Protection des données personnelles : Les entreprises ne respectent pas la Loi et jouent avec les données de leur clients. Ca pourrait bien leur coûter cher !

A quoi sert la CNIL ?

Positionnez-vous d’abord en tant que consommateur. Lorsque vous commandez, achetez, communiquez, savez-vous où vont les informations personnelles ou confidentielles que vous confiez aveuglément ?Seriez-vous d’accord si toutes les données (coordonnées postales, e-mail, bancaires, santé, politique, religion, habitudes de consommation etc.) que vous communiquez en toute confiance à des tiers se retrouvent dispersées dans la nature et à la vue de tout le monde ? J’imagine que non ! Vous vous attendez plutôt à ce que tous les tiers prennent soin de conserver précieusement vos informations qui sont pour chacun d’entre nous précieuses et confidentielles pour certaines.

A la place de ça, que font les entreprises ?
Ils utilisent vos coordonnées pour envoyer de la publicité et surcharger votre boite e-mail, votre téléphone, votre boite aux lettres. Plus grave, certains vont vendre ou louer vos coordonnées à des tiers pour monnayer vos informations personnelles. Plus grave encore, d’autre encore vont stocker vos précieux éléments sur des systèmes informatiques non sécurités… Et c’est aussi comme ça qu’on se retrouve rapidement noyé par les spams ou les virus, victime d’usurpation d’identité ou pire…   C’est pour canaliser cela que la CNIL (Commission Nationale de l’Informatique et des Libertés) existe. Sa mission officielle est de « veiller à ce que le développement des nouvelles technologies ne porte atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ».

Qui est concerné ?
Tout professionnel, organisme, association qui gère un fichier client, contact, mail, salariés, élèves, patients… que ce fichier soit informatisé ou géré sur papier. Les seuls qui n’ont pas à faire de telles déclarations sont les particuliers et les association, mais seulement pour les traitements qui concernent les données de leurs membres.

Les réactions les plus courantes lors de mes conférences
Lorsque j’anime des ateliers, des tables rondes ou des conférences sur le sujet des risques juridiques du chef d’entreprise face aux nouveaux usages de l’informatique ou des obligations des entreprises vis à vis de la CNIL, et que le volet des obligations par rapport à la #loi Informatique et Libertés est abordé, il m’est systématiquement posé la question suivante :

« Mais, comment se fait-il qu’on ne soit pas informé de ces obligations ? »

Et ma réponse au chef d’entreprises est systématiquement toujours la même :
« Par pure négligence de votre part . Que votre entreprise ait 0 ou 100 000 salariés, les obligations sont les mêmes et existent depuis 1978 au travers de la Loi Informatique et Libertés. Lorsque vous avez créé votre entreprise, vous vous êtes engagés à respecter la réglementation pendant toute la vie de votre entreprise. Et cette loi, je vous l’accorde, longtemps restée dans l’ombre, fait partie des règles qui doivent être obligatoirement respectées. Comme vous avez vu tout à l’heure, si vous vous positionnez en tant que consommateur, il vous semble évident que vos données personnelles soient protégées. Comme cette précaution absolue n’est pas une priorité naturelle pour les entreprises, un gendarme a été créé pour informer, surveiller, contrôler et sanctionner les entreprises fautives. Vous faites certainement partie des patrons qui essaient de gérer leur entreprise du mieux possible et avec vos problèmes et vos priorités vous y arriver je pense très bien. Vous vous souciez probablement d’abord de la réglementation à respecter en matière sociale, fiscale et en rapport de votre activité professionnelle. Je sais qu’il est matériellement impossible de tout savoir, et de connaitre toutes les lois. C’est ce que moi j’appelle faire des impasses. Sauf que là, c’est des impasses qui peuvent vous coûter jusqu’à 300 000 euros. »

Pourquoi parle-t-on de la CNIL si souvent aujourd’hui ?
Parce qu’elle tire la sonnette d’alarme devant les changements de nos habitudes et l’évolution de la technologie Fait très important qui s’est passé depuis le début des années 80 : L’informatique s’est répandue dans quasiment tous les domaines sans réellement tenir compte de la sécurité des données. Peu savent que depuis les années 90, Internet qui s’impose à nous utilise un protocole de communication qui à la base ne sont pas sécurisées . Ensuite, nous sommes entrés dans l’ère des objets connectés avec un risque permanent de se faire « pomper » nos données. On ne va plus seulement parler de coordonnées postales téléphoniques ou bancaires, mais aussi de données de santé, d’habitudes alimentaires, de sommeil, de sortie, de loisirs… Que vos joujoux hi-tech connectés, votre smartphone ou votre ordinateur soient perdus ou piratés, les données qu’ils stockent sont librement accessibles… De plus, il ne se passe pas un jour sans qu’un opérateur, une société Web, une entreprise se fasse pirater son système informatique et par la même occasion les données de ses clients. Il y a deux types de cibles : celles qui ont beaucoup de trésorerie à se faire voler, et les millions de malchanceux qui dont le manque de sécurité a été automatiquement détecté qui vont être la proie de cybercriminels. Pour vous donner une idée, 144 milliards d’emails sont échangés chaque jour et 68,8% d’entre eux sont des spams et nombreux cachent des réseaux cybercriminels. 400 Millions de personnes sont concernées par des cyberattaques chaque année. Vous comprenez maintenant pourquoi il devient urgent de canaliser tous ces usages et déjà les premier débordements avant que ça continue à s’aggraver.

