Archives de catégorie : Entreprise

Actualités liées à la sécurité informatique des entreprises, PME, PMI, TPE, association, communes.

Base de données, Communiqué de presse, Cybersécurité, Entreprise, Fuite de données, loi, RGPD, Securite informatique

RGPD loi 490 : une évolution dans la protection des données personnelles mais qui n’est pas encore suffisante

Loi 490 – La mise en place du RGPD (Règlement Général sur la Protection de Données) entrera en vigueur le 25 mai 2018. Tous les pays membres de l’Union Européenne doivent mettre en conformité leurs législations nationales avec ce nouveau règlement européen.

En France, le projet de Loi n°490, relatif à la protection des données personnelles, présenté à l’Assemblé en février 2018, est quant à lui, destiné à compléter en France les dispositions du RGPD.
Le premier objectif de ce projet de Loi est de responsabiliser les entreprises qui doivent se montrer actives dans la protection des données et mettre en œuvre des actions. Celles-ci ne devront plus se contenter de « déclaration » mais tenir un « registre des activités de traitement », effectuer des « analyses d’impact relative à la protection des données » lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques ou encore faire appel à un « délégué à la protection des données » qui vient remplacer le CNIL. Le second objectif est de renforcer le droit des personnes en leur accordant des nouveaux droits.

Bien que ce projet de Loi n°490 souligne un besoin réel de changement dans l’encadrement de la protection des données à caractère personnel, il possède encore des zones d’ombres qui risquent de compromettre la mise en application des droits gagnés des utilisateurs, et qui demandent aux Responsables de Traitement de réaliser des concessions.

Qu’est-ce que « l’intérêt légitime » ?

Pour être licite, un traitement de données à caractère personnel doit respecter l’une des six bases légales fixées par le Règlement à savoir l’exécution d’un contrat, l’obligation légale, le consentement, l’intérêt vital, l’intérêt légitime. La notion d’intérêt légitime est subjective et n’a pas la même ampleur pour toutes les entreprises. Pourtant l’intérêt légitime sera l’une des bases juridiques valables pour se passer du consentement de l’utilisateur.

Chaque Responsable de Traitement devra alors posséder la preuve du consentement de la personne faisant l’objet du traitement de données, sauf dans plusieurs cas précis, comme par exemple celui de la poursuite légitime. Comment définit-on alors l’intérêt légitime ?

Les moyens d’exercice de son droit

Comment permettre aux internautes de faire appliquer leurs droits de suppression, d’information ou de limitation ? Quels sont les moyens d’exercice qui garantiront aux usagers de ne pas voir leurs demandes rester sans réponse ? Pourquoi reconnaître des droits s’il n’existe pas de canal d’application permettant de les faire exécuter ?

Il est important que les obligations du Responsable de Traitement soient assorties des modalités d’application adaptées. Egalement, il serait pertinent de voir la « demande par email » considérée, d’autant que l’essentiel des fichiers comportent et portent un email, et d’indiquer des délais suffisamment courts pour que cela soit efficace et que les demandes des internautes soient traitées par les éditeurs du fichier.

Devoir d’information des Responsables de Traitement

Les modalités de mise en oeuvre du devoir d’information des Responsables de Traitement n’ont pas été évoquées de façon précises : l’information doit être compréhensible, accessible, en termes clairs. Que se passe-t-il après avoir rempli ce devoir d’information « one shot » ? Si les responsables de traitement envoyaient une fois par an un email récapitulatif à toutes personnes concernées par le traitement sur leur adresse mail utilisée pour le fichier, cela permettrait aux internautes de se rappeler quelles informations sont fichées, et leur fournirait un point de contact utilisable (adresse d’email utilisée pour l’envoi) pour faire appliquer leurs droits. Naturellement un délai de réaction adapté doit courir dès l’envoi de l’email, au-delà duquel une non-réponse vaudra refus ou manquement et donc permettra à l’intéressé de se tourner vers la CNIL. La CNIL verra alors ses pouvoirs et ses devoirs de gendarme du web renforcés. Aura-t-elle ainsi ses moyens d’action, humains et matériels, ajustés à la hauteur des objectifs qui seront désormais les siens ? Si ce n’est pas, cela aggravera l’impression générale que la CNIL ne peut traiter qu’une infime partie des signalements, bref un gendarme qui n’est pris au sérieux ne peut pas gendarmer !

Durée de conservation des données

Est-il souhaitable qu’un moteur de recherche géant ou une société de remarketing puisse conserver 40 ans d’historique de la vie de quelqu’un ? Comment l’utilisateur sera-t-il informé que ces données aient bien été supprimées, sans contacts spontanés réguliers avec le responsable de traitement ? Cela ne renvoie-t-il pas à la nécessité d’informer régulièrement l’utilisateur ? Pris ensemble, ces éléments imposent aux Responsables de Traitement de fournir aux internautes une adresse email pour faire appliquer leurs droits. La mise à disposition de requêtes automatisées accessibles par URL est certainement la meilleure solution pour toutes les parties : garantie d’action immédiate pour le demandeur, et annulation de l’encombrement service client lié au traitement humain des demandes côté responsable de traitements.

