Archives de catégorie : Entreprise

Actualités liées à la sécurité informatique des entreprises, PME, PMI, TPE, association, communes.

Entreprise

Les options de configuration : la boîte de Pandore des pirates

Les détails revêtent d’une importance cruciale en matière de sécurité d’entreprise. En effet, disposer seulement des meilleurs équipements technologiques ne suffisent plus à s’assurer une fiabilité totale.

Pour les pirates informatiques, l’environnement idéal pour une attaque est celui qui demande aussi peu d’effort que possible à infiltrer. Ces opportunités s’expliquent par des systèmes, des équipements peu ou mal configurés et entraînent une vulnérabilité totale de l’environnement et de ses données.

Voici les cinq principales erreurs de configuration qui peuvent entraîner des failles de sécurité.

1. Ne pas reconfigurer les identifiants par défaut

L’une des erreurs les plus courantes, et pourtant les plus évidentes, consiste à ne pas reconfigurer les noms d’utilisateur et les mots de passe par défaut des bases de données, des installations et des équipements. C’est un problème tellement basique qu’il est comparable à des clés laissées sur une porte verrouillée. Et quand cela arrive, les informations d’identification par défaut sont l’une des erreurs de configuration les plus faciles à exploiter.

Les scanners de vérification des mots de passe peuvent en effet permettre aux pirates d’accéder aux équipements clés du réseau, comme les pare-feu et les routeurs. Même les systèmes d’exploitation peuvent se trouver exposés à cause d’informations d’identification par défaut. Les attaques de force brute scriptées peuvent également fournir accès aux divers équipements en ciblant des noms d’utilisateur et des mots de passe par défaut, ou des options basiques comme « 12345 », « azerty » ou « password ».

Le processus est également automatisé jusqu’à un certain point. Les chercheurs ont récemment découvert un scanner web en Python appelé Xwo, en mesure de balayer facilement le web à la recherche de services web exposés et de mots de passe par défaut. Après avoir collecté les informations d’identification par défaut pour MySQL, MongoDB, Postgre SAL et Tomcat, le scanner transfère les résultats à un serveur de commande et contrôle pour poursuivre son action.

2. Retarder la mise à jour des logiciels

Les prestataires technologiques et les spécialistes de la sécurité répètent ce message essentiel à la sécurité depuis des années. Pourquoi ? Parce que c’est efficace. Des systèmes d’exploitation mis à jour à l’aide des derniers correctifs peuvent avoir un impact crucial sur la prévention des failles.
Certes, il peut être difficile de suivre le rythme des correctifs. Ces éléments peuvent changer tous les jours, et le défi s’étoffe à mesure que les environnements se complexifient. Mais si les administrateurs n’assurent pas une maintenance correcte sur le plan des correctifs, ils ne font qu’attendre un accident inévitable.

Et les attaquants continueront à exploiter les vieux bugs tant qu’ils seront efficaces. Bien que la détection et la prévention des vulnérabilités de type « Zéro Day » suscitent une attention justifiée, les vulnérabilités les plus couramment exploitées remontent, par comparaison, à l’âge de pierre du numérique.

3. Appliquer les mêmes mots de passe sur différents périphériques

Bien que des mots de passe forts et complexes constituent l’un des piliers de toute stratégie de sécurité basique, même lorsqu’ils sont mis en place, leur utilisation est discutable. Les environnements utilisent souvent le même compte utilisateur et le même mot de passe sur tous les périphériques d’un parc de terminaux.

L’une des principales raisons est que cela facilite la gestion. Mais, et c’est un inconvénient majeur, c’est également pratique pour les malveillants, et cela peut leur permettre de compromettre toutes les machines à partir d’une faille sur une seule d’entre elles. À partir de là, ils peuvent utiliser des programmes d’extraction des informations d’identification pour révéler les mots de passe, voire leurs hachages. C’est alors que les vrais problèmes commencent. La réutilisation des mots de passe doit être évitée à tout prix, et les comptes non indispensables doivent être désactivés avant de pouvoir fournir un accès.

4. La mauvaise configuration des interfaces à distance

Tout appareil en contact avec l’extérieur et connecté à Internet doit faire l’objet d’une protection particulièrement soignée. Des services tels que le protocole propriétaire RDP (Remote Desktop Protocol) développé par Microsoft peuvent fournir aux administrateurs une interface permettant de contrôler les ordinateurs à distance. Mais leur mauvaise configuration offre aux cybercriminels une possibilité d’accéder aux systèmes.

Par exemple, des ransomwares ont déjà ciblé les entreprises via des ports RDP ouverts, en utilisant des attaques par force brute et par dictionnaire. Les administrateurs doivent utiliser une combinaison de mots de passe forts et complexes, de pare-feu et de listes de contrôle d’accès pour réduire le risque de compromission.

5. Désactiver la journalisation ou la cape d’invisibilité des pirates

Bien que la désactivation de la journalisation ne permette pas nécessairement à un attaquant d’accéder à un système, cela lui permet d’agir en restant inaperçu sur la machine. Lorsque la journalisation est désactivée, les pirates informatiques peuvent se déplacer latéralement sur un réseau à la recherche de données ou d’actifs à exploiter, sans laisser de trace de leur activité.

Cela complique énormément le travail des analystes judiciaires et des intervenants en cas d’incident lorsqu’ils doivent reconstituer ce qui s’est produit lors d’un incident ou d’une intrusion. En revanche, il peut être très bénéfique d’activer la journalisation et d’en envoyer les données vers un emplacement centralisé, par exemple une plateforme de gestion des informations et des événements de sécurité (SIEM). Ces données fourniront les indices nécessaires aux analystes judiciaires lors d’une enquête pour reproduire l’attaque et comprendre l’ampleur de l’intrusion.

Tout périphérique, toute plateforme laissé(s) dans un état par défaut ou mal configuré facilite d’autant le travail d’un criminel. Bien que ces vulnérabilités n’entraînent pas nécessairement de problèmes tout de suite, les pirates informatiques les découvriront probablement à un moment donné et les exploiteront pour obtenir un accès non autorisé. La mise en place de configurations de sécurité appropriées pour protéger les applications, les serveurs et les bases de données peut aider les entreprises à préserver leurs données et leur éviter de devenir une cible facile.

Sauvegarde

Sauvegarde : 39 % des Français n’en font pas !

Plus d’un tiers des Français ne réalisent pas de sauvegarde, et près de la moitié parce qu’ils estiment que leurs données ou leurs fichiers ne sont pas suffisamment importants.

Un éditeur d’antivirus a réalisé une enquête en ligne dans le cadre de la Journée mondiale de la sauvegarde qui s’est tenue fin mars. Les résultats de l’enquête révèlent que, selon Avats, 39 % des Français ne sauvegardent pas leurs données ou leurs fichiers, s’exposant ainsi à une perte en cas de destruction ou de suppression. Parmi les personnes qui ne sauvegardent pas leurs données, près de la moitié (46 %) affirment ne pas disposer de données ou de fichiers suffisamment importants pour être sauvegardés. 27 % ne savent pas comment sauvegarder leurs données ; 16 % veulent le faire, mais oublient ; 11 % veulent le faire, mais n’en ont pas le temps. (Enquête en ligne menée auprès de 2 020 utilisateurs des antivirus Avast et d’AVG, du 20 février au 4 mars 2020.)

Les raisons invoquées par les propriétaires d’appareils Android et iPhone pour ne pas faire de sauvegarde sont également légèrement différentes. Les propriétaires d’iPhone semblent accorder plus de valeur à leurs données que les propriétaires d’Android. 44 % des propriétaires d’iPhone ne font pas de sauvegarde parce qu’ils pensent que leurs données ne sont pas importantes, contre 38 % des propriétaires d’Android qui partagent cette opinion. Le pourcentage de propriétaires de smartphones qui ne savent pas comment sauvegarder leurs données ne varie pas beaucoup entre les propriétaires d’iPhone et d’Android, puisque 19 % et 20 % d’entre eux, respectivement, affirment ne pas savoir comment faire.

L’étude d’Avast  indique aussi que 11 % des propriétaires d’iPhone et 19 % des propriétaires d’Android oublient d’effectuer une sauvegarde. Pour ce qui est du manque de temps à consacrer aux sauvegardes, 11 % des propriétaires d’iPhone et 16 % des propriétaires d’Android ont invoqué cette raison.

Comment optimiser la sauvegarde de ses données ?

Sauvegarder à deux endroits: lorsqu’il s’agit de sauvegarder des données, on n’est jamais trop prudent. S’il arrive quelque chose à un certain type de sauvegarde, tout pourrait être perdu. Il est donc recommandé de le faire à deux endroits différents, comme dans le cloud, et un stockage physique, comme un disque dur externe.

Déconnecter: les disques durs externes devraient être déconnectés après une sauvegarde afin de les protéger contre les logiciels malveillants tels que les ransomwares, qui peuvent se propager de l’ordinateur aux périphériques connectés.

Sauvegarder automatiquement: la plupart des services de stockage dans le cloud proposent une option de sauvegarde automatique, qu’il est conseillé d’activer, afin que les données soient automatiquement sauvegardées et sécurisées.

Le partage des responsabilités est primordial à la sécurité du cloud

« Jusqu’en 2025, au moins 99 % des incidents de sécurité liés au cloud seront imputables au client. » indiquait Gartner dans un analyse. L’entité tire ainsi la sonnette d’alarme quant à l’importance du partage des responsabilités en matière de sécurité cloud. Cet avertissement sous-entend que les organisations elles-mêmes – et non pas les fournisseurs de services cloud – doivent veiller à l’exhaustivité de leur approche en matière de sécurité.

En entreprise, la question de la migration des données sur le cloud divise l’opinion. Certains estiment que la sécurité accrue des données dans le cloud constitue l’une des principales raisons en faveur d’une migration. D’autres redoutent au contraire le manque de sécurité. Les deux parties ont en réalité raison. La sécurité constitue en effet l’aspect le plus important de l’offre d’un fournisseur de services cloud : un seul incident peut provoquer des pertes financières colossales.

