Archives de catégorie : Particuliers

Actualités liées à la sécurité informatique des particuliers et à la vie privée.

Chiffrement, cryptage, Cybersécurité, Fuite de données, Identité numérique, Leak, Vie privée

14 millions de patients médicaux touchés par une fuite de données

Un commentaire

La rédaction de Data Security Breach a reçu le rapport Annuel du HHS, l’US Departement of Health et Human Services, bref, le Ministére de la santé de l’Oncle Sam.

Ce rapport annuel, baptisé « Annual Report to Congress on Breaches of Unsecured Protected Health Information » revient sur les années 2011 et 2012. Cette étude égraine les violations de données en 2011 et 2012. Entre 2011 et 2012, le HHS a reçu 458 rapports de violations de données qui touchent plus de 500 personnes. Au total, c’est environ 14.690.000 de patients, d’employés… à avoir été touchés par des violations de leurs données personnelles, et donc sensibles.

Le nombre de violations de données qui affectent plus de 500 personnes sur cette période compte pour 64,5% de toutes les violations de données depuis le premier rapport, diffusé en septembre 2009. Le vol était la cause la plus commune de ces violations, soit 53% des cas, suivie par l’accès ou la divulgation non autorisée (18%).

En 2012, 68% des infractions touchaient des fournisseurs de soins de santé. 27% des fuites étaient dues à des ordinateurs portables compromis (vol, piratage, …). 23% des informations étaient diffusées en mode « papier » ; 13% via un serveur. En 2012, il y a eu 21.194 infractions signalées affectant moins de 500 personnes. Des violations de données qui ont affecté 165.135 personnes.

Le HHS, suite aux plaintes, a pu récolter 8 millions de dollars d’amende. Bref, le piratage et les fuites de données rapportent aux pirates, comme au gouvernement.

Android, Argent, Banque, Cyber-attaque, escroquerie, Leak, Vie privée, Virus

Des applis Google Play voleuses de données bancaires

Lookout a repéré cette semaine dans le Google Play store une application de banque en ligne clonée, conçue pour subtiliser les identifiants des utilisateurs, mais étrangement sans les mots de passe.

Nous avons aussitôt alerté Google qui a dans la foulée supprimé l’application concernée. Nous tenons à préciser que tous les utilisateurs de Lookout sont protégés contre cette menace. Le programme malveillant incriminé, baptisé « BankMirage », ciblait les clients de la banque israélienne Mizrahi. Les auteurs ont ainsi ajouté une sorte de surcouche à l’application légitime, proposant ensuite leur création de nouveau sur le Google Play store en la faisant passer pour celle de l’établissement bancaire.

Le mode de fonctionnement est simple : dès que la victime lance l’application, le programme malveillant charge le formulaire de connexion, à savoir une page html intégrée à l’application et créée pour dérober l’identifiant de la personne dès qu’elle le saisit. Il s’agit donc d’une tentative de hameçonnage (phishing) des données personnelles. Ce programme a toutefois une étrange particularité : il récupère uniquement l’identifiant de connexion de l’utilisateur. Ses auteurs ont inséré un commentaire dans le code qui commande de collecter uniquement cet élément, et pas le mot de passe.

Une fois l’identifiant récupéré et stocké, l’application envoie un message à l’utilisateur victime pour lui signaler l’échec de sa tentative de connexion. Il est invité à ce moment-là à réinstaller la « vraie » application légitime de la banque sur le Play Store.

Les programmes malveillants qui se font passer pour des applications de banque en ligne comptent parmi les plus dangereux, dans la mesure où ils s’intéressent à des données particulièrement sensibles. Ce type de programme est très présent dans l’Union européenne, dans les pays de la région Asie-Pacifique, et dans une moindre mesure aux Etats-Unis. Nous avons déjà repéré des programmes de banque en ligne créés en Corée qui, au lieu de se glisser dans le catalogue de Google Play, se font carrément passer pour l’application Google Play Store elle-même.

« PlayBanker » en est un exemple : il se fait passer pour Google Play et envoie des alertes aux utilisateurs victimes pour les pousser à télécharger des applications de banque en ligne pirates. Une autre variante, « BankUn », vérifie pour sa part au préalable la présence des huit plus grandes applications légitimes des banques en ligne coréennes, pour les remplacer ensuite par des versions pirates.

Il est hélas difficile pour un utilisateur de se prémunir d’une application de ce type parvenant à se faire référencer dans le Google Play store ; les moyens de protection classiques ne suffisent pas. Comme par exemple le fait de vérifier que le développeur de l’application est digne de confiance, ou de s’assurer que la case « Sources inconnues » (dans les paramètres système du téléphone) n’est pas cochée afin de bloquer l’installation furtive d’applications téléchargées à son insu.

Mieux vaut faire preuve de bon sens : la présence de deux versions apparemment identiques d’une même application peut signifier que l’une d’elles est illégitime. Pour être protégé à 100% contre ce type de menace, la meilleure solution consiste à installer sur le téléphone une solution de sécurité telle que Lookout, qui analyse systématiquement toutes les applications téléchargées.

Identité numérique, Particuliers, Vie privée

Microsoft met à jour sa déclaration de confidentialité

Microsoft vient d’annoncer, sans trop de bruit, la modification de ses conditions d’utilisation et sa déclaration de confidentialité.

« Dans tout ce que nous faisons, indique le géant américain, nous avons à cœur de tenir compte des besoins de nos utilisateurs. C’est pourquoi nous avons décidé de mettre à jour le Contrat de services Microsoft et d’élaborer une Déclaration de confidentialité pour les services Windows. » Dans les principales modifications, et sur ce qu’elles impliquent pour les utilisateurs, une modification de la « Confidentialité ».

Microsoft indique s’engager à respecter la vie privée de ses utilisateyrs en toutes circonstances. « C’est pourquoi nous n’utiliserons jamais à des fins de ciblage publicitaire vos documents, photos ou autres fichiers personnels, ni ce que vous pouvez être amené à dire dans vos e-mails, conversations instantanées, appels vidéo ou messages vocaux« . Dans ses modifications, la firme de Redmond stipule aussi qu’elle allait avoir un peu plus de transparence. « Nous avons mis à jour notre Code de conduite afin de mieux vous faire comprendre les types de comportement susceptibles d’avoir des conséquences sur votre compte. »

Microsoft en profite pour rappeler que les parents sont responsables de l’usage que leurs enfants mineurs font de leur compte et des services Microsoft, y compris des achats effectués par ce biais. Bilan, un peu plus de responsabilité des parents ne fera pas de mal… surtout si Microsoft rabat ses avocats sur des parents pensant que le petit dernier de la famille joue aux Pokémons sur la toile.

Les nouvelles conditions prendront effet le 31 juillet 2014. Si vous continuez à utiliser les services après le 31 juillet 2014, cela signifie que vous avez accepté ces nouvelles conditions. Dans le cas contraire, vous pouvez annuler votre service à tout moment.

Arnaque, Cybersécurité, escroquerie, Fuite de données, Phishing, pourriel, Social engineering, spam, Vie privée

1800 fonctionnaires piégés par un phishing

Un commentaire

S’il existe bien un secteur qui mériterait d’être un peu plus regardant sur sa sécurité informatique, c’est bien celui concernant les fonctionnaires. Ils gèrent les informations locales, régionales, nationales, donc des milliers, quand cela ne se chiffre pas en millions de données privées et sensibles. seulement, la sécurité informatique, faudrait-il encore qu’il en entende parler sous forme de formation, de réunion, et autrement que par des professionnels qui ne connaissent du terrain que les rapports chiffrés qu’ils lisent et recopient à longueur de journée.

Un exemple en date, chez nos cousins canadiens. Un sondage interne lancé par le ministère fédéral de la Justice annonce qu’environ 2000 membres du personnel ont cliqué sur un courriel piégé. De l’hameçonnage facile via un faux courriel traitant… de la sécurité des informations confidentielles du ministère. Un tiers des personnes ciblées a répondu à la missive, soit 1850 fonctionnaires sur 5000. Les prochains essais auront lieu en août et au mois d’octobre avec un degré de sophistication supérieure.

Selon le gouvernement canadien environ 10 % des 156 millions de filoutages diffusés chaque jour réussissent à contrer les logiciels et autres filtres antipourriels. Huit millions sont executés par le lecteur, 10% cliquent sur le lien. 80.000 se font piéger. (La presse)

Arnaque, escroquerie, Facebook, Phishing

Mise en garde contre ce que l’on trouve « Sous les jupes des filles »

L’éditeur de solutions de sécurité informatique, McAfee, alerte les internautes sur le téléchargement gratuit de film sur internet.

