Archives de catégorie : Paiement en ligne

Argent, Banque, Cybersécurité, Identité numérique, Paiement en ligne, Twitter

Faille pour Twitter : effacer les données bancaires

Un commentaire

Plusieurs failles permettent de faire disparaître les données bancaires enregistrées dans Twitter par les annonceurs publicitaires.

Twitter permet d’enregistrer des données bancaires dans la partie ads.twitter.com, le service publicitaire du gazouilleur 2.0. Un internaute, qui se fait appeler Security Geek, a découvert comment faire disparaître les données des cartes bleues sauvegardées dans Twitter Ads par les annonceurs. La vulnérabilité était très critique car il suffisait de posséder l’identifiant de la carte de crédit pour la supprimer. Un identifiant composé uniquement de 6 chiffres tels que « 098289 ». Il aurait suffit qu’un malveillant travaille sur un petit code en python, qui aurait utilisé une simple boucle sur 6 chiffres, pour supprimer les CB qui lui seraient passés sous la souris. Un moyen de calmer le chiffre d’affaire publicitaire de Twitter. « Le plus drôle est que la page de réponse, après la manipulation, affichait une erreur « 403 forbbiden », s’amuse l’inventeur de la faille, Ahmed Aboul-Elamais. La carte de crédit était réellement supprimée du compte« . Une seconde faille permettait de faire croire à Twitter la mauvaise utilisation d’une CB. Bilan, le piaf effacé la vraie CB du compte officiel qui l’employait.

Emploi, Entreprise, Fuite de données, Paiement en ligne

Un escroc volait les CB des clients de l’entreprise qui l’employait

Un employé du service de recouvrement d’une importante société de crédit piratait les cartes de crédits des clients pour la jouer grand seigneur.

Normalement, une société de crédit propose des « aides » financières aux personnes qui ont besoin d’argent. Seulement, un employé d’une entreprise de Merignac, il officiait dans le service de recouvrement des impayés (Sic!) a trouvé malin de voler les coordonnées bancaires des clients qui n’en demandaient pas tant.

L’escroc a été tracé après avoir tenté d’acquérir un iPad sur Internet. C’est la société Secuvad qui a levé le lièvre. Il faut dire aussi que le « pirate » avait tenté d’utiliser plusieurs numéros de cartes bancaires pour le même achat. L’homme, âgé de 40 ans, a été arrêté par la police de la brigade financière de Bordeaux. Il a avoué plusieurs achats, via des CB interceptées à son travail.

Il avait acquis des téléphones et du matériel informatique. Il agissait depuis 2011. Il était déjà connu pour des faits similaires. L’entreprise spécialisée dans les solutions de financement compte 3 millions de clients. Le voleur en aurait volé un peu plus de 700. (Sud Ouest)

 

Argent, Arnaque, Cyber-attaque, Cybersécurité, DDoS, escroquerie, Fuite de données, Leak, Paiement en ligne, Vie privée, Virus

Un 2nd trimestre marqué par la découverte de menaces de plus en plus sophistiquées

Ce trimestre a été marqué par la découverte d’un « crypteur » mobile en libre circulation, vendu 5 000 dollars sur le marché noir, qui a déjà infecté 2 000 terminaux dans 13 pays en moins d’un mois.

Les autres faits marquants à retenir sont l’apparition d’un trojan prenant le contrôle à distance des mobiles Android et iOS via un outil d’espionnage « légal », et la découverte de la campagne MiniDuke APT, réplique de celle du début 2013, qui cible les entités gouvernementales, le secteur de l’énergie, les organisations militaires et les télécoms, et même les trafiquants de stéroïdes et d’hormones illicites.

Attaques sur le Web
·        354,5 millions d’attaques ont été lancées depuis des ressources en ligne disséminées dans le monde entier, soit 1,3 million de plus qu’au premier trimestre. Des chiffres à relativiser, ils ne concernent que les sondes de l’éditeur. Des changements ont eu lieu dans le classement des cinq premières sources d’attaques Web, puisque l’Allemagne est passée de la quatrième à la première place – ses parts augmentant de 12 points. Les États-Unis (22 %) ne sont plus premiers mais seconds après une chute de 6 points. 44 % des attaques Web neutralisées ont été perpétrées à l’aide de ressources Web malveillantes basées dans ces deux pays. Ils sont suivis par les Pays-Bas (+ 3 points au 2ème trimestre) qui se maintient à la troisième place, la Fédération de Russie (- 2,5 points) et le Canada (+ 6,3 points).