Aucune organisation ne peut assumer à elle seule l’entière responsabilité de la sécurité des données. Organisations, utilisateurs, professionnels de la sécurité informatique et fournisseurs de services cloud ont pour mission commune de s’assurer que toutes les parties impliquées emploient le cloud de façon sûre.

À l’ère de l’économie numérique, la mise en œuvre d’un modèle de responsabilité est synonyme de confiance client, de risques réduits, de réputation  et plus généralement de succès opérationnel pour les entreprises.

Une clarification indispensable

Une sécurité optimale du cloud requiert plusieurs niveaux de protection. Les différents acteurs doivent s’occuper de chaque composant de la « pile des responsabilités » de façon individuelle, tout en interagissant comme une structure unifiée. Sécurité des infrastructures, contrôle du réseau, vérifications applicatives, gestion des identités et des accès, protection des terminaux, classification des données, contrôle des utilisateurs/périphériques/données, contrôle de la collaboration : la liste est longue et potentiellement effrayante pour tout service informatique, quelle que soit sa taille.

La protection proposée par les fournisseurs de services cloud ne garantit malheureusement pas une parfaite sécurité des données. Microsoft, Amazon, Google et autres grands noms précisent à juste titre que la responsabilité ne leur incombe pas entièrement et que les entreprises doivent se faire à l’idée d’une responsabilité partagée. Microsoft a par exemple publié son modèle pour Azure. Amazon applique une approche similaire pour AWS.

Dans un cas comme dans l’autre, la sécurité de l’infrastructure repose sur les actions mises en œuvre par le client afin de garantir la sécurité et la conformité du système.

Les fournisseurs de services cloud divisent traditionnellement les responsabilités en deux : ils énumèrent les fonctionnalités de sécurité proposées et laissent au client le soin de s’occuper du reste. Cette division est un bon début, mais elle peut être source d’incertitudes pour les entreprises clientes : comment déterminer et répartir les aspects relevant de leur responsabilité ? Dans chaque organisation, il est aujourd’hui indispensable de clarifier les rôles et les responsabilités de chaque acteur (sécurité informatique, risque et conformité, développeurs, acheteurs de services cloud et utilisateurs).

Cloud et location de véhicule : la responsabilité partagée de la sécurité comme point commun

La location d’une voiture illustre parfaitement le partage des responsabilités. Tout d’abord, le constructeur est dans l’obligation d’assurer que le véhicule est en état de rouler à sa sortie de la chaîne de montage. Les freins, roues et airbags doivent fonctionner comme il se doit. Une fois la voiture réceptionnée par l’agence de location, cette dernière ne vérifie pas les airbags, le locataire non plus : tous deux partent du principe que ces équipements fonctionnent correctement. Quand le véhicule n’est plus tout neuf, l’agence doit entretenir le véhicule et garantir qu’il est en état de marche.

Le locataire suppose que toutes les vérifications sur les équipements soient « ok » ; malheureusement, lorsque ce n’est pas le cas, il ne le découvre qu’au moment d’un problème avec le véhicule.

Pour les ceintures de sécurité, le principe est le même. Le constructeur doit les installer, l’agence de location les entretenir, mais c’est au conducteur qu’il revient de l’attacher et de vérifier que tous les passagers ont fait de même.

La location d’un véhicule implique ainsi une répartition des responsabilités entre cinq catégories de personnes. Chacun de jouer son rôle. Ignorer un niveau de sécurité peut avoir des conséquences désastreuses.

La responsabilité associée à la gestion des risques incombe à l’entreprise

Microsoft, Amazon et les autres fournisseurs de services cloud s’efforcent d’appliquer systématiquement des modèles de partage des responsabilités, mais les utilisateurs finaux – l’organisation en elle-même, les responsables de la sécurité des données, l’équipe de sécurité informatique, les utilisateurs – doivent assumer davantage de responsabilités.

Les dirigeants et responsables informatiques ne peuvent garantir la protection des informations dans le cloud que si les modules de sécu sont compris, en fonction et correctement mises en oeuvre !

C’est ce que démontre, depuis des semaines, des violation,  conséquence d’une mauvaise configuration des règles AWS pour des serveurs accessibles au public.

De manière générale, les responsables technologiques doivent déterminer à qui incombent la vérification et la gestion des configurations cloud, des flux de données entre différents services cloud, du comportement des utilisateurs, ou encore des contrôles relatifs à la collaboration, aux accès et aux périphériques.

Responsabilité associée

En définitive, la responsabilité associée à la gestion des risques incombe à l’entreprise, car c’est avant tout elle qui se charge de la collecte et de la sécurité.

Le fournisseur de services cloud joue certes un rôle important, mais contrairement à l’organisation cliente, il n’est pas en contact direct avec le public et n’assume pas le risque à la gestion de ces informations sensibles.

