Denis JACOPINI s’exprime sur le piratage massif de Yahoo

Le géant américain d’internet Yahoo a annoncé avoir été victime en 2013 d’un vol de données informatiques de très grande ampleur. Ce sont en effet les données privées d’un milliard de comptes qui ont été piratées, devenant ainsi le plus important cas de piratage informatique de l’histoire. Ce vol s’ajoute à l’annonce effectuée à la fin de mois de septembre, concernant un autre cas « probablement » distinct de piratage de 500 millions d’utilisateurs.

Ce nouveau piratage a notamment permis de dérober les noms, numéros de téléphone et dates de naissance des clients de Yahoo, ainsi que dans certains cas des questions de sécurité et la réponse correspondante.

L’annonce du milliard de comptes piratés s’ajoute à celle de septembre annonçant le piratage de 500 millions de comptes Yahoo.

La compagnie affirme cependant que les informations relatives à leurs cartes de crédit ou à leurs comptes bancaires n’ont pas été affectées. L’entreprise de la Silicon Valley n’a pas précisé combien de comptes encore actifs ont été touchés par ce vaste piratage, indiquant seulement qu’elle alertait les utilisateurs potentiellement affectés. Yahoo a ajouté avoir pris des mesures pour sécuriser les comptes, en les forçant par exemple à changer leur mot de passe et en invalidant les questions de sécurité et leurs réponses.

Yahoo a par ailleurs laissé entendre qu’un groupe de hackers lié à un Etat, sans préciser lequel, pourrait être derrière cette importante attaque et a déclaré enquêter sur des cookies qu’ils auraient créés afin d’accéder illicitement aux comptes des utilisateurs.

L’étendue du risque au-delà de Yahoo

« La manière dont Yahoo a été piraté, c’est ce qui peut arriver à un très grand nombre d’entreprises », explique Denis Jacopini, expert en informatique spécialisé en protection des données personnelles. « Aujourd’hui il n’y a quasiment aucune entreprise qui est protégée contre la fuite de données. C’est un véritable problème, car elles découvrent à postériori qu’elles se sont fait voler des données et donc elles ne peuvent agir que lorsque c’est trop tard », ajoute-t-il.

Le comportement des clients est un enjeu de taille: En effet, nombreux sont les internautes à utiliser les mêmes nom d’utilisateur et mot de passe sur différentes plateformes mail. Un cas concret, très commun est par exemple l’usage du prénom et du nom comme adresse email. Dans le cas où le même mot de passe que celui de Yahoo est utilisé sur les autres plateformes, ce compte est naturellement immédiatement à risque. Même chose sur les réseaux sociaux, puisque les utilisateurs recourent souvent à la même adresse mail pour s’inscrire sur Facebook ou Twitter.

Comment réagir au piratage?

Dans le cas où vous disposez d’un compte Yahoo compromis, la première action à entreprendre sera évidemment de changer le mot de passe du compte. Mais pas seulement: L’utilisateur affecté devra aussi vérifier les mots de passe de ses comptes sur toutes les autres plateformes afin de s’assurer que non seulement le même mot de passe n’a pas été utilisé, mais également qu’ils soient nettement distincts et pas uniquement une variation du même mot de passe.

Yahoo recommande à ses utilisateurs de changer immédiatement de mot de passe.

Une meilleure option serait en outre de toujours opter pour l’authentification en deux étapes, à travers un numéro de téléphone par exemple, afin de rendre extrêmement difficile un éventuel piratage de votre compte. « Changer régulièrement de mot de passe tout le temps n’est peut-être pas finalement la solution d’améliorer les mesures de sécurité. La solution ultime à ce jour et celle que l’ensemble des services internet devraient proposer c’est d’utiliser une méthode d’identification au moins à deux facteurs », indique Denis Jacopini, également spécialiste en cyber-sécurité. « En plus du mot de passe, vous pourrez également par exemple recevoir un SMS vous permettant d’authentifier votre connexion. Là on est dans des niveaux de sécurité très intéressants et relativement rassurants. C’est ce qu’utilisent aujourd’hui la plupart des sociétés qui veulent vraiment se sécuriser et qui veulent avoir un accès à leurs données restreint par des personnes précises. Avec ça on est dans un niveau de sécurité vraiment renforcé », affirme Mr. Jacopini.

Enfin, la vigilance doit demeurer constante lorsque vous recevez tout email qui vous invite à ouvrir un lien demandant vos informations personnelles, ou qui vous demande de télécharger une pièce jointe suspicieuse, afin d’éviter de devenir victime d’un hameçonnage.

Denis JACOPINI interviewé par Yacine Babouche

Notre métier : Vous aider à vous protéger des pirates informatiques (attaques, arnaques, cryptovirus…) et vous assister dans vos démarches de mise en conformité avec la réglementation relative à la protection des données à caractère personnel.

Par des actions de formation, de sensibilisation ou d’audits dans toute la France et à l’étranger, nous répondons aux préoccupations des décideurs et des utilisateurs en matière de cybersécurité et de mise en conformité avec le règlement Européen relatif à la Protection des Données à caractère personnel (RGPD) en vous assistant dans la mise en place d’un Correspondant Informatique et Libertés (CIL) ou d’un Data Protection Officer (DPO) dans votre établissement.. (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84)

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article

Une nouvelle étude démontre que les compteurs Linky ne sont pas dangereux

D’ici à 2021, la loi du 17 août 2015 prévoit que des compteurs « intelligents », capables de transmettre des données de consommation en temps réel aux fournisseurs d’énergie, soient installés dans tous les foyers français. Le compteur Linky, déployé par ERDF pour suivre la consommation d’électricité des foyers, a été de nombreuses fois pointé du doigt par des individus, des associations et des communes. En effet, il avait été imaginé que le champ électromagnétique du compteur Linky pouvait engendrer des problèmes de santé.

Cette crainte aurait déjà dû être levée après les premières expertises réalisées sur les compteurs. Mais cela n’a pas suffi et la polémique n’a cessé de gonfler, entrant dans le champ très large de « la peur des ondes ». D’autant que la justice française a dans un premier temps reconnu l’électrosensibilité comme un handicap et plus récemment, autorisé une personne électrosensible à se débarrasser de son compteur d’eau intelligent.

Et pourtant, les nouvelles conclusions de l’Agence nationale de sécurité sanitaire de l’alimentation, de l’environnement et du travail (ANSES) montrent que le compteur Linky n’est pas dangereux. 

En effet, après de nombreuses mesures sur les émissions électromagnétiques des compteurs Linky, l’agence a estimé qu’il y avait «  une faible probabilité que l’exposition aux champs électromagnétiques émis par les compteurs communicants, dans la configuration de déploiement actuelle, engendre des effets sanitaires à court ou long terme ». À vrai dire, cette faible probabilité existe déjà dans tous les foyers modernes, dans la mesure où les compteurs Linky n’émettent pas plus d’onde que «  la télévision, un chargeur d’ordinateur portable ou une table de cuisson à induction…  ». Contrairement à ces objets qui paraissent « reliés » au sol, uniquement propulsés par l’électricité, les compteurs Linky utilisent une connexion à Internet par communication CPL qui semble bien plus abstraite et donc, à tort, bien plus dangereuse.

Si le Linky n’est donc effectivement pas dangereux, l’ANSES recommande tout de même aux fournisseurs de ces technologies de faire preuve de pédagogie en donnant des informations claires aux personnes qui pourraient être réticentes à l’installation de ces engins pour des questions sanitaires. D’après elle, il faut absolument que les opérateurs de «  ces nouvelles technologies [puissent] fournir une information claire et facilement compréhensible aux usagers quant à leurs modalités de fonctionnement ».

Rappelons finalement que les angoisses sanitaires infondées autour du Linky cachent malheureusement deux problèmes fondamentaux. Le premier est scientifique : il persuade la plupart des électrosensibles que leur mal est physique alors qu’il est en réalité, bien souvent psychologique — comme la décision de justice de 2015 le laissait supposer. Elle reconnaissait effectivement des symptômes liées à l’électrosensibilité, mais nullement leur cause. Ce qui, dans les faits, reste un handicap bien réel et qui doit être compris en-dehors de toute croyance pour être correctement soigné.

Ce n’est pas le cas de la décision récente qui a autorisé une personne à se débarrasser de son compteur d’eau intelligent pour des prétextes sanitaires, qui tend à légitimer le fait que l’objet cause bel et bien un mal physique (ce qui est faux).

LE LINKY N’EST PAS DANGEREUX POUR LA SANTÉ

Le deuxième problème touche la vie privée. Comme l’avait montré CanardPC dans une excellente étude sur le Linky (accès libre, PDF), sa prétendue dangerosité sanitaire est l’arbre qui cache la forêt : s’il n’est pas dangereux pour vous, le compteur reste tout de même un mouchard pour ERDF qui peut extrapoler vos habitudes avec ses relevés…[lire la suite]

Notre métier : Vous aider à vous protéger des pirates informatiques (attaques, arnaques, cryptovirus…) et vous assister dans vos démarches de mise en conformité avec la réglementation relative à la protection des données à caractère personnel.

Par des actions de formation, de sensibilisation ou d’audits dans toute la France et à l’étranger, nous répondons aux préoccupations des décideurs et des utilisateurs en matière de cybersécurité et de mise en conformité avec le règlement Européen relatif à la Protection des Données à caractère personnel (RGPD) en vous assistant dans la mise en place d’un Correspondant Informatique et Libertés (CIL) ou d’un Data Protection Officer (DPO) dans votre établissement.. (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84)

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article

La police peut forcer un accusé à dévoiler le code de son smartphone… en Floride

La police de Floride a récemment arrêté quelqu’un qui s’adonnait au crime de voyeurisme avec son iPhone 5. Au cours de son interpellation, l’homme a autorisé verbalement les forces de l’ordre à fouiller son smartphone. Mais il est ensuite revenu sur sa décision en refusant de donner le mot de passe à 4 chiffres indispensable à cette opération.

Un premier magistrat a refusé que la police puisse forcer l’homme à donner son code au motif que cette demande revenait à l’obliger à témoigner contre lui-même, une pratique interdite par le cinquième amendement de la Constitution.

Mais aujourd’hui, la décision a été annulée par la cour d’appel de Floride. Celle-ci a considéré que le mot de passe n’est pas directement relié à des photos ou des vidéos criminelles qui pourraient figurer — ou pas — sur le smartphone.

DISTINCTION MAJEURE ENTRE MOT DE PASSE ET EMPREINTES DIGITALES

La décision pourrait créer un précédent pour la protection des données personnelles si cette interprétation de la Constitution faisait désormais loi. En 2014, en Virginie, les magistrats confrontés au même problème avaient conclu qu’un civil ne pouvait être obligé à donner son code, mais pouvait être forcé à déverrouiller son téléphone grâce à son empreinte digitale.

En effet, pour les juges il existe une différence fondamentale entre les deux modes de déverrouillage. Si l’accusé doit donner son code, il est forcé de divulguer des informations qu’il possède, alors que son empreinte digitale est considérée comme une preuve physique, comme son ADN ou son écriture manuscrite.

Cette lecture juridique remonte à 1988, lorsque la Cour suprême avait établi que les citoyens pouvaient légalement être obligés de donner la clef d’un coffre-fort, mais pas de transmettre sa combinaison si le verrou était à code.

Pour les trois juges de Floride, cette distinction n’est plus valide. Ils considèrent que donner un mot de passe n’est pas comparable à un témoignage à charge contre soi-même puisque l’accusé ne donne pas de documents incriminant dans la procédure. Par ailleurs, le juge Anthony Black considère que la police, à partir du moment où elle possède un mandat pour fouiller le téléphone, doit de fait pouvoir accéder en intégralité…[lire la suite]

Notre métier : Vous aider à vous protéger des pirates informatiques (attaques, arnaques, cryptovirus…) et vous assister dans vos démarches de mise en conformité avec la réglementation relative à la protection des données à caractère personnel.

Par des actions de formation, de sensibilisation ou d’audits dans toute la France et à l’étranger, nous répondons aux préoccupations des décideurs et des utilisateurs en matière de cybersécurité et de mise en conformité avec le règlement Européen relatif à la Protection des Données à caractère personnel (RGPD) en vous assistant dans la mise en place d’un Correspondant Informatique et Libertés (CIL) ou d’un Data Protection Officer (DPO) dans votre établissement.. (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84)

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article

Découverte d’une activité de cybersabotage imitant les techniques de BlackEnergy

Le gang qu’ESET nomme TeleBots présente beaucoup de similitudes avec le groupe BlackEnergy qui a mené des attaques contre l’industrie énergétique en Ukraine en décembre 2015 et janvier 2016. ESET va jusqu’à dire que le groupe TeleBots n’est autre qu’une mutation du groupe BlackEnergy.

Comme pour les campagnes attribuées au groupe BlackEnergy, les cyberattaquants utilisent la méthode du spearphishing en envoyant par e-mails des documents Microsoft Excel contenant des macros malveillantes comme vecteur initial d’infection. Cependant, à la différence des attaques menées par le groupe BlackEnergy, les documents malveillants n’ont aucun lien avec les techniques d’ingénierie sociale, incitant les victimes potentielles à cliquer sur le bouton pour activer le contenu. Il semblerait que le choix reviendrait à la victime en décidant par elle-même de cliquer ou non sur le bouton.

Une fois que la victime clique sur le bouton « Activer le contenu », Excel exécute la macro malveillante. L’analyse d’ESET montre que le code de la macro diffusé dans les documents créés par TeleBots correspond au code de la macro utilisé par le groupe BlackEnergy en 2015.

Les cybercriminels démontrent une intention sérieuse de mener des attaques de cybersabotage. Pour être en mesure de les réaliser, les attaquants inventent constamment de nouveaux logiciels malveillants et de nouvelles techniques, comme l’utilisation de l’interface de programmation applicative (API) Bot Telegram au lieu d’un serveur C&C plus classique par exemple…

Notre métier : Vous aider à vous protéger des pirates informatiques (attaques, arnaques, cryptovirus…) et vous assister dans vos démarches de mise en conformité avec la réglementation relative à la protection des données à caractère personnel.

Par des actions de formation, de sensibilisation ou d’audits dans toute la France et à l’étranger, nous répondons aux préoccupations des décideurs et des utilisateurs en matière de cybersécurité et de mise en conformité avec le règlement Européen relatif à la Protection des Données à caractère personnel (RGPD) en vous assistant dans la mise en place d’un Correspondant Informatique et Libertés (CIL) ou d’un Data Protection Officer (DPO) dans votre établissement.. (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84)

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article

La CNIL qui est censée protéger nos données informatiques fait elle assez de contrôles ?

La Cnil s’énerve contre Brandvalley mais la sanction est faible

Les 15 mesures clés de la loi Numérique

Windows 10, une importante faille de sécurité est découverte, MAJ+F10

JT 20H – La Poste se lance dans la livraison par drones

L’utilisation malveillante de Windows PowerShell augmente