De nombreux sites frauduleux ont profité de cette tendance pour se développer et piéger les internautes. Traditionnellement, afin d’accéder à des liens de téléchargements, l’apprenti pirate effectue sa recherche via un  moteur de recherche en ajoutant par exemple le terme « torrent » (terme désorma is générique faisant référence  au protocole BiTorrent pour le transfert de données en mode P2P). Comme avec l’exemple du film «  Sous les jupes des filles », film français  récemment sorti dans les salles, de nombreuses pages s’offrent à lui.

Ces liens se révèleront pour la plupart être  frauduleux. Ces mêmes liens sont accessibles via Facebook, par le biais d’invitation d’amis ou de pages populaires, faisant  baisser la vigilance des internautes. Après avoir cliqué sur ces liens frauduleux, l’internaute se retrouve face à 2 situations différentes : Soit, il doit télécharger des fichiers compressés, censés contenir le film, mais qui finalement le dirige sur un autre lien afin de récupérer un mot de passe pour ouvrir un second fichier archivé.

Processus compliqué qui multiplie les téléchargements inutilement, mais ajoute des pages vues, donc des publicités, aux pirates diffuseurs. Soit, il est dirigé vers un site de téléchargement, où un clic doit suffire à télécharger le film. Mais la finalité est la même, l’internaute se retrouve devant une offre préalable, qu’il doit accepter avant de pouvoir poursuivre. Par exemple, le site incite l’internaute à télécharger   une application (Lampe Torche, espionne tes amis, …).

Pour cela, il doit rentrer ses coordonnées téléphoniques. Ce que l’internaute ignore c’est que son numéro de téléphone mobile servira à payer un droit d’accès, par débit direct, directement sur la facture de son opérateur mobile.  L’escroquerie va plus loin : une phrase écrit en petit indique à l’internaute qu’il ne fait pas un paiement unique mais s’engage à verser un abonnement hebdomadaire. Il est important de noter que, dans ce cas précis, la société se décharge des modalités de résiliation, qui sont à effectuer exclusivement auprès de l’opérateur mobile, dans l’espace client web. Ainsi, l’internaute n’aura ainsi jamais accès à son film et sera la cible d’entreprises malhonnêtes qui profitent de la bienveillance des gens pour intégrer des pratiques  douteuses mais légales.

Argent, Banque, Chiffrement, cryptage, Cybersécurité, Identité numérique

Le paiement biométrique bientôt possible dans le système CB

Le Groupement des Cartes Bancaires CB évalue actuellement le principe de la biométrie appliquée au paiement et devrait d’ici la fin de cette année octroyer un agrément au standard d’authentification forte défini par Natural Security Alliance pour autoriser son utilisation dans le système CB.

Le premier agrément CB portera sur l’association de la biométrie avec une puce insérée dans un porte-clefs. L’intégration de cette puce dans la carte micro-SD d’un téléphone est également étudiée. Très pratique, l’utilisateur gardera sur lui ce porte-clefs ou ce téléphone (dans une poche, dans un sac) et n’aura pas besoin de le rechercher ou de le présenter pour effectuer un paiement ou un retrait. Outre le fait que la biométrie simplifie l’acte d’authentification avec juste un doigt à poser et plus de code confidentiel à saisir, elle renforce également la sécurité en garantissant la présence du porteur au moment de la transaction.

De plus, la mise en oeuvre de cette solution garantit le respect de la vie privée et des données personnelles de l’utilisateur puisqu’aucune base de données ne centralise les données biométriques de l’utilisateur, celles-ci restant dans la puce intégrée dans le porte-clefs ou le téléphone. Gilbert Arira, Directeur Général du Groupement des Cartes Bancaires CB : « on accorde aux produits CB. ici la fin de cette année 2014 ».

Pour Cédric Hozanne, CEO de Natural Security Alliance : « Les travaux d’agrément engagés par le Groupement des Cartes Bancaires CB constituent une étape très importante pour l’adoption de notre technologie dans le domaine du paiement puis du retrait. Cet agrément permettra aux banques françaises de proposer à leurs clients une nouvelle manière de payer qui tout en renforçant la sécurité, apportera simplicité, sérénité et praticité. CB a été le premier à adopter et à promouvoir la technologie de la carte à puce dès 1992 adoptée depuis par l’ensemble des autres pays. Avec le standard Natural Security, CB montre à nouveau la voie à suivre pour le monde de l’industrie des paiements sécurisés ».

Argent, Banque, Chiffrement, cryptage

Les banques peuvent désactiver le paiement sans contact

La France compte, depuis avril 2014, pas moins de 21 millions de cartes bancaires permettant le paiement sans contact. Des CB imposées par les banques. Elles embarquent la technologie NFC qui permet, en plaçant sa CB à quelques centimètres d’un lecteur dédié, de payer sans être obligé de taper son mot de passe. Une possibilité qui inquiètent depuis 2012, quand un chercheur Français, Renaud Lifchitz, a présenté lors de feu HES 2012 la faille qui permet de lire les données « cachées » dans le précieux bout de plastique.

Il faut dire aussi que les banques ont lancé un service qui n’est ni chiffré, ni contrôlé par un quelconque moyen d’identification. 01net (le site web), revient sur cette technologie en indiquant que les banques auraient fait un stock de protection anti-NFC (Voir l’utilité de ce genre de protection dans ZATAZ WEB TV, ndlr).

Pourquoi cette faille n’est toujours pas corrigée ? « c’est impossible à moins de changer l’architecture technique sous-jacente, ce qui serait beaucoup trop cher » dixit les chercheurs. 01net explique aussi que La Banque de France a demandé aux sociétés financières de fournir un anti-NFC dés que le client en fait la demande.

La Banque de France oblige également les banques à mettre en place la désactivation du NFC à la demande des clients. Le coût de l’opération serait de 10€ par carte indique un expert en sécurité. Après renseignements de DataSecuritybreach.fr auprès de plusieurs banques, les sociétés renvoient les CB pour modification. Autant dire que cela coûte plus de 10 euros !

Il aura fallu une plainte de la CNIL pour que certaines informations disparaissent des communications NFC : nom du client, historique des transactions.

Chiffrement, Cybersécurité, Espionnae, Fuite de données, Identité numérique, Vie privée

Un Monsieur sécurité pour protéger les données des électeurs

Le gouvernement Canadien a décidé, voilà quelques jours, de mandater une équipe de sécurité informatique qui aura comme mission de trouver la moindre faille et fuite de données concernant les électeurs du pays. Une décision politique qui fait suite au jugement d’une entreprise de généalogie qui a commercialisé durant 6 ans les données de plusieurs millions d’élécteurs via ses services oueb.

L’Institut Drouin, spécialisé dans la généalogie, avait copié une liste électorale datant de 2003. Le jugement de cour du Québec a ordonné à Drouin de détruire les données appartenant à 5,5 millions de Québécois : nom, adresse, sexe et date de naissance. « L’État a le droit d’en interdire la diffusion pour protéger la vie privée des électeurs », a indiqué le tribunal.

En France, il suffit de regarder les seconds tours d’éléctions pour appercevoir les candidats et leurs équipes décortiquer les listes électorales afin d’inciter les abstansionnistes à voter, voir certains élus analyser les employés municipaux n’ayant pas pris le temps de voter !

Identité numérique, Particuliers, Phishing, Vie privée

Identity Leak Checker

Est-ce que des cybercriminels ont volé mes données personnelles et les ont rendues librement disponibles en ligne de sorte que d’autres personnes puissent également y accéder et les utiliser de manière abusive ?

Les utilisateurs d’Internet du monde entier peuvent désormais répondre à cette question en utilisant un service gratuit de l’Institut Hasso Plattner pour l’ingénierie des systèmes informatiques de l’université de Potsdam, en Allemagne. Pour cela, il leur suffit de consulter le site sec.hpi.de et de saisir leur adresse e-mail. Le système recherche alors sur Internet les données personnelles librement disponibles qui leur sont associées.

Si des noms, des mots de passe, des détails de compte ou d’autres données personnelles associées à l’adresse e-mail s’avèrent circuler sur la toile, l’institut HPI avertit l’utilisateur par e-mail et lui donne des conseils sur la façon de procéder. Pour des raisons de sécurité, l’institut ne divulguera pas la nature précise des données.

Les informaticiens qui ont développé ce service ont baptisé leur innovation  » Identity Leak Checker « . À ce jour, les chercheurs de cet institut universitaire, qui est financé par Hasso Plattner, le cofondateur de SAP, ont identifié et analysé plus de 170 millions d’ensembles de données personnelles sur Internet. Quelque 667 000 vérifications gratuites ont été effectuées depuis le lancement du service en Allemagne. Dans 80 000 de ces cas, les utilisateurs ont dû être informés qu’ils avaient été victimes d’un vol d’identité.

« Ce type de système d’avertissement pour les données personnelles volées circulant sur Internet vise à permettre aux utilisateurs de comprendre comment ils traitent leurs données personnelles « , a déclaré le Prof. Christoph Meinel, directeur de l’institut HPI. Son département a également mis au point une base de données pour l’analyse des vulnérabilités informatiques (https://hpi-vdb.de). Cette dernière intègre et combine de grandes quantités de données déjà disponibles en ligne à propos des vulnérabilités de logiciels et d’autres problèmes de sécurité. La base de données contient actuellement pas moins de 61 000 éléments d’information concernant des points faibles qui existent dans près de 160 000 programmes logiciels de plus de 13 000 fabricants.

La base de données de l’institut HPI a récemment commencé à aider les utilisateurs à effectuer des vérifications gratuites de leurs ordinateurs à la recherche de points faibles identifiables qui sont souvent exploités habilement par les cybercriminels pour leurs attaques. Le système reconnaît le navigateur de l’utilisateur – y compris les plugins fréquemment utilisés – et affiche une liste de vulnérabilités connues. Des plans visant à étendre le système d’auto-diagnostic pour couvrir d’autres logiciels installés sur un ordinateur sont en cours de préparation.

ID, Identité numérique, Vie privée

FriendOrFoe, application pour contrôler son identité Facebook

Kaspersky Lab présente FriendOrFoe (littéralement « ami ou ennemi »), une application gratuite pour Facebook qui permet aux utilisateurs d’évaluer la fréquence de leurs interactions avec leurs amis, et ce que ces derniers pensent d’eux. L’application révèle lesquels de ces centaines d’abonnés sont d’authentiques fans, qui partagent et commentent des contenus essentiellement au sein d’un cercle d’amis. Elle met aussi en évidence les menaces pour les utilisateurs du réseau social et leur explique comment protéger leurs informations personnelles.

Pour ceux qui utilisent diverses applications d’analyse Facebook, Kaspersky Lab a créé un outil destiné à collecter des statistiques sur l’activité enregistrée. FriendOrFoe indique ainsi le nombre de vidéos et de photos publiées par un utilisateur, le nombre de « J’aime » reçus et une multitude d’autres statistiques susceptibles d’intéresser les aficionados du réseau social. FriendOrFoe est aujourd’hui disponible en différentes langues (anglais, français, russe, allemand, italien, espagnol, brésilien, mexicain, arabe, japonais). Cette liste sera complétée dans un proche avenir.

« Le plus vaste réseau social au monde ne peut qu’attirer l’attention des cybercriminels. Le plus souvent, ils sont à la recherche de données personnelles et d’identifiants qu’ils pourront ensuite exploiter pour accéder, par exemple, à des comptes bancaires via les sites de banque en ligne. Il n’est donc pas surprenant que Facebook soit la cible la plus prisée des auteurs d’attaques de phishing : au cours du premier trimestre 2014, 79,5 % des activités de phishing enregistrées sur les réseaux sociaux touchaient Facebook. En plus de proposer des statistiques amusantes, FriendOrFoe apporte des informations simples et claires concernant les dangers qui menacent un utilisateur» commente Evgeny Chereshnev, Head of Global Mobile Business Development chez Kaspersky Lab.

Les fonctionnalités de FriendOrFoe :
–       Contrôle des “tag” sur les photos : l’utilisateur Facebook peut consulter toutes les photos dans lesquelles il est “tagué” et repérer ainsi potentiellement les photos compromettantes.

–       Contrôle de la géolocalisation : il est possible pour un utilisateur de voir s’il a été géolocalisé par une tierce personne sans sa permission et le cas échéant d’opérer un nettoyage des activités non-approuvés.

–       Maitrise des applications : FriendOrFoe examine les applications Facebook utilisées et la liste des tâches autorisées par l’utilisateur.

–       Maitrise de l’historique : il n’est pas possible d’empêcher Facebook de stocker l’historique de recherche mais il est possible de l’effacer du profil.

Les développeurs de Kaspersky Lab continueront d’améliorer les fonctionnalités de l’application suite aux retours des utilisateurs. Cependant, attention, en utilisant ce service vous fournissez votre accès à Kaspersky !