Menace mobile
·        À la fin du 1er trimestre 2014, la base de malwares mobiles comptait près de 300.000 échantillons. Au deuxième trimestre, cette base en compte 65 000 de plus. Android n’est plus désormais la seule cible des développeurs de malwares mobiles. En effet, les cybercriminels ont exploité les fonctions d’iOS, avec l’attaque sur Apple ID, qui bloque complètement le terminal. Les pirates demandent ensuite une « rançon » pour le déblocage de l’appareil. Ces nouveaux faits ont révélé les activités de HackingTeam, une société italienne qui vend un logiciel « légal » nommé Remote Control System (RCS). La dernière recherche montre qu’un certain nombre de modules malveillants ciblant les terminaux Android, iOS, Windows Mobile et BlackBerry proviennent de HackingTeam. Le module iOS permet à un assaillant d’accéder aux données stockées sur l’appareil, d’activer secrètement le microphone et de prendre des photos.

En mai, le premier « crypteur » mobile en circulation était mis à jour publiquement. Nommé Pletor, il bloque le téléphone sur la « visualisation de contenus pornographiques interdits », chiffre la carte mémoire du smartphone et affiche une demande de rançon. Le ransomware évolue. Au début du mois de juin, une nouvelle modification de Svpeng visait principalement les utilisateurs des États-Unis. Le trojan bloque le téléphone et demande 200 dollars pour le débloquer.

Menaces financières sur le Web
·        Les malwares ayant pour but de dérober de l’argent ont attaqué 927 568 ordinateurs au 2ème trimestre. Le chiffre de mai indique une hausse de 36,6 % par rapport au mois d’avril.
·        La plupart des attaques ont été enregistrées au Brésil, en Russie, en Italie, en Allemagne et aux États-Unis.
·        2 033 trojans bancaires mobiles ont été détectés au cours des trois derniers mois. Leur nombre a quadruplé depuis le début de 2014, et sur un an (depuis juillet 2013), ce chiffre a augmenté de 1450%.
·        Neuf familles de malwares financiers sur dix agissent en injectant un code HTML aléatoire dans la page Web affichée par le navigateur et en interceptant ensuite chaque donnée de paiement saisie par l’utilisateur dans les formulaires Web originaux ou insérés.

Contenus malveillants
·        60 millions de contenus malveillants uniques (scripts, pages web, exploits, fichiers exécutables, etc.) ont été détectés, soit le double du chiffre du 1er trimestre 2014.
·        Deux nouveaux programmes SWF à la mi-avril, confirmés ensuite par Adobe en tant que nouveaux Zero-day.
·        145,3 millions d’URL uniques ont été reconnues comme malveillants par les antivirus, soit 63,5 millions de plus qu’au trimestre précédent.

« Les six premiers mois de l’année ont montré, comme on le pressentait, une évolution du chiffrement des données des utilisateurs sur les smartphones. Les criminels font des profits en utilisant des méthodes qui se sont avérées efficaces sur les utilisateurs de PC. Il est évident que les individus derrière ces attaques sont motivés par l’appart du gain – comme le montre une forte hausse (14,5 fois) du nombre de trojans financiers au cours de l’année écoulée. Outre le profit, la course à la technologie de surveillance se poursuit sans relâche. Les modules mobiles d’HackingTeam ont montré qu’un terminal mobile pouvait être utilisé pour exercer un contrôle total sur tout l’environnement de l’appareil d’une victime, interne et externe » explique à DataSecurityBreach.fr Alexander Gostev, Chief Security Expert, Global Research and Analysis Team chez Kaspersky Lab.

Banque, BYOD, Chiffrement, Cloud, cryptage, Entreprise, Fuite de données, Paiement en ligne, Propriété Industrielle

Un livre blanc sur les risques associés aux certificats numériques

À chaque fois que des transactions ou accès au réseau sécurisés sont requis, la personne demandant l’accès doit d’abord prouver son identité. L’une des méthodes d’identification de l’utilisateur est l’emploi de certificats numériques qui sont semblables à des cartes d’identité numériques. Cette procédure fait l’objet d’un examen dans un nouveau livre blanc publié par les spécialistes de la sécurité informatique de SecurEnvoy, intitulé « Les Risques de l’authentification à l’aide des certificats numériques ». Vous pouvez le télécharger gratuitement sur le site Web de la société [Lien ci-dessous, ndlr DataSecurityBreach.fr].

Un certificat numérique est en réalité une clé privée stockée sur une carte à puce ou un dispositif mobile, que l’utilisateur porte toujours sur lui. Toutefois, dans ce cas le problème des identités distribuées représente un désavantage important. Étant donné que pour chaque dispositif (final) qu’un utilisateur veut utiliser pour son travail, qu’il s’agisse d’un PC, d’un smartphone ou d’une tablette, un certificat séparé est requis. Ceci entraîne un travail d’installation pénible, ainsi qu’une véritable « jungle de certificats » en fonction du nombre de périphériques impliqués.

En outre, les certificats demeurent sur les appareils finaux et peuvent tomber aux mains de criminels s’ils sont perdus ou vendus, ce qui pose un problème pour les données sensibles. Une alternative plus simple, mais doublement sécurisée est l’authentification forte sans jeton, qui est également décrite dans le livre blanc [En Anglais].

Banque, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Paiement en ligne

Traitement des paiements conformes à PCI

Les sociétés de service en particulier détiennent de grandes quantités de données clients qui nécessitent un niveau élevé de protection. Lors du tri des informations pour le traitement des paiements, les sociétés doivent également satisfaire aux exigences de conformité PCI DSS (normes de sécurité des données des cartes de paiement).

Ces exigences stipulent, entre autre, que la connexion au système interne d’une société ne peut pas être simplement protégée par un mot de passe. Dans cette situation, l’authentification forte sans jeton de SecurEnvoy offre la solution idéale. Les employés reçoivent un code numérique par SMS sur leur téléphone mobile, qu’ils peuvent saisir en plus de leur mot de passe.

Lors du traitement des paiements, les sociétés sont soumises à plusieurs règlements de conformité. Par exemple, les règlements PCI DSS stipulent la nécessité d’un accès hautement sécurisé aux réseaux contenant des informations sensibles à propos des paiements par carte de crédit. Les employés accédant à distance à ces réseaux sont particulièrement affectés par ces exigences spécifiques : conformément à PCI DSS, se connecter en utilisant uniquement un mot de passe n’est pas autorisée.

Sécurité supplémentaire au moment de la connexion
Les sociétés doivent répondre à cette exigence et établir une sécurité supplémentaire pour la connexion au réseau. L’authentification forte est idéale pour cette situation. De nombreuses sociétés ne sont pas satisfaites de devoir acquérir des cartes à puce coûteuses ou d’autres jetons pour l’authentification du personnel. Mais il existe une alternative moins onéreuse et sécurisée : l’authentification forte sans jeton telle que SecurAccess.Avec cette solution, les téléphones mobiles sont utilisés à la place des jetons physiques traditionnels. Lorsqu’un utilisateur souhaite se connecter au réseau, un code numérique à six chiffres est envoyé par SMS ou e-mail. Des applications à jeton virtuel sont également proposées pour toutes les plateformes mobiles principales sans frais supplémentaires. Le mot de passe est saisi avec les identifiants de connexion personnels de l’utilisateur, afin d’assurer une identification sans ambigüité. Le numéro d’identification n’est valide qu’une fois et expire immédiatement après avoir été saisi. Pour la connexion au réseau suivante, SecurAccess envoie une nouvelle combinaison de chiffres à l’utilisateur.

« SecurAccess utilise les téléphones mobiles en tant que jetons pour plusieurs bonnes raisons, » explique Steve Watts, directeur des ventes et du marketing à SecurEnvoy. « Tout d’abord, presque tout le monde possède un téléphone mobile ou un smartphone et deuxièmement, tout le monde porte son téléphone sur soi. Les jetons physiques sont souvent perdus ou les employés les oublient accidentellement chez eux. Ceci entraîne non seulement des coûts de remplacement, mais cela ralentit le travail car pendant une certaine période de temps, les employés ne peuvent pas s’authentifier et ne peuvent donc pas accéder au réseau. Par conséquent, pour les sociétés de service, la transmission d’un numéro d’identification par SMS est le moyen le plus efficace et le moins coûteux d’assurer la conformité PCI DSS ».

Chiffrement, cryptage, Entreprise, Fuite de données, Paiement en ligne, Propriété Industrielle

Galileo communique en mode chiffré

Le Satelitte commercial Galileo vient de conclure ses premiers tests de diffusion en mode chiffré.

La démonstration a permis de diffuser des signaux à la fois chiffrés et non chiffrés. Au cours d’une période d’essai de 10 jours, les récepteurs situés à Tres Cantos (Espagne) et Poing (Allemagne) ont pu emettre et recvoir des informations protégées. Les essais ont confirmé le chiffrement, contenant l’authentification et l’assurance de données non altérées. Les signaux chiffrés ont été diffusés sur les « signaux » E6-B et E6-C des satelittes Galileo. Une démonstration pour ce concurrent du service américain (GPS, …). Une fois opérationnel, deux autres signaux cryptés sur la bande E6 seront proposés. Il reste encore pas mal de travail avant une mise en action définitive des services de Galileo qui devraient débuter en 2016.

Argent, Banque, Bitcoin, Entreprise, Identité numérique, Paiement en ligne

Remise du rapport sur les monnaies virtuelles

La cellule Tracfin du ministère des finances français a remis au Ministre Michel Sapin, le 11 juillet, un rapport de son groupe de travail sur l’encadrement des monnaies virtuelles, dont le Bitcoin.

La croissance, évoquée dès 2012, des flux financiers en monnaie électronique dans les signalements par Tracfin s’intensifie. Le rapport de Tracfin analyse les risques d’utilisations illicites ou frauduleuses liés au développement des monnaies virtuelles dont l’exemple le plus célèbre est le bitcoin. Trois caractéristiques sources de risques classé par ce rapport sont l’intervention d’acteurs non régulés ; le manque de transparence et l’extraterritorialité.

Parmi les solutions proposées par ce rapport, limiter l’anonymat en imposant une prise d’identité lors de l’ouverture par un professionnel d’un compte en monnaies virtuelles pour un tiers, et une vérification d’identité pour les retraits et dépôts aux « distributeurs » de bitcoin. Autant dire que l’idée risque de faire sourire les utilisateurs les plus aguerris sur le sujet. Autres idées de régulation, demander aux plateformes qui échangent des monnaies virtuelles contre des devises officielles de tracer leurs clients en leur imposant de vérifier, pour chaque transaction, l’identité de l’auteur et du bénéficiaire, ainsi que l’origine des fonds. « La lutte contre la fraude, contre la criminalité et contre le terrorisme sont autant de priorités du Gouvernement. souligne le Ministre Sapin. Or, en permettant des transactions anonymes et instantanées d’un bout à l’autre monde, sans aucune traçabilité, le s monnaies virtuelles sont vouées à devenir des outils qui intéressent les fraudeurs et malfaiteurs de tous bords. Dès lors, ne pas nous pencher dès à présent sur le sujet serait irresponsable« .

A noter que la France souhaite le non-assujettissement des monnaies virtuelles à la TVA.

Argent, Banque, Justice, Paiement en ligne, Piratage

Un pirate informatique Moldave jugé en Suisse

Un pirate informatique Moldave, qui avait piraté une banque américaine de Floride, vient d’être condamné par la justice Suisse.

L’homme âgé de 38 ans vient d’écoper d’une amende de 1,5 millions de francs Suisses, de quelques mois de prison et se retrouve avec une expulsion vers les Etats-Unis qui risquent de lui coûter encore plus cher. A noter que la justice a pu saisir 12 millions de francs (plus de 9 ,8 millions d’euros) que le pirate possédait sur six comptes bancaires qu’il possédait.

Avec 6 passeports en poche, le voleur numérique aurait, via ses actes de piratages et ses complices, transféraient quelques 200 millions de francs Suisse (+164 millions €). Il avait réussi à pirater des comptes bancaires de la Warrington Bank en piégeant une caissière, via un mail malveillant. Il lui avait dérobé ses identifiants de connexion qui avaient permis par la suite à opérer des dizaines de paiements frauduleux. (Le Matin)

Argent, Banque, Cybersécurité, Fuite de données, Paiement en ligne, Twitter, Vie privée

Quand Twitter diffuse des cartes de crédit

3 commentaires
Extrait de la page du bot sur Twitter

Etonnant jeu que celui effectué par des centaines d’internautes, sur Twitter. Ces amateurs pas comme les autres du portail de micro blogging américain sont tellement content de posséder une carte bancaire (credit card, debit card, …) qu’ils en diffusent des photographies, dans l’espace du petit oiseau.

Totalement idiot, surtout que certains diffuseurs placent les informations sensibles (les 16 chiffres, la date de validité, certains même le CVV) à la portée du premier surfeur qui passerait par là.

Plus dingue encore, un bot, un robot Twitter baptisée « besoin d’une carte de crédit« , intercepte les messages et les répertories dans un compte Twitter dédié. Bilan, plusieurs centaines de photos, une cinquantaine de vidéos. Depuis 2012, Twitter laisse faire.

Pour l’américain, les Twitteriens sont responsables de ce qu’ils diffusent ! Bilan, faut pas pleurer si votre CB se retrouve sur Need a Debit Card.

 

Argent, Banque, Cybersécurité, Paiement en ligne

Livre Blanc Certissim : la fraude identitaire prend de l’ampleur

Un commentaire

Depuis 2000, le Livre Blanc Certissim apporte sa vision de la fraude sur le marché du e-commerce français. Document de référence pour les e-marchands souhaitant optimiser leur gestion de la fraude, le Livre Blanc Certissim présente les grands indicateurs de la fraude dans le e-commerce ainsi que les nouveaux enjeux de la lutte contre la fraude.

L’expertise de Certissim et son implication dans la lutte contre la fraude lui permettent également de décrire les nouvelles techniques des cybercriminels. Les données du Livre Blanc Certissim proviennent des fraudes détectées par son système ainsi que des déclarations d’incidents de paiement de ses 900 sites marchands partenaires.

L’édition 2014 de cette étude met en avant une augmentation et une diversification des méthodes d’usurpation des données personnelles ainsi qu’une généralisation de la fraude sur l’ensemble du territoire. Les tentatives de fraude s’élèvent à près de 2 milliards d’euros en 2013, contre 1,7 milliards une année plus tôt. La projection des taux de Certissim sur l’ensemble du e-commerce français, soit 51,1 milliards d’euros de chiffre d’affaires(1), indique que l’ensemble des tentatives de fraude se chiffrerait a minima à 1,9 milliard d’euros en 2013. Les enjeux financiers sont par conséquent significatifs à l’échelle de l’économie numérique nationale. Sur le périmètre étudié par Certissim, le taux de tentatives de fraude dans le e-commerce s’est stabilisé à 3,83 % (3,91 % en 2012). Le taux d’impayés frauduleux est en baisse à 0,14 % (0,18 % en 2012)(2) . Le panier moyen des impayés est de 243 €. Si le risque reste important, la fraude dans le e-commerce est mieux maîtrisée.

Fraude identitaire : croissance des usurpations de comptes clients
Certissim alerte les particuliers et les professionnels sur l’évolution des méthodes de phishing(3) observée en 2013. Les auteurs de phishing ne se contentent plus d’essayer de récupérer des coordonnées bancaires. Désormais, ils cherchent à récolter tous types de données personnelles : état civil, coordonnées (postales, bancaires, téléphoniques), mots de passe, réponses aux questions secrètes, etc. L’objectif pour eux est d’utiliser une identité « propre » et crédible pour commander en ligne.

En cumulant les informations issues de phishing et des réseaux sociaux, DataSecurityBreach.fr a pu lire que les fraudeurs parviennent à prendre possession de comptes clients de e-acheteurs honnêtes connus des e-commerçants. Ces usurpations sont possibles notamment à cause de la négligence des particuliers quant à la écurisation de leurs mots de passe. Une fois connecté, les fraudeurs s’approprient le compte client, en modifiant l’adresse e-mail et le numéro de téléphone, et commandent avec des numéros de cartes bancaires volés. En outre, le fraudeur n’est pas inquiété mais le vrai détenteur du compte client doit prouver qu’il n’est pas à l’origine des commandes frauduleuses.

Aucune région française n’est épargnée par la fraude
Certissim dresse un double constat à partir des adresses de livraison des commandes frauduleuses (tentatives de fraude et impayés). Le phénomène de concentration de la fraude en zones urbaines se confirme. Les fraudeurs utilisent des adresses de livraison situées dans les grands centres urbains afin de se fondre dans la masse des commandes en ligne effectuées quotidiennement. Ils disposent alors d’un important marché de revente à proximité de leurs lieux de livraison. Les cas de fraudes en zones rurales augmentent. En province, les fraudeurs  privilégient la livraison en point relais. Pour ne pas être repérés, ils comptent sur la méconnaissance de leurs procédés de la part d’autorités locales peu confrontées à la fraude.

(1) Données Fevad, janvier 2014
(2)Taux de tentatives de fraude et d’impayés en valeur
(3) Hameçonnage