Archives de catégorie : Entreprise

Actualités liées à la sécurité informatique des entreprises, PME, PMI, TPE, association, communes.

Base de données, Cybersécurité, Entreprise, Mise à jour, Social engineering

Les identités numériques à l’heure de l’économie du partage

L’émergence de l’économie participative sur Internet offre à Monsieur tout le monde des possibilités jusqu’ici inenvisageables. Aujourd’hui, n’importe qui peut démarrer son activité de taxi en devenant chauffeur VTC (Voiture de Tourisme avec Chauffeur). Les propriétaires immobiliers peuvent louer leur bien comme un hôtel par le biais d’Airbnb. Grâce à ces sociétés qui mettent en relation les particuliers fournissant un service avec les consommateurs, le client a plus de choix. Tout se passe sur Internet par l’intermédiaire d’applications ou de sites Web.

Cette économie du partage repose en grande partie sur la confiance. Fournisseurs et consommateurs s’inscrivent pour pouvoir proposer ou acheter leurs services en ligne. Les transactions sont réalisées via une application ou un site Web dédié. Prenons le chauffeur VTC. Tant que le véhicule ne s’est pas
arrêté le long de la voie pour prendre son passager, le fournisseur du service et le consommateur ne s’étaient encore jamais rencontrés et n’avaient jamais discuté ensemble. Lorsque l’on loue l’appartement de quelqu’un, on peut parfaitement ne jamais rencontrer son propriétaire. Ainsi, il est fréquent qu’une personne, qui loue une maison à l’étranger par l’intermédiaire d’Airbnb, arrive et trouve les portes ouvertes, les clés posées sur la table avec une liste de consignes. À son départ, le locataire doit simplement reposer les clés au même endroit.

La plupart des gens sont dignes de confiance. Notre société ne fonctionnerait pas si ce n’était pas le cas. Bien sûr, certaines personnes malhonnêtes abusent de cette confiance. Dans le cadre d’une transaction en ligne anonyme, la confiance peut être plus difficile à instaurer. L’économie participative s’appuie sur des sources tierces pour établir l’identité des fournisseurs et des consommateurs. Les utilisateurs d’Airbnb peuvent même volontairement choisir de faire vérifier leur identité en envoyant une photo de leur carte d’identité nationale au service de vérification du site. Toute personne ayant des connaissances en sécurité de l’information sait pertinemment que cette procédure n’améliore pas significativement la procédure par défaut qui s’appuie sur les informations des profils Facebook, parfois couplées avec les identités sociales Google et LinkedIn.

On apprend parfois que tel appartement a été saccagé par un locataire lors d’une soirée. Ce genre d’incident reste rare. Airbnb prend la chose très au sérieux et a mis en place un plan de protection pour les propriétaires. Ainsi, en cas d’incident, Airbnb s’assure que le propriétaire est couvert.

Dans une économie du partage où des entreprises comme Uber et Airbnb mettent des personnes des quatre coins du monde en relation, la vérification des identités devient très compliquée. Sans être un pro de Photoshop, il n’est pas compliqué de falsifier l’image d’une carte d’identité nationale ou d’un
permis de conduire. Seul moyen de valider de manière fiable une identité en ligne ? Utiliser une identité électronique délivrée par une autorité nationale, ou à la rigueur, par un établissement bancaire. Pour la création de ces identités, l’enregistrement s’effectue lors d’un entretien en face à
face où l’intéressé doit produire une pièce d’identité complémentaire pour vérification. Son identité électronique ne lui sera délivrée qu’au terme de cette procédure. En arrière-plan, plusieurs processus sont mis en place pour affiner les vérifications d’identité d’une personne en interrogeant des bases de données officielles et d’autres ressources.

Argent, Base de données, Chiffrement, Contrefaçon, cryptage, Cybersécurité, Entreprise, ID, Identité numérique, Particuliers, Social engineering

Le réveil de la force : des données appartenant à des joueurs d’Electronic Arts dans la nature

Piratage ? Fuite de données ? Phishing ? Plusieurs centaines de données appartenant à des joueurs de produits édités par Electronic Arts diffusés sur la toile.

Pour le moment, impossible de savoir d’ou proviennent les données diffusés sur Pastebin. Dans les fichiers mis en ligne, des informations appartenant à des joueurs de produits vidéo ludique proposé par l’éditeur Electronic Arts. Tout est possible : piratage d’ordinateurs de joueurs ; phishing ; Fuite de données internes. Avec le « buzz » autour du jeu star Wars Battlefront, les pirates ont les dents acérées et les griffes sorties. EA est une cible, comme les autres éditeurs de jeux vidéo. D’abord par une population de pirates, professionnels de la contrefaçon, visant les serveurs et espérant ainsi mettre la main sur des nouveautés, avant leur sortie (le cas le plus parlant fût celui de Sony Picture et des films stockés sur un serveur, 6 mois avant leur sortie en salle, NDR). Le vol de comptes de joueurs et autres données, pouvant être bancaires, attirent la force obscure de certains internautes. EA a Confirmé un problème interne et a proposé aux « clients » impactés de modifier leur mot de passe. Avoir accès à un compte permet aussi de jouer au jeu téléchargé, voir de revendre le compte,  afin d’en tirer des euros sonnants et trébuchants.

Base de données, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch

Fuite de données pour Deutsche Telecom

Un commentaire

L’opérateur Allemand de téléphonie, Deutsche Telekom, corrige une fuite de données.

Un internaute du nom d’Ibrahim a découvert comment il était possible de mettre la main sur une sauvegarde d’une base de données appartenant à l’opérateur Allemand Deutsche Telekom. Une fuite de données étonnante.

Lors de l’authentification à la page d’identification (https://demandplan.telekom.de), le bidouilleur a simplement ouvert le code source du dit espace. Plusieurs noms de fichiers étaient appelés, comme index.php, adminuser.php, ProjectExport.php… Si les deux premiers renvoyaient l’internaute vers la page index du portail, le troisième semblait mettre en place une action invisible. L’action n’était rien d’autre… que la sauvegarde d’une base de données en mode .txt (export.txt) sur le site de Deutsch Telekom.

Bilan, il suffisait de lancer demandplan.telekom.de/export/export.txt pour récupérer la fameuse sauvegarde. DT a versé 1000€ à son sauveur. L’histoire ne dit pas ce contenait cette base de données.

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Propriété Industrielle

Un circuit électronique capable de s’auto détruire en cas de piratage

Des chercheurs du Palo Alto Research Center mettent au point un système de protection des données en permettant à un circuit électronique de s’auto détruire en cas de piratage.

Des chercheurs étudiants du PARC, le Palo Alto Research Center, viennent de présenter ce qui semble être un avenir intéressant pour le matériel transportant des données sensibles. En cas de piratage par exemple, un des circuits électroniques gérant la machine sera capable de s’auto détruire.

Le projet est conduit par la Defense Advanced Research Projects Agency. La DARPA est cette fameuse agence de recherche de l’armée américaine à qui l’on doit, entre autres, la naissance d’Internet ou encore du High Productivity Computing Systems, des ordinateurs capables de traiter plusieurs pétaflops de données.

Les circuits, en silicium, explose à partir d’une impulsion électrique particulière, chauffant le circuit. Le chef de ce projet baptisé VAPR (Vanishing Programmable Resources), Gregory Withing, explique qu’une simple connexion sans fil Wi-Fi pourrait permettre de faire exploser le matos.

Une possibilité a double tranchant si de mauvaises mains peuvent actionner le système de sécurité. Les chercheurs avaient déjà proposé le circuit qui fondait à la demande. A suivre ! (Futura science)

Banque, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage

Le pirate de JPMorgan Chase s’est attaqué à d’autres sociétés

Le pirate informatique qui s’est attaqué à la banque JPMorgan Chase a aussi visé, avec plus ou moins de succés, Citigroup, E*Trade Financial Corp, Automatic Data Processing et Regions Financial Corp.

Si certaines structures n’ont pas confirmé cette affirmation de plusieurs enquêteurs qui ont souhaité  rester anonyme, des entreprises comme E*Trade Financial Corp ont confirmé avoir été attaquées en 2013 par ce qui semble être le même pirate que la banque JPMorgan.

En 2014, ETCF avait indiqué ne pas savoir si des données clients avaient été impactées. Deux ans plus tard, voici la confirmation de cette infiltration. Au moins 31 000 clients de la structure bancaire ont été alertés d’une violation de leurs données. Les pirates ont pu avoir accès aux noms et e-mails des clients, ainsi que les adresses physiques de ces derniers. Il n’y a « aucune preuve que toutes les informations des comptes clients, y compris les mots de passe, numéros de sécurité sociale, ou des informations financières eurent été compromises » indique le communiqué de presse de la banque.

Un détail dés plus déroutant. Il est pourtant assez simple de savoir ce que les pirates ont pu lire, copier… Toutes les données contenues dans la base de données compromise ont été accessibles.

Base de données, Cybersécurité, Entreprise, Fuite de données, Justice, loi

Nouvelles lois sur les violations de données pour la Californie

Un commentaire

Le 6 octobre, le gouverneur de Californie a signé trois nouvelles lois qui tentent de clarifier les éléments liées aux violations de données.

Aux USA, dès qu’une entreprise se retrouve face à une fuite de données (piratage, ordinateur volé, clé usb perdue, documents transformés en confettis…), obligation lui est faite d’avertir les autorités, le Département de Justice et, par le biais du DoJ, les clients/utilisateurs potentiellement impactés.

Le 6 Octobre, le gouverneur de Californie, Jerry Brown, a signé trois nouvelles lois qui visent à clarifier les éléments clés des notifications alertant d’une fuite de données. Des lois qui sont censées fournir des conseils aux personnes, aux entreprises et aux organismes étatiques et locales qui stockent des informations personnelles. Des lois qui prendront effet le 1 Janvier 2016.

AB 964
Parmi ces trois lois, l’article AB 964 a fait tendre l’oreille et la souris de la rédaction de DataSecurityBreach.fr car elle vise la question du chiffrement. Les renseignements personnels sont maintenant considérés comme correctement « chiffrés » si elles sont « rendues inutilisables, illisibles ou indéchiffrables à une personne non autorisée à travers une technologie de sécurité ou de méthode généralement reconnue dans le domaine de la sécurité de l’information. » Malin, le législateur ne précise pas de son côté ce qu’est la meilleure méthode pour chiffrer efficacement.

Aujourd’hui, un mot de passe hashé (chiffré) en MD5, se cracke en quelques secondes. Ne parlons pas de l’utilisation de SSL, RC4 et TLS 1.0 (tous maintenant interdits par l’IETF). L’article SB 570 stipule que les alertes doivent être titrée « Avis de violation de données » et présenter des informations de notification pertinentes : ce qui est arrivé; quelle information impliquée; ce que le fuiteur a mis en place pour protéger les données. La dernière loi, la SB 34, élargit la définition du terme « renseignements personnels ».

Banque, Cybersécurité, Entreprise, Mise à jour, Paiement en ligne, Propriété Industrielle

Le FBI lance une alerte sur les cartes à puce… puis la retire

Les banques, plus fortes que le FBI ? L’agence fédérale américaine a lancé une alerte au sujet des cartes bancaires à puce. Un message retiré à la demande des institutions financières.

Le FBI de San Diego a fait fort, vendredi 9 octobre. Une alerte publique, comme l’agence en produit très souvent, indiquait que les cartes bancaires avec puces pouvaient encore être la cible des pirates. Dans son document intitulé « Les nouvelles cartes de crédit avec micropuces peuvent encore être vulnérables face aux fraudeurs » [New microchip-enabled credit cards may still be vulnerable to exploitation by fraudsters] Mulder et Scully expliquaient simplement que le fait d’avoir une puce et un mot de passe ne devait pas empêcher les utilisateurs des nouvelles cartes bancaires (avec une puce et un mot de passe) de faire attention à leur bout de plastique. Les banques n’ont pas aimé l’alerte. Bilan, le FBI a retiré son avertissement et a été invité à revoir sa copie.

backdoor, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Propriété Industrielle

Les installations nucléaires civiles ne demandent qu’à être piratées

Les infrastructures nucléaires civiles dans le monde entier seraient insuffisamment préparées à l’éventualité d’une cyberattaque.

Tout le petit monde du nucléaire c’est donné le mot, la semaine dernière, pour annoncer que les centrales nucléaires ne tiendraient pas face à une attaque informatique. C’est selon un nouveau rapport des chercheurs de la Chatham House, un think-tank basé à Londres, que l’on apprend que les pirates informatiques ne feraient qu’une bouchée des centrales nucléaires.

Les installations deviennent de plus et plus dépendantes des systèmes numériques et autres logiciels, et que la sensibilisation de haut niveau des menaces liées à la cybersécurité stagne, un événement grave semble s’écrire. « Les récentes attaques de grande envergure, y compris le déploiement du worm Stuxnet, ont soulevé de nouvelles inquiétudes concernant les failles de sécurité des cyber d’installations nucléaires, commente le rapport. Les cyber-criminels, les États et les groupes terroristes augmentent leurs activités en ligne, la crainte d’une cyber-attaque sérieuse est toujours présente.« 

D’ici là à penser que le survol de centrales françaises par des drones avaient pour mission de sniffer les connexions wifi des installations !

Base de données, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Particuliers, Sauvegarde

Police : gestion de la base de données des plaques d’immatriculation

Pendant des années, la police américaine a utilisé des scanners de plaques d’immatriculation installées dans les voitures de patrouille. Elle achète aussi, aujourd’hui, des BDD à des entreprises privées.

Aux USA, mais aussi en Europe, comme en France d’ailleurs avec les contrôle automatisé de données signalétiques des véhicules (radars automatiques), ou encore avec LAPI (lecture automatisée de plaques d’immatriculation), les plaques d’immatriculations des automobiles sont stockées. Chez l’Oncle Sam, la lecture automatisée, via des caméras embarquées sur les véhicules, permet de télécharger les images dans les bases de données qui sont utilisées pour identifier les suspects de crimes et délits.

Il s’avère que la base de données policière n’est pas suffisante. Bilan, des bases de données de plaques sont acquises dans le secteur privé, chez les dépanneurs automobiles par exemple qui photographient les plaques, et les documents des automobilistes.

Les associations en charge des libertés civiles, et certains législateurs, s’inquiètent de ces partenariats, estimant que des protections devaient être mises en place contre les abus. Autres problèmes, l’obsolescence des bases de données acquises et la durée de conservation des données. Certains voix réclament que la police devrait obtenir un mandat d’un juge pour accéder aux bases de données en question. (WTOP)

Cybersécurité, Emploi, Entreprise, Fuite de données, Justice, loi, Propriété Industrielle

Le coût moyen du cybercrime s’élèverait à 13.4M€ par entreprise

Une enquête annuelle révèle que le coût moyen du cybercrime s’élève à 13.4M€ par entreprise Cette sixième étude annuelle, résultat du partenariat entre HP et le Ponemon Institute, prouve l’intérêt pour les entreprises de réorienter leur stratégie en matière de sécurité

HP dévoile les résultats de la sixième enquête annuelle menée en partenariat avec le Ponemon Institute, qui détaille les impacts économiques des cyberattaques sur les organisations des secteurs public et privé. Les résultats attestent une augmentation du coût du cybercrime pour les entreprises et le changement d’approche qui engage les professionnels de la sécurité IT à réinventer leur façon d’appréhender les risques.

Menée par Ponemon Institute sous l’égide de HP Enterprise Security, l’étude Cost of Cyber Crime Study 2015 chiffre le coût annuel du cybercrime pour des entreprises aux États-Unis, au Royaume Uni, au Japon, en Allemagne, en Australie, au Brésil et dans la fédération de Russie. Sur l’échantillon d’organisations sélectionnées pour l’enquête réalisée aux US, les résultats montrent que le coût annuel moyen du cybercrime par entreprise s’élève à 15 millions d’US$ 1, ce qui représente une croissance proche de 20% par rapport à l’année dernière, et de 82% depuis la première édition de cette étude.

Les résultats montrent également que le délai moyen de résolution d’une cyberattaque – 46 jours – a augmenté d’environ 30% sur les 6 dernières années, et que le coût moyen global de résolution d’une attaque unique dépasse 1,9 million US$. « Une faille de sécurité peut impacter de façon significative la réputation de l’entreprise, ses performances financières, sa stabilité opérationnelle et sa capacité à innover » déclare à datasecuritybreach.fr Sue Barsamian, Sénior Vice-Président et Directeur Général de la division HP Enterprise Security Products. « Cette étude annuelle prouve clairement que les investissements stratégiques dans les solutions de sécurité, les technologies de chiffrement et les bonnes pratiques de gouvernance peuvent faire une différence substantielle dans la manière de protéger ce qui compte le plus pour l’entreprise – les interactions entre utilisateurs, les applications et les données – et lui permettre de garder un cran d’avance sur ses adversaires. »

Pour les entreprises, élargir leur surface digitale veut également dire s’exposer à davantage d’attaques périmétriques de la part des cybercriminels. Bien que les organisations s’efforcent de recourir à de nouvelles technologies pour protéger leur environnement soumis à des attaques toujours plus nombreuses, il devient urgent pour elles de faire évoluer leurs stratégies de sécurité et de contrôle du réseau vers la protection des utilisateurs, des applications et des données. L’étude ‘2015 Cost of Cyber Crime’ confirme ce besoin de changement, démontré par le fait que des organisations dépensent désormais 20% de leur budget de sécurité sur la sécurisation des applications, ce qui représente une croissance de 33 % en seulement deux ans.