Les membres de l’équipe informatique doivent jouer le rôle de gardiens de la sécurité et de la conformité pour l’entreprise. Ils doivent travailler de concert avec le RSSI et les autres dirigeants pour comprendre et définir les politiques en matière de contrôle des données, coopérer avec les différents services pour catégoriser précisément les données, assurer la conformité réglementaire, faciliter les décisions du service des achats, définir les services cloud accessibles aux utilisateurs et garantir l’exhaustivité de la formation des utilisateurs.

En l’absence de processus stricts et de responsabilités clairement définies, une décision opérationnelle comme le déploiement d’un nouveau service de cloud public peut fortement exposer une entreprise à une violation de données ou à des incidents de sécurité connexes. À l’inverse, une démarche de partage des responsabilités permet de veiller à ce que chacun accomplisse son rôle.

Bitcoin, cryptomonnaie

Cryptomonnaies : appât du gain, internautes et Youtube

Une chaîne de jeux diffusée sur Youtube, Neebs Gaming, piratée et exploitée durant quelques heures par des escrocs spécialistes des cryptomonnaies. Les pirates amassent plus de 24 000 dollars.

Cryptomonnaies – Voilà une nouvelle escroquerie Internet rondement menée. Des pirates ont réussi à dérober plus de 24 000 dollars à des internautes attirés par l’appât du gain. Les escrocs ont réussi à faire croire aux pigeons qu’ils toucheraient 10 fois la sommes qu’ils verseraient sur une adresse Bitcoin proposée par les voleurs.

Pourquoi rondement menée ? Les pirates ont d’abord ciblé un youtubeur à l’audience loin d’être négligeable : 1,8 million d’abonnés. Ensuite, créer une vidéo reprenant des contenus officiels. Le nom et la bannière de l’espace ont été changés. Les pirates ont ensuite diffusé le porte-feuille sur lequel les internautes ont été invités à verser leurs Bitcoins.

Les escrocs ont utilisé le nom du PDG de Coinbase Pro, Brian Armstrong, pour inciter les webspectateurs à cliquer sur un lien qui promettait des cadeaux sous forme de Bitcoin gratuits: « Le PDG de Coinbase a annoncé le plus grand crypto Air-Drop de 10 000 Bitcoins, en direct« .

95 000 internautes ont assisté à la diffusion en direct de l’arnaque. Plusieurs d’entre eux ont participé à hauteur de 2,465 BTC, soit plus de 24 000 $.

Fuite de données

Takeout de Google stockait chez des inconnus

Google corrige un « bug » dans Takeout qui a stocké des photos et vidéos dans le cloud de parfaits inconnus.

Vous utilisez Google Takeout ? Le géant américain a corrigé un « bug » dans son outil de sauvegarde. Ce dernier a soudainement stocké des photos et des vidéos dans les clouds d’inconnus. Un problème apparu fin novembre 2019.

La société a envoyé des mails aux utilisateurs pour les informer du problème. Pour une courte durée, certaines de leurs vidéos sauvegardées avaient été communiquées par erreur dans des archives d’étrangers.

Il est indiqué que les utilisateurs qui ont exporté leurs photos ou vidéos entre le 21 novembre et le 25 novembre 2019 via Google Takeout, ont été affectés par ce problème. »Nous avons résolu le problème sous-jacent et avons mené une analyse approfondie pour éviter que cela ne se reproduise. Nous sommes désolés que cela se soit produit « , a déclaré Google.

Google Takeout permet de sauvegarder les données tirées des différents services de la firme de Mountain View.

Cloud, Cybersécurité

L’évolution des menaces dans les Clouds

Un rapport met en lumière les vulnérabilités des clouds, les tactiques des cyber-attaquants, où et comment les menaces font surface dans le contexte actuel, celui du passage généralisé aux l’infrastructures clouds, sans négliger de plonger dans le DevSecOps.

Ces 18 derniers mois, L’U42 a constaté un changement radical dans la façon dont les équipes DevOps déploient leurs infrastructures cloud. Les entreprises adoptent en masse l’infrastructure as code (IAC) en essayant d’automatiser au maximum leurs processus dans le cloud. Quand les équipes passent à l’IaC, elles évitent la création et la configuration manuelle de leur infrastructure en passant par des lignes de codes à la place. Même si ce n’est pas une nouveauté, comme de nombreuses sociétés utilisent cette méthode pour la première fois, de nouveaux risques se présentent.

Les recherches montrent qu’alors que l’IaC propose aux équipes une façon programmable d’implanter les standards de sécurité informatique, cette fonctionnalité puissante reste largement sous-utilisée.

199 000 templates non sécurisés sont en usage. Pourquoi est-ce important ? Les chercheurs ont trouvé un nombre incroyable de templates présentant des failles de sécurité avec des menaces moyennes à hautes. Il suffit d’une de ces mauvaises configurations pour compromettre tout un environnement cloud.

Tout comme il suffit d’une fenêtre ouverte ou d’une porte non verrouillée pour laisser entrer un voleur

Ce taux élevé explique pourquoi dans un précédent rapport, L’Unit42 a montré que 65 % des incidents liés au cloud étaient dus à de mauvaises configurations utilisateurs. Sans utilisations de templates IAS sécurisées dès le départ, les environnements cloud sont mûrs pour des attaques.

43 % des bases de données dans le cloud ne sont pas chiffrées. Pourquoi est-ce important? Avoir des données en clair revient à avoir une maison avec des murs de verre.

Quelqu’un peut venir et voir exactement ce qu’il se passe à l’intérieur. Garder ses données chiffrées empêche les attaquants d’accéder à l’information stockée. Le chiffrement des données est également obligatoire dans certains standards comme PCI DSS ou HIPAA. Les récentes failles de Vistaprint et MoviePass en démontrent l’importance.

60 % des services de stockage dans le cloud ont leur procédure d’identification désactivée. Pourquoi est-ce important? Une société n’accepterait jamais d’avoir plus de la moitié de ses entrepôts sans surveillance ni contrôle d’accès, car cela rendrait impossible de savoir qui entre ou sort dans les lieux. En désactivant la procédure d’identification pour le stockage dans le cloud, des cybercriminels comme CloudHopper ou FancyBear pourraient entrer dans le réseau sans que personne ne le sache. Cette identification est cruciale pour déterminer l’étendue des dégats dans des incidents comme la fuite des listes électorales états-uniennes, ou la fuite de données de la National Credit Foundation.

Les templates IaC les plus couramment utilisés
37% Terraform
24 % des templates CloudFormation
39 % K8s YAML

Les templates IaC les plus vulnérables
22% Terraform
42 % des templates CloudFormation
9 % K8s YAML

Dans le rapport précédent, il était notifié que les sociétés devaient améliorer la supervision centralisée et la mise en place des configurations cloud sécurisées. En dehors des templates IaC, dans les mois qui ont suivi ce rapport, nous avons constaté que les entreprises ont mis du temps à apporter ces améliorations. Pire, il semblerait que certaines s’engagent dans la mauvaise vois.

Les principaux changements depuis le dernier rapport

76 % des charges dans le cloud ont une exposition SSH (port 22), en hausse de 20 % par rapport à l’édition précédente rapport.

Pourquoi est-ce important?

Exposer ses serveurs SSH à l’ensemble d’Internet est une pratique à risque. Les attaquants ciblent les services SSH, car ils fournissent des accès distants aux environnements clouds. Les équipes de sécurité devraient laisser tomber les modèles d’accès basés sur la confiance avec des comptes et des mots de passe. « Ne jamais se fier, toujours vérifier » comme le préconise l’approche Zero-trust. Il est inquiétant de voir que cette exposition des services est une tendance en hausse.

69 % des entreprises exposent leurs postes de travail distants (RDP) (Port 3389), en hausse de 30 % par rapport à la précédente édition rapport.

Pourquoi est-ce important?

Faites votre choix : le poste de travail distant ou SSH. Exposé publiquement, chacun de ces services permet aux attaquants de frapper à votre porte alors qu’ils ne devraient même pas connaître votre adresse. Les chercheurs déconseillent fortement d’exposer les postes de travail distants publiquement sur Internet. De nombreuses solutions existent comme Azure Bastion, un service PaaS proposé par Microsoft. Cette tendance dangereusement à la hausse est à surveiller attentivement d’ici le prochain rapport.

27 % des sociétés utilisent des versions dépassées de TLS (Transport Layer Security), en baisse de 34 % par rapport au précédent rapport.

Pourquoi est-ce important ?

TLS v1.1 a été abandonné en 2008 en raison de sa vulnérabilité croissante aux attaques. En plus de ne plus respecter les demandes de certains standards comme PCI DSS, les entreprises qui l’utilisent encore mettent en danger les données de leurs clients. Voir baisser cette tendance est une bonne chose pour la sécurité des clients et le respect de leur vie privée.

Les bonnes pratiques à avoir

Avoir et maintenir une visibilité pluri clouds

Il est très difficile de sécuriser ce qui n’est pas vu ou su. Les équipes de sécurité doivent être les premiers à réclamer des plateformes cloud sécurisées dès le départ (CNSPs). Une visibilité à travers les clouds publics, privés ou hybrides, mais également les conteneurs, les déploiements « serverless » et les pipelines CI/CD  indispensables.

Respecter les standards

La sécurité à l’échelle du cloud demande un respect strict des standards.  Et cela à travers les environnements cloud publics, privés ou hybrides.

Pas encore de norme de sécurité ? La société peut consulter les benchmarks créés par le Center for Internet Security (CIS).

Un standard sur le papier c’est bien… mais il faut s’assurer qu’il est régulièrement mis en applications.

Toujours plus tôt

La sécurité « shif-left » consiste à prendre en compte la sécurité le plus tôt possible dans le développement. Travaillez avec les équipes DevOps pour que ses standards de sécurité soient compris dans les templates IaC qu’elles utilisent. C’est une situation gagnante tant pour le DevOps que pour les responsables sécurité.

Cybersécurité, Paiement en ligne

Pipka, le voleur de données bancaires sur site marchand

A la veille des fêtes de fin d’année, voici venir Pipka, un outil pirate voleur de données bancaires à partir des boutiques en ligne qu’il infiltre.

En septembre 2019, le programme Visa Payment Fraud Disruption (PFD) a identifié un nouvel outil pirate baptisé Pipka. Un skimmer JavaScript. Un voleur de données bancaires.

Pipka cible les données de paiement saisies dans les formulaires de paiement de commerce électronique des sites marchands. Le blog ZATAZ nous relatait ce type de malveillance électronique en 2018 et 2019.

Identification de Pipka sur seize sites marchands compromis. Contrairement aux précédents skimmers JavaScript, Pipka est capable de se retirer du code HTML du la site Web compromis après son exécution. Cela diminue ainsi la probabilité de détection.

Pipka, petit frère d’Inter

Semblable au skimmer JS Inter, le nouveau code pirate permet aux cybercriminels de configurer les champs de formulaire.

L’outil pirate analyse et extrait les données. Bilan, numéro de compte de paiement, date d’expiration, CVV, identités, adresse du titulaire de la carte sont copiés directement via la page légitime ! Le « pirate » vérifie les champs configurés avant l’exécution.

Le code malveillant s’injecte directement à divers endroits sur le site du commerçant. Les données chiffrées en ROT13.

L’aspect le plus intéressant et unique de Pipka est sa capacité à ne pas être présent dans le code HTML. Cela permet un mode fantôme efficace !

Que faire pour s’en protéger ? Compliqué tant la technique est efficace. Préférez des boutiques passant par des sites bancaires. Et espérer que votre commerçant soit au taquet du côté de sa cybersécurité, de son code et de sa veille ! (PFD)

Cybersécurité, Fuite de données

Fuite de données : attention à la mauvaise configuration de votre Google Formulaire

Confidentialité : Vous utilisez Google Formulaire pour vos sondages, questionnaires ? Si vous ne le configurez pas correctement, fuite de données assurée concernant vos participants.

Il y a 30 jours j’alertais la CNIL et l’ANSSI d’un problème rencontré via le service « Google Formulaire ».

L’outil du géant américain, en cas de mauvaise configuration, est capable de laisser fuiter les informations rentrées par les participants à des sondages, questionnaires, …

J’en ai profité pour poser quelques questions, par courriel, à un représentant de Google en Europe, mais sans aucune réponse de sa part.

Vous avez dit « Prefill »

Le problème est le suivant. Lors de la création d’un Google Formulaire, il est possible de mettre en mode invitation le document. Le lien de ce dernier apparaît alors sous cette forme https://docs.google.com/forms/d/*****/prefill. D’ailleurs, une requête dans le moteur de recherche, via le dork « inurl:docs.google.com/forms/d/ && prefill » permet de faire apparaître des centaines de créations de part le monde.

Demande d’autorisation. Sans l’accord de l’auteur, pas d’accès aux informations.

La plupart de ces formulaires apparaissent, quand on clique sur leur lien respectif, avec une demande d' »autorisation nécessaire« . Vous souhaitez accéder à ce contenu mais vous ne le pouvez pas. Il faut en faire une demande d’accès au créateur du formulaire.

Sauf que cette demande d’autorisation peut-être outrepassée.

Fuites de données assurées !

Il devient possible d’accéder aux données des participants !

Seulement, mal configuré, le « Google Form » va diffuser les informations des participants d’une manière dés plus triviale. Ozaik, un lecteur de Data Security Breach, m’a expliqué avoir retrouvé ses données par ce biais.

La méthode est simple. Il suffit de remplacer « prefill » par une autre commande. Nous ne la fournirons pas dans nos colonnes. Le problème venant des créateurs et de la mauvaise configuration de leur formulaire, il ne s’agit pas d’une faille Google. Cette commande fait sauter la « demande d’autorisation » et les autres restrictions de confidentialité. Le problème ne peut être corrigé que par les auteurs.

Plus dramatique, dans certains cas, les identités, les mails, les téléphones des participants apparaissent. Un malveillant n’a plus qu’à collecter. Les escroqueries et autres phishing « très » ciblés n’ont plus qu’à être lancés !

Les organisateurs ont été alertées afin d’effacer les informations !

Phase 03

Vous êtes Utilisateur des formulaires Google ? Sortez le mode d’emploi.
Vous souhaitez participer à un questionnaire via un formulaire Google ? Vous savez dorénavant les risques qui en découlent.

Côté RGPD, bon courage pour savoir qui a fuité, qui n’a pas fuité, qui va alerter et qui fera comme dans la majorité des cas : « Pas vu, pas pris » !

Cybersécurité, Entreprise, Social engineering

Le nombre de vos contacts augmente le piratage

Disposer d’un réseau de contacts professionnels est essentiel pour réussir dans le monde de l’entreprise, mais ces contacts peuvent être utilisés à mauvais escient par des attaquants

Les voies d’accès inattendues que des cybercriminels exploitent en s’attaquant au réseau de contacts d’une entreprise sont multiples. Voici la nature de ces risques et sur les mesures que les organisations peuvent prendre pour s’en prémunir.

