Archives de catégorie : Particuliers

Actualités liées à la sécurité informatique des particuliers et à la vie privée.

Cybersécurité, Twitter

Vague de piratage de comptes Twitter

Un commentaire

Piratage des Twitters de la FIFA, Justin Bieber, Angelina Joli, Guy Birenbaum, … mais comment font les pirates ? Explication ! Depuis quelques semaines, les comptes Twitter de nombreux média, stars ou journalistes se font pirater, un par un. Des attaques qui donnent l’impression aux témoins de la cybercriminalité que nous sommes depuis plus de 20 ans que les pirates ont un « sésame ouvre toi » en main. Ce fameux petit bouton pressoir qui permet de prendre la main sur un Twitter en deux clics de souris.

L’une des possibilités de ces attaques, des cross-sites scripting cachés dans Twitter ou dans des outils tiers comme TwittDeck. Comme le montre les captures écrans si dessous, Twitter recèle quelques XSS, des Cross-Sites Scripting, qui permettent de mettre la main sur le cookies de connexion (bilan, un pirate pourrait prendre la main sur la session en cours) ; afficher une page phishing via l’url officiel (Bilan, l’internaute pense être chez Twitter et se retrouve à fournir login et mot de passe au pirate). Il se peut, aussi, que les malveillants ont réussi à mettre la main sur les données de connexion en piégeant leurs cibles via d’autres outils (Cheval de Troie), page d’hameçonnage ou tout simplement usant de social engineering. Dernière méthode plus hasardeuse, mais qui a déjà prouvé son efficacité. Le mot de passe utilisé n’est-il pas inscrit dans le blog, le Facebook de la personne piratée ? (date de naissance, ville, métier, famille, …)

  

Pour se protéger d’une attaque utilisant une XSS :

1- Ne cliquer sur aucun lien extérieur. Préférez, toujours, taper l’url dans votre navigateur.

2- Après chaque utilisation de Twitter ou tout autre outil, effacez vos cookies. Pour cela, un outil gratuit comme Ccleaner vous sera un précieux allier.

3- Vérifiez toujours que l’url indiqué dans votre barre de recherche est bien https://www.twitter.com

4- Utilisez des applications tiers pour vérifier l’origine du serveur que vous allez utiliser. Netcraft vous prouvera, par exemple, que vous êtes bien sur Twitter (voir notre capture écran) ; Sous FireFox, l’addon NoScript vous indiquera aussi l’utilisation d’une XSS au moment de votre promenade numérique.

5- Un mot de passe fort (chiffres, lettres, ponctuation, …) permet de freiner les assauts d’un malveillant.

6- datasecueritybreach.fr vous conseille aussi d’utiliser un programme qui vous décortique les urls raccourcis. Le site urlex.org, par exemple, vous transforme une adresse http://is.gd/G41r6x, qui ne veut rien dire, en son véritable url, ici Intel.com. Cela permet de s’assurer que derrière le lien recueilli n’est pas un piège. Je vous conseille, cependant, de suivre ma règle n’1. Une extension pour Chrome permet, en passant sa souris sur un lien réduit, de découvrir l’adresse d’origine cachée derrière un tinyurl, bit.ly, is.gd …

Cette hygiène de vie numérique n’est pas infaillible, mais comme pour la grippe, se laver les mains est déjà une premiére protection. Il en va de même sur la toile.

loi, Particuliers

Projet de loi consommation : les DRM expurgés de la future loi Hamon ?

Le projet de loi relatif à la consommation présenté le 2 mai 2013, veille de la Journée internationale contre les DRM, semble vouloir réduire à néant l’information du consommateur sur la présence de menottes numériques.

Le projet de loi relatif à la consommation a été présenté en Conseil des ministres par Benoît Hamon (ministre délégué à l’Économie sociale et solidaire et à la Consommation) le 2 mai 2013 puis déposé à l’Assemblée nationale. Ce projet de loi porte sur la mise en place de l’action de groupe [1] mais également sur la transposition de la directive européenne relative aux droits des consommateurs adoptée en 2011. Celle-ci avait timidement mis en place une information minimale du consommateur concernant les DRM (des menottes numériques, appelées trompeusement « mesures de protection technique » [2]). Ainsi, dans l’article 5 de la directive on peut lire :

    Article 5

    Obligations d’information concernant les contrats autres que les contrats à distance ou hors établissement

    1. Avant que le consommateur ne soit lié par un contrat autre qu’un contrat à distance ou hors établissement, ou par une offre du même     type, le professionnel fournit au consommateur les informations suivantes, d’une manière claire et compréhensible, pour autant     qu’elles ne ressortent pas du contexte :

    […]

    g) s’il y a lieu, les fonctionnalités du contenu numérique, y  compris les mesures de protection technique applicables ;

    h) s’il y a lieu, toute interopérabilité pertinente du contenu numérique avec certains matériels ou logiciels dont le professionnel  a ou devrait raisonnablement avoir connaissance. »

Le projet de loi de Benoît Hamon a réduit fortement cette information. Ainsi, dans l’article 4 du projet de loi on peut lire :

    « Art. L. 111-1. – Avant que le consommateur ne soit lié par un     contrat de vente ou de fourniture de services, le professionnel     communique, de manière lisible et compréhensible, au consommateur     les informations suivantes :

    […]

    4° Les informations relatives à son identité et ses activités, aux     garanties, aux fonctionnalités du contenu numérique et le cas     échéant à son interopérabilité, à l’existence et aux modalités de     mise en œuvre des garanties et aux autres conditions contractuelles,     dont la liste et le contenu sont fixés par décret en Conseil d’État. »

Cette information est donc très limitée, et le texte entretien le flou sur les informations transmises aux consommateurs. Pourtant, ceux-ci ont souvent besoin d’avoir des informations précises sur d’éventuels DRM, car de tels verrous empêchent bien souvent l’usage complet des produits.

« S’assurer que la présence de DRM soit explicitement mentionnée ainsi les restrictions qu’elles entrainent est une base minimale pour l’information des consommateurs. La protection réelle des droits des consommateurs passe par l’interdiction pure et simple de la pratique détestable de ces menottes numériques » a déclaré à datasecuritybreach.fr Frédéric Couchet, délégué général de l’April.

L’April demande donc que le texte soit amendé pour assurer le respect des droits des consommateurs.

Notons qu’une pré-version du projet reprenait les formulations de la directive :

    « Art. L. 111-1. – Avant que le consommateur ne soit lié par un     contrat, le professionnel est tenu de fournir d’une manière claire     et compréhensible au consommateur les informations suivantes :

    […]

    8° S’il y a lieu, les fonctionnalités du contenu numérique, y     compris les mesures de protection technique applicables ;

    9° S’il y a lieu, toute interopérabilité pertinente du contenu     numérique avec certains matériels ou logiciels dont le professionnel     a ou devrait raisonnablement avoir connaissance.

    Ces dispositions s’appliquent également aux contrats portant sur la     fourniture d’eau, de gaz ou d’électricité, lorsqu’ils ne sont pas     conditionnés dans un volume délimité ou en quantité déterminée,     ainsi que de chauffage urbain et de contenu numérique non fourni sur     un support matériel.»

Par ailleurs, le projet de loi remet aussi sur la table le blocage des sites internet.

Références

  * 1. L’action de groupe telle qu’elle est présentée actuellement ne correspond d’ailleurs pas à nos attentes, comme le montre la     réponse de l’April à la consultation publique lancée par le  gouvernement à l’automne 2012 .

  * 2. Pour plus d’information sur les DRM, voir la synthèse publiée par l’April à ce sujet.

Particuliers

Privacy Alert

Depuis plus d’un an, le Parlement européen étudie la proposition de règlement [1] de la Commission européenne qui vise à réformer la législation encadrant la protection des données personnelles au niveau européen. Jusqu’à présent, les différentes commissions parlementaires ayant travaillé sur ce projet se sont exprimées pour l’assouplissement des règles protégeant notre vie privée. Alors qu’un vote crucial approche [2] au sein de la commission « libertés civiles » (LIBE), La Quadrature du Net commence la publication d’une série d’analyses [3] abordant les points clefs, enjeux, progrès et dangers de cette réforme. ***

Face au développement de pratiques dangereuses pour notre vie privée de la part d’entreprises peu scrupuleuses, et afin d’encadrer la collecte, le traitement, et la vente des données personnelles des citoyens européens, la Commission européenne a présenté en janvier 2012 une proposition de règlement [1] destinée à réformer la législation en vigueur, datant de 1995. Ce règlement, qui devrait entrer en vigueur en 2015, sera directement applicable dans l’ensemble des États membres de l’Union européenne et se substituera immédiatement à toutes les lois nationales existantes en la matière [4]. Tel que proposé par Viviane Reding, commissaire à la Justice, aux Droits fondamentaux et à la Citoyenneté, il pourrait constituer une réelle avancée pour la protection de notre vie privée.

Adopté en l’état, le règlement permettrait de :

   – renforcer considérablement les droits des citoyens, les obligations des entreprises et les pouvoirs conférés aux autorités de contrôle, à l’instar de la CNIL [5] en France ;    – définir plus largement la portée de ce cadre légal afin de couvrir les activités de toute entreprise – quelque soit sa situation géographique – analysant les comportements des citoyens européens ou leur proposant des biens ou des services.

Une campagne de lobbying sans précédent

En réponse à la proposition de la Commission, de puissantes entreprises, principalement américaines (banques, assurances et services Internet), ont mené une campagne de lobbying sans précédent [6] afin de faire exclure de la version finale du règlement les propositions destinées à protéger les données personnelles des citoyens. Comme l’a clairement démontré le site Internet LobbyPlag [7], certains députés européens clés ont ainsi recopié mot pour mot les demandes des lobbies dans leurs propositions d’amendements.