Sécurisation des données

La responsabilité de la sécurisation des données incombe au responsable de traitement comme le vol de données ou le hacking. Le manquement à ses obligations peut entrainer de lourdes sanctions prononcées par la CNIL dont le rôle sera de distribuer des amendes, et pourtant de nombreuses sociétés n’ont encore aujourd’hui aucune gestion de sérieuse de leurs données. De nombreuses sociétés vont à présent se positionner sur l’appel d’air du RGPD et vendre des registres,
des audits à de nombreuses sociétés. Une prestation pour sécuriser a minima leurs bases de données. Comment les entreprises informeront-elles leurs prospects/clients ? Comment pourront-elles gérer leurs demandes, la mise à jour de leurs registres ? Ces flous persistants sont aussi un problème pour la majorité des Responsables de Traitement qui ne sont pas nécessairement des grands moteurs de recherche ou des sociétés de targeting.

Ce texte de Loi est une avancée mais des éléments concrets pour protéger l’identité numérique des personnes manquent encore, comme cadrer les raisons qui permettent de se passer du consentement mieux qu’avec l’intérêt légitime de l’entreprise contre l’attente raisonnable de l’utilisateur ; Donner des vrais moyens pour exercer les droits de l’internaute lorsque l’écueil de l’intérêt légitime sera évité ; Mieux expliciter le devoir d’information des Responsables de Traitement n’est pas explicité ; la durée de la conservation des données… (Ludovic Broyer, fondateur d’iProtego)

Chiffrement, Communiqué de presse, cryptage, cryptomonnaie, Cybersécurité, Entreprise, Securite informatique

Le minage de cryptomonnaie gagne du terrain : le cryptomining va-t-il avoir le même succès que les ransomwares ?

Les pirates informatiques sont opportunistes, le minage de cryptomonnaie gagne du terrain. Au fur et à mesure que les constructeurs augmentent la puissance des matériels, ces dispositifs deviennent des cibles de plus en plus utiles pour les Botnets. Dans le même temps, les pirates informatiques recherchent les vulnérabilités des périphériques ou exploitent des applications et des périphériques mobiles Dès l’instant qu’un réseau n’est pas sécurisé.

Le minage de cryptomonnaie en tête de gondole pirate. Les Ransomwares ont permis de monétiser facilement ces vulnérabilités et ont eu comme effet secondaire de faire exploser la valeur des crypto-monnaies en raison de leur intérêt croissant. L’extraction de crypto-monnaies (cryptocurrency mining), qui consiste à confirmer des transactions en Bitcoin ou autre monnaies virtuelles, est parfaitement légal. Les développeurs d’applications mobiles recherchent des moyens de monétiser leur travail sur ce marché concurrentiel et l’extraction de bitcoin via ces applications est devenue une opportunité intéressante. Cependant, cette méthode de monétisation pose problèmes lorsque les utilisateurs ne savent pas que leurs appareils sont utilisés pour extraire de la monnaie numérique.

Les récentes poursuites judiciaires contre Apple, accusé de ralentir les performances des versions les plus anciennes de ses iPhones, pourrait devenir un précédent juridique dans le cadre de futures poursuites pour des affaires de « cryptocurrency mining ». Si un utilisateur peut poursuivre Apple en justice puisque son téléphone a été ralenti sans qu’il ne le sache, des développeurs qui installent des capacités minières affectant les performances et la durée de vie des batteries pourraient également être tenus responsables.

Non seulement cette menace est amenée à s’installer, mais elle est en train de devenir aussi présente que les ransomwares. Par exemple, des indicateurs fiables montrent que les pirates utilisent d’anciennes vulnérabilités plus pour miner de la crypto-monnaies après avoir initialement tenté une infection pour générer des bitcoins sans exiger de rançon. Au fur et à mesure que ce pool se rétrécit, les mineurs se concentrent sur l’extraction de la valeur par d’autres moyens, tels que l’utilisation du malware comme arme DDoS.

Bien que la malveillance de ce type d’applications mobiles et de navigateurs Web infectés fasse l’objet de débats, nous pouvons dire avec certitude que nous assistons à la naissance d’une nouvelle forme de malware. Et sans une stratégie robuste de sécurité et de surveillance, ainsi que la visibilité du réseau pour protéger les applications et les ordinateurs, on doit s’attendre à devenir les prochaines victimes du cryptocurrency mining.

L’extraction à l’ère du mobile
L’ère du mobile a créé une occasion pour les pirates de tirer le meilleur parti des logiciels malveillants destinés à miner de la crypto-monnaie. Cette pratique nécessite de la puissance CPU pour générer de la valeur, de la puissance de traitement de données et consomme de l’électricité, trois besoins qui coûtent de l’argent.

