Cybersécurité, Mise à jour, Patch

Zimbra demande de corriger manuellement une vulnérabilité

Les développeurs de Zimbra demandent aux administrateurs de corriger manuellement une vulnérabilité zero-day qui est déjà activement exploitée par des pirates pour compromettre les serveurs de messagerie Zimbra Collaboration Suite (ZCS).

Comme il n’y a pas encore de correctif, les administrateurs sont priés de se protéger temporairement manuellement. Actuellement, la vulnérabilité n’a pas encore reçu d’identifiant CVE, mais on sait qu’il s’agit d’un bogue XSS découvert par des spécialistes du Google Threat Analysis Group. Bien que Zimbra ne signale pas que le problème est déjà utilisé dans des attaques, Maddie Stone de Google TAG met en garde à ce sujet. Selon elle, la vulnérabilité XSS a été découverte par des spécialistes lors de l’étude d’une cyberattaque ciblée.

Cybersécurité, Microsoft, Mise à jour

Windows Update Restored : mettre à jour votre Windows 95

Un projet indépendant, Windows Update Restored vise à faciliter la mise à jour des anciennes versions de Windows, notamment Win95, 98 et NT 4.0. Attention, danger en cas de connexion web d’OS obsolètes !

Voilà qui est original. Le site Windows Update Restored, mis en place par des amateurs d’ordinateurs rétro, donne accès aux pages Windows Update perdues. Mission, permettre la mise à jour de vieux, trés vieux Windows. L’équipe du projet espère aider ceux qui installent et mettent à niveau les systèmes Windows 95, NT 4.0, 98, Me, 2000 et XP. Le fait est que les anciennes versions de Windows reposaient principalement sur le travail de l’application Web Windows Update, et non sur les outils de mise à jour intégrés, comme c’est le cas actuellement. Et vers la mi-2011, Microsoft a fermé la version du site qui pouvait analyser et mettre à jour Windows 95 et 98.

Le site Windows Update Restored est une version légèrement modifiée du site de Microsoft, un clone du site Windows Update v3.1 (datant de 1997) qui couvre Windows 95, NT 4.0 et Windows 98 (et SE). Le site n’utilise pas SSL ou TLS, donc les anciennes versions d’Internet Explorer peuvent toujours y accéder. Pour accéder aux mises à jour, vous aurez besoin d’au moins Internet Explorer 5.

Étant donné que ce navigateur ne peut plus être téléchargé directement depuis Microsoft, le site Windows Update Restored propose des liens de téléchargement pour IE5 et IE5.5 dans toutes les langues prises en charge.

Pour rappel, à utiliser à vos risques et périls. Les mises à jour pour Windows 95 ont été stoppées il y a 22 ans, et que Windows 98 et ME ont cessé de recevoir des mises à jour en 2006.

Cybersécurité, Mise à jour, Patch

Les vulnérabilités critiques de ColdFusion sont déjà exploitées par des pirates

Adobe vient de corriger des failles visant son outil ColdFusion. Des hackers malveillants exploitent déjà les vulnérabilités.

Adobe a corrigé des vulnérabilités critiques d’exécution de code dans ColdFusion. La semaine dernière, Adobe a signalé un problème de contournement d’authentification ColdFusion (CVE-2023-29298). Une faille découverte par la société Rapid7. Une seconde vulnérabilité d’exécution de code à distance de pré-authentification (CVE-2023-29300) avait été mise à jour par CrowdStrike.

La vulnérabilité critique CVE-2023-29300 est associée à la désérialisation (9,8 points sur l’échelle CVSS) et peut être utilisée par des visiteurs non autorisés pour exécuter à distance des commandes sur des serveurs vulnérables Coldfusion 2018, 2021 et 2023.

Le 14 juillet, Adobe a publié un correctif « urgent » pour une autre vulnérabilité, CVE-2023-38203, également découverte dans Project Discovery. Selon les chercheurs, cette vulnérabilité permet d’exploiter CVE-2023-29300 et d’exécuter du code à distance.

Selon Rapid7, des pirates utilisent déjà des chaînes d’exploit, combinant l’utilisation de CVE-2023-29298 avec un exploit du rapport Project Discovery. Les pirates utilisent ces exploits pour contourner la sécurité, installer des shells [portes dérobées] sur des serveurs ColdFusion vulnérables et obtenir un accès à distance aux appareils. Les shells se trouvent généralement dans le dossier : .\ColdFusion11\cfusion\wwwroot\CFIDE\ckeditr.cfm.

Pendant ce temps, les mises à jour de juillet de Microsoft corrigent 132 vulnérabilités dans les produits de la société, dont six 0day activement exploités, ainsi que 37 bogues qui permettent l’exécution de code arbitraire à distance. Alors qu’un total de 37 bogues RCE ont été corrigés ce mois-ci, Microsoft affirme que seuls neuf d’entre eux sont jugés critiques. Dans le même temps, l’un des problèmes RCE reste non corrigé et est activement utilisé dans des attaques déjà découvertes par de nombreux spécialistes de la sécurité de l’information.

article partenaire, Cybersécurité

Cybersécurité : comment la renforcer en entreprise ?

De plus en plus d’entreprises étendent leurs activités en ligne depuis quelques années. Il s’agit d’une avancée notable, mais cela n’est pas sans inconvénient. En effet, le numérique présente de nombreux risques pour ces compagnies. Ces dernières sont la cible de cyberattaques qui se multiplient de plus en plus. Une importance doit donc être accordée à la cybersécurité pour une digitalisation réussie des services. Quelles sont les mesures à prendre pour son renforcement ?

Miser sur la protection des données

Comme vous le savez certainement, les données de votre entreprise sont de la plus grande importance. Elles concernent notamment :

  • Vos collaborateurs ;
  • Vos documents partagés en interne ;
  • Vos différentes archives ;
  • Vos bases de données ;
  • Etc.

Leur protection doit être votre priorité contre les diverses cyberattaques dont elles pourraient faire l’objet. Cependant, il faudra en plus veiller à l’accessibilité de ces données en temps réel. Elles ne sont pas seulement des cibles favorites des cybercriminels. Des pertes de données peuvent aussi être causées par de mauvaises manipulations, ou une destruction accidentelle du matériel. En plus de l’acquisition d’un logiciel de cybersécurité, vous devriez aussi miser sur la sauvegarde de vos données.

Vérifier la sécurité de vos outils

Dans la majeure partie des cas, les outils dont vous vous servez sont conçus pour résister aux cyberattaques. Il est toutefois possible de leur donner les meilleures chances de remplir cette mission. Comment procéder ? Assurez-vous de lancer la mise à jour automatique des différents correctifs. Évidemment, de nombreux éditeurs se chargent d’effectuer cette actualisation lorsque de nouvelles cybermenaces sont identifiées. Vous aurez ainsi la garantie d’avoir un système parfaitement protégé.

Ne négligez donc pas l’achat de logiciels dont la fiabilité en matière de sécurité est prouvée. Procédez en plus à l’activation de vos différents pare-feux, et installez les antivirus nécessaires. En suivant ces différentes règles, vous serez parfaitement à l’abri des différentes menaces informatiques.

Sécuriser les différents dispositifs et plateformes

En général, les cibles des attaques informatiques constituent généralement :

  • Vos différents réseaux ;
  • Les plateformes que vous possédez sur internet.

Ces dernières sont pour la plupart utilisées pour gérer en interne votre activité en ligne. L’idéal serait donc de procéder à leur sécurisation, surtout si elles comportent des informations sensibles. Vous devriez surtout choisir des mots de passe hautement sécurisés pour bénéficier de la meilleure protection possible. Très peu de collaborateurs devront avoir accès à ces systèmes, afin de limiter les risques de cyberattaques. Les données protégées auront ainsi moins de chances de se retrouver en possession de tierces personnes.

Voici quelques mesures supplémentaires que vous pourriez prendre :

  • Renforcer la sécurité des différents appareils dont vous vous servez ;
  • Opter pour des sauvegardes dans le cloud ;
  • Sécuriser les différents supports informatiques utilisés au quotidien ;
  • Avoir une liste du matériel et des personnes qui y ont accès.

