Depuis quelques jours, un pirate informatique diffuse un courriel aux couleurs du Paris Saint-Germain, et plus précisément de la boutique du club de football parisien. Le phishing est bien réalisé. L’escroc indique un achat dans la boutique du PSG. « Vous pouvez consulter votre facture FR9077796 via le lien suivant en cliquant dessus ou en le recopiant« . Dans la missive usurpatrice, un extrait d’une carte bancaire. Bref, de quoi inquiéter l’internaute qui n’a jamais rien acheté chez les footeux.
L’objet du courrier pirate « Confirmation de votre commande effectuée sur La Boutique officielle. » En cliquant sur le lien, direction non pas le club Qatari, mais un site piraté, utilisé pour cacher le logiciel espion. Un blog basé en Suisse. En lieu et place d’une facture, un logiciel pirate, chargé de téléchargé un outil d’espionnage dans l’ordinateur du surfeur ainsi piégé. Même si l’icône à l’écran affiche un « PDF », il s’agit d’un exécutable qu’aucun antivirus, au moment de l’écriture de notre article, n’a détecté comme dangereux. Prudence, donc !
Un pirate informatique réussi à infiltrer une agence américaine sensible en se faisant passer pour une blonde torride. Emily Williams, gentille, sexy, pas avare de cartes numériques envoyées de ses vacances. Une amie ? Pas vraiment. Des chercheurs en sécurité informatique Aamir Lakhani et Joseph Muniz ont expliqué lors de la conférence RSA Europe 2013 comment une agence américaine sensible, en charge de question de sécurité avait été infiltrée par un pirate, amateur de phishing particulièrement bien ciblé. De fausses cartes numériques de vacances piégées qui auraient permis de mettre la main sur les accès Facebook, LinkedIn ou encore SalesForce de fonctionnaires. Les deux chercheurs ont expliqué que leur attaque, pour du faux, avait permis de duper un employeur du gouvernement en lui faisant croire qu’elle était une employée gouvernementale. Le clic sur le javascript piégé aura fait le reste ! L’attaque « scientifique » aura durée 90 jours. Lakhani a refusé de préciser quelle agence du gouvernement avait été infiltrée et compromise par Mlle Williams.
Selon le « RSA Fraud Report », la France n’est plus dans le trio de tête des pays les plus attaqués par les campagnes de phishing. Dans l’édition de septembre de son Fraud Report, RSA, la division sécurité d’EMC, constate que les attaques utilisant des techniques de phishing ont diminué de 25% au mois d’août 2013 comparé au mois de juillet, passant de 45232 à 33861. De plus, la France – présente en quatrième position du classement des pays les plus attaqués en juillet – n’est plus dans la compétition au mois d’août, cédant sa place à l’Inde qui a enregistré une augmentation des attaques de 2 points. Le phishing ou hameçonnage est l’une des techniques les plus utilisées par les fraudeurs afin d’obtenir des renseignements personnels et usurper ainsi l’identité de l’internaute. Particulièrement adaptés pour obtenir des renseignements bancaires, ces trojans sont déployés pour présenter aux utilisateurs un site web généré par un programme malveillant qui les incite à rentrer leurs informations personnelles.
Datasecuritybreach.fr vient d’apprendre qu’avec une augmentation des attaques de 11% entre Février et Mars 2013, et de 27% d’une année sur l’autre, les pirates informatiques semblent attendre les beaux jours pour reprendre leur activité.
En Avril, ne dévoile pas tes impôts d’un fil ! Et en mai, fais ce qu’il te plait ? Rien n’est moins sûr. En effet, les « phishers » semblent reprendre du service une fois le premier trimestre de l’année écoulé. Les mails malveillants se multiplient et les pièces jointes vérolées bourgeonnent !
La cause : l’arrivée des déclarations fiscales en ligne. Les fraudeurs envoient ainsi des mails en provenance des autorités et demandent aux particuliers de fournir certaines informations. Ici, la ruse est de jouer sur la crédibilité et la peur de la majoration. Les impôts en ligne sont également une technique employée pour récolter vos informations personnelles et bancaires.
D’après le dernier rapport Anti-Fraude de RSA, plus de 24000 attaques de phishing ont été lancées en Mars, soit une augmentation de 27% par rapport à l’année dernière à la même période.
Pour se protéger :
o Attention aux fautes d’orthographe ! Une simple erreur peut être le signe de la fausseté d’un site
o Un lien peut en cacher un autre ! Ne cliquez pas sur les liens URL sensés vous permettre de modifier vos informations bancaires, surtout quand ils ne sont pas visibles et cachez derrière une image
o Cadenassez vos informations ! Tout site officiel se doit de proposer à ses utilisateurs une interface sécurisée sur laquelle ils pourront fournir leurs informations sans risques qu’elles soient utilisées à mauvais escient. La présence d’un cadenas dans la barre des tâches est un signe de cette sécurité. Prudence, le HTTPS n’est pas obligatoirement signe de sécurité totale. Un pirate peut glisser une fausse page via une faille de type XSS, par exemple.
Les arnaqueurs ont récemment montré un fort intérêt pour le football. En effet, une grande variété d’attaques de phishing (faux sites web) se basant sur le football a été observée en 2012. Les arnaqueurs se sont déjà intéressés à la Coupe du Monde de la FIFA 2014, mais aussi aux stars et aux clubs phares du ballon rond.
Datasecuritybreach.fr vous a d’ailleurs présenté, l’arnaque ciblant les fans de Lionel Messi et celle visant les supporters du FC Barcelone. Deux bons exemples de ces pratiques. Les pirates informatiques comprennent qu’utiliser des célébrités avec une énorme base de fans offre un plus grand choix de cibles, et augmente ainsi leurs chances de récolter les identités des utilisateurs. Ces arnaques persistent encore en 2013 avec une stratégie toujours identique consistant à mettre en place de faux sites web en utilisant des hébergeurs gratuits.
Les sites de phishing ont incité des internautes à entrer leurs codes d’accès Facebook sur des pages consacrées à Lionel Messi, au FC Barcelone ou à Cristiano Ronaldo. Ces dernières affichent ostensiblement des images de Lionel Messi, du FC Barcelone ou de Cristiano Ronaldo, et essaient de donner l’impression qu’elles en sont les pages Facebook officielles. Certains de ces faux sites sont intitulés, « premier réseau social dans le monde ». Les utilisateurs sont ensuite incités à entrer leurs identifiants Facebook afin de se connecter à leur compte. Une fois que les identifiants ont été renseignés, les utilisateurs sont redirigés vers une page communautaire dédiée à Lionel Messi, au FC Barcelone, ou à Cristiano Ronaldo pour créer l’illusion qu’une session légitime s’est ouverte.
Si les utilisateurs sont victimes de sites de phishing en ayant entré leurs identifiants, alors les pirates ont réussi à voler leurs données à des fins d’usurpation d’identité. Pour éviter les attaques de phishing, les internautes sont invités à suivre les conseils ci-dessous :
§ Faites attention lorsque vous cliquez sur des liens qui semblent trop attractifs, envoyés par email ou postés sur les réseaux sociaux
§ Ne renseignez pas de données personnelles lorsque vous répondez à un email
§ N’entrez pas de données personnelles dans un pop-up qui apparaît dans une page ou à l’écran. Composez plutôt, de façon manuelle, le site web que vous souhaitez consulter, au lieu de cliquer sur un lien suspect.
§ Assurez-vous que le site web est crypté avec un certificat SSL en vérifiant que la mention « https » soit présente dans la barre d’adresse, ou que celle-ci soit de couleur verte lorsque vous entrez des données personnelles ou financières
§ Utilisez des suites de sécurité comme Norton Internet Security ou Norton 360, qui vous protègent contre le phishing et les fraudes sur les réseaux sociaux
Rapportez les faux sites web, emails ou pages Facebook via phish@fb.com.
Suivez, en temps réel, avec ZATAZ.COM, ACISSI et CPEHN (Charleroi) le Hacknowledge-contest 2013 Benelux.
13h30 – Découverte du système d’alerte ZATAZ.COM avec Damien Bancal.
Fonctionnement, actions, … Plus de 40.000 sociétés aidées, bénévolement, depuis bientôt 17 ans (anniversaire en juin 2013).
14h30 – RFID, Le sans fil nous parle par Sébastien Lasson
Un jouet à 30 euros cache, en son sein, un outil professionnel dédié au RFID vendu sous sa forme « pro », 300€.
16h00 – Social Engineering par Sébastien Baudru de Drastic Sécurité.
Explication sur cet « art » d’étudier une cible humaine… avant de s’occuper de son informatique. De multiples outils pour le SE : Tailgating, shoulder surfing, trashing, phishing, Cross site Scripting, Mass Human Deny Of Service. Prudence aux courriers d’entreprises ayant un nom trés proche de celui de l’administration fiscale. Possibilité de détourner de l’argent en jouant sur la peur des Impôts, URSAFF, …
17h00 – De son côté, François Goffinet est venu parler de migration IPv6 et sécurité.
« Ipv6 n’est pas sécurisé comme on veut nous le faire entendre, indique l’enseignant, Chrome, n’est pas compatible IPv6 ; les commentaires dans le code source de Wireshark, ne sont pas flatteurs pour IPv6« .
18 h – La sécurité informatique – Etat des lieux en Belgique par Rudi Réz (CPEHN).
Du côté des forces de l’ordre dédiées au cyber-crime : 37 policiers pour la FCCU (Federal Cyber Crime Unit) ; 180 pour les 25 zones régionales RCCU (Regional Cyber Crime Unit). Le CERT Belge (CERT.BE) a lancé +1400 enquêtes en 2011, pour plus de 2100 alertes. Il n’existe pas de loi obligeant les entreprises à notifier la justice/le public en cas de piratage/fuite de données. Le gouvernement conseille de le faire, mais ne l’oblige pas.
21 h – Le concours !
Plus de trente participants, 70 épreuves. La nuit s’annonce riche et… studieuse.
Lancement des hostilités … H -1.
21h30 – C’est parti … mon kiki !
70 épreuves : hack, chiffrement, décryptage, code barre, lock picking, … A noter de la pointure parmi les participants dont le gagnant du SANS NetWars tournament of Champion 2012.
05h30 – La lutte est serrée pour les concurrents.
Les épreuves s’enchaînent, les défis tombent, un par un. Physiques, numériques, certaines autres « briques » résistent.
