Cybersécurité, Entreprise, Phishing

Les utilisateurs de services Google ciblés par une attaque de phishing difficile à détecter

Un commentaire

Les pirates récupèrent les mots de passe de comptes Google via une attaque de phishing particulièrement difficile à détecter par une analyse heuristique classique.

Selon les Laboratoires antivirus Bitdefender, des cybercriminels récupèrent les mots de passe d’utilisateurs de comptes Google grâce à une attaque de phishing difficile à détecter par une analyse heuristique, en raison du mode spécifique d’affichage des données utilisé par Google Chrome. En effet, les URI (identifiant uniforme de ressource) rendent les utilisateurs de Chrome plus vulnérables, même si ce phishing cible aussi les utilisateurs de Mozilla Firefox.

En récupérant les mots de passe de comptes Google, les pirates peuvent potentiellement acheter des applications sur le Google Play, pirater le compte Google+ ou encore accéder aux documents personnels stockés sur Google Drive. Cette arnaque commence par un e-mail prétendument envoyé par Google avec pour objet « Mail Notice » ou «  New Lockout Notice ». Ce message dit : « Pour rappel, votre compte e-mail sera bloqué dans 24h en raison de l’impossibilité d’augmenter votre espace de stockage. Cliquez sur « INSTANT INCREASE » pour augmenter automatiquement votre espace de stockage. »

Si l’utilisateur clique sur le lien “INSTANT INCREASE”, il est alors redirigé vers une fausse page de connexion Google, identique à l’originale, afin de renseigner son identifiant et son mot de passe. « La caractéristique de cette attaque de phishing est que la barre d’adresse de navigation n’affiche pas une URL habituelle mais une URI, en l’occurrence ici ‘data :’ » explique Catalin Cosoi, Responsable de la stratégie de sécurité chez Bitdefender.

Ce schéma de données URI permet aux pirates d’intégrer les données correspondantes aux pages Web comme si elles étaient des ressources extérieures. Le modèle utilise le codage Base64 pour représenter les contenus des fichiers. Dans ce cas présent, les pirates fournissent le contenu des fausses pages Web dans une chaîne codée dans les données URI. Et, dans la mesure où Google Chrome n’affiche pas toute cette chaîne, il est difficile pour l’utilisateur, même habitué, de comprendre qu’il est victime d’une attaque par phishing.

Il est habituel pour les cybercriminels de se faire passer pour des prestataires de services envoyant des messages ou notifications prétendument issus d’organismes tels que Google, Facebook, eBay, d’opérateurs téléphoniques ou de banques, qui figurent parmi les « déguisements » favoris des spécialistes du phishing pour envahir les boites mail du monde entier. Une attaque similaire avait récemment ciblé la page d’accueil Google Drive afin de récupérer les identifiants Gmail. Afin de se prémunir contre des arnaques en ligne, Bitdefender préconise également aux internautes de toujours utiliser une solution de sécurité à jour.

 

Cyber-attaque, Entreprise, Espionnae, Fuite de données, Leak, Propriété Industrielle

8 incidents informatiques sur 10 seraient dus au facteur humain

84 % des incidents de sécurité informatique sont liés au facteur humain, alors que seulement la moitié des budgets est consacrée à ce type de menaces.

Voilà les premiers chiffres de l’étude menée lors de la RSA Conference et présentée lors du Gartner Identity & Access Management Summit 2014 par BalaBit. L’étude eCSI de BalaBit souligne le fait qu’il est désormais nécessaire d’ajuster le budget sécurité à hauteur des menaces liées au facteur humain.

BalaBit IT Security, acteur sur le marché des solutions dédiées à la gestion de logs et à la surveillance des comptes à privilèges, a présenté les résultats de son dernier rapport eCSI lors du Gartner Identity & Access Management Summit 2014. L’étude a été menée auprès de 300 participants lors de la récente RSA Conference à San Francisco. Les résultats de cette enquête montrent que 84 % des incidents de sécurité informatique sont liés au facteur humain (erreur humaine, attaques sophistiquées internes ou externes, etc.). En terme de budget, l’étude souligne également que les dépenses sont assez équilibrées entre : les 55 % du budget consacrés à la gestion du risque humain et les 45 % consacrés à l’infrastructure.