Quatre commissions [8] du Parlement européen ont déjà exprimé leur avis sur les modifications à apporter à la proposition de la Commission. Directement influencées par les lobbies, elles se sont chaque fois exprimées en faveur de l’affaiblissement du cadre législatif protégeant la vie privée des citoyens européens et de la réduction des responsabilités incombant aux entreprises.

Ces avis n’ont cependant qu’une valeur consultative, et la situation peut encore être renversée : la liste des amendements que le Parlement européen dans son ensemble pourra adopter lors de la première lecture du texte, prévue pour la fin de l’année 2013, doit être adoptée par la commission « libertés civiles » (LIBE) lors d’un vote devant avoir lieu avant la fin du mois de juin.

Agissons !

Avant ce vote, nous devons nous assurer que ces députés ne céderont pas aux pressions des lobbies, comme ont pu le faire ceux des commissions ayant déjà exprimé leur avis, mais qu’ils garantiront une mise en œuvre efficace des avancées proposées par la Commission. Dès à présent et jusqu’au moment du vote, les citoyens doivent contacter [9] leurs députés européens et réclamer une réelle protection de leur droit fondamental à la vie privée. Comme l’a démontré le rejet d’ACTA [10] l’été dernier, les appels des citoyens à protéger l’intérêt général plutôt que les intérêts privés de quelques uns peuvent être entendus par les élus, à condition que cette mobilisation citoyenne soit suffisamment importante, soutenue et relayée.

Pour permettre à tous de s’approprier les enjeux et points clés de ce débat, La Quadrature du Net démarre la publication d’une série d’analyses présentant les principaux aspects du projet de règlement. Chacune abordera les avancées que pourraient constituer les propositions de la Commission, les raisons pour lesquelles les lobbies de l’industrie s’y opposent et les positions exprimées par les députés européens jusqu’à présent.

Privacy Alert : #1

Le consentement explicite La première analyse (à venir) de cette série abordera la question du « consentement explicite » et son rôle central dans le contrôle de nos données personnelles.

Références

1. http://ec.europa.eu/justice/data-protection/document/review2012/com_2012_11_fr.pdf

2. Le vote de la commission LIBE était initialement prévu pour les 29-30 mai, mais devrait finalement avoir lieu au mois de juin.

3. https://www.laquadrature.net/fr/privacy-alert-0-introduction#sommaire

4. La Commission européenne est l’institution disposant de l’initiative législative au niveau européen. Le Parlement européen et le Conseil de l’Union européenne (formé de ministres des différents États membres) peuvent amender les textes législatifs proposés par la Commission jusqu’à arriver à un accord sur le texte à adopter, qui entrera alors en vigueur, ou à le rejeter.

Au terme de ce processus, deux types d’actes législatifs peuvent être adoptés : une directive, qui pose des objectifs et des principes que chaque État membre devra intégrer dans son droit national, quitte à adopter une loi nouvelle ; ou un règlement, qui s’appliquera directement à l’ensemble des États membres.

Le choix du règlement semble particulièrement adapté pour contrôler la circulation des données personnelles sur Internet, qui est par essence transfrontalière. L’actuelle réglementation européenne en la matière – la directive de 1995 – pâti, entre autres, d’une transposition et d’une interprétation hétérogènes au sein des différents pays membres de l’Union européenne, dont certaines entreprises peu respectueuses de la vie privée profitent.

5. La Commission nationale de l’informatique et des libertés (CNIL) est une autorité administrative indépendante française. La CNIL est chargée de veiller à ce que l’informatique soit au service du citoyen et qu’elle ne porte atteinte ni à l’identité humaine, ni à la vie privée, ni aux libertés individuelles ou publiques, ni à aucun autre droit de l’Homme.

6. Voir la page du wiki de La Quadrature [en] recensant un grand nombre des documents envoyés aux députés européens par des entreprises privées : https://www.laquadrature.net/wiki/Lobbies_on_dataprotection

7. http://lobbyplag.eu/

8. Avant de voter en formation plénière, les députés du Parlement européen travaillent au sein de commissions parlementaires, chacune chargée de thèmes différents (libertés civiles, emploi, agriculture, etc) et composées de quelques dizaines de membres. Ces commissions parlementaires étudient les propositions législatives faites par la Commission européenne et proposent les amendements que l’ensemble du Parlement européen votera lors des sessions plénières.

Les commissions « consommateurs » (IMCO), « emploi » (EMPL), « industrie » (ITRE) et « affaires juridiques » (JURI) ont chacune proposé des amendements à la commission « libertés civiles » (LIBE), chargée de rédiger le rapport destiné à l’ensemble du Parlement.

Voir le wiki de La Quadrature pour une analyse détaillée des amendements les plus dangereux proposés par chaque commission : pour IMCO [en] https://www.laquadrature.net/wiki/Data_protection:_IMCO pour ITRE [en] https://www.laquadrature.net/wiki/Data_protection:_ITRE pour JURI [en] https://www.laquadrature.net/wiki/Data_protection:_JURI

9. https://www.laquadrature.net/wiki/Comment_contacter_un_d%C3%A9put%C3%A9_europ%C3%A9en

10. https://www.laquadrature.net/fr/acta-victoire-totale-pour-les-citoyens-et-la-democratie

Argent, Banque, Cyber-attaque, Cybersécurité, escroquerie, Leak

L’auteur de SpyEye extradé aux USA

Hamza Bendellaj, surnommé le « hacker souriant » et reconnu sur la toile sous le pseudonyme de BX1, accusé d’être l’auteur/diffuseur du virus informatique SpyEye, a été extradé vers les Etats-Unis. Pour rappel, le jeune homme avait été arrêté en grande pompe par la police Thaïlandaise le 5 janvier 2013. Il était poursuivi par le FBI depuis son inculpation, en décembre 2011. Hamza Bendellaj a été présenté devant une cour fédérale d’Atlanta. Il est accusé de 23 chefs d’inculpation pour avoir participé au développement, à la vente et à la distribution du virus « SpyEye ».

Ce logiciel malveillant a pour mission de recueillir secrètement des informations financières, mots de passe. But final, détourner l’argent des comptes en banques d’internautes ainsi piéger. Le procureur en charge du cas Hamza, Sally Yates, indique que 253 établissements financiers américains ont été touchés par cette intrusion malveillante. Infiltrations qui auraient rapporté plusieurs millions de dollars au(x) pirate(s). L’Oncle Sam s’intéresse à ce présumé pirate car ce dernier avait loué des serveurs, à Atlanta, ayant permis les attaques informatiques.

« L’acte d’accusation fédéral et l’extradition de Bendelladj doivent être  un message très clair aux cybercriminels internationaux qui se sentent en sécurité derrière leurs ordinateurs dans des pays étrangers : ils sont, en fait, à portée de main», a pu lire datasecuritybreach.fr dans le communiqué de presse diffusé par Mark F. Giuliano agent du FBI d’Atlanta en charge de l’affaire.

BX1 risque 30 ans de prison pour fraude bancaire; 5 ans pour fraude informatique; 5 ans par chef d’accusation. Bref, il risque de perdre rapidement le sourire face à 155 ans de prison ferme !

Argent, Logiciels

Wawamania : le pirate Français caché aux Philippines

6 commentaires

Comme l’explique ZATAZ.COM, l’administrateur/fondateur du site de diffusion et partage de fichiers piratés, WawaMania coule des jours heureux aux Philippines. Zac, le pseudo de ce pirate, a fuit la France, la Justice et ses anciens amis. Datasecuritybreach.fr a demandé à l’ancien administrateur du forum Mamie Tracker, Fabien L. (@Skull) ce qu’il pensait de ce P2P là. Fabien a été jugé et condamné, il y a peu, à une très lourde peine en tant qu’administrateur d’un forum « pirate ».

Datasecuritybreach.fr – Que pensez-vous de ce pseudo mode de l’échange communautaire qui engraisse surtout certains ?

Skull : Malheureusement, cela a toujours existé. Dans le peer-to-peer (P2P) il y a deux catégories : il y a ceux qui font cela pour le plaisir du partage ; et ceux qui ne sont là que pour amasser de l’argent. Naturellement, ça nui énormément au peer-to-peer, car depuis quelques années tout le monde est dans le même panier.

Datasecuritybreach.fr – Parlez-nous de ce que vous avez vécu

Pour ma part, j’étais l’administrateur du tracker Mamietracker.com. A la base, j’avais créé ce site justement pour couper le pied aux gros trackers comme T411, Snowtigers et bien d’autres qui étaient/sont là pour le flux d’argent qui draine, ceux qui ne parlent que d’échange, de gratuité, … et qui s’en mettent plein les poches. MamieTracker est né pour cela. Au départ ce n’était que du tout « gratuit », 1 an plus tard il m’a fallu faire un appel aux dons car le site grandissait et il me fallait payer des serveur pour gérer tout cela. Alors oui, certains diront que j’ai gagné de l’argent ce qui n’est pas faux (3.000€ en tout et pour tout sur 3 ans). La suite, vous la connaissez. Visite des policiers et des cyberpoliciers de Bayonne à 6h00 du matin à mon domicile. Des gens très polis et compréhensifs. J’ai été condamné à 6 mois de prison avec sursis – 1000€ d’amende – 300 000 Euros à reverser aux ayants droit (SACEM, Warner, Scpp).

Datasecuritybreach.fr – Aujourd’hui que devennez-vous ?

Aujourd’hui j’ai complètement coupé les ponts avec le peer to peer, passionné d’informatique j’ai remonté un site web nommé www.anywheres.fr, spécialisé dans l’assistance informatique et le dépannage informatique à distance, j’essaie de faire de ma passion mon métier mais les temps sont durs en ce moment il est donc difficile d’acquérir de nouveaux clients.

Datasecuritybreach.fr – Avec le recul, referiez-vous un site d’échange ?

Oui et non. Au niveau du partage et du contact humain oui. Maintenant, le jeu n’en vaut pas la chandelle. J’ai eu très peu de soutient le jour de mon arrestation. Sur mes 120 000 membres actifs, seulement une dizaine de personnes m’ont soutenu. Merci à eux. Les autres ne sont que des bouffeurs de copies. Faut pas croire, passer au tribunal, en correctionnel, c’est nerveusement terrible. Comme j’ai fait appel, je me suis ensuite retrouvé en cour d’assise. Autant vous dire que vous passez un sale quart d’heure (dont 4 heures d’audience, ndlr). Alors non, refaire un site d’échange pour toutes ces raisons, je ne le referai pas! Et je le déconseille à quiconque.

Datasecuritybreach.fr – Existe-t-il une solution pour que les internautes, en mal de nouveautés ?

Oui, aujourd’hui il y’a la VOD. cela reste cependant cher, et les nouveautés sont inexistantes. Des nouveautés qui sortent bien après les diffusions sur le peer-to-peer. Ca reste un vrai problème !

Datasecuritybreach.fr – Vous devez rembourser beaucoup ?

Comme dit plus haut, oui. Je dois payer énormément. Je dirai même que c’est démesuré. Je pense que j’ai servi d’exemple malheureusement. J’assume complétement. Je savais ce que j’encourrai dès le départ. DSB – Comment faites-vous ? Aujourd’hui, je survis. Je suis sans emploi et je m’occupe exclusivement de anywheres.fr. Mentalement j’ai tiré un trait sur MamieTracker. Tout ceci est derrière moi, ce n’est pas simple tous les jours. Je dois verser 300.000€ aux ayants droits. Des huissiers me rendent visite régulièrement. Je sais qu’ils attendent des saisies sur salaires dés que ma situation le permettra. Je me dis que la vie continue et que peut être un jour, je pourrai vivre de ma passion, l’informatique.

Datasecuritybreach.fr -Que pensez-vous du site Wawamania qui fait énormément parler de lui ?

Pour moi, et depuis le début, Wawamania n’est qu’une pompe à fric. Souvenez-vous, il y a 2/3 ans, une association s’était monter pour aider ce pauvre administrateur. Le reportage de TF1 risque d’en faire flipper plus d’un, au sujet du comportement de l’administrateur à l’époque et aujourd’hui. Pour rappel, il s’était vanté, il y a peu, de gagner entre 10 000 et 15 000€ par mois. C’est aussi pour cela qu’il est parti vivre au Philippine. C’est ce genre de type qui nuit au P2P. Les gros sites sont tous dans la course au gain. Regardez FrenchTorrentDB. Les dons sont effectués vers un pseudo hébergeur Canadien, Fouweb. Bilan, Paypal n’y voit rien à redire. Les internautes ne payent pas le pirate, mais font un don à un … herbergeur !

Fuite de données, loi, Particuliers

Un règlement dépouillant les citoyens de leur droit à la vie privée

Une coalition d’organisations internationales et européennes, dont Access, Bits of Freedom, Digitale Gesellschaft, EDRI, La Quadrature du Net, Open Rights Group, et Privacy International, démarre une campagne commune et un site Internet, nakedcitizens.eu. Ce site permet aux citoyens de contacter leurs représentants au Parlement européen pour les appeler à protéger leur droit fondamental à la vie privée.

Un règlement dépouillant les citoyens de leur droit à la vie privée Des organisations citoyennes exigent que les membres du Parlement européen protègent la vie privée des citoyens. Depuis son lancement, la révision de la législation européenne encadrant la protection des données donne lieu à une campagne de lobbying sans précédent de la part d’entreprises privées et de gouvernements étrangers. Le Parlement européen examine en ce moment le texte proposé par la Commission européenne, et envisage d’y faire de dangereux amendements. Selon une coalition d’organisations citoyennes, si ces amendements étaient adoptés, ils dépouilleraient les citoyens de leur droit à la vie privée. Cette affirmation est basée sur l’analyse des 4 000 amendements actuellement examinés par le Parlement européen.

« Sans une protection efficace de nos données, nos vies privées sont mises à nu, pour être utilisées et exploitées abusivement par des entreprises privées et des gouvernements. » déclare Joe McNamee de l’organisation citoyenne European Digital Rights (EDRI) et porte-parole de la coalition. « Nous appelons les membres du Parlement européen à faire primer les droits des citoyens et à rejeter ces propositions dangereuses. »

En prévision du vote final de la commission « libertés civiles » le 29 mai, la coalition de la société civile met en lumière les cinq amendements les plus dangereux proposés par les membres du Parlement européen pour modifier le règlement encadrant la protection des données. Le règlement proposé par la Commission européenne a pour objectif de renouveler et de moderniser le cadre législatif existant pour l’adapter à l’ère numérique, et de conférer aux citoyens un plus grand contrôle sur leurs données personnelles. Le lobbying démesuré venant de grandes entreprises et de gouvernements risque au contraire de réduire à néant ce cadre juridique. Les citoyens doivent pouvoir faire confiance aux services en ligne qu’ils utilisent. Le niveau de confiance exceptionnellement bas rapporté par des études tant européennes qu’américaines n’est tout simplement pas viable, tant pour les citoyens que pour les entreprises. La confiance doit être reconstruite en rendant aux citoyens le contrôle de leurs données grâce aux droits : (1) d’accéder à leurs données personnelles et de les supprimer, (2) de transférer simplement leurs données d’un service à un autre, (3) d’être assurés que leurs données personnelles ne seront utilisées que pour la finalité précise et limitée à laquelle ils ont consenti, (4) d’être assurés que leurs données sont à l’abri des gouvernements étrangers, (5) d’être assurés qu’en cas de faille de sécurité impliquant leurs données, les entreprises responsables les en informeront.

* Références * 1. https://www.accessnow.org/

2. https://www.bof.nl/

3. https://digitalegesellschaft.de/

4. http://www.edri.org/

5. http://www.openrightsgroup.org/

6. https://www.privacyinternational.org/

7. https://nakedcitizens.eu/

8. https://www.laquadrature.net/fr/un-reglement-depouillant-les-citoyens-de-leur-droit-a-la-vie-privee

Cybersécurité, Facebook, ID, Phishing

Les arnaqueurs ont récemment montré un fort intérêt pour le football

Les arnaqueurs ont récemment montré un fort intérêt pour le football. En effet, une grande variété d’attaques de phishing (faux sites web) se basant sur le football a été observée en 2012. Les arnaqueurs se sont déjà intéressés à la Coupe du Monde de la FIFA 2014, mais aussi aux stars et aux clubs phares du ballon rond.

Datasecuritybreach.fr vous a d’ailleurs présenté, l’arnaque ciblant les fans de Lionel Messi et celle visant les supporters du FC Barcelone. Deux bons exemples de ces pratiques. Les pirates informatiques comprennent qu’utiliser des célébrités avec une énorme base de fans offre un plus grand choix de cibles, et augmente ainsi leurs chances de récolter les identités des utilisateurs. Ces arnaques persistent encore en 2013 avec une stratégie toujours identique consistant à mettre en place de faux sites web en utilisant des hébergeurs gratuits.

Les sites de phishing ont incité des internautes à entrer leurs codes d’accès Facebook sur des pages consacrées à Lionel Messi, au FC Barcelone ou à Cristiano Ronaldo. Ces dernières affichent ostensiblement des images de Lionel Messi, du FC Barcelone ou de Cristiano Ronaldo, et essaient de donner l’impression qu’elles en sont les pages Facebook officielles. Certains de ces faux sites sont intitulés, « premier réseau social dans le monde ». Les utilisateurs sont ensuite incités à entrer leurs identifiants Facebook afin de se connecter à leur compte. Une fois que les identifiants ont été renseignés, les utilisateurs sont redirigés vers une page communautaire dédiée à Lionel Messi, au FC Barcelone, ou à Cristiano Ronaldo pour créer l’illusion qu’une session légitime s’est ouverte.

Si les utilisateurs sont victimes de sites de phishing en ayant entré leurs identifiants, alors les pirates ont réussi à voler leurs données à des fins d’usurpation d’identité. Pour éviter les attaques de phishing, les internautes sont invités à suivre les conseils ci-dessous :

§  Faites attention lorsque vous cliquez sur des liens qui semblent trop attractifs, envoyés par email ou postés sur les réseaux sociaux

§  Ne renseignez pas de données personnelles lorsque vous répondez à un email

§  N’entrez pas de données personnelles dans un pop-up qui apparaît dans une page ou à l’écran.  Composez plutôt, de façon manuelle, le site web que vous souhaitez consulter, au lieu de cliquer sur un lien suspect.

§  Assurez-vous que le site web est crypté avec un certificat SSL en vérifiant que la mention « https » soit présente dans la barre d’adresse, ou que celle-ci soit de couleur verte lorsque vous entrez des données personnelles ou financières

§  Utilisez des suites de sécurité comme Norton Internet Security ou Norton 360, qui vous protègent contre le phishing et les fraudes sur les réseaux sociaux

Rapportez les faux sites web, emails ou pages Facebook via phish@fb.com.

Arnaque, escroquerie, Facebook, Fuite de données, ID, Leak, Particuliers

Le top 10 des arnaques sur Facebook

Un commentaire

Data Security Breach a reçu un nouvelle étude sur les arnaques se propageant sur Facebook, les plus répandues à l’échelle mondiale étant de type « qui a vu mon profil ». En seconde position et parmi les stars les plus dangereuses pour la sécurité de votre compte : Rihanna et sa fausse sex tape. Continuer la lecture de Le top 10 des arnaques sur Facebook →

Argent, Particuliers

FIA-NET publie son Livre Blanc Certissim 2013 sur la fraude à la carte bancaire

Au cours de l’année 2012, avec 26 millions de transactions analysées pour un chiffre d’affaires de plus de 4 milliards d’euros, Certissim a constaté un taux de tentatives de fraude de 2,98 % en nombre et de 3,91 % en valeur. Cependant, datasecuritybreach.fr moins d’une tentative sur trente se traduit par un impayé frauduleux pour les e-commerçants. En supposant que tous les sites marchands disposent d’un système de lutte contre la fraude efficace et en extrapolant ces analyses à l’ensemble du e-commerce français, soit 45 milliards d’euros de chiffre d’affaires1, les tentatives de fraude auraient représenté plus de 1,7 milliard d’euros en 2012.

Professionnalisation et industrialisation de la fraude dans le e-commerce

Selon Certissim, deux facteurs ont contribué à l’augmentation du risque de fraude sur Internet ces dernières années. D’une part, la démocratisation de la vente en ligne a créée de nouvelles opportunités, tant en volume qu’en valeur, pour les fraudeurs. D’autre part, le secteur a fait face à l’arrivée de nouveaux fraudeurs, professionnels, intégrés au sein d’organisations criminelles, améliorant sans cesse leurs méthodes et cherchant à industrialiser la fraude afin de maximiser le gain.

Cette industrialisation est la différence majeure entre un fraudeur opportuniste et un fraudeur professionnel. Le premier ne donne pas suite à sa tentative lorsqu’elle est réussie alors que le second réitèrera autant que possible une fraude aboutie. Les secteurs traditionnellement fraudés, tels que l’électroménager, la téléphonie et la parfumerie restent parmi leurs cibles de choix. « Néanmoins, le contexte économique fait que toute marchandise est susceptible d’être fraudée et revendue, de l’alimentaire aux voyages jusqu’aux couches pour bébés » explique Alexandre Arcouteil, Responsable d’Activité Certissim.

Usurpations d’identités et procédés frauduleux

Cette professionnalisation implique une structuration des réseaux de fraudeurs. En amont des commandes, ils ont un besoin de données usurpées. Cet aspect est alimenté par des vols ayant lieu dans la vie de tous les jours comme sur Internet, par le biais de phishing ou de hacking. Les fraudeurs utilisent toutes sortes de données, coordonnées bancaires ou simple adresse de livraison. Elles leur permettent d’effectuer des commandes frauduleuses sur Internet en minimisant les risques d’être repérés. Juste après la commande, ils ont un besoin d’intermédiaires complices ou non pour récupérer les marchandises. Le fraudeur peut embaucher une personne honnête, une « mule », via des sites de petites annonces. Son travail est de réceptionner et réexpédier des colis depuis son domicile, sans savoir qu’il s’agit de marchandises volées.

Enfin, ces réseaux ont besoin de débouchés. Les marchandises doivent être revendues, ce qui sous-entend l’existence d’un marché parallèle et d’acheteurs potentiels, ce que datasecuritybreach.fr, ou encore zataz.com vous présente souvent dans leurs colonnes. Certissim rappelle que la vigilance est indispensable pour les e-commerçants comme pour les particuliers afin de se prémunir contre la fraude et les usurpations. Par exemple, appliquer une gommette sur le code CVV2 de la carte bancaire permet de limiter les risques de vol des données au moment d’un règlement en magasin.

2012, Certissim observe un taux de tentatives de fraude de 2,98 % (en nombre) alors que le taux de fraudes abouties n’est que de 0,10 %, soit moins d’une tentative sur trente se traduisant par un impayé frauduleux pour le e-commerçant. Le panier moyen des impayés frauduleux retrouve un niveau équivalent à celui de 2010 à 297 euros, soit 8 % de moins qu’en 2011 (323 euros). Cela s’explique par le fait que les fraudeurs ont compris que les paniers élevés faisaient systématiquement l’objet de contrôles. En conséquence, leurs tentatives portent désormais sur des montants moins importants mais leur nombre a augmenté. La forte capacité d’adaptation des méthodes employées pour détecter les fraudes est également à l’origine de la baisse de ce panier moyen. L’extrapolation des résultats des analyses de Certissim à l’ensemble du marché français identifié par la Fevad, soit 45 milliards d’euros de chiffre d’affaires, montre que l’impact de la fraude reste important. L’ensemble des tentatives de fraude se chiffrerait à plus de 1,7 milliard d’euros en 2012. La cybersécurité et la mutualisation des connaissances doivent donc être plus que jamais des éléments clés de la stratégie des e-commerçants, d’autant plus que tous ne disposent pas des mêmes moyens de contrôle.

Depuis 2000, FIA-NET édite un Livre Blanc annuel consacré à la fraude à la carte bancaire sur Internet. Sa finalité est d’apporter une vision objective de la fraude sur le marché du e-commerce et ainsi d’être un outil d’aide pour les marchands souhaitant optimiser leur gestion de la fraude. Le Livre Blanc Certissim présente les grands indicateurs de la fraude sur Internet, grâce aux chiffres provenant des déclarations d’incidents de paiement de ses sites marchands clients et des fraudes détectées par Certissim. Le savoir-faire de Certissim et son implication dans la lutte contre la fraude lui permet également de détailler les nouvelles techniques des cybercriminels.

ID, Particuliers

Documents électroniques d’identité (eID et e-Passeport): quels sont les défis à relever ?

La gestion des documents d’identité est en pleine mutation : avec la généralisation des programmes de cartes nationales d’identification électronique (appelés également CNIe), les gouvernements souhaitent déployer un véritable bouclier contre les fraudes et la contrefaçon à grande échelle. Cependant, certains programmes nationaux prennent du retard – notamment en France – et certains écueils ne semblent toujours pas résolus.

Quels sont les défis technologiques auxquels les administrations et gouvernements doivent faire face ?
Sur le terrain, la sécurité des documents officiels d’identité reste une préoccupation majeure : les populations n’ont jamais été aussi mobiles et nous sommes toujours plus nombreux à passer les frontières ; du côté de l’administration électronique, le but est de gagner en simplicité. Car les administrations ont besoin non seulement de documents d’identification robustes et multiservices bénéficiant d’une sécurité optimale, mais facilitant aussi les mouvements transfrontaliers et l’accès à des services sociaux ou de santé.

En 2015, 85% des documents d’identification seront électroniques, et les gouvernements qui proposeront ces CNIe seront jusqu’à 4 fois plus nombreux que ceux qui resteront sur des formats plus classiques (sans technologie), selon l’analyste Acuity Market Intelligence. L’utilisation d’identifiants multi-applicatifs semble devenir la norme pour le développement de carte d’identité multiservice et durable, et, dans ce contexte, la prévention des fraudes, le déploiement de programmes de bout en bout et l’expertise en matière d’intégration sont essentiels pour le développement de programmes d’identification nationaux.

Il s’agit, en effet, d’éliminer les problématiques d’interopérabilité technologique, d’assurer les mises à jour des cartes existantes et des systèmes sous-jacents, et d’encourager la longévité des documents d’identification, autant de vecteurs qui peuvent induire des coûts supplémentaires. C’est la raison pour laquelle une expertise en matière de conception, de technologie et de fabrication est essentielle pour s’assurer que les documents d’identification soient conformes aux normes internationales qui régissent leurs dimensions, leur sécurisation, leurs fonctionnalités et leur longévité.

Une longévité optimale
La longévité des documents d’identification est un point crucial : ces documents doivent en effet résister à une utilisation intensive et à différents vecteurs d’usure. Les matériaux comme le polycarbonate se sont imposés en tant que matériau de choix en matière de durabilité et de résistance. On note néanmoins que l’ajout de technologies intelligentes embarquées telles que le RFID ou les puces avec ou sans contact pourraient être considérés comme des freins potentiels à la durabilité des supports en plastique.

Ce constat est à l’origine du développement de nouvelles technologies qui, à l’image de la technologie polycarbonate prévenant la formation de fissure, brevetée de HID Global, assure l’intégrité de la structure des documents d’identification.

La mise à jour des documents d’identification
Le retour sur investissement des programmes CNIe évolués fait l’objet de nombreux débats. En effet, les discussions portent notamment sur l’investissement initial du projet, qui varie selon les fonctionnalités et la durée de vie des cartes d’identité. La possibilité et le processus de mise à jour des cartes déjà en circulation sont essentiels en matière de conception du programme et d’allocation des budgets.

Pourquoi en effet payer pour une carte qui devra être rapidement renouvelée (par ex. suite à un changement d’adresse)? Dans un tel scénario, les cartes à puce déployées dans le cadre d’applications embarquées et sécurisées de gestion des données peuvent être mises à jour. Grâce à ces programmes, la mise à niveau des informations sur la carte est assurée, incluant la possibilité de télécharger de nouvelles applications ou d’activer de nouveaux services, dès que ces derniers sont disponibles. Cette évolutivité offre aux gouvernements la possibilité d’étendre leurs programmes de manière sécurisée, même lorsque les cartes sont déjà entre les mains des citoyens.

Des technologies innovantes, telles que l’OSM (Optical Security Media) facilitent les mises à jour des documents d’identification en circulation. D’ailleurs, cette technologie a fait ses preuves et a été utilisée dans le cadre de la délivrance des permis de résident américains dits « Green Cards » . L’information présente sur la piste optique de ces cartes ne peut être modifiée de manière frauduleuse, et ne peut être mise à jour que par des instances légitimes, le tout, sans avoir à remplacer la carte.
 
Un document d’identification valable 10 ans, durera-t-il vraiment 10 ans ?
Le remplacement des cartes d’identité traditionnelles par des cartes de type eID, l’intégration d’une ou de plusieurs technologies de carte à puce en d’identification, et l’innovation qui favorise la durabilité des cartes sont autant de leviers qui assurent la pérennité des identifiants de demain.

Dans les 5 années à venir, les priorités porteront sur les fonctionnalités des cartes multi-technologiques, davantage d’intégration au niveau de la conception des cartes, l’amélioration des systèmes de délivrance, les différentes possibilités de mise à jour, et l’innovation en matière de production des cartes. Ce sont ces facteurs, entre autres, qui feront de la carte d’identité à puce, valable 10 ans, une réalité. (Par Craig Sandness, pour Data Security Breach, Vice-président chez HID Global, en charge des solutions d’identification officielle.)