Alerte : Une faille permet aux hackers de contrôler les connexions internet des particuliers

La vulnérabilité récemment détectée permet au pirate d’installer son propre firmware sur l’appareil, qui continuera, en apparence, à fonctionner comme avant…mais en coulisses, des backdoors et autres fonctionnalités pirates feront leur apparition. Le hacker sera capable de lire tout le trafic non-chiffré passant par le routeur : non seulement les communications appareil-internet, mais aussi celles établies entre deux appareils. Il pourra également manipuler le navigateur de la victime afin de la rediriger vers des sites malveillants.

« En remplaçant le firmware, le pirate peut changer n’importe quelle règle du routeur », explique Janne Kauhanen, Cyber Security Expert chez F-Secure. « Vous regardez du contenu vidéo stocké sur un autre ordinateur ? Alors, le pirate y a lui aussi accès. Vous mettez un jour un autre appareil à partir du routeur ? Pourvu que l’appareil en question ne renferme pas d’importantes vulnérabilités, sinon le pirate pourra également s’en saisir. Bien entendu, le trafic https est chiffré. Les pirates n’y auront pas accès facilement. Ils peuvent néanmoins vous rediriger systématiquement vers des sites malveillants afin d’installer des malware sur votre machine. »

« Le type de routeur en question reçoit des mises à jour firmware depuis un serveur associé au fournisseur d’accès de l’utilisateur. Problème : les routeurs vulnérables ne vérifient pas si la mise à jour est valide, ni si elle vient de la bonne source. Un pirate qui a déjà eu accès au trafic circulant entre le routeur et le serveur de mise à jour du FAI (par exemple, en accédant à la distribution réseau de l’immeuble où se trouve l’appartement) peut installer son propre serveur de mises à jour. Il peut ensuite installer son firmware malveillant.

Les chercheurs expliquent qu’il ne s’agit que de la partie émergée de l’iceberg en matière de sécurité routeurs. Les ordinateurs sont de mieux en mieux protégés mais les utilisateurs ignorent souvent que le routeur peut être lui aussi vulnérable.

« C’en est ridicule de constater à quel point les routeurs vendus sont peu sécurisés », explique Janne Kauhanen. « Nous trouvons des vulnérabilités routeurs en permanence. Les firmware utilisés par les routeurs et les objets connectés sont mal conçus. L’aspect sécurité est négligé tant par les fabricants que par les clients. Personne n’y porte attention, si ce n’est le pirate, qui utilise les vulnérabilités pour détourner le trafic internet, voler des informations, répandre des malware. »

La vulnérabilité détectée, bien que sévère, n’est pas immédiatement exploitable. Un pirate doit avoir déjà acquis une certaine position sur le réseau, en réalisant une incursion entre le routeur et le point d’entrée internet. Les routeurs concernés sur les Inteno EG500, FG101, DG201. D’autres modèles sont probablement concernés….[lire la suite]

Denis Jacopini anime des conférences et des formations et est régulièrement invité à des tables rondes en France et à l’étranger pour sensibiliser les décideurs et les utilisateurs aux CyberRisques (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84).

Nous animons conférences et formations pour sensibiliser décideurs et utilisateurs aux risques en informatique, découvrir et comprendre les arnaques et les piratages informatiques pour mieux s’en protéger et se mettre en conformité avec la CNIL en matière de Protection des Données Personnelles. Nos actions peuvent être personnalisées et organisées dans votre établissement.

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article

Les données d’une banque en partie détruites à la suite d’un test…

Une banque roumaine a fait face à un arrêt complet de ses systèmes de paiement ainsi que de ses distributeurs automatiques pendant environ 10 heures suite à un dysfonctionnement de son système d’alarme anti-incendie. L’événement est particulièrement rare et inhabituel : le son a été produit par la diffusion d’un gaz inerte au cours d’un test routinier du système d’alarme incendie.

Non seulement celui-ci a forcé le datacenter à passer hors ligne, mais il a également causé la destruction d’une douzaine de disques durs, ce qui a provoqué de sérieux dommages.

La semaine dernière, Daniel Llano, directeur de la banque ING a expliqué à ses clients que les dysfonctionnements avaient été causés par une propagation de gaz Inergen.

L’Inergen est utilisé pour éteindre des incendies sans avoir besoin de passer par un liquide ou de la mousse, les méthodes plus traditionnelles. Utile dans les espaces clos, le gaz Inergen est conservé sous forme compressé dans des cylindres et celui-ci est dispersé via le système de canalisation pour empêcher la propagation d’incendies.