Ainsi, les entreprises concentrent toujours leurs ressources dédiées à la sécurité informatique à la sécurité des infrastructures et aux facteurs de risque externe. Les personnes interrogées ont classé les principaux facteurs de risque, en fonction du budget consacré : 30 % privilégient la menace externe, au-dessus de tous les autres risques ; 28 % ont déclaré que les dysfonctionnements du système sont parmi les risques les plus importants ; 17 % ont cité les attaques automatiques (injection SQL, DDoS, …) Alors que la protection dédiée aux erreurs humaines et aux hackers internes est une priorité budgétaire absolue pour seulement une petite minorité des personnes interrogées : respectivement 13 % et 12 %. Pourtant, en terme d’évaluation du coût potentiel de la menace, les résultats sont différents : 51 % des personnes interrogées ont déclaré que les erreurs humaines provoquent la plus grande perte financière ; Seulement 18 % pour la menace externe ; 15 % pour la menace interne et 9 % pour les dysfonctionnements du système et 7 % pour les attaques automatiques.

« La plus grande incohérence que notre étude ai permis de révéler est que les professionnels de l’IT savent clairement que les erreurs humaines causent 51 % de leurs pertes alors qu’en terme de budget, seulement 13 % d’entre eux placent le risque lié au facteur humain en haut de la liste et 40 % des personnes interrogées placent les erreurs humaines comme la menace la moins importante. Si les entreprises souhaitent dépenser leur budget de sécurité informatique de manière logique, il est temps de palier à cette contradiction », commente Zoltán Györko, CEO de BalaBit IT Security. BalaBit a également demandé aux participants de la RSA Conference d’estimer, jusqu’à combien le niveau de la sécurité informatique de leur entreprise pouvait être réduit pour satisfaire les besoins des utilisateurs à privilèges : 83 % des personnes interrogées ont répondu que leur niveau de sécurité était réduit (19 % fortement, notablement à 32 % et modérément à 32 %), pour satisfaire les utilisateurs privilégiés.

« En raison de leur manque de flexibilité, les solutions de contrôle d’accès ne sont souvent pas en mesure de prévenir les incidents mais empêchent les utilisateurs de travailler efficacement. La surveillance peut être un outil efficace contre les risques de sécurité liés au facteur humain, que la source soit interne ou externe. Les risques liés au facteur humain peuvent être considérablement diminués par la détection et le blocage des activités suspicieuses des utilisateurs. Les alertes et la surveillance en temps réel sont inévitables pour les comptes à privilèges, qui disposent de droits d’accès, de modification ou de suppression des informations sensibles de l’entreprise. Il n’est pas étonnant que leurs profils soient la cible principale des hackers. Un taux plus élevé de détection est plus dissuasif que le contrôle passif et plus favorable aux entreprises  », ajoute Zoltán Györko.

Banque, escroquerie, Phishing, Social engineering

Prudence au Phone phishing

Un commentaire

Des pirates informatiques, se faisant passer pour votre banque, n’hésite pas à vous appeler au téléphone pour se faire passer pour votre conseiller financier.

Deux personnes âgées, basées dans le centre-ouest de la France, viennent de faire les frais d’une technique bien rodée, le voice phishing ou phone phishing. Les deux victimes vivent à Thouars et à Nueil-les-Aubiers dans le 79. Étonnamment, les escrocs ont attaqué deux clients de la même agence bancaire. Les pirates, dans ce cas, ne se sont pas fait passer pour la banque mais pour l’opérateur Orange. L’excuse, une mise à jour des informations bancaires des interlocuteurs.

Attention, Data Security Breach des preuves de la même attaque sous forme d’appel de conseillers financiers. La technique est la suivante. Une personne vous contacte en expliquant qu’il vous reste de l’argent sur un compte bancaire. Le pirate indique alors que cet argent peut vous être transféré. Malin, l’escroc connait l’identité et le téléphone de sa victime. Si ce dernier a repéré la banque du « poisson », un jeu d’enfant pour continuer son piège. Il indique, au téléphone, les 4 chiffres qui seraient les premiers nombre de la carte bancaire de la personne contactée par téléphone. Ici, le piège se referme sur la potentielle victime.

Les 4 premiers chiffres, tout le monde peut les connaitre. D’abord, la carte, une Visa ou une MasterCard ? Si le premier chiffre est 5, vous n’avez pas le propriétaire d’une carte Visa (4), mais d’une MasterCard. Les trois chiffres suivants correspondent à la « marque » de l’entreprise bancaire éditrice de la CB : BNPParibas : 974 ; Caisse d’épargne : 978/927 ; La Poste : 970 ; Crédit lyonnais : 972 ; Sofinco : 976 ; La Bred : 975 ; Société Générale 973 ; Auchan/Accord : 032 ; Crédit Mutuel : 132. Si le premier chiffre est 5, vous n’avez pas une carte Visa (4), mais MasterCard.

Bref, vous comprenez ainsi le tour de passe-passe qui pourrait en bluffer plus d’un. Prudence donc et retenez une seule chose : On ne donne aucune information par téléphone.

 

Argent, Arnaque, Chiffrement, Contrefaçon, escroquerie, Logiciels

5 étapes pour sécuriser la confidentialité de votre navigateur

Un commentaire

Peu importe la source, toutes les statistiques que vous trouverez prouvent que les navigateurs les plus utilisés sont Chrome, Firefox et Internet Explorer. De nombreuses études et tests ont été effectués pour découvrir quel était le plus sûr de tous. Cependant, les tests ne font que démontrer la capacité de chaque navigateur à répondre à un ensemble de tests prédéfinis, habituellement appelé « sécurité de base ». Néanmoins, cette base change radicalement tous les mois.

Résultat, aucun navigateur n’est sûr à 100% même si certains navigateurs réparent les failles de sécurité plus rapidement que d’autres. Alors comment est-il possible d’améliorer son expérience de navigation sur Internet ? C’est dans ce but, que Sorin Mustaca, expert en sécurité IT d’Avira, propose 5 étapes pour une navigation plus sûre, plus confidentielle et peut-être même indirectement, plus rapide:

1.     Maintenez votre navigateur à jour
C’est la première étape de renforcement du navigateur car un navigateur vulnérable peut être exploité par une simple visite de sites Internet sans que vous n’en sachiez rien. Nous vous conseillons de toujours autoriser les mises à jour automatiques et de les installer aussitôt qu’elles sont disponibles. En cas de doute, installez un outil gratuit qui contrôle les failles potentielles de votre logiciel.

2.     Augmenter la sécurité intégrée dans votre navigateur
C’est la deuxième étape de renforcement du navigateur, elle peut être gérer de différentes façons :
– Configurez votre navigateur pour qu’il rejette les cookies tiers
– Désactivez les plugins dont vous n’avez pas besoin comme : ActiveX, Java, Flash etc.
– Permettez la protection anti-phishing et anti-malware déjà intégrée
– Configurez le navigateur pour envoyer la requête « ne pas traquer » à votre historique de navigation
– Chaque fois que cela est possible, désactivez le script actif. Soyez conscient que certains sites web ne pourront tout simplement pas fonctionner sans script (JavaScript en particulier).

Dans Internet Explorer, nombre de ces configurations peuvent être mises en place en changeant les paramètres dans « Sécurité » et « Confidentialité ».
– Activez le bloqueur intégré de pop-up
– Désactivez les anciennes barres d’outils qui ne vous sont plus utiles. (Avez-vous vraiment besoin de voir la météo ou avoir un traducteur à portée de main tout le temps?)

3.     Choisissez avec précaution quel plugin vous allez installer
Les plugins et add-ons permettent d’étendre facilement les fonctionnalités du navigateur. Cependant, il existe de nombreux plugins, même disponibles sur les stores officiels, qui sont, soit, malveillants, soit, qui présentent des problèmes importants en matière de sécurité et de confidentialité. Le plus inquiétant est que pour un utilisateur lambda, ces problèmes ne sont pas visibles jusqu’à ce qu’il soit trop tard. Ayez toujours en tête qu’un plugin a accès à tout ce que vous cliquez et voyez sur le navigateur, y compris toutes vos navigations en connexions cryptées. Le plugin réside dans le navigateur et a accès à tout ce que l’utilisateur voit. Le contenu est donc déjà décrypté et il n’y a absolument rien qui puisse empêcher un plugin malveillant d’envoyer toutes vos informations (bancaires, personnelles, etc.) à une quelconque adresse internet. Jetez toujours un coup d’œil sur le classement donné par d’autres utilisateurs avant d’installer un add-on. De plus, gardez un œil sur les autorisations demandées par l’add-on. Par exemple, si un message instantané d’add-on requiert l’accès à toutes vos URL, cela devrait vous mettre la puce à l’oreille.

