Archives de catégorie : Entreprise

Actualités liées à la sécurité informatique des entreprises, PME, PMI, TPE, association, communes.

BYOD, Chiffrement, cryptage, Cybersécurité, Fuite de données

Les meilleures pratiques de sécurité pour les PME

Un commentaire

La cybercriminalité augmente dans des proportions alarmantes. Les petites et moyennes entreprises sont devenues des cibles privilégiées pour les cybercriminels. Le Wall Street Journal a récemment déclaré que les petites entreprises se remettent rarement d’une cyberattaque, mais quelques étapes très simples vous permettent cependant de protéger votre entreprise. DataSecurityBreach.fr vous proposait, il y a quelques jours, des méthodes à mettre en place lors de vos voyages, avec votre ordinateur portable.

Quels sont les mots de passe que les cybercriminels tentent d’abord d’utiliser ? Comment sensibilisez-vous vos employés à la politique de sécurité ? Vos employés ont-ils conscience des risques liés aux réseaux sociaux ? Check Point répond notamment à ces questions pour vous aider à améliorer votre sécurité dès aujourd’hui. Cet article décrit les 10 meilleures pratiques de sécurité que les petites entreprises doivent prendre en compte pour protéger leur réseau.

1. Les mots de passe communs sont de mauvais mots de passe

                    Les mots de passe sont votre première ligne de défense en matière de sécurité. Les cybercriminels qui tentent de s’introduire dans votre réseau débutent leur attaque en essayant les mots de passe les plus courants. Une étude de SplashData a déterminé les 25 mots de passe les plus communément utilisés dans les pays anglophones. Vous n’en croirez pas vos yeux… Assurez-vous que vos utilisateurs utilisent des mots de passe longs (plus de 8 caractères) et complexes (comprenant des minuscules, des majuscules, des chiffres et des caractères non alphanumériques).

1 password

2 123456

3 12345678

4 abc123

5 qwerty

6 monkey

7 letmein

8 dragon

9 111111

10 baseball

11 iloveyou

12 trustno1

13 1234567

14 sunshine

15 master

16 123123

17 welcome

18 shadow

19 ashley

20 football

21 jesus

22 michael

23 ninja

24 mustang

25 password1

2. Verrouillez chaque entrée

Il suffit d’une seule porte ouverte pour permettre à un cybercriminel de pénétrer dans votre réseau. Tout comme vous protégez votre domicile en verrouillant la porte d’entrée, la porte du jardin et les fenêtres, pensez à protéger votre réseau de la même façon. Réfléchissez à toutes les manières dont quelqu’un pourrait s’introduire dans votre réseau, puis assurez-vous que seuls les utilisateurs autorisés peuvent le faire.

·       Utilisez des mots de passe renforcés sur les ordinateurs portables, les smartphones, les tablettes et les points d’accès Wifi. ·       Utilisez un pare-feu intégrant un système de prévention des menaces pour protéger l’accès à votre réseau (tel que l’Appliance Check Point 600)

·       Protégez vos postes (ordinateurs portables et ordinateurs de bureau) par des logiciels antivirus, antispam et antiphishing ·       Prémunissez-vous contre l’une des méthodes d’attaque les plus courantes en demandant aux employés de ne pas connecter de périphérique USB inconnu

3. Segmentez votre réseau

Une manière de protéger votre réseau consiste à le découper en zones et protéger chaque zone de manière appropriée. Une zone peut être réservée uniquement au travail important, tandis qu’une autre peut être réservée aux invités, dans laquelle les clients peuvent surfer sur Internet sans être en mesure d’accéder à la zone de travail. Segmentez votre réseau et imposez des exigences de sécurité plus strictes là où c’est nécessaire.

·       Les serveurs web destinés au public ne devraient pas être autorisés à accéder à votre réseau interne ·       Vous pouvez autoriser l’accès invité, mais ne permettez pas à des invités d’accéder à votre réseau interne ·       Découpez éventuellement votre réseau selon les différentes fonctions de l’entreprise (service clientèle, finance, reste des employés)

4. Définissez et appliquez une politique de sécurité, et sensibilisez vos utilisateurs

Définissez une politique de sécurité (de nombreuses petites entreprises n’en ont pas) et utilisez votre système de prévention des menaces à sa pleine capacité. Prenez le temps de déterminer les applications que vous souhaitez autoriser sur votre réseau et celles que vous n’autorisez pas. Formez vos employés à l’utilisation conforme du réseau de l’entreprise. Officialisez la politique de sécurité, puis appliquez-la où vous le pouvez. Notez tous les manquements à la politique et toute utilisation excessive de la bande passante.

·       Mettez en place une politique d’utilisation appropriée pour les applications et les sites web autorisés/non autorisés ·       N’autorisez pas l’utilisation d’applications à risque, telles que Bit Torrent et autres applications de partage de fichiers en P2P, qui sont une des méthodes courantes de diffusion de logiciels malveillants

·       Bloquez TOR et tout autre anonymiseur dont l’objectif est de masquer les comportements et contourner la sécurité

·       Pensez aux réseaux sociaux durant la définition de la politique

5. Prenez conscience des risques liés aux réseaux sociaux

Les réseaux sociaux sont une mine d’or pour les cybercriminels qui cherchent à obtenir des informations sur des individus pour améliorer les chances de succès de leurs attaques. Les attaques de phishing, de spearphish et d’ingénierie sociale, débutent toutes par la collecte de données personnelles sur des individus.

·       Sensibilisez vos employés en les invitant à faire preuve de prudence lorsqu’ils communiquent sur les réseaux sociaux, même lorsqu’il s’agit de leur compte personnel

·       Faites savoir à vos utilisateurs que les cybercriminels constituent des profils sur les salariés pour augmenter la réussite de leurs attaques de phishing et d’ingénierie sociale

·       Formez vos employés sur les paramètres de confidentialité des réseaux sociaux afin de protéger leurs données personnelles

·       Les utilisateurs devraient faire attention aux informations qu’ils partagent car les cybercriminels pourraient deviner les réponses de sécurité (telles que le prénom des enfants) pour réinitialiser des mots de passe et ainsi réussir à accéder à leur compte

6. Chiffrez tout

Une seule fuite de données peut être dévastatrice pour votre entreprise et sa réputation. Protégez vos données en chiffrant celles qui sont confidentielles, et facilitez ce processus pour vos employés.

Intégrez le chiffrement à votre politique de sécurité.

·       Installez des mécanismes de chiffrement avant le démarrage sur les ordinateurs portables de l’entreprise pour les protéger en cas de perte ou de vol

·       Achetez des disques durs et des clés USB avec chiffrement intégré

·       Renforcez le chiffrement de votre réseau Wifi (en utilisant notamment la norme WPA2 avec chiffrement AES)

·       Protégez vos données des écoutes clandestines en chiffrant les communications Wifi via VPN (réseau privé virtuel)

7. Maintenez votre réseau au top de ses performances

Votre réseau et l’ensemble des composantes qui y sont connectés, devraient fonctionner comme une machine bien huilée. Une maintenance régulière permet de garantir des performances optimales et d’éviter tout ralentissement.

·       Vérifiez que les systèmes d’exploitation des ordinateurs portables et des serveurs sont à jour (Windows Update est activé sur tous les systèmes)

·       Désinstallez tout logiciel qui n’est pas nécessaire à votre activité pour éviter d’avoir à le mettre à jour régulièrement (Java, par exemple)

·       Mettez à jour les navigateurs et les applications Flash, Adobe et autres, sur vos serveurs et ordinateurs portables

·       Activez les mises à jour automatiques le cas échéant pour Windows, Chrome, Firefox, Adobe

·       Utilisez un système de prévention des intrusions (IPS) tel que l’Appliance Check Point 600 pour stopper les attaques sur les ordinateurs portables qui ne sont pas à jour

8. Faites preuve de prudence envers le Cloud

Le stockage et les applications dans le Cloud sont à la mode, mais comme vous le rappelle souvent datasecuritybreach.fr, soyez prudent. Tout contenu déplacé vers le Cloud échappe à votre contrôle. Les cybercriminels profitent des faiblesses de sécurité de certains fournisseurs de service.

·       Lorsque vous utilisez le Cloud, vous devez considérer que les contenus que vous y envoyez ne sont plus privés

·       Chiffrez les contenus avant de les envoyer (y compris les sauvegardes système)

·       Vérifiez la sécurité de votre fournisseur de service

·       N’utilisez pas le même mot de passe partout, en particulier ceux que vous utilisez pour le Cloud

9. Ne laissez pas l’administration aux soins de tous

Les ordinateurs portables sont accessibles via des comptes utilisateur et des comptes administrateur. L’accès administrateur donne plus de liberté aux utilisateurs et de contrôle sur leur ordinateur portable, mais ce contrôle est transféré aux cybercriminels lorsque le compte administrateur est piraté.

·       Ne laissez pas les employés utiliser Windows avec des privilèges administrateur dans le cadre de leur activité quotidienne.

·       L’utilisation d’un compte avec des droits utilisateur réduit la capacité des logiciels malveillants à provoquer des dégâts, comme ils pourraient le faire avec des privilèges administrateur.

·       Prenez l’habitude de changer les mots de passe par défaut sur tous les appareils, y compris les ordinateurs portables, les serveurs, les routeurs, les passerelles et les imprimantes réseau.

10. Maîtrisez l’utilisation des appareils personnels

Commencez par définir une politique d’utilisation des appareils personnels (BYOD). De nombreuses entreprises évitent le sujet, alors que datasecuritybreach.fr vous l’indique très souvent, c’est une tendance qui continue de se développer

. Ne faites par l’erreur d’ignorer ce sujet ! Sensibilisez plutôt vos utilisateurs.

·       Autorisez uniquement l’accès invité (Internet seulement) aux appareils appartenant aux employés

·       Verrouillez les appareils appartenant aux utilisateurs par mot de passe

·       Accédez aux données confidentielles uniquement à travers un VPN chiffré. Datasecuritybreach.fr vous conseille l’excellent VYPRVPN.

·       N’autorisez pas le stockage de données confidentielles sur des périphériques personnels (données des clients et de cartes de paiement notamment)

·       Prévoyez un plan d’action en cas de perte ou de vol d’un appareil personnel

ios, Sauvegarde, Sécurité, Smartphone, Vie privée

Faille pour iOS 7 : vol de données possibles

3 commentaires

Une vulnérabilité découverte dans iOS 7. Piratage de vos photos, e-mails, comptes Twitter et Facebook en deux coups de doigt. Le nouveau iPhone, et les « anciennes » versions sous iOS 7 vont donner quelques petites frayeurs à leurs fiers propriétaires. Une faille permet de déverrouiller le téléphone et accéder aux petits secrets du « précieux » d’Apple. Les voleurs d’iPhone peuvent rendre le verrouillage totalement inutile en lançant une simple petite application. L’appli ‘timer’, qui se lance à partir du panneau de commande, est le fautif. La technique est simple, elle avait déjà fait un bel effet sur les « anciens » iPhone, mais aussi sur les Samsung 4. DatasecurityBreach.fr vous explique le « truc ». Pour faire sauter le mot de passe : « Timer », mettre l’iPhone hors tension et  appuyer deux fois sur le bouton « home ». Bilan, l’écran multitâche s’ouvre et l’accès à l’appareil photo s’ouvre, donnant par rebond accès à Facebook, Twitter, aux e-mails et SMS. Vous comprenez pourquoi il existe déjà une mise à jour d’iOS7 : iOS 7.0.1.

Mise à jour : Lookout a découvert que cette nouvelle menace va au-delà de l’application Horloge, l’application Calculatrice étant également concernée. Un accès complet à la liste des contacts est possible. Pour se sécuriser, en attendant le patch complet, direction les « Paramètres des Applications » ; sélectionnez les Réglages du « Centre de contrôle » et désactiver « Centre de contrôle », « Centre de notification» et «Siri» pour le verrouillage de l’écran.
Argent, Arnaque, Cybersécurité, pourriel, spam

Pas de trêve estivale pour les spammeurs

En août, 82 % du flux email sont des spams et 8 % des emails sont des publicités. La société VadeRetro, spécialisée dans la lutte contre les spams vient de nous envoyer ses statistiques pour le mois d’août. Autant dire qu’une fois de plus, l’ambiance « courriel » sur la toile pique les yeux. 82 % des emails sont des spams ; 8 % sont des emails publicitaires ; et, seulement, 10 % des emails sont légitimes. Des statistiques tirées du Vade Retro Cloud qui comprend 12 000 domaines, 200 000 boites aux lettres valides et 8 500 000 mails par jour. Autant dire que cela en fait de l’énergie, de la bande passante et de l’argent « cramés » par ces pourriels. Si aucun virus n’aura été détecté durant cette période, il faut rappeler que les virus sur le SMTP sont une partie dérisoire du flux mais représentent toujours une grande menace. Beaucoup de virus SMTP sont issus des botnets qui cherchent à agrandir leur parc de postes infectés. Une vague de virus SMTP est souvent suivie d’une vague de SPAM. www.vade-retro.fr/fr/

Argent, Cyber-attaque, Entreprise, Fuite de données, Leak, Propriété Industrielle

Les attaques ciblées coutent beaucoup d’argent

Kaspersky Lab et B2B International viennent de dresser un état des lieux des coûts liés à une attaque ciblée pour les grandes entreprises et les PME. Les attaques ciblées comptent parmi les cybermenaces les plus dangereuses car elles sont généralement préparées et lancées par des pirates professionnels qui disposent de ressources financières importantes et d’une excellente expertise informatique. Datasecuritybreach.fr vous l’explique souvent, ces attaques visent en général à récupérer des informations secrètes ou confidentielles d’une entreprise spécifique. Toute fuite de ces données est susceptible d’entraîner des pertes considérables.

À combien peuvent s’élever les pertes à Selon l’étude « Global Corporate IT Security Risks 2013 » réalisée par B2B International pour Kaspersky Lab au printemps dernier, ces incidents coûtent en moyenne jusqu’à 2,4 millions de dollars à l’entreprise, dont environ 2,17 millions de dollars directement imputables à l’incident lui-même, sous la forme de pertes liées aux fuites de données stratégiques, à l’interruption d’activité et aux frais des services de rétablissement spécialisés (juristes, spécialistes de la sécurité informatique, etc.). Les entreprises doivent également régler une facture supplémentaire d’environ 224 000 dollars pour financer des mesures telles que la mise à jour des logiciels et de l’équipement, le recrutement et la formation du personnel ; en somme des mesures visant à éviter que ce type d’incident ne se reproduise.

Les pertes résultant d’attaques ciblées sur les PME sont nettement inférieures (environ 92 000 dollars par incident), mais si l’on considère la taille de ces entreprises (entre 100 et 200 employés en moyenne), le coup porté reste important. Sur ce montant moyen, environ 72 000 dollars sont dépensés pour remédier à l’incident et 20 000 dollars seront dédiés à la prévention d’incidents similaires à l’avenir.

Autres types d’attaques coûteuses Même si leur coût financier est le plus élevé, les attaques ciblées ne sont pas les attaques les plus courantes. Environ 9 % des participants à l’enquête ont indiqué que leur entreprise avait subi une attaque ciblée au cours des 12 mois précédents Alors qu’un pourcentage nettement supérieur (24 %) a signalé le piratage de l’infrastructure de réseau de l’entreprise. Pour les grandes entreprises, ces attaques peuvent coûter jusqu’à 1,67 million de dollars (73 000 dollars pour les PME) et sont considérées comme le deuxième type d’attaque le plus coûteux. 19 % des entreprises ont subi des fuites intentionnelles de données, pour un coût financier moyen de 984 000 dollars (51 000 dollars pour les PME). Les attaques exploitant des failles dans des logiciels courants ont touché 39 % des entreprises. Suite à ce type d’attaque, les grandes entreprises ont subi des dégâts d’un montant moyen de 661 000 dollars, contre 61 000 dollars pour les PME.

Les mesures préventives appropriées Les attaques ciblées sont complexes et exigent généralement une longue période de préparation au cours de laquelle les utilisateurs malveillants s’efforcent de repérer les points faibles de l’infrastructure informatique d’une entreprise et de trouver les outils nécessaires au lancement de l’attaque. Un antivirus seul n’offre pas de protection contre ce type de menace, bien que des solutions antivirus efficaces permettent de gérer d’autres types de menaces. Il est nécessaire de mettre en place une solution professionnelle basée sur des technologies de détection des menaces à la fois modernes et proactives pour protéger l’entreprise aussi bien contre les attaques ciblées, que contre d’autres menaces informatiques dangereuses.

Biométrie, Fuite de données, ios, Smartphone

Biométrie… sécurité bon pied bon œil pour Apple ?

Un commentaire

Apple a présenté son nouveau smartphone équipé d’un lecteur d’empreintes digitales. « C’est un bon début pour sécuriser son mobile mais ce n’est pas suffisant », souligne à DataSecurityBreach.fr Marc Rogers, Responsable de recherches chez Lookout, leader de la sécurité pour téléphones mobiles et tablettes. Les technologies de reconnaissance d’empreintes digitales sont pratiques Elles sont en effet plus pratiques que les codes PIN, si bien que de nombreux utilisateurs n’ont recours qu’à cette méthode. Mais, utilisées seules, elles n’offrent pas beaucoup plus de sécurité que les codes à 4 chiffres.

La reconnaissance d’empreintes digitales doit être associée à d’autres méthodes d’authentification
Dans les environnements ultra sécurisés, tels que les installations militaires, les technologies de reconnaissance d’empreintes digitales sont généralement associées à d’autres solutions biométriques, de reconnaissance rétinienne ou de la géométrie de la main, par exemple. Car les empreintes digitales peuvent être relevées et reproduites. D’où l’importance d’installer un second système d’authentification, biométrique ou par code PIN. Il est toujours risqué de ne miser que sur une seule méthode de sécurité. Les technologies de reconnaissance d’empreintes digitales ont des limites, qu’il est crucial de connaître afin de les utiliser en toute connaissance de cause.

Les technologies de reconnaissance d’empreintes digitales sont vulnérables
Une empreinte digitale peut tout à fait être reproduite. Et les techniques de reproduction risquent d’ailleurs d’évoluer au gré de l’adoption des systèmes de reconnaissance d’empreintes digitales. Sans compter que les voleurs peuvent toujours forcer leurs victimes à déverrouiller un système.

Les technologies de reconnaissance d’empreintes digitales participent à lutter contre les vols de téléphones
La sécurité de terminaux mobiles est un défi particulièrement complexe. La bonne nouvelle est qu’Apple et d’autres fabricants de terminaux mobiles ont décidé de s’y atteler ensemble. Leur objectif : déterminer quels mécanismes de sécurité associer pour compliquer la tâche des voleurs. Nul doute que la reconnaissance d’empreintes digitales fera partie de l’équation. Il reste à découvrir comment Apple mettra cette technologie au service des consommateurs.

Il n’y a pas de recette miracle pour protéger les terminaux mobiles
Tout ce qui est fait par l’homme peut être défait par l’homme. Il est donc indispensable de combiner plusieurs technologies qui compliqueront la tâche des attaquants et les dissuaderont de passer à l’acte.

Entreprise, Fuite de données, Hacking

5 Etapes Importantes à la Sécurisation des Environnements SCADA

5 Etapes Importantes à la Sécurisation des Environnements SCADA. Par Eric Lemarchand, Ingénieur Système chez Fortinet, pour DataSecurityBreach.fr. L’attaque par le virus Stuxnet contre l’Iran en 2010 a fait prendre conscience de la vulnérabilité des systèmes industriels souvent connus sous le nom de SCADA (Supervisory Control And Data Acquisition ou télésurveillance et acquisition de données en français), Mis en place depuis des dizaines d’années dans de nombreuses industries, cette architecture SCADA a montré des failles sécuritaires qu’il est aujourd’hui urgent de résoudre.

Les environnements SCADA sont des systèmes de gestion et de contrôle industriel, généralement déployés à grande échelle, qui surveillent, gèrent et administrent ces infrastructures critiques dans des domaines divers et variés : transport, nucléaire, électricité, gaz, eau, etc. A la différence d’un réseau informatique d’entreprise classique, l’environnement SCADA permet d’interconnecter des systèmes propriétaires ‘métier’ : automates, vannes, capteurs thermiques ou chimiques, système de commande et contrôle, IHM (Interface Homme Machine)… plutôt que des ordinateurs de bureau. Ces infrastructures sont principalement déployées en entreprise, mais sont désormais aussi présentes chez les particuliers.

Les environnements SCADA utilisent un ensemble de protocoles de communication dédiés, tels que MODBUS, DNP3 et IEC 60870-5-101, pour établir la communication entre les différents systèmes. Ces protocoles permettent de contrôler les API (Automates Programmables Industriels) par exemple, entrainant des actions physiques telles que l’augmentation de la vitesse des moteurs, la réduction de la température… Pour cette raison, l’intégrité des messages de contrôle SCADA est primordiale et les protocoles de communication devraient être entièrement validés.

Conçus pour fonctionner des dizaines d’années, à une époque où la cybercriminalité ciblant spécifiquement le secteur industriel n’était pas répandue, ces systèmes SCADA n’ont pas été pensés en tenant compte de la sécurité réseau. Très souvent, les principes de sécurité élémentaires n’ont pas été intégrés pour deux raisons principales: d’une part, l’architecture SCADA n’était pas intégrée au système informatique classique de l’entreprise, et d’autre part, le besoin d’interconnexion avec le réseau IP n’existait pas. Le besoin de sécurité était donc alors jugé non nécessaire.

Depuis, l’architecture SCADA a évolué et les automates, systèmes de mesure, outils de commande et de contrôle, télémaintenance…, sont dorénavant interconnectés via un réseau classique IP. Ils sont également administrés par des environnements potentiellement vulnérables, comme par exemple, la plateforme interface homme-machine équipée d’un système d’exploitation Windows non patché. Jugés hautement sensibles, ces environnements n’appliquent généralement pas les patchs des systèmes d’exploitation de peur de nuire à la production. Cette crainte l’emporte d’ailleurs souvent sur celle des attaques informatiques potentielles. Les environnements SCADA, pourtant identifiés comme critiques, sont ainsi paradoxalement les moins sécurisés et devenus la cible potentielle des cybercriminels, comme nous avons pu le constater avec Stuxnet, premier ver découvert qui espionne et reprogramme des systèmes industriels. Ce virus a exploité des vulnérabilités Windows de type zero day (c’est-à-dire pour lesquelles il n’existait pas de patchs) pour compromettre des dizaines de milliers  systèmes informatiques, à la fois des ordinateurs et une centrale d’enrichissement d’uranium.

Il aura fallu le cas d’attaque de l’ampleur de Stuxnet pour que la sécurité devienne l’une des préoccupations majeures des entreprises industrielles. Alors que les attaques informatiques traditionnelles engendrent généralement des dégâts immatériels, les industriels ont, dans le cas de Stuxnet, pris conscience de la capacité destructrice et bien réelle des vers et virus avancés, affectant non seulement les données d’une entreprise mais également les systèmes de gestion des eaux, des produits chimiques, de l’énergie…

Dorénavant, les industriels cherchent à intégrer la sécurisation de leurs équipements, et ce, de façon native. Même si les moyens commencent à être mis en œuvre pour sécuriser les industries, il est aussi nécessaire que les hauts dirigeants de ces entreprises soutiennent ce besoin de sécurisation, sans quoi, bon nombre de responsables informatiques ne trouveront pas d’échos positifs à leurs initiatives, et auront des budgets et ressources limités.

De plus, à défaut d’un standard, il existe des guides de bonne conduite permettant d’appréhender les problématiques que pose ou impose SCADA, édités par exemple par NERC (North American Electric Reliability Corporation) ou l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) en France. Voici quelques étapes importantes à respecter pour appliquer une sécurité globale sur ces infrastructures jugées sensibles :   – Des mises à jour régulières Patcher régulièrement ses systèmes d’exploitation, applications et composants SCADA est une étape essentielle pour éviter les failles déjà connues par les fournisseurs de sécurité. De plus, la mise en place d’un outil de détection et d’analyse des vulnérabilités permettant d’intercepter des menaces Internet malveillantes avant qu’elles n’impactent le réseau ou le serveur cible permettra de prendre des mesures proactives pour prévenir des attaques, éviter des interruptions de services, réagir rapidement et en temps réel face aux menaces émergentes.

– Cloisonner son réseau SCADA

Il est indispensable d’isoler son réseau SCADA de tout autre réseau de l’entreprise. Pour cela, la définition de DMZ ou bastions permet de segmenter une architecture SCADA. Ainsi, le réseau de l’IHM sera dissocié des automates et dispositifs de mesures, des systèmes de supervision, des unités de contrôle à distance et des infrastructures de communications, permettant  à chaque environnement d’être confiné et d’éviter des attaques par rebond.

En quelques mots, les réseaux SCADA doivent être protégés de la même manière que les réseaux d’entreprises des logiciels malveillants et intrusions, en utilisant des systèmes de prévention d’intrusions (IPS) et des solutions anti-malware.

– Validation protocolaire

Après avoir partitionné et séparé les différents éléments d’une architecture SCADA, la prochaine étape logique est d’appliquer une validation et un contrôle protocolaire  liés aux différents composants. En d’autres termes, il est nécessaire d’inspecter le protocole MODBUS pour être certain qu’il n’est ni mal utilisé ni vecteur d’une attaque. Egalement, assurez-vous que les applications qui génèrent des demandes MODBUS sont des applications légitimes et qu’elles sont générées depuis le bon poste de travail. Ainsi, la reconnaissance des applications prend son sens.

– Contrôler et identifier les actions administrateurs-utilisateurs

En complément de la segmentation des réseaux, il devient nécessaire d’établir des règles d’accès par authentification pour que seules les personnes autorisées puissent accéder au réseau, données et applications et puissent interagir avec les systèmes SCADA, afin que ces derniers ne soient pas endommagés par un tiers. Ainsi, un administrateur sera identifié de façon différente d’un utilisateur lambda, ce qui lui permettra d’effectuer certaines configurations au travers d’IHM alors que l’utilisateur pourra uniquement avoir une visibilité sur des équipements de mesure.

– Superviser l’ensemble des réseaux

Se doter d’un outil de corrélation et de gestion d’événements est indispensable. Cela permet d’obtenir  une visibilité globale sur l’état sécuritaire de l’ensemble du réseau et permet par exemple à un administrateur de connaitre à la fois l’état d’un automate, le niveau de patch d’un IHM et sa relation avec un utilisateur ou un composant de l’architecture. La remontée d’événements de sécurité est toute aussi importante. L’administrateur ainsi informé pourra mettre en place des actions ou contre-mesures adaptées en fonction du niveau de criticité de l’événement. La mise en application de ces étapes est parfois fastidieuse mais la meilleure solution pour protéger ces systèmes critiques est d’adopter une stratégie de défense en profondeur avec une couche de sécurité à tous les niveaux, même au niveau des API,  pour un contrôle précis des échanges et communications entre les composants de l’environnement SCADA et l’infrastructure réseau.

Avec des attaques de plus en plus sophistiquées de type APT, il devient urgent que les organisations industrielles prennent conscience que la sécurité des environnements SCADA est essentielle. Il en va de leur pérennité. Un contrôle précis sur leurs réseaux, utilisateurs et applications leur permettra de se prémunir d’éventuels risques qu’il est facile d’éviter. Enfin, il est important de bénéficier d’une protection en temps réel pour identifier rapidement les menaces potentielles et mettre en place les outils de protection adéquats conçus par des équipes spécialisées.

BYOD, Cloud, Cybersécurité, Fuite de données, Leak

Perturbations et intrusions : les utilisateurs de plus en plus inquiets face à l’utilisation de multiples appareils connectés

L’augmentation des appareils technologiques et leur utilisation qui se développent progressivement, perturbent les utilisateurs et les exposent à de plus en plus d’atteintes à la vie privée. Tels sont les résultats révélés par l’étude qu’a consulté DataSecurityBreach.fr. Une étude signée par AVG Technologies N.V., fournisseur de solutions de sécurité, de protection de données et d’optimisation mobiles et internet pour plus de 155 millions d’utilisateurs actifs. L’étude se base sur un panel de 5000 consommateurs dans huit pays et démontre que malgré l’explosion des offres, des possibilités et des opportunités de connexion internet, des craintes se développent du côté des consommateurs quant à la gestion de plusieurs appareils et la multiplication des atteintes à la vie privée.

Suite à la publication récente d’articles hautement médiatisés révélant les agissements d’entreprises et d’organisations gouvernementales qui auraient recueilli via Internet, de grandes quantités de données personnelles à partir des appareils des utilisateurs, près de la moitié des personnes interrogées (46 %) ont admis être de plus en plus préoccupées quant à la protection de leur vie privée. Elles ont également exprimé une plus grande méfiance vis-à-vis des entreprises et de leur capacité à protéger les données personnelles. Judith Bitterli, Vice-Présidente en charge du marketing chez AVG Technologies, constate : « Nos recherches ont montré que si 7 personnes sur 10 (72 %) pensent que la technologie deviendra encore plus utile dans les cinq prochaines années, elles sont presque autant (69 %) à croire qu’elle va également devenir de plus en plus intrusive. C’est un décalage frappant avec la vision des créateurs d’Internet. Par ailleurs, quant aux préoccupations liées au partage de données, combien de temps les consommateurs vont encore  tolérer ce statu quo » ?

88 % des personnes interrogées rechignent à communiquer des renseignements personnels pour accéder à des services. En effet, la plupart d’entre elles acceptent la situation, à défaut d’une autre alternative (38 %), ou limitent la quantité des données qu’elles sont prêtes à fournir (36 %). De plus, près de 8 personnes sur 10 (79 %) ont déjà interrompu le téléchargement d’une application ou d’un programme demandant  l’accès à des informations, ce qui révèle un fort malaise concernant la quantité de données personnelles dont la communication est demandée aux consommateurs.

Conjuguée aux préoccupations sur la préservation de la vie privée, le développement de la connectivité ajoute un poids supplémentaire aux inquiétudes des consommateurs dans leur vie numérique. La plupart des personnes interrogées (59 %) ont admis avoir utilisé plus de trois appareils personnels et de multiples systèmes d’exploitation à la maison, et seuls 44 % prennent des mesures visant à simplifier la gestion de leurs différents appareils en les synchronisant les uns aux autres.  Il en résulte une multiplication des tâches répétitives et des problèmes techniques.

Entreprise, Fuite de données, Leak, Vie privée

Vodafone piraté : 2 millions de clients en danger

3 commentaires

L’opérateur téléphonique Vodafone vient de confirmer le piratage d’une de ses bases de données. 2 millions de clients concernés. Un faille de type injection SQL, la plaie du web comme l’a baptisé DataSecurityBreach.fr, a touché, il y a quelques jours, l’opérateur de téléphonie Vodafone. Le géant des télécommunications britannique a confirmé le piratage informatique et le vol de plusieurs millions de données personnelles appartenant à, au moins, deux millions de clients allemands. Parmi les données consultées/volées/copiées : noms, adresses postales, emails, dates de naissance, téléphone et, plus grave, coordonnées bancaires. Vodafone indique avoir identifié le pirate. Espérons pour eux qu’il ne s’agisse pas d’une pauvre mémé dont le modem/box a été détourné.

Chiffrement, cryptage, Cybersécurité, Fuite de données, Leak, Vie privée

Piratage informatique : plus de 60 millions de données personnelles divulguées en 2 ans

Un commentaire

Les actes de piratage informatique ont entraîné des fuites concernant plus de 63 millions de données personnelles en 2011 et 2012, a révélé le député du Parti démocrate (PD) Choi Jae-cheon après avoir analysé des données de la Commission coréenne des commissions (KCC) et de l’Agence de supervision financière (FSS). La plupart de ces fuites se sont produites dans le secteur non financier (61,48 mlns) et le reste dans le secteur financier (1,9 mln).

SK Communications Co., l’opérateur des sites populaires Nate et Cyworld qui ont fait l’objet d’un piratage massif l’année dernière, a affiché le plus grand nombre de fuites de données personnelles (35 mlns), devant Nexon Korea Corp., société de jeux en ligne (13 mlns), et KT Corp, le deuxième opérateur de téléphonie mobile (8,73). Dans le secteur financier, plus de 1,75 million d’informations personnelles ont été divulguées suite à un piratage informatique contre Hyundai Capital. Les attaques informatiques qui ont visé les sites Internet de ces sociétés ont été à l’origine de la majorité des fuites d’informations.

Les erreurs de programme ont été également l’une des causes principales de ces déperditions. «La discrétion excessive des entreprises face aux piratages informatiques augmente les dégâts», a noté Choi, appelant à une déclaration rapide auprès des autorités en cas d’accident pour réduire les dégâts causé par ces cyberattaques. Le député a de même exhorté les autorités de supervision à mener des enquêtes complètes pour éviter de nouveaux piratages et à renforcer les sanctions contre les fuites de données personnelles. Choi a récemment proposé une révision de la loi sur les réseaux d’information et de communication en vertu de laquelle tout piratage informatique doit être déclaré dans les 24 heures qui suivent l’incident sous peine d’amende. 63 millions connues. Zataz.com vous laisse imaginer le reste ! (Yonhap)

Biométrie

Biométrie à la cantine : près de 500 collèges et lycées équipés en France par Alise

Un commentaire

La PME française Alise poursuit avec succès l’équipement biométrique RCM (reconnaissance du contour de la main) des restaurants scolaires des établissements du second degré. Datasecuritybreach.fr a appris que cet outil de gestion des accès utilise la technologie en 3D de la morphologie. Elle consiste à réaliser une photo numérique de la main pour en enregistrer la forme. En cette rentrée scolaire, 479 collèges et lycées en sont équipés, soit une augmentation de 17% par rapport à la même période l’année dernière !

Le contexte – La liste est longue des raisons qui poussent de plus en plus d’établissements à opter pour ce système en complément de la technologie actuelle, les cartes magnétiques. « Une main ne s’oublie pas, ne s’échange pas, ne se perd pas. Les avantages sont nombreux, disent les principaux et proviseurs eux-mêmes : des économies (le remplacement d’une carte magnétique est payant), moins d’administratif et plus de temps consacré à une organisation efficace du passage des élèves à la cantine, la tranquillité d’esprit pour les responsables de l’établissement et les parents – qui sont sûrs que c’est bien leur enfant qui s’est présenté au self – une facturation au juste prix, etc. »

Parmi les installations effectuées durant l’année écoulée, certaines sont situées dans cinq départements où la biométrie RCM Alise n’était pas encore présente : le Calvados, la Drôme, la Savoie, l’Yonne et Saint-Martin (Antilles). Notez d’ailleurs que même le Lycée français de Moscou a opté pour cette technologie ! En tête des régions les mieux équipées : la Provence-Alpes-Côte d’Azur, qui compte 122 établissements installés, et l’Île-de-France, avec 87 collèges et lycées dotés du matériel. Les régions Rhône-Alpes, Pays de la Loire et Alsace comptent, respectivement, 45, 35 et 30 établissements équipés en biométrie RCM Alise.

Comment ça marche ?

Le lecteur de biométrie RCM Alise permet l’identification des convives dans les cantines des collèges et lycées. Il suffit à l’élève de taper un code de 1 à 4 chiffres puis de poser sa main sur le lecteur. À la différence du relevé des empreintes digitales, ce système ne laisse pas de trace et rend impossible la constitution de fichiers ou l’utilisation de données personnelles à des fins abusives. Ce que dit la loi – Ces installations sont réalisées dans le strict respect des recommandations de la Cnil. En effet, la Commission nationale de l’informatique et des libertés souligne que le seul dispositif autorisé dans les établissements scolaires (AU-009) repose sur une biométrie “sans trace”, c’est-à-dire par reconnaissance du contour de la main, par opposition au relevé d’empreintes digitales, non autorisé dans les écoles. Comment Alise applique la réglementation – Toute nouvelle installation fait l’objet d’un courrier d’information adressé par le gestionnaire de l’établissement aux parents d’élèves. De plus, chaque lecteur biométrique RCM Alise est systématiquement associé à un lecteur de cartes magnétiques, une alternative qui permet de gérer le passage des convives exceptionnels ou ne souhaitant pas utiliser la borne biométrique.

Alise est spécialisée dans la gestion et le contrôle d’accès par carte et par biométrie RCM au restaurant scolaire (établissements du second degré). Basée à Venelles, près d’Aix-en-Provence, elle dispose d’une agence principale à Asnières, en région parisienne. Son succès repose, depuis sa création en 1992, sur le développement d’Arc-en-Self, logiciel permettant de gérer les aspects financiers et administratifs de l’accès à la demi-pension des restaurants scolaires. Alise propose ensuite, au rythme des développements technologiques, différents moyens de contrôle : tourniquet, barrière lumineuse, distributeur de plateaux et, depuis neuf ans, toujours avec une longueur d’avance, biométrie RCM. L’entreprise équipe près de 2 700 établissements scolaires, dont 479 en biométrie RCM, et réalisera, en 2013, un CA de près de 4 M€ HT

Cyber-attaque, DDoS, Entreprise, Fuite de données, Leak

Les menaces visant les entreprises

L’équipe de chercheurs d’Arbor Networks, qui publie régulièrement ses résultats sur son blog ASERT et dans le Worldwide Infrastructure Security Report (WISR), a présenté à data Secuyrity breach un nouveau document qui se concentre sur les menaces visant les entreprises. A noter que cet angle peut se reproduire pour les particuliers et autres entités. Parmi les principales conclusions du rapport de cette année :

– 63% des entreprises interrogées considèrent la lutte contre les attaques DDoS comme une priorité absolue.

-50% ont subi des attaques DDoS contre leur infrastructure.

– 25% ont rencontré des attaques DDoS contre leurs services clients ou partenaires

– 12,5% témoignent d’attaques d’« ennemis de l’intérieur » ou de menaces persistantes avancées (APT)

– 63% des entreprises autorisent le BYOD, mais 25% d’entre elles ne surveillent pas ces appareils personnels.

– 50% font de la protection contre les attaques DDoS une part conséquente de leur processus de gestion des risques de l’entreprise pour la disponibilité des services Internet.

– 35% des opérateurs de centres de données ont vu leurs pare-feu / IPS touchées par des DDoS en 2012.

– 2.12Gbps : c’est l’ampleur moyenne d’une attaque DDoS suivie par le système ATLAS au 1er semestre 2013, en hausse de 43% par rapport à 2012.

– 86% des attaques DDoS suivies par ATLAS au 1er semestre 2013 durent moins d’1 heure. La capacité à réagir rapidement est maintenant cruciale.

– x2 : le nombre d’attaques DDoS de plus de 20 Gbps suivies par ATLAS en 2012, observées au 1er semestre de 2013.

Entreprise, Fuite de données, Sauvegarde

Documents et informations d’entreprise malmenés par les travailleurs à domicile

Un commentaire

Une enquête dans cinq pays européens, effectuée par Opinion Matters à la demande d’Iron Mountain, révèle à datasecuritybreach.fr un comportement dangereux des travailleurs à domicile vis-à-vis des informations professionnelles. C’est ainsi que quelque 50 pour cent des participants à l’étude ont avoué avoir déjà envoyé des documents d’entreprise via leur compte webmail personnel, peu importe où l’information était stockée. En outre, 29 pour cent d’entre eux laissaient circuler sans problème des informations et des documents professionnels au sein de leur domicile, alors que 19 pour cent jetaient même ce genre de documents dans leur poubelle domestique.

Un pourcentage suffisamment élevé pour rendre de nouveau (plus) populaire la pratique de ‘dumpster diving’ (la collecte et la fouille des déchets domestiques de personnes et d’entreprises connues). Ce pourcentage est d’autant plus étonnant que l’on conseille depuis longtemps déjà de ne même plus jeter de courrier personnel dans les ordures ménagères. Mais dans d’autres endroits aussi, l’on traite négligemment les informations professionnelles. C’est ainsi que quelque 11 pour cent des répondants ont déjà expédié des documents de travail d’un restaurant, alors que 7 autres pour cent l’ont fait par l’entremise d’un lien wifi non sécurisé. Ces chiffres sont d’autant plus inquiétants que l’étude révèle que ce sont les chefs d’entreprise et les membres de la direction qui travaillent le plus souvent à domicile (plus de la moitié d’entre eux travaillent deux jours ou plus par semaine à la maison), suivis par les collaborateurs du département marketing (35 pour cent d’entre eux travaillent chez eux plus de deux jours par semaine).

DataSecurityBreach.fr vous propose quelques trucs et astuces en vue de sécuriser davantage le travail à domicile :
– Appliquez une politique claire à propos de la sécurité au travail en dehors de l’entreprise.
– Soyez précis quant à la manière dont l’information sensible doit être traitée.
– Prévoyez une infrastructure sécurisée.
– Veillez à une formation adéquate et régulière.
– Prévoyez un accès sécurisé aux données de l’entreprise, afin d’éviter le stockage et l’impression locales de celles-ci.
– Le chiffrement est obligatoire.
– Les sauvegardes se font sur des supports amovibles sécurisés et non connectés au réseau des réseaux.

– Un broyeur de papier est indispensable (voir bruler les documents.

Chiffrement, cryptage, Entreprise, Fuite de données, Sauvegarde

Disques enregistrables cryptés : EncryptDisc

DataLocker Inc, un des leader en matière de développement de solutions de stockages cryptées, a annoncé aujourd’hui à DataSecurityBreach.fr sa gamme de CD et DVD cryptés enregistrables qui sera commercialisée sous la marque EncryptDisc. La ligne EncryptDisc,   anciennement connue sous le nom SecureDisk, offre un système de chiffrement FIPS 140-2 validé AES 256 bit directement intégré au CD ou DVD.

DataLocker EncryptDisc permet maintenant à DataLocker de protéger les données où qu’elles soient, sous n’importe quelle forme. Les CD et DVD DataLocker EncryptDisc combinent des fonctionnalités de gravage et de sécurisation des données, une solution simple et efficace de stocker des données en toute sécurité. Il n’y a pas de logiciel à installer et aucun besoin de faire appel à une solution logicielle tierce. DataLocker EncryptDisc est disponible chez Ingram et Amazon (SecureDisk).

BYOD, Cloud, Cybersécurité, Fuite de données, Sauvegarde

Inclure le contrôle des utilisateurs à privilèges

Ces dernières années, cyberdéfense et cybersécurité ont pris une place considérable dans la vie des entreprises et des particuliers. Les jours passent et les attaques s’amplifient. Elles sont toujours plus ciblées, diversifiées et étendues, et la cybercriminalité fait partie intégrante de notre vie quotidienne. Historiquement, les éditeurs d’antivirus et de pare-feu ont pris le leadership du marché. Paradoxalement, ils ne traitent qu’une partie des problèmes ce qui se traduit par une augmentation du nombre d’incidents et de leur ampleur, malgré la croissance des budgets de sécurité informatique. En effet, un pan entier de la sécurité informatique reste méconnu : la gestion des utilisateurs à privilèges, qui répond au nom encore mal connu en France, d’Insider Threat ou gestion de la menace interne. Pour l’éditeur français, WALLIX, spécialiste de la traçabilité des utilisateurs à privilèges, une stratégie de sécurité complète et cohérente doit, certes, prévoir de se protéger contre les menaces provenant de l’extérieur mais également des risques qu’impliquent la liberté absolue dont jouissent les utilisateurs à privilèges. Explication de Jean-Noël de Galzain, PDG de WALLIX, pour DataSecurityBreach.fr

Un utilisateur à privilège, qu’est-ce que c’est ?

Un utilisateur à privilège, est, par définition, une personne dont les droits ont été élevés ou étendus sur le réseau informatique : droits d’accès, gestion des autorisations, administration des équipements et applications, modification, suppression ou transfert de fichiers, etc. L’utilisateur à privilèges peut être interne ou externe à une société. Ses droits lui sont délégués par le représentant légal de la société qui souvent n’est même pas au courant de ce risque. Par nature, l’utilisateur à privilèges a donc accès à des données sensibles et stratégiques pour l’entreprise aux secrets de l’entreprise et de ses salariés. Il a un droit de vie et de mort sur l’informatique de l’entreprise.

L’utilisateur à privilèges fait-il toujours partie d’une société ?

Lorsqu’une société externalise la gestion d’une partie ou de l’ensemble de son informatique ou de ses équipements, les prestataires qui prennent la main à distance ou interviennent sur le réseau interne pour mener à bien des opérations de support ou de maintenance deviennent des utilisateurs à privilèges, et ce, bien qu’ils ne fassent pas partie des effectifs de la société. Savez-vous par exemple quelles sont les autorisations d‘accès d’un technicien qui vient réparer la photocopieuse IP ou la connexion réseau ?

En d’autres termes, externaliser revient, pour une entreprise et son dirigeant, à confier « les clés de la maison » à une personne inconnue, qui aurait accès à l’ensemble des pièces et du contenu des placards, avec la capacité de les fouiller, d’y prendre et remettre ce qu’il y trouve, en gérant lui-même les autorisations d’accès. Si quelque chose est endommagée, disparaît ou est simplement dérobé après son passage, que faire ? Comment savoir ce qui a été fait ? Où y a-t-il eu un problème ? Quand ? De quelle manière ? Qui va payer les dégâts ? Comment vais-je pouvoir justifier l’incident ou le vol vis-à-vis des assurances ?

Pour le Clusif et son panorama 2012 des menaces informatiques, près de la moitié des entreprises de plus de 200 salariés en France, et des collectivités territoriales externalisent la gestion de leur Système d’information, 50% ne collectent pas les logs (pas de preuve), 20% ne changent jamais les mots de passe y compris lorsqu’un départ ou un changement de prestataire survient.

Quels sont les risques liés aux utilisateurs à privilèges ?

De par leur statut, les utilisateurs à privilèges, au même titre que les utilisateurs « lambda » font peser des risques sur le réseau d’entreprises. On peut les classer en plusieurs catégories :

– Les risques liés à l’erreur humaine : comme n’importe quel utilisateur, l’utilisateur à privilèges reste un être humain, susceptible pour quelque raison que ce soit de commettre des erreurs sur un réseau ; seulement ces erreurs peuvent avoir des conséquences considérables sur la productivité, la réputation et le chiffre d’affaires de l’entreprise affectée.

Imaginons, par exemple, qu’après une erreur de manipulation lors d’une opération de télémaintenance, un prestataire externe provoque une panne sur le serveur d’un e-commerçant. Pour ce dernier, ce sont des pertes de chiffre d’affaires pendant toute la durée de la panne qu’il est nécessaire de réparer, mais avant cela d’en retrouver l’origine. Ceci peut prendre un temps considérable, multiplier les dégâts mais également entacher sérieusement la réputation de l’e-commerçant définitivement.  Entretemps, les clients iront se servir ailleurs.

Désormais, avec les nouvelles réglementations, il sera nécessaire de communiquer sur un incident, avec un risque d’amende liée à la perte d’informations clients (données clients, numéros de carte bleue, ou encore, données de santé).

Dans un autre cas récent, des centaines de dossiers patients se sont retrouvés publiés sur Internet. C’est en tapant son nom par hasard dans un moteur de recherche qu’une personne a retrouvé l’intégralité de son dossier médical en libre consultation. Ce type de fuite de données peut provenir d’une erreur humaine (un prestataire externe commet une faute dans les process et laisse s’échapper ces données) ou d’un acte de malveillance qui illustre les risques liés aux utilisateurs à privilèges.

– Les risques liés à la malveillance : l’utilisateur à privilèges reste un être humain. Ainsi, lorsqu’une collaboration professionnelle se finit en mauvais termes, il peut être tentant d’utiliser ses droits pour nuire à l’entreprise ou voler des informations stratégiques (fichiers clients, CB, secrets, …).

En 2012, c’est un sous-traitant de la société Toyota qui, après avoir été licencié, avait dérobé des informations relatives aux brevets industriels du constructeur japonais. Combien de bases clients dérobées, de messages divulgués ou d’informations recueillies grâce à des fichiers informatiques indûment téléchargés ? Là encore, se pose la problématique de l’origine de la fuite. Qui a fait cela ? Quand et comment ? Pourquoi cette personne a-t-elle eu accès à ces données en particulier ? Peut-on empêcher un tel acte ou en garder la trace et comment ? Comment gérer cela en interne et avec les prestataires externes ?

Selon une étude Forrester, 50 % des utilisateurs à privilèges partent de leur entreprise ou sortent d’une mission d’infogérance avec des données sensibles. Comment peut-on donc évaluer ou mieux encore parler de gestion des risques sans traiter ce sujet ?  Quand les hautes autorités de sécurité nationale mettront elles en garde contre ces risques béants ?

Heureusement, de plus en plus de DSI et de RSSI, pour répondre au contrôle interne ou à leurs directions générales, prévoient l’usage d’une solution qui réponde au problème de la gestion de la menace interne et des prestataires externes. Aussi ont-ils prévu l’intégration d’une solution de gestion des utilisateurs à privilèges dans leurs politiques de sécurité.

Le marché français du PUM (Privileged User Management) n’en est qu’à ses balbutiements malgré l’urgence.

WALLIX, éditeur pionnier dans la gestion des utilisateurs à privilèges grâce à sa solution Wallix AdminBastion, le WAB, préconise, bien entendu la protection contre les menaces provenant de l’extérieur du réseau. Elles sont connues et désormais très bien circonscrites grâce à des solutions comme l’anti-virus, le firewall, l’IPS, l’IDS etc. Cependant, l’éditeur français insiste sur la nécessité et l’urgence de compléter ces dispositifs par des solutions internes de contrôle des utilisateurs à privilèges.

Cependant, ces solutions souffrent d’une mauvaise réputation : trop souvent, celles-ci sont perçues comme des produits visant purement et simplement à surveiller les utilisateurs à privilèges. Contre toute attente, elles permettent surtout de dédouaner les utilisateurs en apportant une preuve tangible et concrète de l’origine de l’incident.

Pour Jean-Noël de Galzain, fondateur de WALLIX, l’éditeur pionnier de solution de gestion des utilisateurs à privilèges, le WAB : « une stratégie de sécurité cohérente de bout-en-bout ne peut plus se passer de solutions de contrôle des utilisateurs à privilèges. Chaque jour, des utilisateurs à privilèges accèdent à des données essentielles et stratégiques pour la survie et la rentabilité de l’entreprise. Même si, bien entendu, la malveillance n’est  généralement pas la première cause de perte de données, les erreurs humaines sur un réseau, sont, elles, bien réelles et peuvent prendre des proportions catastrophiques à l’échelle de l’Internet. Nous alertons vivement les DSI, RSSI et les plus hautes instances de sécurité informatiques quant aux risques qui pèsent en termes de productivité, de réputation et de conformité sur les entreprises publiques et privées. La gestion des risques internes est aussi prioritaire que la gestion des menaces périmétriques. Le risque le plus grave serait de l’ignorer !  »

Argent, Cybersécurité, Espionnae, Facebook, Fuite de données, ID, Sauvegarde, Social engineering

Faites risettes, Facebook vend votre sourire

Un peu de biométrie, un peu de stockage et voilà nos photographies de profils devenus une denrée économique pour Facebook. Nous vous en parlions, l’année dernière dans zatazweb.tv. Facebook met en place des systèmes économiques avec nos données et nos photographies. Parmi les (très) nombreuses actions en préparations, une webcam, chez les commerçants qui, couplée avec Facebook et votre smartphone, vous communique des bons de réductions dans la boutique partenaire.

Depuis quelques jours, Big Brother a décidé de débuter une autre forme de commercialisation des vies privées proposées dans son portail communautaire. L’information a été diffusée de manière « douce », dans un courriel annonçant « de nouvelles conditions d’utilisation« . Dans ces nouveautés, l’utilisation des photos des profils des utilisateurs. Ces dernières peuvent être stockées (ce qui était déjà le cas, ndlr datasecuritybreach.fr) dans une base de données centrale (la nouveauté, ndlr zataz.com). Une BDD centralisée que peuvent consulter les annonceurs.

L’intérêt ? L’avenir va très rapidement nous le dire via les applications et outils (comme notre webcam citée plus haut, ndlr datasecuritybreach.fr). L’annonce de Facebook est aussi d’indiquer aux utilisateurs que leur visage pourra être scanné et exploitée à partir d’un système biométrique prévu à cet effet. Erin Egan, responsable de la confidentialité et de la vie privée chez Facebook, indique ces données offriront aux utilisateurs un meilleur contrôle sur leurs informations personnelles. En gros, si quelqu’un diffuse votre tête sur Facebook, Facebook vous préviendra. Un peu de vie privée par-ci et un gros coup de louche dans le tas car si vous n’acceptez pas les nouvelles conditions d’utilisations, dehors ! Bref, la BDD centrale ne gardera que votre photographie de profile, tout en étant capable de contrôler les autres.

Pour vous protéger de ce genre de débordement commercial, plusieurs choix. Ne pas s’inscrire à Facebook. Bien choisir ses options de confidentialités proposées par le portail. Chiffrer votre visage. Pour cela, troublez par exemple, vos yeux ; mettez un bonnet ; où faîtes comme votre serviteur, faîtes des sourires à vous arracher la mâchoire.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Fuite de données

Intercepter les données du dossier public de DropBox… facile

6 commentaires

Le dossier Public de DropBox, un peu trop libre pour les personnes non autorisées à le consulter. Dropbox est une société bien connue spécialisée dans les solutions de cloud computing. La société annonce des centaines de millions d’utilisateurs, avec des pétaoctets de données stockées. Aujourd’hui, beaucoup utilisent Dropbox pour partager quoi que ce soit en famille ou entre amis. Cet usage semble parfaitement raisonnable si les données partagées ne sont pas sensibles, mais Dropbox est aujourd’hui aussi largement utilisé par les entreprises. DropBox remplace même parfois le service de Backup ou autres moyens de partager des fichiers entre collègues. Il parait que cela permet d’économiser de l’espace disque, du temps. Mais côté confidentialité, il faudra repasser, surtout si vous utilisez le dossier « Public ».

Notre ami Jean-Pierre Lesueur (DarkCoderSc) vient de nous montrer comment les fichiers DropBox dans le dossier « Public », normalement sécurisés et non accessibles aux personnes non autorisées, sont en fait parfaitement libres d’être consultés par des personnes extérieures. Pour cela, rien de plus simple. Il faut posséder un compte DropBox valide, une petite application python du nom de wfuzz et … c’est tout.

L’outil va égrener les noms de fichiers qui peuvent se trouver dans le dossier Public d’un compte DropBox ciblé. Bref, arrêtez de penser que le dossier « Public » n’est pas accessible aux personnes non autorisées. Démonstration en vidéo, ci-dessous.

Argent, Cyber-attaque, Cybersécurité, DDoS, Paiement en ligne

Un nouveau Kit pour bloquer des sites web

Un commentaire

Nous ne donnerons pas le nom de l’outil, histoire de ne pas voir débouler les zozos du web et éviter des attaques DDoS contre des sites web qui ne demandent rien. Un internaute, qui semble être franco/belge, vient d’annoncer sur un forum dédié au piratage, la commercialisation d’un Bot, que DataSecurityBreach.fr a baptisé Le Chat Fou, capable de lancer des attaques électroniques sous la forme de Déni Distribué de Service (DDoS) : UDP, TCP, HTTP et Slowloris.

« Basé sur une source d’un simple HTTP botnet, Axxx Cxx est un projet personnel que j’ai débuté il y a 5 mois, à pu lire DataSecurityBreach.fr. Ce bot a été fait pour soutenir un grand nombre d’autres bots. » L’objet est commercialisé. Le codeur d’A.C. commercialise son outil « Le prix est de 40 € pour le panel + serveur + mises à jour + support« . Il est réclamé 10 € pour une installation sur un hébergement personnel et 1€ pour modifier les DNS.

Une option assez étonnante est proposée par A.C. Il est possible d’accéder à l’espace d’administration depuis son iPhone et de lancer des attaques. Ce bot est diffusé dans sa version 1.2. Bref, un outil qui risque de permettre aux pousses bouton de dire : T’es mort, t’as vu !

Chiffrement, cryptage, Cybersécurité, Espionnae, Fuite de données

X-Keyscore, l’outil d’analyse des services de renseignements US

Il est logique que la NSA utilise les ambassades américaines basées à l’étranger en tant qu’outil collecteur pour le système d’analyse d’information X-Keyscore, moissonneuse batteuse révélée par le nouveau russe (pour un an, ndlr datasecuritybreach.fr) Snowden. Les ambassades ont toujours été utilisées pour l’espionnage local, pour la « veille » militaire, politique, économique, sociale. Son option cyber était inévitable.

Les ambassades ont de multiples réseaux de communications. Il est intéressant de « suivre » certains « employés » sur LinkedIn et autres médias sociaux. De nombreux militaires et anciens espions cherchant désormais une plus grande rémunération, sont en « awares » pour toutes propositions sonnantes et trébuchantes. Une recherche rapide par Cryptome sur LinkedIn a de quoi faire sourire : AGILEVIEW, AGILITY, AIRGAP/COZEN, AIGHANDLER, ANCHORY/MAUI, ARCANAPUP, ARTEMIS, ASSOCIATION, AUTOSOURCE, BEAMER, BELLVIEW, BLACKPEARL, CADENCE/GAMUT, CHALKFUN, CINEPLEX, CLOUD, COASTLINE, COMMONVIEW, CONTRAOCTAVE, CONVERGENCE, COURIERSKILL, CREEK, CREST, CROSSBONES, CPE, CULTWEAVE, CYBERTRANS, DISHFIRE, DOUBLEARROW, DRAGONFLY, WEALTHYCLUSTER (EWC), ETHEREAL (logiciel open source network d’analyse, ndlr datasecuritybreach.fr), FASCIA, FASTSCOPE, FOREMAN, GAMUT/UTT, GISTQUEUE, GJALLER, GLAVE, GLOBALREACH, GOLDMINER, GOLDPOINT, GOSSAMER, GROWLER, HERCULES (CIA database, ndlr datasecuritybreach.fr) HIGHTIDE/SKYWRITER, HOMEBASE, INFOSHARE, JOLLYROGER, KINGFISH, LIQUIDFIRE, MAINWAY, MARINA, MASTERLINK, MASTERSHAKE, MAUI/ANCHORY, MESSIAH, METTLESOME, NEWHORIZONS, NIGHTSURF, NORMALRUN/CHEWSTICK/FALLENORACLE, NUCLEON, OCTAVE, PATHMASTER/MAILORDER, PINWALE, PANOPTICON, PRESENTER, PROTON, RAVENWING, RENOIR, ROADBED, SCORPIOFORE/CPE, SHARKFINN, SKOPE, SKYWRITER, SNAPE, SPOTBEAM, STINGRAY; SURREY, TAPERLAY, TAROTCARD, TEMPTRESS, TRACFIN, TRAILMAPPER, TREASUREMAP, TRICKLER, TUNINGFORK/SEEKER, TURMOIL, TUSKATTIRE, TWISTEDPATH, UIS/PINWALE, UTT, WEALTHYCLUSTER, WIRESHARK (logiciel open source network d’analyse, ndlr datasecuritybreach.fr) WITCHHUNT, XKEYSCORE, YELLOWSTONE/SPLITGLASS.

Selon un document que Cryptome a diffusé, 150 sites et plus de 700 serveurs seraient employés pour X-Keyscore. Etonnant, un serveur est basé à Moscou, un autre à Pékin. Les ambassades sont donc montrés du doigt. Etonnamment, la station NSA à Hawaï, où Edward Snowden a travaillé, n’apparaît pas sur la carte. 25 points sont affichés le long de la côte Antarctique. La France est affichée, pas la Belgique,  ni la Suisse ou encore le Luxembourg. A noter que des offres d’emplois affichent très clairement les ambitions de XKeyscore… avant la « pseudo » révélation de Snowden.

Sur Saic.com par exemple, le 03 juillet, la recherche d’ingénieurs systèmes familier de « VMware ESXi 3.5, 4.1 et 5.0.« , sachant manipuler « des logiciels avec des langages de script Java, C et Bourne shell » et pythonner dans la joie et la bonne humeur. L’heureux gagnant, qui travaillera à Columbia, dans le Maryland, fournira un soutien technique pour les systèmes qui englobent les systèmes SKIDROWE. Mais qui est donc ce mystérieux Skidrowe qui va obliger notre demandeur d’emploi de passer sous l’égide du « Top Secret » et du « SCI with Polygraph » ?

Pendant ce temps, la NSA, qui a fait parler son boss lors du Black hat de Las Vegas (hué, comme l’explique zataz.com), affiche dans la foulée son commentaire au sujet de XKEYSCORE. « Dire que la NSA collecte arbitrairement des informations est fausse. Les activités de la NSA sont ciblées et spécifiquement déployées contre – et seulement contre – des cibles de renseignement étrangers légitimes en réponse aux exigences de nos dirigeants qui ont besoin d’information pour protéger notre nation et ses intérêts. La publication de ces informations classifiées sur les systèmes de collecte de la NSA ne fait que mettre en péril les sources et les méthodes« . La NSA, qui n’a jamais autant « causé » depuis ces dernières semaines explique ne pas pouvoir en dire beaucoup plus sur X-Keyscore. « Accédez à XKEYSCORE, explique la NSA, ainsi qu’à tous les outils d’analyse de la NSA, est limité aux seuls employés légitimes. Ces personnes doivent suivre une formation appropriée avant de se voir accorder un tel accès – la formation est renouvelée régulièrement. Cette formation couvre non seulement la mécanique de l’outil mais aussi des obligations éthiques et juridiques de chaque analyste. En outre, il existe plusieurs échelons de vérifications afin d’éviter les abus délibérés« . D’après la NSA, depuis 2008, plus de 300 terroristes ont été capturés à l’aide de renseignements provenant de XKEYSCORE. en attendant, la NSA annonce remplacer beaucoup de ses analystes par des machines. Ca évite les fuite !? Pendant ce temps, dans l’Utah, le Data Center de la NSA sort du sol. Du moins le Bing Map de Microsoft est plus prolixe en image que Google map sur le sujet !

Argent, Banque, Cybersécurité, Paiement en ligne

Pirates de CB arrêtés à Nice

Les « Amis du petits dejeuners », comme les nomme ZATAZ.COM, de la région de Nice se sont mis au houmous, moutabal, böreks et autres dolmas. La division économique et financière de la police judiciaire niçoise a arrêté dans un hôtel, fin juillet, deux Arméniens soupçonnés d’avoir mis en place des skimmeurs dans des distributeurs automatiques de billets de Nice, Aix-les-Bains, Marseille, Lyon. C’est d’ailleurs des policiers lyonnais qui avaient traqué et logé les deux présumés voleurs.

Les skimmeurs ? Des systèmes permettant d’intercepter les données de votre carte bancaire insérée dans un distributeur de billet officiel. Du « matos » qui pullule. Les deux pirates appréhendés, comme d’habitude, font parti d’une bande très organisée avec les « placeurs », les collecteurs et les revendeurs. Déférés au parquet, les deux amateurs du skimming ont été mis en examen pour escroqueries en bande organisée. (Nice matin)

BYOD, Cloud, Sauvegarde

Sauvegarder ses fichiers avec Toutbox.fr

Vous souhaitez sauvegarder vos images, vidéos, … et pouvoir y accéder partout, que se soit au bureau, à la maison, en week-end ou en déplacement professionnel ? Le service proposé gratuitement par Toutbox.fr devrait vous plaire. Toutbox.fr est un système moderne de disque dur virtuel, un site exclusivement français,

entièrement gratuit et illimité. Toutbox.fr vous permet d’envoyer et de partager des fichiers avec la communauté de Toutbox.fr. Les fichiers peuvent être publics ou privés. Dans ce dernier cas, les documents sont protégés par un mot de passe. Toutbox.fr se démarque de ses concurrents par son aspect illimité et gratuit mais aussi par les fonctionnalités offertes par le site (streaming, preview de fichiers …). Un logiciel, baptisé Box, permet de gérer son compte depuis son bureau d’ordinateur.

 

 

Toutbox.fr, le cloud social
Chaque utilisateur dispose de sa propre page ToutBox. Il peut modifier à volonté cette espace afin de mettre en avant les fichiers qu’il souhaite partager. Une page qui deviendra rapidement la vitrine pour son propre site ou tout simplement se présenter pour les autres utilisateurs. Le contenu est libre et les autres utilisateurs peuvent laisser des messages sur le « mur » de tous les utilisateurs pour communiquer et échanger entre eux. Un moteur de recherche permet de retrouver ses fichiers en cherchant parmi les noms, la description, la date d’ajout ou encore son poids. Il est aussi possible de rechercher parmi les fichiers des utilisateurs qui autorisent cette fonction.

Streaming, preview et vie privée
Toutbox.fr propose du streaming. Vous avez ainsi la possibilité d’écouter la musique présente sur votre compte ou celle d’autres utilisateurs, là aussi en illimité et sans avoir à télécharger le fichier sur votre ordinateur ! Vous voulez voir un extrait du document que vous voulez télécharger ? Faites une preview du fichier pour voir si le fichier est bien le bon ! La preview de fichiers marche pour la plupart des extensions connues, même pour les vidéos. Pour finir, la vie privée n’est pas un vain mot.

Toutbox.fr est un service gratuit et illimité qui voit le partage sous un autre angle : social et avec des fonctionnalités pratiques, que ce soit pour le simple utilisateur qui veut sauvegarder ses fichiers, l’utilisateur qui souhaite partager ses fichiers au plus grand nombre ou à l’éditeur qui recherche un moyen simple et sécurisé pour diffuser son contenu.


Espionnae, Fuite de données, ios, Sécurité, Smartphone, Social engineering, Vie privée

La prochaine mise à jour de l’iPhone va vous espionner

2 commentaires

Vous avez un travail qui demande discrétion. Bref, vous n’avez pas envie d’indiquer l’adresse de vos bureaux. Vous êtes « volage » et vous n’avez pas vraiment envie d’indiquer à votre époux/épouse les lieux de vos rencontres extra conjugales. Si vous avez un iPhone et que vous avez l’intention de mettre à jour votre « précieux » vers l’iOS 7 lisez ce qui va suivre.

Une des options du nouvel opus d’iOS mérite d’être désactivée. Apple propose d’affiner votre localisation GPS à partir de votre téléphone. Une option activée par défaut. Ce qui veut dire que le géant de l’informatique indique et sauvegarde vos lieux préférés. Autant dire que regrouper vos informations, avec celles d’autres internautes, aura de quoi donner de l’eau au moulin « PRISMique » des géants du marketing, ou bien pire que les vendeurs de rêves.

Apple indique que cette option permet « une meilleure approximation de la localisation géographique (…) Apple veut retenir les coordonnées afin d’améliorer les cartes et autres produits et services d’Apple basés sur la localisation« . Bref, la grosse pomme veut tout savoir sur vous !

Vous pourrez désactiver l’option, explique Protecus, en allant dans les « Paramètres », option Confidentialité > Location > Système > Emplacements fréquentés.

BYOD, Chiffrement, cryptage, Entreprise, Fuite de données, RFID, Téléphonie, VPN

Vous voyagez avec vos appareils connectés ? N’oubliez pas de penser à leur/et votre sécurité.

Un commentaire

Vous partez en vacances ? Une enquête reçue à la rédaction de DataSecurityBreach.fr, menée par F-Secure, met le doigt sur les moments de vos vies digitales qui nécessitent une attention particulière lors de vos déplacements.

Lorsque l’on voyage, il est pratique d’utiliser les réseaux Wifi public des aéroports ou encore des restaurants. Pourtant, 52% des sondés sont inquiets de la sécurité et la confidentialité de ces réseaux, et avec raison. Sean Sullivan, Security Advisor chez F-Secure Labs, affirme qu’il ne faut pas oublier que ces réseaux  Wifi portent bien leurs noms : ils sont publics. Vous partagez ces réseaux avec des inconnus, et il y a toujours le risque qu’ils puissent utiliser un logiciel pour regarder ce que vous faites en ligne.

Selon Sean Sullivan, « Il est naturel de penser qu’il y a de la confidentialité parce que nous utilisons un appareil personnel… mais en réalité ce n’est pas du tout le cas ». Il conseille de ne pas faire ce que l’on souhaite laisser à l’abri des regards indiscrets, comme des connections à des comptes protégés par des mots de passe. Il ajoute : « J’utilise les réseaux de Wifi public pour des choses dont je parlerais avec un ami dans le métro. Les opérations bancaires, je les fais chez moi ».

Le même raisonnement vaut pour l’utilisation des ordinateurs publics dans les bibliothèques ou les cybercafés. Sean Sullivan conseille une utilisation réfléchie et limitée (par exemple, lire les actualités), parce que des logiciels espions pourraient être installés sur l’ordinateur… et voler vos mots de passe.

Si vous devez utiliser des réseaux publics pour communiquer avec vos proches, M. Sullivan recommande la création d’une adresse mail que vous n’utiliseriez que lorsque vous êtes en vacances, et qui n’a rien à voir avec votre adresse mail habituelle. « De cette façon, si quelqu’un pirate votre adresse mail de vacances, il ne pourra que voir des mails de votre mère ou de la gardienne de votre chat, mais ils n’auront pas accès aux données sensibles qui seraient en mémoire dans votre compte de messagerie principal », dit-il.

Une opération bancaire à faire ? Les précautions à prendre lorsque vous êtes loin de chez vous. 85% des gens disent qu’ils se connectent à leur banque via leurs ordinateurs, et 24% à partir de leurs smartphones. Comment procéder si vous deviez absolument faire une transaction lorsque vous êtes en vacances ? Il est probablement préférable d’utiliser votre forfait data mobile avec l’application mobile de votre banque, même si cela signifie faire du roaming. Cela peut coûter un peu cher, mais c’est toujours moins onéreux que de se faire vider votre compte. Les banques utilisent des connections HTTPS. Sont-elles pour autant sécurisées quand vous y accédez via les réseaux Wifi publics ? 39% des gens utilisent très peu de mots de passe différents pour leurs différents comptes. Et si vous utilisez le même mot de passe sur un site non sécurisé et sur un site sécurisé (comme celui de votre banque), cela signifie qu’un « fouineur » pourrait facilement accéder à votre compte bancaire. Les « fouineurs » utilisent parfois des méthodes plus rudimentaires : jeter discrètement un coup d’œil par-dessus votre épaule quand vous entrez votre mot de passe peut leur suffire pour vous le dérober !

Gardez votre contenu en toute sécurité lorsque vous êtes sur la route des vacances 67% des sondés accordent plus de valeur aux contenus d’un appareil plutôt qu’à l’appareil lui-même, d’un point de vue matériel. Cela illustre l’importance des sauvegardes avant le départ en vacances. Par exemple, en utilisant un service de synchronisation de contenu comme Content Anywhere de F-Secure. Fourni par les opérateurs, il permet aux utilisateurs d’avoir accès aux contenus de l’appareil automatiquement synchronisés sur leur cloud personnel. Grâce à ces services, nous ne somme plus obligés de voyager avec des périphériques de stockage encombrants (comme des disques durs), et il est facile de partager nos photos de vacances, en toute confidentialité et en toute sécurité. Les données que vous mettez dans le « Content Cloud » de F-Secure sont entièrement chiffrées pendant le transfert et le stockage.

La localisation d’un appareil perdu ou volé Perdre ou se faire voler un téléphone portable peut gâcher les vacances. DataSecurityBreach.fr a pu lire qu’avec 61% des personnes qui ont une double utilisation pro/perso de leurs appareils, il y a de bonnes raisons d’être prudent. Un téléphone perdu pourrait avoir un impact non seulement sur vos propres données, mais aussi sur celles de votre entreprise. L’application gratuite Anti-Theft de F-Secure pour smartphones et tablettes vous permet de verrouiller à distance et de localiser votre appareil, et si nécessaire, en effacer toutes les données. Autre recommandation : assurez-vous que le mot de passe de votre téléphone portable verrouillant votre écran se mette en place après un court laps de temps, comme une minute.

D’autres conseils si vous utilisez les Wifi public:

·         Ne laissez pas votre appareil se connecter automatiquement à des réseaux publics.

·         Effacez les points d’accès Wifi que vous avez utilisé lorsque vous rentrez chez vous.

·         Ne soyez pas connecté aux applications dont vous n’avez pas besoin lorsque vous vous déplacez.

·         Vérifiez auprès de l’établissement que le réseau Wifi auquel vous vous connectez est vraiment le leur, et non pas celui qu’un « fouineur » aurait mis en place pour vous tromper.

·         Soyez conscient de votre environnement et de toute personne qui pourrait être en train de jeter un regard par – dessus votre épaule.

·         Utilisez un mot de passe différent pour chaque compte.

·         Pour les ordinateurs portables, désactiver le partage de fichiers, activez le pare-feu et configurer le de sorte qu’il bloque les connexions entrantes.

·         Si possible, utilisez un réseau privé virtuel (Virtual Private Network en anglais, abrégé en VPN) qui sécurise votre connexion même sur le Wifi public.

·         Utilisez un routeur de voyage avec une carte SIM prépayée pour créer votre propre réseau Wifi.

·         A minima, vérifiez la présence du cadenas et du « https » dans la barre d’adresse pour n’importe quel site contenant vos informations personnelles. S’ils ne sont pas là, il est préférable d’éviter le site.

·         En règle générale : considérez que tout ce que vous faites sur un réseau Wifi public est comme une conversation publique.

Entreprise

Envoyez vos campagnes emailing tout simplement

Le logiciel Sarbacane est proposé en téléchargement gratuit : l’occasion pour vous de tester la diffusion facile et rapide de vos newsletters. Fidéliser vos lecteurs, clients, visiteurs sur Internet ? Et si vous tentiez l’emailing. Ici, pas question de parler de spam, de pourriel, mais bien d’une gestion efficace et rapide de votre base de données. Sarbacane est la solution d’emailing de référence.

Ce logiciel, en téléchargement gratuit pour tester ses capacités, permet de gérer vos campagnes d’emailing et de newsletter. Importez vos contacts, créez vos mails personnalisés en HTML, et envoyez vos mails à vos lecteurs, clients, visiteurs en toute facilité. Nous vous proposons de tester gratuitement ce logiciel d’emailing pour que vous puissiez découvrir sa simplicité d’utilisation et son efficacité.

Créé par une société du Nord de la France, située à quelques kilomètres de zataz.com, Sarbacane a reçu le label qualité d’Ekomi avec une note loin d’être négligeable : 4.4 sur 5. La Poste, Toshiba, Universal Music ou encore le CIC utilisent Sarbacane : testez gratuitement Sarbacane et laissez-vous convaincre par son utilité et son efficacité.

Sarbacane Téléchargement Gratuit

cryptage, Cybersécurité, Espionnae, Facebook, Fuite de données, Vie privée

Espionner via l’API d’un HTML5

2 commentaires

Une vulnérabilité découverte dans un API d’HTML5 permet de connaitre l’historique de navigation d’un internaute. Cette possibilité a été annoncée dans un document diffusé par le Context Information Security sous le titre de « Pixel Perfect Timing Attacks with HTML5« . Le problème se situe dans l’API requestAnimationFrame.

Cet API consulte l’historique de votre navigateur pour différencier un site web que vous avez visité et celui qui vous aller visiter. Seulement, il a été découvert qu’il était aussi possible, pour un site malveillant, de mettre la main sur l’historique de navigation de chaque visiteur. Si vous couplez requestAnimationFrame à une interception d’ip et quelques informations privées, vous voilà avec la vie privée numérique de l’internaute bien mal en point.  Côté conseil, utilisez le monde « Navigation privée » de votre navigateur.