En temps normal, cette technique est idéale pour les datacenters. Les liquides ou la mousse pourraient en effet facilement endommager les équipements les plus sensibles. Mais dans ce cas précis, quelque chose est allé de travers.

Lorsque le gaz a été propulsé dans le système de ventilation, la pression de celui-ci était bien trop forte, ce qui a produit un son incroyablement fort lors de la libération du gaz Inergen.

Un porte-parole d’ING a expliqué à nos confrères de Motherboard que « l’exercice s’est déroulé comme prévu, mais nous devons faire face à des dommages collatéraux. »

Une autre source citée par la publication précise que le son produit par le système s’est révélé bien plus fort qu’escompté. Évalué à plus de 130Db, celui-ci a largement dépassé l’échelle des outils de mesure du son mis en place par la banque. Malheureusement, le son provoque des vibrations, qui se sont propagées aux boîtiers des disques durs et ont endommagé les composants internes.

Motherboard relate que la situation pouvait être comparée au fait « de placer une baie de stockage à côté d’un moteur d’avion à réaction. »…[lire la suite]

Denis Jacopini anime des conférences et des formations et est régulièrement invité à des tables rondes en France et à l’étranger pour sensibiliser les décideurs et les utilisateurs aux CyberRisques (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84).

Nous animons conférences et formations pour sensibiliser décideurs et utilisateurs aux risques en informatique, découvrir et comprendre les arnaques et les piratages informatiques pour mieux s’en protéger et se mettre en conformité avec la CNIL en matière de Protection des Données Personnelles. Nos actions peuvent être personnalisées et organisées dans votre établissement.

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article

Le site de la Gironde infiltré par des pirates informatiques

Un piratage classique, malheureusement, mais qui démontre que même face à des internautes à la culture et au savoir informatiques faibles, les dégâts peuvent être importants. Le site du Département de la Gironde en est un parfait exemple. Il est pris pour une grande cours de récréation par des « pirates ». Pour preuve, la page « Troll » John Cena n’est pas l’unique passage malveillant que j’ai pu constater. D’autres pages ont été cachées, en ce mois de septembre, par des pirates informatiques différents [SirXL3 aka Kartz], avec plus ou moins de réussite. Les archives Zone H rappellent aussi que ce même site web avait été maltraité en avril 2016 par un barbouilleur baptisé Sneaky. En avril 2015, je vous expliquais comment d’autres malveillants du numérique s’étaient invités dans le site de l’association des maires de la Gironde…[lire l’article complet]

Denis Jacopini anime des conférences et des formations et est régulièrement invité à des tables rondes en France et à l’étranger pour sensibiliser les décideurs et les utilisateurs aux CyberRisques (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84).

Nous animons conférences et formations pour sensibiliser décideurs et utilisateurs aux risques en informatique, découvrir et comprendre les arnaques et les piratages informatiques pour mieux s’en protéger et se mettre en conformité avec la CNIL en matière de Protection des Données Personnelles. Nos actions peuvent être personnalisées et organisées dans votre établissement.

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article

Extension de règles de sécurité des opérateurs aux acteurs du Net en Europe

Équilibrer les obligations entre opérateurs et messageries en ligne ressemble souvent à un travail de funambule, dans lequel se lancerait la Commission européenne. Dans quelques jours, l’institution doit dévoiler une révision des règles télécoms en Europe. Selon un brouillon obtenu par Reuters, elle y introduirait des obligations de sécurité pour les services de messagerie en ligne, déjà appliquées par les opérateurs.

Des obligations de signalement des brèches

À la mi-août, plusieurs médias affirmaient que la Commission européenne comptait proposer cette parité entre acteurs. Le brouillon obtenu par Reuters viendrait donc confirmer cette piste. Dans celui-ci, les services « over the top » devront ainsi signaler les brèches « qui ont un impact important sur leur activité » aux autorités et disposer d’un plan de continuité de l’activité. Les services qui proposent des numéros de téléphone ou d’en appeler, comme Skype, devront aussi permettre les appels d’urgence.

Pourtant, ces règles pourront être plus légères pour ces services que pour les opérateurs classiques, dans la mesure où les services ne maîtrisent pas complètement la transmission des contenus via les tuyaux. Dans l’absolu, ces règles doivent réduire l’écart d’obligations entre les acteurs télécoms et ceux d’Internet, avec en toile de fond le combat entre des acteurs européens et des sociétés principalement américaines.

Rappelons que le règlement sur les données personnelles, voté en avril par le Parlement européen, doit lui aussi obliger les services à divulguer aux autorités les fuites de données, dans un délai court. En France, cette obligation ne concerne que les opérateurs.

Le moment est d’ailleurs pour celle-ci, le secteur télécom étant notamment le théâtre de lobbyings intenses. Elle a d’ailleursretiré une proposition de « fair use » pour la fin des frais d’itinérance il y a quelques jours, suite à des levées de bouclier du côté des associations de consommateurs, des opérateurs et des eurodéputés. Comme le rappelle Reuters, ce texte passera entre les mains du Parlement et du Conseil de l’Europe, avec des changements possibles à la clé…[lire la suite]

Denis Jacopini anime des conférences et des formations et est régulièrement invité à des tables rondes en France et à l’étranger pour sensibiliser les décideurs et les utilisateurs aux CyberRisques (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84).

Nous animons conférences et formations pour sensibiliser décideurs et utilisateurs aux risques en informatique, découvrir et comprendre les arnaques et les piratages informatiques pour mieux s’en protéger et se mettre en conformité avec la CNIL en matière de Protection des Données Personnelles. Nos actions peuvent être personnalisées et organisées dans votre établissement.

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article

Comment créer une copie d’écran la moins contestable possible ?

Il m’est arrivé, au début de mon activité d’expert judiciaire en informatique, d’assister des huissiers de justice lors de la constitution de preuves, en matière de publication sur internet.
En clair, il s’agissait souvent d’aider un huissier à faire des copies d’écran.

Puis, avec le temps, les compétences informatiques des huissiers ont fortement augmenté, et il devient rare que l’on me demande de l’aide pour faire une copie d’écran.

Pourtant…

Parfois une copie d’écran peut être refusée par un tribunal, si elle ne présente pas un caractère probant suffisant. Extrait d’un jugement :
« Attendu que si la preuve d’un fait juridique n’est, en principe, et ainsi qu’en dispose l’article 1348 du Code civil, soumise à aucune condition de forme, il demeure néanmoins que lorsqu’il s’agit d’établir la réalité d’une publication sur le réseau internet, la production d’une simple impression sur papier est insuffisante pour établir la réalité de la publication, tant dans son contenu, que dans sa date et dans son caractère public, dès lors que ces faits font l’objet d’une contestation ; qu’en effet, et comme le souligne le défendeur l’impression peut avoir été modifiée ou être issue de la mémoire cache de l’ordinateur utilisé dont il n’est pas justifié que cette mémoire ait été, en l’occurrence, préalablement vidée ; »

Je propose pour ma part une méthode de copie d’écran d’une page web qui me semble respecter les règles de l’art :

Étape 1 : Choisir un ordinateur « sûr » pour établir le constat.
Étape 2 : Vider le cache local.
Étape 3 : Vérifier les DNS.
Étape 4 : Afficher la page incriminée.
Étape 5 : Imprimer la page.
Étape 6 : Recommencer avec un autre navigateur.
Étape 7 : Recommencer avec un autre ordinateur et un autre réseau.

[Plus de détails ?]

Denis Jacopini anime des conférences et des formations et est régulièrement invité à des tables rondes en France et à l’étranger pour sensibiliser les décideurs et les utilisateurs aux CyberRisques (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84).

Nous animons conférences et formations pour sensibiliser décideurs et utilisateurs aux risques en informatique, découvrir et comprendre les arnaques et les piratages informatiques pour mieux s’en protéger et se mettre en conformité avec la CNIL en matière de Protection des Données Personnelles. Nos actions peuvent être personnalisées et organisées dans votre établissement.

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article

Mokes, une Backdoor sur Mac OS X

Au début de l’année, le monde de Linux et de Windows découvrait la porte dérobée Mokes. Kaspersky Labs avait alors écarté l’environnement OS X. Mais voilà qu’une  variante pour cet OS vient d’être découverte par la même équipe.

Stefan Ortloff, chercheur au sein de Kaspersky Lab, a publié plusieurs papiers techniques sur Seculist et en particulier sur cette version OS X de la backdoor. Mokes pour OS X reprend les mêmes caractéristiques que les variantes pour Windows et Linux. Elle se charge par exemple d’enregistrer les sons et de réaliser des captures d’écran toutes les 30 secondes du PC de la victime. La backdoor est capable de détecter la présence d’un support amovible de stockage comme une clé USB, mais également de surveiller la présence de fichiers précis comme les .docx, .doc, .xslx et .xls…[lire la suite]

Denis Jacopini anime des conférences et des formations et est régulièrement invité à des tables rondes en France et à l’étranger pour sensibiliser les décideurs et les utilisateurs aux CyberRisques (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84).

Nous animons conférences et formations pour sensibiliser décideurs et utilisateurs aux risques en informatique, découvrir et comprendre les arnaques et les piratages informatiques pour mieux s’en protéger et se mettre en conformité avec la CNIL en matière de Protection des Données Personnelles. Nos actions peuvent être personnalisées et organisées dans votre établissement.

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article

CNIL : nouvelle norme simplifiée pour la scolarité des mineurs

Le 10 décembre 2015, la Commission a adopté une norme simplifiée n°NS-058 qui fusionne et abroge les normes simplifiées n°NS-027 et n°NS-033. En effet, ces normes étaient désuètes et ne répondaient pas aux nouvelles préoccupations des acteurs concernés. Elle a été présentée sur le site de la Cnil le 12 août dernier.

Cette nouvelle norme permet de simplifier, pour ces traitements courants, les démarches des collectivités territoriales et des organismes en charge d’un service scolaire, périscolaire et de petite enfance. Elle offre un cadre unifié et adapté aux contraintes liée à la gestion de ces services.
Après avoir vérifié que leur traitement s’inscrit précisément dans le champ d’application de cette norme, les responsables de traitements de données concernés devront effectuer un engagement de conformité à la norme NS-058 auprès de la CNIL.

Les personnes concernées

Cette norme s’adresse aux collectivités territoriales, aux personnes morales de droit public et aux personnes morales de droit privé gérant un service public…[lire la suite]

En savoir plus

Le communiqué de la Cnil du 12 août dernier avec une présentation synthétique de la norme :
https://www.cnil.fr/fr/une-nouvelle-norme-simplifiee-ns-058-pour-la-gestion-des-affaires-scolaires-periscolaires
Le résumé succinct de la norme :
https://www.cnil.fr/fr/declaration/ns-058-affaires-scolaires-periscolaires-extrascolaires-et-petite-enfance
La norme NS-058 elle-même sur Légifrance :
https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000032788919

Denis Jacopini anime des conférences et des formations et est régulièrement invité à des tables rondes en France et à l’étranger pour sensibiliser les décideurs et les utilisateurs aux CyberRisques (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84).

Nous animons conférences et formations pour sensibiliser décideurs et utilisateurs aux risques en informatique, découvrir et comprendre les arnaques et les piratages informatiques pour mieux s’en protéger et se mettre en conformité avec la CNIL en matière de Protection des Données Personnelles. Nos actions peuvent être personnalisées et organisées dans votre établissement.

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article

Protection des données personnelles, plus que quelques mois pour se mettre en règle…

Pourtant, il y a de vraies conséquences en termes de responsabilités et de sanctions ! En cas de violation des dispositions du règlement, les pénalités peuvent atteindre un montant maximal de 4% du CA mondial d’un groupe ou de 20 Millions d’euros.

De plus, tout organisme public ou privé victime d’un piratage, d’une faille de sécurité ou de tout acte risquant de compromettre ou ayant compromis la sécurité (confidentialité, intégrité) de données personnelles aura 72 heures pour signaler l’incident à la CNIL.

L’organisme devra, dans la plupart des cas informer les victimes (comme Orange a été obligé de le faire à deux reprise en 2014).

Pas bon pour l’image ça !

Imaginez, des années pour construire votre réputation et en quelques heures :

1. Vous devez signaler à la CNIL que vous vous êtes fais pirater et que des données personnelles ont été compromises ;
2. Vous allez très probablement avoir droit à un contrôle de la CNIL qui va venir rechercher la cause de cette faille et par la même occasion faire le point sur votre mise en conformité ;
3. Pour couronner le tout (le 3ème effet Kiss Cool), vous risquez d’informer vos clients, salariés, fournisseurs que leurs données personnes ont été piratées sur votre système informatique. Imaginez leur réaction !!!  Toujours pas bon pour l’image ça !

La première étape pour se mettre en conformité est de s’informer et de sensibiliser le personnel qui a un rôle important à jouer dans cette mise sur rail.

Ensuite, il sera nécessaire de former une personne en particulier dans votre établissement. Actuellement il s’appellera CIL (Correspondant Informatique et Libertés), demain DPO (Délégué à la Protection des Données), cette personne va jouer un rôle clé dans votre mise en conformoté.

Il devra :

1. Contrôler le respect du règlement ;
2. Informer et conseiller le responsable du traitement (ou le sous-traitant en charge de cette mission) et les employés qui procèdent au traitement des données sur les obligations qui leur incombent.

Denis Jacopini anime des conférences et des formations et est régulièrement invité à des tables rondes en France et à l’étranger pour sensibiliser les décideurs et les utilisateurs aux CyberRisques (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84).

Nous animons conférences et formations pour sensibiliser décideurs et utilisateurs aux risques en informatique, découvrir et comprendre les arnaques et les piratages informatiques pour mieux s’en protéger et se mettre en conformité avec la CNIL en matière de Protection des Données Personnelles. Nos actions peuvent être personnalisées et organisées dans votre établissement.

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article

Piratage de l’électricité, de l’eau et de la nourriture : comment les cybercriminels peuvent ruiner votre vie

Cependant, même ceux qui connaissent tout en matière de cybersécurité, qui utilisent des mots de passe fiables et qui les changent régulièrement, qui reconnaissent des messages d’hameçonnage au premier coup d’œil et qui protègent leurs dispositifs avec une excellente solution de sécurité, même ceux qui font tout, ne sont pas totalement à l’abri. Tout simplement parce que nous vivons en société.

Le problème est que nous avons le contrôle sur nos objets personnels, mais pas sur celui des équipements industriels, qui est loin de notre portée.

Vous avez dit cybersécurité ?

Nos experts en cybersécurité ont mené une étude afin de découvrir où nous en sommes concernant la sécurité des systèmes de contrôle industriel.

Shodan, le moteur de recherche pour les dispositifs connectés, nous a montré que 188 019 systèmes industriels dans 170 pays sont accessibles sur Internet. La majorité d’entre eux sont localisés aux Etats-Unis (30,5%) et en Europe, essentiellement en Allemagne (13,9%), Espagne (5,9%) et en France (5,6%).

92% (172 982) des systèmes de contrôle industriel (SCI) détectés sont vulnérables. Lamentablement, 87% ont un niveau de risque moyen de bugs et 7% connaissent des problèmes critiques.

Ces cinq dernières années, les experts ont méticuleusement examiné de tels systèmes et y ont découvert de nombreuses failles de sécurité. Durant ce laps de temps, le nombre de vulnérabilités dans les composants SCI a multiplié par dix.

Parmi les systèmes que nos experts ont analysés, 91,6% ont utilisé des protocoles non sécurisés, en donnant l’opportunité aux cybercriminels d’intercepter ou de modifier les données utilisant des attaques de l’homme du milieu.

Egalement, 7,2% (environ 13 700) des systèmes appartiennent à de grandes compagnies aéronautiques, des transports et de l’énergie, pétrolières et gazières, métallurgiques, de l’industrie alimentaire, de la construction et autres secteurs primordiaux.

En d’autres termes, des hackers qualifiés peuvent influencer n’importe quel secteur économique. Leurs victimes (les entreprises piratées) porteraient préjudice à des milliers ou millions de personnes en leur fournissant de l’eau contaminée ou de la nourriture immangeable, ou en leur coupant le chauffage en plein hiver.

Qu’est-ce que cela implique pour nous tous ?

…[lire la suite]

Denis Jacopini anime des conférences et des formations et est régulièrement invité à des tables rondes en France et à l’étranger pour sensibiliser les décideurs et les utilisateurs aux CyberRisques (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84).

Nous animons conférences et formations pour sensibiliser décideurs et utilisateurs aux risques en informatique, découvrir et comprendre les arnaques et les piratages informatiques pour mieux s’en protéger et se mettre en conformité avec la CNIL en matière de Protection des Données Personnelles. Nos actions peuvent être personnalisées et organisées dans votre établissement.

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article

Le Département de la Défense US diffuse par erreur 20.000 identités de soldats

Imaginez, les détails de 20 000 personnes, des militaires et réservistes de l’armée des États-Unis d’Amérique, ont été publiés en ligne par le Département de la Défense US (DoD) lui même. Autant dire que la boulette soulève aujourd’hui des inquiétudes entre espionnage et terrorisme.

Le nom, le grade et le numéro de matricule de tous les officiers réguliers et réservistes ont été mis en ligne sur le site web du gouvernement. Une liste qui était, auparavant, accessible en version papier et dont la diffusion n’avait pas pour mission d’être aussi massive !…[lire la suite]

Denis Jacopini anime des conférences et des formations et est régulièrement invité à des tables rondes en France et à l’étranger pour sensibiliser les décideurs et les utilisateurs aux CyberRisques (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84).

Nous animons conférences et formations pour sensibiliser décideurs et utilisateurs aux risques en informatique, découvrir et comprendre les arnaques et les piratages informatiques pour mieux s’en protéger et se mettre en conformité avec la CNIL en matière de Protection des Données Personnelles. Nos actions peuvent être personnalisées et organisées dans votre établissement.

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article