4.     Installez les plugins de sécurité et de confidentialité
Il existe des extensions qui améliorent votre sécurité en faisant un filtrage sur les URL que vous visitez ou même de manière dynamique en analysant le contenu des pages internet. C’est le cas d’Avira Browser Safety. Si vous préférez choisir vous-mêmes vos extensions, il en existe de nombreuses qui empêchent le « tracking » et la publicité. Vous pouvez également utiliser Web of Trust (WOT), basé sur le crowdsourcing, il donne un point de vue indépendant sur le statut des URL.

5.     Forcez l’utilisation du protocole SSL quand cela est possible
Des extensions telles que HTTPS Anywhere essaient de choisir une connexion HTTPS au lieu de HTTP quand celle-ci est disponible pour sécuriser votre navigation.

Argent, Banque, Piratage

Piratage de CB : La police Française débarque en Bulgarie

2 commentaires

Deux ressortissants bulgares, arrêtés en 2011, viennent d’apprendre que leurs cas n’allaient pas s’arranger de sitôt.

La police Français, qui les avait arrêté en flagrant délit de pose de skimmeur sur un distributeur de billets, vient de débarquer ce 22 mai à leurs domiciles de Varna et Silistra, en Bulgarie. Les deux voleurs avaient caché dans leurs appartements respectifs le parfait petit nécessaire du pirate de distributeur de banque.

Des centaines de cartes bancaires vierges, prêtes à être clonées, et du matériel de skimming ont été saisis. La procédure de mandat d’arrêt européen a été lancée par le parquet de la Juridiction Inter-régionale Spécialisée (JIRS) de Nancy. Les deux hommes font partie d’un réseau international. Ils auraient trafiqué, avant de venir en France, des Guichets Automatiques de Billets allemands. (F3)

Entreprise, Paiement en ligne, Propriété Industrielle, spam

Des ultrasons pour sécuriser vos transactions

Un commentaire

Etonnante invention que celle proposée par la société CopSonic. Derrière cette start-up française basée à Montauban, Emmanuel Ruiz. Son idée, permettre de combattre le phishing et de proposer une nouvelle forme de sécurité informatique en faisant vibrer les sites officiels de manière à contrer les contrefaçons et à proposer une triple authentification.

Comment ? Via une technologie qui remplace l’identification visuelle par un ultra son. La sécurité fonctionne ainsi : une banque, un FAI ou une boutique en ligne installe sur son site l’invention de CopSonic. Le système de protection installé sur le portail à protéger diffuse un son qui fera réagir l’application de contrôle installé sur un téléphone portable ou une tablette. Si un pirate, un escroc, un adepte du phishing tente de reproduire la page protégé, il ne pourra pas reproduire le son de CopSonic « Notre sécurité diffuse un son unique pour chaque vérification, explique à la rédaction de Data Security Breach Emmanuel Ruiz. L’escroc ne pourra pas le reproduire« . Bilan, une sécurité quasi parfaite. Le client, face à son application muette, pourra ainsi s’assurer que le site qui lui est présenté est officiel ou non. L’idée de CopSonic est aussi de proposer une troisième authentification en plus de votre mot de passe, d’une double-authentification comme Google/Facebook peut le proposer [Lire]. En gros, en plus de vos précieux sésames (login et mot de passe) le site diffuse un ultra son qui permettra de valider votre accès après que votre smartphone soit reconnu.

Captcha et paiement en ligne à la vitesse du son
Autre possibilité que propose l’invention de la jeune PME, un système anti-spam, anti-brute force basé sur les ultrasons. A la base, un captcha est soit sous forme de chiffre et de lettres qui s’affichent à l’écran. Une série de lettres/chiffres qu’il faut reproduire pour pouvoir écrire un message dans un forum par exemple. L’opérateur Orange propose quant à lui une version avec des images. Le client doit retrouver des animaux, des moyens de locomotions ou des plantes afin de valider sa demande de son mot de passe. Bref, un captcha permet de contrer les robots spammeurs/pirates. Le but de CaptchaSonic est d’éliminer ou de limiter les actions des spammeurs et des robots dans les pages web.

DataSecurityBreach a pu tester l’outil. Au lieu d’avoir à déchiffrer un captcha graphique sur la page de validation, l’application gratuite propose de se passer de taper la moindre information. L’application sur le smartphone reçoit le son et valide le fait que vous soyez bien un humain. Autre possibilité, Pixeliris, une technologie de paiement mobile sans contact qui utilisent les ultrasons pour échanger des données sécurisées à travers les micros et enceintes des téléphones. Compatible avec 100% des téléphones mobiles… même si Apple freine la mise à disposition des applications de l’entreprise Française. En attendant, les possesseurs de smartphones sous Androïd et Windows phone peuvent déjà profiter de cette protection étonnante.

En attendant que la France s’intéresse un peu plus à ce beau projet, la Mission Economique de l’Ambassade de France-UBIFRANCE au Canada a sélectionné CopSonic, avec 9 autres start-ups Françaises, pour participer à la deuxième édition du French Tech Tour Canada (FTT) qui se déroulera du 2 au 6 Juin 2014 à Toronto (Canada). Plus de 25 entreprises avaient postulé pour prendre part à cette tournée. Les 10 entreprises ont été sélectionnées par les partenaires de l’événement incluant Bell, Telus, BlackBerry, Air Canada, Emerillon Capital, CGI, KPMG, … En novembre 2013, Pixeliris fut la seule entreprise française choisie pour représenter la France au cours d’une session de démonstration en petit comité avec le président français François Hollande, le ministre français des affaires étrangères Laurent Fabius, le président Israélien Shimon Peres et le premier ministre israélien Benyamin Netanyahou.

Logiciels

Navigateur sécurisé pour l’accès intranet depuis iOS

La nouvelle application de Cortado, Secure Net, permet aux entreprises de fournir à leurs collaborateurs un accès sécurisé aux applications et au contenu de leur intranet. Associée à la solution de mobilité d’entreprise de Cortado, Cortado Corporate Server, Secure Net permet de créer un conteneur iOS 7 réservé aux données professionnelles sécurisant l’accès à tous les contenus de l’entreprise. Depuis la sortie d’iOS 7, les entreprises peuvent créer un conteneur sécurisé pour les données professionnelles de leurs collaborateurs. En séparant données personnelles et données professionnelles, cette nouvelle fonctionnalité permet non seulement de renforcer la sécurité de l’entreprise, mais aussi d’intégrer parfaitement le système d’exploitation d’Apple par le biais de la mobilité d’entreprise. Il manque souvent aux entreprises un navigateur sécurisé pour leur accès intranet.

C’est exactement ce que propose aujourd’hui Cortado avec Secure Net. Il est possible d’ouvrir directement le navigateur ou de passer par l’application Cortado. Vos collaborateurs peuvent désormais accéder facilement aux applications Web ou aux sites intranet de votre entreprise, comme par exemple aux outils de gestion du temps et des frais de déplacement. Qui plus est, Secure Net permet aux utilisateurs de convertir les pages intranet, telles que les documents ou les mémos, en fichiers PDF et de les enregistrer dans l’application sécurisée Cortado. Il est alors possible de les consulter à tout moment, même en plein vol.

Entreprise, Fuite de données, Identité numérique, Leak, loi, Vie privée

Besoin urgent d’étendre les lois obligatoires sur les fuites de données

Le distributeur en ligne américain eBay a annoncé avoir été victime d’une cyber-attaque et a recommandé à tous ses utilisateurs de changer leur mot de passe. Dans un bulletin émis le mercredi 21 mai, l’entreprise a indiqué que certains identifiants appartenant à des employés avaient été volés, donnant aux pirates l’accès à son réseau interne. Le piratage s’est concentré sur une base de données contenant des noms de clients d’eBay, des mots de passe encryptés, des adresses e-mails et des dates de naissance, et ne concerne donc – à priori – pas les informations financières. Selon eBay, l’attaque a eu lieu entre fin février et début mars et aucune activité anormale de la part des utilisateurs ne semble avoir été détectée depuis.

Nous faisons face à un déluge de données volées, et avec un nombre si important de victimes touchées, souvent des millions de clients, il est grand temps d’étendre les lois relatives à la déclaration obligatoire de divulgations de données à tous les secteurs d’activité – et pas seulement pour les fournisseurs d’accès internet ou les opérateurs télécoms. En dépit des recommandations qui sont faites, de nombreuses personnes continuent d’utiliser le même mot de passe pour plusieurs comptes et avec le temps qu’il a fallu pour avertir les clients de l’existence de cette faille, ces derniers ont été exposés à d’importants risques durant toute cette période. En outre, les dommages pourraient continuer de s’étendre. Avec plus 128 millions d’utilisateurs actifs sur le site d’eBay dans le monde, s’il existe ne serait-ce qu’un pourcent d’entre eux qui utilisent le même mot de passe pour différents comptes professionnels, cela signifie que plus de 1 280 000 millions de réseaux d’entreprises sont potentiellement menacés. « Les hackers n’auront pas de mal à identifier les organismes dans lesquels travaillent toutes ces personnes via des sites comme LinkedIn et détermineront leurs prochaines cibles en fonction de leur importance. Il devient donc urgent d’accélérer la mise en place de lois pour que les clients puissent être confiants et assurés que si leurs données tombent entre de mauvaises mains, des mesures seront prises très rapidement pour en limiter l’accès. » explique Jean-Pierre Carlin de chez LogRhythm.

Avec un tel volume de données traitées chaque jour par les entreprises, il est évident qu’il ne s’agit pas une tâche facile. Cela nécessite une surveillance permanente de la moindre activité sur le réseau ainsi que la capacité à comprendre et à considérer ce qu’est une activité « normale ». Un tel niveau d’information permet aux organismes de détecter les menaces en temps réel et d’y remédier en conséquence – non seulement en accélérant le temps nécessaire pour détecter une faille mais aussi celui qu’il faut pour avertir les clients. « Toutes les entreprises ont la responsabilité de protéger les données personnelles de leurs clients autant que possible et c’est seulement grâce à cette capacité à alerter rapidement les utilisateurs d’une éventuelle menace qu’ils pourront à nouveau accorder leur confiance. » termine Jean-Pierre Carlin.

Selon deux enquêtes commandées par IBM auprès de l’institut Ponemon, le coût moyen de la violation des données a augmenté de 15%, pour atteindre une moyenne de 3,5 millions de dollars. Les études indiquent également que les attaques ciblées sont considérées comme la plus grande menace par la majorité des entreprises. Leur coût est estimé à 9,4 millions de $ de perte en valeur intrinsèque pour la marque. Pour la France, le coût d’une violation de données est en moyenne de 4,19$ (2.88€). La France est le pays où la proportion des attaques ciblées est la plus forte. Des attaques qui sont les plus graves. Le taux d’érosion de clients suite à un incident de violation de données serait, toujours selon IBM, très fort en France.

Pour finir, DataSecurityBreach.rf rappelle l’article 34 de la loi Informatique et Libertés qui impose au responsable de traitement de prendre les mesures nécessaires pour sécuriser les données à caractère personnel. Le responsable de traitement doit se tenir informé et réagir lorsqu’une faille d’une telle ampleur est découverte. Ne pas corriger une faille de sécurité connue et pour laquelle des correctifs sont proposés est susceptible de constituer un manquement à l’obligation de sécurisation imposée aux responsables de traitement.

Android, ios, Sécurité, Smartphone

Protection contre les applis mobiles qui exploitent nos infos personnelles

2 commentaires

McAfee, la nouvelle filiale d’Intel Security, vient d’annoncer la version 4.1 de McAfee Mobile Security (MMS). L’outil dédié aux smartphones et tablettes  permet d’exécuter instantanément des contrôles de confidentialité.

Grâce à ces analyses, l’utilisateur est en mesure d’identifier les applications partageant ses informations personnelles à outrance. MMS 4.1 détecte et supprime les malwares et recherche également d’autres menaces à la sécurité. Une fois le produit installé, McAfee simplifie la réalisation de ces analyses pour l’utilisateur. Cette nouvelle version de McAfee Mobile Security permet aussi aux utilisateurs de supprimer les applications présentant d’importants risques viraux. A noter que l’ensemble des éditeurs d’antivirus propose ce genre d’outil : Gdata, … Très vite, vous allez vous rendre compte que plus de la moitié de vos applications installées, ou non, collectent des informations.

80 % des applications mobiles sont en mesure de localiser leur utilisateur

D’après le ‘Consumer Mobile Security Report’, 80 % des applications mobiles sont en mesure de localiser leur utilisateur, 82 % connaissent l’ID code de l’appareil et 57 % les traquent lors de l’utilisation de leur téléphone. De plus, les applications qui collectent agressivement et sans nécessité des données démultiplient la dangerosité des banques de données, 35 % d’entre elles contiennent des logiciels malveillants.

