Ce jeudi 31 mars 2022, l’Institut national de cybersécurité (Incibe) avertissait que la société I-DE Redes Eléctricas Inteligentes, distributeur d’électricité du groupe Iberdrola avait subi une cyberattaque. Les données de 1,3 million de clients étaient exposées, bien qu’elle ait été résolue le jour même, le 15 mars, où elle a eu lieu, explique Incibe. Ce n’est que le lendemain, une fois la brèche colmatée, que l’entreprise a détecté des offensives massives qui n’ont pas atteint leur objectif, indiquait la compagnie.
Dans le communiqué de presse, la multinationale ibérique de distribution d’électricité tente de rassurer ses abonnés en spécifiant que « nous vous informons que nous avons subi une cyberattaque de nos systèmes d’information. L’incident, qui a maintenant été rectifié, a entraîné l’accès aux données de certains de nos clients. Nous vous informons qu’en aucun cas ils n’ont eu accès aux données financières (compte courant ou carte de crédit) ou aux données de consommation électrique. » Seules les indications relatives au prénom, nom, le numéro d’identification, l’adresse de domicile, le téléphone et le courriel ont fuité. Ces seules données suffisent à établir des faux en écritures concernant les identités, mais aussi de pouvoir créer des contrats avec un nouveau fournisseur d’électricité. Une plainte auprès de la Brigade centrale d’investigation technologique de la police nationale et l’information de l’attaque pour l’Agence espagnole de protection des données ont été effectuées.
Des attaques auraient eu lieu à Cercanías, au Congrès des députés et dans d’autres institutions européennes. La société de IgnacioGalán est devenue jeudi 31 mars 2022 la première firme espagnole en valeur sur le marché boursier, et principal investisseur espagnol sur le sol américain pour les énergies renouvelables. (Crédits : capture d’écran)
Le quotidien El Mundo révèle qu’après l’invasion de l’Ukraine par la Russie, le gouvernement américain aurait avisé la compagnie ibérique, qu’elle faisait partie des groupes susceptibles de subir une cyberattaque russe de grande envergure. Iberdrola n’a rien dit à ce sujet, seule confirmation, elle admet avoir essuyé des tentatives de piratage de ses bases de données qui ont affecté 1,3 million de clients. « Nous avons été avertis par les autorités américaines », indiquaient les sources d’Iberdrola, qui expliquent que cette recommandation était liée à « la situation critique que nous vivons », en référence au conflit armé entre la Russie présidée par Vladimir Poutine, et l’Ukraine de Wolodymyr Selenskyy.
C’est, au-delà de la série, le phénomène du moment qui fait grimper tous les statistiques, en France comme ailleurs. Pour confirmation, le fabricant des Vans en toile blanche que portent les joueurs se frotte les mains. Elles ont vu leurs ventes augmenter de 7 800 % depuis la diffusion sur Netflix. Les bénéfices engendrés par «The Squid Game » intéressent de nombreuses personnes, toutes ne sont pas forcément bien intentionnées. Les criminels ne reculent donc devant rien pour faire du profit.
Le code « QR » fleurit ici, et là. Sa traduction en mode verbeux signifie « quick response code ou code à réponse rapide », est un type de code-barres à deux dimensions. Celui-ci est lisible par un terminal qu’il soit vu par écran interposé ou sur sa version imprimée sur papier. Ce dernier, que vous trouvez sur votre passe sanitaire est constituée de modules-carrés noirs disposés dans un carré à fond blanc. Attention à ne pas confondre le Flashcode (ou encore 2D-Doc) avec le code QR (à la Française). Au sein de la péninsule ibérique, il est désormais légion. Comme partout ailleurs, cet outil affiche des informations auxquelles on accède lorsqu’on les scanne avec un appareil photo, d’un téléphone portable. Ces habitudes se sont généralisées notamment pour afficher un menu de restaurant, montrer patte blanche au cinéma… Pour autant, tel le couteau peut être un instrument magnifique pour délivrer une tortue des Galapagos emprise dans un filet de pêche. Il est également à l’honneur dans 4 615 vols avec armes blanches, 626 contre les particuliers et 595 contre les institutions, commerces en 2019, en France.
Méfiez-vous s’ils apparaissent seuls et suspendus dans des lieux publics
Comme une pièce de monnaie, il possède deux côtés. Le 15 octobre 2021, la police nationale espagnole alertait par un gazouillis d’un nouveau type d’escroquerie à Malaga. Les cybercriminels ont réussi à obtenir les données personnelles et bancaires des victimes, en exploitant les « codes QR ». Par conséquent, ils invitent chaque utilisateur à faire très attention lorsqu’ils en lisent un inconnu, soit à chaque instant. Précisément, les forces de l’ordre soulignent les risques liés au balayage des codes QR qui accompagnent les cartes, qui comportent un triangle, un cercle et un carré, lesquels reproduisent ceux qui apparaissent dans la série populaire et peuvent être trouvés seuls ou accrochés dans des lieux publics.
Des milliers d’Américains vivant à New York et Miami ont vu émerger une étrange carte de visite sous leur porte. L’agence canadienne Wunder use de ces trois formes géométriques pour promouvoir les services de la société Relief. Cette dernière propose une application pour aider les Américains à solutionner leurs problèmes d’endettement. (Crédits : Relief)
Dans « The Squid Game », ces cartes sont attribuées aux individus susceptibles de participer à la compétition de vie ou de mort qui est au centre de l’histoire de cette fiction. Au réel, toute personne qui scannérise la figure géométrique accompagnant les cartes frauduleuses avec son smartphone court le risque d’être contaminé, voire « piraté ». « Si nous scannons un code et que nous ne savons pas s’il est digne de confiance, il peut nous conduire vers des sites infectieux et mettre nos appareils en danger », martèle la police.
QRishing et QRljacking
Mais comment cela fonctionne-t-il ? C’est assez simple en soi ! Lorsqu’un quidam lambda scanne un « QR », au lieu d’accéder à une page web, de télécharger une application ou découvrir un menu… il se retrouve dans un espace où des lignes de codes dérobent vos données personnelles, comme bancaires. Par ailleurs, l’Institut national de cybersécurité ibérique (Incibe) souligne qu’il existe trois modèles d’attaques différentes profitant de ces codes. Deux attaques possibles, la première le Qrishing, puis le Qrljacking.
La police espagnole met en garde contre une escroquerie utilisant des cartes du « jeu de la pieuvre » pour vous voler, ou pire encore. (Crédits : Policía Nacional)
La première est de type phishing. Combinée à l’ingénierie sociale, la victime fournit ses données et indications d’identification en scannant un code « QR » dans une page web, un e-mail ou un message. Somme toute classiquement, l’individu est redirigé vers un site qui usurpe l’identité d’une l’entreprise officielle et qui demande des informations confidentielles ou bancaires. La seconde Qrljacking, ou détournement de session se caractérise par l’utilisation de l’ingénierie sociale pour dévier le compte d’un service qui accepte la fonction « Login with QR code » (comme celle du service WhatsApp). Ils essaient d’inciter la victime à scanner un code QR modifié qui se fait passer pour l’original qui a été précédemment capturé par les cybercriminels. Lors du scannage de ce dernier, provenant bien sûr d’un site web non fiable, le terminal téléphonique est donc infecté par un code conçu pour en exploiter les vulnérabilités.
Cascade de mauvaises nouvelles
Par la suite viennent les téléchargements de logiciels (Drive by download) ou de l’injection de codes malveillants (via un exploit présent sur la page web vers laquelle le code QR redirige). Le site malveillant est conçu pour exploiter les vulnérabilités présentes dans votre smartphone au niveau du logiciel et peut réaliser de multiples actions malveillantes :
rejoindre un botnet (par exemple pour réaliser une attaque DDoS contre un site web légitime)
divulguer des informations sensibles
s’abonner à des services premium
afficher des publicités de manière silencieuse à l’insu de l’utilisateur
accéder à différents éléments de l’appareil (microphone, caméra…)
accéder aux données du navigateur
envoyer des e-mails
récupérer la liste de vos contacts afin de leur envoyer des messages (malveillants, bien entendu)
déclencher des appels téléphoniques vers des numéros surtaxés
envoyer des SMS malveillants
effectuer des paiements mobiles
Toutes ces actions se déroulent, évidemment, en arrière-plan, de sorte que les usagers ne sont pas conscients de ces comportements. « France Num » affichait le 23 août 2021, le résultat d’une enquête de MobileIron éloquente quant à nos smartphones et de leurs utilisations vis-à-vis des codes QR :
74 % des personnes interrogées estiment qu’ils leur facilitent la vie (mais 51 % déclarent ne pas avoir de logiciel de sécurité sur leur smartphone)
47 % de ce même panel ont noté une augmentation de leur utilisation
Durant les 6 derniers mois, 38 % en ont scanné un dans un restaurant, un bar ou un café, et 37 % pour un commerce de détail
53 % des individus souhaitent qu’ils soient davantage utilisés dans l’avenir
66 % des interrogés avouent avoir des problèmes, dont plus de la moitié en sont conscients, mais les utilisent quand même
51 % des personnes interrogées sont inquiètes quant à la confidentialité et à la sécurité des données concernant l’utilisation des QR codes
Vous y êtes ? Très bien, car un homme averti en vaut deux, l’adage fonctionne également avec une femme. Ces conseils de prudence valent également pour toutes réceptions de courriels, clefs USB trouvées au sol, SMS… quelques règles distillées par « France Num » :
Avant de scanner un QR code, s’assurer qu’il ne couvre pas un autre code
En cas de doute, ne pas le scanner
Vérifier l’URL proposée sur la notification avant de cliquer sur la redirection. Si elle est étrange ou très courte, quitter la notification
Il doit vous amener à une information souhaitée, si ce n’est pas le cas, fermez la page et effacer l’historique de son navigateur
S’il arrive vers une application de l’AppStore ou de Google Play, s’assurer que l’entreprise mentionnée sur cette page a bien développé l’application demandée
Ne pas installer d’applications de sécurité à partir d’un lien scanné. On cherche à installer sur votre smartphone ou tablette, un logiciel malveillant (malware)
Être méfiant sur les QR codes distribués sur des cartes, mentionnés sur des affiches lors d’évènements ou placés dans des lieux publics
