Comment empêcher Android de sauvegarder automatiquement nos données personnelles ?

N’avez-vous jamais remarqué que lorsque vous entrez-vos identifiants Google dans un nouvel appareil Android, ce dernier retrouvait automatiquement certaines de vos informations personnelles, notamment vos contacts. Pourtant, vous n’avez jamais rien fait pour, et pour cause puisque cette option est activée par défaut. Ce qui signifie que vous pouvez également la désactiver. La plupart des utilisateurs la conservent néanmoins activée pour des raisons de praticité.

Les données automatiquement sauvegardées par Google

Au sein de son OS, Google a intégré un outil du nom d’Android Backup Service qui sauvegarde certaines données liées aux services que vous utilisez. Ces données sont les suivantes :

• Contacts qui sont sauvegardés au sein de Google Contacts. Vous pouvez ainsi les retrouver sur tous vos appareils et même sur votre PC en vous connectant simplement à votre compte.
• Emails qui sont sauvegardés au sein de Gmail
• Documents, ce qui vous permet d’ailleurs d’éditer vos documents sauvegardés dans le cloud à partir de n’importe lequel de vos appareils
• Calendriers
• Chrome : vos favoris et votre historique de navigation sont synchronisés avec votre compte. Idem pour vos mots de passe si vous avez activé la fonction Smart Lock
• Hangouts : vos conversations sont sauvegardées
• Google Play Store : les applications que vous avez téléchargées sont automatiquement sauvegardées. Vous pouvez ensuite les retrouvez dans l’onglet « Mes applications » de la boutique. C’est très pratique lorsque vous changez de smartphone car vous n’avez pas besoin de les rechercher une par une, en outre, les applications achetées sont également sauvegardées
• Vos photos et vidéos, à condition d’utiliser l’application Google Photos et d’avoir activé la sauvegarde automatique de vos médias
• Certaines données d’applications

Comment empêcher Google de sauvegarder vos données

Vous n’êtes pas ravis à l’idée que Google en sache autant sur vous et vous souhaiteriez que certaines de vos données ne soient pas sauvegardées ? Et bien rassurez-vous, c’est possible et en quelques clics. Il vous suffit pour cela de :

• Vous rendre dans le menu Paramètres > Personnel > Comptes de votre smartphone
• Sélectionner votre compte Google
• Décocher toutes les données que vous ne voulez pas que Google sauvegarde

Et pour aller plus loin, n’hésitez pas à jeter un œil à notre tutoriel comment préserver sa vie privée sur Android.

Les données non sauvegardées par Google

Les données listées ci-dessous ne sont pas sauvegardées par Google. Pour éviter de les perdre en changeant de smartphone, il faudra donc utiliser une application tierce mais nous y viendrons après.

• Les SMS, il est néanmoins possible de sauvegarder ses SMS sur Android en utilisant une application
• Google Authentificator : pour des raisons de sécurité, les données d’authentification Google en deux étapes ne sont pas sauvegardées
• Réglages : les paramètres personnalisés de de votre smartphone ne sont pas sauvegardés
• Bluetooth : Android ne synchronise pas les périphériques Bluetooth appairés vers votre smartphone

Comment sauvegarder toutes ses données personnelles

Bien que Google ne le permette pas par défaut, il est tout à fait possible de sauvegarder toutes les données de votre smartphone Android à l’aide de notre précédent tutoriel. Certaines de vos données iront directement sur votre support externe, d’autres seront sauvegardées en ligne afin de pouvoir ensuite être réintégrées à votre nouveau smartphone si votre but est de sauvegarder vos données pour les retrouver sur un nouvel appareil.

N’oubliez pas non plus de jeter un œil à notre sélection d’applications pour sauvegarder ses données personnelles. Certaines nécessiteront que votre téléphone soit rooté, d’autres non, et elles vous permettront de sauvegarder toutes vos applications et pas seulement les données.

Denis JACOPINI sur LCI : Les techniques des cybercriminels pour pirater votre CB

En direct sur LCI avec Serge Maître Maître, président de l’AFUB (Association Française des Usagers des Banques) et Nicolas CHATILLON, Directeur du développement-fonctions transverses du groupe BPCE et Denis JACOPINI, Expert informatique assermenté spécialisé en cybercriminalité débattent le 7 mars 2016 sur les techniques des cybercriminels pour vous pirater votre CB.

http://lci.tf1.fr/france/societe/cartes-bancaires-les-fraudeurs-ont-toujours-une-longueur-d-avance-8722056.html

Une liste non exhaustive avec 10 techniques de cybercriminels pour vous pirater votre carte bancaire :
http://www.lenetexpert.fr/10-techniques-de-cybercriminels-pour-vous-pirater-votre-carte-bancaire/

Le phishing, ça c’était avant : place aux fraudes au paiement par autorisation dans lesquelles on vous fait dire OK par téléphone

Le APP (Authorised Push Payment Fraud – fraude au paiement par autorisation) serait une des techniques de fraude en forte croissance au Royaume Uni, et combinerait des techniques sophistiquées, au travers de SMS et d’appels, pour soutirer de l’argent aux victimes. 19 370 cas auraient été répertoriés au Royaume Uni au cours de ces 6 derniers mois selon le daily mail. Quelles sont les techniques ici employées ? La France est-elle touchée ? 

Denis Jacopini : Cette technique de fraude utilise de nombreux ingrédients de base :

• L’ingénierie sociale (pratique utilisant des techniques de manipulation psychologique afin d’aider ou nuire à autrui)
• L’usurpation (d’identité);
• Le passage en mode émotionnel par la peur ;
• L’interlocuteur est votre sauveur et est là pour vous aider.

Dans le cas précis, nous avons aussi :

• L’usurpation du nom de la banque ;
• L’usurpation du numéro de téléphone de la banque ;
• Le passage en mode émotionnel de la victime basé sur la peur du piratage mais heureusement elle est en ligne avec un sauveur (baisse de la prudence, confiance aveugle…) ;
• La création d’une ambiance téléphonique de centre d’appel ;
• Un excellent comédien qui joue le rôle de l’employé de banque ;
• Une excellente connaissance des procédures internes des banques dont la banque usurpée.

En France, ce type d’arnaque n’est pas encore médiatisé. En effet, les banques n’aiment pas tellement communiquer sur leurs failles car :

• Ce n’est pas bon pour leur image ;
• Elles sont ensuite obligées de dépenser beaucoup pour corriger ;
• Elles préfèrent investir lorsque la fraude commence à leur coûter plus cher que les mesures de sécurité à mettre en place (gestion du risque).

Ces nouvelles techniques de fraude marquent elles une réelle professionnalisation de cette forme de criminalité ? 

Denis Jacopini : Cette forme de criminalité existe depuis très longtemps et n’a pas attendu l’informatique et Internet pour se développer et se professionnaliser. Prétexter un gros risque et usurper l’identité des pompiers, des policiers, du plombier en utilisant leur costume, leur jargon, leur outils pour vous rassurer et reviennent ensuite pour mieux vous arnaquer ou vous cambrioler existe depuis que les escrocs existent.

Plus récemment, Gilbert Chikli Pionnier de l’arnaque au faux président, utilisait des techniques de manipulation psychologique et se servait de sa parfaite connaissance des procédures internes aux très grandes entreprises et sa maîtrise du langage juridique ou financier en fonction de l’identité de la personne usurpé pour obtenir de ses victimes des virements définitifs pour des sommes détournées de plusieurs dizaines de millions d’euros.

Chaque fois que des techniques d’arnaque ou d’escroquerie sont déjouées, décortiquées et dévoilées au grand jour, il y a des millions d’escrocs du dimanche vont analyser l’arnaque pour la reproduire et l’utiliser pour eux. Une fois que l’arnaque commence à être connue et de plus en plus de gens sont sensibilisés, les escrocs professionnels et utilisant leur génie à des fins illicites modifient leurs techniques pour toujours utiliser des moyens basés sur les ingrédients de base + des failles inexploitées utilisant ou non la technologie.