« Les données personnelles collectées par les applications peuvent être bénéfiques à l’amélioration de l’expérience du mobile de l’utilisateur. Cependant, nombre d’entre elles collectent davantage d’informations que nécessaire, menaçant ainsi la vie privée et la sécurité des informations relatives à l’utilisateur », précise David Grout, Directeur Europe du Sud chez McAfee. « McAfee Mobile Security responsabilise l’utilisateur en lui précisant les informations auxquelles les applications ont accès et en les aidant à protéger leur identité et leurs informations personnelles. »

Le contrôle de la confidentialité proposé fournit des renseignements à l’utilisateur quant aux applications qu’il a installées sur son smartphone ou sa tablette. L’analyse applicative détermine la quantité d’informations à laquelle chaque application peut accéder et qu’elle peut partager, les répertorie ensuite par niveau de sensibilité et compare également les associations d’URL à risque. Quand une application se comporte sensiblement différemment des applications de même catégorie, le niveau de risque est relevé et pris en compte dans son niveau de dangerosité. Grâce à cette option, l’utilisateur peut en un seul clic désinstaller les applications suspectes.

Les autorisations applicatives les plus inquiétantes sont celles qui identifient les ID des smartphones et des tablettes, qui permettent de localiser précisément l’utilisateur (grâce au réseau Wi-Fi ou aux tours relais) et celles qui lisent ou suivent les SMS pouvant contenir des messages privés ou des informations sensibles de type autorisation de transactions bancaires.

Chiffrement, Cybersécurité

Authentification multi-facteurs

Selon l’étude annuelle réalisée par SafeNet, de plus en plus d’entreprises à travers le monde prévoient d’adopter des solutions d’authentification mobiles ou basées sur le Cloud pour sécuriser des effectifs nomades en constante augmentation.

L’augmentation des risques de sécurité et la volonté d’accéder à des applications et services de manière transparente et sécurisée, à tout moment et à partir de n’importe quel appareil, ont contribué à l’adoption croissante des solutions d’authentification. Telle est la principale conclusion d’une nouvelle étude publiée sous le titre 2014 Global Annual Authentication Survey par SafeNet, Inc., un leader mondial de la protection des données. Cette enquête révèle que plus d’un tiers des entreprises ont à présent recours à la technologie d’authentification multi-facteurs pour assurer à leurs utilisateurs un accès transparent et sécurisé à partir d’un large éventail d’appareils et de lieux, ce qui représente une hausse par rapport à 2013.

Cette étude montre qu’un nombre croissant d’entreprises adoptent l’authentification multi-facteurs au bénéfice d’un nombre également croissant d’utilisateurs. Ses conclusions confirment les résultats d’une enquête récemment publiée par le cabinet 451 Research, selon laquelle le contrôle d’accès et l’authentification représentent actuellement les principaux soucis et priorités des DSI. Alors que 57 % de l’ensemble des vulnérabilités de données enregistrées en 2013 sont le fait d’initiés malveillants, l’authentification multi-facteurs réduit le risque que des utilisateurs non autorisés puissent consulter des informations sensibles, tout en permettant aux employés de l’entreprise d’accéder à leur guise aux ressources de leur société.

Principaux enseignements de l’enquête
·       Augmentation sensible de l’adoption des solutions d’authentification multi-facteurs :
o   37 % des entreprises utilisent à présent l’authentification multi-facteurs pour une majorité de leurs employés, au lieu de 30 % l’année dernière ;
o   56 % des entreprises prévoient que d’ici à 2016, la majorité des utilisateurs utiliseront une solution d’authentification multi-facteurs.

·       L’authentification dans le Cloud commence à s’imposer :
o   33 % des entreprises déclarent préférer l’authentification basée sur le Cloud, contre 21 % l’année dernière – soit une progression de 50 % ;
o   33 % des entreprises sont à présent ouvertes au Cloud pour déployer des solutions d’authentification.

·       Authentification multi-facteurs et appareils mobiles :
o   Plus de 53 % des personnes interrogées ont déclaré que les utilisateurs d’appareils mobiles disposent d’un accès restreint aux ressources de l’entreprise ;
o   Le nombre d’entreprises ayant adopté l’authentification multi-facteurs pour les utilisateurs mobiles devrait atteindre 33 % en 2016 au lieu de 22 % actuellement, soit une augmentation de 30 %.

