Le FBI enquête sur plus de 1 000 cas de vols de technologie américaine par la Chine

Sécurité : Les responsables américains évoquent les méthodes utilisées par le gouvernement chinois et ses agents pour cibler les entreprises et les universités américaines afin de voler des propriétés intellectuelles.

Par | Mardi 11 Février 2020

Suivre @zdnetfr

 

 

 

Libellés

FBI, NSA, hackers Chinois, vol de donné, technologie, cyberespionnage,

 

 

 

 

 

Plusieurs membres du gouvernement américain ont tenu une conférence à Washington cette semaine sur le thème du vol chinois de propriété intellectuelle auprès des entreprises technologiques américaines et du secteur universitaire américain.
Les responsables ont déclaré que le but de la conférence - appelée la China Initiative Conference - était de mettre le secteur privé américain et les communautés universitaires et de recherche au courant des enquêtes du gouvernement américain.
Pendant quatre heures, certains des plus hauts responsables du FBI et du ministère de la Justice ont tenté d’alerter le secteur privé et universitaire sur les menaces auxquels ils sont actuellement confrontés.
"La menace de la Chine est réelle, elle est persistante, elle est bien orchestrée, elle dispose de ressources suffisantes et elle ne disparaîtra pas de sitôt", a déclaré John Demers, procureur général adjoint à la sécurité nationale.
"Cela me semble vraiment être la plus grande menace à long terme pour la propriété intellectuelle de notre pays, et pour notre vitalité économique", a déclaré le directeur du FBI, Christopher Wray.

publicité

Plus de 1 000 cas de vol de propriété intellectuelle

Le directeur du FBI a déclaré que les cas s'accumulaient depuis 2018, depuis le lancement par le ministère de la Justice de la campagne China initiative, qui vise à contrer et enquêter sur l'espionnage économique de Pékin.
"Le FBI a ouvert environ un millier d'enquêtes impliquant une tentative de vol de technologie basée aux États-Unis dans 56 de nos bureaux extérieurs et touchant à peu près toutes les industries et tous les secteurs", a déclaré Wray.
John Brown, directeur adjoint du FBI pour la division du contre-espionnage, a déclaré que le bureau avait déjà procédé à 19 arrestations au cours de cet exercice pour des motifs d'espionnage économique chinois.
En comparaison, le FBI a procédé à 24 arrestations de ce type au cours de la dernière année fiscale et seulement 15, cinq ans plus tôt, en 2014.

Wray a déclaré que le gouvernement de Pékin avait montré "qu'il était prêt à grimper les échelons économiques aux dépens [des États-Unis]".
Plusieurs gros bonnets du FBI et du ministère de la Justice étaient à la conférence pour marquer le point pour les participants.
Le procureur général américain William Barr a également prononcé un discours, exhortant les États-Unis et leurs alliés à investir dans Nokia et Ericsson pour contrer la présence croissante de Huawei sur le marché de la 5G, mais a également lancé de nouvelles accusations contre les pirates chinois.
Adam Hickey, sous-procureur général adjoint, William Evanina, directeur du Centre national de contre-espionnage et de sécurité, plusieurs procureurs de district américains, les présidents et PDG d'entreprises américaines et des membres des plus grandes universités des États-Unis ont également prononcé des discours et assisté à des panels de discussion pour détailler leurs expériences sur les relations avec la Chine et alerter d'autres entreprises et universités américaines.

Du vol sans discrimination

Les responsables américains ont déclaré que toutes les opérations de vol chinois se déroulaient sur la base d'un plan bien établi transmis par le gouvernement de Pékin, avec des domaines d'intérêt à cibler, que le gouvernement chinois considère comme essentiels pour devenir autosuffisant.
"Ils ne ciblent pas seulement les entreprises du secteur de la défense. Les Chinois ont ciblé les entreprises produisant tout, des semences de riz et de maïs propriétaires aux logiciels pour éoliennes en passant par les dispositifs médicaux haut de gamme", a déclaré le directeur du FBI.
"Et ils ne visent pas seulement l'innovation et la R&D. Ils recherchent des données sur les coûts et les prix, des documents de stratégie interne, des données personnelles en vrac; vraiment à peu près tout ce qui peut leur donner un avantage concurrentiel", a-t-il ajouté.
"Ils visent également la recherche de pointe dans nos universités", a déclaré Wray.
De plus, Jay Town, procureur américain du district nord de l'Alabama, a déclaré que les tentatives de vol ne se produisent pas uniquement dans les grandes villes américaines et les centres technologiques comme la Silicon Valley ou New York. Ils se produisent dans tout le pays, de l'Alabama à l'Iowa.

Tout y passe

Le principal objectif de la conférence était de mettre à jour les entreprises américaines et le secteur universitaire avec toutes les techniques utilisées par le gouvernement chinois pour obtenir leurs données sur la technologie américaine.
"La Chine utilise un large éventail de méthodes et de techniques", a déclaré Wray. "Et je parle de tout, des intrusions informatiques à la corruption d'initiés de confiance. Ils ont même commis un vol physique pur et simple", a déclaré le directeur du FBI. "Ils ont lancé une stratégie d’ampleur pour le vol d'innovation à travers un large éventail d'acteurs. On peut évidemment citer les services de renseignement chinois, mais aussi les entreprises publiques, des entreprises apparemment privées, certains types d'étudiants diplômés et de chercheurs, et toute une série d'autres acteurs tous travaillant en leur nom. "

Les techniques varient. Certaines sont criminelles, tandis que d'autres se situent dans une zone grise. Les responsables américains espèrent que les entreprises américaines sauront les éviter.

Des partenariats que les entreprises regretteront

Par exemple, conclure un partenariat commercial n'est pas illégal, mais plusieurs des responsables américains invités à prendre la parole lors de la conférence ont déclaré que les partenariats avec des acteurs chinois impliquaient souvent un transfert de technologie américaine. Plusieurs fois, les entreprises chinoises continuent d'utiliser la technologie même après la fin des partenariats, ignorant les droits d'auteur et les marques.
Wray affirme que la Chine exploite délibérément les faiblesses et l'ouverture de l'environnement universitaire américain et l'ouverture de l'économie américaine, tout en utilisant également son système fermé pour empêcher les entreprises américaines d'entrer sur le marché chinois.
"Ils exigent souvent de nos entreprises qu'elles mettent en danger leurs secrets commerciaux et les données personnelles de leurs clients en raison du coût d'accès à l'immense marché chinois", a déclaré Wray. "Et ils font en sorte que des coentreprises américaines opérant en Chine établissent ces cellules du Parti communiste au sein de leurs entreprises."
N'ayant pas accès à l'immense marché chinois, de nombreuses entreprises ignorent les risques, ne prennent pas le temps de vérifier la crédibilité de leurs partenaires et nouent des partenariats avec des entreprises chinoises.
Les responsables du FBI ont déclaré que de nombreuses entreprises ne voient pas les dommages qu'elles se font à long terme en confiant des travaux de recherche et développement (R&D) coûteux à des partenaires chinois à des prix bien inférieurs, le tout sur la promesse de pouvoir faire des affaires en Chine .
William Evanina, directeur du Centre national de contre-espionnage et de sécurité, prévient que bon nombre de ces entreprises pourraient ne pas ouvrir à l'avenir des usines d'unités de production en raison du vol de propriété intellectuelle, tandis que les entreprises chinoises recevront de l'aide du gouvernement de Pékin via des subventions ou d'autres programmes gouvernementaux.
Pékin finance ses entreprises dans les meilleures positions sur le marché grâce à des fonds publics et permet à ces entreprises de contourner tous les moments difficiles de l’économie mondiale.
Les responsables du FBI disent qu'ils ont eu des réunions avec des entreprises américaines au cours de la dernière année pour les mettre en garde contre les pratiques du gouvernement chinois et de ses entreprises du secteur privé contrôlées par l'État.

Enquêtes dans le secteur universitaire américain

Mais le vol de la propriété intellectuelle et de la R&D aux États-Unis n'a pas eu lieu uniquement dans le secteur des entreprises. Le secteur universitaire américain a également été fortement ciblé, principalement en raison de son ouverture, de son environnement moins réglementé, mais aussi de sa richesse en technologies avancées et en R&D.
Par exemple, le mois dernier, les États-Unis ont accusé le président du département de chimie et de biologie chimique de l'Université Harvard d'avoir menti aux autorités américaines au sujet de sa participation au plan chinois des mille talents.
Selon le ministère de la Justice: «Le plan des mille talents de la Chine est l'un des plans de recrutement les plus importants, conçus pour attirer, recruter et cultiver des talents scientifiques de haut niveau afin de promouvoir le développement scientifique, la prospérité économique et la sécurité nationale de la Chine. Ces programmes visent à attirer les talents chinois à l'étranger et les experts étrangers pour apporter leurs connaissances et leur expérience en Chine et récompenser les individus pour avoir volé des informations exclusives.
Les responsables américains craignent maintenant que le travail de R&D effectué à Harvard avec des subventions du gouvernement américain ait fini par tomber dans l’escarcelle du gouvernement chinois.
C’est l'un des nombreux cas sur lesquels le gouvernement américain enquête implique des membres du secteur universitaire.

D'autres cas impliquent des professeurs américains, mais d'autres impliquent également des étudiants chinois aux États-Unis, qui sont soit recrutés par les services de renseignement chinois pour voler des données propriétaires ou agir de leur propre chef.

La Chine récompense le vol de propriété intellectuelle

Selon des responsables américains, la Chine semble encourager le vol de propriété intellectuelle à l'étranger et a mis en place un système pour récompenser ces actions.
"Il y a certainement beaucoup de cas où nous n'avons pas de preuve que le gouvernement chinois a acheté ou parrainé le vol, mais nous voyons des modèles où le vol est récompensé après coup", a déclaré Adam Hickey, adjoint du procureur général.
"Il y a une structure mise en place pour l'encourager", a ajouté Hickey. "Donc, vous n'avez pas besoin que l'État le sponsorise si l'État vous récompense à la fin." Ces parrainages impliquent généralement des fonds gouvernementaux pour démarrer une entreprise autour des informations volées.

Les pirates jouent un grand rôle, mais les initiés aussi

Et dans le monde interconnecté d'aujourd'hui, l'appareil de piratage chinois joue toujours l'un des plus grands rôles dans les efforts de vol de propriété intellectuelle du pays.
Cependant, les pirates chinois n'agissent plus seuls. Les hacks parrainés par l'État chinois ont récemment impliqué des initiés recrutés dans les entreprises ciblées et des agents de renseignements hautement qualifiés qui coordonnent toutes ces opérations à partir d'une position en amont.
En octobre 2019, ZDNet a publié un article sur les efforts de la Chine pour s'implanter dans l'industrie aéronautique en construisant son propre avion local la façon dont les multiples piratages ont laissé une trace dans l'industrie aéronautique.

L’une des informations principales de l’article était le fait que la Chine n’a plus recours à une division « cyber » organisée au sein de ses forces militaires, comme cela pouvait être le cas dans les années 2000 ou 2010.
De nos jours, les efforts de piratage de la Chine suivent un modèle différent. Selon des informations provenant de diverses sources, les opérations de piratage chinois sont commandées par le ministère chinois de la Sécurité d'État. Elles sont coordonnées par des agents du renseignement affectés à des domaines d'intérêt spécifiques, qui à leur tour embauchent des entrepreneurs privés afin de brouiller les pistes et de garder l’implication du gouvernement à distance. Ces entrepreneurs peuvent être des pirates informatiques connus, des chercheurs en sécurité, des entreprises de sécurité ou des professionnels de l'informatique.
Si ces sous-traitants ne parviennent pas à atteindre un objectif, les agents du renseignement affectés à des cas spécifiques entrent en action. Ils opèrent sur le terrain, près des cibles, en recrutant des employés de l'entreprise, ou même en contraignant des employés chinois à soutenir leurs efforts de piratage en utilisant du chantage ou des menaces contre les familles.
"C'est une histoire qui m'a été racontée lors d'un de mes événements de sensibilisation et qui impliquait un ressortissant chinois qui était un employé d'une entreprise américaine qui a été approché par quelqu'un", a déclaré Adam Hickey, sous-procureur général adjoint.
"L'idée était qu'ils travaillaient pour le gouvernement [chinois] et la demande de cette personne était que l'employé prenne une clé USB et la mette dans son ordinateur au travail." "La suggestion était que s'il ne le faisait pas, il y aurait des conséquences négatives pour les membres de sa famille à la maison", a déclaré Hickey.
Les enquêteurs américains commencent aujourd’hui à comprendre le nouveau mode de fonctionnement du gouvernement chinois. En octobre 2018, des responsables américains ont arrêté le tout premier officier de renseignement chinois sur des accusations de piratage.
L'implication d'officiers de renseignement chinois dans des opérations de piratage n'est pas non plus passée inaperçue au-delà des cercles du gouvernement américain. Par exemple, la société américaine de cybersécurité Recorded Future a également trouvé des liens entre le gouvernement chinois et des pirates informatiques embauchés tout en examinant les hacks chinois passés.
De plus, Intrusion Truth, un groupe en ligne d'analystes anonymes de la cybersécurité, est allé encore plus loin. Au cours des trois dernières années, ils ont révélé la véritable identité des pirates chinois, ainsi que leur affiliation avec certains départements provinciaux du ministère chinois de la Sécurité d'État.
Ils ont lié un groupe de piratage chinois appelé APT3 au ministère de sécurité d’état du Guangdong, APT10 au ministère de sécurité d’état du Tianjin, APT17 au ministère de sécurité d’état du Jinan et APT40 au ministère de sécurité d’état du Hainan.
À la suite des recherches d'Intrusion Truth, le ministère de la Justice a déposé des accusations contre APT3 et APT10, inculpant des pirates informatiques individuels, des employés de sociétés de sécurité et des agents de renseignements.
S'exprimant lors de la conférence China Initiative, le procureur général américain William Barr a fait allusion à de futurs actes d'accusation sur ce front. "Le vol chinois par piratage s'est poursuivi, et vous devriez vous attendre à davantage d'accusations et de poursuites à l'avenir", a déclaré Barr.

Sensibiliser les gens

Les responsables ont déclaré avoir eu plusieurs sommets et réunions avec des universitaires à travers les États-Unis au cours de l'année dernière sur le thème du vol de propriété intellectuelle américaine. "Parce que la menace est très différente et très progressive, vous ne vous concentrez pas nécessairement sur elle et sur la façon dont elle s'intègre dans un mouvement plus large", a déclaré Richard Donoghue, avocat américain pour le district oriental de New York.
"Les Chinois jouent sur le long terme", a déclaré Town, le procureur américain du district nord de l'Alabama.
"Nous avons été trompés trop longtemps", a déclaré John Brown, directeur adjoint du FBI pour la division du contre-espionnage. "Je pense que nous nous sommes réveillés. Je pense que nous prenons l'initiative, en étant agressifs." Vous pouvez regarder l'intégralité de la conférence China Initiative ci-dessous:

REF.:

Un câble USB pour autodétruire votre ordinateur sous Linux s’il est volé ? Voici BusKill !

@Korben  —  6 février 2020

Libellés

Hackers, linux, vol, Laptop, USB, vol d'identité, vol de donné,

Imaginez que vous êtes peinard à une terrasse en plein centre-ville et que vous êtes en train de bosser tranquillement sur votre laptop tournant sous Linux. Je sais qu’on est en février, qu’il fait froid et que je parle de Linux, mais faites marcher votre imagination, apprenez à rêver un peu 😉
Et là paf catastrophe ! Un gars arrache votre portable et se barre en courant avec … et comme vous ne faites jamais de sport vous n’essayez même pas de le rattraper. D’autant plus que vous savez que le voleur ne pourra pas exploiter vos informations. Pourquoi ? Parce que vous aviez connecté un câble Buskill à ce dernier pardi !

Ce câble USB s’attache d’un côté au port USB de la machine et de l’autre à vous-mêmes (votre ceinture, votre sac ou une partie de votre corps si vous aimez vivre dangereusement). Il permet d’amorcer une procédure automatique dès qu’il est déconnecté de l’ordinateur. Cette procédure peut aussi bien être la destruction de certains fichiers ou dossiers sensibles ou simplement l’extinction du système (si vous avez un mot de passe puissant, le voleur devra alors le trouver pour accéder à votre contenu).
Bon vous allez me dire « oui, mais ça ne change pas grand-chose ou final, mon ordi est quand même volé ». C’est vrai.

Sauf que dans certains cas précis cela pourrait être pire qu’un simple vol de matériel. Comme mentionné plus haut si vous avez du contenu confidentiel/pro que vous n’aimeriez pas voir fuiter sur la toile, et que vous avez un backup quelque part, les faire disparaitre automatiquement ne va pas vous causer trop d’ennuis. Il suffira de récupérer le backup sur votre nouvelle machine. Ou encore si au moment du vol vous étiez connecté à votre compte bancaire, à un exchange crypto, votre compte Insta ou ce genre de services ultra important … vous déconnecter et éteindre la machine vous évitera bien des déboires.
L’idée nous vient d’un administrateur système Linux, Michael Altfield, qui a mis les mains dans le cambouis pour développer un script udev qui répondrait à ses besoins. Pour ceux qui ne le savent pas udev est le sous-système Linux qui détecte notamment les périphériques connectés à l’ordinateur, dans le cas présent le câble USB. Dès que le signal ne répond plus, la procédure est lancée, simple.

<noscript><iframe title="BusKill - A new USB Kill Cord Switch to Self-Destruct Your Linux Machine" width="800" height="450" src="https://www.youtube.com/embed/0z3JWrhm0k8?feature=oembed" frameborder="0" allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen></noscript>

 

 

 

Après il y a une mauvaise et une bonne nouvelle. La mauvaise c’est que ce câble n’est pas en vente. La bonne c’est que tout le monde peut s’en fabriquer un pour à peine 20 à 40€. Le créateur expose toute la manip à suivre sur son site.
Si vous voulez tenter le travail, il vous faudra uniquement une petite clé USB, un cordon, un adaptateur magnétique et un mousqueton (ça renforce le côté McGyver). Plus un éventuel adapteur USB-A ou USB-C si votre laptop ne dispose pas d’USB classique.
L’adaptateur magnétique sert à déconnecter facilement le câble de l’ordi et éviter que vous ne soyez trainé au sol pendant plusieurs mètres 😉

REF.:

Antivirus : désinstallez AVG-Avast si vous tenez à votre vie privée

Antivirus : désinstallez AVG si vous tenez à votre vie privée

par Bruno Clairet,

Libellés

antivirus, avg, avast, Avira, norton, vol d'identité, vol de donné, anonymat,

Une enquête de PCMag et de Motherboard met en lumière les pratiques d’Avast AVG concernant vos données personnelles. L’antivirus gratuit prétend collecter des données de manière anonyme, pourtant il permet aux géants du web de suivre simplement toute votre activité sur internet.

Déjà épinglés l’année dernière, Avast et sa filiale AVG sont à nouveau mis en cause dans une affaire de vente de données personnelles. Cette fois, c’est leur solution antivirus gratuite qu’on accuse de collecter et de partager des informations personnelles. PCMag et Motherboard ont mené une enquête conjointe qui révèle comment l’antivirus trahit ses utilisateurs en faveur de géants tels que Microsoft, Amazon ou Google.

Mis à part dans le monde de l’open source, les logiciels et les services réellement gratuits se font de plus en plus rares. Si certains se contentent de nous rappeler très régulièrement qu’on doit se procurer une licence, d’autres usent de procédés plus ou moins sournois pour assurer leur rentabilité. Bien souvent, ce sont ainsi les utilisateurs qui deviennent le produit sans qu’ils s’en rendent vraiment compte. La méthode pose évidemment un problème de confiance, notamment lorsque le service ou le logiciel est censé nous protéger et assurer notre confidentialité.

Un malware destiné à Mac OS se cache en mémoire pour se rendre indétectable

Avast AVG : l’antivirus gratuit serait-il un spyware déguisé ?

La solution antivirus gratuite surveille toute votre activité sur Internet et la partage avec Jumpshot, sa filiale spécialisée dans le marketing en ligne. Elle collecte notamment l’historique de navigation et les données relatives aux achats en ligne. Les clients de Jumpshot peuvent ainsi connaitre précisément votre parcours et quel type de consommateur vous êtes. À la décharge d’Avast, le logiciel offre la possibilité d’accepter ou de refuser le partage de données. Il précise qu’elles « sont complètement anonymes et ne peuvent être utilisées pour vous identifier ou vous cibler ».

Sécurité : 10 règles pour se protéger des attaques sur Internet

L’enquête de PCMag et de de Motherboard démontre que la collecte est loin d’être anonyme. Bien qu’elle ne soit pas liée à une adresse IP ou à un email, Avast l’associe à ce qu’ils appellent un « device ID ». Cet identifiant unique et persistant est censé garantir votre anonymat, pourtant il trahit votre identité. Si le device ID 1234 s’est rendu sur Amazon pour acheter un iPad Pro à partir de Safari v. 13.0.4 le 25/12/20 à 14 h 34 min 33 s et 72 ms, Amazon n’a aucun mal à savoir de qui il s’agit. Si vous tenez à rester anonyme, désactivez la collecte de données ou choisissez un meilleur antivirus gratuit.

Windows 10 : les astuces pour améliorer la sécurité

Mise à jour du 29 janvier 2020 à 12h30
Suite à la publication de notre article, Avast a fait valoir son droit de réponse. Le spécialiste en sécurité y assure « comprendre et prendre au sérieux la responsabilité d’équilibrer la vie privée des utilisateurs avec l’utilisation nécessaire des données pour nos principaux produits de sécurité ». Voici le communiqué dans son intégralité :
« En décembre 2019, nous avons rapidement pris les mesures nécessaires pour répondre aux normes des boutiques d’extensions des navigateurs et nous sommes maintenant conformes à leurs exigences en ce qui concerne nos extensions de sécurité en ligne. Dans le même temps, nous avons complètement cessé d’utiliser les données des extensions de navigateur à d’autres fins que le moteur de sécurité principal, y compris le partage avec notre filiale Jumpshot.
Nous veillons à ce que Jumpshot n’acquière pas d’information d’identification personnelles, notamment le nom, l’adresse email ou encore les coordonnées. Les utilisateurs ont toujours eu la possibilité de refuser de partager des données avec Jumpshot. En juillet 2019, nous avions déjà commencé à mettre en place un choix explicite d’acceptation ou de refus pour tous les nouveaux téléchargements de notre logiciel, et nous invitons maintenant nos utilisateurs gratuits actuels à faire un choix d’acceptation ou de refus, un processus qui sera achevé en février 2020.
Notre politique de confidentialité détaille les protections que nous mettons en place pour tous nos utilisateurs. Ces derniers peuvent également choisir d’ajuster leur niveau de confidentialité en utilisant le large éventail de paramètres disponibles dans nos produits, y compris le contrôle de tout partage de données à tout moment. Nous nous conformons volontairement aux exigences du RGPD et de la Loi sur la protection du consommateur de Californie (CCPA) en matière de protection de la vie privée pour l’ensemble de notre base d’utilisateurs mondiale.
Nous avons une longue expérience de la protection des appareils et des données des utilisateurs contre les logiciels malveillants. Nous comprenons et prenons au sérieux la responsabilité d’équilibrer la vie privée des utilisateurs avec l’utilisation nécessaire des données pour nos principaux produits de sécurité ».


Nota: Déja le 010220, Avast a décidé de renoncer complètement à la collecte et à la revente de données personnelles. C’est pourquoi la société vient de fermer la filiale marketing Jumpshot, qui revendait les données utilisateurs à de grandes entreprises depuis plusieurs années.

REF.:

Le site d'Instagram a laissé fuiter des données pendant des mois

Sécurité : Le site Internet d'Instagram n'était pas étanche. En raison d'une faille, la filiale de Facebook a exposé des numéros de téléphone et des adresses mail pendant des mois, rapporte un chercheur.

Par La rédaction de ZDNet.fr | Modifié le lundi 06 janv. 2020 à 17:34

Libellés

instagram, FB, fuite, vol de donné, vol d'identité, Hackers, facebook,

Selon un chercheur, le site Web d'Instagram a divulgué les coordonnées d'utilisateurs, y compris leurs numéros de téléphone et leurs adresses électroniques, pendant une période d'au moins quatre mois.
Le code source de certains profils d'utilisateurs d'Instagram embarquait les coordonnées du titulaire du compte à chaque chargement dans un navigateur Web, explique David Stier, data scientist et consultant. C'est ce professionnel qui en a informé Instagram peu après avoir découvert le problème.

publicité

Données personnelles visibles dans le code source

Les données de contact n'étaient pas affichées sur le profil du titulaire du compte dans la version desktop du site Web d'Instagram - même si elles étaient utilisées par l'application du site de partage de photos pour la communication.
Les raisons pouvant expliquer comment ces données personnelles ont ainsi été divulguées dans le code source des pages ne sont pas précisées. Cette erreur semble concerner des milliers de comptes, appartenant à des particuliers - dont des mineurs - ainsi qu'à des entreprises et des marques, note Stier.
La divulgation de ces données au travers du code source pourrait permettre à des pirates d'exfiltrer les données du site Web d'Instagram et ainsi d'établir un annuaire téléphonique virtuel comprenant les coordonnées de milliers d'utilisateurs d'Instagram.
Un tel annuaire pourrait bien d'ailleurs avoir été constitué. Lundi, un rapport révélait qu'une société de marketing en Inde avait obtenu les coordonnées de millions de comptes Instagram et les avait stockées dans une base de données non sécurisée.

Fuite depuis au moins octobre 2018

Les moyens employés pour créer cette base de données restent à définir. Un tel fichier constitue quoi qu'il en soit une violation des conditions d'utilisation de l'entreprise, filiale de Facebook, lui aussi concerné par des fuites de données.
Mercredi, Instagram a fait savoir qu'elle enquêtait sur le rapport de Stier. Le service Web a refusé de faire d'autres commentaires. Instagram avait précédemment déclaré enquêter sur la base de données gérée par la société de marketing indienne Chtrbox.
Dans une déclaration, Chtrbox réplique que l'information contenue dans sa base de données n'était pas privée et que celle-ci n'a pas été acquise par des moyens contraires à l'éthique.
Sur la base de l'examen de versions archivées des profils Instagram, Stier signale avoir trouvé des preuves que les numéros de téléphone et les courriels figuraient dans le code source depuis au moins octobre 2018. Il a signalé le problème à Instagram en février. Le bug était corrigé en mars.

 

 

REF.:

A lire aussi :

Instagram : les données d’influenceurs, marques et célébrités fuitent sur la Toile

Le FBI s'empare de WeLeakInfo, un site vendant des identifiants volés

Sécurité : Le site WeLeakInfo a vendu l'accès à plus de 12 milliards d’identifiants d'utilisateurs diffusés suite à des piratages de services en lignes.

Par Catalin Cimpanu

Libellés

FBI, vol d'identité, vol de donné, Hackers, Password, mot de passe,

Les autorités américaines ont saisi cette semaine le domaine de WeLeakInfo.com, un service en ligne qui, depuis trois ans, vendait l'accès à des données piratées sur d'autres sites Web.
Le site Web donnait accès aux mots de passe en texte clair des gens, permettant aux pirates d'acheter un abonnement sur le site et d'accéder à des milliards d'informations d'identification d'utilisateur.
En raison de cette pratique illégale, le site Web s'est forgé une réputation dans les milieux underground du piratage comme une excellente source et un endroit pour effectuer des reconnaissances contre des cibles.

publicité

Comment les pirates ont utilisé WeLeakInfo

Les pirates achetaient un accès au site, puis recherchaient le nom, l'adresse e-mail ou le nom d'utilisateur d'une personne qu'ils voulaient pirater. Le site renvoyait alors des résultats sur toutes les fuites de données où les données de l'utilisateur étaient incluses, y compris les mots de passe en texte clair lorsque ceux-ci étaient disponibles.
Le pirate pouvait récupérer les mots de passe antérieurs et tenter de les utiliser sur les autres profils en ligne d'un utilisateur, en espérant que la cible aurait réutilisé les mots de passe sur d'autres sites.
L’accès au site Web était très bon marché, ce qui le rendait très accessible même aux pirates peu qualifiés disposant de ressources limitées. Pour 2 $ par jour, les pirates pouvaient effectuer des recherches illimitées sur les données d'un utilisateur sur le site.
Avant que le domaine ne soit saisi il y a deux jours, le 15 janvier, WeLeakInfo avait déclaré sur son site Web avoir indexé plus de 12 milliards d’identifiants d'utilisateurs de plus de 10 000 fuites de données.
Le site Web a été supprimé à la suite d'une opération conjointe du FBI et des autorités d'Irlande du Nord, des Pays-Bas, d'Allemagne et du Royaume-Uni.
Hier, dans un communiqué de presse, le ministère américain de la Justice a demandé au public de l'aide et des conseils pour identifier les propriétaires du site Web. Le lendemain, la police néerlandaise a annoncé l’arrestation d’un homme de 22 ans à Arnhem, soupçonné d'exploiter le site.

D'autres sites Web similaires restent fonctionnels

Il s'agit du deuxième site Web de ce type fermé par les autorités américaines. Ils ont précédemment supprimé LeakedSource en février 2017.
Actuellement, il existe au moins trois autres sites Web qui fonctionnent de manière similaire à LeakedSource et WeLeakInfo, en vendant l'accès aux données piratées, y compris les mots de passe en texte clair. On peut ainsi citer Dehashed, Snusbase et Leak-Lookup. Tous les trois sont toujours en ligne, au moment de la rédaction.
Tous ces sites Web ont été créés sur le modèle de Have I Been Pwned, un site Web créé par le chercheur australien en sécurité Troy Hunt. La différence, cependant, est que Have I Been Pwned n'accorde jamais aux utilisateurs l'accès aux mots de passe en texte clair - pas même à leurs propres mots de passe, sans parler des mots de passe d'autres personnes.

Source.: ZDNet.com

Libellés

Hydro-Québec, fuite, vol de donné, vol d'identité, Hackers,

23000 employés de Revenu Québec touchés par une fuite de données

Publié le 07/08/2019


C’est au tour de Revenu Québec d’être aux prises avec une fuite majeure de données personnelles, en l’occurrence celles de ses propres employés, d’anciens employés et de personnes ayant eu des liens contractuels avec le bureau du fisc québécois.
La Sûreté du Québec a annoncé mercredi qu’une femme de 39 ans et un homme de 46 ans de Québec ont été appréhendés mercredi matin relativement à cette fuite de données.
La dame serait une employée de Revenu Québec soupçonnée d’être à l’origine de la fuite et l’homme serait son conjoint. Une perquisition dans une résidence de Québec était en cours mercredi matin en lien avec cette affaire.
Le président-directeur général de Revenu Québec, Carl Gauthier, a informé ses employés mercredi qu’un membre du personnel avait transféré hors des lieux de travail certains renseignements personnels de 23 000 personnes liées à l’agence gouvernementale.
La fuite majeure a cependant été découverte le 25 juillet dernier et signalée aussitôt à la Sûreté du Québec, qui a déclenché une enquête.
« On ne pouvait pas divulguer d’information concernant ce fait avant, compte tenu de l’enquête, mais les actions posées par la Sûreté du Québec (mercredi) nous ont permis d’informer nos employés de la situation », a expliqué la porte-parole de Revenu Québec, Geneviève Laurier.
L’employée en question a été relevée de ses fonctions dès le lendemain de la découverte de la fuite.
Revenu Québec précise que rien n’indique jusqu’ici que les données en question auraient été vendues à des tiers ou utilisées de façon malveillante.
Les renseignements sont ceux d’employés, d’ex-employés et du personnel d’entreprises ayant fait affaire avec Revenu Québec. Il s’agit, dans la quasi-totalité des cas, du nom et du numéro d’assurance sociale des personnes touchées. Dans un nombre très restreint de cas s’ajoutent la date de naissance ou le salaire.
Dans aucun cas, cependant, les informations bancaires des employés touchés n’ont fait l’objet d’une fuite. De même, les renseignements fiscaux des employés n’ont pas été touchés, pas plus que ceux des citoyens québécois : « Les citoyens n’ont aucune crainte à avoir : aucune donnée fiscale, que ce soit de nos employés ou des citoyens, n’a été compromise », assure Geneviève Laurier.
Revenu Québec emploie quelque 12 000 personnes et, bien que l’agence n’ait pas encore terminé le recensement complet des victimes, tout indique qu’elles sont probablement toutes touchées ou presque; c’est donc dire que le nombre d’anciens employés et de sous-traitants ou contractuels ayant fait affaire avec Revenu Québec qui ont aussi été victimes de la fuite se chiffre à environ 11 000 personnes.
Mme Laurier a précisé que toutes les personnes impliquées seront avisées : « Les gens qui sont concernés vont être contactés prochainement, tant les anciens employés que les employés actuels. On va communiquer directement par lettre. »
« On est à dresser la liste des employés et ex-employés touchés pour communiquer avec eux rapidement et les accompagner par la suite et, à la lumière des conclusions de l’enquête, on va prendre les mesures appropriées », a-t-elle expliqué.
Peu de détails entourant l’enquête sont disponibles pour l’instant. On sait cependant que l’employé visé avait légitimement accès à ces données dans l’exercice de ses fonctions et que les informations en question proviennent des bases de données administratives principalement liées aux ressources humaines de Revenu Québec.
Outre la Sûreté du Québec, d’autres instances gouvernementales ont été avisées, notamment la Commission d’accès à l’information.
Revenu Québec a également aménagé un forum pour consultation sur son site internet à revenuquebec.ca/renseignements-personnels.

REF.:

Libellés

FB, failles, vol d'identité, vol de donné, Hackers

Nouvelle faille de sécurité sur Facebook : comment s’en protéger ?

Des millions de données personnelles ont fuité sur le web et des pirates informatiques pourraient s’en servir à des fins malveillantes.

Par
Valentin

 

 Des chercheurs en cybersécurité ont découvert il y a peu une base de données gigantesque, stockée en ligne, et qui est composée de 267 millions de profils d’utilisateurs de Facebook intégrant aussi leurs coordonnées. Elle était accessible gratuitement, permettant à quiconque le souhaitait de la télécharger pour en extraire les informations qui l’intéressent. Et ce, tout juste quelques semaines après une alerte similaire.
On y trouvait notamment des numéros de téléphone qui, associés à des noms et prénoms, permettent par exemple d’envoyer des SMS frauduleux via la technique du fishing*. Si vous avez reçu un texto suspect, ne le supprimez pas et transmettez-le plutôt à l’ANSSI, l’organisme lié au gouvernement qui analyse les menaces.

Les précautions à prendre

Pour le moment, impossible de savoir qui a été visé via cette brèche dans le code du réseau social créé par Mark Zuckerberg. Néanmoins, étant donné que c’est loin d’être la première fois que Palo Alto fait face à ce genre d’attaque, voici quelques conseils pour vous prémunir des risques les plus importants.

• ne transmettez vos données personnelles à un service que lorsqu’une de ses fonctionnalités vraiment utile pour vous ne peut pas se lancer correctement sans ces informations
• vérifiez toujours l’URL des liens que l’on vous envoie, afin d’éviter de cliquer vers une page infectée (et plus particulièrement lorsque vous ne connaissez pas l’expéditeur)
• optimisez vos paramètres de confidentialité sur Facebook, notamment en ne rendant pas votre profil public (il doit être visible par vos amis uniquement, que vous devez sélectionner avec soin)

Pas convaincu ? Il est aussi possible de supprimer votre compte.
*fishing : redirection vers un site avec un nom de domaine ressemblant à l’original, se faisant passer pour l’officiel (hameçonnage)

REF.:

Libellés

microsoft, Hackers, fuite, vol de donné, vol d'identité, hameçonnage,

Fuite chez Microsoft: 250 millions d'échanges de support client exposés

Près de 250 millions de conversations de support client entre employés et clients de Microsoft auraient été exposées sur le web. Contenant plusieurs renseignements sur les utilisateurs des produits Microsoft, ceux-ci pourraient être utilisés pour des fraudes et tentatives d'hameçonnage.

Vous avez déjà rencontré un problème avec un produit Microsoft comme Windows, Outlook, OneDrive ou la suite Office et avez demandé de l’assistance auprès du support client? Vous pourriez avoir de plus importants problèmes à présent.

Si vous avez demandé de l'assistance pour un de ces produits Microsoft, soyez sur vos gardes.

Le consultant en sécurité informatique Bob Diachenko et son équipe chez Comparitech security on effectivement découvert que près de 250 millions d’échanges du support client avaient été exposés sur le web.

Ces données couvrent tous les pays du monde sur une période de 14 ans entre 2005 et 2019 et contiennent en autre:

• Les adresses courriel des utilisateurs
• L’adresse IP
• La localisation
• La description du problème rencontré par les utilisateurs et les cas CSS
• Les numéros de cas, résolutions et remarques
• Les notes internes identifiées comme confidentielles

Alerté par Bob Diachenko, la réponse de Microsoft s’est faite par l’entremise d’Eric Doer, directeur général de Microsoft.

«Nous sommes reconnaissants envers Bob Diachenko d’avoir travaillé en étroite collaboration avec nous afin que nous puissions corriger rapidement cette mauvaise configuration, analyser les données et informer les clients le cas échéant.»

Une fuite qui rehausse les risques d’hameçonnages

Cette fuite majeure a de quoi de rehausser les risques de tentatives d’hameçonnages et d’arnaques.

Après tout, une personne mal intentionnée a tous les outils pour faire du chantage et se faire passer pour un agent de Microsoft.

On peut ainsi s’imaginer recevoir un courriel à l’image de Microsoft où l’on nous dirait grosso modo : « Votre dossier #17364474 concernant X situation n’a pas été résolu correctement. Svp nous contacter à tel numéro de téléphone ou courriel, bla-bla-bla ».

Quand on sait qu’il existe déjà plusieurs courriels d’hameçonnage à l’image de Microsoft et même de faux appels à leur nom, avoir un cas précis de problème que l’on a eu par le passé peut donner davantage de crédibilité à une personne mal intentionnée.

La prudence est donc de mise et dites-vous que Microsoft ne vous contactera jamais de leur plein gré pour vous aider à « résoudre un problème ». C’est nous en tant qu’utilisateur et client qui devons les contacter en premier pour obtenir du support.

Fraude par téléphone : le fraudeur contrôle votre ordi à distance

Mise à jour de Microsoft, un faux courriel pour confirmer son compte

Une arnaque utilise le support de Microsoft et gèle notre navigateur web

REF.:

250 milllions de données de Microsoft ont fuité : quelles conséquences ?

 

 

 

Libellés

Hackers, microsoft, vol de donné, vol d'identité, fuite, failles,

 

 

REF.: François Manens - il y a 4 heures

• Accueil
• 250 milllions de données de Microsoft ont fuité : quelles conséquences ?

250 millions de données liées aux services de Microsoft étaient en accès ouvert pendant un mois. Nous vous expliquons les enjeux de la fuite.

Nouveau problème pour Microsoft : plus tôt dans le mois, elle révélait une faille critique sur Windows 10, sans conséquence pour l’instant, suivi d’une autre sur son navigateur Internet Explorer. Cette fois, des centaines de millions de données relatives à son service client et à l’assistance technique de ses logiciels ont fuité. L’entreprise américaine a depuis résolu le problème et a rendu son enquête interne publique ce mercredi 22 janvier 2020.

C’est la troisième fois depuis le début de l’année que Microsoft est confronté à un problème majeur de cyber-sécurité. // Source : Microsoft

Que s’est-il passé ?

Le 31 décembre, le chercheur en cyber-sécurité Bob Diachenko a découvert la fuite. Avec son équipe de Comparitech, il a immédiatement contacté Microsoft. Dès le lendemain, les équipes de l’entreprise américaine avaient stoppé la fuite. Elles ont ensuite lancé une enquête interne pour évaluer les dégâts qu’auraient pu engendrer la fuite. Les auteurs y précisent que les données sont restées en clair pendant près d’un mois, du 5 au 31 décembre.

Accessible par n’importe qui, depuis un navigateur web

De nombreux chercheurs, indépendants ou rattachés à des entreprises comme Bob Diachenko, scannent le web à la recherche de ce type de fuite. Celle de Microsoft est malheureusement commune et concerne un type de serveur particulier, les ElasticSearch. Ce sont des serveurs très utilisés pour les applications cloud, et donc connectés à Internet. Quand ils sont bien configurés, ces serveurs requièrent un ou plusieurs moyens d’authentification (des mots de passe ou des systèmes plus élaborés) pour autoriser l’accès aux données qu’ils contiennent.
Mais quand la configuration n’a pas été faite correctement, les serveurs restent ouverts à la vue de qui tombera dessus. Toute personne disposant de l’adresse de ces serveurs n’a plus qu’à l’entrer sur un navigateur (comme Chrome ou Firefox) pour accéder à leur contenu. Microsoft précise que c’est une mise à jour du système de sécurité de leurs bases de données qui a reconfiguré les paramètres et exposé les données.

Quelles données étaient exposées ?

Bob Diachenko a trouvé cinq serveurs ElasticSearch, qui contenaient chacun une copie en apparence similaire des 250 millions d’enregistrements. Ces données sont étalées sur 14 ans, de 2005 à décembre 2019, et la fuite touche des clients situés dans le monde entier.

D’après le chercheur, la majorité des données les plus sensibles -comme les adresses emails, les numéros de contrat ou les informations de paiement- étaient tronquées, et n’auraient pas pu être utilisées.
Mais d’autres données étaient parfaitement lisibles. Comparitech en fait la liste : adresses emails des clients, adresses IP, localisation, emails d’agents du service client de Microsoft, numéros de dossier accompagnés de remarques et de leur statut, et enfin des notes internes étiquetées comme confidentielles.

Quels sont les risques si une personne malveillante met la main sur ces données ?

Dans son communiqué, Microsoft indique ne pas avoir identifié d’utilisation malveillante de la fuite. Mais ce type de données peut servir à des arnaqueurs. De façon routinière, les arnaqueurs se font passer pour des représentants de Microsoft auprès des centaines de millions de clients du géant américain. Leurs objectifs : récolter auprès des victimes des informations sensibles, ou prendre contrôle de leurs systèmes via des logiciels de bureaux à distance, couramment utilisés dans les opérations de maintenance.

Plus les arnaqueurs auront de données à disposition (le numéro de dossier d’un problème par exemple), plus leur usurpation d’identité sera convaincante, et plus les victimes baisseront leur garde.
À juste titre, Comparitech rappelle que les services d’assistance technique de Microsoft ne contactent jamais leurs clients en premier. De même, ils ne demanderont jamais ni de communiquer vos mots de passe, ni d’installer des logiciels de bureau à distance.

Suis-je concerné ?

Microsoft affirme qu’il a commencé à contacter les clients concernés par la fuite, qui peuvent être des entreprises comme des personnes. En Europe, il s’agit tout simplement d’une obligation légale, et vous devriez donc être contacté si vos données ont été exposées.
Plus généralement, des outils comme Have I Been Pwned ? permettent de vérifier si vos informations ont fait partie d’une fuite ou de l’exploitation d’une faille, simplement en indiquant votre adresse email.


REF.:

Noms et numéros de téléphone de 267 millions d'utilisateurs de Facebook exposés

Noms et numéros de téléphone de 267 millions d'utilisateurs de Facebook exposés
 

Libellés

FB, vol d'identité, vol de donné, anonymat,

Les données sont désormais disponibles sur un forum de hackers à télécharger.

Un autre jour, une autre violation de données met en danger la vie privée de centaines de millions d'utilisateurs de Facebook. Tout a commencé avec une base de données qui stockait une mine d'informations personnelles de plus de 267 millions (267 140 436) d'utilisateurs.

La base de données a été découverte à l'origine le 4 décembre par le chercheur en sécurité informatique Bob Diachenko qui s'est associé à la société de sécurité Comparitech pour une analyse détaillée. Selon les chercheurs, la base de données était hébergée sur un serveur Elasticsearch et laissée exposée pour accès public sans mot de passe ni protocole de sécurité.

Voir: Volé: disques durs non chiffrés avec les données de 29 000 employés de Facebook

Bien que la base de données ne contienne pas les adresses e-mail ou les mots de passe des utilisateurs de Facebook, elle fournit un accès absolu aux numéros de téléphone associés aux profils Facebook, aux noms complets, à un identifiant unique pour chaque compte et à l'horodatage.

Selon le blog de l'entreprise, la plupart des données exposées appartenaient à des utilisateurs aux États-Unis, ce qui ne devrait pas surprendre puisque 70% des citoyens américains sont actifs sur Facebook, ce qui signifie que sur une population totale de 327,2 millions d'habitants, environ 232,6 millions de personnes sont sur Facebook.
Noms et numéros de téléphone de 267 millions d'utilisateurs de Facebook exposés.

 L'aspect le plus problématique de cette violation est que le 14 décembre, Diachenko a alerté le fournisseur d'accès Internet (FAI) gérant l'adresse IP du serveur, mais elle est restée exposée pendant près de deux semaines.

Diachenko a en outre révélé que la réponse tardive du FAI permettait aux acteurs malveillants d'accéder à la base de données et de la publier sur un forum de hackers pour téléchargement.

On ne sait pas à qui appartient la base de données et comment ont-ils obtenu les numéros de téléphone de millions d'utilisateurs de Facebook. Mais, les preuves vues par Diachenko suggèrent l'implication de cybercriminels vietnamiens dans l'opération visant l'API Facebook.

    L'API de Facebook pourrait également avoir une faille de sécurité qui permettrait aux criminels d'accéder aux identifiants d'utilisateur et aux numéros de téléphone même après que l'accès a été restreint. Une autre possibilité est que les données ont été volées sans utiliser du tout l'API Facebook, et au lieu de cela extraites des pages de profil publiquement visibles, a déclaré Diachenko.

 Anurag Kahol, CTO chez Bitglass, a commenté l'incident et a déclaré à HackRead que «les plateformes de médias sociaux sont des cibles lucratives pour les cybercriminels en raison des quantités massives d'informations personnelles identifiables (PII) qu'elles collectent et stockent auprès des utilisateurs. En fait, les données exposées dans cet incident ont été trouvées sur un forum Web sombre, laissant les consommateurs concernés très vulnérables aux attaques ciblées de phishing et de bourrage d'informations d'identification, au détournement de compte, etc.

«L'impact durable est inconnu et 59% des consommateurs admettent avoir réutilisé le même mot de passe sur plusieurs sites, même en connaissant les risques associés. Cela pourrait donner aux cybercriminels un accès à divers comptes pour la même personne sur plusieurs services, ce qui rendrait leur empreinte numérique incroyablement vulnérable. Tous les consommateurs, et pas seulement les utilisateurs touchés par cet incident, doivent prendre l'habitude de diversifier leurs identifiants de connexion sur différents comptes afin d'atténuer les risques de piratage de leur compte », a expliqué Anurag..

 De plus, toutes les entreprises peuvent apprendre qu'il est essentiel d'avoir une visibilité et un contrôle complets sur les données de leurs clients afin d'éviter une violation. Pour ce faire, les organisations doivent mettre en œuvre des solutions de sécurité qui corrigent les erreurs de configuration, appliquent un contrôle d'accès en temps réel, chiffrent les données sensibles au repos, gèrent le partage des données avec des parties externes et empêchent la fuite d'informations sensibles », a conseillé Anurag.

Ce n’est cependant pas la première fois qu’une telle masse de données des utilisateurs de Facebook est exposée au public. En fait, le mois dernier, Diachenko a découvert une base de données avec 1,2 milliard de données de personnes extraites des plateformes de médias sociaux, notamment Twitter, Facebook, LinkedIn et GitHub, un service d'hébergement de référentiel Git.

Les serveurs Elasticsearch, en revanche, ont l'habitude d'être exposés au public et de mettre en danger les données personnelles d'utilisateurs et d'entreprises peu méfiants. Plus tôt cette année, des informations personnelles sur plus de 20 millions de citoyens russes ont été dévoilées sur le serveur Elasticsearch.

En mai de cette année encore, des données personnelles et de cartes de paiement avec des codes CVV de millions de Canadiens ont été exposées après la fuite en ligne de la base de données Elasticsearch détenue par Freedom Mobile.


 Voir: Une base de données non sécurisée divulgue les numéros de téléphone de 419 millions d'utilisateurs de Facebook

En décembre de l'année dernière, une autre base de données contenant des informations personnelles de 82 millions d'Américains a été dévoilée en ligne. Il existe plusieurs autres incidents liés aux fuites de données impliquant des serveurs Elasticsearch qui peuvent être lus ici.
Elasticsearch est un serveur utilisant Lucene pour l'indexation et la recherche des données. Il fournit un moteur de recherche distribué et multi-entité à travers une interface REST. C'est un logiciel libre écrit en Java et publié en open source sous licence Apache.
Elasticsearch est le serveur de recherche d'entreprise le plus populaire, suivi par Apache Solr qui utilise aussi Lucene². Il est associé à deux autres produits libres, Kibana et Logstash, qui sont respectivement un visualiseur de données et un ETL (initialement destiné aux logs).
La  Sécurité qu'il offre:
Dans le cadre du processus d'amorçage, ils utilisent le gestionnaire de sécurité Java pour restreindre les privilèges disponibles à tout module au minimum requis pour qu'il fasse son travail. Nous utilisons seccomp sur Linux pour fournir le sandboxing d'application. Nous vérifions JAR Hell, pour nous assurer qu'une seule version d'une bibliothèque est présente dans votre chemin de classe - essayer de déboguer un problème causé par l'utilisation d'une version incorrecte d'une bibliothèque dont vous n'êtes même pas au courant est un enfer!
Ces serveurs sont:
 

• ns-339.awsdns-42.com
• ns-785.awsdns-34.net
• ns-1168.awsdns-18.org
• ns-1737.awsdns-25.co.uk

REF.:

Vol de données chez Pages Jaunes: 88 000 clients touchés

Libellés

vol de donné, vol d'identité, Hackers,

 

 

 

 

Le groupe de solutions de marketing et de médias numériques Pages Jaunes a été victime d'un important vol de données personnelles la semaine dernière.
Par courriel, l'entreprise établie à Montréal indique qu'une erreur humaine a permis à une personne non autorisée d'accéder, vendredi, à certains renseignements sur près de 88 000 clients à travers le Canada.
Le ou les pirates informatiques se sont emparés de leurs coordonnées ainsi que de l'information au sujet de la somme qu'elles doivent à Pages Jaunes.
Le voleur de données a envoyé un courriel aux clients leur demandant de rediriger leur paiement vers un compte bancaire frauduleux.
Pages Jaunes assure que les données bancaires de ses clients n'ont pas été compromises. L'entreprise a avisé les personnes concernées par courriel lundi en fin de journée.
Le Commissariat à la protection de la vie privée du Canada a également été mis au fait de la situation.


REF.:

29 000 données d’employés Facebook volées

Disposer d’informations sensibles et privées sur un disque dur non chiffré est un risque à ne plus prendre. C’est du moins ce que doit penser le propriétaire de disques durs volés contenant les informations personnelles et privées de 29 000 employés Facebook.

Libellés

facebook, vol de donné, vol d'identité, Hackers,

Facebook a perdu une copie des données personnelles appartenant à 29 000 de ses employés après que des disques durs contenant des informations de paie non chiffrées ont été volées dans la voiture d’un employé.

Le réseau social a déclaré être en train d’informer les salariés impactés par ce vol. « Nous n’avons vu aucune preuve d’utilisation de ces informations, indique le service communication de Facebook. Nous pensons qu’il s’agit d’un vol de matériel plutôt que d’une tentative de vol d’informations sur les employés« .

Les informations concernent les employés américains.

La disparition des disques durs a été détectée le 20 novembre 2019. L’employé les avait pris avec lui, alors que cela semble être interdit, trois jours auparavant. Le 29 novembre, une enquête était lancée. Facebook a commencé à alerter les employés concernés le vendredi 13 décembre.

Le voleur a en sa possession les noms des employés, les numéros de compte bancaire et les numéros « partiels » de sécurité sociale. Les disques durs comprenaient également des informations sur la rémunération, notamment les salaires et les primes.

Facebook a offert une assurance aux salariés afin d’agir en cas d’utilisation frauduleuse de leurs données.

Le fautif, un employé du service de paie. Il a été sanctionné. Faut-il comprendre « viré » ?

La question est de savoir pourquoi cette personne se baladait avec des supports de sauvegarde qui ne lui appartenaient pas !!?

REF.: Au sujet de l'auteur

Damien Bancal - Fondateur de ZATAZ.COM / DataSecurityBreach.fr - Journaliste - Travaille sur les sujets High-tech/Cybercriminalité/Cybersécurité depuis 1989. En savoir plus : https://www.damienbancal.fr

Jouets connectés : la CNIL livre ses recommandations pour les sécuriser

source,:Alexandre Boero

 

Libellés

IoT, Hackers, vol de donné, vol d'identité, WiFi, Bluetooth,

 

 

De nombreux parents succombent à la tentation d'offrir des jouets connectés à leurs enfants. Sauf que ces objets collectent souvent de nombreuses données, un détail auquel on ne pense pas forcément.

Alors que Noël approche et que le Père Noël s'active avec son armée de lutin, quelque part au Pôle Nord, la CNIL a décidé d'offrir un coup de main à la section « jouets connectés » en sensibilisant les parents sur les données collectées auprès des enfants, et en les guidant pour les sécuriser. Car bien qu'ils prennent une forme souvent anodine (console, robot, poupée, montre connectée...), les jouets connectés collectent des informations et les font transiter vers Internet grâce aux ondes radio comme le Wi-Fi ou le Bluetooth.

Lire aussi :
Guide d'achat Noël 2019 : quelles sont les meilleures idées cadeaux High-Tech ?

Le jouet connecté, un objet de tentation pour les cybercriminels

Méconnaître le jouet connecté ou mal l'utiliser, surtout lorsqu'il n'est pas sécurisé, peut conduire l'enfant et ses parents à subir des conséquences pouvant être fâcheuses. Les données collectées via l'objet peuvent en effet être utilisées à des fins commerciales, pour notamment procéder à du ciblage publicitaire. Bien plus grave, elles peuvent aussi être détournées par une personne malveillante, qui cherche à escroquer, harceler ou usurper l'identité d'un membre du foyer.

Lire aussi :
"Je suis le père Noël" : un hacker pirate une caméra Ring dans une chambre d'enfant

Le jouet connecté peut aussi s'avérer problématique au sein même de son propre lieu de vie. Certains jouets permettent aux parents « d'écouter » les interactions de leurs enfants avec ces derniers, grâce à des applications par exemple. Certes, cela permet de davantage protéger les jeunes utilisateurs et de contrôler les données stockées en ligne. Mais la pratique peut aussi nuire à la vie privée de l'enfant, qui voit, sans forcément le savoir, son jardin secret disparaître.

Lire aussi :
Radars tronçons : le ministère de l'Intérieur mis en demeure par la CNIL

La CNIL mise sur la prudence, avant et après l'achat

Sur un plan purement sécuritaire, la CNIL propose, avant de donner le jouet connecté à l'enfant, de vérifier que celui-ci ne permette pas à n'importe qui de s'y connecter. Si le jouet dispose d'un mot de passe ou de tout autre moyen d'identification, mieux vaut le changer immédiatement après l'achat ou avant la première utilisation. Avant l'achat toujours, il est aussi très utile de se renseigner sur les caractéristiques du produit et ses interactions avec les autres appareils électroniques.

Les actions antérieures à l'utilisation sont primordiales, vous l'aurez compris. Si tant est que vous deviez procéder à une inscription en ligne pour utiliser le jouet ou bénéficier de certaines fonctionnalités, mieux vaut créer une adresse mail dédiée, avec un mot de passe sécurisé, que vous contrôlerez en utilisant des pseudonymes, plutôt que les prénom(s) et nom(s) de l'enfant.

Lire aussi :
La CNIL ne tolère pas la vidéosurveillance destinée à localiser des salariés sur leur lieu de travail

Lorsque l'enfant n'utilise pas le jouet, il est préférable de l'éteindre afin de limiter les risques de collecte de données sauvage. Il est important aussi d'avoir accès aux données et de pouvoir les supprimer. Le partage automatique sur les réseaux sociaux doit enfin être désactivé.

Il est conseillé de s'informer avant même d'acheter le jouet connecté, en se méfiant par exemple des objets à trop bas coût, ou en jugeant de la transparence du fabricant (qui y est théoriquement obligé par la loi) sur les données collectées et leur hébergement.

REF.:

Banques/Caisse Desjardins: Piratage Informatique: des génies qui font peur

Sans surveillance, les experts en informatique malintentionnés peuvent faire des ravages 

 

 

Libellés

Hackers, failles, banque, vol de donné, vol d'identité,

photo jean-françois desgagnés Pascal Desgagnés a comparu jeudi au palais de justice de Québec pour faire face à de multiples accusations dont vol et fraude à l’identité.

Jean-Michel Genois Gagnon

et

Nicolas Lachance

Vendredi, 13 décembre 2019 12:05 MISE À JOUR Vendredi, 13 décembre 2019 23:04

Les maîtres de l’informatique comme Pascal Desgagnés, qui sont « dangereux » pour les organisations selon certains experts, continueront de nuire à la vie privée des citoyens et des vedettes qui protègent mal leurs informations sensibles.  

• À LIRE AUSSI : Des dizaines de personnalités espionnées sur leur téléphone  
• À LIRE AUSSI : Personnalités publiques espionnées: le suspect avait aussi un accès à l'Assemblée nationale  
• À LIRE AUSSI : L’espion aux cellulaires sévissait depuis longtemps   

« Les victimes, comme la majorité du monde, ont de mauvais mots de passe et ils n’ont pas un deuxième facteur d’authentification », assure le créateur du Hackfest et expert reconnu en sécurité informatique, Patrick Mathieu.  
Pour le moment, la méthode précise utilisée par Desgagnés pour pirater les cellulaires des personnalités comme Véronique Cloutier reste nébuleuse.  
Cependant, tout porte à croire qu’il s’agit d’une fuite de photos similaire à celle vécue par des vedettes américaines en 2014, de type « fappening ».  
Il s’agit d’un pirate qui trouve facilement les mots de passe des iCloud des vedettes. « Ils ont ensuite accès à la sauvegarde de leurs cellulaires », explique M. Mathieu.   
Organisations à risque 
De son côté, le président du Groupe Vigiteck, une firme en informatique judiciaire, estime que les individus considérés comme des génies de l’informatique comme Desgagnés peuvent être dangereux pour toutes organisations privées et gouvernementales.  
« Ces gens ont des expertises de niche et ils sont en demande. Ils font leur travail et si le gestionnaire n’est pas alerte, il peut avoir de lourds impacts », prévient Paul Laurier, également ex-policier à la Sûreté du Québec.  
Selon l’expert, les entreprises et les ministères ne supervisent pas assez l’évolution du travail de leurs informaticiens. Il estime que l’incident avec Pascal Desgagnés n’est que « la pointe de l’iceberg ».  
« Je fais des dossiers dans le privé et 80 % du temps l’entreprise et l’informaticien règlent à l’amiable. De cette manière, il peut aller travailler ailleurs. Il n’est pas le seul. Il y en a d’autres », assure-t-il.  
Le PDG d’EVA-Technologies, une firme en cybersécurité, est également d’avis que les entreprises n’encadrent pas assez leurs experts.  
« Les informaticiens ont souvent des droits plus élevés que la moyenne au sein d’une organisation. C’est certain qu’il y a un risque plus élevé s’il n’y a pas une bonne supervision », souligne Éric Parent.  
Desjardins, victime 
Le Mouvement Desjardins est un bel exemple où l’organisation n’a peut-être pas suivi d’assez près Pascal Desgagnés.  
Selon notre Bureau d’enquête, il a ruiné un logiciel de gestion de projets et fait perdre des milliers de dollars à la coopérative.   
À partir d’un logiciel Microsoft, il devait créer un outil personnalisé selon les besoins de la coopérative financière.     
Or, il a tellement modifié l’outil de gestion pour répondre au besoin du client, qu’une fois parti, plus personne ne pouvait entretenir le logiciel chez Desjardins.   
Il avait ajouté des « bouts de code », il a « joué dans les bases de données du produit » même s’il n’en avait pas l’autorisation.   (C'est non éthique aux produits Microsoft, a la limite de reverseingenering)

En raison de son improvisation, Desjardins a dû faire table rase du projet. Précisons que cet incident n’a pas de lien avec la fuite de données.   
« Pas gérable » 
Ce n’était « pas gérable », nous a confirmé une source bien au fait du dossier. Pourtant, Desjardins y avait injecté plusieurs centaines de milliers de dollars.  
Par ailleurs, après avoir réalisé une enquête interne, Revenu Québec a assuré hier qu’aucune donnée n’a été compromise dans le cadre de son contrat avec Pascal Desgagnés.  
Le suspect agissait comme consultant au fisc depuis deux ans pour la firme R3D Conseil.   
Il travaillait comme « pigiste » pour R3D Conseil depuis 2015.  

Les trois victimes identifiées  

Seulement trois des 32 victimes alléguées de Pascal Desgagnés sont connues jusqu’ici.  
Véronique Cloutier 

Photo Stevens LeBlanc

• Animatrice      

Jessica Harnois 

Photo Pierre-Paul Poulin

• Sommelière      

Martine Forget 

Photo Ghyslain Lavoie

• Mannequin et épouse du gardien des Red Wings Jonathan Bernier      

Les initiales des 29 autres   

• A.N.  
• J. M-T.  
• F.B.  
• J.M.  
• C.M.  
• J.R.  
• M.C.  
• L.M.  
• A.G.  
• K.K.  
• I.V.  
• E.F.  
• C.P.  
• K.R.  
• A.B.  
• M.B.  
• E.F.  
• A.L.  
• G.O.C.  
• M.-P.D.  
• M.-M.B.  
• A.A.  
• B.C.-M.  
• B.H.  
• C.L.  
• F.S.  
• K.T.  
• M.-O.P.  
• N.G.-V.   

Revenu Québec met un terme à son contrat avec l’homme soupçonné d’avoir espionné les cellulaires de personnalités publiques. Il avait aussi accès au système informatique de l'Assemblée nationale.

• À lire aussi: Personnalités publiques espionnées: l'accusé a pu reprendre sa liberté
• À lire aussi: L’espion aux cellulaires sévissait depuis longtemps
• À lire aussi: Piratage de cellulaires: «Ça ne me surprendrait pas qu’il ait fait ça pour s’amuser!»

Selon son profil LinkedIn, Pascal Desgagnés avait un mandat d’un an comme consultant avec le fisc. Il a également collaboré avec le Mouvement Desjardins et la Ville de Québec sur des projets informatiques.
Jeudi, Revenu Québec n’a pas voulu dire le rôle de l’homme de 45 ans dans son organisation. Il n’a également pas été possible d’obtenir plus d’information sur les accès qu’il avait dans les systèmes de l’agence.
«Revenu Québec a mis fin au lien contractuel qu’il entretenait avec Pascal Desgagnés, à la suite de son arrestation et de sa mise en accusation par le Service de police de l’agglomération de Longueuil, hier», a indiqué au Journal la porte-parole, Geneviève Laurier, ajoutant qu’aucun autre commentaire ne sera émis afin de ne pas nuire au processus judiciaire.
Consultation des dossiers
Selon l’expert en sécurité informatique, Éric Parent, en raison de son profil, le suspect pourrait effectivement «par curiosité» avoir pu consulter des dossiers de gens chez Revenu Québec. Actuellement, précisons qu’aucune des victimes n’aurait subi de dommages financiers.
«Tout dépendamment de ses accès, c’est quasiment une certitude qu’il a jeté un coup d’œil. Il ne s’est pas gêné pour le faire avec les cellulaires», indique le PDG d’EVA-Technologies, une firme en cybersécurité.

Photo Jean-François Desgagnés

Le suspect était aussi consultant externe en informatique à l'Assemblée nationale. Son accès au système lui a été retiré hier soir.
«J’ai comme information que ses accès informatiques étaient très limités. Nous effectuons actuellement des vérifications», note la porte-parole de l'Assemblée nationale, Julie Champagne.
Cette dernière n’était pas en mesure de dire, jeudi, si l’homme a écouté ou non des conversations de députés.
Du côté de la Ville de Québec, la direction confirme que Pascal Desgagnés a collaboré avec la municipalité comme consultant notamment avec la firme Fujitsu de 2011 à 2012.
«Il était mandaté sur des systèmes de gestion de projet à titre de spécialiste Sharepoint.Il n'avait pas accès aux systèmes et données sensibles de la Ville», a souligné le porte-parole, David O’Brien.
Jeudi, Pascal Desgagnés, qui aurait commencé à sévir le 20 décembre 2013, a comparu au palais de justice de Québec. L’homme qui fait notamment face à des accusations pour vol d’identité et de fraude à l’identité a été libéré et reviendra devant le tribunal le 31 mars.
Pascal Desgagnés est le président de la firme Conseil TI Newcolorz.

REF.: