Archives de catégorie : Base de données

Les identités numériques à l’heure de l’économie du partage

L’émergence de l’économie participative sur Internet offre à Monsieur tout le monde des possibilités jusqu’ici inenvisageables. Aujourd’hui, n’importe qui peut démarrer son activité de taxi en devenant chauffeur VTC (Voiture de Tourisme avec Chauffeur). Les propriétaires immobiliers peuvent louer leur bien comme un hôtel par le biais d’Airbnb. Grâce à ces sociétés qui mettent en relation les particuliers fournissant un service avec les consommateurs, le client a plus de choix. Tout se passe sur Internet par l’intermédiaire d’applications ou de sites Web.

Cette économie du partage repose en grande partie sur la confiance. Fournisseurs et consommateurs s’inscrivent pour pouvoir proposer ou acheter leurs services en ligne. Les transactions sont réalisées via une application ou un site Web dédié. Prenons le chauffeur VTC. Tant que le véhicule ne s’est pas
arrêté le long de la voie pour prendre son passager, le fournisseur du service et le consommateur ne s’étaient encore jamais rencontrés et n’avaient jamais discuté ensemble. Lorsque l’on loue l’appartement de quelqu’un, on peut parfaitement ne jamais rencontrer son propriétaire. Ainsi, il est fréquent qu’une personne, qui loue une maison à l’étranger par l’intermédiaire d’Airbnb, arrive et trouve les portes ouvertes, les clés posées sur la table avec une liste de consignes. À son départ, le locataire doit simplement reposer les clés au même endroit.

La plupart des gens sont dignes de confiance. Notre société ne fonctionnerait pas si ce n’était pas le cas. Bien sûr, certaines personnes malhonnêtes abusent de cette confiance. Dans le cadre d’une transaction en ligne anonyme, la confiance peut être plus difficile à instaurer. L’économie participative s’appuie sur des sources tierces pour établir l’identité des fournisseurs et des consommateurs. Les utilisateurs d’Airbnb peuvent même volontairement choisir de faire vérifier leur identité en envoyant une photo de leur carte d’identité nationale au service de vérification du site. Toute personne ayant des connaissances en sécurité de l’information sait pertinemment que cette procédure n’améliore pas significativement la procédure par défaut qui s’appuie sur les informations des profils Facebook, parfois couplées avec les identités sociales Google et LinkedIn.

On apprend parfois que tel appartement a été saccagé par un locataire lors d’une soirée. Ce genre d’incident reste rare. Airbnb prend la chose très au sérieux et a mis en place un plan de protection pour les propriétaires. Ainsi, en cas d’incident, Airbnb s’assure que le propriétaire est couvert.

Dans une économie du partage où des entreprises comme Uber et Airbnb mettent des personnes des quatre coins du monde en relation, la vérification des identités devient très compliquée. Sans être un pro de Photoshop, il n’est pas compliqué de falsifier l’image d’une carte d’identité nationale ou d’un
permis de conduire. Seul moyen de valider de manière fiable une identité en ligne ? Utiliser une identité électronique délivrée par une autorité nationale, ou à la rigueur, par un établissement bancaire. Pour la création de ces identités, l’enregistrement s’effectue lors d’un entretien en face à
face où l’intéressé doit produire une pièce d’identité complémentaire pour vérification. Son identité électronique ne lui sera délivrée qu’au terme de cette procédure. En arrière-plan, plusieurs processus sont mis en place pour affiner les vérifications d’identité d’une personne en interrogeant des bases de données officielles et d’autres ressources.

Le réveil de la force : des données appartenant à des joueurs d’Electronic Arts dans la nature

Piratage ? Fuite de données ? Phishing ? Plusieurs centaines de données appartenant à des joueurs de produits édités par Electronic Arts diffusés sur la toile.

Pour le moment, impossible de savoir d’ou proviennent les données diffusés sur Pastebin. Dans les fichiers mis en ligne, des informations appartenant à des joueurs de produits vidéo ludique proposé par l’éditeur Electronic Arts. Tout est possible : piratage d’ordinateurs de joueurs ; phishing ; Fuite de données internes. Avec le « buzz » autour du jeu star Wars Battlefront, les pirates ont les dents acérées et les griffes sorties. EA est une cible, comme les autres éditeurs de jeux vidéo. D’abord par une population de pirates, professionnels de la contrefaçon, visant les serveurs et espérant ainsi mettre la main sur des nouveautés, avant leur sortie (le cas le plus parlant fût celui de Sony Picture et des films stockés sur un serveur, 6 mois avant leur sortie en salle, NDR). Le vol de comptes de joueurs et autres données, pouvant être bancaires, attirent la force obscure de certains internautes. EA a Confirmé un problème interne et a proposé aux « clients » impactés de modifier leur mot de passe. Avoir accès à un compte permet aussi de jouer au jeu téléchargé, voir de revendre le compte,  afin d’en tirer des euros sonnants et trébuchants.

Fuite de données pour Deutsche Telecom

L’opérateur Allemand de téléphonie, Deutsche Telekom, corrige une fuite de données.

Un internaute du nom d’Ibrahim a découvert comment il était possible de mettre la main sur une sauvegarde d’une base de données appartenant à l’opérateur Allemand Deutsche Telekom. Une fuite de données étonnante.

Lors de l’authentification à la page d’identification (https://demandplan.telekom.de), le bidouilleur a simplement ouvert le code source du dit espace. Plusieurs noms de fichiers étaient appelés, comme index.php, adminuser.php, ProjectExport.php… Si les deux premiers renvoyaient l’internaute vers la page index du portail, le troisième semblait mettre en place une action invisible. L’action n’était rien d’autre… que la sauvegarde d’une base de données en mode .txt (export.txt) sur le site de Deutsch Telekom.

Bilan, il suffisait de lancer demandplan.telekom.de/export/export.txt pour récupérer la fameuse sauvegarde. DT a versé 1000€ à son sauveur. L’histoire ne dit pas ce contenait cette base de données.

Un circuit électronique capable de s’auto détruire en cas de piratage

Des chercheurs du Palo Alto Research Center mettent au point un système de protection des données en permettant à un circuit électronique de s’auto détruire en cas de piratage.

Des chercheurs étudiants du PARC, le Palo Alto Research Center, viennent de présenter ce qui semble être un avenir intéressant pour le matériel transportant des données sensibles. En cas de piratage par exemple, un des circuits électroniques gérant la machine sera capable de s’auto détruire.

Le projet est conduit par la Defense Advanced Research Projects Agency. La DARPA est cette fameuse agence de recherche de l’armée américaine à qui l’on doit, entre autres, la naissance d’Internet ou encore du High Productivity Computing Systems, des ordinateurs capables de traiter plusieurs pétaflops de données.

Les circuits, en silicium, explose à partir d’une impulsion électrique particulière, chauffant le circuit. Le chef de ce projet baptisé VAPR (Vanishing Programmable Resources), Gregory Withing, explique qu’une simple connexion sans fil Wi-Fi pourrait permettre de faire exploser le matos.

Une possibilité a double tranchant si de mauvaises mains peuvent actionner le système de sécurité. Les chercheurs avaient déjà proposé le circuit qui fondait à la demande. A suivre ! (Futura science)

Le pirate de JPMorgan Chase s’est attaqué à d’autres sociétés

Le pirate informatique qui s’est attaqué à la banque JPMorgan Chase a aussi visé, avec plus ou moins de succés, Citigroup, E*Trade Financial Corp, Automatic Data Processing et Regions Financial Corp.

Si certaines structures n’ont pas confirmé cette affirmation de plusieurs enquêteurs qui ont souhaité  rester anonyme, des entreprises comme E*Trade Financial Corp ont confirmé avoir été attaquées en 2013 par ce qui semble être le même pirate que la banque JPMorgan.

En 2014, ETCF avait indiqué ne pas savoir si des données clients avaient été impactées. Deux ans plus tard, voici la confirmation de cette infiltration. Au moins 31 000 clients de la structure bancaire ont été alertés d’une violation de leurs données. Les pirates ont pu avoir accès aux noms et e-mails des clients, ainsi que les adresses physiques de ces derniers. Il n’y a « aucune preuve que toutes les informations des comptes clients, y compris les mots de passe, numéros de sécurité sociale, ou des informations financières eurent été compromises » indique le communiqué de presse de la banque.

Un détail dés plus déroutant. Il est pourtant assez simple de savoir ce que les pirates ont pu lire, copier… Toutes les données contenues dans la base de données compromise ont été accessibles.

Nouvelles lois sur les violations de données pour la Californie

Le 6 octobre, le gouverneur de Californie a signé trois nouvelles lois qui tentent de clarifier les éléments liées aux violations de données.

Aux USA, dès qu’une entreprise se retrouve face à une fuite de données (piratage, ordinateur volé, clé usb perdue, documents transformés en confettis…), obligation lui est faite d’avertir les autorités, le Département de Justice et, par le biais du DoJ, les clients/utilisateurs potentiellement impactés.

Le 6 Octobre, le gouverneur de Californie, Jerry Brown, a signé trois nouvelles lois qui visent à clarifier les éléments clés des notifications alertant d’une fuite de données. Des lois qui sont censées fournir des conseils aux personnes, aux entreprises et aux organismes étatiques et locales qui stockent des informations personnelles. Des lois qui prendront effet le 1 Janvier 2016.

AB 964
Parmi ces trois lois, l’article AB 964 a fait tendre l’oreille et la souris de la rédaction de DataSecurityBreach.fr car elle vise la question du chiffrement. Les renseignements personnels sont maintenant considérés comme correctement « chiffrés » si elles sont « rendues inutilisables, illisibles ou indéchiffrables à une personne non autorisée à travers une technologie de sécurité ou de méthode généralement reconnue dans le domaine de la sécurité de l’information. » Malin, le législateur ne précise pas de son côté ce qu’est la meilleure méthode pour chiffrer efficacement.

Aujourd’hui, un mot de passe hashé (chiffré) en MD5, se cracke en quelques secondes. Ne parlons pas de l’utilisation de SSL, RC4 et TLS 1.0 (tous maintenant interdits par l’IETF). L’article SB 570 stipule que les alertes doivent être titrée « Avis de violation de données » et présenter des informations de notification pertinentes : ce qui est arrivé; quelle information impliquée; ce que le fuiteur a mis en place pour protéger les données. La dernière loi, la SB 34, élargit la définition du terme « renseignements personnels ».

Police : gestion de la base de données des plaques d’immatriculation

Pendant des années, la police américaine a utilisé des scanners de plaques d’immatriculation installées dans les voitures de patrouille. Elle achète aussi, aujourd’hui, des BDD à des entreprises privées.

Aux USA, mais aussi en Europe, comme en France d’ailleurs avec les contrôle automatisé de données signalétiques des véhicules (radars automatiques), ou encore avec LAPI (lecture automatisée de plaques d’immatriculation), les plaques d’immatriculations des automobiles sont stockées. Chez l’Oncle Sam, la lecture automatisée, via des caméras embarquées sur les véhicules, permet de télécharger les images dans les bases de données qui sont utilisées pour identifier les suspects de crimes et délits.

Il s’avère que la base de données policière n’est pas suffisante. Bilan, des bases de données de plaques sont acquises dans le secteur privé, chez les dépanneurs automobiles par exemple qui photographient les plaques, et les documents des automobilistes.

Les associations en charge des libertés civiles, et certains législateurs, s’inquiètent de ces partenariats, estimant que des protections devaient être mises en place contre les abus. Autres problèmes, l’obsolescence des bases de données acquises et la durée de conservation des données. Certains voix réclament que la police devrait obtenir un mandat d’un juge pour accéder aux bases de données en question. (WTOP)

Nouveau piratage chez un important courtier

Le courtier américain FXCM vient d’avouer le piratage de son informatique. Le pirate aurait orchestré des transferts d’argent appartenant à des clients.

FXCM, un spécialiste des opérations de changes a confirmé jeudi le piratage informatique de ses serveurs. Le pirate en a profité pour faire des transactions avec l’argent de certains clients du courtier américain. « FXCM a identifié un petit nombre de transferts non autorisés depuis les comptes de ses clients » indique le courrier envoyé au département de la justice américaine.

Tout a débuté par un chantage numérique. Le pirate a écrit à FXCM indiquant avoir eu accès à des informations sensibles appartenant à ses clients. Il a été conseillé à ces derniers de changer leur mot de passe.

L’OCDE, l’Organisation de Coopération et de Développement Economiques, a appelé ce jeudi les patrons d’entreprises à traiter les risques liés à la sécurité informatique comme un risque économique. Pour preuve, FXCM a perdu le quart de sa valeur après l’annonce de ce piratage. (WSJ)

Bug étrange pour H&M Belgique

Durant plusieurs dizaines de minutes, le site H&M Belgique a proposé dans sa boutique online l’ensemble de ses produits à 12,99€.

Une parka à 12,99 euros au lieu de 150 ; une veste à 12,99 au lieu des 70 euros habituels ; une chemise en soie pour 12,99€ au lieu de 40. L’ensemble de la boutique Internet Belge H&M a connu une salle aventure le week-end dernier. Un bug, une mise à jour ratée ou la manipulation malveillante de l’administration des prix ? H&M n’a pas communiqué sur le sujet, mais l’ensemble de son catalogue numérique était passé en intégralité à 12,99 euros. A noter également que les accessoires, moins chers, étaient eux aussi passés à 12,99 euros. (hln)

Quand les incidents de sécurité coûtent cher aux entreprises

Il est souvent difficile pour les victimes elles-mêmes d’estimer le coût total d’un incident de sécurité en raison de la diversité des dommages. Mais une chose est sûre, l’addition monte vite.

Une enquête mondiale réalisée en 2015 par Kaspersky Lab auprès de 5 500 entreprises, en coopération avec B2B International révèle également que les fraudes commises par les employés, les cas de cyber espionnage, les intrusions sur le réseau et les défaillances de prestataires extérieurs représentent les incidents de sécurité les plus coûteux. Selon ce rapport, le budget moyen nécessaire aux grandes entreprises pour se remettre d’un incident de sécurité serait de 551 000 et 38 000 dollars pour les PME.

« Définir le coût d’une attaque est une tâche très difficile à réaliser car le périmètre d’impact est variable d’une entreprise à l’autre. Cependant, ces chiffres nous rappellent que les coûts d’une attaque ne se limitent pas au remplacement du matériel, et nous obligent à nous interroger sur son impact à long terme. A noter également que toutes les entreprises ne sont pas égales : certaines attaques visent à stopper l’activité commerciale d’une entreprise quand d’autres ciblent l’exfiltration de données secrètes, par exemple. Il ne faut pas oublier non plus que l’onde de choc générée par l’annonce publique d’une attaque ou d’une fuite de données à des conséquences directes sur la réputation d’une entreprise, et ce qui est alors perdu est souvent inestimable » explique à DataSecurityBreach.fr Tanguy de Coatpont, directeur général de Kaspersky Lab France.

Facture moyenne d’un incident pour une entreprise :

  • Services professionnels (informaticiens, gestion du risque, juristes) : il existe 88% de chance d’arriver à une facture pouvant atteindre jusqu’à 84 000 dollars
  • Perte d’opportunités commerciales : dans 29 % cela peut représenter jusqu’à 203 000 dollars
  • Interruption d’activité : jusqu’à 1,4 million de dollars, soit 30 %
  • Total moyen : 551 000 dollars
  • Dépenses indirectes : jusqu’à 69 000 dollars
  • Atteinte à la réputation : jusqu’à 204 750 dollars

Les PME et les grandes entreprises ne sont pas logées à la même enseigne

Neuf entreprises sur dix ayant participé à notre enquête ont fait état d’au moins un incident de sécurité. Cependant, tous les incidents n’ont pas le même niveau de gravité et n’aboutissent pas à la perte de données sensibles. Le plus souvent, un incident grave résulte d’une attaque de malware ou de phishing, de fuites imputables à des employés ou de l’exploitation de vulnérabilités dans des logiciels. L’estimation des coûts permet de considérer la gravité des incidents de sécurité informatique sous un nouvel angle et fait apparaître une perspective légèrement différente entre les PME et les entreprises.

Les grandes entreprises encourent un préjudice nettement plus élevé lorsqu’un incident de sécurité est le fait d’une défaillance d’une tierce partie, les autres types d’incidents coûteux étant liés à des fraudes commises par les employés, des cas de cyber espionnage ou des intrusions sur le réseau. Les PME tendent à subir un préjudice important sur pratiquement tous les types d’incidents, qu’il s’agisse d’espionnage, d’attaques DDoS ou de phishing.

Pour télécharger le rapport complet sur le coût des incidents de sécurité, cliquez ici.