Les criminels s’intéressent aux contacts de tous types : L’expansion d’un réseau de contacts accroît mécaniquement la surface d’attaque. Les contacts à tous les niveaux. Des partenaires commerciaux aux distributeurs. Des employés aux clients. Ils accroissent le risque potentiel d’une intrusion. En conséquence, des protections de cyber sécurité sont nécessaires pour gérer cette catégorie de risques.

Reconnaître les risques par association : Les relations d’affaires sont autant de potentielles voies d’accès pour des cybercriminels. Une entreprise peut être une cible intéressante. Elle offre une voie d’accès plus facile à certains de ses clients et partenaires.

Les plus grandes organisations doivent avoir mis en place des systèmes de sécurité plus sophistiqués. Donc, des malveillants infiltrent leurs partenaires pour y avoir accès par leur intermédiaire.

Le fournisseur, cet ennemi qui s’ignore

Les fournisseurs de services introduisent un nouvel ensemble de risques. Le modèle « as a service » accélère l’adoption de nouvelles technologies. Le processus de transformation digitale des entreprises, mais il introduit aussi de nouvelles vulnérabilités.

Toutes les entreprises s’exposent à des risques induits par leurs fournisseurs de services, fournisseurs de cloud ou autres. Pour protéger leurs opérations et leurs actifs, elles doivent donc contrôler leurs connexions avec chaque fournisseur de service, et leur infrastructure de sécurité comme leur gestion des risques à renforcer en conséquence.

Relationnel… pirate !

Les responsabilités des entreprises s’étendent à leurs relations avec leurs partenaires : Lorsqu’une intrusion se produit, les responsabilités ne sont pas limitées à une seule organisation. Ses dirigeants doivent faire tout leur possible pour protéger non seulement leur propre entreprise, mais aussi ses partenaires. En réponse à une cyber attaque, tous les efforts doivent être entrepris pour contenir, contrôler, rapporter et résoudre l’incident. Et il est important de réaliser qu’une entreprise peut être tenue pour financièrement responsable de pertes subies par d’autres qui ont été exposés à des risques en raison de leur connexion avec l’entreprise attaquée. Une partie des coûts induits par le cyber crime est liée aux obligations que les entreprises ont vis-à-vis de leurs connexions.

Employés, ohé! ohé !

Vos propres employés vous mettent en danger : Dans une organisation, ce sont les employés qui représentent le plus grand facteur de risque. Le rythme accéléré des affaires, nos méthodes de travail et la pléthore de distractions auxquelles nous sommes exposés dans notre vie de tous les jours conspirent tous à nous rendre vulnérables. Nous faisons des erreurs, nous sommes dans l’urgence, nous ouvrons des emails, cliquons sur des liens et téléchargeons des pièces jointes sans arrière-pensées. Et ce faisant, nous mettons nos entreprises en danger. Autant de raisons pour lesquelles les organisations ont besoin de nouvelles compétences en matière de sécurité pour les aider à sécuriser leurs activités.

Parlez-vous secret ?

Le blog ZATAZ.COM revient sur un test gratuit proposé par le SECRÉTARIAT GÉNÉRAL DE LA DÉFENSE ET DE LA SÉCURITÉ NATIONALE (SGDSN). L’idée, comprendre le secret en entreprise, et s’auto-évaluer sur cette problématique. A tester sans modération.

Etude FireEye.

Base de données, Entreprise

Comment constituer un référentiel client unique ?

La centralisation de toutes les sources d’informations sur le parcours client, tel est l’avantage majeur d’un RCU ou d’un référentiel client unique. Il s’agit d’un moyen qui facilite l’élaboration d’une campagne marketing à travers différents canaux. Cependant, comment mettre en place ce genre d’instrument ? Découvrez les réponses à cette question dans cet article.

Exporter manuellement les données de référentiel client unique

La méthode la plus simple pour obtenir un référentiel client unique est l’exportation manuelle des données. Cette astuce flexible reste à la portée de toutes les petites entreprises. Elle ne demande aucune connaissance approfondie dans le domaine informatique. En effet, il suffit de retirer les informations du client en provenance d’un outil et de les implanter dans un autre instrument. La méthode se résume à un tri dans une feuille de calcul. Chaque entreprise est libre de classer les renseignements comme elle l’entend. Néanmoins, cette astuce présente quelques inconvénients, comme :

  • Le ralentissement dans les flux de données clients ;
  • Le retard dans les mises à jour ;
  • Les répétitions dans les activités d’exportation ;
  • L’ennui ;
  • La limitation des renseignements traités.

Cette solution ne convient pas aux grandes entreprises qui reçoivent et traitent une quantité colossale de données clients.

Utiliser les logiciels de Workflows

La seconde option est de recourir à un logiciel de Workflow. Il s’agit d’un outil informatique qui consiste à automatiser la circulation des flux des données dans une entreprise. Dans le cas du référentiel client unique, l’outil vise à partager les informations sur les clients à chaque intervenant. Cette méthode nécessite un paramétrage préalable du système. Son élaboration réclame quelques compétences en informatique, mais son utilisation reste accessible à tous les employés. Malgré ces avantages, les logiciels de Workflows souffrent de quelques vices. Les outils ne sont pas adaptés à la gestion d’un flux de données importantes, ce qui limite leur champ d’action. De plus, ces instruments ont pour finalité le partage et non le stockage des données clients.

Se tourner vers le Marketing Automation

La croissance d’une activité suscite l’usage d’autres instruments plus complexes afin de constituer un référentiel client unique. C’est pourquoi il est capital de s’orienter vers les solutions de Marketing Automation. La méthode propose de se servir des plateformes baptisées tout-en-un, c’est-à-dire des outils qui rassemblent plusieurs fonctionnalités de gestion de données utilisateur. Ces instruments offrent une bonne scalabilité et trient les flux de données de manière efficace. Ils n’exigent aucune expertise en informatique. Néanmoins, l’équipe a besoin d’une formation préalable afin de maîtriser parfaitement l’outil. En outre, ces instruments requièrent l’utilisation de logiciels supplémentaires afin d’assurer leur performance. Il faut également souligner que leur usage implique un coût élevé.

Solliciter l’intervention d’un ingénieur en informatique

Une autre solution pour profiter d’un bon référentiel client unique est de demander l’aide d’un ingénieur des données. Le professionnel sera chargé d’intégrer les informations des clients et de lier les données aux autres outils grâce à la programmation. La solution offre une grande flexibilité et un contrôle total des données. Les entreprises peuvent d’ailleurs personnaliser la programmation en fonction de leurs besoins. L’ingénieur assure également la gestion de toutes les données clients, aussi complexes soient-elles. Dans certains cas, les entreprises font appel à un intervenant externe pour effectuer ces opérations. D’autres recrutent directement un ingénieur pour réaliser la programmation.

Recourir à la CDP, la dernière solution de référentiel client unique

Les Customer Data Platforms ou CDP forment la nouvelle solution de référentiel client unique. Comme indiqué sur cette page, ce sont des outils de programmation informatique qui centralisent les données des utilisateurs issues de plusieurs sources. En plus de la centralisation, le stockage se trouve parmi leurs principales activités. Ils synchronisent toutes les informations dans un même format. Par ailleurs, ces instruments ne demandent aucune intervention d’ingénieur ou de programmeur. Malgré leur complexité, ces outils sont faciles à utiliser. Ainsi, les CDP ont été élaborés spécialement pour répondre au besoin du référentiel client unique des grandes entreprises.

Base de données, Communiqué de presse, RGPD

Collectivités territoriales : un guide de sensibilisation au RGPD

Afin d’accompagner les collectivités territoriales dans leur mise en conformité au RGPD, la CNIL a élaboré un guide de sensibilisation disponible sur son site web.

Les collectivités territoriales traitent de nombreuses données personnelles, que ce soit pour assurer la gestion des services publics dont elles ont la charge (état civil, inscriptions scolaires, listes électorales, etc.), la gestion de leurs ressources humaines, la sécurisation de leurs locaux (contrôle d’accès par badge, vidéosurveillance) ou encore leur site web. Cette tendance ne fera que se renforcer avec la transformation numérique de l’action publique.

Dans ce contexte, le respect des règles de protection des données constitue aujourd’hui un facteur de transparence et de confiance à l’égard des citoyens et des agents, qui sont de plus en plus sensibles à la protection de leurs données. C’est aussi un gage de sécurité juridique pour les élus responsables des fichiers et des applications utilisés au sein de leur collectivité.

Les principes du règlement général sur la protection des données (RGPD) s’inscrivent dans la continuité de la loi Informatique et Libertés de 1978. Malgré cela, la CNIL est consciente que la mise en conformité au RGPD peut parfois être complexe, et que l’importance des enjeux justifie un appui spécifique de sa part.

Aussi, afin d’accompagner les collectivités territoriales dans leur mise en conformité au RGPD, la CNIL a élaboré un guide de sensibilisation.

Quel plan d’action pour se mettre en conformité ?

Ce guide s’adresse prioritairement aux communes de petite ou de moyenne taille, ainsi qu’à leurs groupements intercommunaux, ne disposant pas nécessairement en interne de ressources dédiées spécifiquement à la protection des données. Il propose des clés de compréhension des grands principes, des réflexes à acquérir, un plan d’action pour se mettre en conformité ainsi que des fiches pratiques.

Il évoque les conditions de désignation du délégué à la protection des données afin que chaque collectivité puisse identifier la modalité la plus adaptée à sa situation.

Pour élaborer ce guide, la CNIL s’est rapprochée des principales associations regroupant les différents niveaux de collectivités et autres organismes intervenant auprès du secteur public local. Cet appui permet d’apporter des réponses concrètes et adaptées aux collectivités.

Ce guide actuellement envoyé en version papier à toutes les mairies de Métropole et d’Outre-Mer.

En complément de ce guide de sensibilisation, des fiches techniques consacrées aux principaux sujets de préoccupation des collectivités ont également été publiées sur le site web de la CNIL.

La CNIL proposera par ailleurs un cours en ligne gratuit sur le RGPD et les collectivités.