Fuite de donnés à Revenu Québec: les employés sous le choc

Libellés

Hackers, vol de donné, vol d'identité, revenu Qc,

 

 

 

Le bris de confidentialité massif touchant les données personnelles de 23 000 employés actuels et passés de Revenu Québec a suscité surprise et indignation parmi les travailleurs de l’agence.

• À LIRE AUSSI: Fuite de données à Revenu Québec: le couple arrêté dépassé par les événements
• À LIRE AUSSI: Revenu Québec a attendu un an avant d’enquêter
• À LIRE AUSSI: Vol de renseignements personnels: une série noire appelée à se poursuivre

Il s’agit d’une fuite sans précédent pour l’organisme responsable du système fiscal québécois, celui-ci ne comptant que 12 000 employés à l’heure actuelle.
La presque totalité d’entre eux serait victime de la brèche, tout comme des milliers d’anciens collègues ayant travaillé pour l’agence dans le passé et des consultants de divers prestataires de services.
Toutefois, à l’heure actuelle, «rien n’indique dans l’enquête interne que ces données auraient été utilisées à des fins malveillantes, ni qu’elles auraient été vendues à des tiers», a voulu rassurer Revenu Québec.
Un membre du personnel a transféré en dehors de son lieu de travail les renseignements de ces milliers de personnes, soit leurs nom, prénom et numéro d’assurance sociale pour la plupart, a révélé Revenu Québec, mercredi.
Ces informations proviennent de bases de données administratives, principalement du département des ressources humaines.
Pour un nombre «très restreint» d’employés, la date de naissance et le salaire auraient aussi été transférés hors de l’organisation, mais en aucun cas les dossiers fiscaux des Québécois n’ont été compromis.
Colère et déception
«Cette nouvelle-là, ce matin, ça ne fait pas notre affaire à personne, parce qu’on est quand même sur la sellette, a réagi un avocat de Revenu Québec au siège social de l’agence, mercredi. On gère beaucoup, beaucoup de renseignements personnels, donc on se doit d’être extrêmement vigilants.»
L’homme, qui a tu son nom, s’est dit «choqué» à l’idée que l’une de ses collègues aurait été imprudente en manipulant des renseignements hautement confidentiels, salissant ainsi l’image de l’organisation, alors que la «grande, grande majorité [de ses employés] sont honnêtes».
Au pied de l’immeuble de l’agence du revenu, rue de Marly à Québec, d’autres travailleurs avouaient être exaspérés, ayant également été victimes tout récemment de la fuite de données chez Desjardins ou encore de celle de Capital One. Pour certains, les deux!
«On n’aime jamais ça quand nos renseignements sont divulgués, mais avec la technologie, aujourd’hui, c’est très facile», a dit avec une certaine résignation Isabelle Bois, une analyste informatique.
Bénéfice du doute
Quant à la fuite qui secoue son organisation, M^me Bois voulait attendre d’en savoir plus avant de jeter la pierre à l’employée qui en serait à l’origine.
«Ce n’est pas toujours de la malveillance. Parfois, c’est une mauvaise connaissance [des règles sur la] protection des renseignements», a-t-elle avancé.

