Publication de contenus à caractére privé sur internet : La Cdp condamne et agite des sanctions

Boeing 787, l’avion qu’il faut rebooter régulièrement… pour éviter le crash

L’équipe Security Response de Symantec apporte des preuves essentielles au démantèlement d’un réseau international de cybercriminels

Cookie falsifié : une faille de sécurité trop souvent negligée ?

Six secondes suffisent pour pirater une carte bancaire

Votre carte bleue n’est en sécurité nulle part. Sans connaître aucun détail de celle-ci, des pirates peuvent facilement pirater un compte en banque. Il leur suffit simplement d’un ordinateur, d’un accès à Internet et de six secondes, révèlent les chercheurs de l’université de Newcastle, au Royaume-Uni, dans une étude publiée dans le journal académique IEEE Security & Privacy(IEEE signifiant Institute of Electrical and Electronics Engineer).

Dans la pratique, les chercheurs ont utilisé une attaque par force brute pour contourner les mesures de sécurité visant à protéger le système de paiement en ligne des fraude. Connectée sur différents sites, l’équipe de chercheurs a généré de façon répétée et continue des variations des différentes informations sécurisés de cartes de paiement (numéro de carte, date d’expiration et cryptogramme visuel) jusqu’à obtenir un résultat favorable. D’après l’étude, c’est vraisemblablement une attaque du genre qui était au cœur de l’attaque informatique contre la filiale bancaire du géant britannique de la distribution Tesco, dont 20.000 clients ont été victimes.

Deux petites faiblesses qui en font une grosse

Si l’attaque parvient à réussir, c’est parce que le système ne détecte en effet pas les échecs répétés sur une même carte si cela se produit sur différents sites, d’autre part, tous les sites ne demandent pas les mêmes informations au même moment, ce qui permet de deviner un champ à la fois.

« Ce type d’attaque exploite deux faiblesses qui ne sont pas trop graves d’elles-même mais lorsque utilisées simultanément présentent un sérieux risque pour l’ensemble du système de paiement », explique dans le communiqué Mohammed Ali, étudiant en doctorat à l’école d’informatique de l’université de Newcastle et auteur principal de l’étude.

Simplement en partant des six premiers numéros de la carte de paiement, qui servent à indiquer la banque et le type de carte et sont donc identiques pour chaque fournisseur unique, « un pirate peut obtenir les trois informations essentielles pour réaliser un achat en ligne en tout juste six secondes ». Le délai peut être extrêmement réduit dans les cas où le pirate dispose des numéros de cartes, ce qui risque d’arriver de plus en plus souvent au vue de la récente vague d’intrusions informatiques survenues dans les plus grandes entreprises. Il leur suffit dans ce cas de deviner la date d’expiration – moins de 60 essais puisque la plupart des cartes de crédit sont valides cinq an au maximum -, puis le cryptogramme visuel composé de trois chiffres – ce qui prend dans le pire des cas 1.000 essais.

Mohammed Ali souligne toutefois que cette technique d’attaque par force brute ne marche qu’avec le réseau VISA, « le réseau centralisé de MasterCard a été capable de détecter l’attaque après moins de 10 essais – même lorsque les paiements étaient répartis sur différentes réseaux ». Autre point faible de la technique : la confirmation par SMS, que demandent bon nombre de sites d’e-commerce en France…[lire la suite]

Rapport 2015 de l’Observatoire de la sécurité des cartes de paiement

Original de l’article mis en page : Il suffit de six secondes pour pirater une carte bancaire

Notre métier : Vous aider à vous protéger des pirates informatiques (attaques, arnaques, cryptovirus…) et vous assister dans vos démarches de mise en conformité avec la réglementation relative à la protection des données à caractère personnel.

Par des actions de formation, de sensibilisation ou d’audits dans toute la France et à l’étranger, nous répondons aux préoccupations des décideurs et des utilisateurs en matière de cybersécurité et de mise en conformité avec le règlement Européen relatif à la Protection des Données à caractère personnel (RGPD) en vous assistant dans la mise en place d’un Correspondant Informatique et Libertés (CIL) ou d’un Data Protection Officer (DPO) dans votre établissement.. (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84)

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article

La chasse aux pirates informatiques est bien lancée

A la télévision, il y a Les experts, capables de retrouver des criminels à l’autre bout du pays, via une connexion internet, ou de dévoiler une identité en « crackant » le mot de passe d’un site. Dans le réel, la gendarmerie française fait la même chose, et bien d’autres investigations encore.
La cybercriminalité est en effet un phénomène regardé avec beaucoup d‘attention. Et s’il est difficile de donner des chiffres précis pour le quantifier, une minorité d’affaires étant au final connue, son importance et son évolution sont réelles, indique avec le lieutenant-colonel Cyril Piat, numéro 2 du Centre de lutte contre les criminels numériques, le C3N (la police a un équivalent).

Le darkweb, c’est quoi ?

Beaucoup d’utilisateurs ne connaissent d’internet que sa face lumineuse d’échanges d’informations et de connexions humaines à travers le monde entier. Pourtant, existe aussi le darkweb, l’autre face, parfois très sombre d’internet. Celle qui se cache derrière des mots de passe, dans laquelle il faut déjà connaître l’adresse du site que l’on souhaite rejoindre pour pouvoir y accéder, et que l’on découvre à travers Tor, I2P ou Freenet, des navigateurs et réseaux très spécifiques qui pratiquent l’anonymat.

Que peut-on y trouver ?

Imaginés pour contourner la surveillance et la censure, ces derniers sont devenus un lieu parfait pour les criminels. Ils utilisent des nœuds de serveurs dans le monde entier et pratiquent le chiffrement des données en cascade et sont souvent intraçables. Que peut-on y trouver ? De nombreux services tels que la vente de drogues, d’armes, de faux papiers, ou le piratage informatique. Sur Alphabay Market, par exemple, 31 000 annonces pour fraudes sont proposées. On trouve aussi un service de mise en relation de personnes pour des bijoux ou des armes.

Des dizaines d’enquêteurs

« Cela peut représenter de 2 à 5 millions d’euros par mois. Et la cybercriminalité est en permanente évolution, tous les trois ou six mois, en fonction des évolutions technologiques. » Avec une difficulté supplémentaire : intervenir à l’échelle mondiale et devoir demander la coopération d’opérateurs pas toujours conciliants…[lire la suite]

Notre métier : Vous aider à vous protéger des pirates informatiques (attaques, arnaques, cryptovirus…) et vous assister dans vos démarches de mise en conformité avec la réglementation relative à la protection des données à caractère personnel.

Par des actions de formation, de sensibilisation ou d’audits dans toute la France et à l’étranger, nous répondons aux préoccupations des décideurs et des utilisateurs en matière de cybersécurité et de mise en conformité avec le règlement Européen relatif à la Protection des Données à caractère personnel (RGPD) en vous assistant dans la mise en place d’un Correspondant Informatique et Libertés (CIL) ou d’un Data Protection Officer (DPO) dans votre établissement.. (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84)

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article

Le décret du 6 décembre 2016 qui modifie les modalités de vote électronique

Un vote électronique simplifié pour les DP et CE

Avant la loi Travail, le recours au vote électronique pour les élections professionnelles nécessitait un accord d’entreprise ou de groupe. Aujourd’hui, il est prévu qu’en l’absence d’accord, l’employeur pourra recourir au vote électronique unilatéralement dans le cadre des élections des délégués du personnel (DP) et du comité d’entreprise (CE). Le décret définit les modalités pratiques de cette mesure.

Ces dispositions sont entrées en vigueur le 7 décembre 2016.

* Loi n° 2016-1088 du 8 août 2016 relative au travail, à la modernisation du dialogue social et à la sécurisation des parcours professionnels

Décret n° 2016-1676 du 5 décembre 2016 relatif au vote par voie électronique

Nouveautés dans l’organisation des votes électroniques pour les élections professionnelles

Elections professionnelles : un recours facilité au vote électronique

C’est la loi travail qui avait prévu de faciliter les modalités de recours au vote électronique. Un décret précise les choses.
Ainsi le vote électronique peut être utilisé pour les élections professionnelles des délégués du personnel ou du comité d’entreprise :

• si un accord d’entreprise ou de groupe le prévoit ;
• ou, désormais, à défaut d’accord, sur décision de l’employeur.

	Cette possibilité de décider du recours au vote électronique même sans accord s’applique depuis le 7 décembre 2016. Cela vaut aussi pour les élections partielles.

Si vous décidez de recourir au vote électronique

Si vous décidez de recourir au vote électronique, cela doit se faire en respectant le protocole d’accord préélectoral. Vous devrez aussi notamment :

• établir un cahier des charges que vous mettrez à disposition des salariés sur le lieu de travail ainsi que le cas échéant sur l’Intranet ;
• informer les organisations syndicales de salariés représentatives dans l’entreprise ou les établissements concernés, de l’accomplissement des formalités déclaratives préalables auprès de la CNIL.

	Ces règles s’appliquent si vous suivez un accord collectif mais aussi en son absence

Pendant le déroulement du scrutin

Sachez que pendant le déroulement du scrutin, aucun résultat partiel ne peut être donné mais que vous pouvez prévoir ou non de révéler le nombre de votants.

Vous pouvez autoriser ou exclure un vote à bulletin secret sous enveloppe. S’il n’a pas été exclu, l’ouverture du vote n’a lieu qu’après la clôture du vote électronique. Le président du bureau de vote dispose également, avant cette ouverture, de la liste d’émargement des électeurs ayant voté par voie électronique, de façon à être sûr que personne ne puisse voter deux fois.

Elections professionnelles : représentation équilibrée des hommes et des femmes

A partir du 1^er janvier 2017, pour chaque collège électoral, les listes électorales qui comportent plusieurs candidats vont devoir être composées d’un nombre de femmes et d’hommes correspondant à la part de femmes et d’hommes inscrits sur la liste électorale. Il va falloir alterner un candidat de chaque sexe jusqu’à épuisement des candidats d’un sexe (Code du travail, art. L. 2314-24).

Cela vaut pour l’élection des titulaires comme des suppléants.

Le protocole d’accord préélectoral doit mentionner la proportion de femmes et d’hommes composant chaque collège électoral.

Si le nombre de candidats à désigner pour chaque sexe n’est pas entier, il est arrondi :

• à l’entier supérieur en cas de décimale supérieure ou égale à 5 ;
• à l’entier inférieur en cas de décimale strictement inférieure à 5.

	Si le nombre de sièges à pourvoir est impair et que le nombre d’hommes et de femmes inscrit sur les listes est égal, la liste peut comprendre soit un homme soit une femme supplémentaire.

Attention, si un sexe est surreprésenté, ou que l’alternance hommes-femmes n’est pas respectée, l’élection de certains élus pourra être annulée.

Vous voulez en savoir plus sur les élections professionnelles ? Les Editions Tissot vous proposent leur documentation « Les représentants du personnel dans les PME ».

Anne-Lise Castell

Décret n° 2016-1676 du 5 décembre 2016 relatif au vote par voie électronique pour l’élection des délégués du personnel et des représentants du personnel au comité d’entreprise, Jo du 6

Loi n° 2015-994 du 17 août 2015 relative au dialogue social et à l’emploi, Jo du 18

Denis JACOPINI s’exprime sur le piratage massif de Yahoo

Le géant américain d’internet Yahoo a annoncé avoir été victime en 2013 d’un vol de données informatiques de très grande ampleur. Ce sont en effet les données privées d’un milliard de comptes qui ont été piratées, devenant ainsi le plus important cas de piratage informatique de l’histoire. Ce vol s’ajoute à l’annonce effectuée à la fin de mois de septembre, concernant un autre cas « probablement » distinct de piratage de 500 millions d’utilisateurs.

Ce nouveau piratage a notamment permis de dérober les noms, numéros de téléphone et dates de naissance des clients de Yahoo, ainsi que dans certains cas des questions de sécurité et la réponse correspondante.

L’annonce du milliard de comptes piratés s’ajoute à celle de septembre annonçant le piratage de 500 millions de comptes Yahoo.

La compagnie affirme cependant que les informations relatives à leurs cartes de crédit ou à leurs comptes bancaires n’ont pas été affectées. L’entreprise de la Silicon Valley n’a pas précisé combien de comptes encore actifs ont été touchés par ce vaste piratage, indiquant seulement qu’elle alertait les utilisateurs potentiellement affectés. Yahoo a ajouté avoir pris des mesures pour sécuriser les comptes, en les forçant par exemple à changer leur mot de passe et en invalidant les questions de sécurité et leurs réponses.

Yahoo a par ailleurs laissé entendre qu’un groupe de hackers lié à un Etat, sans préciser lequel, pourrait être derrière cette importante attaque et a déclaré enquêter sur des cookies qu’ils auraient créés afin d’accéder illicitement aux comptes des utilisateurs.

L’étendue du risque au-delà de Yahoo

« La manière dont Yahoo a été piraté, c’est ce qui peut arriver à un très grand nombre d’entreprises », explique Denis Jacopini, expert en informatique spécialisé en protection des données personnelles. « Aujourd’hui il n’y a quasiment aucune entreprise qui est protégée contre la fuite de données. C’est un véritable problème, car elles découvrent à postériori qu’elles se sont fait voler des données et donc elles ne peuvent agir que lorsque c’est trop tard », ajoute-t-il.

Le comportement des clients est un enjeu de taille: En effet, nombreux sont les internautes à utiliser les mêmes nom d’utilisateur et mot de passe sur différentes plateformes mail. Un cas concret, très commun est par exemple l’usage du prénom et du nom comme adresse email. Dans le cas où le même mot de passe que celui de Yahoo est utilisé sur les autres plateformes, ce compte est naturellement immédiatement à risque. Même chose sur les réseaux sociaux, puisque les utilisateurs recourent souvent à la même adresse mail pour s’inscrire sur Facebook ou Twitter.

Comment réagir au piratage?

Dans le cas où vous disposez d’un compte Yahoo compromis, la première action à entreprendre sera évidemment de changer le mot de passe du compte. Mais pas seulement: L’utilisateur affecté devra aussi vérifier les mots de passe de ses comptes sur toutes les autres plateformes afin de s’assurer que non seulement le même mot de passe n’a pas été utilisé, mais également qu’ils soient nettement distincts et pas uniquement une variation du même mot de passe.

Yahoo recommande à ses utilisateurs de changer immédiatement de mot de passe.

Une meilleure option serait en outre de toujours opter pour l’authentification en deux étapes, à travers un numéro de téléphone par exemple, afin de rendre extrêmement difficile un éventuel piratage de votre compte. « Changer régulièrement de mot de passe tout le temps n’est peut-être pas finalement la solution d’améliorer les mesures de sécurité. La solution ultime à ce jour et celle que l’ensemble des services internet devraient proposer c’est d’utiliser une méthode d’identification au moins à deux facteurs », indique Denis Jacopini, également spécialiste en cyber-sécurité. « En plus du mot de passe, vous pourrez également par exemple recevoir un SMS vous permettant d’authentifier votre connexion. Là on est dans des niveaux de sécurité très intéressants et relativement rassurants. C’est ce qu’utilisent aujourd’hui la plupart des sociétés qui veulent vraiment se sécuriser et qui veulent avoir un accès à leurs données restreint par des personnes précises. Avec ça on est dans un niveau de sécurité vraiment renforcé », affirme Mr. Jacopini.

Enfin, la vigilance doit demeurer constante lorsque vous recevez tout email qui vous invite à ouvrir un lien demandant vos informations personnelles, ou qui vous demande de télécharger une pièce jointe suspicieuse, afin d’éviter de devenir victime d’un hameçonnage.

Denis JACOPINI interviewé par Yacine Babouche

Notre métier : Vous aider à vous protéger des pirates informatiques (attaques, arnaques, cryptovirus…) et vous assister dans vos démarches de mise en conformité avec la réglementation relative à la protection des données à caractère personnel.

Par des actions de formation, de sensibilisation ou d’audits dans toute la France et à l’étranger, nous répondons aux préoccupations des décideurs et des utilisateurs en matière de cybersécurité et de mise en conformité avec le règlement Européen relatif à la Protection des Données à caractère personnel (RGPD) en vous assistant dans la mise en place d’un Correspondant Informatique et Libertés (CIL) ou d’un Data Protection Officer (DPO) dans votre établissement.. (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84)

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article

Une nouvelle étude démontre que les compteurs Linky ne sont pas dangereux

D’ici à 2021, la loi du 17 août 2015 prévoit que des compteurs « intelligents », capables de transmettre des données de consommation en temps réel aux fournisseurs d’énergie, soient installés dans tous les foyers français. Le compteur Linky, déployé par ERDF pour suivre la consommation d’électricité des foyers, a été de nombreuses fois pointé du doigt par des individus, des associations et des communes. En effet, il avait été imaginé que le champ électromagnétique du compteur Linky pouvait engendrer des problèmes de santé.

Cette crainte aurait déjà dû être levée après les premières expertises réalisées sur les compteurs. Mais cela n’a pas suffi et la polémique n’a cessé de gonfler, entrant dans le champ très large de « la peur des ondes ». D’autant que la justice française a dans un premier temps reconnu l’électrosensibilité comme un handicap et plus récemment, autorisé une personne électrosensible à se débarrasser de son compteur d’eau intelligent.

Et pourtant, les nouvelles conclusions de l’Agence nationale de sécurité sanitaire de l’alimentation, de l’environnement et du travail (ANSES) montrent que le compteur Linky n’est pas dangereux. 

En effet, après de nombreuses mesures sur les émissions électromagnétiques des compteurs Linky, l’agence a estimé qu’il y avait «  une faible probabilité que l’exposition aux champs électromagnétiques émis par les compteurs communicants, dans la configuration de déploiement actuelle, engendre des effets sanitaires à court ou long terme ». À vrai dire, cette faible probabilité existe déjà dans tous les foyers modernes, dans la mesure où les compteurs Linky n’émettent pas plus d’onde que «  la télévision, un chargeur d’ordinateur portable ou une table de cuisson à induction…  ». Contrairement à ces objets qui paraissent « reliés » au sol, uniquement propulsés par l’électricité, les compteurs Linky utilisent une connexion à Internet par communication CPL qui semble bien plus abstraite et donc, à tort, bien plus dangereuse.

Si le Linky n’est donc effectivement pas dangereux, l’ANSES recommande tout de même aux fournisseurs de ces technologies de faire preuve de pédagogie en donnant des informations claires aux personnes qui pourraient être réticentes à l’installation de ces engins pour des questions sanitaires. D’après elle, il faut absolument que les opérateurs de «  ces nouvelles technologies [puissent] fournir une information claire et facilement compréhensible aux usagers quant à leurs modalités de fonctionnement ».

Rappelons finalement que les angoisses sanitaires infondées autour du Linky cachent malheureusement deux problèmes fondamentaux. Le premier est scientifique : il persuade la plupart des électrosensibles que leur mal est physique alors qu’il est en réalité, bien souvent psychologique — comme la décision de justice de 2015 le laissait supposer. Elle reconnaissait effectivement des symptômes liées à l’électrosensibilité, mais nullement leur cause. Ce qui, dans les faits, reste un handicap bien réel et qui doit être compris en-dehors de toute croyance pour être correctement soigné.

Ce n’est pas le cas de la décision récente qui a autorisé une personne à se débarrasser de son compteur d’eau intelligent pour des prétextes sanitaires, qui tend à légitimer le fait que l’objet cause bel et bien un mal physique (ce qui est faux).

LE LINKY N’EST PAS DANGEREUX POUR LA SANTÉ

Le deuxième problème touche la vie privée. Comme l’avait montré CanardPC dans une excellente étude sur le Linky (accès libre, PDF), sa prétendue dangerosité sanitaire est l’arbre qui cache la forêt : s’il n’est pas dangereux pour vous, le compteur reste tout de même un mouchard pour ERDF qui peut extrapoler vos habitudes avec ses relevés…[lire la suite]

Notre métier : Vous aider à vous protéger des pirates informatiques (attaques, arnaques, cryptovirus…) et vous assister dans vos démarches de mise en conformité avec la réglementation relative à la protection des données à caractère personnel.

Par des actions de formation, de sensibilisation ou d’audits dans toute la France et à l’étranger, nous répondons aux préoccupations des décideurs et des utilisateurs en matière de cybersécurité et de mise en conformité avec le règlement Européen relatif à la Protection des Données à caractère personnel (RGPD) en vous assistant dans la mise en place d’un Correspondant Informatique et Libertés (CIL) ou d’un Data Protection Officer (DPO) dans votre établissement.. (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84)

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article