Résultats marquants de l’étude 2015 Cost of Cyber Crime aux États-Unis ? Le coût du cybercrime reste très important : le coût annuel moyen du cybercrime pour une entreprise s’élève à 15 millions US$, avec une plage allant de 1,9 million US$ jusqu’à 65 millions US$ par an 1. Sur les 6 années de l’enquête, cela représente une augmentation globale de 82%.

Le coût du cybercrime varie selon la taille de l’organisation ciblée : les résultats montrent une nette corrélation entre le nombre d’ employés de l’entreprise et le coût annuel du cybercrime. Néanmoins, sur la base du nombre d’employés, l’enquête montre que les petites organisations subissent un coût par utilisateur plus important que les entreprises de taille plus importante.

Le temps pour remédier aux cyberattaques continue de croître : le délai moyen pour résoudre une cyberattaque est de 46 jours, avec un coût moyen de 1,9 million US$ durant cette période, selon les éléments fournis par les entreprises ayant répondu à l’enquête. Ceci représente une augmentation de 22% par rapport au montant moyen annuel estimé dans l’enquête de l’année dernière – environ 1,5 million US$ – basé sur une période de résolution évaluée alors à 32 jours.

Les résultats montrent que des attaques provenant d’utilisateurs internes malveillants peuvent prendre en moyenne 63 jours avant d’être circonscrites. Les coûts du cybercrime les plus importants. Les cyberattaques les plus coûteuses restent toujours liées au déni de service, aux utilisateurs internes malveillants et aux codes malicieux. Celles-ci ont représenté plus de 50% de toutes les attaques subies par une organisation pendant un an 1. Le vol d’informations continue de représenter le coût externe le plus important, suivi par les coûts liés à une interruption d’activité. Sur une base annuelle, le vol d’informations représente 42% des coûts externes globaux, alors que les coûts associés à une interruption de service ou à la perte de productivité totalise 36% des coûts externes (soit 4%de plus que la moyenne constatée il y a 6 ans). Les tâches de détection et de récupération constituent les coûts d’activités internes les plus importants, soit 55% des coûts totaux de l’activité annuelle interne. Les dépenses de trésorerie et de main-d’œuvre directe représentent la majorité de ces coûts.

La bonne technologie et les bonnes politiques de sécurité font la différence Les organisations, qui ont investi et utilisent des technologies de collecte d’informations sur la sécurité, ont été plus efficaces dans la détection et le cloisonnement des cyberattaques, réduisant ainsi les coûts qui auraient pu être encourus. ? Le déploiement de solutions SIEM (Security Information and Event Management) a permis aux organisations de réduire leurs dépenses de 3,7 millions US$ par an, par rapport aux entreprises n’ayant pas mis en œuvre de solutions de sécurité similaires. ? Un budget de sécurité suffisant peut faire économiser en moyenne 2,8 millions US$ de coûts induits par les actions mises en places pour y remédier et par la gestion des attaques. ? L’emploi de personnels certifiés et/ou experts de sécurité peut réduire le budget d’une entreprise de 2,1 millions US$ à une entreprise. ? L’embauche d’un responsable sécurité de haut-niveau peut faire économiser 2 millions US$ à l’entreprise.

« Avec des cyberattaques de plus en plus fréquentes et graves de conséquences, la compréhension globale de l’impact financier encouru peut aider les organisations à déterminer la quantité appropriée d’investissement et de ressources nécessaires pour prévenir ou atténuer les conséquences d’une attaque« , a déclaré à DataSecurityBreach.fr le Dr Larry Ponemon, Président et Fondateur du Ponemon Institut. « Comme on le voit dans l’étude de cette année, le retour sur investissement pour les organisations déployant des systèmes de renseignement de sécurité, tels que les SIEM, a permis de réaliser en moyenne des économies annuelles de près de 4 millions US$ et prouve la capacité de minimiser les impacts en détectant et en contenant plus efficacement les cyberattaques.« 

État des lieux de la sécurité dans des agences gouvernementales locales, régionales et nationales Afin de mieux comprendre les enjeux auxquels la sécurité de l’IT et les professionnels de la sécurité IT doivent faire face pour sécuriser les agences gouvernementales, HP a également dévoilé les résultats d’une nouvelle étude menée en partenariat avec le Ponemon Institute. L’étude « 2015 State of Cybersecurity in Local, State & Federal Goverment » fait état de découvertes sur la fréquence des attaques ciblant le secteur public à l’échelle locale, régionale ou nationale, des difficultés rencontrées dans la recherche des bonnes compétences en matière de sécurité, et sur les capitaux informationnels les plus exposés au risque. Des informations détaillées peuvent être consultées sur le site.