(AFP) – Le militant pour le respect de la vie privée Max Schrems a jugé vendredi « très probable » une action en justice contre le nouveau cadre fixé pour le transfert des données personnelles de l’Union européenne vers les Etats-Unis.
« Nous allons vraisemblablement attaquer (le texte) en justice », a-t-il dit à l’AFP, évoquant une probabilité de « 90%« . « Nous devons d’abord l’analyser en détail, ce qui va nous prendre quelques jours. De prime abord, il semble que les questions centrales ne sont pas résolues et le dossier sera de retour devant la justice tôt ou tard », a-t-il également réagi dans un communiqué.
Le président américain Joe Biden a signé vendredi un décret, quelques mois après avoir trouvé un accord de principe avec Bruxelles. Le texte vise à garantir la confidentialité et la protection des libertés civiles dans les programmes de surveillance américains visant les données recueillies en Europe et transférées ou hébergées outre-Atlantique.
« A la fin, l’opinion de la CJUE l’emportera »
L’Autrichien Max Schrems, fondateur de l’ONG Noyb (« None Of Your Business »), est à l’origine de l’invalidation des deux premiers accords. « Safe Harbor » en 2015, puis son successeur « Privacy Shield » en 2020, ont tous deux été retoqués par la Cour de justice de l’UE (CJUE).
Dans son dernier arrêt, la plus haute juridiction européenne avait estimé que le « Privacy Shield », utilisé par 5 000 entreprises américaines, dont les géants comme Google ou Amazon, ne protégeait pas de possibles « ingérences dans les droits fondamentaux des personnes dont les données sont transférées ».
« La surveillance de masse va continuer (…) A la fin, l’opinion de la CJUE l’emportera – et tuera une nouvelle fois cet accord », a prédit M. Schrems. « La Commission européenne ferme les yeux sur la loi américaine, permettant la poursuite de l’espionnage des Européens », a-t-il fustigé.
Le militant est également sceptique envers la création d’un mécanisme indépendant et contraignant permettant aux individus des États éligibles de demander réparation s’ils estiment que leurs données personnelles ont été illégalement collectées par les renseignements américains. « Il est clair que ce soi-disant tribunal n’est pas un vrai tribunal », a-t-il commenté.
Depuis que le recours au télétravail s’est accentué, les actifs ont davantage de difficultés à délimiter la vie au bureau et à la maison. Malheureusement, le niveau de sécurité est plus faible en dehors des murs de l’entreprise où les réseaux sont souvent sécurisés, mettant en exergue le manque de connaissances des bonnes pratiques de sécurité hors du cadre professionnel, selon une étude* de Cisco.
Ainsi, l’authentification multifactorielle, qui permet de limiter le piratage des mots de passe, n’est utilisée que par 50 % des interrogés. 23 % ne savent même pas ce qu’est l’authentification multifactorielle. En revanche, les Français sont plus nombreux à utiliser cette méthode de connexion sur leurs appareils personnels que sur leurs appareils professionnels. Les Français sont-ils davantage préoccupés par la protection de leurs données partagées dans leur vie personnelle, telles que les informations bancaires, que par la confidentialité des données sensibles propres à leur entreprise ? 92 % des Français ont d’ailleurs déjà passé un appel professionnel depuis leur appareil personnel et 63 % s’en servent pour envoyer fréquemment des mails professionnels. Dans ce cas, le tort est partagé avec les entreprises puisque ces dernières se doivent de mettre à disposition les outils adéquats pour travailler en toute sécurité.
Le Wifi pour le streaming vidéo
39 % des Français utilisent régulièrement les réseaux publics à des fins personnelles ou professionnelles. Grands consommateurs de streaming vidéo, encore plus depuis le premier confinement, les Français délaissent volontairement la 4G au profit d’un réseau Wifi plus puissant pour accéder aux différentes plateformes à tout moment. Néanmoins, ce désir doit s’accompagner d’un recours accru à des solutions de sécurisation telles qu’un VPN ou du moins, adopter un comportement plus responsable sur internet. Selon Martin Lee, responsable EMEA chez Talos, l’organisation de recherche et de renseignement sur les menaces de Cisco. « L’utilisation de la fonction hotspot du téléphone accompagné d’un mot de passe robuste sera toujours plus sûre que l’utilisation d’un réseau public. De la même manière, l’utilisation d’un VPN ajoute une couche de sécurité supplémentaire. »
* Un échantillon représentatif de la population française de 1 047 personnes a été interrogé pendant le mois d’août 2022.
(AFP) – Binance, la plus grande plateforme de cryptomonnaies au monde en termes de volume, a affirmé vendredi avoir été victime d’un piratage, évaluant l’ampleur du vol à environ 100 millions de dollars.
Selon Binance, les hackers sont parvenus à retirer un total de 2 millions de BNB, la cryptomonnaie émise par Binance, soit environ 580 millions de dollars au cours de vendredi. Is n’ont toutefois pu en exploiter qu’une fraction, la majorité du montant ayant été immédiatement bloquée.
Grâce à la réaction rapide des personnes chargées de valider les transactions, « la majorité des fonds sont restés sur l’adresse des hackers », a indiqué à l’AFP un porte-parole de Binance, affirmant que « ces fonds n’ont pas pu être transférés ». Environ 100 millions de dollars ont en revanche été dérobés et n’ont pour l’heure pas pu être récupérés.
Plus tôt dans la journée, le patron de Binance, Changpeng Zhao, plus connu
sous le pseudonyme « CZ », avait tenté de rassurer sa communauté d’utilisateurs
en assurant sur Twitter, où il compte 7 millions d’abonnés: « Le problème est désormais maîtrisé ». « Vos fonds sont en sécurité. Nous présentons nos excuses pour la gêne occasionnée et fournirons d’autres mises à jour en conséquence », avait ajouté
« CZ ».
Dans une publication sur le site Reddit, Binance a par ailleurs précisé que sur l’ensemble de la somme effectivement dérobée, environ 7 millions de dollars avaient été gelés.
Les pirates ont pris pour cible le pont inter-chaînes BSC Token Hub. Un pont est un service qui permet à un utilisateur de transférer des jetons cryptographiques d’une blockchain vers une autre. La blockchain Binance Smart Chain (BSC) à laquelle est reliée le pont visé
par les hackers a elle été suspendue après le piratage avant d’être rétablie quelques heures plus tard.
Les attaques informatiques contre des ponts inter-chaînes se multiplient
Les attaques informatiques contre des ponts inter-chaînes se sont multipliées au cours des derniers mois. En août, des hackers ont ainsi volé l’équivalent de 190 millions de dollars
en exploitant une faille du pont Nomad. Selon Chainanalysis, 2 milliards de dollars ont été dérobés via 13 piratages de ponts inter-chaînes entre janvier et août. Ces attaques représentent 69 % des vols de cryptomonnaies en 2022, indique Chainanalysis.
Elliptic, un autre cabinet d’analyses en cryptomonnaies, a noté dans son rapport trimestriel sur les piratages publié cette semaine que les ponts « ont tendance à accumuler de grandes quantités d’actifs verrouillés sur de nombreuses blockchains, dont beaucoup n’ont peut-être pas de culture de sécurité ou d’audit avancée en raison de leur relative obscurité ». Cela fait des ponts « une cible attrayante pour les cybercriminels », ajoute Elliptic.
Les experts estiment que les ponts sont particulièrement ciblés par des hackers liés à des groupes terroristes ou des régimes dictatoriaux, notamment la Corée du Nord.
Le récent sabotage des gazoducs Nord Stream en Mer du Nord a rappelé la vulnérabilité des infrastructures stratégiques nécessaires au fonctionnement de nos économies. Que se passerait-il si les câbles internet sous-marins étaient visés alors qu’ils représentent 95 % du trafic Internet ? Le lundi 3 octobre, le président de la République Emmanuel Macron a d’ailleurs demandé une inspection des câbles sous-marins du réseau français.
Solutions-Numériques a demandé à Cloudfare, dont le réseau de distribution de contenus est le plus vaste du monde et qui protège 20 % du trafic internet mondial, de répondre à nos questions sur le sujet. David Belson, Head of Data Insight chez Cloudflare, s’est attelé à la tâche.
Solutions Numériques : Combien de kilomètres représentent les câbles internet sous-marins ? Quel pourcentage de liaisons internet passent par des câbles sous-marins ?
> David Belson
David Belson : Une récente FAQ de Telegeography (un expert dans ce domaine) indique qu’il y a plus de 1,3 million de kilomètres de câbles sous-marins en service dans le monde en 2021. S’il s’agit d’un chiffre intéressant, il n’est pas très significatif. Additionner la longueur de toutes les routes du monde ne dit rien de vraiment utile sur les transports. Dans un rapport publié en 2021 par le Conseil de l’Atlantique, on estime à plus de 95 % le trafic internet intercontinental acheminé par ces câbles. C’est assez logique puisque les câbles sous-marins ne sont pas nouveaux. Ils ont d’abord été utilisés pour transporter le trafic télégraphique intercontinental, puis le trafic vocal, aux XIXe et XXe siècles.
Quels territoires français (continent et outre-mer) seraient concernés par un sabotage ? Et par ricochet le reste de l’Europe/monde ?
Avant-propos : Liste des connections existantes pour les territoires d’outre-mer français (Source : Submarine Cable Map)
Guyane Française : Americas-II, Deep Blue One (2024), Kanawa
Saint-Pierre et Miquelon : St. Pierre and Miquelon Cable
Wallis et Futuna : Tui-Samoa
Il n’existe pas de données concernant Clipperton et les Terres australes et antarctiques françaises.
La plupart des territoires d’outre-mer français sont connectés à plusieurs câbles. Mais il faut savoir qu’il y a en général un câble « principal », puis des « embranchements » qui se connectent aux points d’atterrissage dans les pays situés le long du parcours. L’impact d’un sabotage pourrait donc dépendre de l’endroit où la coupure se produit sur le câble. Par ailleurs, en raison de l’éloignement de certains de ces territoires, ces systèmes de câbles ne sont pas nécessairement reliés au « continent », mais plutôt à un autre pays/territoire qui peut lui-même dépendre largement des câbles sous-marins pour se connecter à Internet. Le sabotage de l’un de ces câbles « amont » pourrait avoir un impact sur la connectivité Internet d’un territoire français sans que ses câbles directement connectés soient endommagés.
L’impact sur l’Europe et le reste du monde dépendrait du ou des câbles endommagés et de l’endroit où ils se trouvent. En d’autres termes, l’endommagement de l’embranchement guyanais du câble Americas-II aurait un impact sur ce territoire, mais il est peu probable qu’il ait un impact plus important sur l’Europe ou le reste du monde. En revanche, l’endommagement des principaux segments d’un ou de plusieurs systèmes de câbles reliant l’Europe aux États-Unis, ou à l’Asie via l’Afrique, pourrait avoir un impact notable sur la connectivité Internet européenne. Par exemple, les dommages subis par les câbles AAE-1 et SMW-5 lors de leur passage en Égypte ont eu un impact sur la connectivité de plusieurs pays.
Est-il facile d’endommager ces câbles ?
Il existe de nombreux exemples de câbles sous-marins endommagés par des tremblements de terre ou des catastrophes naturelles, ainsi que par des ancres de navires errants. La facilité des dommages potentiels dépend aussi de l’endroit où ils sont situés, de la manière dont ils sont installés (enterrés ou suspendus) et de l’épaisseur du câble – un câble de 1 cm serait beaucoup plus facile à endommager qu’un câble de 20 cm d’épaisseur. Mais quoi qu’il en soit, un adversaire déterminé trouvera toujours un moyen.
Quelles conséquences ? A-t-on des exemples similaires passés ?
En fonction de l’étendue des dommages et de la disponibilité de connexions redondantes, les conséquences peuvent aller de l’isolement complet des télécommunications à l’augmentation de la latence et de la congestion sur les connexions disponibles (qui se manifesterait par un ralentissement des performances perçues ou des expériences audio/vidéo de moindre qualité).
Il existe de nombreux exemples de l’impact provoqué par des câbles sous-marins endommagés. Sur l’année 2022 on peut citer l’éruption volcanique aux Îles Tonga qui a endommagé leur principale liaison sous-marine, les problèmes sur les câbles AAE-1 et SMW-5 qui ont impacté plusieurs pays du Moyen-Orient et d’Afrique ou encore la coupure de deux des trois câbles reliant la Tasmanie au continent.
Quel temps faudrait-il pour réparer des câbles endommagés ?
Le temps nécessaire à la réparation des câbles endommagés peut aller de quelques semaines à plusieurs mois. Cela dépend de plusieurs facteurs tels que la précision de l’emplacement identifié du dommage, l’accessibilité du câble endommagé, les conditions météorologiques locales (tempêtes ou glace, par exemple), la disponibilité des navires câbliers ainsi que leur emplacement par rapport au câble endommagé.
Après l’éruption volcanique de Tonga, il a fallu 38 jours pour effectuer les premières réparations du câble. En juin 2022, un câble sous-marin endommagé au Groenland n’a pas pu été réparé avant le mois d’août suivant en raison des conditions météorologiques. Mais dans ce cas, une fois le navire arrivé sur place, les réparations ont été effectuées en un peu plus d’une semaine.
A-t-on des moyens de substitution ?
La connectivité alternative dépend d’un certain nombre de facteurs. Comme indiqué précédemment, un pays/territoire est souvent connecté à plusieurs câbles. Si l’un d’entre eux tombe en panne, le trafic peut potentiellement basculer sur un autre. La connectivité terrestre peut également fournir une redondance, mais elle est plus pertinente pour les sites continentaux. Par exemple, si la France devait perdre toute sa connectivité par câble sous-marin en même temps (un scénario extrêmement improbable), le trafic pourrait potentiellement basculer vers des connexions à des réseaux en Espagne, en Allemagne, en Italie et dans d’autres pays voisins, en tirant parti de leur connectivité internationale pour atteindre le reste de l’Internet mondial. Les liaisons par satellite peuvent également constituer une alternative temporaire, bien que leur capacité soit bien inférieure à celle des câbles à fibres optiques et qu’elles soient souvent très coûteuses.
Cependant, il ne faut pas oublier l’aspect commercial de ces alternatives technologiques. Les réseaux et/ou les gouvernements des endroits touchés doivent avoir des accords contractuels en place pour pouvoir utiliser ces alternatives et disposer d’une capacité suffisante.
Outre des sabotages, que se passerait-il un cas de pannes de courant ?
Les pannes de courant peuvent se produire pour de multiples raisons et constituent une menace constante pour Internet. Nous devons envisager les choses du point de vue de l’infrastructure et du point de vue du consommateur.
L’infrastructure comprend les datacenters, les points d’échange Internet, les « têtes de réseau » locales, les antennes de téléphonie mobile, etc. Souvent, ces installations disposent d’une alimentation de secours (batteries ou générateurs) et ont des relations/contrats avec les fournisseurs de carburant locaux pour une livraison prioritaire en cas de panne généralisée. L’infrastructure Internet doit donc pouvoir rester disponible/en ligne, même en cas de panne de courant.
C’est généralement pour les consommateurs que l’on constate le plus grand impact sur la connectivité Internet en cas de panne de courant. Les équipements de connexion tels que les modems ou les routeurs, ainsi que les appareils connectés à Internet ont besoin d’énergie pour fonctionner. En cas de panne de courant, si l’endroit où se trouve l’utilisateur ne dispose pas d’une alimentation de secours, les modems et routeurs cessent de fonctionner, ce qui met effectivement l’utilisateur hors ligne. Dans certains cas, la connexion par le biais d’un téléphone mobile peut être une alternative, mais elle sera limitée par l’autonomie de la batterie du téléphone…
Quel rôle à jouer pour Cloudflare ?
Cloudflare ne fournit pas d’accès direct à Internet aux consommateurs ou aux entreprises, et nous ne possédons pas d’infrastructure de câbles sous-marins. Cependant, notre réseau distribué à l’échelle mondiale peut aider à maintenir le contenu et les applications les plus locales pour les utilisateurs finaux, en réduisant la dépendance à l’égard des infrastructures Internet internationales comme les câbles sous-marins. Cloudflare dispose de datacenters dans 275 villes de plus de 100 pays, connectés à 11 000 fournisseurs de réseau. Nous sommes ainsi capables d’atténuer les attaques et les menaces au plus près de leur origine. Grâce à notre plateforme Workers et les technologies qui la supportent, nos clients peuvent exécuter des applications aux limites d’Internet, au plus près des utilisateurs finaux, en minimisant le besoin de contacter les serveurs d’origine hébergés de l’autre côté de l’océan ou à l’autre bout du monde. En outre, pour les demandes qui doivent être renvoyées à un serveur d’origine à partir de notre réseau, nous pouvons exploiter les technologies d’optimisation des routes pour identifier le meilleur chemin à prendre, en évitant les routes sur des infrastructures endommagées.
Le grossiste Arrow Electronics va distribuer les logiciels de Tehtris afin d’adresser les fournisseurs de services de sécurité infogérés (MSSP) en France.
L’éditeur Tehtris, un spécialiste de la neutralisation des cyber attaques, a choisi cet automne le grossiste Arrow Electronics pour accompagner son développement en France. Il commercialise un logiciel XDR, dont les huit modules facilitent la neutralisation automatique et sans action humaine des cybermenaces, qui devrait intéresser les fournisseurs de services de sécurité infogérés (MSSP).
Comme le confirme Cyril Serina, responsable Channel de Tehtris : « Le partenariat avec Arrow-ECS va nous permettre de poursuivre la dynamique de recrutement de nouveaux acteurs MSSP souhaitant proposer à leurs clients une approche 360 degrés de la cybersécurité. C’est également un atout supplémentaire pour nos partenaires existants qui pourront bénéficier de la proximité des équipes d’Arrow ECS France au travers de leurs agences en région et de leur vaste gamme de services à valeur ajoutée autour de nos solutions. »
SysDream a élargi son horizon pour proposer aujourd’hui aux organisations un parcours cyber exhaustif avec des activités d’audit-conseil et formation, de SOC, de CERT ainsi que de fourniture et d’intégration de solutions.
SysDream est l’une des trois entités de Hub One, filiale à 100 % du groupe ADP. Consacrée à la cybersécurité, elle est bien connue des experts du domaine, notamment à travers son événement annuel Hack In Paris et ses activités de formation et de cyber-entraînement, son périmètre historique.
5 activités et des partenaires triés sur le volet
Dorénavant, l’entreprise aux nombreuses qualifications et certifications – elle est en particulier qualifiée PASSI (Prestataires d’Audit de la Sécurité des SI) par l’ANSSI – articule son offre autour de 3 piliers : la conception et l’évaluation de la sécurité du SI, sa sécurisation, sa surveillance et sa remédiation.
« Nous avons cinq activités principales », explique Gregory Mauguin, directeur général de SysDream à la tête de cette entité depuis février 2022. Le dirigeant cite d’abord la partie audit, conseil et formation – certifiée Qualiopi – avec du cyber-entraînement. Puis, l’édition. En juin, à l’occasion du Forum International de la Cybersécurité de Lille, l’entreprise a d’ailleurs présenté la dernière version d’Ovéliane, une solution logicielle pour la gestion de la conformité des endpoints, interopérable avec les différents SIEM.
Gregory Mauguin évoque ensuite « les activités d‘intégration et de déploiement de solutions partenaires sur les SI des clients ». Il s’agit par exemple de gérer la sécurité applicative, les accès à privilèges, etc. Le nombre de partenaires est « extrêmement restreint, trié sur le volet », ce qui est une volonté de l’entreprise afin de garantir un niveau élevé d’expertise sur les technologies sélectionnées et de se positionner très haut sur la chaîne de valeur.
A ces trois domaines s’ajoutent un SOC (Security Operational Center) qui est en cours de qualification PDIS (référentiel d’exigences de l’ANSSI applicable aux prestataires de détection des incidents de sécurité) et un CERT (Computer Emergency Response Team) pour la réponse aux incidents de sécurité.
« Avec ce périmètre très large, nous sommes en mesure de proposer un parcours client exhaustif sur tous les sujets cyber », se félicite le dirigeant qui dit viser « l’excellence » – qualifications à l’appui – s’adressant tout à la fois aux OIV et OSE, aux ministères, aux structures dans le domaine de l’armement, mais aussi aux PME, en particulier pour les activités de fourniture et d’intégration de solutions. « D’une façon générale, notre complémentarité d’offres permet, sur des sujets spécifiques, d’adresser toutes les organisations sur le marché », souligne-t-il.
« Avec ce périmètre très large, nous sommes en mesure de proposer un parcours client exhaustif sur tous les sujets cyber. »
Une entreprise agile
SysDream regroupe aujourd’hui plus de 80 collaborateurs, avec notamment une quinzaine d’experts sur la partie SOC et une équipe de consultants pentesters très importante : plus de 30 auditeurs, qui sont également formateurs et interviennent sur des activités de recherche. Chez SysDream, les ponts s’opèrent ainsi entre les différentes activités et enrichissent la proposition de valeur, qu’il s’agisse, par exemple, de concevoir la surveillance des environnements, liée à la GRC (Gouvernance, Risque et Conformité), ou d’opérer la détection des incidents de sécurité qui se coordonne avec l’intégration des solutions partenaires. Un tout « agile », à la fois dans « des process extrêmement structurés », « sans activités silotées », et dans une structure de taille intermédiaire.
25M€ à l’horizon 2025
La filiale de Hub One affiche ainsi ses ambitions : à l’échéance 2025, elle table sur 25 millions d’euros de chiffre d’affaires, contre 10 millions environ prévus en fin d’année, ce qui représente déjà une croissance de 60 % par rapport à l’an dernier.
Son affiliation à Hub One lui donne une forte capacité d’investissement « pour mieux servir les enjeux client de demain » dans les domaines de la détection, de la protection et de la réaction. En 2025, SysDream devrait compter pas moins de 120 consultants et experts cyber, sans compter les fonctions support (RH, commerce, finance…).
SysDream sait détecter « le sens du vent » et dispose des moyens humains, techniques, et financiers pour avancer vite, et loin.
AVIS D’EXPERT – Jason Steer, Global CISO de Recorded Future, un spécialiste du renseignement sur les menaces, éclaire les lecteurs de Solutions-Numériques sur les moyens de riposter efficacement au détournement de session et au contournement de MFA.
En cybersécurité, on ne voit souvent que la pointe émergée de l’iceberg. Dans les faits, de nombreuses attaques sont réalisées en plusieurs étapes, de la « reconnaissance initiale » au « déplacement latéral » pour aboutir à la « mission accomplie ». Même si les bonnes pratiques maintiennent généralement que la MFA (authentification multifacteur) et les gestionnaires de mots de passe sont suffisants pour limiter les risques de détournement de comptes, les cybercriminels s’adaptent très vite. Comment les organisations peuvent-elles immédiatement riposter en reconfigurant leurs outils de détection des intrusions et en améliorant leur renseignement sur les menaces ?
Le marché de l’accès initial en pleine croissance
Même si la MFA est une bonne pratique recommandée pour la sécurité des entreprises, de nombreux comptes ne sont encore protégés que par une simple combinaison nom d’utilisateur/mot de passe. C’est exactement ce que cherchent les cybercriminels pour obtenir ou améliorer leur accès à un système ciblé. Ils peuvent y parvenir via un simple hameçonnage réalisé à l’aide d’outils d’enregistrement de saisie tels que les keyloggers, ou les logiciels de vol d’identifiants comme RedLine ou Raccoon. Un acteur malveillant peut utiliser ces outils lui-même ou simplement acheter des identifiants exfiltrés à un autre cybercriminel qui les a déjà volés. Il peut aussi utiliser l’historique Bash, les fichiers de clé de chiffrement, les registres, les notes, les fichiers et les identifiants d’administrateur système codés en dur dans les scripts ou les applications.
Les acteurs malveillants comme les groupes de ransomware sont en train de devenir des spécialistes de l’obtention des accès, connus sous le nom de courtiers d’accès initial (IAB). Cela peut être un dispositif VPN, un système de gestion du contenu, une passerelle Citrix ou d’autres systèmes d’entreprise critiques. Selon un rapport récent de Recorded Future, le marché des IAB est en pleine croissance car les cybercriminels cherchent à externaliser davantage leur travail. Une fois l’accès initial obtenu, les acteurs malveillants déposent souvent un web shell dans l’environnement de leur victime afin d’obtenir un accès continu et d’installer de nouveaux outils ou d’obtenir des informations supplémentaires sur le système. Ils peuvent utiliser des élévations de privilèges ou la collecte d’identifiants pour accéder à d’autres machines sur le même réseau et obtenir un déplacement latéral.
Comment organiser sa défense ?
Le renseignement sur les menaces est un outil de sécurité essentiel pour minimiser les risques cyber, y répondre rapidement et rendre les systèmes plus résilients. Le type d’informations qui s’avère le plus utile est le type d’accès que les IAB vendent actuellement et comment ils ciblent généralement des organisations similaires. Les équipes de sécurité doivent adopter une approche basée sur les risques par rapport aux vulnérabilités qui sont exploitées lors des attaques perpétrées sur leurs pairs, par exemple. Elles doivent aussi être informées des identifiants d’entreprise qui circulent sur le dark web. En agissant rapidement, il est possible de réinitialiser les mots de passe avant qu’ils ne soient vendus à d’éventuels acteurs malveillants.
Le renseignement sur les menaces fournit des informations sur les produits de la chaîne d’approvisionnement et les points faibles éventuels, et permet de surveiller en continu les nouveaux enregistrements de domaine qui visent à imiter les domaines d’entreprises légitimes. Ce type de renseignement exige d’examiner de nombreuses sources, des terminaux d’entreprise aux sites sur le dark web. Il est permet de scanner la présence d’éventuels vols d’identifiants, de web shell ou d’autres outils malveillants. La clé est de mettre la lumière sur ceux qui préféreraient rester dans l’obscurité et de multiplier les défenses pour avoir plus de chance de les piéger.
Emergence du détournement de session et du contournement de MFA
Le détournement de session via un logiciel malveillant de type infostealer et le vol de cookies est un moyen de plus en plus populaire de contourner le MFA. Au cours des 12 derniers mois, Recorded Future a observé 14 905 références à des messages clandestins relatifs au cybercrime incluant les mots clés « cookies », « cookies de session » et
« détournement de session ». Pourquoi est-ce si populaire ? Parce que les cookies HTTP sont utilisés pour gérer les sessions des utilisateurs, stocker les préférences de personnalisation des utilisateurs et analyser leur comportement. Si un acteur malveillant parvient à voler le « cookie magique » utilisé pour authentifier un utilisateur à une application interne ou de tiers, il pourra détourner les sessions d’utilisateur en restant totalement anonyme, en se faisant passer pour l’utilisateur légitime.
Une fois les cookies volés, une technique post-exploitation relativement directe appelée
« pass the cookie » permet à l’acteur malveillant de détourner la session d’utilisateur. Plutôt que de voler des mots de passe, cette méthode lui permet de contourner des points de contrôle de la MFA. Bien souvent, les sessions expirent après 7 jours ou plus, ce qui offre une belle opportunité d’accéder à des applications et services web sensibles, de voler des données, de déployer des ransomwares et bien d’autres.
Le sens du commerce des cybercriminels
Les cybercriminels savent reconnaître une opportunité. C’est pourquoi les cookies sont souvent inclus dans des packages faciles d’utilisation, tels que les « bots » ou les « logs » vendus sur les plateformes du darknet. En plus des cookies de session, ces packages contiennent des identifiants de compte, des adresses IP et des empreintes digitales d’appareil. Ces données peuvent être importées dans une extension de navigateur appelée Genesis Security, permettant aux acteurs malveillants de se faire passer pour la victime des attaques de piratage de compte et de détournement de session.
Les courtiers d’accès initial (IAB) vendent également des cookies avec des identifiants volés, si l’accès au réseau exige une MFA. L’exploitation des identités grâce aux logiciels infostealer et au détournement de session est une tactique clé du « célèbre » groupe Lapsus$, qui prétend avoir volé les données de nombreuses grandes entreprises de technologie, telles que Samsung, Microsoft et Nvidia.
Alors que la MFA se popularise de plus en plus, les efforts pour la contourner aussi. La MFA et les gestionnaires de mots de passe doivent toujours être de facto.Les équipes de sécurité devraient explorer les solutions qui imposent la MFA de manière plus fréquente. C’est à elles d’en déterminer la fréquence, le niveau de friction pour ses utilisateurs, les applications à renforcer. Surveiller les identités compromises de son organisation, réduit la fenêtre d’attaque pour voler les informations relatives à l’identité et les revendre à un autre criminel. Aujourd’hui, pour aller plus loin, il est possible de connecter directement ce renseignement sur les identités à un fournisseur d’IAM (Identity & Access Management), afin d’automatiser les identités à l’aide d’une réinitialisation et d’une révision automatiques de mot de passe pour accélérer le repérage de cette menace.
(AFP) – Le site d’information Reflets, poursuivi par le groupe Altice pour avoir publié des articles basés sur des documents volés par des pirates informatiques, peut les laisser en ligne mais n’a pas le droit d’en faire paraître d’autres, a estimé jeudi le tribunal de commerce de Nanterre.
« Nous ordonnons à la société Rebuild.sh (éditrice de Reflets, ndlr) de ne pas publier sur le site de son journal en ligne reflets.info de nouvelles informations » basées sur ces données piratées, conclut le tribunal dans une ordonnance rendue jeudi, dont l’AFP a eu connaissance. Pour autant, le tribunal souligne que Reflets « n’est pas l’auteur du piratage informatique subi par les sociétés du groupe Altice« . L’auteur en était le groupe de hackers Hive, qui avait piraté des documents internes d’Altice avant de les mettre en ligne en août sur le darkweb.
Dans ses articles, Reflets s’est donc basé sur des informations « déjà en ligne, même si elles ne sont accessibles qu’à un public restreint en raison du nécessaire recours à un logiciel spécifique« , a estimé le tribunal. Par conséquent, le retrait des articles déjà parus demandé par Altice n’est donc pas justifié, juge le tribunal.
Altice, le groupe du milliardaire Patrick Drahi, avait saisi le tribunal de commerce de Nanterre en urgence (référé) et l’audience avait eu lieu le 27 septembre. Le groupe demandait le retrait de quatre articles publiés par Reflets en septembre. Ces articles, qui ne divulguent pas de détails sur les sociétés d’Altice, évoquent le train de vie de Patrick Drahi, notamment ses déplacements en jet privé.
(AFP) – L’ancien responsable de la sécurité informatique d’Uber, Joseph Sullivan, a été jugé coupable mercredi d’avoir dissimulé, en 2016, une attaque informatique qui avait permis à des pirates de mettre la main sur des données personnelles d’environ 57 millions d’utilisateurs de la plateforme.
D’après la presse américaine qui rapporte le verdict, M. Sullivan risque plusieurs années de prison pour ne pas avoir signalé la cyberattaque aux autorités fédérales à l’époque. Le procès a été suivi de près dans le milieu de la cybersécurité, car il est considéré comme un test sur la vision qu’a la justice américaine des responsabilités et des obligations des responsables de ce domaine au sein des entreprises.
Le verdict « constitue un précédent significatif, qui crée une onde de choc dans notre communauté« , a commenté Casey Ellis, le fondateur de Bugcrowd, une société californienne spécialisée dans la cybersécurité. « Cela montre la responsabilité personnelle que prennent les responsables de la sécurité informatique« , a-t-il ajouté.
L’entrepreneur préfèrerait que les Etats-Unis définissent mieux les règles autour de la protection de la confidentialité des données, plutôt que de réagir a posteriori.
Le versement d’une rançon de 100 000 dollars
Selon l’acte d’accusation, Joe Sullivan, licencié en novembre 2017, avait également organisé le versement d’une rançon de 100 000 dollars aux pirates à l’origine de l’attaque.
Les données volées comprenaient des noms, des adresses email et des numéros de téléphone de millions de passagers, ainsi que les noms et permis de conduire de quelques 600 000 chauffeurs, selon Uber.
L’affaire n’avait été révélée qu’un an plus tard, le groupe basé à San Franicsco passant alors un accord amiable avec les procureurs de 50 Etats américains, intégrant 148 millions de dollars d’indemnités, au total, pour avoir tardé à dévoiler l’attaque au régulateur ainsi qu’au grand public.
Identifiés par les autorités américaines, les deux pirates à l’origine de la cyberattaque ont été interpellés et ont plaidé coupable d’extorsion devant un juge fédéral de Californie en 2019.
En 2018, la France a condamné Uber à une amende de 400 000 euros pour avoir caché ce piratage. Les Pays-Bas et le Royaume-Uni ont également sanctionné l’entreprise avec des amendes.
Uber n’a pas répondu mercredi à une sollicitation de l’AFP.
La cybersécurité couplée à l’accès intelligent via le Web sont les enjeux du bâtiment de demain pour les entreprises. Telle est la principale conclusion du nouveau rapport de 2N, un spécialiste des systèmes de contrôle d’accès IP.
Intitulé « Evolution des systèmes de contrôle d’accès : un guide pour les projets Smart Office », ce rapport de 2N apporte plusieurs rensignements intéressants à l’heure où les entreprises tentent d’aménager des espaces de travail hybride.
On y apprend que l’utilisation de lecteurs avec contrôleurs d’accès intégrés devrait augmenter de plus de 50 % d’ici à 2024. En matière de contrôle d’accès intelligent pour les bâtiments, la tendance sera la migration des cartes RFID existantes vers des systèmes d’accès Bluetooth de nouvelle génération et la demande sera croissante en solutions IP de contrôle d’accès avec des systèmes distincts de sécurité physique et de caméras de surveillance.
Notez que le rapport présente différents cas d’usage autour du contrôle d’accès intelligent pour les bureaux, les commerces et le monde de l’éducation à l’échelle mondiale.