Une brèche qui soulève des questions

Les syndicats qui représentent les employés de Revenu Québec craignent une autre fuite ailleurs dans la fonction publique si rien n’est fait pour resserrer la sécurité des données confidentielles des Québécois.
Pour le président général du Syndicat de la fonction publique et parapublique du Québec (SFPQ), Christian Daigle, la brèche qui affecte Revenu Québec «soulève beaucoup de questions».
«Ça me fait me poser beaucoup plus de questions sur l’ensemble de l’aspect numérique au gouvernement du Québec, parce que le gouvernement est le plus gros employeur, et des fuites comme ça pourraient se produire dans chacun des ministères et organismes», pense celui qui représente 40 000 travailleurs au Québec, dont la moitié des employés de Revenu Québec.
Commission d’enquête
Au Syndicat des professionnelles et professionnels du gouvernement du Québec (SPGQ), on réclame carrément une commission d’enquête.
La vice-présidente et responsable des communications du SPGQ, Lydia Martel, dénonce en particulier la volonté du gouvernement caquiste de placer 80 % des données des Québécois dans un système infonuagique appartenant à des entreprises privées, comme IBM, Amazon et Microsoft.
«Devant la montée en importance des vols de données et d’identités, on trouve que la réponse et les actions du gouvernement sont inquiétantes», a déclaré Mme Martel.
Les citoyens protégés
Revenu Québec a insisté pour dire que les données personnelles des citoyens québécois n’ont en aucun cas été compromises.
«Déjà, au cours des dernières semaines et des derniers mois, à la lumière notamment de ce qu’il s’est passé dans le milieu bancaire, on avait rehaussé certaines mesures, on a changé certaines de nos méthodes d’authentification et on a mis en place un comité de travail pour voir comment on peut améliorer nos protocoles», a mentionné Geneviève Laurier, porte-parole de Revenu Québec.

La brèche

• 23 000 personnes touchées
• Aucune preuve d’usage malveillant des données «à l’heure actuelle», selon une enquête interne
• Revenu Québec dit avoir été informé de la situation le 25 juillet 2019
• L’agence «veillera à mettre en place les mesures d’accompagnement requises auprès des personnes concernées»

Des réactions

«Revenu Québec a posé le bon geste en transférant le dossier à la SQ dès que le bris de confidentialité a été constaté grâce à son enquête interne. Nous suivons l’évolution du dossier de près.» – Éric Girard, ministre des Finances
«On est en train de regarder les propositions qu’on pourrait faire [...] comme créer une nouvelle autorité [...] un peu comme une UPAC du vol d’identité ou de la cybersécurité.» – Martin Ouellet, porte-parole du Parti québécois en matière de stratégie numérique
«L’heure n’est plus aux beaux discours rassurants : le gouvernement doit agir, et ça presse.» – Alexandre Leduc, député de Québec solidaire

REF.:

Il y avait eut piratage de données chez Canoe en 2017.

Avis de piratage de données chez Canoë.ca

Libellés

Hackers, canoe, vol identité, journal

 

 

 

MONTRÉAL, le 12 sept. 2017 /CNW Telbec/ - Canoë.ca, un portail gratuit d'information et de divertissement opéré par MédiaQMI inc. et qui était la propriété de Corporation Sun Média  filiale de Quebecor,jusqu'en 2015, tient à informer ses utilisateurs qu'un pirate informatique a réussi à accéder à certaines de ses banques de données d'archives couvrant la période de 1996 à 2008.

 Informée de cet incident le 2 septembre dernier, Canoë.ca a immédiatement lancé une enquête approfondie qui a conclu que les banques de données ciblées ne contenaient aucune information de nature financière comme des numéros de cartes de crédit ni de numéros d'assurance sociale.


L'analyse a toutefois révélé que les banques de données piratées contenaient des renseignements personnels pouvant toucher près d'un million d'usagers anglophones et francophones de cette époque, tels que des noms, des adresses courriel et postales ainsi que des numéros de téléphone. Ces données avaient été fournies par ces usagers en lien avec certaines activités des sites Canoë, soit des concours, des forums de discussion, des pages de commentaires ou encore l'hébergement de pages personnelles sur le site.

 Aucune donnée recueillie depuis 2008 n'a toutefois été compromise.
Canoë.ca prend très au sérieux la protection des données. Elle assure avoir pris tous les moyens nécessaires, avec l'aide de firmes de sécurité informatique reconnues, afin de remédier à l'intrusion de ses banques de données. Canoë.ca a également informé la GRC, le Commissariat à la protection de la vie privée et les commissaires provinciaux de protection de la vie privée de cet acte de piratage.
Canoë.ca tient à exprimer ses plus sincères excuses envers ses usagers et assure que tous les efforts sont présentement déployés afin de retracer et de communiquer avec les personnes concernées par cet accès illégal de données recueillies au cours de la période 1996-2008.
Toute personne ayant des questions additionnelles au sujet de cet avis est invitée à appeler au 1-833-370-2898.
SOURCE.:  MédiaQMI inc.

Cybersécurité: une école sur cinq piratée par ses propres élèves

Libellés

école, éducation, Hackers, cyberattaques, phishing, malware,

 

 

 

Sécurité : Quatre écoles sur cinq admettent avoir connu un incident de sécurité, mais seule la moitié des sondés se déclarent prêts à répondre à une véritable attaque informatique. 

Quatre écoles sur cinq ont été victimes d'un incident de cybersécurité, telles qu'un phishing ou un logiciel malveillant, et une sur cinq a signalé un accès non autorisé à ses ordinateurs, réseaux ou serveurs par ses propres élèves.
Les conclusions proviennent d'un audit de sécurité effectué dans plus de 430 écoles du Royaume-Uni par le National Cyber ​​Security Centre (le département cybersécurité de l'agence de surveillance GCHQ) et le London Grid for Learning (LGfL).
L’audit a révélé que presque toutes les écoles (97%) estimaient que la perte d’accès à des services informatiques connectés à un réseau causerait des perturbations considérables. La grande majorité des écoles (83%) ont été affectées par au moins un type d'incident de sécurité.
Ainsi, 69% des écoles déclarent avoir été la cible d’attaques par hameçonnage et 35% ont eu des périodes sans accès à des informations importantes, tandis que 30% ont déclaré avoir été victimes d’un programme malveillant, notamment de virus ou de ransomware. Et 20% ont déclaré avoir été victimes d'attaques d'usurpation d'identité, dans lesquelles les mails de l’école étaient imités par d'autres.

Nos chères têtes blondes

Un peu plus d'une école sur cinq - 21% - a déclaré avoir constaté l’utilisation des ordinateurs, des réseaux ou des serveurs (y compris une utilisation accidentelle) par des élèves sans autorisation, tandis que 11% estimaient avoir déjà vu l’utilisation des ordinateurs, des réseaux ou des serveurs sans autorisation par des membres de l’équipe. Seulement 4% ont déclaré qu'il y avait eu une utilisation d’origine externe non autorisée et encore moins - 3% - ont admis des fuites d'informations confidentielles à partir de systèmes en ligne.
"Depuis l'entrée en vigueur du GDPR en mai 2018, de nouvelles exigences ont été imposées aux écoles en matière d'accès et de protection des données. Néanmoins, 21% déclarent avoir fait face à des utilisations non autorisées des systèmes par les élèves.", indique le rapport.
Les pirates informatiques considèrent souvent les écoles comme une cible intéressante, car elles disposent de fonds et de compétences limitées en matière de cybersécurité pour se protéger, tout en détenant de grandes quantités de données sensibles.
Pour un point de vue plus positif, plus de 95% des écoles disposent de pare-feu, d’antivirus, de sauvegardes de données et de mises à jour logicielles à jour. 85% avaient un plan de cybersécurité, mais 41% seulement avaient un plan de continuité des opérations et l’audit a révélé que les pratiques de cybersécurité strictes, telles que la gestion des appareils mobiles et l’authentification à deux facteurs, étaient relativement peu utilisées.
"Les budgets sont serrés, le programme est serré et l'école vise à assurer la sécurité des enfants et à fournir la meilleure éducation possible. Vous n'entendrez donc pas souvent les écoles parler de leur préparation en matière de cybersécurité. Si les hôpitaux ont particulièrement été affectés par les perturbations causées par le virus WannaCry, les écoles sont aussi susceptibles que toute organisation de faire face à des attaques DDoS et de phishing ", a déclaré Mark Bentley, responsable de la sécurité et de la cybersécurité chez LGfL.
Source. : Cybersecurity: One in five schools says students have broken into computer systems

Les données personnelles de 419 millions d’utilisateurs Facebook peuvent être exploités pour des attaques de type « sim swapping ».

Facebook : des millions de numéros de téléphone en libre accès sur le web ???

Libellés

Carte SIM, Hackers, SIM Swapping

Les données personnelles de 419 millions d’utilisateurs Facebook ont été découvertes sur un serveur non sécurisé. Parmi ces données se trouvaient des numéros de téléphones et des identifiants.
Nouvelle gaffe pour Facebook. Alors que le réseau social multiplie ses efforts pour améliorer sa protection de la vie privée, une nouvelle faille de sécurité vient porter un énième coup à sa réputation. Un chercheur vient de mettre la main sur une base de données contenant des millions de numéros de téléphone d’utilisateurs Facebook.

Des données non protégées

«Le futur est privé », déclarait Mark Zuckerberg en début d’année. Quelques mois plus tard, Facebook a encore du mal à tenir ses promesses.Un chercheur en cyber sécurité nommé Sanyam Jain a pu accéder aux données personnelles de 419 millions d’utilisateurs du réseau social. La base de données se trouvait en effet sur un serveur non sécurisé, accessible sans aucun mot de passe.
Les informations exposées incluaient les numéros d’identifiants Facebook, les numéros de téléphone liés au compte, des données de localisation et parfois le genre de l’utilisateur. Le serveur hébergeait les bases de données d’utilisateurs américains, britanniques et vietnamiens. Sanyam Jain précise avoir même découvert des numéros de téléphone de célébrités.
Un porte-parole de Facebook a déclaré à nos confrères de Tech Crunch que la base de données avait été récupérée avant le changement de politique sur les numéros de téléphone. « L’ensemble de données est ancien et semble contenir des informations obtenues avant les changements que nous avons faits l’an dernier pour empêcher les gens de trouver d’autres personnes en utilisant leur numéro de téléphone. », a-t-il expliqué.

Des risques de fraude élevés

Cette information suggère néanmoins que la base de données a pu être accessible pendant au moins un an. Une telle fuite comporte de nombreux risques pour les utilisateurs concernés. Les numéros de téléphone peuvent en effet être exploités pour des attaques de type « sim swapping », qui permettent de voler et d’utiliser le numéro de l’abonné.
Facebook assure que la base de données a été supprimée et qu’aucun compte n’a été compromis. Ce nouvel incident prouve cependant que le groupe a encore du chemin à faire pour protéger la vie privée de ses utilisateurs.

Comment limiter les risques ?

On l’a vu, les risques pour vous sont en réalité faibles… mais ils ne sont pas complètement nuls ! Des techniques plus avancées peuvent exister, faisant par exemple appel à des complices chez les opérateurs.

Les conseils à retenir sont donc les suivants :

• Ne cliquez jamais dans un email ou un SMS pour accéder à votre compte opérateur
• Soyez vigilants par rapport aux messages envoyés par votre opérateur au sujet d’opérations faites sur votre compte : changement d’adresse, changement d’email, demande de nouvelle SIM

En quoi consiste le « SIM swapping » ?

Ce terme désigne le fait de « voler » le numéro de téléphone portable de quelqu’un. Cela ne nécessite pas de grande expertise technique. Dans les cas les plus courants de piratage par « SIM swapping », un pirate contacte le service client de votre opérateur afin de se faire passer pour vous. En effet, votre numéro est rattaché à une carte SIM. Cette petite puce dans votre téléphone vous identifie et vous permet, pour résumer, de vous connecter aux réseaux téléphoniques, 3G et 4G.