Est-ce risqué de ne pas respecter la Loi Informatique t Libertés
Même si en référence la loi du 29 mars 2011 relative au défenseur des droits, la CNIL peut rendre publiques les sanctions pécuniaires qu’elle prononce, il n’y a jusqu’à maintenant eut que très peu de sanctions prononcées. En 2013, 414 contrôles ont aboutit à 14 sanctions.

On eut en avoir  liste sur http://www.cnil.fr/linstitution/missions/sanctionner/les-sanctions-prononcees-par-la-cnil/

Cependant, le niveau de risque devrait exploser en 2015 ou du moins, dès la mise en application du règlement européen relatif aux traitements de données à caractère personnel. Selon les infractions, le montant des sanctions peut aujourd’hui s’élever jusqu’à 300 000 euros. Cenpendant, compte tenu de leur chiffre d’affaire démesuré, certaines entreprises peuvent continuer à sourire avec de telles amendes (par exemple google et ses 60 milliards de chiffre d’affaire, ou Facebook, Appel, Orange…) .

Devant ces situations, la Commission Européenne décidé de frapper un grand coup avec un règlement européen et au travers de deux principales actions répressives :

1) Augmenter plafond des amendes jusqu’à 5% du chiffre d’affaire ( ça pourrait donner 3 milliards de dollars d’amende maximale par infractions pour google)

2) Rendre Obligatoire pour toute entreprise, de déclarer sous 24h à la CNIL le moindre incident de sécurité (virus, perte données, perte ou  vol de matériel, piratage…), laquelle pourra vous obliger d’informer tous vos clients que la sécurité de leurs donées personnelles a été compromise. Cette obligation existe déjà depuis juin 2013 mais seulement pour les OIV (Opérateurs d’importance Vitale).
Souvenez-vous l’affaire du piratage d’Orange en janvier et avril 2014 et les articles de presse peux valorisants pour la marque et inquiétant pour ses clients. Le règlement européen prévoir d’obliger toutes les entreprises d’informer l’ensemble des propriétaires dont la sécurité a été compromise suite à un piratage, une perte ou à un vol de données personnelles ou de matériel contenant des données personnelles. Ainsi, on ne parle plus d’un risque financier, mais d’un risque de mauvaise réputation des entreprises face à leurs clients et concurrents…

Concrètement, que faut-il faire pour de mettre en conformité avec la CNIL ?
L’aritcle premier de la Loi définit que l’informatique doit être au service de chaque citoyen. Son développement doit s’opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques.

L’article 2 précise que la loi s’applique aux traitements de données à caractère personnel contenues ou appelées à figurer dans des fichiers.

Enfin l’article 22 indique que les traitements de données à caractère personnel font l’objet d’une déclaration auprès de la CNIL

En d’autres termes, pour se mettre en conformité, il faut déclarer à la CNIL l’ensemble des traitements de données qui concernent des informations permettant d’identifier des personnes.

Je tiens à préciser qu’on ne déclare pas ou on ne donne pas à la CNIL ses données, on ne déclare que des traitements de données à caractères personnel.

Lien vers le Loi Informatique et Libertés http://www.cnil.fr/documentation/textes-fondateurs/loi78-17/

Mon conseil en 4 étapes pour se mettre en conformité avec la CNIL
1) Identifier l’ensemble des traitements de données permettant d’identifier des personnes.

2) Procéder à l’analyse détaillée de ses traitements et corriger les actions qui ne sont pas conformes à la Loi Informatique et Libertés en terme de sécurité des fichiers, de confidentialité des données, de durée de conservation des documents, d’information des personnes, de demande d’autorisation et de finalité des traitements.

3) Déclarer le traitement à la CNIL ou désigner un Correspondant Informatique et Libetés  qui sera chargé de tenir à jour un registre des traitements sans avoir à les déclaréer séparément.

4) Faire un à deux points par an pour reporter dans le registre les changements sur les traitements existants et les y ajouter les nouveaux.

En cas d’impossibilité d’adapter votre traitement de données personnelles par rapport à la loi Informatique et Libertés, une demande d’avis ou d’autorisation doit être formulée à la CNIL.

Bien évidemment, la réponse de la CNIL doit être attendue avant d’utiliser le traitement concerné.

Une fois ces étapes de « mise sur rails » accomplie, la personne qui aura en charge la fonction de correspondant dans votre entreprise aura obligation de tenir un registre des traitements mis en œuvre au sein de l’organisme (consultable par la CNIL ou tout demandeur sur simple demande) et de veiller au respect des dispositions de la loi « informatique et libertés » au sein de l’organisme.

Est-on obligé de faire une déclaration pour chaque traitement ?
Oui et Non

Non si vous nommez un #correspondant Informatique et Libertés (#CIL). Qu’il soit interne à l’entreprise ou externe (si vous souhaitez déléguer la responsabilité  à quelqu’un d’externe à l’entreprise, comme je le fais pour de nombreuses entreprises). Le Cil n’aura alors qu’à tenir à jour un registre répertoriant l’ensemble des traitements de données à caractères personnel et leurs caractéristiques détaillées. Ce registre devra pouvoir être consultable par la CNIL mais auss par quiconque vous en fera la demande.

Oui si vous décidez de ne pas déclarer un Correspondant Informatique et Libertés.

Qui peut être ou devenir CIL ?
La loi prévoit que le correspondant Informatique et Libertés est une personne bénéficiant des qualifications requises pour exercer ses missions.
Aucun agrément n’est prévu et aucune exigence de diplôme n’est fixée.
Néanmoins, le CIL doit disposer de compétences variées et adaptées à la taille comme à l’activité du responsable des traitements.
Ces compétences doivent porter tant sur l’informatique et les nouvelles technologies que sur la réglementation et législation relative à la protection des données à caractère personnel.
…
L’absence de conflit d’intérêts avec d’autres fonctions ou activités exercées parallèlement est également de nature à apporter les garanties de l’indépendance du CIL. C’est pourquoi la fonction de correspondant est incompatible avec celle de responsable de traitements. Sont concernés le représentant légal de l’organisme (ex. : le maire / le PDG) et les autres personnes participant à la prise de décisions en matière de mise en oeuvre des traitements (ex. : les conseillers municipaux / les personnes disposant d’une délégation de pouvoirs).

Des difficultés pour vous mettre en conformité ?
Pour vous mettre en conformité avec la CNIL, il vaut mieux être sensibilisé à la loi Informatique et Libertés et aux règles et obligations qui en découlent (obligation d’information, droit d’accès, traitement des réclamations…).

Pour que votre mise en règle se fasse dans de bonnes conditions, nous pouvons nous charger de former et de suivre une personne de votre entreprise qui jouera le rôle de CIL (Correspondant Informatique et Libertés) ou bien, si vous le préférez, pour encore plus de tranquillité, Denis JACOPINI, expert Informatique spécialisé en protection des données personnelles, peut se charger d’être votre CIL externe en se chargeant de prendre en charge l’ensemble des formalités.

Plus de détails sur la CNIL
La CNIL est une AAI (Autorité Administrative Indépendante). C’est une structure gérée par l ‘état qui ne dépent d’aucun ministère et qui peut dresser des procès verbaux et sanctionner sans même à avoir à passer par un juge. La CNIL dépend directement du premier ministre qui peut en dernier recours, directement prendre des mesures pour mettre fin aux manquements.

Quelques chiffres

Audit en sécurité informatique : Liste des risques

Risques physiques

• Incendie ;
• Dégât des eaux, crue ;
• Pollution ;
• Accidents majeurs.

Risques naturels

• Phénomène climatique ;
• Phénomène sismique, volcanique ;
• Phénomène météorologique.

Perte de services essentiels

• Défaillance de la climatisation ;
• Perte d’alimentation énergétique ;
• Perte des moyens de télécommunication.

Rayonnements

• Rayonnements électromagnétiques ;
• Rayonnements thermiques.

Compromission des informations et des fonctions

• Interception de signaux parasites compromettants ;
• Espionnage à distance ;
• Ecoute passive ;
• Vol de supports ;
• Vol de documents ;
• Vol de matériels ;
• Divulgation interne ;
• Divulgation externe ;
• Piégeage du matériel ;
• Utilisation illicite du matériel ;
• Abus de droit ;
• Usurpation de droit ;
• Fraude ;
• Altération du logiciel ;
• Copie frauduleuse du logiciel ;
• Utilisation de logiciels contrefaits ou copiés ;
• Altération des données ;
• Utilisation de données personnelles dans autorisation ;
• Traitement de données personnelles nos déclarés
• Atteinte à la disponibilité du personnel.

Défaillances techniques

• Panne du matériel ;
• Dysfonctionnement du matériel ;
• Saturation du matériel ;
• Dysfonctionnement logiciel ;
• Atteinte à la maintenabilité du SI.

Agressions Physiques, Erreurs

• Destruction des matériels ;
• Reniement d’actions ;
• Erreurs de saisie ;
• Erreur d’utilisation.

Découvrez comment vous mettre facilement en conformité avec le RGPD et la CNIL 

Afin de vous accompagner dans votre mise en conformité avec la CNIL, nous vous proposons un parcours destiné à :

– Auditer vos systèmes de traitements de données personnelles;

– Mettre en conformité un premier traitement de données personnelles avec la CNIL;

– Déclarer un Délégué à la Protection des Données ;

– et former ce Déclarer un Délégué à la Protection des Données ;

– Assurer la veille nécessaire

Besoin d’informations complémentaires ?

1°/ Consultez notre page explicative

2°/ Contactez-nous

Contactez-nous

Denis JACOPINI
formateur n°93 84 03041 84

Denis JACOPINI sur LCI : Les techniques des cybercriminels pour pirater votre CB

En direct sur LCI avec Serge Maître Maître, président de l’AFUB (Association Française des Usagers des Banques) et Nicolas CHATILLON, Directeur du développement-fonctions transverses du groupe BPCE et Denis JACOPINI, Expert informatique assermenté spécialisé en cybercriminalité débattent le 7 mars 2016 sur les techniques des cybercriminels pour vous pirater votre CB.

[youtube https://www.youtube.com/watch?v=zPOt_h5Qb84?feature=oembed&w=610&h=343]

http://lci.tf1.fr/france/societe/cartes-bancaires-les-fraudeurs-ont-toujours-une-longueur-d-avance-8722056.html

Une liste non exhaustive avec 10 techniques de cybercriminels pour vous pirater votre carte bancaire :
http://www.lenetexpert.fr/10-techniques-de-cybercriminels-pour-vous-pirater-votre-carte-bancaire/

Le phishing, ça c’était avant : place aux fraudes au paiement par autorisation dans lesquelles on vous fait dire OK par téléphone

Le APP (Authorised Push Payment Fraud – fraude au paiement par autorisation) serait une des techniques de fraude en forte croissance au Royaume Uni, et combinerait des techniques sophistiquées, au travers de SMS et d’appels, pour soutirer de l’argent aux victimes. 19 370 cas auraient été répertoriés au Royaume Uni au cours de ces 6 derniers mois selon le daily mail. Quelles sont les techniques ici employées ? La France est-elle touchée ? 

Denis Jacopini : Cette technique de fraude utilise de nombreux ingrédients de base :

• L’ingénierie sociale (pratique utilisant des techniques de manipulation psychologique afin d’aider ou nuire à autrui)
• L’usurpation (d’identité);
• Le passage en mode émotionnel par la peur ;
• L’interlocuteur est votre sauveur et est là pour vous aider.

Dans le cas précis, nous avons aussi :

• L’usurpation du nom de la banque ;
• L’usurpation du numéro de téléphone de la banque ;
• Le passage en mode émotionnel de la victime basé sur la peur du piratage mais heureusement elle est en ligne avec un sauveur (baisse de la prudence, confiance aveugle…) ;
• La création d’une ambiance téléphonique de centre d’appel ;
• Un excellent comédien qui joue le rôle de l’employé de banque ;
• Une excellente connaissance des procédures internes des banques dont la banque usurpée.

En France, ce type d’arnaque n’est pas encore médiatisé. En effet, les banques n’aiment pas tellement communiquer sur leurs failles car :

• Ce n’est pas bon pour leur image ;
• Elles sont ensuite obligées de dépenser beaucoup pour corriger ;
• Elles préfèrent investir lorsque la fraude commence à leur coûter plus cher que les mesures de sécurité à mettre en place (gestion du risque).

Ces nouvelles techniques de fraude marquent elles une réelle professionnalisation de cette forme de criminalité ? 

Denis Jacopini : Cette forme de criminalité existe depuis très longtemps et n’a pas attendu l’informatique et Internet pour se développer et se professionnaliser. Prétexter un gros risque et usurper l’identité des pompiers, des policiers, du plombier en utilisant leur costume, leur jargon, leur outils pour vous rassurer et reviennent ensuite pour mieux vous arnaquer ou vous cambrioler existe depuis que les escrocs existent.

Plus récemment, Gilbert Chikli Pionnier de l’arnaque au faux président, utilisait des techniques de manipulation psychologique et se servait de sa parfaite connaissance des procédures internes aux très grandes entreprises et sa maîtrise du langage juridique ou financier en fonction de l’identité de la personne usurpé pour obtenir de ses victimes des virements définitifs pour des sommes détournées de plusieurs dizaines de millions d’euros.

Chaque fois que des techniques d’arnaque ou d’escroquerie sont déjouées, décortiquées et dévoilées au grand jour, il y a des millions d’escrocs du dimanche vont analyser l’arnaque pour la reproduire et l’utiliser pour eux. Une fois que l’arnaque commence à être connue et de plus en plus de gens sont sensibilisés, les escrocs professionnels et utilisant leur génie à des fins illicites modifient leurs techniques pour toujours utiliser des moyens basés sur les ingrédients de base + des failles inexploitées utilisant ou non la technologie.

Comme les banques ont mis en place des mesures de sécurité utilisant l’internet, le SMS, le téléphone, les escrocs utilisent ces mêmes technologies en recherchant le moyen d’exploiter les failles qui ne seront jamais suffisamment protégées : Les failles du cerveau humain.

Quels sont les réflexes à avoir pour éviter tout problème de ce type ?

Denis Jacopini : Le seul moyen que nous avons pour nous protéger est d’une part la prudence ultime en plus de la sensibilisation. Selon moi, les médias devraient signaler ce type d’arnaque afin de sensibiliser le plus grand nombre. Cependant, cette solution ne plait pas aux banques qui considèrent inutile de répandre la peur car cela risquerait d’écorcher de manière irréversible la confiance que nous avons mis des années à avoir envers les moyens de paiement électronique sur Internet.

A notre niveau, si j’ai un conseil à vous donner pour éviter tout problème de ce type, si vous vous trouvez dans une situation anormale qui vous est présenté par un interlocuteur, contactez directement l’établissement à l’origine de l’appel à partir des coordonnées dont vous disposez, et allez jusqu’au bout de la vérification AVANT de réaliser des opérations financières irréversibles et partagez le plus possible les cas d’arnaques.

Quand on sait à quoi ressemble le loup, on ne le fait pas rentrer dans sa bergerie. Par contre, s’il met un nouveau costume, le piège fonctionnera tant que ce nouveau costume ne sera pas connu du plus grand nombre. (d’où l’utilité de mon livre CYBERARNAQUES 😉

https://www.amazon.fr/Cyberarnaques-Denis-JACOPINI/dp/2259264220

Comment se protéger sur Internet ? Denis JACOPINI vous répond sur Sud Radio à l’occasion de la présentation de son livre « CYBERARNAQUES : S’informer pour mieux se protéger »

« Puisse cet ouvrage avoir de nombreux lecteurs ! Il ne devrait pas plaire aux arnaqueurs, car il est un réquisitoire contre leur perfidie et, sans aucun doute, une entrave à leur chiffre d’affaire. »
Général d’armée (2S) Watin- Augouard

[youtube https://www.youtube.com/watch?v=usg12zkRD9I?feature=oembed&w=610&h=343]

Commandez CYBERARNAQUES

Plutôt qu’un inventaire, Denis Jacopini, avec la collaboration de
Marie Nocenti, a choisi de vous faire partager le quotidien de
victimes d’Internet en se fondant sur des faits vécus, présentés
sous forme de saynètes qui vous feront vivre ces arnaques en
temps réel. Il donne ensuite de précieux conseils permettant de
s’en prémunir. Si vous êtes confronté un jour à des circonstances
similaires, vous aurez le réflexe de vous en protéger et en éviterez
les conséquences parfois dramatiques… et coûteuses.
Un livre indispensable pour « surfer » en toute tranquillité !