« Il apparaît clairement que certains services informatiques ont du mal à suivre la rapide évolution qu’induit l’apparition de nouvelles technologies. Le danger est que les entreprises ne puissent permettre à leurs collaborateurs d’accéder entièrement au système dont ils ont besoin pour effectuer leur travail car elles n’ont pas déployé une solution d’authentification sécurisée adaptée. Par ailleurs, il ne s’écoule pas une semaine sans qu’une entreprise soit victime d’un piratage avec vol de données à la clé. Les entreprises doivent par conséquent mener une lutte permanente pour suivre le rythme soutenu de l’évolution technologique, tout en essayant de se protéger et de minimiser les risques de sécurité », a déclaré Jason Hart, vice-président, Cloud Solutions, SafeNet.

Coût et priorités budgétaires
Le rapport publié par le cabinet 451 Research montre que l’authentification et la gestion des accès et des identités pointent en première ligne des projets liés à la sécurité[3]. Pourtant, il convient de signaler que selon l’enquête de SafeNet, près de 40 % des entreprises ne savent pas combien coûte leur solution d’authentification par utilisateur et par an, ce qui montre qu’elles ne se préoccupent guère de ce qui peut être le plus rentable pour leur fonctionnement. L’impression que les entreprises réalisent des économies en n’investissant pas dans des solutions d’authentification multi-facteurs pourrait être trompeuse pour les responsables des budgets informatiques. En fait, l’objectif des solutions d’authentification multi-facteurs est de réduire les coûts d’authentification et d’améliorer la facilité d’utilisation.

Authentification sur site ou dans le Cloud ?
Les entreprises ont répondu aux demandes croissantes des employés qui souhaitent se connecter au réseau avec leur propre appareil en augmentant les capacités d’authentification basée sur le Cloud. Cette année, 33 % des entreprises interrogées ont indiqué qu’elles privilégient l’authentification sur le Cloud, contre 20 % en 2013.

« Au bout du compte, les entreprises doivent accepter le fait que leurs employés trouveront toujours le moyen d’utiliser leurs appareils mobiles pour accéder aux données de l’entreprise – avec ou sans autorisation. Au lieu de leur interdire cet accès, les DSI doivent déployer une solution d’authentification multi-facteurs, ce qui permet de protéger les ressources de l’entreprise, tout en autorisant l’accès du personnel et en maintenant les plus hauts niveaux de productivité et de performances », a ajouté Jason Hart.

Authentification des appareils mobiles
En ce qui concerne l’utilisation de l’authentification forte pour les appareils mobiles avec accès aux ressources de l’entreprise, la majorité des réponses sont regroupées aux deux extrémités de l’échelle, faisant état de pratiques polarisées. Près de 40 % des entreprises ont déclaré que moins de 10 % des employés doivent utiliser l’authentification forte, tandis que plus de 20 % indiquent que 90 à 100 % des utilisateurs en ont actuellement besoin. Il est intéressant de souligner que ces chiffres devraient évoluer de façon sensible : 33 % des personnes interrogées prévoient en effet que 90 à 100 % des utilisateurs nécessiteront une authentification forte au cours des deux prochaines années, tandis que seulement 15 % suggèrent que cette proportion sera inférieure à 10 %, ce qui souligne l’importance croissante de l’authentification mobile.

L’évolution vers l’authentification mobile nourrit également la « dématérialisation » des tokens d’authentification. L’étude révèle en effet que l’utilisation de solutions d’authentification logicielles est passée de 27 % en 2013 à 40 % en 2014, un pourcentage qui devrait atteindre 50 % en 2016. A contrario, l’utilisation de solutions d’authentification matérielles a chuté de 60 % en 2013 à 41 % en 2014.

« Les entreprises du secteur informatique réagissent indubitablement à l’essor de la mobilité en jouant la carte de l’authentification à base logicielle. Il semble toutefois qu’il existe un écart entre la volonté de favoriser la mobilité et la difficulté à suivre son évolution tout en protégeant les ressources et les données contre les menaces extérieures. En outre, alors que l’adoption du Cloud computing se poursuit, une sécurité accrue devient indispensable. En effet, les environnements de Cloud présentent de nombreux avantages pour l’authentification et les applications, mais sans le niveau de sécurité requis, ils représentent une menace accrue », a conclu Jason Hart.

Cette étude a été réalisée par SafeNet auprès de plus de 350 décideurs informatiques du monde entier à savoir environ 29 % de la région Asie-Pacifique, 42 % de la région EMEA (Europe, Moyen-Orient et Afrique) et 29 % d’Amérique du Nord. Les informations qu’elle contient ont été comparées aux données figurant dans l’étude publiée en 2013.

Petites entreprises, grandes menaces : restez informés, restez protégés

Quitter la version mobile