprendre dans ses mots de passe habituels. Ils peuvent également exploiter des données ayant fuité précédemment au sujet de la cible afin de deviner plus efficacement sa façon de construire ses mots de passe.
Il est probable que les outils de force brute utilisant l’IA vont proliférer ou être utilisés en conjonction avec les techniques actuelles permettant de deviner les mots de passe. Des outils tels que Hashcat ou John the Ripper font déjà preuve d’une grande efficacité. Cependant, il existe un nombre maximal de mots de passe que ces programmes peuvent deviner et ceux-ci nécessitent des années de codage manuel et d’améliorations pour parvenir à ce niveau de précision.
Force brute
Heureusement, même si les outils d’attaques par force brute ne cessent de se perfectionner en termes d’efficacité, il existe toujours des moyens de s’en protéger. Les utilisateurs peuvent appliquer des mesures simples, à commencer par l’utilisation d’un mot de passe fort et distinct pour chaque identifiant. Ils peuvent également éviter l’usure des mots de passe au fil du temps en se servant d’un gestionnaire de mots de passe pour leur renouvellement.
Au-delà des règlements et des formations (destinées à sensibiliser les utilisateurs) ou encore des mesures techniques, les entreprises peuvent atténuer l’efficacité des attaques par force brute en appliquant l’authentification multifacteurs et en limitant le nombre de saisies d’un identifiant incorrect avant le blocage temporaire du compte correspondant.
De nos jours, la majorité des entreprises ont recours à un système de caméras de surveillance, que ce soit dans leurs bureaux ou leurs entrepôts. Supposées éloigner ou attraper des potentiels malfaiteurs, ces caméras sont aujourd’hui un nouveau danger car la technologie actuelle permet à certains pirates de contrôler les systèmes de surveillance à distance. Pour éviter cela, il faut comprendre le fonctionnement des caméras, connaître les meilleurs modèles et apprendre à protéger son système de surveillance efficacement.
Comment les pirates agissent-ils ?
À l’époque, les caméras de surveillance étaient reliées par des câbles permettant de filmer et de relayer l’information sur un écran. Actuellement, la plupart des systèmes utilisent une connexion Internet (Wi-Fi) afin de relier leurs caméras, et c’est de là que le danger peut survenir. En effet, les pirates prennent contrôle du système de surveillance en s’y infiltrant par le Wi-Fi. Nombreuses sont les personnes qui ne protègent pas leurs caméras avec un mot de passe réellement sécurisé, ce qui est une porte ouverte aux malfaiteurs. Ceci est aussi valable pour les caméras de particuliers qui ont un système de sécurité à leur domicile.
Quel modèle choisir ?
Les caméras de sécurité ont beaucoup évolué et sont maintenant facilement accessibles au grand public. Ceci n’est pas forcément avantageux pour les entreprises car certains fabricants, au prix de la compétitivité, mettent sur le marché des nouveautés qui ne sont pas d’une grande qualité au niveau sécuritaire. C’est pour cela qu’en tant qu’entreprise (ou même particulier), il vous faut faire appel à un fournisseur professionnel et sérieux, comme par exemple RS Components en ligne, qui garantira un meilleur niveau de sécurité. Ensuite, au niveau du type de caméra, cela dépendra de la zone que vous avez à filmer. Les caméras thermiques appréciées car excellentes pour les entrepôts plutôt grands et obscurs, vu que le manque de lumière ne les affecte pas. Pour des zones où vous souhaitez avoir une image standard, plusieurs options s’offrent à vous au niveau de la qualité de résolution, de la forme et de l’adaptation à la lumière, choix qui se feront en fonction de la zone à filmer.
Comment se protéger ?
La première chose à faire est de définir un mot de passe avec un niveau élevé de sécurité car cela peut être le premier obstacle pour un pirate. Ensuite, si vous êtes inquiet pour votre webcam d’ordinateur, installez un antivirus. En ce qui concerne les entreprises et les systèmes de surveillance plus gros, il est nécessaire de choisir un type de caméra sûr mais aussi de se renseigner sur les possibles failles du modèle en question car les pirates adapteront leur tactique en repérant celui auquel ils ont à faire. Finalement, si vous le souhaitez, il est aussi possible d’installer des caméras en circuits fermés. C’est-à-dire non connectées à un réseau, ce qui immunise efficacement contre les piratages en ligne.
La menace
La menace des piratages de caméras de surveillance est bien réelle. La première étape vers une meilleure sécurité est de se renseigner sur la manière dont les pirates agissent et sur les moyens disponibles pour se protéger, que vous soyez une entreprise ou un particulier. En bref, assurez-vous d’acheter votre système de surveillance chez un professionnel, renseignez-vous sur les failles et n’oubliez pas les réflexes de base comme l’installation d’un mot de passe à sécurité élevée.
Conçu en 2011 pour répondre aux missions opérationnelles de l’Agence Nationale de Sécurité des Systèmes d’Information (ANSSI) en matière d’investigation et de réponse à incident, le logiciel DFIR ORC (pour Outil de recherche de compromission) n’a cessé d’évoluer pour regrouper un ensemble d’outils qui permettent la recherche, l’extraction et la mise à disposition de données forensiques dans un environnement Microsoft Windows… à l’échelle d’un parc entier ! L’outil, intégralement libre, est aujourd’hui publié par l’agence à l’usage des acteurs et des professionnels de la communauté.
Créé et utilisé de longue date par les équipes de l’ANSSI, le logiciel de collecte DFIR ORC regroupe un ensemble d’outils qui permettent la recherche, l’extraction et la mise à disposition des données forensiques. Il a été entièrement conçu afin de fonctionner dans l’écosystème Microsoft Windows de façon décentralisée et à grande échelle.
« Après 8 ans d’usage, DFIR ORC a été utilisé sur plus de 150 000 postes dans le cadre de nos activités opérationnelles en matière de réponse à incident. » indique François Deruty, sous-directeur Opérations de l’ANSSI.
En s’engageant dans une démarche d’ouverture avec la communauté de la sécurité numérique, l’ANSSI souhaite aujourd’hui partager cet outil mature qu’elle utilise au quotidien depuis plusieurs années*. [https://dfir-orc.github.io]
DFIR ORC – POUR QUI ? POUR QUOI ?
DFIR ORC s’adresse aux professionnels de la sécurité informatique soucieux d’acquérir les données nécessaires à la réponse aux incidents de sécurité de façon fiable, ainsi qu’à tous les développeurs qui souhaiteront s’en inspirer ou contribuer à son développement.
DFIR ORC peut être déployé sur l’intégralité d’un parc Microsoft Windows, tout en minimisant l’impact sur son fonctionnement normal. Il assure ainsi la collecte des informations souhaitées avec une exigence de fiabilité, de qualité et de traçabilité, sans modifier la configuration des machines analysées, tout en minimisant les risques d’altérations des données collectées.
Par son usage, DFIR ORC permet donc de disposer d’une vision de l’état du parc au moment de la collecte. Il ne vise cependant pas à pratiquer une analyse sur les données collectées : c’est le rôle de spécialistes disposant d’une méthodologie et d’outils adaptés.
CONTRIBUEZ AU DÉVELOPPEMENT DE DFIR ORC
DFIR ORC est un outil modulaire, configurable, qui peut embarquer d’autres outils, notamment ceux qui sont déjà proposés par l’agence. Avec la publication de DFIR ORC, l’ANSSI partage le code source, la procédure de compilation ainsi que des exemples de configuration de l’outil. Tous ces éléments permettent la génération d’un outil fonctionnel adapté à l’usage souhaité.
« À travers DFIR ORC, nous avons l’ambition de contribuer activement à la vie de la communauté de la réponse à incident, en lui permettant de s’approprier et de développer l’outil à sa manière », ajoute François Deruty. L’ANSSI souhaite encourager l’émergence d’une communauté publique de développeurs et d’utilisateurs de l’outil, pour favoriser sa montée en maturité et l’apparition de nouvelles fonctionnalités. L’agence continuera de même à développer DFIR ORC, et publiera régulièrement des mises à jour de l’outil. L’agence invite tous les acteurs de la communauté à enrichir dès à présent ce projet avec nos équipes.
À mesure que les adresses IPv4 deviennent des produits de valeur, des systèmes de fraude élaborés apparaissent. Les propriétaires d’entreprise ont besoin de partenaires industriels experts pour optimiser et protéger leurs actifs d’adresses IP
Début du mois de septembre, les médias sud-africains ont révélé un système de fraude complexe dans lequel les adresses IPv4 d’une valeur d’au moins 30 millions de dollars sur le marché de l’occasion avaient été volées ou détournées par de grandes sociétés multinationales basées en Afrique du Sud.
La plupart des propriétaires enregistrés n’étaient pas au courant de cette violation de leurs propriétés. Les « pirates » exploitant des structures de propriété complexes. De plus, les propriétaires légitimes peu familiarisés avec la valeur des actifs considérables de leurs stocks d’adresses IPv4.
Parmi les ensembles d’adresses, il y avait un certain nombre de «blocs hérités» particulièrement précieux. Des ensembles d’adresses IP mises en place avant la création de registres Internet régionaux (RIR). Donc totalement libres d’utilisation.
« Nous remarquons souvent que les entreprises qui ont obtenu d’importants groupes d’IPv4 alors qu’ils étaient encore disponibles n’ont pas conscience de leur valeur. Auparavant, des milliers d’adresses étaient gratuites. Aujourd’hui, une adresse unique peut valoir jusqu’à 30 dollars », commente Vincentas Grinius, PDG de Heficed, une société proposant des solutions d’infrastructure réseau centrées sur la fourniture et la gestion des adresses IP.
Fraude IPv4
Comme pour les VPN, les adresses numériques sont devenues des contenus très courus.
La fraude IPv4 est devenue un problème de plus en plus urgent au cours de la dernière décennie. En effet, les adresses IP omniprésentes sont en réalité une ressource limitée. Leurs sources initiales, les RIR desservant chacune une région continentale, sont presque épuisées, et AFRINIC est la seule à les attribuer avec une relative facilité.
Les adresses IP étant toutefois localisées, les adresses africaines ne servent qu’à un usage limité – pour exploiter un serveur en Europe ou en Amérique, un utilisateur a besoin d’une adresse IP européenne ou américaine. Ceci est particulièrement pertinent pour les clients dépendant de la latence, comme ceux qui opèrent dans des domaines où la concurrence est rude.
Business de l’IPv4
Quiconque a besoin d’adresses IPv4 doit donc les obtenir sur le marché de l’occasion. Comme dans tout marché de produits de base, la fraude constitue également un problème.
Même dans les pays hautement réglementés comme les États-Unis, les fraudeurs s’attaquent toujours aux ressources de grande valeur.
Les adresses se récupérent. Mais cela prend souvent un temps considérable et beaucoup d’investissements.
Il est souvent impossible pour les grandes entreprises de suivre correctement les droits de propriété sur IPv4.
« Comme pour tous les biens immatériels complexes, tels que les stocks ou les actifs virtuels, les fournisseurs d’infrastructure de réseau intermédiaire remplissent plus que la fonction de commerçant. Ils commercialisent, gèrent et gèrent les ressources de leurs clients », explique Grinius.
Traiter des détails techniques tels que les adresses IP est souvent laissé de côté par les entreprises. Encore faut-il qu’elles sont au courant du problème.
Pour le moment, le seul moyen d’éviter des violations de la sécurité potentiellement dommageables est de travailler avec des partenaires de confiance dans la recherche et la gestion d’adresses IPv4. Avec une forte demande encourageant la fraude, les autorités existantes sont tout simplement surmenées.
Des failles de sécurité dans des traceurs GPS, plus d’un demi-million d’enfants et de personnes âgées concernés.
a découvert de sérieuses failles de sécurité dans le T8 Mini GPS tracker et dans près de 30 autres modèles du même fabricant, Shenzhen i365 Tech. Commercialisés pour garantir la sécurité des enfants, des personnes âgées, des animaux domestiques et même des biens personnels, ces appareils dévoilent toutes les données envoyées dans le cloud, y compris les coordonnées GPS exactes en temps réel. De plus, des défauts de conception peuvent permettre à des tiers indésirables d’usurper la localisation ou d’accéder au microphone à des fins d’écoute illicite. Les chercheurs du Threat Labs d’Avast estiment à 600 000 le nombre de traceurs non protégés utilisés dans le monde, mais ils soulignent que ces problèmes de sécurité de l’IoT dépassent largement le cadre d’un seul fournisseur.
Martin Hron, Senior Researcher, chez Avast, qui est à l’origine de cette étude, conseille aux acheteurs de ces produits de choisir une solution alternative auprès d’une marque plus fiable intégrant une la sécurité dès la conception du produit : connexion sécurisée, un chiffrement des informations.
Comme pour tout appareil prêt à l’emploi, modifier les mots de passe par défaut de l’administrateur. En choisir un complexe.
Cependant, dans ce cas précis, cela n’empêchera pas une personne motivée d’intercepter le trafic non chiffré. « Nous avons fait preuve de toute la diligence voulue en communiquant ces vulnérabilités au fabricant, mais comme nous n’avons pas eu de réponse dans le délai habituel, nous publions ce message d’intérêt public à l’attention des consommateurs et vous recommandons fortement de cesser d’utiliser ces appareils», explique Martin Hron.
Signaux d’alerte dès la sortie de l’emballage
Le Threat Labs d’Avast a d’abord analysé la procédure de démarrage du T8 Mini, en suivant les instructions pour télécharger l’application mobile à partir du site http://en.i365gps.com — en l’occurrence, un site Web desservi par le protocole HTTP plutôt que par celui du HTTPS, plus sécurisé. Les utilisateurs peuvent alors se connecter à leur compte avec le numéro d’identification attribué. Le mot de passe par défaut très générique « 123456 ».
Ces informations sont transmises via un protocole HTTP non « secure ».
Le numéro d’identification dérivé de l’International Mobile Equipment Identity (IMEI) de l’appareil ; les chercheurs ont donc pu facilement prédire et répertorier les numéros d’identification possibles d’autres traceurs de ce fabricant.
En combinaison avec le mot de passe fixe, pratiquement n’importe quel appareil suivant cette séquence de numéros IMEI étaient piratables sans le moindre effort.
Rien n’est chiffré
À l’aide d’un simple outil de recherche de commandes, les chercheurs découvrent les informations en texte brut. Sans chiffrement.
Il est encore plus inquiétant de constater que l’appareil peut envoyer des commandes qui vont au-delà de l’usage prévu de suivi GPS, telles que :
appeler un numéro de téléphone, permettant ainsi à un tiers d’écouter les conversations à travers le microphone du traceur ;
envoyer un SMS qui pourrait permettre au hackers d’identifier le numéro de téléphone de l’appareil et donc d’utiliser le SMS entrant comme vecteur d’attaque ;
utiliser les SMS pour rediriger la communication de l’appareil vers un autre serveur afin d’obtenir le total contrôle de cet appareil ou de fausses informations envoyées vers le cloud ;
partager une URL vers le traceur, permettant à un attaquant à distance de placer un nouveau firmware sur l’appareil sans même y toucher, qui pourrait remplacer complètement la fonctionnalité ou implanter un backdoor.
Sans surprise, les chercheurs ont également découvert que l’application mobile AIBEILE (disponible sur Google Play et iOS App Store) communiquait avec le cloud via un port HTTP non standard, TCP:8018, envoyant du texte brut non chiffré au terminal. Après avoir examiné minutieusement l’appareil lui-même pour analyser la façon dont il communique avec le cloud, le Threat Labs d’Avast a confirmé que les données transitent à nouveau sans être chiffrées, du réseau GSM au serveur, sans aucune autorisation.
Ce que les consommateurs devraient retirer de cette étude
Outre l’appareil qui fait l’objet de cette étude, 29 autres modèles de traceurs GPS présentant ces vulnérabilités. La plupart des fournisseurs mentionnés ci-dessus. 50 applications mobiles différentes utilisent la même plateforme non « secure ».
Les chercheurs estiment qu’il existe plus de 600 000 appareils dans la nature dont les mots de passe par défaut sont « 123456 ».
Des applications mobiles téléchargées près de 500 000 fois. Le fabricant n’a donné aucune réponse aux avertissements.
En tant que parents, nous sommes enclins à adopter les technologies qui nous promettent de protéger nos enfants. Se renseigner sur les produits que nous achetons est indispensable.
Méfiez-vous des fabricants qui ne respectent pas les normes minimales de sécurité. Qui n’ont pas de certification ou homologation par des tiers.
Choisissez uniquement des marques en qui vous avez confiance pour protéger vos informations.
Échappant aux mesures de sécurité traditionnelles, les menaces 2019 mettent les systèmes de défense à rude épreuve.
Un rapport publié met en évidence une recrudescence des attaques sans fichiers (fileless) visant à masquer des activités malveillantes. En comparaison avec le premier semestre 2018, les détections de cette menace spécifique ont augmenté de 265 %. Des analyses courant sur le premier semestre 2019.
Jusqu’à présent, les constatations réalisées en 2019 confirment bon nombre des prévisions faites par Trend Micro en fin d’année dernière. Les attaquants redoublent notamment d’efforts pour cibler les entreprises et les environnements offrant le plus grand retour sur investissement.
« Sophistication et discrétion sont aujourd’hui les maîtres mots en matière de cybersécurité, à mesure que les technologies au sein des entreprises et que les attaques des cybercriminels deviennent plus connectées et intelligentes », souligne Renaud Bidou, Directeur Technique Europe du Sud, Trend Micro. « Nous avons pu constater que les hackers ont des objectifs précis, avec des attaques ciblées et ingénieuses qui exploitent de manière furtive le facteur humain, les processus et la technologie. Cependant du côté des entreprises, avec la transformation numérique et les migrations vers le Cloud, la surface d’attaque s’est considérablement élargie. Pour faire face à cette évolution, les organisations ont besoin d’un partenaire technologique capable de combiner l’expertise humaine à des technologies de sécurité avancées afin de mieux détecter, corréler, traiter et contrecarrer les menaces. »
Parallèlement à la prolifération des attaques sans fichiers, les cybercriminels déploient de plus en plus de menaces non détectables via les filtres de sécurité classiques, car elles peuvent être exécutées en mémoire d’un système, résider dans la base de registre ou usurper des outils légitimes. Les kits d’exploits reviennent également en force, avec une augmentation de 136 % en comparaison de la même période en 2018.
Attaque Fileless
Les malwares destinés au minage de cryptomonnaies demeurent la menace la plus détectée au premier semestre 2019 et touchent de plus en plus les serveurs et les environnements Cloud. Autre prévision corroborée : le nombre de routeurs impliqués dans de potentielles attaques entrantes a bondi de 64 % comparé au premier semestre 2018, avec davantage de variantes de Mirai recherchant des appareils vulnérables.
En outre, le nombre de stratagèmes d’extorsion numérique connaît une hausse de 319 % par rapport au second semestre 2018, ce qui concorde avec les projections précédentes. Les attaques de type BEC (Business Email Compromise) constituent toujours une menace substantielle, avec une augmentation de 52 % des cas détectés comparativement aux six derniers mois. Les fichiers, e-mails et URL liés aux ransomwares continuent également de se multiplier (+77 % au cours de la même période).
Au total, 26,8 milliards de menaces au cours du premier semestre 2019 ont été bloquées, soit 6 milliards de plus qu’à la même période l’année dernière. À noter que, dans 91 % des cas, l’e-mail a été le vecteur d’infection des réseaux d’entreprises. (Rapport)
Après vous avoir proposé de découvrir les méthodes de double authentification offertes sur le web, Google ou encore la Yubico, voici la présentation de la Solo Tap Hacker de chez Solokeys !
Les tests que nous vous proposons sur les matériels de cybersécurité vous plaisent. Vos messages nous font plaisir et nous incitent à vous en proposer d’autres. Après vous avoir fait découvrir la double authentification de Google, Facebook, Linkedin, de l’administration d’un site web sous WordPress. Après la découverte des clés 2FA/FIDO de chez Yubico ou encore la Titan Security Key de chez Google. Voici le test de la Solokeys.
Solokeys, kesako
La solution de cybersécurité Solokeys à le goût de la clé de chez Google ; la couleur de la clé de chez Yubiko mais sa force se cache ailleurs. Cette double authentification physique tire sa force de sa communauté. C’est la première Fido Security Key open source. Bilan, les « codeurs » qui veulent mettre leur nez dans l’objet et sa programmation sont attendus les bras ouverts. Plusieurs versions sont proposées. J’ai testé la SOLO (USB) et la SOLO TAP (USB et le sans contact). Il est possible de recevoir la clé en mode « développeur ». Compter 20€ pour la SOLO ; 35€ pour la TAP. La version « je mets mes doigts dedans » coûte 20euros.
Test de la Solokeys
Le packaging arrive par la poste dans une enveloppe à bulle. J’avoue que pour avoir eu des colis de ce type arriver dans le même type d’enveloppe me laisse des sueurs froides sur le front. Je me souviens encore de cette enveloppe à bulle… et les traces de roues de ce qui semblait être une moto. L’objet à l’intérieur était littéralement DÉFONCÉ !
En ce qui concerne la SoloKeys, pas de problème. Le colis est arrivé en 20 jours après le paiement.
Les clés sont dans une seconde enveloppe métallisée, celle qui protègent les appareils électroniques de l’électricité statique. Selon la clé, vous recevrez dans votre colis la clé nue et deux protections en caoutchouc. A noter que j’ai cassé une des clés commandées rien qu’en tentant de mettre la protection noire. La clé à fait… crick, crack. Je mettrais cela sur mon petit côté « gros doigts de bourrin ». Une fois la seconde clé protégée par sa ganse rouge, son utilisation est fort simple. D’ailleurs, la page proposant sa mise en route est l’une des plus claire rencontrée. Pour authentifier la clé, il suffit de se rendre dans les espaces de Validation en deux étapes et activer la clé. Google c’est par ici ; Facebook c’est par là.
La SoloKeys est très simple d’utilisation… et modifiable. Son code est open source.
Résistance et confiance ?
La force de la Solo keys réside dans son code source ouvert. Son matériel (fabrication) l’est tout autant. Autre détail loin d’être négligeable, surtout pour ceux qui craignent les Américains, les Russes, la Corée du Nord et les extraterrestres, le processeur et le circuit imprimé sont fabriqués et programmés en Europe. Côté résistance physique. Comme déjà indiqué, j’ai « cassé » une clé en voulant la placer dans son étui en latex. J’en ai cassé une autre en voulant l’accrocher à un porte clé. Côté étanchéité. Un passage en machine à laver n’a pas altérée le fonctionnement de la clé.
En conclusion. La Solokeys Une excellente alternative pour ceux qui ne souhaitent pas passer par les géants du secteur. La double authentification étant un outil indispensable dans votre panoplie cybersécurité.
Les experts en sécurité de G DATA ont compté plus de 10 000 nouvelles applications malveillantes chaque jour au cours du premier semestre 2019. Près de 2 millions de nouvelles applications malveillantes au cours des six premiers mois de 2019. En moyenne cela représente une application infectée pour Android qui apparaît toutes les huit secondes.
Le nombre de nouvelles applications malveillantes pour les appareils Android a légèrement diminué au premier semestre 2019. Alors que les experts de G DATA avaient comptabilisé plus de 2 millions d’applications infectées entre janvier et juin 2018, ils en ont trouvé 1,85 million cette année. « Le risque pour les smartphones et autres appareils mobiles reste très élevé « , déclare Alexander Burris, chercheur mobile en chef chez G DATA. « Parce que les smartphones sont devenus des compagnons indispensables, ils sont une cible attrayante pour les cybercriminels. Les logiciels publicitaires ou de rançon, qui nuisent directement à l’utilisateur, sont particulièrement lucratifs. » Fin juin, le nombre total d’applications malveillantes connues s’élevait à près de 94,2 millions.
Trop de versions d’Android
Le potentiel de menace toujours élevé d’Android est favorisé par la forte fragmentation du système d’exploitation. Actuellement, seulement 10 % du parc Android dispose de la dernière version 9. Quant à Android 8 – Oreo – il est seulement utilisé sur 28 % des appareils en circulation. Cela signifie que près de 60 % des appareils utilisent encore des versions datant d’avant août 2017, autrement dit qui sont totalement obsolètes.
Le label Android One de Google tend à corriger ce problème. En optant pour un smartphone portant ce label, l’acheteur est assuré que son appareil recevra les mises à jour du système pendant 2 ans.
L’annonce de la conversion d’une grande partie de l’infrastructure de mise à jour vers la nouvelle version Android Q et de la mise à jour des composants du système indépendamment des surcouches des fabricants permet également d’espérer que le problème des mises à jour sera résolu à terme.
Appareils obsolètes et imports bon marché
Les systèmes d’exploitation et les smartphones obsolètes qui n’ont pas les correctifs les plus récents permettent aux pirates d’installer facilement des logiciels malveillants sur l’appareil. Les raisons de cette situation sont doubles : soit il n’y a pas de mises à jour pour l’appareil, soit les clients ne les installent pas. Mais il peut également arriver que des appareils bon marché importés d’Asie soient vendus avec des logiciels malveillants préinstallés. Ces logiciels malveillants, principalement des spywares, permettent au constructeur malhonnête de récolter des informations sur l’utilisateur et de monétiser ce client par l’affichage de publicités ou l’installation d’applications à son insu. Bref, un logiciel de supervision destiné aux DSI peut faire parti de l’arsenal pour surveiller les installations « bancales ».
Haro sur le Google Play
Depuis quelques mois, le Play store ne fait plus recette auprès des gros éditeurs. Epic Games avait lancé les hostilités l’ année dernière en choisissant de ne pas sortir son application Android sur la plateforme d’applications de Google. D’autres, tels que Tinder ou Netflix ont fait le choix de détourner le paiement vers leur propre boutique. La commission de 30 % demandée par Google ne passe plus… Si une telle tendance se confirmait, l’émergence de plateformes parallèles pourrait devenir une opportunité pour les cybercriminels.
Des pertes en millions
SimBad, Operation Sheep et Agent Smith sont trois exemples qui illustrent le succès des cybercriminels. 150 millions d’utilisateurs auraient une application Android avec le malware SimBad installé. La deuxième campagne de malware réussie est connue sous le nom d’Operation Sheep. Les applications infectées ont été téléchargées plus de 111 millions de fois. Toutes les applications se trouvent principalement dans les boutiques d’applications tierces. L’agent Smith est le nom de la troisième grande campagne. Elle a infecté 25 millions de smartphones en Asie. Une fois installé, l’agent remplace les applications par des clones infectés afin qu’ils affichent de la publicité. Bref, La transformation numérique des organisations doit prendre en compte ce genre de malveillance.
Je vous parlais, début août, de l’arrivée en France et au Canada de la Titan Security Key de chez Google. Voici le test complet de cette clé dédiée à la double authentification de vos comptes web.
Disponible aux USA depuis 2018, la Titan Security Key vient d’arriver sur les marchés Français et Canadien au 1er août 2019. Data Security Breach et ZATAZ vous proposent le test de cette clé de sécurité dédiée à la double authentification de vos comptes : mail, site web, …
Le package est efficace, solide et comme à chaque fois chez Google, qualitatif. On y apprend que le contenu est large avec deux clés, deux adaptateurs (usb, usb-c) et une rallonge usb. On découvre que le matériel est conçu par Google… assemblé en Chine. Les plus paranoïaques vont donc quitter ce test après ce point. Google + Chine vont leur donner des sueurs froides. Mais revenons plus sérieux. Une fois l’autocollant de sécurité décollé.
Il laisse le mot VOID sur la boîte afin de prouver sa non-ouverture. Le contenu apparaît sur deux étages. Deux notices, assurance et mode d’emploi. Ce dernier est simple, sans fioriture, efficace.
Titan Security Key : comment ça marche ?
Direction les sites que vous souhaitez protéger. Ils sont très nombreux aujourd’hui : Google, Facebook, Linkedin, … Nous allons orchestrer ce test pour protéger un compte Google, et donc Youtube, gMail, … Commençons par nous connecter au compte Google que nous souhaitons protéger. Mail et mot de passe suffisent. Direction l’espace sécurité, double authentification. Il suffit d’entrer la Titan Security Key pour coupler cette dernière à l’accès à protéger. Rien de plus simple. Une fois effectué, déconnexion automatique de votre compte sur tous vos appareils. Pour vous reconnecter, il suffira d’utiliser votre mot de passe et votre clé de sécurité.
Vous perdez vos clés ? Il est possible de reprendre la main en faisant une demande à Google, mais cette dernière, comme pour le cas des outils tels que Authy, prendre plusieurs jours (3 pour Authy). Il est possible de répliquer les fonctionnalités de protection dans un compte G Suite.
Sur smartphone, via le NFC et le Bluethooth
Vous possédez une tablette, un smartphone Android/iOS la Titan Security Key vous permet d’utiliser votre compte et la double authentification. Pour cela, trois méthodes: la clé et l’adaptateur ; le NFC de la clé ; le bluethooth.
Dans le premier cas, il suffit de rentrer la prise de la rallonge dans le smartphone. Deux embouts sont proposés : mini USB et USB-C.
Dans le second cas, branchez le NFC de votre téléphone et approchez la Titan Security Key.
Dernière possibilité, le bluetooth est allumé. Cliquez sur le bouton 5 secondes.
Pro et perso
Le matériel est robuste, résiste à l’eau, mais pas plus de 45 secondes immergées dans les toilettes (une erreur est site vite arrivée) pour la clé Bluetooth. La seconde clé fonctionne encore après 45 secondes dans un évier rempli d’eau chaude et produits vaisselles. La Titan Security Key, tout comme sa concurrente Yubico, seront des alliés loin d’être négligeable. Si un pirate vous vole vos identifiants de connexion, avec ce type de sécurité, même armé de vos sésames, le malveillant ne pourra accéder à vos données.
Je vous invite d’ailleurs à utiliser le Service Veille ZATAZ qui permet de détecter, dans les espaces pirates, les données qui ont pu vous être volés ces derniers heures, jours, semaines mois, années. Point fort de la Titan Security Key, la possibilité d’inscrire cette dernière au programme Advanced Protection « Le Programme Protection Avancée protège les comptes Google personnels des individus susceptibles de faire l’objet d’attaques ciblées : les journalistes, les activistes, les chefs d’entreprise et les équipes de campagnes électorales. » indique Google.
Sécurité renforcée et limitation des applications utilisables
A noter qu’une fois les clés activées, les autres facteurs d’authentification, tels que les codes envoyés par SMS ou l’application Google Authenticator, ne fonctionneront plus.