Les recherches montrent qu’il existe de nombreuses applications Android malveillantes qui circulent actuellement sur Internet. Parmi elles, certains crypto-mines ont réussi à contourner les filtres pour intégrer le Google Play Store. Une récente analyse sur les malwares visant les mobiles a conduit les chercheurs à identifier un certain nombre de portefeuilles de crypto-monnaie et de comptes appartenant tous à un même développeur russe, lequel affirme que son activité est parfaitement légale pour faire de l’argent.

Dans le domaine de l’industrie, nous avons un point de vue totalement différent et nous considérons que le minage de crypto-monnaies est un détournement du dispositif d’un utilisateur. Bien qu’il soit techniquement légal que l’extraction de crypto-monnaies soit divulguée, ces actions sont délibérément trompeuses et manquent souvent de transparence.

Nous avons été témoins de l’utilisation de mineurs intégrés à des applications légitimes, disponibles sur l’Android Store, et qui sont utilisés pour extraire de la valeur à partir de téléphones mobiles, lorsque leurs propriétaires ne les utilisent pas. Au cours des derniers mois, il y a eu plusieurs cas de pirates exploitant des crypto-monnaies, même une fois que la fenêtre de navigateur était fermée.

Parmi les autres méthodes qu’utilisent les pirates pour déployer des mineurs de crypto-monnaies, on retrouve l’utilisation des forcers bruts Telnet/SSH, ainsi que l’injection SQL et l’installation directe des mineurs. Le crypto-minage, qu’il s’opère via les navigateurs ou les applications mobiles, va persister, de telle sorte que les entreprises concernées devraient améliorer leurs performances de sécurité, en apportant une visibilité et un contexte au niveau des applications à leurs outils de surveillance.

Plus d’appareils, plus de minage
Alors que de nouvelles menaces de sécurité émergent chaque semaine, il y a de fortes chances pour que d’autres périphériques soient rapidement infectés par des malwares de cryptocurrency mining. L’accroissement de la présence de dispositifs IoT va créer de nouvelles cibles pour les mineurs de crypto-monnaies. Nous pourrons également voir des attaques hybrides qui s’appuient d’abord sur un ransomware puis sur un crypto-mineur, afin de profiter deux fois d’une même attaque sur chaque ordinateur.

La plupart de ces attaques se produisent à la périphérie du réseau. L’une des attaques les plus fréquentes qui tente d’installer des crypto-mineurs est la vulnérabilité EternalBlue. Celle-ci a permis le développement de ransomwares comme WannaCry et Not-Petya. Et alors que les pirates n’utilisent pas de nouveaux outils ou de méthodes avancées pour déployer ces mineurs de crypto-monnaies, ils rencontrent quand même du succès. Par conséquent, les entreprises doivent avoir une stratégie réactive de gestion des correctifs, s’assurer que leurs règles IPS sont à jour, effectuer des tests pour s’assurer qu’elles peuvent détecter les vulnérabilités qui ne peuvent pas être corrigées immédiatement, et enfin, surveiller le trafic réseau pour identifier le trafic d’exploitation de chaque poste.

Si les organisations n’ont pas d’informations sur leurs réseaux, elles ne sont pas en mesure de savoir si leurs terminaux exploitent de la crypto-monnaie sans autorisation, divulguent des données en cas de brèche ou diffusent des malwares en interne. La mise en place d’une solution de surveillance du réseau les alertera dès le début d’un compromis en montrant un changement dans la configuration du trafic réseau. (Par Steve McGregory, Senior Director ATI Research chez Ixia)

Communiqué de presse, Cybersécurité, Emploi, Entreprise, Mise à jour, Securite informatique, Social engineering

Oubliez les « fake news » : les FAUSSES DONNÉES envahissent les entreprises du monde entier

Une étude révèle que les consommateurs français FALSIFIENT INTENTIONNELLEMENT leurs données personnelles en ligne. Oubliez les « fake news » : les FAUSSES DONNÉES envahissent les entreprises du monde entier.

Fake news or not fake news ! Concernant l’exactitude des informations personnelles que les consommateurs français partagent en ligne avec les entreprises/marques… Plus d’un consommateur français sur deux (55 %) admet avoir intentionnellement falsifié, ou ne sait pas s’il a falsifié ou non, ses informations personnelles lors de l’achat d’un produit/service. Plus le consommateur est jeune, plus il est susceptible de falsifier ses informations personnelles (74 % des 18-24 ans, et 52 % des 25-34 ans).

– Fake news – Informations personnelles parmi les plus fréquemment falsifiées :
o Numéro de téléphone (32 %)
o Date de naissance (19 %)
o Adresse personnelle (18 %)
o Nom (17 %)

– Les principaux motifs de falsification des données personnelles invoqués sont les suivants :
o Ne souhaitent pas recevoir de communications non sollicitées (appels téléphoniques, SMS, e-mails) de la part des entreprises (60 %)
o Ne veulent pas recevoir de publicités (51 %)
o Estiment que les données demandées sont sans rapport avec le produit/service proposé (35 %)
o Doutent de la capacité de l’entreprise à traiter/conserver leurs données de manière sécurisée (32 %)