Réduire les risques liés à l’intervention humaine    

L’humain peut être le point de vulnérabilité majeur de votre système informatique. En effet, les collaborateurs sont dans presque 100% des cas responsables des risques de sécurité informatique. Cette faille est donc exploitée de la meilleure façon par les cybercriminels pour voler des données. Optez alors pour une authentification de connexion aux différents dispositifs informatiques de l’entreprise. C’est une excellente façon de réduire les risques qui planent sur la cybersécurité. Misez aussi sur une double authentification, et divers autres moyens pour réduire l’impact humain dans les vulnérabilités.

Chiffrement, Cybersécurité

Scanner les internautes pour lutter contre la pédopornographie

Plus de 150 scientifiques ont signé une lettre ouverte exprimant leurs inquiétudes concernant une proposition de la Commission européenne. Cette proposition demanderait aux plates-formes technologiques de scanner automatiquement les appareils des utilisateurs à la recherche de contenu pédopornographique. Les scientifiques soulignent les problèmes potentiels liés à la cybersécurité et à la confidentialité, ainsi que les limites techniques de cette approche.

Inquiétudes concernant la proposition de scannage des appareils : La proposition de la Commission européenne vise à lutter contre la pédopornographie en exigeant que les services de messagerie, tels que WhatsApp, scannent les messages à la recherche de contenu interdit. Les scientifiques mettent en évidence le fait que la principale méthode actuelle de détection de la pédopornographie consiste à comparer les images existantes avec une base de données d’images hashées. Cependant, cette approche peut être contournée en apportant de légères modifications aux images. De plus, la proposition exige que les nouvelles images soient scannées à la recherche de comportements de grooming grâce à l’utilisation de l’apprentissage machine. Bien que cette méthode puisse être précise, elle entraîne également des erreurs et des faux positifs, ce qui peut avoir un impact considérable sur la confidentialité des utilisateurs.

Conséquences pour la vie privée et la cybersécurité : Les auteurs de la lettre ouverte expriment leurs préoccupations quant à l’impact de la proposition sur le cryptage bout-à-bout, une mesure de protection de la confidentialité de plus en plus utilisée dans les services de messagerie. La proposition suggère l’utilisation du « client-side scanning » (CSS), qui impliquerait le suivi des activités de l’utilisateur sur son appareil. Les scientifiques craignent que cela puisse être utilisé à des fins abusives et entraîner une surveillance généralisée. De plus, ils soulignent le risque de mission creep, où le CSS pourrait être utilisé non seulement pour détecter des contenus pédopornographiques, mais également pour d’autres formes de criminalité ou pour restreindre la liberté d’expression.

Réflexions !

Les scientifiques cosignataires de la lettre mettent en garde contre les conséquences potentiellement négatives de la proposition de la Commission européenne sur la vie privée et la cybersécurité des citoyens de l’UE. Ils soulignent que cette approche ne garantit pas une réelle efficacité dans la lutte contre la pédopornographie, car les auteurs de tels contenus pourraient simplement chercher refuge ailleurs. La réglementation proposée suscite donc des préoccupations quant à son respect de la vie privée et à sa faisabilité technique. Il est essentiel de trouver un équilibre entre la protection des victimes de la pédopornographie et le respect des droits fondamentaux des utilisateurs.

Les critiques de la proposition soulignent également que des approches alternatives pour lutter contre la pédopornographie sont disponibles. Par exemple, la collaboration étroite entre les autorités compétentes et les plateformes technologiques pourrait permettre de signaler rapidement et efficacement tout contenu illicite. De plus, des mesures préventives telles que l’éducation et la sensibilisation du public pourraient contribuer à réduire la diffusion de ce type de contenu.

Cybersécurité, Mise à jour, Wordpress

0Day Ultimate Member WordPress Plugin : 200 000 sites impactés

La vulnérabilité critique CVE-2023-3460 dans le plugin Ultimate Member pour WordPress vous permet d’ajouter un compte avec des privilèges d’administrateur sur le site, en contournant les mesures de sécurité. Des hackers malveillants l’ont adoptée.

Le plugin Ultimate Member est conçu pour faciliter l’enregistrement et la gestion des comptes sur le site ; il vous permet d’ajouter des profils d’utilisateurs, de leur attribuer des rôles, de créer des champs personnalisés dans des formulaires Web, des listes de membres de la communauté, etc.

Actuellement, cette extension WordPress compte plus de 200 000 installations actives. La vulnérabilité CVE-2023-3460 (9,8 points sur l’échelle CVSS) appartient à la classe d’élévation de privilèges et est causée par une protection imparfaite des clés de métadonnées contre la manipulation.

Le fait est qu’à cette fin, le membre ultime utilise des listes de blocage et les vérifie chaque fois qu’un utilisateur tente d’enregistrer une clé lors de la création d’un compte.

Il s’est avéré que ce mécanisme peut être contourné en forçant le plugin à modifier la valeur de wp_capabilities pour le nouvel utilisateur.

Au cours d’attaques actuelles, les pirates informatiques en possession de l’exploit créent des comptes et utilisent la faille pour modifier les métadonnées afin de s’inscrire dans le groupe d’administrateurs, d’obtenir un accès complet au site WordPress et d’installer une extension CMS malveillante via le panneau d’administration.

Il est fortement conseillé aux utilisateurs de toutes les versions du plugin, y compris la 2.6.6, qui a été publiée le 29 juin 2023, d’installer la version 2.6.7, de réinitialiser tous les mots de passe sur le site et de rechercher les comptes inconnus avec le rôle d’administrateur.

Cybersécurité, Mise à jour, Patch

Les 25 vulnérabilités à la mode chez les pirates !

L’organisation MITRE a récemment publié une liste des 25 vulnérabilités et bogues logiciels les plus dangereux qui ont suscité des préoccupations chez les utilisateurs et les entreprises du monde entier au cours des deux dernières années.

Cette initiative vise à attirer l’attention de la communauté de la sécurité de l’information sur ces failles critiques. En plus des vulnérabilités classiques, MITRE a également inclus des erreurs de configuration, des bogues et des implémentations incorrectes dans cette liste exhaustive.

La gravité de ces vulnérabilités peut entraîner des problèmes sérieux, allant de la prise de contrôle de systèmes cibles par des attaquants à la possibilité de voler des données et de provoquer des pannes d’applications. Dans le cadre de l’élaboration de cette liste, MITRE a étudié 43 996 vulnérabilités répertoriées par le National Institute of Standards and Technology (NIST) des États-Unis, en se basant sur leur niveau de gravité. Le catalogue CISA Known Exploited Vulnerabilities (KEV) a également été pris en compte. L’objectif de MITRE est de fournir à la communauté une compréhension claire de certains problèmes logiciels majeurs.

MITRE, l’organisation bien connue pour ses contributions à la sécurité informatique, vient de rendre publique une liste inquiétante des 25 vulnérabilités logicielles les plus dangereuses. Cette compilation, qui a suscité l’attention de la communauté mondiale de la sécurité de l’information, met en évidence les failles qui ont tourmenté les utilisateurs et les entreprises au cours des deux dernières années.

Top 5
– Out-of-bounds Write
– Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’)
– Improper Neutralization of Special Elements used in an SQL Command (‘SQL Injection’)
– Use After Free
– Improper Neutralization of Special Elements used in an OS Command (‘OS Command Injection’)

La liste de MITRE ne se limite pas aux vulnérabilités classiques telles que les erreurs de programmation ou les faiblesses connues. Elle inclut également des erreurs de configuration, des bogues et des implémentations incorrectes. La diversité des failles répertoriées témoigne de l’ampleur des défis auxquels sont confrontés les développeurs et les utilisateurs de logiciels.

L’impact de ces vulnérabilités est considérable

Les attaquants peuvent exploiter ces failles pour prendre le contrôle de systèmes cibles, voler des données sensibles et causer des pannes d’applications. Face à ces risques, MITRE estime qu’il est essentiel de sensibiliser la communauté de la sécurité de l’information à ces problèmes majeurs.

La méthodologie utilisée par MITRE pour établir cette liste est rigoureuse. L’organisation a analysé pas moins de 43 996 vulnérabilités répertoriées par le National Institute of Standards and Technology (NIST) des États-Unis, en se concentrant sur leur niveau de gravité. En outre, elle a pris en compte le catalogue CISA Known Exploited Vulnerabilities (KEV), qui recense les vulnérabilités exploitées.

Calculer la gravité des vulnérabilités

Selon MITRE, la création de cette liste s’est appuyée sur une formule qui permet de calculer la gravité des vulnérabilités. Les scores CVSS (Common Vulnerability Scoring System) ont également été pris en compte pour évaluer la gravité de chaque vulnérabilité. Ainsi, la liste résultante met en évidence les problèmes logiciels les plus critiques, touchant une large gamme de logiciels qui ont été publiés ces deux dernières années.

L’objectif de MITRE est de fournir à la communauté une compréhension claire et approfondie de ces problèmes logiciels majeurs. En rendant cette liste publique, l’organisation cherche à sensibiliser les développeurs, les entreprises et les utilisateurs aux risques auxquels ils sont confrontés.

La publication de cette liste ne vise pas seulement à attirer l’attention sur les vulnérabilités, mais aussi à encourager les acteurs de l’industrie à prendre des mesures proactives pour remédier à ces failles. En identifiant et en comprenant ces vulnérabilités, la communauté de la sécurité de l’information peut développer des stratégies pour renforcer la sécurité des systèmes, améliorer les pratiques de développement et mettre en place des mesures de protection efficaces.

Il est essentiel de noter que la liste de MITRE ne représente pas un classement statique et immuable. Les vulnérabilités évoluent avec le temps et de nouvelles failles peuvent être découvertes. Néanmoins, cette liste offre un point de départ précieux pour identifier les problèmes les plus urgents et les plus préoccupants.

Chiffrement, Cybersécurité, Securite informatique

Proxy jacking : détournement SSH

Proxy jacking : Des hackers malveillants détournent les serveurs SSH en les attachant à un réseau proxy.

Les attaques en ligne sont devenues une préoccupation majeure pour les entreprises et les utilisateurs individuels. Une nouvelle menace a été identifiée par les experts d’Akamai Technologies, mettant en évidence une campagne de proxy jacking qui cible les serveurs SSH vulnérables. Les attaquants exploitent les serveurs pour lancer un service Docker qui utilise la bande passante de la victime pour alimenter un réseau proxy commercial.

Cette technique, moins visible que le cryptojacking, offre aux attaquants un moyen discret de générer des avantages financiers en utilisant la bande passante des victimes. Dans cet article, nous allons examiner de plus près cette menace croissante et discuter des mesures que vous pouvez prendre pour protéger vos serveurs SSH contre les attaques de proxy jacking.

Les attaques de proxy jacking

Les attaques de proxy jacking sont une méthode sophistiquée utilisée par les attaquants pour détourner les serveurs SSH vulnérables. Une fois qu’ils ont obtenu un accès à distance au système, les attaquants déploient un service Docker qui partage le canal Internet de la victime avec un réseau proxy commercial. Contrairement au cryptojacking, cette attaque est beaucoup moins visible, ce qui réduit considérablement le risque de détection précoce. Les attaquants utilisent cette méthode pour obtenir des avantages financiers en exploitant la bande passante supplémentaire de la victime, pour laquelle ils reçoivent une récompense du propriétaire du service proxy.

Les chercheurs notent que, contrairement au cryptojacking, de telles attaques sont beaucoup plus discretes : elles chargent beaucoup moins de ressources, ce qui réduit le risque de détection. L’objectif : obtenir des avantages financiers, seuls les proxyjackers n’utilisent pas la puissance de l’ordinateur, mais la bande passante supplémentaire de la victime, pour laquelle ils reçoivent une récompense du propriétaire du service proxy – comme Peer2Profit ou Honeygain.

Le rôle des services proxy

Les services de proxy de trafic sont des outils légaux couramment utilisés par les annonceurs et d’autres utilisateurs. Les participants à ces réseaux proxy installent volontairement un logiciel spécialisé sur leurs machines, permettant ainsi le partage de leur bande passante inutilisée avec d’autres appareils. Malheureusement, ces outils et services ne sont pas à l’abri des abus. Les attaquants exploitent depuis longtemps les proxys pour masquer la source du trafic malveillant et recherchent activement des services qui offrent un anonymat similaire.

Détection d’une campagne de proxy jacking

Dans cette campagne de proxy jacking, les pirates informatiques ont réussi à installer un script Bash obscurci après avoir détourné un serveur vulnérable. Ce script recherche et met fin à tous les processus concurrents, puis lance un service Docker pour partager la bande passante de la victime. Une analyse plus approfondie a révélé que le logiciel malveillant obtenait toutes les dépendances nécessaires du serveur Web compromis, y compris un outil de ligne de commande Curl déguisé en fichier CSS (csdark.css). (Akamai)

Cybersécurité, Securite informatique

Une nouvelle méthode de piratage révèle les clés secrètes des appareils via la LED d’alimentation

Une équipe de chercheurs de l’Université Ben Gourion et de l’Université Cornell ont trouvé un moyen de récupérer les clés secrètes des appareils cibles en analysant la LED d’alimentation.

Une équipe de chercheurs de l’Université Ben Gourion et de l’Université Cornell a récemment fait une découverte inquiétante en matière de sécurité informatique. Ils ont trouvé un moyen de récupérer les clés secrètes des appareils cibles en analysant la LED d’alimentation. Cette méthode, basée sur l’analyse des variations de luminosité, permet à un attaquant potentiel de dérober des clés cryptographiques en utilisant une caméra de smartphone ou une caméra de surveillance. Dans cet article, nous explorerons les détails de cette découverte et ses implications pour la sécurité des données.

Le lien entre la consommation électrique et la luminosité de la LED

Les chercheurs expliquent dans leur rapport que les calculs effectués par le processeur d’un appareil ont un impact direct sur sa consommation électrique, ce qui se reflète dans la luminosité de la LED d’alimentation. Ils ont découvert que ces changements de luminosité peuvent être exploités pour extraire les clés cryptographiques d’un appareil. En analysant les variations rapides de luminosité de la LED, un attaquant peut utiliser l’effet de « parallaxe temporelle » de la caméra pour capturer les émissions physiques.

Les résultats des tests

Les chercheurs ont réalisé plusieurs tests pour valider leur méthode de piratage via la LED d’alimentation. Ils ont réussi à récupérer avec succès une clé ECDSA de 256 bits à partir d’une carte à puce en analysant l’enregistrement vidéo du scintillement de la LED. Dans un autre test, ils ont extrait une clé SIKE de 378 bits à partir d’un téléphone Samsung Galaxy S8. Dans ce cas, ils ont pointé la caméra d’un iPhone 13 vers la LED d’alimentation des haut-parleurs Logitech Z120 connectés au hub USB. Ces tests démontrent l’efficacité de la méthode et la vulnérabilité des appareils face à cette nouvelle forme de piratage.

Les conditions nécessaires pour une attaque réussie

Pour qu’une attaque réussisse, plusieurs conditions doivent être remplies. Tout d’abord, la caméra utilisée par l’attaquant doit être capable de capturer les variations de luminosité de la LED à une distance de 16 mètres du dispositif cible. De plus, la LED d’alimentation doit être en ligne de mire directe de la caméra. Ces exigences peuvent sembler restrictives, mais avec l’avancée des technologies de caméra, il est probable que les attaquants puissent contourner ces limitations à l’avenir.

Cybersécurité, Smartphone, Téléphonie

Une entreprise accusée d’utiliser des données cellulaires pour évaluer la fiabilité de milliards d’utilisateurs

Une entreprise américaine, en collaboration avec une société de détection de fraude, est actuellement confrontée à des accusations portées par une organisation européenne de défense des droits numériques. Ils se serviraient de milliards de données de téléphones portables sans autorisation.

Ces allégations soutiennent que les lois sur la confidentialité ont été violées par la collecte et le transfert de données cellulaires de la moitié de la population mondiale, utilisées ensuite pour établir des scores personnalisés de fiabilité pour chaque individu. Cette affaire, déposée auprès de l’Autorité belge de protection des données par le Centre européen pour les droits numériques (noyb), met en cause BISC, une société de télécommunications opérant avec plus de 500 opérateurs mobiles dans plus de 200 pays, TeleSign, une entreprise spécialisée dans l’intelligence artificielle et la prévention de la fraude, ainsi que leur société mère, Proximus.

Les accusations portées contre BISC et TeleSign font suite à un article paru en mars 2022 dans le journal Le Soir, qui révélait que le fournisseur de télécoms collectait des données sur l’activité téléphonique des clients et les partageait secrètement avec TeleSign. Ces données incluaient des informations telles que le type de technologie utilisée pour passer des appels ou des SMS, la fréquence et la durée des appels.

Grâce à l’utilisation d’un algorithme sophistiqué, TeleSign attribue ensuite à chaque utilisateur des « scores de confiance » qui sont prétendument utilisés par des géants de l’industrie tels que Microsoft, Salesforce et TikTok pour décider si les utilisateurs doivent être autorisés à créer des comptes.

Classement par activité téléphonique !

Cependant, lorsque certains plaignants ont demandé l’accès à leurs propres données conformément au Règlement général sur la protection des données (RGPD) de l’Union européenne, ils ont découvert qu’ils avaient effectivement été classés par TeleSign en fonction de leur activité téléphonique. Dans un exemple cité dans la plainte, l’un des plaignants s’est vu attribuer un niveau de risque qualifié de « moyen-faible« .

Bien que le RGPD autorise certaines concessions en matière de protection de la vie privée, notamment dans le cadre de la détection des fraudes et des utilisations malveillantes des réseaux et services, la plainte soutient que l’étendue de l’activité de TeleSign et de BISC est injustifiée. Selon les plaignants, « le transfert systématique et massif de tous les numéros de téléphone à TeleSign pour qu’il puisse attribuer une note à chaque numéro n’est pas proportionné ». Ils estiment que cela revient à surveiller tous les utilisateurs dont les communications passent par BISC, alors que la conservation systématique de telles données à des fins policières et judiciaires n’est autorisée que dans des cas très précis.

Violation du RGPD ?

De plus, les plaignants allèguent que ce système de classement viole l’interdiction du RGPD de profiler les individus à l’aide d’algorithmes prédictifs. En effet, la loi interdit « le traitement automatisé de données à caractère personnel… pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des facteurs concernant les performances au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les mouvements de cette personne physique« .

En outre, la plainte souligne que les transferts de données de BISC à une société basée en Californie exposent potentiellement les informations des citoyens européens aux forces de l’ordre américaines, ce qui soulève des préoccupations supplémentaires quant à la protection de la vie privée des utilisateurs.

Un porte-parole de TeleSign a répondu à la plainte en affirmant que l’entreprise avait mis en place un programme de confidentialité des données, conformément aux réglementations mondiales telles que le RGPD et la loi californienne sur la protection des consommateurs. L’entreprise affirme également revoir en permanence ses politiques et pratiques internes pour se conformer à l’évolution du paysage réglementaire.

Le Centre européen pour les droits numériques demande à l’autorité belge des données d’agir en faveur des plaignants. Ils réclament l’arrêt des transferts de données de BISC et le traitement des données par TeleSign. De plus, ils demandent une amende pouvant atteindre 236 millions d’euros (257,4 millions de dollars), correspondant à 4 % du chiffre d’affaires annuel de Proximus, conformément au RGPD et la législation européenne.

Petites entreprises, grandes menaces : restez informés, restez protégés

Quitter la version mobile