A gauche, la clé Yubico.
Les applications n’appartenant pas à Google sont limitées. Cela veut dire que les applications Mail, Contacts et Calendrier d’Apple, ainsi que le logiciel Thunderbird de Mozilla, continueront de fonctionner avec les comptes bénéficiant de la Protection avancée. De nombreuses autres applications n’appartenant pas à Google n’auront pas accès aux données de votre compte. Les mots de passe d’application sont HS. Vous ne pourrez plus générer de mots de passe via les mots de passe d’application.
Gros gors point noir. Vous avez une télévision connectée Android ? La clé ne fonctionne pas. Google Chrome est imposé. Bilan, vous ne pouvez plus profiter des « services » proposés comme Google Play, …
A noter aussi que les Google Home, les enceintes connectées ne fonctionne plus depuis l’installation de la clé !
Pour conclure, la Titan Security Key est vendue 55€. A voir dans le temps, comme par exemple, pour l’aspect électrique de la clé Bluethooth. Si cette dernière se recharge via la prise USB de votre ordinateur, aucune indication sur sa véritable durée de vie.
Au Moyen-Âge, l’attaque d’un château-fort avantageait la défense. Du haut des remparts, on pouvait observer les assaillants de loin. Ils ignoraient la structure des fortifications. Quant à elle, l’architecture bien connue du château-fort par les défenseurs brisait de nombreuses stratégies d’attaque. Mais depuis que les citadelles sont devenues numériques, les batailles cyber sécuritaires, à l’inverse avantagent nettement les attaquants et désarment les défenses. Bien souvent, les défenseurs ignorent leurs failles.
Les fortifications, les citadelles d’Internet sont devenues floues depuis l’arrivée des nouveaux systèmes d’information. Les menaces sont moins visibles. Surtout, il est possible pour un attaquant de frapper par un point A, puis par un point B le lendemain, en n’éveillant jamais les soupçons. Dans un contexte où l’on manque énormément de visibilité, comment contrer ces menaces ? 5 piliers indispensables à mettre en place.
1 – La sécurité périmétrique
Dans un monde informatique sans périmètre où les frontières sont devenues plus floues, la sécurité périmétrique reste toujours le premier rempart à mettre en place. C’est un prérequis essentiel dont on ne peut faire l’économie. Elle consiste à protéger la frontière externe de l’entreprise des menaces extérieures pour éviter ou limiter les infections (malwares, cheval de Troie, etc.). Les réflexes de base à adopter sont de bien paramétrer ses firewalls et d’être très sélectif et granulaire dans les autorisations de flux.
2 – La sécurité Endpoint
Elle permet de combattre directement l’infection une fois détectée grâce à des antivirus ciblés. Auparavant, la capacité de détecter des virus était une activité relativement facile, il suffisait de comparer ces virus à des bases de signatures prédéfinies. Aujourd’hui, de nouveaux malwares ont pris le relai et sont capable de « muter » afin d’éviter d’être détecté. On voit aussi des États Nations développer des virus « intraçables » car utilisant des failles encore inconnues. Face à ces menaces invisibles, les entreprises doivent se doter de solution de type Endpoint Detection and Response – EDR. Comparer des signatures n’est plus suffisant. Depuis, beaucoup de mécanismes ont été inventé, dont l’analyse comportementale, du machine learning en pre-execution, du sandboxing, qui se révèlent plus efficaces dans la détection des nouvelles menaces.
3 – La détection de menaces sur le réseau
Si la sécurité Endpoint et périmétriques sont indispensables et gèrent autant les frontières externes et internes du système d’information ; on sait bien, qu’elles sont insuffisantes sans une approche d’analyse côté réseau. La sécurité sur le réseau, consiste à détecter des comportements non conventionnels et retrouver les traces d’un attaquant sur le réseau de l’entreprise (logs, données, IA, etc.).
Elle se fait surtout à l’aide d’outils à base d’intelligence artificielle et de machine learning qui sont capables d’écrémer et de ressortir des informations suspectes dans un lot gigantesque de données grâce à l’automatisation. La prise de décision finale reste à l’appréciation d’un humain, mais qui aura gagné énormément de temps sur sa prise de décision et la collecte d’informations.
4 – L’Active Directory
L’Active Directory ou l’annuaire d’entreprise comme partie intégrante d’une attaque, est largement sous-estimé. Et par conséquent, il est sous protégé alors que les cyberattaques suivent généralement le même schéma. Après avoir franchi les défenses périmétriques, les hackers ciblent le coeur de l’entreprise. L’Active Directory leur permet d’avoir accès aux comptes de l’ensemble de l’entreprise, administrateurs et grands patrons compris. Le but ? S’emparer des comptes à hauts-privilèges pour pouvoir, par exemple, diffuser un ransomware à l’ensemble de l’entreprise.
5 – La sensibilisation des utilisateurs
On dit souvent que les failles sécuritaires modernes se situent toujours entre l’écran et le clavier. C’est vrai. Les scénarios se suivent et se ressemblent. Monsieur tout le monde prend possession de son ordinateur, ouvre ses mails, clique sur une pièce jointe et contamine son entreprise. En effet, l’être humain demeure le premier facteur d’infection. En conséquence, chaque entreprise doit réduire les risques liés aux mauvais comportements des utilisateurs. La solution est simple : former les mauvais élèves « clique à tout » grâce à des mises en situations, questionnaires ou vidéos interactives.
La réalité est simple : il est difficile d’être proactif en défense et de devancer les attaques. La cybersécurité a souvent un temps de retard par rapport aux nouvelles menaces. C’est presque toujours face à de nouvelles attaques que la défense réagit et adapte ses systèmes de défense. D’où la nécessité dans ce contexte, d’assurer a minima ces arrières avec ces piliers, de sensibiliser et de réaliser un important travail de veille technologique pour limiter les pots cassés. (par David Clarys, NewTech Manager Europe du Sud chez Exclusive Networks)
Les entreprises de toutes tailles doivent relever un certain nombre de défis pour assurer la sécurité de leurs réseaux. Pourtant, les vulnérabilités liées aux MFP et imprimantes connectées d’aujourd’hui sont souvent sous-estimées. Voici comment protéger votre réseau en 5 points.
Désormais, les pirates se servent des systèmes multifonction (MFP) et imprimantes des organisations pour dérober des informations confidentielles stockées sur des disques durs et d’autres périphériques connectés aux réseaux professionnels. Ces cybercriminels provoquent d’importants dégâts et perturbent les activités des entreprises. Selon un rapport d’IDC, 25 % des failles de cybersécurité à corriger impliqueraient des imprimantes. L’impact sur la productivité et la rentabilité des entreprises est donc énorme, alors même que risque lié aux MFP et imprimantes non sécurisés est souvent méconnu et ignoré.
1 : l’identification des utilisateurs et la gestion des autorisations
L’une des solutions les plus importantes pour sécuriser les réseaux consiste à n’autoriser que les utilisateurs connus à accéder aux périphériques tels que les imprimantes. Cet objectif peut être atteint grâce à une administration et à une gestion des autorisations cohérentes.
Identification des utilisateurs : il s’agit du processus grâce auquel les administrateurs ne donnent de droits d’accès aux MFP et imprimantes qu’aux utilisateurs enregistrés. Ces derniers peuvent être identifiés en interne en s’appuyant sur la liste d’utilisateurs locaux, ou via le réseau grâce à un serveur d’authentification. Les administrateurs doivent également décider qui appartient à quel groupe en créant un nom d’utilisateur et un mot de passe, et en mettant en place une stratégie de gestion de mots de passe sur mesure/unique.
Autorisation des utilisateurs : ce processus a pour but d’autoriser l’accès aux ressources des réseaux des organisations, et d’en contrôler l’utilisation. En fonction des identifiants de chaque utilisateur, il est possible de limiter l’accès à certains individus, le restreindre à certaines fonctions, ou le bloquer entièrement. L’administrateur peut également configurer l’accès aux périphériques à l’aide de cartes d’accès contenant des informations d’identification uniques pour chaque individu.
2 : sécuriser le réseau
L’ensemble des périphériques connectés au réseau sont aussi sécurisés que le point le plus vulnérable de ce réseau. Il est donc très important de contrôler l’utilisation des ports et protocoles. Grâce à une configuration intelligente, les administrateurs peuvent bloquer les activités indésirables et les attaques potentielles sur l’infrastructure. Parmi les techniques permettant de sécuriser les communications entre les périphériques du réseau :
Utiliser des fonctions de filtrage pour limiter l’accès à des adresses IP et MAC (Media Access Control) spécifiques. Le réseau et les canaux de communication sont ainsi protégés en limitant l’accès aux adresses ou plages d’adresses spécifiées.
Désactiver les ports non utilisés (afin que seuls ceux qui sont nécessaires fonctionnent) pour bénéficier d’une couche de sécurité supplémentaire et de davantage de contrôle sur le réseau en bloquant les accès non autorisés vers l’ensemble des actifs connectés.
S’assurer que les protocoles IPSec (le protocole Internet pour un échange de données sécurisé et chiffré de données), TLS (le protocole de sécurité de la couche de transport, qui chiffre la transmission de données) et HTTPS (le protocole de transfert hypertexte sécurisé, qui sécurisé les communications sur le réseau) sont configurés pour offrir le niveau de protection le plus élevé.
3 : protéger les données
Il y a deux façons de s’assurer que les données stockées sur les disques durs des MFP et imprimantes soient en permanence sécurisées :
Le chiffrement des données est la procédure ou fonctionnalité cryptant les documents à l’aide d’un algorithme complexe à 256 bits.
L’écrasement des données, qui permet d’effacer le disque dur d’un appareil. Cette stratégie garantit l’effacement définitif de l’ensemble des données déjà stockées sur le disque et des documents numérisés après avoir qu’elles aient été écrasées jusqu’à 10 fois.
4 : imprimer des informations confidentielles de façon sécurisée
Les documents confidentiels doivent être imprimés en suivant une procédure sécurisée évitant les accès et copies non autorisées. Ainsi, lorsqu’une tâche d’impression est soumise, elle est conservée sur le disque dur de l’appareil jusqu’à ce que l’utilisateur saisisse un code PIN, ou présente un jeton ou une carte d’authentification configurés au préalable. Une fois le document imprimé, l’ensemble des données sont automatiquement effacées du disque dur.