Facebook, Twitter, Google, Linkedin, Bong, Amazon, Mozilla, Reddit, souffrent de cette potentialité malveillante. Cette technique s’est avérées très efficaces, permettant à un site malveillant de contrôler des milliers d’URL par seconde pour voir si un utilisateur a visité les principaux portails du web.  En 2010, David Baron a publié une proposition pour prévenir de telles attaques, en limitant les styles (css) qui peuvent être appliquées aux liens visités et veiller à ce que l’API JavaScript appelle que les styles des éléments à visiter. Les correctifs avaient été mis en œuvre dans tous les principaux navigateurs. Sauf que la faille découverte permet aussi de lire, à distance, les pixels et, avec un peu de malice, permettre à un pirate de lire ce qui s’affiche dans le navigateur. Le White paper de CIS.

Argent, Arnaque, Banque, Cybersécurité, escroquerie, Paiement en ligne

Piratage d’un compte bancaire, les indices qui mettent la puce à l’oreille

3 commentaires

La plupart des utilisateurs jugent important de protéger leurs informations personnelles stockées sur leurs ordinateurs. Et selon une récente enquête consultée par DataSecurityBreach.fr, réalisée pour Kaspersky Lab, aussi incroyable que cela puisse paraître un participant sur trois (33%) conserve ses coordonnées bancaires sur son ordinateur domestique. A noter que 62 % des utilisateurs considèrent la fuite de données financières comme la menace la plus dangereuse ; 47 % estiment que le vol d’informations bancaires lors d’achat en ligne est le problème le plus préoccupant lorsque l’on se rend sur internet. 57 % des français estiment qu’ils ne sont pas suffisamment outillés pour faire face aux menaces de sécurité sur internet.

Les cybercriminels multiplient les tentatives pour pirater les sites de banque et de commerce en ligne. C’est pourquoi, surveiller ses comptes de paiement en ligne (PayPal, Amazon, Google Checkout, etc.) de près peut éviter des mauvaises surprises à la fin du mois. Comme le rappelle ZATAZWeb.tv, s’informer, c’est déjà se sécuriser. Voici les six « alertes » qui doivent vous faire tendre l’oreille.

1.     Surveiller les activités non autorisées : savoir toujours quelles opérations sont prévues. Tout montant débité sans l’autorisation du détenteur du compte, aussi faible soit-il, doit constituer un signal d’alerte.

2.     Attention aux notifications : Le fait de recevoir un e-mail informant que les informations de son compte ont changé alors que rien n’a été modifié peut être un signe que le compte a été piraté.

3.    Attention aux faux appels : si un interlocuteur se présente comme travaillant pour un établissement bancaire ou prestataire de paiement au téléphone, ne pas hésiter à rappeler le service client pour vérifier l’authenticité de l’appel.

4.    Se méfier des textos : si l’utilisateur reçoit soudainement des SMS ou des appels provenant d’un numéro de mobile habituellement non utilisé par son prestataire, il faut être extrêmement prudent quant à son origine.

5.     Vérifier chaque e-mail : si un e-mail ou une autre forme de communication en ligne ne paraît pas authentique, ne pas y répondre sans avoir vérifié son authenticité auprès de son prestataire.

6.     Attention aux faux liens : si des activités inhabituelles sont observées sur son compte, il faut vérifier si aucun lien suspect dans un e-mail n’a été ouvert.

Ainsi, il est bien sûr recommandé aux utilisateurs d’adopter les bons réflexes de sécurité lors des achats en ligne. En outre, l’installation d’un logiciel efficace de sécurisation d’Internet, et notamment des fonctions de banque en ligne, permet d’éviter les attaques de type « man in the browser » qui interceptent les données normalement sécurisées transitant dans un navigateur Web. Dans ce type d’attaque, un malware implanté sur l’ordinateur infecté modifie de manière invisible des pages Web légitimes afin de prendre le contrôle des activités de banque en ligne. L’internaute est bien connecté au site Web authentique de la banque, l’adresse affichée (URL) est la bonne mais des cybercriminels peuvent intercepter la transaction pour dérober les informations financières et, plus grave, de l’argent.

Arnaque, Cyber-attaque, Entreprise, Fuite de données, Leak

Les menaces et la sécurité des centres d’assistance technique

Un commentaire

Le SANS Institute of Research a dévoilé les résultats d’une étude sponsorisée par RSA, la division sécurité de EMC, portant sur les menaces et la sécurité des centres d’assistance technique (Les help desks, ndlr datasecuritybreach.fr).

Les help desks sont le point d’entrée des employés pour la résolution des problèmes informatiques. Pourtant on constate que la sécurité informatique reste encore assez à améliorer ; les téléassistants étant mesurés à la rapidité de résolution des problèmes. Ainsi ces centres sont aujourd’hui une voie facile pour les hackers de mettre un pied dans l’entreprise. L’étude réalisée auprès de 900 professionnels de l’informatique dans le monde, tous secteurs confondus, souligne les menaces et le niveau de sécurité des centres d’assistance technique :

–          Pour 69% des répondants, l’ingénierie sociale est le premier moyen pour les hackers d’entrer dans les entreprises via les help desks.  L’ingénierie sociale étant une forme d’acquisition déloyale d’information : les informations basiques et accessibles à tous comme le nom, prénom et numéro d’employé sont souvent le seul moyen d’identifier les collaborateurs.

–          Un tiers des professionnels interrogés atteste que la sécurité de leur help desk reste très faible.

–          43% ne prennent pas en compte le paramètre sécurité lorsqu’ils calculent le budget de leur help desk.

Data Security Breach rappelle qu’afin de prévenir les attaques, les entreprises doivent protéger leurs données tout en répondant aux attentes des employés et ainsi revoir la sécurité de leur help desk. Pour cela RSA recommande :

–          L’automatisation et la mise en libre-service des options pour les questions courantes de l’utilisateur telles que la réinitialisation du mot de passe afin de réduire les erreurs et les vulnérabilités qui conduisent à des failles informatiques et le vol de données

–          Des formations solides et continues du personnel pour apprendre à repérer et réagir à d’éventuelles attaques

–          Des outils avancés qui permettent des méthodes d’authentification plus solides en utilisant des ressources de données dynamiques. (SANS Institut)

BYOD, Entreprise, Fuite de données, Sauvegarde, Vie privée

Messages personnels dans un ordi pro ne sont plus personnels

3 commentaires

Le site juridique Legalis.net revient sur une décision de la cour de cassation concernant les emails envoyés depuis l’ordinateur personnel d’un salarié, avec son adresse personnelle, puis transférés sur son ordinateur professionnel, sans qu’ils soient identifiés comme « personnels ». Bilan, la justice française a décidé que ces courriers étaient présumés professionnels. Telle est la conclusion qui ressort de l’arrêt de la Cour de cassation du 19 juin 2013. La Cour de cassation a affiné sa jurisprudence qui figure dans le premier attendu : « les dossiers et fichiers créés par un salarié grâce à l’outil informatique mis à sa disposition par son employeur pour l’exécution de son travail sont présumés, sauf si le salarié les identifie comme étant personnels, avoir un caractère professionnel de sorte que l’employeur peut y avoir accès hors sa présence ». Bref, cette décision pourrait très bien être prise en compte lors de la visite de votre Facebook, via un ordinateur du bureau.

Biométrie, Entreprise, Sauvegarde

Ma voix est mon mot de passe

Un commentaire

La biométrie vocale fournit une couche supplémentaire de sécurité et, dans le cadre d’un processus d’authentification multifactorielle, élimine pratiquement les risques associés à l’utilisation du même identifiant et mot de passe pour les comptes multiples. En utilisant simplement l’empreinte vocale unique à chaque être humain, la sécurisation de l’accès aux informations personnels s’en trouve amélioré et pallie l’oubli des mots de passe. DataSecurityBreach.fr rappelle qu’il s’agit également de la seule caractéristique biométrique à pouvoir être vérifiée à distance, ce qui rend l’authentification vocale particulièrement pratique.

Plusieurs groupes comme Barclays, Turkcell, Vanguard et Eastern bank ont choisi d’offrir à leurs clients une méthode d’authentification plus naturelle reposant sur la biométrie vocale. Barclays est le premier groupe de services financiers à déployer un système de biométrie vocale passif comme principal moyen d’authentification des clients contactant leur centre d’appel. Lorsqu’un client appelle Barclays pour consulter ses comptes par téléphone, il converse tout naturellement pendant 20 à 30 secondes avec un agent du service client. Pendant ce laps de temps, la voix du client est comparée avec son empreinte vocale déjà enregistrée. Lorsque l’identité du client est effectivement authentifiée, le représentant de Barclays en est averti discrètement. Si le système n’authentifie pas le client ou si la demande de transaction excède les seuils de sécurité, les agents de Barclays procèdent alors à la traditionnelle authentification basée sur la connaissance.

A ce jour, la société Nuance a traité plus de 30 millions d’empreintes vocales avec sa technologie de biométrie vocale et, en seulement deux ans, ce nombre a triplé. Traditionnellement utilisée dans le secteur bancaire, celui des télécommunications et pour le compte d’organisations gouvernementales, l’usage de la biométrie vocale s’accélère dans les domaines de la mobilité et de l’électronique grand public.

Nuance a dévoilé, il y a quelques jours, une nouvelle génération de biométrie vocale adaptée à une authentification du locuteur pour les terminaux mobiles, les téléviseurs ou encore les rapports médicaux. L’authentification vocale est à coup sûr en passe de se démocratiser. Le « jeton vocal » pourrait bientôt remplacer les habituels mots de passe et codes PIN.

Cybersécurité, spam

La France sort du classement des pays les plus spammeurs du monde !

La France sort du classement des pays les plus spammeurs du monde ! Sophos a dévoilé la nouvelle édition de son classement des 12 pays les plus relayeurs de spams du monde, le Sophos Dirty Dozen, pour le second trimestre 2013. A noter que la France, classée 5ème pays le plus relayeur de spam au premier trimestre 2013, est sortie du classement tout comme le Pérou et la Corée du Sud. Parmi les nouveaux entrants du classement, l’arrivée remarquée de la Biélorussie directement à la seconde place, suivie de l’Ukraine et du Kazakhstan. Les Etats-Unis quant à eux gardent leur place de leaders.

Entreprise, Fuite de données, Sauvegarde

Boulette chez Pacific Host : BDD ouverte sur la toile

Un commentaire

Voilà le genre de boulette qui aurait pu faire mal entre de mauvaises mains, heureusement pour Pacific Host, la fuite n’a été vue, à première vue, que par la rédaction de DataSecuriyBreach.fr. Lors d’une mise à jour vers MySQL 5.5, vendredi 19 juillet, un paramètre incorrect dans la configuration a fait planter un des serveurs de l’hébergeur. Une « boite » numérique comprenant pas moins de 1.500 sites Internet.

La société d’hébergement s’est expliquée sur cette porte ouverte. « Nous avons dû supprimer certains de nos logiciels de sécurité pour permettre l’accès à la prise mysqld. » Bilan, une erreur MySQL (111) s’affichait et le fichier localhost.sql pouvait se copier comme pour rire.

Le problème a été corrigé. La rédaction de Data Security Breach pense être l’unique entité à avoir vu le contenu de la BDD ouverte (emails, sites, logins, mots de passe, clé d’activation, IP, identifiant de smartphone, navigateurs utilisés, …) ou pas !