Denis Jacopini est expert judiciaire en informatique, diplômé en
cybercriminalité et en droit, sécurité de l’information et informatique
légale à l’université de droit et science politique de Montpellier.
Témoin depuis plus de vingt ans d’attaques de sites Internet, de
piratages d’ordinateurs, de dépouillements de comptes bancaires
et d’autres arnaques toujours plus soigneusement élaborées,
il apprend aux professionnels à se protéger des pirates informatiques.
Marie Nocenti est romancière.

Comment se débarrasser d’un cryptovirus qui revient sans arrêt ?

Que ça soit à la suite des nombreux défaçages de sites Internet (piratage du site Internet et changement de la page d’accueil) dont ont été victimes des dizaines de milliers de sites Internet en 2015 ou à la suite de vagues de virus cryptant la quasi totalité des données de votre ordinateur et vous demandant de payer une rançon pour continuer à les utiliser, nous avons été surpris par les mesures prises par le ou les informaticiens.

En effet, à la suite d’échanges avec ces pompiers informatiques afin de vérifier les mesures prises à la suite de l’attaque informatique, nous avons eu, et leurs clients également, la désagréable surprise que leurs actions se restreignaient à nettoyer le ou les postes infectés et restaurer la dernière sauvegarde. En d’autres termes, excepté pour ceux profitant de cette situation pour constater que leurs systèmes de sauvegardes parfois lourdement facturés ne fonctionnait pas ou ne sauvegardait pas tout, la quasi totalité des techniciens contactés nous ont confirmé que le grand changement dans leurs procédure à la suite d’une telle attaque de pirate, consistait à renforcer la vérification des procédures de sauvegarde !!!

Vous l’aurez compris, la conséquence évidente que si l’on ne soigne pas la cause du mal et qu’on ne fait qu’atténuer les effets, le mal reviendra.

Sauf à que ça vous plaise de passer votre temps de restaurer des données à chaque nouvelle attaque, il est peut-être temps de changer quelque chose.

En cas d’attaque par ransomware (cryptovirus), nous vous recommandons de vous former ou d’utiliser un spécialiste pour suivre les étapes suivantes (l’ordre peut être adapté en fonction de vos priorités) :

1. Payer ? nous ne recommandons pas ça car non seulement vous favorisez le développement de ces actes en récompensant les cybercriminels, mais également rien ne vous assure que vous pourrez récupérer l’utilisation de vos fichiers et enfin, même si vous payez et que vous en avez pour votre argent, il est fort probable que le même pirate ou un autre vous piège à nouveau.
2. Constatez et recueillez les preuves ;
3. Conservez les preuves soit pour une analyse ultérieure en vue de la recherche d’un antidote, soit pour une analyse approfondie de la technique utilisée par le pirate informatique, soit pour pouvoir porter plainte (si vous avez une assurance ou pour vous protéger si votre système informatique victime contamine d’autres systèmes informatique , ce qui vous rendraient responsable) ;
4. Éventuellement, portez plainte ;
5. Nettoyez votre système informatique de toutes traces du virus ;
6. Pour éviter qu’elle se reproduise, analysez avec précision l’attaque informatique afin de trouver la faille utilisée pour pénétrer votre système informatique en vue de sa réparation;
7. Restaurez les données pour pouvoir remettre en route son système informatique le plus rapidement possible ;
8. Recherchez la faille ;
9. Corrigez la faille ;
10. Recherchez d’autres failles ;
11. Par prévention, corrigez d’autres failles et augmentez vos mesures de sécurité ;
12. Contactez éventuellement les autorités compétentes (Police, Gendarmerie, OCLCTIC, BETFI, votre CERT, le CERTA, PHAROS…) ;

Denis JACOPINI, Expert Informatique assermenté, est spécialisé en cybercriminalité et en protection des données personnelles pourra vous accompagner pour chacune de ces étapes.

Contactez-nous

Vous êtes une société d’informatique démunie devant une situation spécifique, il n’y a aucun inconvénient à vous faire aider par un spécialiste en cybercriminalité. Nous pouvons également vous accompagner.

Remarque :

Certaines de ces étapes peuvent être longues et nécessiteront un accès à distance de votre installation.

Comment détecter les arnaques sur Internet ? Denis JACOPINI vous en parle sur Europe 1 à l’occasion de la présentation de son livre « CYBERARNAQUES : S’informer pour mieux se protéger »

« Puisse cet ouvrage avoir de nombreux lecteurs ! Il ne devrait pas plaire aux arnaqueurs, car il est un réquisitoire contre leur perfidie et, sans aucun doute, une entrave à leur chiffre d’affaire. »
Général d’armée (2S) Watin- Augouard

[youtube https://www.youtube.com/watch?v=XgH6P7S4Lv0?feature=oembed&w=610&h=343]

Commandez CYBERARNAQUES

Plutôt qu’un inventaire, Denis Jacopini, avec la collaboration de
Marie Nocenti, a choisi de vous faire partager le quotidien de
victimes d’Internet en se fondant sur des faits vécus, présentés
sous forme de saynètes qui vous feront vivre ces arnaques en
temps réel. Il donne ensuite de précieux conseils permettant de
s’en prémunir. Si vous êtes confronté un jour à des circonstances
similaires, vous aurez le réflexe de vous en protéger et en éviterez
les conséquences parfois dramatiques… et coûteuses.
Un livre indispensable pour « surfer » en toute tranquillité !

Denis Jacopini est expert judiciaire en informatique, diplômé en
cybercriminalité et en droit, sécurité de l’information et informatique
légale à l’université de droit et science politique de Montpellier.
Témoin depuis plus de vingt ans d’attaques de sites Internet, de
piratages d’ordinateurs, de dépouillements de comptes bancaires
et d’autres arnaques toujours plus soigneusement élaborées,
il apprend aux professionnels à se protéger des pirates informatiques.
Marie Nocenti est romancière.

Notre avis sur le choix des logiciels de sécurité

Je tiens à préciser, en préambule, que les informations suivantes sont destinées à un public d’utilisateurs. Les professionnels de l’informatique ne devraient pas apprendre grand chose, enfin je l’espère !

Denis JACOPINI

Définition du Virus

Selon Wikipédia :

Un virus informatique est un automate autoréplicatif à la base non malveillant, mais aujourd’hui souvent additionné de code malveillant (donc classifié comme logiciel malveillant), conçu pour se propager à d’autres ordinateurs en s’insérant dans des logiciels légitimes, appelés « hôtes ». Il peut perturber plus ou moins gravement le fonctionnement de l’ordinateur infecté. Il peut se répandre par tout moyen d’échange de données numériques comme les réseaux informatiques et les cédéroms, les clefs USB, etc.

Selon Denis JACOPINI :

Un virus informatique ou plus généralement un programme informatique malveillant, faisant partir d’une catégorie de programmes appelé communément « malware » et par moi même un « méchangiciel », est un programme informatique volontairement développé pour nuire à un ou à des système informatiques ou industriels, à une personne ou à un groupe de personnes ciblés ou non. Il peut avoir 4 objectifs différents :

• Soutier de l’argent ;
• Montrer une supériorité technique ou à la suite d’un défit lancé face à une protection sois-disant invulnérable ;
• Se venger ou transmettre un message (comme par exemple les plusieurs dizaines de milliers de sites Internet défigurés à la suite des attentes de Charlie Hebdo en janvier 2015);
• Espionner un individu ou une organisation (pratique couramment utilisée dans les hautes sphères bancaires, industrielles, étatiques…).
• Un virus informatique ou plus généralement un programme informatique malveillant,l

Les moyens utilisés par les pirates

Autrefois

Notre expérience de plusieurs dizaines d’années en matière de virus et d’antivirus a d’abord fait ressortir que tout fichier qui a été infecté, lors qu’il est désinfecté ne revient pas dans sa position d’origine. Ce que j’appelle des cicatrices, sont la résultante de l’incapacité d’un antivirus de retirer la totalité d’un virus d’un fichier infecté, mais seulement le code qu’il connait, et ceci de manière incomplète. Le résultat final est un fichier désinfecté différent de l’original, sont le nettoyage incomplet peut engendrer des dysfonctionnement complètement imprévisibles. Sachez que cet inconvénient ne concerne désormais que les quelques rares cas où les fichiers indispensables au lancement de l’ordinateur ont vu leur contenu modifié par le virus, garantissant ainsi à la bête un hôte numérique.

C’était la bonne époque (pour les informaticiens). Un ordinateur infecté était lent, affichait intempestivement des publicités, nous redirigeait vers des sites internet indésirés, ou parfois rendaient l’ordinateur tellement inutilisable qu’il fallait l’emmener chez le réparateur pour le « formatter » et réinstaller Windows ». C’étai l’époque des virus qui touchaient essentiellement les PC et qui laissent une paix royale aux appareils sérigraphiés d’une Pomme croquée.

Aujourd’hui

Aujourd’hui, les objectifs des « méchangiciels » (logiciels malveillants) sont tout autres.

Soit le programme malveillant est parfaitement visible, c’est le cas des CryptoVirus qui ont pour unique objectif de prendre en otage vos données pour vous demander en échange une rançon, soit le programme de la fripouille est complètement invisible et son objectif n’est plus de se montrer, mais plutôt de se cacher, rester invisible et inconnu, pour vous espionner et dérober en silence la totalité des informations présentes sur votre système informatique (photos, courriers, factures, relevés de compte, informations bancaires, informations confidentielles et sensibles…), autant dire la totalité de votre vie pour certains.

Nous avons analysé les différents moyens utilisés par les pirates informatiques pour vous piéger. Pour rester simple, même si certains des moyens utilisés par ces hackers de génie sont purement basés sur des connaissances approfondies de la techniques et des failles de la technologie désormais omniprésente, le plus grand nombre des actions sont menées par des pirates informatique en herbe, vulgaires copieurs de techniques ayant malheureusement largement fait leurs preuves : l’ingénierie sociale (l’art de manipuler l’humain par ses failles comportementale qu’il est possible de découvrir en s’intéressant à la PNL).

Seule une petite poignée de génies dans le monde met au point des nouvelles techniques de piratage. Les millions d’autres adeptes des délits informatiques dispersés sur toute la planète numérique ne font qu’apprendre et mettre en pratique ce que des vidéos parfois très professionnelles détaillent sur Internet, utiliser tels quels des packs « spécial piratage » vendus sur le marché noir d’Internet « le Black Market » ou pour les moins mauvais, transformer ou « améliorer » ces pack, pour les personnaliser avec leur signature et leur code spécifique qui sera probablement temporairement indétectable.

Ainsi, pour vous piéger, les voleurs se sont spécialisés. Rares sont ceux qui vont utiliser plusieurs techniques mais vous, utilisateurs avertis, devez désormais vous protéger contre les attaques suivantes :

• Pièce jointe piégée
  C’est la méthode d’attaque la plus répandue.  Pour rester simple : au travers d’un e-mail bien présenté et bien tentant , le pirate va essayer de vous faire ouvrir une pièce jointe. Cette pièce jointe, pouvant contenir ou pas un virus aura comme fonction de modifier le système pour qu’un programme indésiré se lance à chaque démarrage. Une fois la modification effectuée, il est fort probable que le pirate informatique puisse facilement savoir ce que vous tapez au clavier et ce qui s’affiche sur votre écran. A ce stade, il ne sert plus à rien d’utiliser des mots de passe complexes qui respectent l’ensemble des précautions dictées par les organismes les plus surs, car même si votre mot de passe fait 50 caractères, le pirater peut en prendre connaissance quasiment en temps réel. Le programme ainsi déposé dans votre outil numérique s’appelle un « spyware » ou « espiongiciel » ou plus simplement logiciel espion.
• Site Internet piégé
  Cette autre méthode d’infection de votre ordinateur est basée soit :
  • par la contamination un site internet existant à forte fréquentation (technique du waterhole) ;
  • par la création d’un site internet contaminé proposant un contenu à fort pouvoir attractif (par exemple un soir de finale de football seulement accessible sur une chaîne cryptée mais accessible gratuitement sur ce site spécialement créé pour l’occasion par les pirates) ; La technique d’infection consiste à exploiter les failles de votre navigateur pour qu’il lance un programme malveillant, comme si vous aviez téléchargé cliqué et lancé le programme malveillant caché dans une pièce jointe d’e-mail.

• Lien dans un e-mail vers un site Internet Piégé
  C’est un mélange de « Pièce jointe piégée » et de « Site Internet piégé ». Vous recevez dans un e-mail un lien vous invitant à cliquant à cliquer. Ce lien vous emmène vers un site internet piégé.
• Clé USB piégée
  Très souvent utilisée pour piéger les P.D.G. ou les personnes à haute responsabilité, cette technique utilise le comportement pré-programmé identique à celui que l’on a lorsque nos mains découvrent un briquet : Elles ne peuvent s’empêcher à faire glisser la roulette ou à appuyer sur le percuteur (même si on sait déjà que le briquet fonctionne…). Pour la clé USB c’est pareil. Dès qu’on trouve une Clé USB, (les pirates informatiques les plus efficaces savent très bien ou la placer  et notre formation « Virus, arnaques et piratages informatiques, risques et solutions pour nos entreprises » vous en dira plus), on ne peut s’empêcher de la clisser dans un port USB pour voir ce qui s’y trouve.
  Sachez qu’une clé USB adaptée peut en une fraction de secondes vous injecter un logiciel espion, collecter un grand nombre d’informations dont l’ensemble des identifiants et mots de passe de vos navigateurs et envoyer le tout au pirate informatique par la liaison Internet du poste ainsi piégé.
• Intrusion par le réseau
  En passant par la porte principale (port réseau) ou par la fenêtre (en piratant la clé de votre connexion Wifi), le pirate informatique peut aisément s’introduire dans votre réseau, chercher les failles de vos équipements (y compris les objets connectés) et prendre leur contrôle. Le cas le plus fréquent est la prise de contrôle d’une TV, d’une caméra, mais aussi d’un ordinateur portable, de sa WebCam pour vous voir, de son microphone pour vous écouter, de son clavier pour savoir ce que vous tapez, de son écran pour savoir ce que vous voyez, des processus en mémoire pour savoir ce que vous lancez et même des fichiers pour savoir ce que vous avez fait par le passé.
• Intrusion par Internet
  Comme pour les intrusions par le réseau, détecter les failles de vos équipements Internet permettra d’accéder à distance à votre réseau. Nous ne détaillerons pas plus cette complexe technique mais sachez qu’elle existe.
• D’autres techniques
  Notre formation « Virus, arnaques et piratages informatiques, risques et solutions pour nos entreprises » vous explique de très nombreuses autres techniques utilisées par les pirates informatiques mais aussi, comment, avec des bonnes pratiques pour la plupart « gratuites », vous pouvez vous protéger des pirates informatiques.
  Contactez-nous pour en savoir plus.

Comment se protéger ?

Au delà des bonnes pratiques pour la plupart « gratuites », pour vous protéger des pirates informatiques que vous pouvez découvrir lors de notre formation « Virus, arnaques et piratages informatiques, risques et solutions pour nos entreprises » (Contactez-nous pour en savoir plus), vous pouvez aussi installer des logiciels de sécurité.

Nombreux sont ces logiciels qui vous promettent monts et merveilles mais sachez qu’aucun n’est fiable à 100%, aucun ne vous garantira une protection fiable et parfaite.

Même s’il existe encore des informaticiens qui ont tendances à vous rassurer à coups d' »Antivirus et de Firewall », sachez que ces techniques de protection sont complètement dépassées (10 ans en informatique est dinosoresque).

Certes, le logiciel de pack de sécurité que vous devez choisir doit comporter une fonction Antivirus et pare-feu (ou firewall), mais il doit aussi comporter des fonctions permettant de détecter à votre place les logiciels malveillants, les e-mails malveillants, les sites internet malveillants, surprotéger les sites internet bancaires, proposer des fonctions de bac à sables (sandbox).

Logiciel Gratuit ou Payant ?

Cette question revient souvent sur le tapis. Est-ce qu’un logiciel de sécurité gratuit est aussi efficace qu’un logiciel payant ?

J’imagine que vous connaissez déjà la réponse. Peut-on vous demander de travailler gratuitement et conjointement en retour les mêmes engagements et les mêmes responsabilités que si vous étiez payé pour les apporter ? C’est la même chose pour les autres et encore plus en matière de sécurité.

La grande différence entre un logiciel de sécurité et un autre réside dans l’équipe de développeurs, ingénieurs et techniciens qui s’y trouve rattachée. Développer un logiciel demande du temps mais détecter de nouveaux virus, chevaux de troie, spywares, botnets etc. en demande encore plus.

1. Détection
   Avant de pouvoir identifier un nouveau programme malveillant il faut d’abord en détecter les symptômes. Tous les programmes hostiles ne se déclenchent pas immédiatement. Certains programmes dormants se déclenchent seulement à partir d’une certaine date, d’autres à partir d’une certains action, d’autres encore à la demande du pirate qui aura une forme de télécommande pouvant piloter son jouer à distance. Avant de mettre au point une protection, vous l’aurez compris, au aura fallu au moins un ou plusieurs cas d’infection avérée.
2. Analyse
   Une fois les symptômes identifiés, il faudra ensuite dérouler la pelote pour comprendre le fonctionnement et remonter jusqu’à ce qui les ont causés. C’est à cette étape que les équipes d’ingénieurs feront toute la différence. C’est là que les équipes ayant des moeysn plus faibles peuvent faire la différence.
3. Protection
   Enfin, une fois le code venimeux détecté et identifié, une protection peut être mise en place sur l’ordinateur dont le fonctionnement et l’intégrité sont à protéger. Elle se fera sous forme de miseà jour, que certains éditeurs attendent avec impatience pour la décrypter et ainsi mettre à jour leur propre outil de sécurité informatique.

Voilà une des raisons pour lesquelles, un logiciel gratuit avec des moyens réduits, peut protéger un ordinateur avec brio. Les tests comparatifs prennent rarement en compte leur réactivité face à de nouvelles menaces. C’est face à de telles explosions de cybermenaces (1. Le nombre d’attaques cybercriminelles multiplié par 5 au cours du mois de février 2016 par rapport aux autres mois de l’année) que la consistance des équipes font la différence. Ainsi, il ne faut pas seulement un logiciel capable de détecter les nouvelles cybermenaces, il ne faut pas seulement non plus un logiciel de sécurité capable de protéger votre ordinateur contre les nouvelles cybermenaces, mais il faut désormais un système de sécurité capable de détecter et protéger un système informatique « le plus vite possible dès la découverte d’une nouvelle cybermenace ».

Notre conseil

J’ai été depuis 1996 directeur d’une société d’informatique. J’avais une équipe commerciale, de développeurs et de techniciens. Les années 2000 se sont traduites par la création de 4 postes rattachées au Web (développeur, graphiste et commerciaux) mais aussi par un doublement des postes de techniciens pour faire face à l’explosion du nombre de pannes informatiques causées par les virus (nous réparions parfois par semaine entre 20 et 50 ordinateurs). Pendant presque une vingtaine d’année nous avons pu voir arriver plusieurs milliers d’ordinateurs infectés et constater les antivirus présents sur ces ordinateurs mal en point.

Nous nous sommes servi de cette expérience pour identifier à la fois les antivirus que l’on retrouvaient dans la très grande majorité des cas (les antivirus et les logiciels de sécurité gratuits) et ceux qui, malgré qu’ils soient payants avaient mal protégé leur hôte. Cette analyse nous a aussi permis de constater que quasiment aucun ordinateur infecté n’était équipé de l’antivirus d’un certain éditeur.

Au risque de voir notre réputation entachée et afin de valider notre analyse, nous avons ensuite choisi de conseiller à tous ces utilisateurs piégés souhaitant mettre une solution de sécurité de proposer le logiciel de sécurité de cet éditeur pourtant discret.

Le système de sécurité que nous conseillons n’a pas été choisi parce qu’il est le meilleur, parce qu’il est le moins cher ou parce qu’il nous a permis d’engendrer le plus grand bénéfice (ce qui n’est d’ailleurs pas le cas), nous l’avons choisi par retour d’expérience et surtout nous l’avons choisi parce que parmi les milliers d’ordinateurs infectés par des virus passés entre nos mains, quasiment aucun n’avaient ce logiciel de sécurité.

Découvrez notre conseil sur www.protection-malwares.lenetexpert.fr

Le choix du logiciel vous appartient, mais le logiciel que vous devez choisir doit avoir toutes les fonctions permettant de compenser les failles du principal responsable si vous vous faites piéger. Ce responsable, vous l’aurez deviné, est placé entre la chaise et le clavier c’est vous. Vous devez désormais intégrer qu’ils ne s’agit plus de compter sur la technologie pour vous protéger; les logiciel de sécurité sont là au cas où vous auriez un doute, mais le mieux que vous puissiez faire pour vous protéger est de vous tenir informé des techniques utilisées par les pirates informatiques pour nous piéger.

Nous avons pu voir pendant ces trente dernière années l’imagination sans limite dont on fait preuves les pirates informatiques et on peu conclure sans risque que ce n’est pas une légende, on ne peut pas tout protéger et on ne peut que se retrouver donc dans une position où on n’a pas d’autre choix que de laisser un coup d’avance au pirates informatiques.

Tous les combien doit-on changer son mot de passe ?

• Vous constatez quelque chose d’anormal associé à votre compte ;
• Vous perdez ou lorsque vous est volé un appareil dans lequel ont été cochés l’enregistrement des mots de passe réseau ou dans les navigateurs ;
• Le fournisseur de service vous avertit s’être fait pirater son système informatique (encore faut-il qu’il l’ait équipé de sondes de détection d’intrusion et de détecteurs de fuites de données).