5 : assurer une supervision et un contrôle à distance
Mis en place correctement, les outils de sécurité des réseaux offrent aux administrateurs informatiques un contrôle total sur l’ensemble des appareils connectés au réseau, et ce directement depuis leurs postes de travail. Ils peuvent ainsi contrôler un parc entier de MFP et d’imprimantes, et découvrir et gérer à distance la plupart des menaces de sécurité potentielles. Le clonage des appareils permet également de rationaliser le travail des administrateurs, et offre encore plus de sérénité, tout changement au niveau des paramètres d’un équipement pouvant ainsi être reproduit sur l’ensemble du parc. (Par Tomasz Stefanski – Solutions and Applications Specialist chez Sharp Europe).
La société Proofpoint, spécialiste de la mise en conformité et cybersécurité, a publié son rapport 2019 sur la fraude au nom de domaine. L’étude dévoile les dernières tendances, les stratégies et les activités des cybercriminels. Une analyse approfondie des données collectées sur une période de douze mois dans la base de données de domaines actifs de l’entreprise. Elle contient plus de 350 millions de domaines et représente pratiquement tous les domaines sur le Web.
Chasse aux domaines frauduleux ! À l’instar de nombreuses autres méthodes d’attaque très populaires aujourd’hui, la fraude au nom de domaine cible des individus plutôt que des infrastructures en faisant appel à l’ingénierie sociale, terme connu aussi sous Social Engineering, pour amener les utilisateurs à croire que les domaines auxquels ils accèdent sont légitimes. Du fait du peu d’obstacles à l’enregistrement des noms de domaine et de la facilité d’exécution, il est essentiel que les sociétés restent vigilantes face aux domaines suspects et illégaux susceptibles de présenter un risque pour leur marque et leurs clients.
Hausse de 11%
Entre le 1er trimestre et le 4ème trimestre 2018, le nombre d’enregistrements de noms de domaines frauduleux a connu une hausse de 11%. Presque tous les domaines frauduleux détectés restent actifs et prêts à l’attaque, plus de 90% d’entre eux étant associés à un serveur actif.
Parmi ces domaines frauduleux, plus de 15% ont des enregistrements Mail Exchanger (MX), ce qui signifie qu’ils envoient et/ou reçoivent des e-mails. Un sur quatre dispose également de certificats de sécurité, c’est bien plus que ce que l’on peut observer dans le paysage global des domaines. Or, de nombreux internautes les assimilent de ce fait à tort comme des domaines légitimes et sûrs.
Les domaines frauduleux utilisent souvent les mêmes domaines de premier niveau (TLD), offices d’enregistrement et serveurs Web que les domaines légitimes afin d’imiter les marques et abuser les utilisateurs. Ces facteurs, ainsi que la forte proportion de serveurs Web actifs, qui sont nombreux à posséder des certificats SSL valides, renforcent la perception de légitimité des domaines frauduleux, augmentant ainsi le potentiel de nombreuses attaques, notamment les fraudes par virement électronique, le phishing, les ventes de produits de contrefaçon et autres escroqueries.
Quand le HTTPS sert aux pirates
Plus de 85% des grandes marques de vente au détail ont identifié des domaines vendant des versions contrefaites de leurs produits. Les marques de vente au détail en décomptent en moyenne plus de 200. D’ailleurs, les domaines vendant des produits de contrefaçon possèdent plus de certificats de sécurité que d’autres types de domaines frauduleux, ce qui les rend légitimes aux yeux des clients.
96% des sociétés ont trouvé des correspondances exactes de leur domaine avec un TLD différent (par exemple, « .net » au lieu de « .com ») et 76% ont identifié des domaines « similaires » se faisant passer pour leur marque. La plupart des secteurs et des zones géographiques sont touchés.
Les domaines frauduleux utilisent l’e-mail pour mieux cibler les attaques. Pour 94% des sociétés observées, Proofpoint a identifié au moins un domaine frauduleux se faisant passer pour leur marque et envoyant des e-mails. De nombreux domaines frauduleux ont envoyé de faibles volumes d’e-mails, un comportement typiquement associé à des attaques hautement ciblées et basées sur l’ingénierie sociale. Les cybercriminels se faisant passer pour des marques de vente au détail facilement reconnaissables (en particulier celles ayant des chaînes d’approvisionnement complexes) ont envoyé des volumes d’e-mail beaucoup plus importants, ce qui laisse suggérer des attaques plus généralisées contre les clients et les partenaires.
Des facteurs comme l’introduction de nouveaux TLD créent des opportunités pour les cybercriminels. En 2018, l’introduction de nouveaux TLD, tels que .app et .icu,, a créé de nouvelles opportunités pour l’enregistrement de domaines frauduleux. Proofpoint a constaté que les cybercriminels exploitaient ces nouveaux TLD pour enregistrer des noms ressemblant à des domaines « .com » qui appartiennent déjà à de grandes marques.
Des chercheurs ont mené une enquêtes sur l’état de la sécurité des applications des plus grandes banques du monde. Un des outils posséde une faille connue depuis 2011.
Les nouvelles recherches de la société ImmuniWeb va faire grincer des dents dans le petit monde bancaire. Ils ont étudié la sécurité, la confidentialité et la conformité des applications des plus grandes institutions financières mondiales figurant dans la liste S&P Global 2019. Le résultat a de quoi étonner. En ce qui concerne la conformité, 85 applications Web de banque en ligne ont échoué au test de conformité GDPR ; 49 banque en ligne ont échoué au test de conformité PCI DSS ; 25 app ne sont pas protégées par un WAF.
Vulnérabilités de sécurité
Dans cette étude, on découvre que sept applications Web de banque en ligne contiennent des vulnérabilités connues et exploitables.
La plus ancienne vulnérabilité est connue depuis 2011. 92% des applications bancaires mobiles contiennent au moins une vulnérabilité à risque moyen.
100% des banques ont des problèmes de sécurité ou des problèmes liés aux sous-domaines oubliés.
Pour finir, concernant la sécurité du site web, seuls 3 portails sur 100 affichaient la note la plus élevée «A+» pour le « chiffrement SSL et la sécurité des sites Web». Dans ce top 3, on trouve un Suisse (credit-suisse.com), un Danois (danskebank.com) et un Suédois (handelsbanken.se).
Pendant ce temps, dans le commerce 2.0
De son côté, le laboratoire Pradeo a étudié 38 applications mobiles d’e-commerce les plus téléchargées au monde. Le rapport montre qu’elles envoient les données personnelles des utilisateurs via de nombreuses connexions non sécurisées (pourcentages précis dans l’article) et présentent en moyenne 13 vulnérabilités de code, dont certaines ayant un haut niveau de sévérité.
Le mot de passe est probablement la mesure de sécurité la plus courante et la plus utilisée, mais c’est également la plus vulnérable. En effet, l’’utilisation d’identifiants internes compromis par un attaquant externe représente, selon Verizon et son Data Breach Investigations Report 2018, la menace la plus courante dans les violations de données. C’est pourquoi de plus en plus d’entreprises mettent en place l’authentification multifacteur (MFA) en complément des mots de passe pour le contrôle des accès.
L’authentification multifacteur, connu sous le 3 lettres MFA, est un système de sécurité qui fait appel à plusieurs méthodes d’authentification pour vérifier l’identité de l’utilisateur qui souhaite se connecter. Il a pour objectif de mettre en place plusieurs couches de protection, afin de rendre plus difficile l’accès d’une personne non autorisée à un réseau. Ainsi, même si le pirate parvient à déchiffrer l’un des facteurs, il lui reste encore au moins un obstacle à franchir avant de pouvoir atteindre sa cible.
Comme l’explique Helpnet Security (IS Decision), dans les colonnes de ZATAZ, l’authentification multifacteur présente de nombreux avantages. D’abord la sécurité renforcée de votre réseau. Un Pirate doit disposer de l’ensemble des facteurs requis par le système lors de la connexion, sans quoi il ne pourra pas accéder au compte.
Mise en conformité
Ensuite, la mise en conformité: Un grand nombre de normes contraignent certaines entreprises à implémenter l’authentification multifacteur pour la protection d’informations sensibles (données financières ou à caractère personnel). Même si parfois la norme ne mentionne pas clairement la méthode MFA, elle insiste parfois sur le besoin d’un processus d’authentification renforcée. En d’autres termes, l’authentification multifacteur.
Enfin, les connexions simplifiées: Au premier abord, l’authentification multifacteur semble compliquer les connexions. Mais, en réalité, la protection renforcée qu’offre cette méthode permet aux entreprises d’utiliser des options de connexion plus avancées comme l’authentification unique (SSO).
Adobe a publié des correctifs pour Bridge CC, Experience Manager et Dreamweaver. Trois vulnérabilités sont corrigées dans Experience Manager tandis qu’une vulnérabilité est résolue dans Bridge et Dreamweaver. Aucune d’entre elles n’est considérée comme critique et le niveau de vulnérabilité le plus élevé pour chaque logiciel concerné est Important.
Ce mois-ci Microsoft résout 77 vulnérabilités dont 15 classées comme critiques. Parmi ces dernières, 11 affectent les moteurs de scripts et les navigateurs tandis que les quatre autres concernent le serveur DHCP, GDI+, l’infrastructure .NET et l’ensemble des outils de développement logiciel Azure DevOps Server (anciennement Team Foundation Server).
En outre, Microsoft a publié des correctifs importants pour deux vulnérabilités activement exploitées facilitant une élévation de privilèges, ainsi que pour une exécution de code à distance sur SQL Server. Microsoft a également diffusé deux avis de sécurité concernant des vulnérabilités affectant Outlook sur le web et le noyau Linux. Concernant Adobe, l’éditeur vient tout juste de publier des correctifs pour Bridge CC, Experience Manager et Dreamweaver.
Correctifs pour postes de travail
Déployer des patches pour les moteurs de script, les navigateurs, GDI+ et l’Infrastructure .NET est une priorité pour les équipements de type poste de travail, c’est-à-dire tout système utilisé pour accéder à la messagerie ou à Internet depuis un navigateur. Sont également concernés les serveurs multi-utilisateurs utilisés comme postes de travail distants.
Exécution de code RCE sur le serveur DHCP
Une vulnérabilité par exécution de code à distance (RCE) (CVE-2019-0785) est présente sur le serveur DHCP de Microsoft lorsque ce dernier est configuré pour une reprise après incident. Un attaquant ayant un accès depuis le réseau au serveur DHCP dédié à la reprise après incident pourrait ainsi exécuter du code de manière arbitraire. Ce correctif doit donc être déployé en priorité sur tous les systèmes exécutant un serveur DHCP en mode Reprise après incident.
Attaques actives sur l’élévation de privilèges
Microsoft a publié des patches pour deux vulnérabilités facilitant une élévation de privilèges (CVE-2019-1132 et CVE-2019-0880) dans Win32k et splwow64 et qui ont été exploitées en aveugle. Même s’ils sont classés comme Importants, ces correctifs sont en fait prioritaires car une association avec d’autres vulnérabilités pourrait fournir un accès complet au système à un cyberattaquant.
Exécution de code RCE sur le serveur SQL
Le Patch Tuesday de ce mois-ci résout également une vulnérabilité par exécution de code à distance (CVE-2019-1068) au sein du serveur Microsoft SQL Server. Classée comme Importante, cette vulnérabilité exige une authentification. Cependant, si elle est associée à une injection de code SQL, un cyberattaquant risque de compromettre complètement le serveur.
Azure DevOps Server (anciennement Team Foundation Server)
L’ensemble d’outils de développement logiciel Azure DevOps Server (ex-Team Foundation Server – TFS) est affecté par une vulnérabilité par exécution de code à distance (CVE-2019-1072) qui est exploitée via des téléchargements de fichiers malveillants. En effet, quiconque télécharge un fichier vers un serveur peut exécuter du code via un compte Azure DevOps/TFS. Sont également concernés les utilisateurs anonymes si le serveur est configuré pour accepter ces derniers. Ce correctif est donc une priorité pour toutes les installations Azure DevOps ou TFS.
Script XSS dans Outlook sur le web
Microsoft a publié un avis de sécurité pour une vulnérabilité à base de scripts intersite (XSS) dans Outlook sur le web (anciennement OWA). Cette vulnérabilité permet à un attaquant d’envoyer un fichier SVG malveillant, même si l’utilisateur ciblé doit ouvrir ce fichier d’image vectorielle directement en le glissant vers un nouvel onglet ou en copiant l’URL dans un nouvel onglet. Même si ce scénario d’attaque reste improbable, Microsoft recommande de bloquer les fichiers au format SVG. (Publié par Jimmy Graham dans The Laws of Vulnerabilities)
Les réglementations (loi de programmation militaire, RGPD…) et le besoin de confiance numérique ont incité les entreprises à développer une véritable culture du risque et à investir massivement dans des dispositifs de cybersécurité. Toutefois, si 100% des entreprises du CAC 40 agissent désormais en matière de cybersécurité, plaçant ainsi la France dans le peloton de tête des pays les plus actifs sur le sujet, la portée du risque sur l’activité des entreprises est encore sous-évaluée. Une réalité qui se constate aussi dans les innovations technologiques des entreprises, qui font souvent l’impasse sur la cybersécurité. C’est ce que révèle une étude du cabinet Wavestone sur les niveaux de maturité des entreprises dans le domaine de la cybersécurité. Pour cette nouvelle édition, les experts ont analysé les communications financières (notamment via leur rapport annuel et leur document de référence), publiés au 1er juin 2019, de 260 entreprises cotées dans le principal indice boursier des pays où Wavestone est présent : CAC 40, Dow Jones, FTSE 100, BEL20, SMI, HSI. Les résultats de cette étude unique donnent un aperçu du niveau de maturité déclaré des entreprises et de son évolution, sur différents aspects : implication des comités exécutifs, investissements en cybersécurité, RGPD…
Cybersécurité : Le CAC 40 progresse encore…
Pour évaluer le niveau de maturité des entreprises dans le domaine de la cybersécurité, les équipes du cabinet ont mis au point le financial communication cybermaturity index. Celui-ci permet d’évaluer les enjeux et les risques, la gouvernance et la réglementation, ainsi que les actions de protection mises en place dans les entreprises. Sur la base de cet index, les entreprises du CAC 40, qui étaient en dessous de la moyenne en 2017, progressent en 2018 (10,07/20 + 1,07 VS 2017).
Ainsi, ce sont 100 % des entreprises du CAC 40 qui mentionnent les enjeux de sécurité dans leur rapport annuel et qui se mobilisent sur le sujet de la protection des données personnelles (RGPD) (+42 points VS 2017). Ce sujet majeur pour les entreprises concerne désormais une majorité des comités exécutifs : 50% (+25 points VS 2017) des groupes du CAC 40 adressent la problématique de la cybersécurité au niveau du comité exécutif.
Une prise de conscience qui se constate aussi dans la nette progression de la prise de fonction de DPO (Data Protection Officer) dans les entreprises (52,5 % en 2018 VS 13% en 2017).
Plus encore qu’en 2017, les secteurs de la finance (14,77 % / +3,89 ptsVS 2017) et des technologies de l’information (12,05% / +0,89 pts VS 2017) sont les locomotives du niveau de maturité des entreprises du CAC 40.
… et caracole en tête des entreprises les plus matures dans la prévention des cyber-risques dans le monde
Parmi les 260 entreprises analysées sur les 6 places de marché (CAC 40, Dow Jones, FTSE 100, BEL20, SMI, HSI), le CAC 40 se place dans le peloton de tête des entreprises les plus matures sur la prise en compte de la cybersécurité dans les communications financières (10,07/20), juste derrière les Etats-Unis (10,15/20).
Si la France et les Etats-Unis s’illustrent dans le secteur de la finance, c’est le secteur des technologies de l’information qui dominent au Royaume-Uni et en Belgique.
Les résultats dévoilent aussi des cultures et des pratiques différentes autour de la cybersécurité : c’est aux Etats-Unis que l’implication du COMEX sur les problématiques en lien avec la cybersécurité est le plus fréquemment citée dans les rapports d’activité des entreprises (83%), devant le Royaume-Uni (61%), la France et la Belgique (50%). D’autre part, avec 46% de mentions faites sur les niveaux d’investissements en matière de cybersécurité, le Royaume-Uni valorise les investissements via des programmes de cybersécurité, contre 30% à 35% en France et aux Etats-Unis et 15% en Belgique.
Avec l’entrée en vigueur du règlement général sur la protection des données européen (RGPD), les entreprises françaises du CAC 40 mettent la Privacy à l’honneur, en affichant leurs ambitions sur la problématique dans l’ensemble de leurs rapports d’activité.
Alors que l’exemple français aurait pu susciter un éveil des autres pays européens sur la mise en place du RGPD, ce sont finalement les Etats-Unis (87%) qui se rapprochent de la France (100%) dans le domaine de la Privacy, suivis par la Belgique (75%) et le Royaume-Uni (71%).
Des investissements conséquents sur des programmes de cybersécurité, des actions en cybersécurité plus rares dans les technologies innovantes
Si les rapports d’activités font rarement mention des niveaux d’investissements engagés par les entreprises du CAC 40, le cabinet Wavestone a observé une augmentation des entreprises qui font état d’investissements conséquents dans des programmes de sécurité (35% / +22,5 pts VS 2017). Pourtant, dans le même temps, les entreprises font preuve d’un certain attentisme lorsqu’il s’agit d’investir dans des plans d’actions unitaires (45% en 2018 / – 35 pts VS 2017).
En témoignent aussi, des programmes d’innovation qui font toujours l’impasse sur la cybersécurité. En effet, alors que les projets liés à la 5G font leur apparition dans les entreprises du CAC 40, seul 1 projet fait le lien avec la cybersécurité. Une tendance qui se confirme aussi dans les domaines de l’IoT et de l’IA où seuls 2 chantiers sont liés à la cybersécurité, alors que le nombre de projets innovants ne cesse de croître dans ces domaines (58% pour l’IA / +12 pts VS 2017 – 45% pour l’IOT / +10 pts VS 2017). La cybersécurité reste toujours absente des projets dans le domaine de la Blockchain.
« Même si les résultats montrent une progression de la prise en compte de la cybersécurité, la France et le CAC40 restent en retrait sur la mobilisation effective des fonctions dirigeantes de l’entreprise. Alors que c’est une condition sine qua none au succès des programmes de cybersécurité ! », déclare Gérôme Billois, Partner cybersécurité et confiance numérique au sein de Wavestone.
Olvid, un nouvel outil de sécurisation de vos conversations. Mission : chiffrer vos messages mobiles sans risque de fuite de données !
Depuis quelques jours nous testons Olvid, un outil dédié aux smartphones (Android, iOS). Mission d’Olvid, permettre de communiquer avec ses collègues, proches, familles en mode chiffré.
Une application lancée en décembre 2018 sous l’impulsion de deux docteurs en cryptographie : Thomas Baignères et Matthieu Finiasz.
Olvid est sous la « protection » d’Agoranov, un incubateur fondé par l’ENS, Paristech, Dauphine Université Paris, Sorbonne Université, Inria et sponsorisé par le Ministère de l’enseignement supérieur, de la recherche et de l’innovation, l’Île de France, la Mairie de Paris et le Fonds social européen de l’Union européenne. A noter que Matthieu Finiasz est enseignant pour ENSTA-ParisTech.
Olvid
Il existe déjà de nombreux outils tels que Whatsapp (à bannir), Telegram (méfiance, on ne connait pas le code source et il semble exister une master key), Signal, … Olvid annonce être différent. Aucune trace sur les serveurs. Pas de fuite de données, pas d’espionnage, pas de données personnelles, anonymat complet. La versoin 0.7.3 pour Android ne dépasse pas les 6Mo.
Sécurisé, oui mais …
Bon, pour être très honnête, l’espionnage reste possible dans la mesure ou un logiciel espion a été installé dans votre appareil, à l’image de Cerberus. Mais le problème viendrait de la non maîtrise de votre téléphone, pas d’Olvid.
En ce qui concerne les communications, plus de risque. Le chiffrement rend illisible les conversations. « Contrairement à l’intégralité des autres messageries, la sécurité de vos communications ne dépend plus d’un serveur. explique les fondateurs de cet outil. Notre serveur se fait hacker ? Peu importe… la sécurité des communications est préservée. »
A tester sans attendre
L’outil réclame quatre informations nom, prénom, société et votre poste au sein de cette société. Vous pouvez, bien évidement mettre ce que bon vous semble. Une fois les données enregistrée, l’application produit un QRCode. Une information à transmettre à vos contacts par mail. Votre correspondant, qui doit installer sur son smartphone Olvid, photographie le QRCode reçu, si ce dernier reçoit l’invitation via un courriel lu sur un ordinateur. Un lien permet d’accéder directement au répertoire Olvid.
Aucun numéro de téléphone, adresse mail ne sont réclamés. Bref, seuls vos contacts autorisés connaissent votre présence dans l’outil.
Olvid est gratuite pour le moment. La bonne occasion de le tester (Android / iOS).
L’enquête terrain inédite menée par l’IRT SystemX auprès de PME et TPE françaises, victimes de cyberattaques, dévoile l’impact réel des cyber-préjudices et fait voler en éclats deux grandes croyances communément admises : le nombre de cyberattaques réussies s’avère bien supérieur aux estimations habituellement rendues publiques, tandis que le coût moyen des cyberattaques se révèle en revanche beaucoup plus faible que supposé. Zoom sur les 9 principaux enseignements de cette étude.
SystemX, unique IRT dédié à l’ingénierie numérique des systèmes du futur, dévoile les principaux enseignements de sa première enquête terrain menée sur 3 ans* auprès de plus de 60 entreprises françaises**, principalement des PME/TPE de moins de 50 personnes, victimes de cyberattaques. Toutes les régions et secteurs economiques sont représentés. L’objectif de cette enquête était de mesurer les préjudices causés au tissu économique, puis d’élaborer des modèles de calcul des coûts ainsi que de l’exposition d’une entreprise au risque Elle a également permis de collecter des signaux faibles, annonciateurs de nouvelles tendances, et notamment d’évolutions à attendre sur le mode opératoire de certaines formes d’attaques
Parmi les catégories d’attaques étudiées, le rançonnage par cryptovirus et les fraudes au président et faux ordres de virement prennent la plus grande place. Ont également été rencontrées : l’escroquerie au faux support technique, la prise de contrôle de messagerie, le piratage téléphonique, la fraude aux sentiments, l’usurpation d’identité, la mauvaise protection des caméras, la captation de nom de domaine, le défaçage ou encore le vol de compte bancaire. A noter la grande rareté des attaques DDos par déni de service contre des PME, ce qui constitue l’un des résultats inattendus de cette enquête et confirme que ce type d’attaque résulte avant tout d’un ciblage intentionné de la part d’un tiers.
« Cette enquête terrain est inédite en France : elle transmet une vision profondément renouvelée des attaques informatiques notamment grâce à une précision des chiffres jamais atteinte. Initiée dans le cadre du projetEIC (Environnement pour l’Interopérabilité et l’Intégration en Cybersécurité), elle remet en cause les chiffrages habituels, ce qui modifie la vision à porter sur le cyber-risque », explique Gilles Desoblin, Responsable de la thématique Défense et Sécurité, IRT SystemX.
Parmi les principaux enseignements de cette enquête
– La fréquence des attaques réussies en matière de cryptovirus est plus haute que supposée jusqu’alors : pour une PME de moins de 50 salariés, la probabilité d’être victime ne se mesure annuellement plus en pour mille mais en pour cent, se situant entre 2 et 5% (soit entre 100 000 et 250 000 entités par an). Elles ne se situent donc plus dans la catégorie des événements rares.
– Le coût moyen d’une attaque par cryptovirus est inférieur à ce qu’il est généralement communiqué via les médias : en effet, le coût moyen pour une TPE s’évalue actuellement en milliers d’euros par attaque réussie, en non en dizaines, centaines voire en millions d’euros. A noter que la progression des coûts n’est pas proportionnée seulement à celle de la taille d’une entreprise, mais dépend d’autres facteurs parfois inattendus tels que le mode de gestion des ressources humaines .
– La médiane constatée (de l’ordre du millier d’euros) est basse et se situe nettement au-dessous de la moyenne, ce qui signifie qu’un grand nombre d’attaques réussies trouvent des solutions à faible prix, particulièrement quand les sauvegardes ne sont pas affectées.
– Toujours concernant les cryptovirus, les coûts additionnés subis par l’ensemble des victimes de moins de 50 employés – entreprises ou associations – en France s’élèvent à un montant supérieur à 700 millions d’euros par an.
– Dans cette observation de transfert de richesse, le gain enregistré par les pirates déroge à l’image communément admise. La sortie de capitaux, due conjointement aux cryptovirus et aux fraudes aux président – soit plus de 200 millions d’euros -, masque des modèles économiques très différents entre ces formes de criminalité. Les calculs réalisés au sujet des cryptovirus font ressortir un ratio entre l’argent rançonné (sommes versées) et le préjudice total de l’ordre de 1/25 chez les PME/TPE. A contrario, les fraudes au président, malgré leur recours accentué à des acteurs humains et à l’ingénierie sociale, laissent entrevoir des marges finales plus élevées.
– L’étude dévoile également la sous-estimation du préjudice humain occasionné par ces attaques (fragilisation des personnes, perte de cohésion de groupe), avec la nécessité d’assister les décideurs pendant cette phase où ils doivent mener des arbitrages en situation de forte incertitude.
– A contrario, le préjudice sur l’image des entreprises touchées est surestimé, puisqu’il est souvent superficiel et passager, sauf si cela coïncide avec un temps fort de la société (lancement de nouveau produit ou événement-jalon important).
– Si les relations entre entreprises partenaires se sont confirmées être l’une des principales failles en cas d’attaque et de leurre, par exemple en matière de rançonnage avec des courriers du type « facture modifée » ou de fausses adresses bancaires (FOVI), l’observation plus fouillée fait ressortir qu’une partie très importante des coûts d’attaque provient de la déficience d’acteurs de l’écosystème de l’entreprise : prestataire ou éditeur informatique, opérateur télécom, fournisseur de messagerie, électricien, banquier, etc. Il est apparu que ces déficiences ou le manque de réactivité de nombre de ces acteurs alimentent le risque dans des proportions au moins comparables à celles engendrées par les déficiences internes.
– Enfin, contrairement à l’image d’une sécurité informatique qui s’obtiendrait par de forts investissements, l’étude souligne que la majorité des préjudices observés aurait pu être évitée ou atténuée par des modes de protection à coût modeste, et par une série de bonnes pratiques accessibles à la plupart des entreprises.
*Réalisée entre 2016 et 2019
** Entreprises invididuelles, TPE et PME de moins de 50 personnes et secteur associatif
Depuis quelques heures, vous recevez d’étonnantes factures ne correspondant à aucuns de vos achats. Explication de la malveillance cachée derrière cette missive électronique.
L’annonce des factures envoyée à plusieurs centaines de milliers d’exemplaires s’affiche assez simplement. En objet, le nom d’un site web. Le contenu du courriel vous affirme une commande en cours. « Votre commande numéro 1585432 d’un montant de 734€ a bien été encaissée par notre système de paiement. »
Un message qui a de quoi inquiéter. Plus de 700€ (certains autres courriels annoncent 300, 500, 700€). Comment est-ce possible ? piratage de votre compte bancaires ? Erreur d’une banque en votre défaveur ? Pas d’inquiétude. Il s’agit d’une arnaque. Ne cliquez pas, Data Security Breach l’a fait pour vous.
Fausse facture, faux sondage, vrai piège
En fait de facture, le lien proposé dans ce mystérieux courriel a pour mission de vous diriger vers un faux sondage. Mission, vous faire croire que vous allez pouvoir remporter une smartphone de dernière génération (iPhone, Samsung) pour la modique somme de 1€. Il faut lire les petites lignes pour comprendre le fonctionnement de ce – cadeau – : « Tous les nouveaux clients participent au tirage au sort du produit promotionnel […] Cette offre spéciale s’accompagne d’une période d’essai de 3 jours pour un service d’abonnement. »
C’est ici que le piège se referme. Pour recevoir votre téléphone, on vous réclame 1 euro de frais. Pour les payer, fournir son numéro de carte bancaire… et au bout de trois jours… vous voilà abonné pour 70 euros par mois.
Système marketing licite, les règles sont affichées, par particulièrement discutable. Derrière cette fausse facture et ce faux sondage, le site GaMoMu. Un espace appartenant à une habituée du genre, la société Chypriote CORIMANT LIMITED.
Pensé pour les utilisateurs, ce label permet aux acteurs de l’IoT de vérifier la sécurité d’une solution mettant en œuvre des objets connectés. Il constitue un indicateur fiable et indépendant pour les futurs acquéreurs ou usagers, professionnels comme particuliers.
La société digital.security, premier CERT européen dédié à la sécurité des objets connectés, annonce le lancement du programme de labellisation IoT Qualified as Secured (IQS), le premier programme de labellisation pour les acteurs de l’Internet des Objets (IoT) désireux de faire vérifier, par un tiers indépendant, la sécurité de leurs solutions IoT.
Avec plus de 14 milliards d’appareils IoT en circulation en 2019 et 25 milliards prévus d’ici 2021* les objets connectés sont devenus une cible privilégiée pour les cybercriminels. Ces derniers peuvent accéder physiquement à l’objet et mener des attaques sur les composants et les données personnelles ou sensibles, ou en prendre le contrôle à distance par le biais de la radio logicielle.
A qui s’adresse ce programme ?
IoT Qualified as Secured, ou IQS, permet aux industriels de l’IoT de vérifier la sécurité de leur solution mettant en œuvre des objets connectés. Matérialisé par le pictogramme IQS, c’est également un gage de sécurité pour les futurs acquéreurs ou usagers, entreprises comme particuliers.
Ses caractéristiques
Applicable à l’ensemble des secteurs économiques, le label IQS repose sur un référentiel intégrant à la fois les standards nationaux et internationaux de sécurité, les bonnes pratiques dites « d’hygiène de sécurité », et les exigences issues du retour d’expérience de digital.security.
Le cœur du label IQS est constitué d’une plate-forme d’évaluation de la sécurité des objets connectés -appelée EvalUbik – véritable banc de test permettant de mettre un objet connecté en condition d’utilisation paramétrable et contrôlée.
Deux niveaux de labellisation sont délivrés : standard et avancé.
Le label est délivré pour une durée de 2 ans aux solutions IoT (objets et services associés) respectant un ensemble d’exigences de sécurité publiées (entre 25 et 30 selon le niveau de labellisation).
La volonté de digital.security est de couvrir de façon objective et mesurable la grande majorité des exigences requises dans les pays de l’Union Européenne. La logique de millésime du label permet de le faire évoluer au rythme de la mise en place des règlements et des standards européens afin de permettre à tout acteur IoT d’inscrire sa démarche sécurité dans la durée.
Processus de labellisation
Le Comité de Labellisation, composé d’experts en cybersécurité indépendants de digital.security, confronte le rapport d’évaluation anonymisé au référentiel retenu pour accorder le certificat de labellisation.
Un référentiel d’exigences de sécurité adapté à l’IoT
Fruit des standards et des bonnes pratiques communément admises pour sécuriser les Systèmes d‘Information, complété du retour d’expérience des audits IoT réalisés par digital.security, le référentiel d’exigences de sécurité du label IQS couvre les thématiques suivantes :
La protection des échanges de données (PED)
Protection des socles techniques (PST)
La sécurisatoin de l’accès aux données (PAD)
Traçabilité (TRA)
L’ensemble des composants de la solution IoT candidate au label sont soumis au référentiel : les objets connectés, les protocoles de communication, les serveurs accessibles sur Internet et les applications fournies aux utilisateurs.
« Il n’y a pas d’innovation réussie sans maîtrise des risques», déclare Jean-Claude Tapia, président de digital.security. « Dans un marché mondial qui privilégie le time-to-market à un développement maîtrisé, il était essentiel pour nous de créer le premier label de référence sur la sécurité des objets connectés qui révolutionnent la façon dont les agents économiques et sociaux interagissent. Avec le lancement du label IQS, notre objectif, en tant que premier CERT IoT, est d’accompagner durablement cette révolution numérique pour le bénéfice de toutes les parties prenantes. », conclut Jean-Claude Tapia.
Bug informatique, perte d’informations, attaque d’un ransomware… des problèmes que l’on peut rencontrer chaque jour face à un clavier. L’une des solutions les plus efficace face à ce type de problématique, la sauvegarde. Nous avons testé la solution EaseUS qui vient de fêter ses 14 ans.
La sauvegarde, le backup … la protection de vos données personnelles, d’entreprises par le clonage sécurisé de ces dernières. Le réflexe indispensable pour une continuité d’exploitation. Pour cela, il existe de nombreuses solutions gratuites et payantes. Nous nous sommes penchés sur le cas de « Todo Backup Home » de l’éditeur EaseUS. L’entreprise vient de sortir la version 11.5 de son outil de sauvegarde. D’abord parce que nous utilisons une de leur solution (la récupération de données perdues) et ensuite parce que cette société vient de fêter ses 14 ans d’existence.
EaseUS Todo Backup Home
S’il fallait définir cet outil, nous pourrions le faire ainsi : une sauvegarde simple. En quelque clic votre machine, votre disque dur ou toutes données sélectionnées seront protégées par le backup.
Le fonctionnement est d’une simplicité enfantine. Plus d’excuse pour dire « C’est long, compliqué« . A près avoir installé l’outil (237 Mo), une administration claire et détaillée s’offre à vous. Plusieurs onglets, sans fioriture pour plus d’efficacité. Le premier, la sauvegarde de disque dur. Vous choisissez le HD a sauvegardé et vous cliquez après avoir sélectionnez la destination.
Bien évidement, cette destination ne doit pas être le même disque dur et sur le même ordinateur. Je vous conseille fortement un disque dur externe que vous pourrez déconnecter par la suite du poste sauvegardé.
Pensez aussi à chiffrer cette sauvegarde. Chiffrement que propose Todo Backup Home. Il vous sera réclamé un mot de passe afin de sécuriser l’ensemble. Un conseil, ne perdez pas ce password, la récupération sera impossible dans le cas contraire. Petit défaut, l’outil n’indique pas le type de chiffrement employé !
Une fois la sauvegarde effectuée, il est possible de recevoir un courriel indiquant la fin de l’action. Une option intéressante lors de l’automatisation de vos backups.
Pour ne pas surcharger vos sauvegardes de fichiers inutiles Todo Backup Home propose aussi d’exclure les contenus inutiles, consommateurs de Mo. Ici aussi, vous sélectionnez l’onglet adéquate et cochez les fichiers à exclure. Parmi les autres possibilités: la sauvegarde du système avec la possibilité de le transférer sur un nouveau poste, la copie de vos mails (ne fonctionne pour le moment que sous Microsoft Outlook).
Pour conclure, l’option « Stratégie de réserve d’images » vous permettra de ne pas saturer vos espaces de stockages de backup. Vous pourrez sélectionner, par exemple, la durée de conservation. Un détail loin d’être négligeable, aussi, avec le Règlement Général des Données Personnelles qui impose des durées/moyens/sécurisation des informations sauvegardées.
Bref, EaseUS Todo Backup Home fait le travail qu’on lui demande et il le fait vite et bien !
Il existe deux versions de ce logiciel. Une version gratuite et une version plus poussée, commercialisée 27€.
La première sera parfaite pour la maison, la famille.
La seconde est plus poussée, plus pointue avec des options beaucoup plus professionnelles. Je vais être honnête avec vous, j’ai tenté de vous faire gagner des licences ! En lieu est place, j’ai réussi à vous dégoter un -50% sur la licence professionnelle qui vous coûtera donc que 13,5€. (La promo est utilisable jusqu’au 20 juin 2020).
A vous de tester ! N’hésitez pas à faire un report de vos expériences ci-dessous.
Une étude en dit beaucoup sur la gestion des accès et des identités au sein des entreprises : les confessions de professionnels mais aussi les difficultés rencontrées pour mettre en place des solutions IAM (Identity and Access Management) et PAM (Privileged Access Management) adaptées.
One Identity, une société spécialisée dans la gestion des identités et des accès (IAM), publie les résultats d’une étude menée de manière anonyme auprès de 200 participants à la célèbre conférence « sécurité » – la RSA conférence – sur leurs plus grands défis et préoccupations en matière de sécurité, ainsi que sur leurs comportements professionnels liés à l’accès au réseau et au système.
Et il semblerait que beaucoup de professionnels ne s’embarrassent pas toujours des protocoles et mesures de sécurité :
L’étude mené par One Identity révèle ainsi que près de 7 répondants sur 10 admettent qu’ils consulteraient des fichiers sensibles s’ils avaient un accès illimité aux données et aux systèmes.
Plus de 60% pensent qu’ils emmèneraient avec eux des données ou des informations sur l’entreprise s’ils partaient, sachant que personne ne le saurait.
De plus, ils sont également 60% à admettre avoir commis des actes répréhensibles dans leur milieu de travail. Ils sont par exemple près de 40% à avoir déjà partagé un mot de passe et près de 20% ont sacrifié des conseils en matière de sécurité afin d’obtenir rapidement des résultats.
Difficiles à mettre en œuvre, les solutions IAM/PAM ne sont toujours pas une priorité
Les résultats de l’étude révèlent une hétérogénéité dans l’utilisation des solutions d’IAM et de PAM au sein des entreprises : certaines estiment qu’il s’agit d’une priorité, d’autres les négligent, exposant potentiellement leur organisation à des atteintes à la protection des données et à d’autres cyber-risques.
Parmi les résultats les plus significatifs de l’enquête :
1/3 des répondants affirment que la gestion des accès à privilèges (PAM) est la tâche opérationnelle la plus difficile en matière de sécurité.
Seulement 16 % des répondants citent la mise en œuvre de pratiques adéquates d’IAM comme l’une des trois principales préoccupations lorsqu’il s’agit de protéger le Cloud.
Par ailleurs, seulement 14 % des répondants affirment qu’un meilleur contrôle de l’accès des employés aurait un impact significatif sur la cybersécurité de leur entreprise.
Ces résultats démontrent que les entreprises ont du mal à mettre en œuvre des processus, des pratiques et des technologies adéquats en matière d’IAM et de PAM, et qu’elles négligent peut-être complètement l’impact de ces disciplines sur leurs dispositifs de sécurité.
Pour les professionnels, 3 tâches particulièrement complexes remontent en matière de gestion des accès et identités : 1 répondant sur 4 explique ainsi que le plus compliqué est de gérer les mots de passe des utilisateurs ; pour 1 sur 5 la tâche la plus complexe est la gestion du cycle de vie des utilisateurs (c.-à-d. le provisionnement et le dé provisionnement des utilisateurs), alors que ce sont deux des exigences fondamentales en matière de gestion des identités.
De plus, 1 répondant sur 4 affirme que l’Active Directory (AD) est le système le plus difficile à sécuriser pour l’entreprise. Cela est particulièrement préoccupant étant donné la prévalence de l’AD dans la plupart des organisations.
L’IAM dans le Cloud est complètement négligé
Lorsqu’il leur a été demandé de partager leurs trois principales préoccupations en matière de sécurisation du Cloud, près de 3 répondants sur 4 ont cité la perte de données. 44 % ont cité la menace externe, et 44% également ont cité la menace interne ! En revanche, seulement 16 % ont déclaré que la mise en œuvre de pratiques adéquates d’IAM était une préoccupation majeure. Ces résultats sont paradoxaux étant donné que les pratiques d’IAM – telles que le contrôle d’accès des utilisateurs basé sur des politiques et l’authentification multifactorielle – peuvent aider à atténuer à la fois les risques internes et externes liés à la cyber information.
David Earhart, Président et Directeur Général de One Identity déclare : « Rien de tel qu’un sondage anonyme pour découvrir quelques pratiques inavouées… et apprendre à mieux se protéger. Les résultats de notre étude montrent les pratiques en matière de gestion des accès – à privilèges notamment – et des identités sous un autre jour. Si l’on considère l’ensemble de la situation, les entreprises sont inutilement confrontées à des défis majeurs en ce qui concerne les tâches liées à l’IAM et au PAM, étant donné la technologie et les outils disponibles aujourd’hui. Notre espoir est que cette étude allume une étincelle pour que les organisations fassent un effort concerté pour relever ces défis et améliorer leurs stratégies et pratiques d’IAM et de PAM afin d’éviter les pièges cyber ».
Une étude réalisée lors d’un important rendez-vous cybersécurité américain. 200 personnes interrogées.
Actualités cybersécurité, protections des données pour PME/PMI/TPE