Comme les banques ont mis en place des mesures de sécurité utilisant l’internet, le SMS, le téléphone, les escrocs utilisent ces mêmes technologies en recherchant le moyen d’exploiter les failles qui ne seront jamais suffisamment protégées : Les failles du cerveau humain.

Quels sont les réflexes à avoir pour éviter tout problème de ce type ?

Denis Jacopini : Le seul moyen que nous avons pour nous protéger est d’une part la prudence ultime en plus de la sensibilisation. Selon moi, les médias devraient signaler ce type d’arnaque afin de sensibiliser le plus grand nombre. Cependant, cette solution ne plait pas aux banques qui considèrent inutile de répandre la peur car cela risquerait d’écorcher de manière irréversible la confiance que nous avons mis des années à avoir envers les moyens de paiement électronique sur Internet.

A notre niveau, si j’ai un conseil à vous donner pour éviter tout problème de ce type, si vous vous trouvez dans une situation anormale qui vous est présenté par un interlocuteur, contactez directement l’établissement à l’origine de l’appel à partir des coordonnées dont vous disposez, et allez jusqu’au bout de la vérification AVANT de réaliser des opérations financières irréversibles et partagez le plus possible les cas d’arnaques.

Quand on sait à quoi ressemble le loup, on ne le fait pas rentrer dans sa bergerie. Par contre, s’il met un nouveau costume, le piège fonctionnera tant que ce nouveau costume ne sera pas connu du plus grand nombre. (d’où l’utilité de mon livre CYBERARNAQUES 😉

https://www.amazon.fr/Cyberarnaques-Denis-JACOPINI/dp/2259264220

3 points à retenir pour vos élections par Vote électronique

L’expertise préalable par un expert indépendant.

La déclaration à la CNIL.

Un guide pour aider les entreprises face à #Facebook ou #Twitter

Facebook, Twitter, LinkedIn, Viadeo: les réseaux sociaux n’ont plus secret pour des millions de Français. Les entreprises, elles, ne sont pas forcément à l’aise avec la question. Ces outils, qui sont souvent à la limite des sphères privées et publiques, induisent de nouveaux risques pour les sociétés: se faire dénigrer sur la Toile, se faire usurper son identité, ou voir des salariés, par des conversations sur les réseaux professionnels livrer, sans s’en rendre compte, des informations confidentielles. Pour aider les chefs d’entreprise, le Medef vient d’éditer un guide sur le sujet, intitulé «réseaux sociaux et entreprises, quels enjeux juridiques». Le petit livret est très didactique puisque le premier chapitre consiste à expliquer… ce qu’est un réseau social.

«On s’est rendu compte que les entreprises avaient en la matière des pratiques très différentes. Certaines encouragent leurs salariés à communiquer sur les réseaux sociaux, mais sans fixer aucun cadre. Dans d’autres, la communication est beaucoup plus contrôlée. Certaines ont déjà mené des actions de sensibilisation auprès de leurs salariés, dont une avec une pièce de théâtre», explique-t-on au Medef, où un groupe de travail avait été constitué pour rédiger le guide. D’après une étude du cabinet Proskauer, la manière forte est aussi de mise. 29% des 120 grandes entreprises internationales interrogées ont bloqué l’accès à Twitter, Facebook et autres réseaux sur le lieu de travail, et 27% en contrôlent l’utilisation. A vrai dire, ce sont les PME qui sont le plus «en retard»: elles n’ont souvent pas le temps de se pencher sur la question, ni les moyens de monter des cellules de veille. Le guide est donc là pour les sensibiliser.

Sur ces réseaux, les règles de droit classique – code du travail, code civil, code de la propriété intellectuelle etc… – s’appliquent. Mais il existe également des dispositifs spécifiques. Et tout cela s’entremêle. Le poids d’une charte sur l’utilisation des réseaux sociaux par les salariés ne sera pas le même si cette charte est inscrite dans le règlement intérieur, ou pas. Les salariés ont le droit de parler sur les réseaux de l’organisation et du fonctionnement de l’entreprise, à condition que leurs propos ne soient pas injurieux. L’entreprise elle-même doit évidemment respecter les règles de droit à l’image lorsqu’elle publie sur ces réseaux. Bref, un guide n’est pas de trop dans ce maquis!

Lien pour télécharger le guide

Conseils pour assurer la sécurité numérique des nomades

#Identification et authentification fortes de l’utilisateur

Ce n’est pas l’outil qui doit être tracé, mais l’individu qui s’en sert. « Il s’agit d’identifier et d’authentifier, avec la plus grande attention, l’ayant-droit aux ressources de l’organisation », indique Gérard Peliks, expert et enseignant en sécurité de l’information. Première étape : l’identifiant ou login. Seconde phase : l’authentifiant, autrement dit la preuve de l’identité de l’utilisateur. « Le plus fiable est la combinaison de deux paramètres : ce que l’on a (par exemple une calculatrice, un token usb…) et ce que l’on sait (un code pin). En attendant les solutions de biométrie multimodale… », précise Gérard Peliks.

#Intégrité et confidentialité des transactions

Les échanges entre l’organisation et le collaborateur nomade doivent être sécurisés dans leur confidentialité et leur intégrité. « Il s’agit de créer un tunnel chiffrant dont les deux extrémités sont mutuellement identifiées », souligne Gérard Peliks. Les virtual private networks (VPN) ou réseaux privés virtuels (RPV) garantissent la confidentialité des données transmises, donc vulnérables, sur Internet. La signature électronique peut en garantir l’intégrité. Ce qu’on appelle le protocole de « tunnellisation » ou d’encapsulation consiste à chiffrer les transmissions entre le poste nomade et l’Intranet de l’organisation.

#Chiffrement des données sur disque

En cas de perte ou de vol d’un PC, ou d’un téléphone portable, la confidentialité des informations contenues n’est plus assurée, si elles sont stockées en clair. « On ne perd pas seulement l’objet, mais des données, avec tout ce que cela peut entraîner comme risque d’image, de réputation et même de conséquences juridiques », pointe Gérard Peliks. Tout l’enjeu est donc de rendre illisibles les informations contenues dans l’appareil, si on ne possède pas les clefs pour les déchiffrer. « Le chiffrement de fichiers, de partitions, voire même de l’intégralité du disque, permet de sécuriser les contenus sensibles », explique-t-il.

#Destruction des fichiers

Quand il s’agit d’éliminer un fichier, la touche « delete » et le vidage de la corbeille ne détruisent rien mais se contentent de cacher le document. Et des outils de récupération permettent de pister les anciennes données. Pour effacer définitivement, ou « massicoter » les contenus, il convient d’utiliser des méthodes de suppression sécurisée. « En utilisant des utilitaires de destruction, on s’assure que les fichiers sont réellement passés à la « déchiqueteuse », préservant ainsi leur confidentialité », indique Gérard Peliks.

#Sensibilisation des collaborateurs

Dans un contexte de dématérialisation généralisée, tous les collaborateurs sont potentiellement amenés à travailler un jour en mode nomade, ou avec des collègues en télétravail. D’où l’importance de sensibiliser l’ensemble des collaborateurs de l’organisation aux processus de sécurité. « Dès le début de la collaboration, mais aussi tout au long de la vie du collaborateur dans l’organisation, les règles de sécurité et de confidentialité doivent être rappelées », insiste Gérard Peliks. En plus de faire signer une charte sur l’utilisation du réseau, l’organisation doit communiquer sur les conséquences juridiques de tout manquement au règlement intérieur.

52 % des entreprises ont indiqué avoir subi un rançongiciel « majeur » dans les 12 derniers mois

« Les entreprises se sentent parfois sous pression pour payer la rançon afin d’éviter les temps d’arrêt préjudiciables. À première vue, effectuer le paiement de la rançon semble être une manière efficace de restaurer les données, mais ce n’est qu’illusoire (…) En effet, une simple clé de chiffrement n’est pas un remède miracle et il faut souvent bien plus pour restaurer les données« , a expliqué Chester Wisniewski, Principal Research Scientist chez Sophos.

En France, plus de la moitié (61%) des responsables IT interrogés déclarent avoir pu restaurer leurs données à partir de sauvegardes sans payer la rançon. Dans 2 % de cas, le paiement de la rançon n’a pas permis de restaurer les données. À l’échelle mondiale, ce chiffre s’élève à 5 % pour les organisations du secteur public.

…[lire la suite]

Commentaire de notre Expert : Denis JACOPINI

La demande de rançon est la résultante dans la quasi totalité des cas de l’ouverture d’une pièce jointe à e-mail piégé ou le clic sur un lien aboutissant sur un site Internet piégé.

Les conséquences

Il n’est plus a rappeler qu’être victime d’un ransomware entraînent un arrêt de l’outil informatique, une perte de productivité et une dégradation de la réputation auprès des clients et partenaires.

Les solutions

Nous le répéterons jamais assez, les seuls moyens d’empêcher ce type de situation sont l’utilisations d’outils de filtrage et la sensibilisation. N’hésitez pas à nous contacter pour l’organisation de sessions de sensibilisation auprès de vos équipes pour leur apprendre à détecter e-mails et sites Internet malvéillants, en quasi totalité à l’origine des rançongiciels dans les systèmes informatiques.

Pour ceux qui continuent le travail à domicile, respectez les cybergestes barrière

Restez en sécurité

Comme vous ne savez peut-être pas dans quelle mesure votre environnement de travail assure la sécurité de vos informations, vous risquez de devenir une cible facile pour les hackers une fois que vous serez en confinement ou que vous travaillez à domicile.

Appareils & Équipements de travail

Si vous utilisez un ordinateur de bureau ou un appareil mobile fourni par l’entreprise, il est fort probable que vous soyez déjà muni de quelques éléments de base pour vous protéger. En tant que propriétaire ou dirigeant d’entreprise, vous devrez également vous assurer que les mesures suivantes soient en place pour votre équipe.

1. Sécurisez votre connexion
   Si vous n’êtes pas encore installé, demandez à votre responsable informatique de vous fournir un VPN. Il vous aidera à sécuriser votre activité professionnelle. Le wifi public – que vous utilisiez un hotspot local ou que vous partagiez un réseau avec votre voisin – est plus vulnérable que votre propre réseau privé, mais un VPN vous protégera des menaces sur les deux.
2. Sécurisez votre Cloud
   Disposer d’une solution de sécurité premium pour le Cloud (CASB) permet de limiter l’accès à vos données dans le Cloud aux seuls membres autorisés de l’équipe.
3. N’installez pas de logiciels non autorisés
   Si vous avez apporté votre ordinateur portable de travail à la maison, n’installez aucun logiciel qui ne soit pas lié au travail et n’utilisez pas de clés USB sans être sûr de ce qu’elles contiennent.

Appareils personnels

Mélanger le travail et le plaisir ? Dans certains cas, vous n’avez pas vraiment le choix.

1. Vérifier la présence des malwares
   Vérifiez que votre logiciel antivirus est à jour et recherchez tout logiciel malveillant sur votre ordinateur ou votre téléphone portable personnel.
2. Protéger les mots de passe
   Utiliser un gestionnaire de mots de passe pour se tenir au courant des meilleures pratiques d’utilisation des différents mots de passe sur le web.
3. Utiliser un VPN
   Comme nous l’avons déjà mentionné, un VPN conservera vos informations cryptées pendant toute la durée du confinement – et vous aurez en plus la possibilité d’accéder à l’ensemble de la bibliothèque Netflix dans le monde entier une fois votre journée de travail terminée.
4. Fermer les applications fonctionnant en arrière-plan
   N’utilisez pas de logiciels ou d’applications qui ne sont pas en rapport avec le travail, y compris en les laissant s’exécuter en arrière-plan. Évitez également de télécharger de nouvelles applications qui ne sont pas liées au travail pendant cette période.
5. Ne pas enregistrer vos données sans autorisation
   Lorsque vous travaillez sur votre ordinateur personnel, évitez de sauvegarder vos données professionnelles, à l’exception de ce qui est absolument nécessaire pour travailler.
6. Garder les choses séparées
   Si vous utilisez un ordinateur partagé, créez un espace de travail séparé. Créez un nouvel utilisateur pour l’ordinateur, si possible. Sinon, créez une nouvelle session de navigation avec vos informations spécifiques au travail et pour le travail uniquement – et n’oubliez pas de vous déconnecter à chaque fois !

[L’article complet de l’auteur Chase Williams]

« Vous avez été en contact avec une personne testée positive au Covid-19 » : Attention aux arnaques sur les smartphones 

A l’approche de la levée du confinement, profitant de l’inquiétude qui règne au sein de la population, les pirates informatiques agissent, multipliant fraudes et arnaques sur le web, notamment à travers la pratique de l’hameçonnage (ou « phishing » en anglais), particulièrement lucrative. Pour rappel, cette technique consiste à « piéger » une personne en le poussant à cliquer sur un lien dans le but d’installer un logiciel malveillant sur son appareil ou de collecter ses informations personnelles. …[lire la suite]

Le prestataire informatique responsable en cas de perte de données par un cryptovirus

Un arrêt de la Cour d’Appel de Paris, dans un litige entre un prestataire de maintenance et son client, vient rappeler qu’un virus ou un ransomware ne constituent pas un cas de force majeure permettant d’exonérer qui que ce soit de ses obligations.

Le litige est né en 2016 mais la Cour d’Appel de Paris vient de le juger après une décision de première instance du tribunal de commerce en janvier 2018. Si l’affaire est assez complexe et avec de nombreuses ramifications sur la responsabilité et les manquements de chaque partie, un point particulier mérite d’être relevé. En l’occurrence, un crypto-virus a rendu inexploitable les sauvegardes et les données de l’entreprise cliente, problème de plus en plus fréquent de nos jours. Le prestataire a voulu faire considérer ce fait comme une circonstance de force majeure l’exonérant de sa responsabilité. La Cour d’Appel vient rappeler qu’un virus n’est aucunement un cas de force majeure (Cour d’appel de Paris, Pôle 5 – chambre 11, 7 février 2020, affaire n° 18/03616, non-publié)…[lire la suite]

Commentaire de notre Expert : Denis JACOPINI

Il est évident qu’à partir du moment ou un prestataire informatique vend un service de sauvegarde et assure d’une quelconque manière sa maintenance, il devient responsable de la réalisation de cette prestation, quelles qu’en soient les conditions excepté dans des situations appelés cas de force majeure.

En droit, les conditions de la force majeure évoluent au gré de la jurisprudence et de la doctrine. Traditionnellement, l’événement doit être « imprévisible, irrésistible et extérieur » pour constituer un cas de force majeure. Cette conception classique est cependant remise en cause (Wikipédia).

Dans la vraie vie, la situation dans laquelle s’est produit la perte de données doit être vue d’un peu plus près. Il n’y a pas à mon avis un cas de figure mais des cas de figure et les situations doivent être étudiées au cas par cas (chers avocats, je suis à votre disposition).

Certes, il est vrai, que le cryptovirus puisse être considéré comme imprévisible et extérieur, mais l’article 1218 du Code Civil précise :
« Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur »

C’est là que la balance du mauvais coté pour le prestataire informatique. Depuis 1989, date du premier cryptovirus (PC Cyborg) et pour être un peu plus gentil, depuis 2017, année durant laquelle le nombre de cas de rançongiciels a explosé de plusieurs centaines de pourcents, les cryptovirus sont prévisibles et les effets peuvent être évités par des mesures appropriées.

Ainsi, mesdames et messieurs les prestataires informatiques, mesdammes et messieurs les chefs d’entreprises, je ne peux que vous recommander de faire auditer techniquement et juridiquement vos services de sauvegarde afin d’en analyser les risques résiduels car seule une analyse de risques permettra non seulement d’avoir une visibilité technique complète de votre services, mais vous pourrez également adapter vos contrats au résultat de cette dernière et convenir avec vos clients de l’existence ou non de cas pour lesquels la panne de votre système de sauvegarde sera « éligible » au cas de force majeure.

Intéressé par la réalisation d’un tel audit ?

N’hésitez pas à me contacter.

Denis JACOPINI (Expert informatique près les tribunaux diplômé en Cybercriminalité, Gestion des risques et Investigation Numérique)