Fake news – Quel impact sur les entreprises/marques ?
o 69 % des consommateurs français se disent prêts à boycotter une entreprise ayant montré, à maintes reprises, un manque d’intérêt pour la protection des données clients
o Le niveau de tolérance baisse avec l’âge, 82 % des plus de 55 ans étant prêts à boycotter une entreprise pour ce même motif (contre 65 % chez les 18-24 ans qui font preuve d’une plus grande indulgence)
o En cas de vol de leurs informations personnelles résultant d’une atteinte à la sécurité, deux tiers (67 %) en attribueraient la responsabilité à l’entreprise plus qu’à qui que ce soit d’autre (y compris le pirate)
o 73 % des plus de 55 ans pointeraient probablement l’entreprise du doigt
o 59 % éviteraient de confier leurs données personnelles à une entreprise connue pour avoir vendu des informations ou les avoir utilisées de manière abusive sans le consentement des personnes intéressées
o 53 % sont moins enclins à acheter les produits/services d’une entreprise réputée pour sa mauvaise gestion des données
o 48 % sont plus susceptibles d’acheter auprès d’une entreprise ayant démontré qu’elle prenait la protection des données au sérieux

Fake news – Quel impact sur les équipes marketing ?
o Bien que les entreprises détiennent plus de données clients que jamais auparavant, seulement un quart environ des personnes interrogées (28 %) pensent qu’elles permettent aux marques de leur proposer des produits/services à la fois meilleurs et plus personnalisés
o Seule une personne sur trois (34 %) parmi les 18-24 ans est disposée à fournir des informations personnelles en échange d’une meilleure expérience client ou de meilleurs services

Questionnés sur les types de données personnelles qu’ils souhaitent préserver…
o La majorité des Français interrogés (81 %) citent leurs informations financières et bancaires, suivies de leurs pièces d’identité (72 %), dont leur passeport et leur permis de conduire
o 7 sur 10 (71 %) tiennent à protéger leurs informations de sécurité, comme les mots de passe
– Les consommateurs français attachent moins d’importance à la protection de leurs habitudes de navigation (35 %), données de géolocalisation (38 %) et données génétiques (ADN) (39 %)

Concernant la perte, le vol ou la manipulation des données personnelles…
– Près de 3 sur 4 (74 %) se disent préoccupés par l’usurpation de leur identité
– Plus de 7 sur 10 (73 %) craignent que de l’argent ne soit dérobé à leur insu sur leur compte bancaire
– Un tiers (33 %) redoutent l’altération de leurs dossiers médicaux, et une même proportion (33%) celle de leur casier judiciaire
– 40 % s’inquiètent de la divulgation publique d’informations embarrassantes ou sensibles les concernant
– De la même manière, 41 % ont peur d’être victimes de chantage suite à la perte, au vol ou à la manipulation de messages ou de photos

À propos de leur sensibilisation aux violations de données (actes de piratage à l’encontre des entreprises)
– 71 % se disent davantage au courant des violations de données qu’il y a cinq ans
– Plus de deux tiers (67 %) sont inquiets à l’idée que des technologies de suivi et des dispositifs portatifs, comme les appareils Fitbit, collectent et stockent des données sur leurs moindres mouvements
– 8 consommateurs français sur 10 (80 %) s’efforcent de limiter la quantité d’informations personnelles qu’ils publient en ligne ou communiquent aux entreprises

Avons-nous vraiment le choix ?
– 49 % estiment n’avoir d’autre choix que de fournir des données personnelles à une entreprise en contrepartie de produits ou de services
o Ce sentiment est partagé par 70 % des 25-34 ans
– 4 sur 10 (39 %) se sont sentis forcés de transmettre à des entreprises des données personnelles sans aucun rapport avec le produit ou service proposé
– 22 % des 18-24 ans acceptent avec résignation de communiquer leurs informations personnelles
– Près de la moitié des personnes interrogées (49 %) pensent que les consommateurs sont si habitués à divulguer leurs données personnelles qu’il est presque impossible d’inverser la tendance

Méthodologie de l’étude à l’échelle mondiale
Sauf indication contraire, tous les chiffres proviennent de YouGov Plc. Taille totale de l’échantillon : 7 579 adultes à travers le Royaume-Uni (2 112), les États-Unis (1 076), la France (1 025), l’Allemagne (2 232) et l’Italie (1 134). L’enquête sur le terrain s’est déroulée du 15 décembre 2017 au 3 janvier 2018. Le sondage a été réalisé en ligne. Les chiffres ont été pondérés et sont représentatifs de l’ensemble de la population adulte (18 ans ou plus) de chaque région.

Cybersécurité, Emploi, Entreprise, Facebook, Justice, Mise à jour, Particuliers, Securite informatique

Vous ne fermez pas votre session Facebook ? Les messages deviennent publics

Voilà qui devrait vous faire réfléchir à deux fois quand vous laissez la session de votre compte Facebook ouvert. En cas d’oublie, les messages deviennent publics.

La justice Française vient de trancher. Une salariée d’une entreprise Toulousaine avait laissé la session de son compte Facebook ouvert. Son employeur, durant l’absence de cette dernière, avait eu accès au compte de l’employée via un ordinateur de l’entreprise. La session de la dame n’avait pas été coupée.

Bilan, le patron a pu lire des messages insultants diffusées sur le Facebook de la salariée.

Comme l’indique Legalis, pour sa défense, l’auteure des messages avait invoqué le caractère privé de ses communications.

La cour d’appel de Tooulouse a estimé que « les propos tenus par Mme X. sur son compte Facebook, affichés sur l’écran de l’ordinateur de l’entreprise et visibles de toutes les personnes présentes dans le magasin, avaient perdu leur caractère privé ».

Bitcoin, cryptomonnaie, Cybersécurité, Entreprise, Mise à jour, Securite informatique, Social engineering

Arnaque autour de la cryptomonnaie

Des pirates informatiques auraient réussi à détourner des millions de dollars dans une arnaque à la crypto-monnaie. De faux sites mis en place pour l’escroquerie.

Une petite dizaine de faux sites web. De fausses publicités exploitant le service publicitaire de Google (AdWords). Le tour était presque parfait pour une bande de pirates informatiques qui semble être basé du côté de l’Ukraine.

Une situation géographique qui semble être bonne, les autorités locales travaillant sur ce cas.

La campagne a été découverte en interne, chez Talos. Une campagne malveillante très simple, mais efficace. Les publicités Google AdWords ont permis aux escrocs de s’assurer un flux régulier de victimes.

Cette campagne ciblait des régions géographiques spécifiques et permettait aux assaillants d’amasser des millions de dollars de revenus grâce au vol de cryptomonnaie des victimes.

Data Security Breach a pu repérer plusieurs faux URL exploitant, par exemple, la fameuse technique des lettres exploitée par des langues étrangères (Faux sites Air France ; Faux URL Nike ; Faux URL Disneyland …) révélée par ZATAZ.

Pour le cas de cette arnaque, j’ai pu repérer des blokchaín.info (l’accent sur le i ; il manque le c à block) ; blockchaìn.com (l’accent sur le i) …

Communiqué de presse, cryptomonnaie, Entreprise, Mise à jour

Atari : Développements dans le domaine des blockchains, crypto-monnaies et crypto-casinos

Crypto-casinos : Signature du contrat relatif à l’Atari Token, crypto-monnaie associée à une plateforme de blockchains dans le domaine de l’Entertainment. Projets supplémentaires en cours dans le domaine des crypto-monnaies, notamment dans les crypto-casinos.

Le Groupe Atari annonce deux projets de développement majeurs dans le domaine des blockchains, des crypto-monnaies et crypto-casinos, avec d’une part une prise de participation dans une crypto-plateforme et la création d’un Token dédié (l’« Atari Token »), et d’autre part le lancement prochain de plateformes de casinos offrant des options de jeux en crypto-monnaies.

Prise de participation dans Infinity Networks Ltd (Gibraltar) et création de l’Atari Token
Atari a pris une participation de 15% du capital, avec un droit à 17,5% des résultats, de la société Infinity Networks, Ltd (Gibraltar). Cet investissement, réalisé sans décaissement de trésorerie par Atari, démontre tout l’attrait de la marque Atari. Infinity Networks, Ltd (Gibraltar), société créée par une équipe de vétérans reconnus de l’industrie de l’Entertainment et de la finance et dirigée par Ron Dimant et Daniel Doll-Steinberg, est dotée d’un conseil consultatif rassemblant des personnalités de premier plan dans le domaine des blockchains. La société développe une plateforme décentralisée donnant accès à toute forme de digital Entertainment, c’est à dire une offre très large allant des jeux vidéo aux films et à la musique. Cette plateforme, en cours de développement, fonctionnera en utilisant une crypto-monnaie, l’Atari Token. En échange de ces participations au capital, aux résultats et à des royautés futures, Atari a consenti à Infinity Networks, Ltd (Gibraltar) une licence long-terme d’utilisation de la marque Atari.

« La technologie des blockchains est vouée à prendre une place très importante dans notre environnement et à transformer, sinon révolutionner, l’écosystème économique actuel, en particulier dans les domaines de l’industrie du jeu vidéo et des transactions en ligne », a déclaré Frédéric Chesnais, PDG d’Atari, SA. « Compte tenu de nos atouts technologiques avec les studios de développement, et de la notoriété mondiale de la marque Atari, nous avons l’opportunité de nous positionner de façon attractive dans ce secteur. Notre objectif est de prendre des positions stratégiques avec un risque de trésorerie limité, afin de valoriser au mieux les actifs et la marque Atari ».

Lancement prochain de plateformes de casino acceptant les crypto-monnaies

L’investissement dans Infinity Networks, Ltd (Gibraltar) est le premier investissement réalisé par Atari dans le domaine des blockchains et crypto-monnaies. Le Groupe Atari travaille activement à l’identification et à la négociation d’opportunités supplémentaires, en prenant des participations capitalistiques en échange d’une licence de marque et avec un décaissement de trésorerie très limité. Le second projet en cours est le renforcement du partenariat avec Pariplay, Ltd dans le cadre du lancement au cours de l’année 2018 de plateformes de casino permettant aux joueurs de parier soit en argent réel soit avec la plupart des crypto-monnaies actuellement en circulation. Ces sites de casino offriront de nombreux jeux Atari. Pour élargir l’attrait de ces nouveaux casinos, et une fois l’Atari Token disponible, Atari a pour projet de lancer le Pong Token, un second Token dédié aux crypto-casinos et utilisable sur ces sites de jeux. Les modalités détaillées de ce lancement de crypto-casinos seront annoncées prochainement.

APT, backdoor, Chiffrement, cryptage, Cybersécurité, Entreprise, Justice, ransomware, Securite informatique

Lurk, le pirate russe derrière Wannacry

Retour sur le ransomware Wannacry. Un pirate Russe a avoué être derrière cette attaque, lui et son groupe Lurk.

Les chantages informatiques pullulent sur la toile. Mission clairement énoncée par les pirates et leurs outils malveillants, gagner un maximum d’argent et un minimum de temps. Il y a quelques semaines, un pirate Russe, fraichement arrêté, a avoué être l’auteur du rançonnage 2.0 du mois de juin 2017.

Konstantin Kozlovsky, le pirate en question, a expliqué, que lui et son groupe, Lurk Team, était l’auteur de Wannacry.

L’information n’étonne pas vraiment. On sait que les pirates Russes sont avides d’argent. L’homme a été arrêté dans la banlieue d’Ekaterinbourg. Kozlovsky avait déjà expliqué au mois d’aôut 2017, être le pirate derrière l’attaque informatique ayant visé le parti politique Démocrate américain. Une cyberattaque pour le compte du FSB, le service de renseignement Russe.

Lors d’une interview à la télévision locale (Dozhd), le pirate a confirmé avoir reconnu des bouts de code d’un autre logiciel pirate créé par son Crew, Lurk. D’ici là que les services de renseignement Russe se sont servis des 0day et autres exploits du groupe Lurk après l’arrestation de Kozlovsky, il n’y a qu’un pas. Le pirate a indiqué que les attaques à l’encontre d’entreprises Russes, telles que Rosneft et GazProm n’étaient rien d’autres… que des tests pour valider le code malveillant.

Kozlovsky rajoute une couche en expliquant que les tests ont été lancées depuis les machines de la société Samolet. « Le virus a été testé sur des ordinateurs de la société Samolet Development. Une société spécialisée dans les logements sociaux, à Moscou ». Dans les « buts » avoués, Lurk avait pour projet de pirater le réseau informatique de Novolipetsk Steel et de tenter d’arrêter ses hauts fourneaux. Voilà qui démontre que personne n’est capable de connaitre un assaillant avant de lui avoir mis la main dessus.

La Corée du Nord n’est pas coupable !

Pour rappel, l’Oncle Sam indiquait par communiqué de presse, en février 2017, avoir les preuves du créateur de Wannacry : la Corée du Nord. Une information qui leur avait été fournie par Kaspersky Lab et Symantec. Les sociétés de sécurité informatique soupçonnaient le groupe Nord Coréen Lazarus d’être derriére le ransomware. « Cette vaste attaque a coûté des milliards et la Corée du Nord en est directement responsable« , écrivait alors le conseiller à la sécurité intérieure de Donald Trump, Tom Bossert. Des propos tenus dans le Wall Street Journal.

Le gang Lurk était connu dans l’écosystème cybercriminel pour avoir développé le kit exploit Angler. Une enquête conjointe menée par la police russe et le laboratoire de Kaspersky avait permis d’identifier les personnes à l’origine du malware Lurk. Les membres de Lurk ont ??été arrêtés par les forces de l’ordre russes à l’été 2016. Selon les autorités, Lurk a pu voler 45 millions de dollars US aux institutions financières locales. A noter qu’un agent du FSB, Dmitri Dokouchaïev, un employé du Centre de Sécurité de l’Information du FSB, serait le donneur d’ordre. Il a depuis été arrêté dans une affaire de haute trahison.

Pendant ce temps, un ancien fonctionnaire du FSB, le lieutenant-général Vladimir Skorik, a intégré la 15e entreprises mondiales de technologie de pointe, SAP CIS. Cette entreprise est spécialisée dans la création de logiciels d’entreprise. le lieutenant-général Vladimir Skorik était le directeur du Centre de Sécurité de l’information du service de renseignement Russe jusqu’en 2009.

backdoor, Chiffrement, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Piratage, Securite informatique

Opération de la Corée du nord baptisée HIDDEN COBRA

HIDDEN COBRA, une attaque informatique signée par des pirates informatiques de la Corée du Nord selon les autorités américaines.

Ce rapport d’analyse de malware (MAR) de Hidden Cobra est le résultat d’efforts d’analyse entre le département de la sécurité intérieure (DHS) et le Federal Bureau of Investigation (FBI). En collaboration avec des partenaires du gouvernement, le DHS et le FBI ont identifié des variantes de logiciels malveillants de type cheval de Troie utilisés par le gouvernement nord-coréen – communément appelé HARDRAIN.

Le gouvernement américain fait référence à la cyberactivité malveillante du gouvernement nord-coréen sous le nom de HIDDEN COBRA.

Le FBI est convaincu que les acteurs de HIDDEN COBRA utilisent des variantes de logiciels malveillants en conjonction avec des serveurs proxy pour maintenir une présence sur les réseaux de victimes et poursuivre l’exploitation du réseau.

Le DHS et le FBI viennent de distribuer un document pour permettre la défense du réseau et réduire l’exposition à l’activité cybernétique malveillante du gouvernement nord-coréen. Cette alerte inclut des descriptions de logiciels malveillants liées à HIDDEN.

Mise à jour : https://www.us-cert.gov/sites/default/files/publications/MAR-10135536-G.PDF pour Badcall

Base de données, Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Leak, Logiciels, Particuliers, Piratage, ransomware, ransomware, Sauvegarde, Securite informatique, Vie privée

RGPD et Ransomware : des actions judiciaires à prévoir dès mai 2018 ?

Votre société a été touchée par un ransomware ? En mai 2018, des actions judiciaires lancées par vos clients pourraient rajouter une couche d’ennuis à votre entreprise.

RGPD et actions judiciaires ! Le 18 janvier 2018, la société américaine Allscripts était touchée par un ransomware. Classique attaque qui chiffre les fichiers des ordinateurs infiltrés. Une cyberattaque possible via le clic malheureux d’un employé sur un mail piégé. Une attaque qui a perturbé l’entreprise, mais aussi directement ses clients. Ces derniers ne pouvaient accéder à leurs dossiers de patients ou de facturation.

Bilan, une plainte de recours collectif (Class action) a été déposée contre Allscripts. Le fournisseur de dossiers de santé électroniques (DSE) va se retrouver devant la justice. Un de ses prestataires, Surfside Non-Surgical Orthopedics, basé en Floride, spécialisé dans la médecine sportive, a déposé une plainte contre DSE.

Actions judiciaires, rançongiciel …

En en raison de l’attaque, Surfside indique qu’il « ne pouvait plus accéder aux dossiers de ses patients ou prescrire électroniquement des médicaments« .  Bilan, rendez-vous annulé, pertes d’argent… Allscripts est l’un des fournisseurs de dossiers médicaux électroniques (DSE) les plus répandus dans le monde.

L’entreprise est toujours à travailler, plusieurs jours après cette « attaque », à restaurer certains de ses systèmes informatiques suite au rançongiciel.

Fait intéressant, le type de ransomware utilisé dans l’attaque [SamSam ransomware] était le même que celui utilisé dans une attaque contre Hancock Health, un autre système de santé basé dans l’Indiana, début janvier 2018. Dans ce cas, les responsables du système de santé ont fermé tout le réseau Hancock Health et ont finalement payé le pirate. Il aurait reçu 55 000 dollars en bitcoin.

SamSam a également été utilisé contre le système de santé intégré MedStar Health, en mars 2016. Bleeping Computer a noté que d’autres attaques ont signalées, impliquant SamSam, dans les machines de l’Adams Memorial Hospital (Indiana).

Les systèmes d’Allscripts desservent environ 180 000 médecins et 2 500 hôpitaux. Il n’est pas clair si la société a payé une rançon.

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, RGPD, Sauvegarde, Securite informatique

Le RGPD : Les 3 erreurs du Règlement Général de Protection des Données

Le RGPD, c’est demain ! La Commission européenne avait parfaitement raison de déclarer dans son évaluation sur le Règlement Général de Protection des Données de l’Union européenne qu’il s’agissait « du changement le plus important dans le règlement sur la confidentialité des données depuis 20 ans ». Toute entreprise doit se conformer au RGPD, mais ne devrait pas perdre de vue l’objectif ultime : permettre et gérer davantage d’interactions et d’activités numériques.

Tout d’abord, le RGPD, le nouveau règlement exige que les entreprises s’engagent à mener des contrôles de conformité systématiques de leur fonctionnement actuel et prévisionnel. En un mot, évaluer les données de l’entreprise ; où sont-elles stockées ; et comment sont-elles utilisées. Compte tenu de l’importance de la réglementation, de sa vaste portée et de ses importantes pénalités potentielles, toute multinationale doit appliquer ce règlement et y parvenir de façon positive.

En observant le marché en collaboration avec des clients, des partenaires, des analystes et des autorités de régulation sur les programmes numériques et le RGPD en lui-même, on constate des bonnes pratiques et des pratiques que l’on peut qualifier de mauvaises. Voici les trois « erreurs du RGPD » : des actions menées sous les auspices du RGPD qui peuvent être directement placées dans le panier des « mauvaises pratiques ».

Erreur n° 1 : Négliger le client

L’objectif ultime du RGPD est de permettre davantage d’activités numériques. Le RGPD confère aux particuliers de l’UE des droits plus forts, appliqués de façon uniforme, qui leur octroient un meilleur contrôle de leurs données et une protection leur vie privée à l’ère numérique. Par définition, le RGPD est une réglementation centrée sur le client. En général, les entreprises qui réussissent dans le secteur numérique ont un regard extrêmement pointu sur leurs clients. Une partie de cette vue perçante est constituée des données numériques qu’elles possèdent de leurs clients, et de leur gestion et leur exploitation.

Le RGPD offre l’occasion d’examiner comment les données des clients, la vie privée et la confiance font partie de l’expérience client globale (segment par segment, marché par marché). En général, les organismes centrés sur le client conduisent déjà de très bonnes pratiques relatives aux données de leurs clients, qui sont gérées par les sections commerciales de l’entreprise. Ces entreprises exploitent leurs données clients avec beaucoup de soin et d’attention, et suivent fort probablement déjà les pratiques exemplaires du RGPD bien avant que la réglementation ne soit appliquée.

Si le RGPD ne reçoit pas l’attention, l’implication et le cautionnement de la direction commerciale, cela peut être un signe que l’entreprise ne comprend pas vraiment le RGPD et ses objectifs. Celles qui sont impliquées dans le projet RGPD devraient s’assurer que le client est au cœur de leur programme et d’obtenir un bon niveau de soutien et de patronage commercial.

Erreur n° 2 : Se concentrer uniquement sur la conformité plutôt que sur la transformation numérique

Certaines mises en œuvre du RGPD sont conçues pour être simplement conformes à la nouvelle réglementation, mais ceci est loin d’être optimal. L’objectif primordial du RGPD est de faciliter et de permettre davantage d’interactions et d’activités numériques au sein du marché unique. À ce titre, il est un peu incongru qu’une entreprise n’aligne pas étroitement son flux de travail RGPD avec ses programmes numériques essentiels. Les entreprises doivent comprendre l’implication complète du RGPD et s’assurer que les parties commerciales de l’entreprise supervisent intégralement ces initiatives, non limité à seulement leurs équipes informatiques pour vérification de conformité.

Il y a un certain nombre d’avantages à harmoniser le RGPD avec les programmes de transformation numérique, compte tenu que l’objectif ultime du RGPD est ciblé sur le marché numérique. Dans cette optique, les objectifs réglementaires et commerciaux peuvent être parfaitement alignés et complémentaires. En outre, les entreprises peuvent utiliser ce haut niveau de contrôle, obtenu grâce au RGPD, comme une occasion pour non seulement conduire le programme RGPD mais permettre un contrôle qualité de pointe, voire une amélioration, du programme numérique de l’entreprise.

Erreur n° 3 : Se concentrer sur les pénalités du RGPD, plutôt que sur les KPI

Un choix de direction consiste à mener des initiatives RGPD en utilisant une logique étroite de conformité et de mise en évidence des sanctions potentiellement importantes : par exemple jusqu’à 20 millions d’Euros, ou 4% du chiffre d’affaires mondial du groupe (si supérieur). Dans cette approche, une entreprise cocherait la case « conformité réglementaire » et exposerait les 20 millions d’euros/4 % du CA en tant que raison d’être dans le document de lancement du projet. Cela conduirait la gestion informatique et le reste de l’entreprise à une définition peu ambitieuse des priorités et des ressources allouées. Cette logique de projet est un signe que ni le client ni l’optimisation de l’exploitation numérique sont au cœur du projet RGPD.

Une étroite conformité avec le RGPD n’ajoutera pas nécessairement un seul euro au résultat financier ; ni l’amélioration de la satisfaction de la clientèle ; ni un impact sur tout autre indicateur de performance critique que l’entreprise pilote en ce qui concerne son activité numérique. Cependant, un programme RGPD bien intégré dans l’entreprise, en gardant en point de mire l’amélioration des opérations et des interactions numériques, pourrait être complémentaire au programme numérique. Avec cet objectif plus large, il peut être comparé à une analyse de rentabilité pour le déploiement des ressources et des investissements. Par exemple, si vous devez déterminer la portée et la nature de vos données client, vous devriez utiliser le RGPD en tant que moyen pour s’assurer que vous soyez à jour et parvenir à une vue à 360° de votre clientèle. Vous assurez ainsi à la fois conformité et connaissance globale du client, créant par conséquence de nouvelles perspicacités ou actions en ce qui concerne la clientèle, et les interactions numériques et les transactions qui en découlent.

Bref, il existe un lien cohérent entre ces 3 échecs : le RGPD est considéré comme un exercice de conformité réglementaire plutôt qu’une partie intégrante des objectifs commerciaux de l’entreprise. Les entreprises se doivent d’être aux normes, mais l’occasion est plus ambitieuse et le RGPD peut être une aubaine pour la transformation numérique de l’entreprise. Ne gaspillez pas votre effort RGPD seulement sur la conformité. (Par Perry Krug, Principal Architect, Couchbase).

A noter que vous pouvez retrouver, dans le podcast Securite.fr, un numéro spécial dédié au RGPD.