Prétextant la perte, une malfonction ou le vol de votre carte SIM, le pirate demande alors à activer votre numéro sur une nouvelle carte SIM, que lui possède. Pour convaincre le service client au bout du fil, il utilise des informations personnelles (date de naissance, adresse, numéro de client, etc.), qu’il a pu trouver sur Internet ou par d’autres moyens. Une fois l’opération réussie, le pirate peut alors recevoir à votre place des appels et des SMS qui vous sont destinés.Mais la technique fait régulièrement parler d’elle, comme dans le cas du piratage de centaines d’utilisateurs d’Instagram, qui ont perdu l’accès à leur compte l’été dernier. L’Agence France-Presse (AFP) souligne que des milliers d’attaques de ce type ont notamment été recensées dans des pays où les paiements par téléphone mobile sont monnaie courante, comme le Brésil, le Mozambique, l’Inde ou l’Espagne. Plus largement, les systèmes de sécurité de nombreux opérateurs mobiles « sont insuffisants et rendent leurs clients vulnérables aux attaques à la carte SIM », estiment deux chercheurs de l’entreprise de sécurité informatique Kaspersky, Fabio Assolini et Andre Tenreiro, interrogés par l’AFP.

REF.: 

Dès 2020, on aura des périphériques en USB4

L’USB Promoter Group vient de publier les spécifications finales de la prochaine version de l’USB. Les premiers produits compatibles USB4 (et pas « USB 4 ») devraient voir le jour dès l’année prochaine.

Cette nouvelle version de la norme USB apporte principalement trois avantages par rapport aux versions précédentes : une vitesse de transfert plus élevée, une compatibilité Thunderbolt 3 et des optimisations du côté des flux vidéo.

Débit maximal de 40 Gbps et compatibilité Thunderbolt 3

L’USB4 pourra ainsi atteindre un débit maximal de 40 Gbps, soit autant que le Thunderbolt 3, contre 20 Gbps « seulement » pour l’USB 3.2. Mais attention, il faudra pour cela utiliser des câbles adaptés. Le connecteur USB Type-C devient d’ailleurs indispensable pour profiter de tous les avantages de l’USB4. Autrement dit, utiliser un connecteur Type-A limitera le débit et la puissance délivrée au niveau de « l’ancienne » norme USB 3.1.
Trois vitesses devraient être possibles pour les appareils compatibles USB4. Ces derniers pourront fonctionner à 10 Gbps, 20 Gbps ou 40 Gbps, selon leurs besoins. Attention donc à bien vérifier ce point lors de votre futur achat. Les câbles et périphériques actuels pourront bien entendu être utilisés, mais la vitesse atteignable dépendra de leur implémentation respective de la norme USB.
La compatibilité Thunderbolt 3 n’est en revanche pas obligatoire dans la nouvelle norme USB4. Cela signifie que les constructeurs ne seront pas obligés de l’implémenter dans leurs produits et ordinateurs. L’USB Promoter Group estime toutefois que la majorité des ordinateurs compatibles USB4 proposeront tout de même cette compatibilité Thunderbolt 3.

>>> Comparatifs et tests des meilleurs PC portables 2019 par marque

Gestion améliorée des transferts mixtes vidéo/data

Une grande partie des spécifications de l’USB4 améliore la gestion dynamique des ressources allouées aux flux vidéo. Il devient ainsi possible de gérer dynamiquement la bande passante allouée à la vidéo et aux autres données lors d’un transfert « mixte » sur la même connexion. Cela permet d’optimiser l’utilisation de la bande passante totale disponible.

Prise en charge obligatoire de l’USB PD

Enfin, tous les contrôleurs USB4, hôtes comme périphériques, supporteront l’USB PD (Power Delivery). Cette norme permet de délivrer un maximum de 100 watts, ce qui ne veut toutefois pas dire que tous les périphériques et appareils USB4 atteindront cette puissance maximale.

Thèmes : Périphériques,USB4,USB,

REF.: