Quels sont les risque des photos de vos jeunes enfants sur Facebook ?

Et qui peut la consulter directement ou non. Il convient de savoir si ses amis sont sûrs et de s’assurer de l’identité véridique d’une personne demandant à rentrer en contact avec soi pour éviter les usurpations d’identité potentielles. Facebook et les autres outils – même Snapchat où les courtes vidéos peuvent être récupérées – n’ont rien de journaux intimes.

Par ailleurs, il est possible de réserver des comptes pour ses enfants sans les utiliser pour éviter tout conflit avec des homonymes éventuels – certes, Facebook demande que l’on soit majeur numériquement, c’est-à-dire âgé d’au moins 13 ans, mais c’est peu vérifié dans les faits. Mais plus que tout, il convient d’éduquer ses enfants quant au monde numérique et ses pièges en l’étant au préalable soi-même. Un dialogue peut être noué entre enfants et parents mais dans le cadre d’un bébé ou d’un enfant de quelques années, c’est le parent qui est responsable des traces qu’il va léguer à son enfant, d’où une vigilance supplémentaire pour ne pas d’emblée lui entacher sa réputation numérique : photos de l’enfant nu, grimaces, etc. L’utilisation des tags est à manier avec précaution et mieux vaut ne pas reconnaître une personne sur une photo, ce qui fait avant tout le jeu de Facebook ou d’autres outils mais qui n’est pas l’intérêt premier de la personne.

Article de David Fayon. Propos recueillis par Thomas Gorriz

Réagissez à cet article

Pourquoi vous ne devriez jamais publier de photos de vos jeunes enfants sur Facebook

Publier une photo de ses enfants sur Facebook – qui est de loin le leader des réseaux sociaux dans le monde – est un acte compréhensible mais qui fait surtout plaisir sur le moment aux parents. Les parents façonnent l’identité numérique de leurs enfants à l’insu de leur plein gré alors même que le droit à l’oubli n’existe pas sur Internet. Plus tard, certaines traces numériques (photos ou vidéos postées avec les commentaires et tags associés) peuvent être utilisées contre eux surtout si les paramétrages de confidentialités sont mal utilisés.

Et même en postant une photo accessible aux seuls amis, celle-ci peut ensuite être partagée plus largement. En outre les personnes qui vont réagir à la photo permettent de révéler l’écosystème relationnel de la personne. Il est facile d’établir des corrélations entre les personnes. Et en fonction du profil des personnes réagissant de déterminer quel est le profil potentiel de l’enfant sur la photo. Pour les préjudices, on pense avant tout à l’attitude d’un recruteur mais ce peut être aussi des amis potentiels de l’enfant qui le jugeront avec un autre regard. Déjà on google une personne avant de la rencontrer ce qui induit un prisme dans la première rencontre. Le préjudice peut intervenir à des périodes charnières de la vie : adolescence où l’individu se construit et est sensible au regard des autres, entrée dans la vie active, rencontre amoureuse, etc.

Comment fonctionne le système de tag ? Quelle est sa fonction ? Pourquoi l’utilise-t-on ?

Il s’agit d’un système mis en place par Facebook qui permet à un utilisateur de Facebook d’indiquer qu’une personne figure sur une photo. En quelque sorte, un traitement manuel du facebooknaute lui-même vient en complément de l’algorithme mis en place par Facebook pour collecter des données personnelles (en l’occurrence les photos des visages des personnes) de nature à faire grandir la base d’information relative à une personne. Facebook peut avec l’expérience lui-même déterminer les personnes reconnues sur les photos, ce qui est parfois bluffant. Facebook peut ensuite, en fonction des références à d’autres posts, déterminer le cercle probable de personnes autour de celle qui a été taguée. Ceci lui permet de faire des suggestions (par exemple amis que l’on pourrait connaître, voire produits ou services que l’on est susceptible d’aimer car les goûts de ses amis sont souvent plus proches des siens que ceux d’inconnus) avec des taux de retour plus pertinents.

L’objectif de Facebook est d’exploiter le big data constitué par les photos et leurs tags pour sans cesse améliorer les résultats pour les marques partenaires et qui paient ses services. Par ailleurs, les algorithmes qui permettent de reconnaître les visages et les techniques de bio-identification ne sont qu’à leur début. Demain, à partir d’une simple photo, il sera, avec des outils idoines, possible de dresser le portrait robot d’une personne en allant fouiller sur l’ensemble de la webosphère (pas seulement sur Facebook mais sur l’ensemble des réseaux sociaux et des sites) pour collecter les numéros de téléphone, les adresses mails et d’autres détails personnels associés. Ceci peut présenter des opportunités réelles pour mieux connaître rapidement une personne, mais présente des risques. Des garde-fous et une éthique sont à construire pour éviter que le numérique ne soit un facteur d’exclusion ou un moyen d’ostraciser les internautes. Alors que les États-Unis sont dans le mécanisme d’opt-out (utilisation a priori des données personnelles sans autorisation préalable), l’Europe préfère l’opt-in qui constitue un principe de précaution quant à l’exploitation des données personnelles. Mais force est de constater que les outils majoritairement utilisés en Europe sont Américains et que nous sommes GAFA-dépendant (Ndlr : GAFA  = Google, Apple, Facebook, Amazon) et qu’en contrepartie de la gratuité d’utilisation d’un service, nous fournissons et souvent avec beaucoup de zèle des données personnelles que ces outils utilisent à la fois avec un traitement automatique et un traitement humain qui le perfectionne comme celui des tags.

Article original de David Fayon Lire la suite…

Réagissez à cet article

Prison ferme pour les auteurs de SpyEye botnet

Les deux pirates Russe et Algérien cachés derrière le code malveillant SpyEye ont été reconnus coupables par la justice américaine d’avoir fabriqué et vendu ce kit malveillant dont le but premier était d’infiltré les ordinateurs pour espionner et voler les données des machines infiltrées.

Le prix de SpyEye botnet

Les deux pirates ont été condamnés à 24 ans de prison ferme (les deux peines cumulées). Une condamnation forte pour un outil, aussi baptisé Zeus, qui a permis d’infecter des centaines de milliers d’ordinateurs de par le monde. Une peine de neuf ans et six mois pour Aleksandr Andreevich Panin (27 ans), connu sur la toile sous le pseudonyme de « Gribodemon » et « Harderman ». Le FBI avait lancé un « Wanted » sur la tête de Panin de 3 millions de dollars. En juin 2015, l’ensemble des interactions de Zeus / SpyEye avait été stoppé par le FBI, Europe et Eurojust. Plusieurs dizaines de personnes ont été arrêtés, de l’utilisateur de SpyEye aux blanchisseurs d’argent volé.

L’Algérien Hamza Bendelladj, alias Bx1 a écopé de 15 ans. Ce dernier, âgé de 27 ans, était le partenaire d’affaires de Panin. Ce ressortissant algérien avait plaidé coupable en Juin 2015. Il avait modifié SpyEye pour réaliser son propre outil malveillant qui lui a permis de voler 200.000 numéros de carte de crédit. Bendelladj, baptisé « Le pirate souriant » avait été arrêté à Bangkok, en janvier 2013. Extradé aux USA en mai 2013. Il vient de perdre définitivement son grand sourire !
Dans les outils proposés par les pirates, des ransomwares, comme Locker, qui se faisait passer pour le FBI.

Dans les outils proposés par les pirates, des ransomwares, comme Locker

Dans les outils proposés par les pirates, des ransomwares, comme Locker, qui se faisait passer pour le FBI.

SpyEye, comme j’avais pu vous le montrer à l’époque [1e capture écran de cet article], était commercialisé dans le black market, dans une boutique baptisée à l’époque DarkCode.

Article original

Réagissez à cet article

32 millions de mots de passe Twitter dérobés

Une nouvelle fuite de données pour un réseau social. Un hacker russe affirme avoir dérobé 379 millions d’adresses email et de mots de passe non chiffrés associés à des comptes Twitter. Identifié sous le pseudonyme Tessa88, il aurait mis en vente la base de données en question sur VK, le Facebook russe. LeakedSource, qui a révélé l’information, estime que 32,8 millions de comptes seraient effectivement compromis, une fois les doublons éliminés.

«Nous sommes convaincus que ces noms d’utilisateurs et les identifiants n’ont pas été obtenus par une violation des données Twitter. Nos systèmes n’ont pas été hackés», a déclaré un porte-parole de Twitter. La base de données serait donc le fruit d’une campagne de malware ciblant les particuliers pour récupérer leurs mots de passe.

Sollicité par Techcrunch, Troy Hunt, le fondateur de site haveibeenpwned.com qui permet de voir si une adresse mail fait partie d’une base de données piratée, émet des doutes par rapport à l’authenticité des données piratées: «Les piratages de comptes que nous avons vus jusqu’à présent sont très probablement le résultat de la réutilisation de données issues d’autres piratages», indique-t-il.

Une incitation de plus à modifier son mot de passe

Si Leakedsource propose de vérifier si vos identifiants et mots de passe sont dans leur base et de les retirer gratuitement, le plus simple reste encore de modifier son mot de passe.

Twitter a suggéré au passage de le complexifier, en suivant ses recommandations.

Selon la liste des données divulguées, bien trop de mots de passe restent basiques et facilement trouvables. 123455 prend la première place du podium, suivi de 123456789, qwerty et du classique password.

Ce piratage suit celui de MySpace, de Tumblr et de LinkedIn. 100 millions de mots de passe du réseau professionnel récupérés en 2012 ont été mis en vente mi-mai. Ce piratage avait valu à Mark Zuckerberg, adepte du mot de passe unique «dadada», de voir ses comptes Twitter et Pinterest piratés.

Article original

Réagissez à cet article

Skimer, la nouvelle menace pour distributeurs de billets

Imaginons qu’une banque découvre avoir été victime d’une attaque. Étrangement, aucune somme d’argent n’a été dérobée et rien n’a été modifié dans son système. Les criminels sont partis comme ils sont venus. Serait-ce possible ? Je vous parlais de ce type d’attaque l’année dernière. L’éditeur Gdata m’avait invité en Allemagne pour découvrir l’outil malveillant qui permettait de pirater un distributeur de billets. Aujourd’hui, l’équipe d’experts de Kaspersky Lab a mis au jour le scenario imaginé par les cybercriminels et découvert des traces d’une version améliorée du malware Skimer sur l’un des DAB d’une banque. Il avait été posé là et n’avait pas été activé jusqu’à ce que les criminels lui envoient un contrôle : une façon ingénieuse de couvrir leurs traces.

Le groupe Skimer commence ses opérations en accédant au système du DAB, soit physiquement, soit via le réseau interne de la banque visée. Ensuite, après été installé avec succès dans le système, l’outil Backdoor.Win32.Skimer, infecte le cœur de l’ATM, c’est-à-dire le fichier exécutable en charge des interactions entre la machine et l’infrastructure de la banque, de la gestion des espèces et des cartes bancaires.

Ainsi, les criminels contrôlent complètement les DAB infectés. Mais ils restent prudents et leurs actions témoignent d’une grande habileté. Au lieu d’installer un skimmer (un lecteur de carte frauduleux qui se superpose à celui du DAB) pour siphonner les données des cartes, les criminels transforment le DAB lui-même en skimmer. En infectant les DAB avec Backdoor.Win32.Skimer, ils peuvent retirer tout l’argent disponible dans le distributeur ou récupérer les données des cartes des utilisateurs qui viennent retirer de l’argent, y compris le numéro de compte et le code de carte bancaire des clients de la banque.

Il est impossible pour un individu lambda d’identifier un DAB infecté car aucun signe de le distingue d’un système sain, contrairement à un DAB sur lequel a été posé un skimmer traditionnel qui peut être repéré par un utilisateur averti.

Un zombie dormant
Les retraits directs depuis un DAB ne peuvent pas passer inaperçu alors qu’un malware peut tranquillement siphonner des données pendant une longue période. C’est pourquoi le groupe Skimer n’agit pas immédiatement et couvre ses traces avec beaucoup de prudence. Leur malware peut opérer pendant plusieurs mois sans entreprendre la moindre action.

Pour le réveiller, les criminels doivent insérer une carte spécifique, qui contient certaines entrées sur sa bande magnétique. Après lecture de ces entrées, Skimer peut exécuter la commande codée en dur ou requérir des commandes via le menu spécial activé par la carte. L’interface graphique de Skimer n’apparaît sur l’écran qu’une fois la carte éjectée et si les criminels ont composé la bonne clé de session, de la bonne façon, sur le pavé numérique en moins de 60 secondes.

À l’aide du menu, les criminels peuvent activer 21 commandes différentes, comme distribuer de l’argent (40 billets d’une cassette spécifique), collecter les données des cartes insérées, activer l’auto-suppression, effectuer une mise à jour (depuis le code du malware mis à jour embarqué sur la puce de la carte), etc. D’autre part, lors de la collecte des données de cartes bancaires, Skimer peut sauvegarder les fichiers dumps et les codes PIN sur la puce de la même carte, ou il peut imprimer les données de cartes collectées sur des tickets générés par le DAB.

Dans la plupart des cas, les criminels choisissent d’attendre pour collecter les données volées afin de créer des copies de ces cartes ultérieurement. Ils utilisent ces copies dans des DAB non infectés pour retirer de l’argent sur les comptes clients sans être inquiétés. De cette manière, ils s’assurent que les DAB infectés ne seront pas découverts. Et ils récupèrent de l’argent simplement.

Des voleurs expérimentés
Skimer a été largement répandu entre 2010 et 2013. À son arrivée correspond une augmentation drastique du nombre d’attaques sur des distributeurs automatiques de billets, avec jusqu’à neuf différentes familles de malwares identifiées par Kaspersky Lab. Cela inclut la famille Tyupkin, découverte en mars 2014, qui est devenue la plus populaire et la plus répandue. Cependant, il semblerait maintenant que Backdoor.Win32.Skimer soit de retour. Kaspersky Lab identifie 49 modifications de ce malware, dont 37 ciblent les DAB émanant de l’un des plus importants fabricants. La version la plus récente a été découverte en mai 2016.

En observant les échantillons partagés avec VirusTotal, on note que les DAB infectés sont répartis sur une large zone géographique. Les 20 derniers échantillons de la famille Skimer ont été téléchargés depuis plus de 10 régions à travers le monde : Émirats Arabes Unis, France, États-Unis, Russie, Macao, Chine, Philippines, Espagne, Allemagne, Géorgie, Pologne, Brésil, République Tchèque… [Lire la suite]
Remarquable article de Damien Bancal

Réagissez à cet article

Euro 2016 et sécurité informatique, quelques conseils face à quelques risques…

Euro 2016 – Voici quelques éléments clés à retenir, amateur de football, de l’Euros 2016 ou non. Se méfier du spam et autre fausses « bonnes affaires » (places pour assister aux matchs à des prix défiant toute concurrence, par exemple). Ces mails peuvent contenir une pièce jointe infectée contenant un malware accédant au PC et interceptant les données bancaires des internautes lorsqu’ils font des achats en ligne. Ils peuvent également contenir un ransomware, qui verrouille et chiffre les données contenues dans le PC et invite les victimes à verser une rançon pour les récupérer.

Détecter les tentatives de phishing (vente de tickets à prix cassés voire gratuits, offres attractives de goodies en lien avec l’évènement,…) en vérifiant l’URL des pages auxquelles le mail propose de se connecter et en ne communiquant aucune information confidentielle (logins/mots de passe, identifiants bancaires, etc.) sans avoir préalablement vérifié l’identité de l’expéditeur.

Être prudent vis à vis du Wi-Fi public pour éviter tout risque de fuite de données, par exemple en désactivant l’option de connexion automatique aux réseaux Wi-Fi. Les données stockées sur les smartphones circulent en effet librement sur le routeur ou le point d’accès sans fil (et vice-versa), et sont ainsi facilement accessibles.

Redoubler de vigilance vis-à-vis des mails invitant à télécharger un fichier permettant d’accéder à la retransmission des matchs en temps réel. Il s’agit en réalité de logiciels malveillants qui, une fois exécutés, permettent d’accéder aux données personnelles stockées dans le PC (mots de passe, numéro de CB, etc.) ou utilisent ce dernier pour lancer des procédures automatiques comme l’envoi de mails massifs. (TrendMicro).
Auteur : Damien Bancal

Réagissez à cet article

La Cnil accorde un sursis à Facebook pour faire preuve de loyauté (ou pas)

Le réseau social a été mis en demeure le 9 février par l’autorité française de protection des données personnelles. La Cnil reproche à Facebook une collecte déloyale de données de navigation d’internautes non membres et l’absence de recueil d’un consentement pour le croisement de données à des fins publicitaires.

La firme de Mark Zuckerberg disposait d’un délai de trois mois pour se mettre en conformité. Mais d’après le JDN, Facebook a sollicité auprès de la Cnil un délai supplémentaire de trois mois. Celui-ci lui a été accordé.

Sécurité et publicité grâce au même cookie finalement

« Nous avons repoussé au 9 août le délai obligatoire pour se mettre en conformité » répond la Cnil. Sur le plan commercial, Facebook se montre plus dynamique. La société a annoncé tout récemment un changement de cap.

Elle entend en effet proposer de la publicité ciblée à tous les internautes et non uniquement à ceux inscrits sur son réseau. Pour suivre ces internautes,Facebook met à profit son cookie Datr. La firme assurait pourtant jusqu’à présent que ce cookie avait pour seule finalité la sécurité.

Plus d’ambiguïté à présent. Le réseau social précise que sa régie publicitaire, Audience Network, suivra dorénavant l’ensemble des internautes via ses cookies « même ceux qui ne disposent pas de compte Facebook ou ne s’y connectent pas. »… [Lire la suite]

Merci à ZdNet

Réagissez à cet article

La Cybersecurité des banques européennes bientôt soumises à un stress-test ?

Recommander les autorités locales des pays membres de l’Union européenne à soumettre les systèmes de sécurité informatique des institutions financières à des stress-tests. C’est l’idée qu’a avancé Andrea Enria, président de l’Autorité Bancaire Européenne, l’autorité indépendante chargée de garantir un niveau de surveillance prudentiel efficace et cohérent à l’échelle de l’Union, à l’occasion d’un échange avec nos confrères de Reuters.

Dans ce cadre, il estime que les banques pourraient avoir à provisionner des réserves supplémentaires afin de se protéger, financièrement, du risque associé à des attaques informatiques. Le risque informatique doit d’ailleurs être explicitement pris en compte dans le cadre des règles Pilier 2. Celles-ci font partie des accords Bâle II et portent justement sur la surveillance prudentielle ainsi que la gestion des risques.
Et la prise en compte des risques associés aux attaques informatiques apparaît particulièrement importante qu’ils sont appelés à être de plus en plus considérés dans les analyses de solvabilité des agences de notation. Moody’s et Standard & Poor l’ont ainsi ouvertement indiqué à l’automne dernier.

Fin 2013, les banques britanniques ont été soumises à un stress-test IT, après un premier en 2011. Mais l’opération n’avait pas manqué de soulever plusieurs critiques, certains experts estimant notamment qu’elle devrait survenir plus régulièrement. D’autres s’interrogeaient sur la manière dont étaient définies les attaques imaginées pour l’exercice.

Très récemment, la patronne du gendarme des marché boursiers américains a de son côté estimé que le risque d’attaque informatique constitue la principale menace pour le système financier mondial, notamment après les opérations qui ont visé dernièrement les systèmes plusieurs banques connectés au réseau Swift… [Lire la suite]

 
Merci à Valery Marchive pour son article

Réagissez à cet article

Fuites de données de Santé en France

Le Parlement européen a adopté le jeudi 14 avril 2016 le règlement européen sur la protection des données. Le règlement qui sera applicable à partir du 25 mai 2018 dans l’ensemble des pays membres de l’Union européenne. Avec cette jolie annonce que l’on attend depuis des années, je me suis penché sur un cas concret de fuites de données : les dossiers médicaux. A la fin de ma compilation et analyses des datas collectées, ma question est la suivante : Et si la lutte contre la protection de nos données de santé était déjà perdue d’avance ?

Santé et fuite de données : Plus de 200 millions de dossiers médicaux perdus en 1 an

J’ai analysé les établissements de santé américains. Il faut dire que cela est plus simple. La France n’a aucun moyen de contrôle au sujet des fuites d’informations dans le secteur Français de la santé. Et ce n’est pas faute d’avoir des personnes très compétentes au Ministère de la Santé et des Affaires Sociales. Mais en France, pour le moment, aucune obligation n’est faite pour que les patients soient alertés en cas de fuite, de piratage, de perte de leurs données (clé usb, portable…). Sur le sol de l’Oncle Sam, il en est tout autre. La loi Hitech Act (section 13402) impose l’affichage public de toutes fuites d’informations concernant plus de 500 patients dans le même établissement.

En 1 an, la plus grosse fuite de données médicales aux USA aura visé l’Anthem, Inc. Affiliated Covered Entity. Nous sommons alors en mars 2015. 78,8 millions de dossiers suite à un « Hacking/IT Incident Network Server » comme le référence le Ministère américain de la Santé (HHS). Depuis le 1er janvier 2016, 103 établissements de santé (Hôpitaux, centres de soin…) ont été touchés par une perte, un vol, un piratage. Dernier cas en date, 2.213.597 de données de patients piratés au 21st Century Oncology de Floride. Ici aussi, le HHS (U.S. Department of Health and Human Services) parle de « Hacking/IT Incident Network Server« . L’attaque date du 4 avril 2016.

Depuis le 1er janvier 2016, 3.605.511 dossiers de patients américains ont volés, piratés ou perdus. Et en France ?

Article de Damien BANCAL

Réagissez à cet article

Après 3 semaines d’insistance de ZATAZ, la CNIL fait corriger une fuite de données sur le site du PS en quelque heures

Pendant trois semaines, j’ai tenté de faire corriger une fuite de données découverte sur le site du Parti Socialiste. J’ai dû faire appel à la CNIL pour qu’un sympathique communicant de ce parti politique français daigne écouter !

Des fuites de données, j’en croise des dizaines par mois, des centaines par années. Depuis la création de mon blog, voilà plus de trente ans (sur disquette, puis papier) et bientôt 20 ans sur le web, ZATAZ a pu aider plus de 60.000 entreprises, associations, particuliers à se protéger des malveillants du web. Bref, permettre de corriger une fuite de données, une faille, un problème de piratage via le protocole d’alerte ZATAZ.

Dans 99,9% des cas, cela se passe bien, voire très très bien. Pour les cas étatiques, par exemple, l’ANSSI me répond dans la minute, même un dimanche, à 3h du matin. La CNIL ne met pas plus de temps. Seulement, il y a ce 0,1 % de … J’ai un mot en tête, mais n’étant pas grossier de nature, je vous laisse l’imaginer.

Allô ! le Parti Socialiste ? vous avez une fuite de données !
Il y a trois semaines, je constatais une étonnante fuite de données visant un sous domaine du site Internet du Parti Socialiste. Je passerai le côté technique de la chose. Il suffisait de cliquer sur un lien particulièrement formulé vers le sous dossier « Archive » pour que s’ouvre un espace d’administration du portail politique du PS.

Le « oueb » de ce groupe politique fait parti du 0,1 % de cette froideur intellectuelle et de « je-m’en-foutisme » qui pourraient coûter très chers si un interlocuteur moins impliqué que moi avait eu en main l’accès à cette fuite de données. Car fuite de données il y avait. Il était possible d’accéder aux noms, prénoms, adresses physiques, mails des adhérents, montant des cotisations, code dossier, département … de l’espace adhésion (en attente de traitement, transmise, non finalisée et effective).

 
Bref, après deux mails au service presse (sans réponse) ; deux mails aux DSI BS et JW (sans réponse) ; plusieurs Tweets dont une discussion hallucinante avec l’un des DSI que je tentais de contacter, autant dire qu’au bout de trois semaines, j’ai beau faire cela bénévolement, la moutarde commençait à me monter au nez, surtout après la lecture de plusieurs articles indiquant que d’étonnantes adhésions au PS étaient apparues dans plusieurs circonscriptions (Metz, …). Je me suis résolu à contacter des élus du PS officiant dans ma région, ainsi que la CNIL. Autant dire qu’avec la prestigieuse dame, cela n’aura pas pris trois semaines. Deux heures après mon alerte à la Commission Informatique et des Libertés, l’étonnant accès disparaissait du web… [Lire la suite]

 
Article de Damien Bancal

Réagissez à cet article