Étiquette : RGPD

Comprendre la nouvelle grammaire des failles
Il y a encore quelques années, le terme de cybersécurité se racontait en termes de pare-feu, de correctifs et de lignes de code. Aujourd’hui, ce terme envahit l’espace, déborde, dégouline. Les incidents s’infiltrent via nos e-mails, s’invitent dans les cabinets ministériels, survolent les bases militaires et s’installent, durablement, dans le débat public. Trois informations récentes, en apparence toutes distinctes. Pourtant, elles expriment une même réalité, une même histoire. C’est l’Histoire d’un monde où la faille n’est plus l’exception, mais une condition structurelle.
Chaque jour, chaque heure, des opérateurs derrière un écran testent, envisagent et cherchent une faille dans les systèmes d’information. Leurs buts, hors mis l’exploit, c’est souvent l’argent, par revente de données, compilation de dictionnaires, ou rançon. Elles peuvent être aussi l’espionnage à des fins industrielles ou étatiques.
Quand la faille ordinaire devient un incident pédagogique
L’alerte adressée par courriel aux différents clients de ManoMano ressemble, à première lecture, à un cas d’école. Un sous-traitant, un compte compromis, une extraction illicite de données. Pas de mot de passe exposé, pas de modification des informations, une notification aux autorités compétentes, une ligne téléphonique dédiée : tout semble conforme à la mécanique bien huilée du RGPD. Et pourtant…
Ce type d’incident est précisément celui qu’il faut savoir lire. Non pour s’en indigner, mais pour en comprendre la logique. La faille ne se situe pas dans une technologie défaillante, mais dans la chaîne de confiance. Un prestataire dispose d’accès. Un agent se fait compromettre. Et l’attaquant n’a plus besoin de forcer les murs : il entre par la grande porte. Pour l’utilisateur, l’essentiel n’est pas tant ce qui a été volé que ce qui peut en être fait. Prénom, nom, e-mail, numéro de téléphone, possibles échanges avec le service client… Ce sont autant d’éléments qui suffisent à nourrir des campagnes de phishing crédibles, de l’ingénierie sociale ciblée, voire des tentatives d’usurpation d’identité.
La condamnation de Free à 42 millions d’euros annonce la couleur : personne n’est épargné. En janvier 2026, l’autorité française a infligé une amende de 5 millions d’euros à France Travail, pour ne pas avoir suffisamment protégé les données personnelles de dizaines de millions d’usagers après une cyberattaque majeure en 2024. (Crédits : Capture d’écran/ManoMano)
L’intrusion avait exposé les informations de près de 37 millions de personnes en raison de mesures techniques et organisationnelles jugées insuffisantes, notamment des procédés d’authentification faibles et un manque de surveillance effective des accès. Dans le même temps, Codes Rousseau a prévenu ses utilisateurs d’un accès non autorisé à son application Easysystème, largement utilisée par les auto-écoles françaises. Les données concernées incluaient état civil (prénom, nom, sexe, date de naissance), coordonnées (adresse postale, adresse électronique, numéro de téléphone), photographie d’identité, numéro NEPH et informations relatives à l’obtention de l’ASR, et la signature.
À mesure que les fuites se multiplient, ce ne sont plus seulement des bases d’informations abstraites qui sont exposées, mais des fragments d’existences. Des vies, mises en colonnes.
Ces derniers mois, plusieurs révélations ont illustré cette banalisation de l’intrusion. Des données sur des parlementaires français circulent. Un fichier concernant la plateforme Osmose, qui était utilisée par des agents de l’État, affiche 3501 lignes. Des informations personnelles — prénom, nom, poste, entreprise, e-mail, téléphone fixe, mobile — touchant des personnels rattachés à des institutions aussi sensibles que le ministère des Armées, l’École de guerre, la Gendarmerie nationale, le ministère de l’Intérieur, la DINUM (direction interministérielle du Numérique) ou encore l’ANSSI.
Intimités violées
Mais l’atteinte ne s’arrête pas aux sphères du pouvoir. Elle descend, méthodiquement, dans la société. La fuite massive ayant touché France Travail a concerné des millions de citoyens. D’autres exfiltrations ont porté sur des données liées à des personnes recherchées par le ministère de l’Intérieur russe, dans un contexte deconflit russo-ukrainien. Dans le monde éducatif et sportif, les exemples s’accumulent également.
Certains récemment touchés sont le golf, la chasse et le volley, mais, ces dernières semaines, les fédérations de football, de tennis ou de tir sportif ont été prises pour cibles. L’UNSS, en 2025, a été victime d’une fuite. (Crédits : Capture d’écran/BonjourLaFuite)
Les données exfiltrées par un certain « Marak » proposaient les informations de 7 795 940 profils sur les six dernières années. Elles sont : prénom, nom, date de naissance, sexe, e-mail des parents et de l’élève, téléphone, classe, handicap, photo, historique, établissement, adresse licence, activités actuelles et plus de 900 000 photos des élèves. La fuite n’est plus seulement un incident technique. Elle devient une atteinte à l’intimité collective, un effritement progressif de la frontière entre sphère privée et espace numérique. Et dans cet écosystème, les données sont rarement détruites : elles sont agrégées, revendues, compilées, jusqu’à alimenter ces dictionnaires géants qui serviront, demain, à de nouvelles attaques.
La faille stratégique ou la cible choisie
Dans le registre de menaces étendues, la justice française a récemment mis en examen quatre individus suspectés d’espionnage pour le compte de la Chine, après leur interpellation en Gironde. Deux des prévenus sont placés en détention provisoire dans le cadre d’une information judiciaire ouverte pour « livraison d’informations à une puissance étrangère », un délit passible de quinze ans de prison. À un autre niveau, plus feutré, mais tout autant sensible, se joue une bataille d’image et de normes. Le Pall Mall Process, initiative diplomatique franco-britannique visant à encadrer l’usage des outils de surveillance numérique, ambitionne de poser les bases d’une gouvernance responsable.
L’intention est louable, mais le terrain est encore un véritable champ de mines. Car plus d’un an après son lancement et à la suite de sa deuxième conférence diplomatique à Paris, le Pall Mall Process fait face à un défi majeur : obtenir l’adhésion du marché des logiciels espions et du piratage commercial. Ce secteur, nommé CCCI (capacités commerciales de cyberintrusion), est en pleine expansion. Les participants alertent que, sans régulation efficace, cette croissance risque d’entraîner une multiplication des abus, ciblant notamment les journalistes, défenseurs des droits humains, dissidents politiques et responsables gouvernementaux étrangers, comme l’avait déjà signalé le renseignement britannique en 2023.
« La révolution numérique a transformé le cyberespace en un théâtre d’affrontements où la frontière entre souveraineté et dépendance se joue désormais à une ligne de code. »
Quand le ciel devient une surface d’attaque
Le troisième signal vient du ciel britannique.
En un an, les signalements de drones à proximité des bases militaires ont doublé. Certains sont probablement inoffensifs, d’autres mal identifiés, quelques-uns potentiellement hostiles. Leur point commun n’est pas leur origine, mais l’incertitude qu’ils produisent.
Le drone n’est pas un simple objet volant. C’est un système numérique complet : pilotage à distance, liaisons radio, capteurs embarqués, parfois autonomie logicielle. Il évolue à la frontière du cyber et du physique. (Crédits : Vilkasss/Pixabay)
Intercepter un drone ne consiste donc pas uniquement à le neutraliser mécaniquement. Il s’agit aussi de comprendre, perturber ou détourner ses communications, voire d’en prendre le contrôle. Cette hybridation des menaces est déjà à l’œuvre dans le conflit entre la Russie et l’Ukraine, entré dans sa cinquième année. Face à la multiplication de ces incidents, le gouvernement britannique envisage désormais d’élargir les pouvoirs de l’armée pour neutraliser directement ces engins. Une décision qui acte un basculement : la militarisation assumée de la gestion des menaces hybrides, y compris en temps de paix.
Une lecture commune : la faille comme symptôme
Fuite de données commerciale, encadrement du spyware, drones au-dessus des bases militaires : trois scènes, un même décor. Celui d’un monde hyperconnecté, où la sécurité ne se compartimente plus. Dans chaque cas, la faille naît d’un déséquilibre : entre sous-traitance et contrôle, entre innovation technologique et cadre éthique, entre liberté d’usage et impératif de protection.
La cybersécurité n’est plus seulement une affaire d’experts techniques. Elle devient une question de culture collective, de choix politiques et de maturité. Elle oblige à penser en continuum. Soit du clic imprudent d’un client à la stratégie d’un État. Il est illusoire de promettre un monde sans failles. La technologie avance trop vite, et l’humain reste ce qu’il est : faillible, pressé, parfois négligent. Mais comprendre les mécanismes à l’œuvre, nommer les responsabilités et refuser les faux-semblants est déjà une forme de défense.
Ainsi, comme souvent, les fuites de données terminent en une compilation de dictionnaires, pour de nouvelles attaques.
(Crédits : Capture d’écran)
La cybersécurité moderne ne se résume plus à colmater des brèches. Elle consiste à apprendre à lire les signaux faibles, à relier les incidents et à accepter que, désormais, le numérique est partout — donc vulnérable partout. Et c’est précisément pour cela qu’il mérite d’être expliqué, patiemment, au plus grand nombre. C’est tout l’enjeu de la souveraineté en terme de cybersécurité déployée par l’État Français pour 2026-2030.
février 9, 2026
Le ransomware Qilin fait 23 victimes en mars
Le ransomware Qilin produit plus de vingt victimes suite à ces cyberattaques au 20 mars 2025. Depuis sa première apparition en juillet 2022, il affiche 329 victimes. Le groupe derrière le ransomware Qilin fait la une des journaux en juin 2024 avec la cyberattaque contre Synnovis. Il applique la double extorsion. L’une des dernières victimes est l’établissement hospitalier Los Madroños. Avec plus de 540 GB de données dérobées, sept photos sont affichées sur le site de fuite. Le tribunal de Cleveland et le ministère des Affaires étrangères ukrainien sont aussi victimes.
Le groupe Qilin ne cesse d’occuper le devant de la scène. Depuis une campagne en juillet 2024, les chercheurs de Sophos découvrent une méthode inhabituelle permettant aux attaquants de dérober les identifiants stockés dans les navigateurs Google Chrome, via une stratégie de groupe (GPO). Une de ses victimes l’hôpital Los Madroños est situé à moins de 30 km à l’ouest de Madrid, à Brunete. L’établissement de soins indique dans ses communiqués, avoir observé l’incident le 7 mars 2025, et en avoir informé les autorités compétentes.
Los Madroños et le ministère des Affaires étrangères ukrainien
Sur le site de fuite sons exposées 212 073 documents sur un total de 540 GB. L’établissement émet deux communiqués, l’un à l’attention des patients, l’autre pour le personnel. « Le ransomware Qilin a infecté le réseau interne de l’hôpital, bloquant temporairement l’accès aux données en les chiffrant. En outre, les attaquants ont extrait des données confidentielles au cours de l’incident. En résumé, il y a eu à la fois un cryptage de nos fichiers et une exfiltration (vol) d’informations », explique Los Madroños.
Concernant la patientèle, les données exposées sont de deux types. Les dossiers médicaux et les données d’identifications. Côté clinique, les diagnostics, les traitements, les résultats d’examens et les notes de vos médecins. Ainsi il est possible de consulter des analyses de sang, des protocoles…
De plus, les informations personnelles telles que le prénom et le nom, la carte d’identité, la date de naissance, l’adresse, le numéro de téléphone et d’autres coordonnées conservées dans nos systèmes. Toutes les informations que vous remplissez lors de votre admission, le registre d’entrée. Mais également des notifications du registre central des délinquants sexuels et de la traite des êtres humains. (Crédits : capture d’écran/Qilin)
Les personnels soignants, actuels et passés sont touchés par la fuite sur les documents d’identité, les données relatives aux études et formation ainsi que relative à leurs emplois. Les données sont : la pièce d’identité, les qualifications, certifications académiques, formations complémentaires et expériences professionnelles. Mais encore la catégorie et le poste occupé, la date d’embauche, l’historique des promotions ou des évaluations, les heures de travail, ainsi que les données salariales (le salaire, les déductions fiscales…) sans oublier l’IBAN.
Le ministère des Affaires étrangères de l’Ukraine
Le ministère des Affaires étrangères affirmait avoir des indices de l’implication russe sur une attaque cyber dans la nuit du 13 au 14 janvier 2022. « Plusieurs sites gouvernementaux ukrainiens ont été la cible vendredi d’une cyberattaque qui s’est produite dans un contexte de vives tensions entre Kiev et Moscou, accusé de préparer une invasion de son voisin ukrainien », écrivait France TV Info.
Le ransomware Qilin a revendiqué l’attaque sur le ministère des Affaires étrangères de l’Ukraine, le 7 mars 2025. Le principal intéressé n’a pas encore communiqué sur cette cyberattaque. Plus de 100 fichiers sont disponibles. Ils sont des échanges datant de l’année 2022.
Ils portent sur des passeports, des remerciements de soutien suite au conflit armé opposant l’Ukraine et la Russie, mais également des demandes de passeports. Selon les rapports suite à l’attaque contre Synnovis, le groupe serait d’obédience russophone.
Dans son discours le chef de l’État français déclare que « la Russie est devenue une menace pour la France et pour l’Europe. » Depuis de part et d’autre, les commentaires fusent, comme la guerre de la propagande dans les divers camps.
(Crédits : Capture d’écran/Qilin)
De son côté le tribunal de la ville de Cleveland, dans l’Ohio voit des données exposées sur le dark web. Après la cyberattaque de fin février, l’administration à fermer ses portes par mesure de précaution. Depuis le 23 février 2025, le site WEB est, quant à lui toujours hors service.
mars 20, 2025
Violation des données personnelles chez Maxar
Le spécialiste américain dans la fabrication de satellites de télécommunication, Maxar révèle un accès non autorisé de ses systèmes d’information en octobre 2024. Une ou plusieurs personnes se sont introduites et ont consulté des données personnelles d’employés. La firme compte environ 2600 salariés tout autour du monde. Le ou les pirates usent d’une adresse IP basée à Hong-Kong. En juin 2023, des accès à un satellite militaire étaient vendus pour 15 000 dollars.
Dans une lettre adressée au Procureur général de Californie, Maxar confirme qu’un accès non autorisé eu lieu aux alentours du 4 octobre 2024. L’entreprise révèle avoir découvert la brèche une semaine plus tard, le 11 octobre. La note adressé au Procureur stipule que des mesures immédiates sont appliquées pour empêcher tout autre accès non autorisé au système.
La compagnie explique que le ou les pirates ont eu accès au nom, adresse personnelle, numéro de sécurité sociale, les informations de contact professionnel (téléphone, e-mail, lieu de travail…), le genre, le numéro d’employé et son titre, les dates de contrats, le supérieur hiérarchique et le département dans lequel la personne travaille. Maxar indique qu’aucune date de naissance et de coordonnées bancaires ne pas sont incluses dans ces fichiers consultés.
« Néanmoins, selon notre enquête, le pirate a probablement eu accès aux dossiers sur les systèmes pendant environ une semaine avant que cette action ne soit prise », déclare Maxar.
(Crédits : SpaceX/Pexels)
novembre 18, 2024
Cyberattaque de l’hôpital de Cannes
Le 16 avril 2024, le centre hospitalier Cannes Simone-Veil subit une cyberattaque. Elle est de type ransomware. Le groupe d’opérateur à la base est le célèbre LockBit. Sur leur site de fuite, depuis hier le 1er mai peu après 22 h, 61,7 GB de donnée sont donc accessibles. Des données de bilans de santé, des évaluations psychologiques, des informations provenant du personnel soignant, des photos et pleins de documents internes. « La direction du centre hospitalier condamne cette publication et regrette les dommages éventuellement occasionnés […] »
Deux semaines après la cyberattaque, le centre hospitalier (CH) confirme par communiqué de presse que les données publiées dans la soirée du 1er mai lui appartiennent. Le CH Simone-Veil s’ajoute à la longue liste d’établissements de santé touchés.
Une énième cyberattaque d’un hôpital en France
La cyberattaque touchant l’hôpital cannois avait contraint à annuler toutes les opérations chirurgicales non urgentes. Mais aussi à reporter toutes les consultations jusqu’au retour à la normale. Depuis, l’activité de l’hôpital a repris son cours.

Comme à chaque fois le rétablissement du fonctionnement des systèmes d’information se fait au plus vite. Les informations sont directement accessibles après le décompte macabre de la mise en ligne, suite au non-paiement de la rançon.
L’établissement précise que « la qualification des données exfiltrées se poursuit et un retour dans les prochains jours, circonstancié et personnalisé sera réalisé auprès des personnes et institutions concernées. »
Le directeur du centre hospitalier, Yves Servant, assurait durant les premières minutes ne pas avoir « eu de demande de rançon ni de vol de données identifiés à ce stade. »
(Crédits : Capture d’écran/LockBit)

Des informations de patients, mais aussi de salariés, des cartes d’identité, bilans médicaux, des bulletins de salaire, des relevés d’identité bancaires, des relevées de comptes bancaires, des tableaux d’amortissement de prêts… sont désormais en ligne. Les très nombreux documents sont d’autant plus de possibilités d’usurpation d’identité, de phishing, spearphishing…
L’opération Cronos de février
L’opération conjointe des différents services de Police sur les cinq continents affaiblissait les affidés. Trente-quatre serveurs tombaient ainsi que le compte principal. Le CEO reconnaissait avoir laissé la sécurité de côté sans effectuer une mise à jour PHP. Depuis les victimes de LockBit sont à nouveau nombreuses.
Depuis de très nombreuses sociétés sont affichées. Les personnes mal intentionnées peuvent alors se saisir de documents. Le but est de lancer de campagnes de phishing ciblé.
Entre les pièces d’identité, des numéros de sécurité sociale, des relevées d’imposition aux relevées d’examens médicaux…
« J’ai regardé la quantité de données et il n’y a pas les 60 gigaoctets. Le reste sera revendu sur le darkweb à d’autres arnaqueurs pour essayer d’extorquer de l’argent aux gens », indique SaxX sur France Bleu.
(Crédits : Capture d’écran/LockBit)
Le centre hospitalier a porté plainte, et avoir alerté la CNIL et l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Elle précise qu’un « retour circonstancié » sera réalisé dans les prochains jours, avec des « conseils en cybersécurité à tenir ».
Une première au CH de Cannes
Le centre hospitalier n’avait jamais été victime de cyberattaque de type ransomware. « Nous sommes préparés depuis les dernières crises, notamment Covid à ces situations. Nous faisons régulièrement des exercices », précise le Docteur Gard.
« La direction du centre hospitalier condamne cette publication et regrette les dommages éventuellement occasionnés auprès de certains de ces patients, professionnels et partenaires. »
Ce qui est certain est que suite aux fuites de France Travail, des organismes de tiers payants Almedis et Viamedis, il faut redoubler d’attention.
(Crédits : Capture d’écran/LockBit)
mai 3, 2024
Iberdrola condamnée à 6,5 millions d’euros d’amende
Il y a deux ans, la société ibérique I-DE Redes Eléctricas Inteligentes, distributeur d’électricité du groupe Iberdrola subit une cyberattaque. Les données de 1,3 million de clients étaient exposées. Le 15 mars 2022, l’incident se déroulait, le lendemain il est clos. La police affirmait que les responsables de cette attaque n’ont pas eu accès à des données sensibles. Le vol concerne au total 1,5 million de clients de I-De et Curenergia. La fuite a permis de télécharger pendant 7 jours les informations personnelles de millions de consommateurs à partir de son service de gestion des dossiers de raccordement.
Le prénom, nom, le numéro d’identification, l’adresse de domicile, le téléphone et le courriel sont divulgués. L’Agence espagnole de protection des données (AEPD) vient d’infliger une amende de 6,5 millions d’euros en ce mois d’avril 2024.
Grosse amende contre grosse fuite
Ainsi, durant une semaine, les personnes à l’origine du vol copient les informations de plus d’un million de clients. La société compte plus de 20 millions d’utilisateurs. Mais cette opération affecte d’autres spécialistes du marketing comme Curenergy. L’entreprise, Iberdrola paye pour apprendre.
Plusieurs procédures la concernant viennent de se clôturer. Pour violation de l’article 5.1.f du RGPD à l’article 83, paragraphe 5, du RGPD, une amende de 2,5 millions d’euros est infligée.
Auquel s’ajoute un autre million d’euros pour la violation de l’article 32 du RGPD, défini à l’article 83, paragraphe 4, du RGPD.
Mais le géant de l’électricité voit s’additionner 3 nouveaux millions d’euros après la résolution de procédures supplémentaires.
Dans ce dernier cas, les amendes sont d’un million (contrevenant à l’article 32 du RGPD, à l’article 83.5 du RGPD) et de 2 millions d’euros (une violation de l’article 5.1.f) du RGPD, définis à l’article 83.5 du RGPD).
La société avait déjà fait les frais d’amende au sujet du non-respect du règlement de protection des données.
À hauteur de 80 000 € le 14 février 2020, et 100 000 € le 3 février 2021. (Crédits : Erik Mclean/Pexels)

Il est également prévu une amende maximale de 20 millions d’euros ou 4 % du chiffre d’affaires mondial de l’année précédente, le montant le plus élevé étant retenu. Sauf que pour des entreprises qui ne communiquent pas leurs chiffres d’affaires, cela se complique.
Endesa s’offre la plus grosse amende
Si son concurrent espagnol Iderbrola voit une amende de 6,5 millions d’euros, elle correspond à plusieurs affaires. Endesa quant à elle se voit infliger la plus grosse amende pour une compagnie d’électricité. En une seule amende, Endesa est mis en demeure de régler 6,1 millions d’euros. Cela après la validation que quelqu’un vendait sur Facebook des codes d’accès à sa plateforme SalesFolder, explique Bandaancha.
Cette plateforme, ou base de données permet de consulter les données personnelles des clients. Mais également les points de livraison (PDL, CUPS en Espagne).
Les données personnelles de 4,8 millions de clients en électricité et de 1,2 million en gaz de la société Endesa ont pu être consultées par des tiers extérieurs à la société. L’AEPD explique l’ensemble sur 214 pages.
Ce qui occasionne des campagnes frauduleuses et malversations en tout genre.
Les propositions commerciales montrent patte blanche. Les données en leur possession permettent de connaître vos prénom et nom, et le fameux CUPS unique. Ainsi ils peuvent effectuer une migration de votre fournisseur d’électricité vers le leur.
(Crédits : bandaancha.eu)

Les données accessibles sont le prénom, le nom, le numéro de la carte d’identité, le numéro de téléphone, l’adresse électronique, l’adresse postale, le numéro de compte bancaire, le CUPS, la consommation, la facturation et l’en-cours. Encore mieux, l’obtention de données techniques sur 30,6 millions de points de fourniture en électricité et 8,6 millions pour le gaz auprès de n’importe quelle compagnie est possible.
La backdoor XZ et Andres Freund
Deux petites lettres qui ont un potentiel de destruction conséquent. Le 29 mars 2024, Andres Freund renifle un truc qui ne tourne pas rond, explique LeMagIT. Cette chose est capable de passer outre l’authentification SSH. Une backdoor installée par un certain JiaT75. « La backdoor se planque dans les fichiers de test bad-3-corrupt_lzma2.xz et good-large_compressed.lzma, et utilise un script appelé par build-to-host.m4 pour s’incruster dans le processus de build », relate Korben.
Ce qui est complètement ahurissant, c’est la méthode utilisée par cet individu. Depuis 2021, il s’intéresse et contribue à la bibliothèque XZ. Il finit par force de travail à obtenir la confiance, ce qui lui octroie des privilèges.
Par pression successive, Jia Tan accède à un degré de confiance qui lui permet de fusionner son propre code en janvier 2023. Il fait pression pour ajouter un autre mainteneur. En janvier 2024, la backdoor est finalisée, puis découverte en mars.
La réflexion posée sur l’open source est que des personnes donnent de leurs temps et de leurs talents pour aider, et résoudre des problèmes. Mais que comme toute équation, il tend avoir une limite mathématique.
(Crédits : Mantas Sinkevičius/Pexels)

Quand est-il du projet XZ ? Des questions se posent, beaucoup s’interrogent. Des retombées potentielles sur les projets open source ? Ce qui est sûr est que désormais la phrase de Vladimir Illicth Lénine prend encore plus de sens : « La confiance n’évite pas le contrôle ».
avril 13, 2024
Attention aux possibles arnaques au QR code en France, elles sévissent déjà aux États-Unis
Tandis que les SMS concernant Ameli continuent d’être envoyés partout sur l’hexagone, une nouvelle menace débarque : le QR code. Depuis les deux années où le SARS-CoV-2 a tenu le haut de l’affiche, ces petits carrés bizarres sont en tous lieux. Sur les tables de restaurant, la devanture d’un magasin, en bas de page de publicité… il est désormais omniprésent sans s’en rendre compte. Machinalement nous voyons ce petit carré ressemblant de manière capillotracté au jeu de Pacman, et nous dégainons le smartphone. Mais que savez-vous de lui ?
Avant d’effrayer le lecteur, remontons de quelques années en arrière, en 1994. Année du début de l’ère Aimé Jacquet, menant la France à sa première victoire en coupe du monde de football en 1998. Les bleues, quant à elles disputent actuellement l’Euro et sont en quarts de finale, refermons l’aparté. Donc, les codes QR ont été créés en 1994. Une filiale de Toyota, Denso Wave, a développé ce code pour faciliter le processus de fabrication, le suivi des véhicules et des pièces. Il a été conçu pour permettre des vitesses de décodage rapides, son nom est devenu logiquement « code Quick Response ». S’ils possèdent une notoriété digne d’une rock star, leur existence est due au développement et succès des codes à barres. Depuis ils sont extrêmement populaires, et c’est là où le bât blesse.
Les codes QR peuvent stocker jusqu’à 7 089 caractères numériques, 4 296 caractères alphanumériques, bien au-delà de la capacité du code-barres (une douzaine de caractères). Des lignes de codes pour exécuter une action, par exemple en Bash, n’ont pas besoin d’autant, 1 500 sont amplement suffisante, voire moins, beaucoup moins.
Que s’est-il passé ? Cet instrument pratique se retrouvait même dans les bibliothèques municipales, et plein d’autres endroits. Le nombre de chiffres dans les codes a donc été augmenté, générant une modification. Leurs tailles, et l’espace d’impression multipliaient les coûts d’impression. En outre, ces évolutions ont entraîné des complications occasionnelles lors de la lecture/du balayage des nouveaux codes. De la poudre de perlimpinpin, beaucoup de recherche et de travail, ont donné naissance aux codes QR 2D (bidimensionnels). Depuis leur avènement, ils ont vu leur population augmenter, les développements de la technologie pour améliorer la capacité de stockage et la fonctionnalité…
La taille accrue du QR code en fait une arme redoutable. Avec le langage de programmation Python, il est simple d’envoyer un e-mail sans fioriture. Le FBI avertissait ses concitoyens en début d’année 2022 : « ne scannez pas un code QR trouvé au hasard ». Les escrocs utilisent de faux codes QR pour voler vos mots de passe et votre argent.
Des individus malintentionnés les utilisent dorénavant pour voler des données personnelles ou compromettre un terminal, selon Le Parisien. Les escrocs ont toujours un coup d’avance ! Il suffit désormais de flasher le code avec son appareil photo pour être dirigé vers une URL. Elle peut permettre de lire un menu, télécharger une application ou montrer « patte blanche » dans l’application mise en place par le gouvernement « Tousanticovid ». Il n’est nullement question des RGPD. « Elle utilise le signal Bluetooth d’un téléphone pour détecter un “smartphone” à proximité et ainsi établir de manière anonyme que plusieurs personnes se sont croisées. L’application prend en compte les contacts à moins de 2 mètres pendant au moins 5 minutes », explique le site dédié.
Dans un article du quotidien Le Parisien, un « expert » précise que « la cyberattaque passe par l’appareil photo et contourne ainsi les antivirus et les filtres de sécurité ». Vous pouvez en quelques secondes créer le vôtre. « Il est tout aussi facile de modifier une application avec un code malveillant qui transforme le téléphone en mouchard ou siphonne les données », ajoute-il.
Pour effectuer une attaque ou un vol de données, il suffit de faire « Man-in-the-middle ». Pour cela ils peuvent remplacer un QR Code par le leur en apposant un autocollant. En le scannant, les utilisateurs sont renvoyés vers une copie ou l’original du site, avec exfiltration de leurs données, sans s’en apercevoir. (Crédits : Panda Security)
Selon des sources bien informées « le QR est une belle invention qui ne représente que peu de “menace” ». Les problèmes indiqués se situent que dans les différents traitements associés, pas dans le code QR, lui-même. L’usage des outils « informatiques » par tout un chacun « facilite » la vie quotidienne. « Les entreprises utilisent légitimement les codes QR pour fournir un accès sans contact pratique et les ont utilisés plus fréquemment pendant la pandémie de COVID-19. Cependant, les cybercriminels tirent parti de cette technologie en dirigeant les scans de codes QR vers des sites malveillants pour voler les données des victimes, en intégrant des logiciels malveillants pour accéder à l’appareil de la victime et en redirigeant le paiement à des fins cybercriminelles », expliquait le FBI dans son alerte. Pour toutes les questions sur les possibles fraudes , un site Cybermalveillance.
Qu’est-ce qui va différencier un « vrai » d’un « faux » QR code ? Humainement, c’est très compliqué.
Ars Technica rapportait que des malfaiteurs avaient placé des autocollants de codes QR frauduleux sur des parcmètres, dans les grandes villes du Texas. Ces autocollants visaient à inciter les gens à payer leur stationnement, mais sur un site Web frauduleux. Les agents de stationnement avaient trouvé des autocollants avec des codes QR frauduleux sur les bornes de paiement à Austin, Houston et San Antonio. Les autorités avaient dans un communiqué de presse, que des fraudes sur des parcmètres étaient constatées. Au final 29 des 900 avaient un autocollant recouvrant le code QR. En cas de doute, rapprochez-vous des forces de l’ordre, de votre banque et du site Cybermalveillance.
juillet 17, 2022
Ransomwares : cyberattaques multiples en France
Le mois de juillet commence à peine que les attaques informatiques pleuvent. L’été s’annonce d’ores et déjà brûlant. Si le nombre de compagnies françaises atteintes par un ransomware au mois de juin atteignait la dizaine, en moins d’une semaine, neuf entreprises sont épinglées. Dans le lot des victimes, il faut recenser une société de gestion d’actifs parisienne, deux cabinets d’avocats, un cabinet d’ingénierie, Idex, ou encore le prestataire de services informatiques Syredis.
La refonte du site de fuite du ransomware Lockbit 3.0 annonce la couleur. « Les bureaux de l’épargne » est un cabinet de courtage familial et indépendant, présidé par Constance Coillard. Les cybercriminels indiquent détenir 57,2 Gb de données compressées, telles que les conseillers issus de la France entière, les mots de passe, pièces d’identité… Le cabinet d’avocats PLR, qui semble avoir plusieurs compétences juridiques telles la data protection – RGPD —, situé à Paris est également placardé avec 73,5 Gb d’informations sensibles. Un second cabinet d’avocats, Bosco, est aussi sous le coup de la divulgation de 101 Gb, prévue le 16 juillet 2022 à 20 h 38.
Les demandes de rançon sont élevées, de 40 000 dollars à 15 millions pour la société Diode de développement de logiciels & projet de sauvetage. (Crédits : Capture d’écran)
Mais il y a également les entreprises françaises #Idex ou #Syredis. La première attaque est revendiquée par Industrial Spy, où quelque 30 Mo de données, en guise de preuve, s’affichent. Sept dossiers distincts semblent indiquer que selon les opérateurs auraient des documents ayant un rapport au ministère de la Défense (convention-cadre pour l’exploitation et la maintenance des installations de la base navale de Toulon, attestation de visite de l’établissement de la préfecture de la zone de défense et de sécurité et accord de confidentialité, document relatif à la construction d’un nouveau commissariat de police…), du ministère de l’Intérieur, du département de l’Ardèche et de la préfecture de Valence.
L’attaque semble avoir eu lieu le 29 juin 2022, contre le Leader indépendant des projets d’infrastructures énergétiques & services de valorisation des énergies pour entreprises & collectivités. Industrial Spy détiendrait 215,8 GB compressées, la rançon demandée à l’heure actuelle est de 9 millions de dollars américains, soit plus de 442 BTC.
Les cordonniers sont souvent les plus mal chaussés indique l’adage. La compagnie affiche que « toutes vos données sont sécurisées et tous vos serveurs sont hébergés sur le territoire national ». Les compétences de la société sont l’infrastructure réseau, virtualisation, sécurité et vidéo protection. (Crédits : capture d’écran)
Les opérateurs derrière le ransomware #RedAlert se targuent d’avoir aisément infiltré et « piraté » le site de Syredis, puis télécharger plus de 300 GB de données sensibles, notamment des données clients, contrats, identifiants des appareils locaux et distants des réseaux des clients de cette société. Sans oublier des documents financiers, fiches de paie, relevés bancaires… De son côté, la caisse centrale de réassurance (#CCR) dont l’attaque a été révélée par #LeMagIT est en prise avec un autre rançongiciel Lilith.
juillet 6, 2022
Audika victime d’une cyberattaque
Les données personnelles des clients de l’audioprothésiste auraient subtilisé par des opérateurs. Les intrus ont pu, selon Cnet, s’emparer des informations de l’enseigne, y compris les numéros de téléphone des clients. L’entreprise créée en 1976 compte pratiquement 600 centres auditifs en France. L’attaque aurait eu lieu avant le 1er juillet 2022. Une enquête diligentée par la firme est en cours, après avoir notifié la CNIL comme l’impose le Règlement Général sur la Protection des Données (RGPD).
« Madame, Monsieur, nous vous informons que nous avons subi un incident de sécurité au cours duquel un tiers non autorisé a malheureusement accédé à vos données personnelles ». C’est par ce courriel envoyé par Michaël Tonnard, directeur général d’Audika, vendredi 1er juillet 2022 que l’entreprise informait l’ensemble de ses clients en métropole. Lors de l’attaque, le ou les opérateurs malveillants auraient, semble-t-il, pu accéder aux prénoms, noms, numéros de client, adresses postales comme électroniques, numéros de téléphone. Jusqu’aux dates de naissance des utilisateurs disposant d’un compte en ligne.
Sur son site internet, la société dont l’expertise débute à la prise en charge des acouphènes, des troubles auditifs de l’enfant ou encore des implants, affirme traiter plus de 200 000 patients par an grâce à ses quelque 600 centres partout en France. (Crédits : Capture d’écran/Audika)
Le site de la boutique en ligne est en maintenance, le temps d’effectuer le constat des dégâts qui auraient être occasionnés. La crainte est que les clients soient impactés par des tentatives d’hameçonnage ou phishing, car les cybercriminels seraient à même de contacter un à un les clients pour leur soutirer des informations supplémentaires, comme des numéros de cartes bancaires. C’est pour cela que la marque conseille fortement chaque client à changer de mot de passe.
juillet 4, 2022
Les informations sensibles de millions de Brésiliens fuitent
Au commencement, le Bucket Amazon S3 de WSpot, mal configuré, a été laissé en accès libre. Il fournit une solution de gestion Wi-Fi qui permet aux entreprises de contrôler diverses fonctions de leur réseau et de leur routeur sur site. La violation des infos de WSpot a compromis plus de 226 000 fichiers totalisants 10 GB de données. Parmi les journaux de ces fichiers de journalisation figure un ensemble d’indications sensibles et personnelles relatives aux clients de WSpot et à leurs visiteurs.
L’incident est révélé par Safety Detectives. Amazon n’administre pas le serveur de WSpot et n’est pas responsable de sa configuration. L’entreprise fournit uniquement la plateforme pour le stockage des données et le serveur Amazon S3 Bucket a été laissé sans aucune procédure d’authentification en place. « Nous avons découvert deux types de fichiers différents exposés sur la base de données ouverte — les journaux SMS et les rapports des invités. Il peut y avoir plus d’informations exposées qui n’étaient pas visibles dans notre échantillon de données », assure Safety Detectives. Ainsi, 84 Mo de documents contenant des journaux de SMS ont été trouvés. L’estimation octroie un nombre total d’entrées de ce type à 280 000.
WSpot est basé à Campinas, au Brésil, et compte quelques clients de renom, dont Sicredi, Unimed et Pizza Hut. (Crédits : Safety Detectives)
Un minimum de 550 Mo de rapports au format « .csv » a également été exposé lors de cette violation de données, indique le site. Ce qui représenterait un total estimé à 2,5 millions d’entrées de journal. Les rapports des visiteurs exhibés révèlent plusieurs types différents de DPI des visiteurs. Les informations contiennent des renseignements telles que :
- Noms complets
- Adresses e-mail
- Numéros de téléphone
- Genre
- Dates de naissance
- Adresses et codes postaux
- Numéros de CPF
L’équipement incriminé était actif, et en cours de mise à jour au moment de la découverte. L’équipe de SafetyDetectives avait trouvé le serveur le 2 septembre 2021. Après avoir découvert la base de données de WSpot, une divulgation responsable de la violation de données leur a été envoyée cinq jours plus tard. Une réponse de l’organisme renseignait de la sécurisation de la violation le 8 septembre 2021. Là où le bat blesse est que la base de données a laissé échapper les adresses électroniques et les numéros de téléphone de Brésiliens. Des acteurs malveillants pourraient contacter des personnes pour les cibler avec des escroqueries et des fraudes. Les attaquants pourraient lancer des malversations populaires en utilisant les informations glanées pour paraître dignes de confiance.
WSpot conteste les informations révélées
Dans une note officielle, la société reconnaît la fuite, mais affirme qu’il a affecté une petite partie des utilisateurs de réseaux Wi-Fi. Le groupe conteste les informations sur la fuite de données. Tout d’abord, il est expliqué que l’entreprise ne saisit pas les données relatives aux mouvements financiers. Il précise également qu’aucun mot de passe d’enregistrement, aucune carte de crédit ou autre renseignement de paiement n’étaient non protégés, de même que l’accès à des plateformes tierces et l’utilisation personnelle.
« Il convient de noter que le problème n’a touché que 5 % de notre clientèle totale, dont aucune information commerciale et/ou sensible n’a été compromise », relate WSpot dans SempreUpdate. (Crédits : Safety Detectives)
WSpot informe qu’il est conscient et reconnaît l’existence d’un incident d’exposition irrégulière des données d’enregistrement d’une petite partie des utilisateurs des réseaux Wi-Fi de certains de nos clients. La finalisation des processus de correction ayant eu lieu le 18 novembre, WSpot a engagé des spécialistes de la sécurité de l’information spécialement pour une enquête complète sur les données. En outre, « il n’a pas été confirmé que celles-ci données exposées ont, en fait, atteint le domaine des personnes et des groupes malveillants, ajuste la firme. […] les serveurs de WSpot restent intacts et n’ont pas été piratés par des agents tiers malveillants. En ce sens, notre plateforme reste conforme aux normes de sécurité les plus strictes. » Plus simplement, s’agissant d’une fuite et non d’une intrusion les serveurs de la plateforme WSpot restent, par conséquent en conformité aux normes de sécurité les plus strictes.
Comme au Brésil, chaque entreprise a l’obligation de respecter les normes en vigueur dans le pays, en faisant notamment référence à la Loi générale de protection des données personnelles (RGPD en France), ainsi que le devoir de transparence envers nos clients et nos partenaires. (Crédits : LhcCoutinho/Pixabay)
Piqûre de rappel
Il est des réflexes que tout un chacun devrait respecter :
- Ne fournissez pas vos informations personnelles à tout va. Votre jardin secret doit le rester, même si vous êtes un personnage public
- Attention à votre surf, même si le site affiche HTTPS comme le symbole de verrou fermé
- Soyez méfiant lorsque vous recevez un courriel vous demandant de fournir des informations personnelles (numéro de sécurité sociale, CNI, etc.). Le services des impôts ont déjà vos coordonnées. Il ne vous enverra pas de courriel pour soit disant vous rembourser. Il le fera, un point c’est tout.
- Créez des passphrases uniques (ex : J’aime_les-5Licornes+lait-£), et mettez les à jour régulièrement. Un mot de passe par site, comme une brosse à dents par personne (logique, non ?!?). Le gestionnaire de mots de passe peut vous aider
- Ne cliquez pas aveuglément sur des liens dans des courriels, SMS comme n’importe où sur Internet. Une modification malveillante de police de caractère, sur un site, peut faire passer un « i » pour un « l », par exemple.
- Modifiez les paramètres de confidentialité de vos médias sociaux, comme celui de vos espaces numériques, et de configurez vos logiciels. Les outils, comme les smartphones, consoles de jeu… sont bavards. Personne n’est obligé de connaître votre secret, à savoir que vous adorez les licornes bleues
- Attention au Wi-Fi public, comme son nom l’indique il n’est pas privé. Aucune authentification nécessaire pour établir une connexion réseau. Les pirates informatiques peuvent utiliser une connexion wifi non sécurisée pour diffuser des programmes malveillants. Ils ont aussi la possibilité de se placer entre vous et le point de connexion. Au lieu de communiquer directement avec le point d’accès, vous envoyez vos informations (e-mails importants, données de carte bancaire, voire données d’identification permettant d’accéder à votre réseau d’entreprise) aux pirates, qui, ensuite, les relaient. Une fois que les pirates disposent de ces renseignements, ils peuvent, à leur gré, accéder à vos systèmes en votre nom.
- Informez-vous sur la protection des données et les mesures à prendre pour éviter les attaques de phishing et logiciels malveillants, comme ici
novembre 29, 2021
Quand Orange voit rouge, en Espagne
L’opérateur historique français, Orange s’est vu infliger une amende de 30 000 euros pour manquement et négligence. La multinationale a cependant vu la douloureuse baissée de 50 000 à 30 000 euros, après avoir reconnu expressément sa responsabilité dans l’affaire. C’est le résultat de l’enquête réalisée par l’agence espagnole de protections des données (AEPD) après qu’un fraudeur ait usurpé l’identité d’un client. Il avait réclamé une copie de la carte SIM et effectué des transferts via Bizum.
Tout commença le 26 février 2020 lorsque ledit plaignant avait voulu la portabilité de son numéro de téléphone mobile, de Yoigo vers MásMóvil. Dès le lendemain, ce dernier annulait sa demande par téléphone. Mais l’une d’elles avait été conservée, malgré les assurances selon lesquelles la portabilité avait été neutralisée. Le 5 mars 2020, n’ayant plus de ligne active sur son cellulaire, il contactait Yoigo. Six jours plus tard, l’opérateur lui envoyait une nouvelle carte SIM en indiquant que la société allait réactiver la ligne sous 48 heures.
Les moyens de se procurer de l’argent ne connaissent pas de limite, comme l’est le « SIM swapping ». (Crédits : PublicDomainPictures/Pixabay)
Quarante-huit heures s’écoulent, lorsque le 13 mars 2020, l’homme s’aperçoit que des transferts bancaires non autorisés et de grande valeur sont effectués. Ce à partir de son compte au sein de la Banco Bilbao Vizcaya Argentaria (BBVA), dont deux par Bizum, réalisé par un ou des tiers. Il contacte aussitôt MásMóvil, car il soupçonne que ce qui s’est déroulé est dû à la disparition de sa carte SIM. Après enquête, il a découvert que son numéro appartenait à Orange depuis le jour où les mouvements d’argent ont eu lieu, mais que la nouvelle ligne n’était pas à son nom. La multinationale française, a affirmé que les contrôles relatifs à la vérification de l’identité des contractants étaient correctement appliqués, cependant qu’elle se renseigner à se sujet pour clarifier ce qui s’était passé. Durant ce laps de temps, l’opérateur historique avait concentré ses efforts sur la mise en œuvre de systèmes et de mesures visant à garantir la protection de ses clients. En outre, elle a rappelé que la société fournissant les données, Yoigo, a validé les informations et n’a pas mis en garde contre d’éventuelles failles de sécurité.
De 50 000 à 30 000 euros d’amende
Cependant, l’agence espagnole rejette catégoriquement (dans son rapport de douze pages n° PS/00308/2021) les arguments et estime que l’entreprise française a agi par négligence. Dans la conclusion, l’AEPD reproche également à Yoigo d’avoir traité les données personnelles du plaignant sans en avoir le droit. Car elle a effectué la portabilité sans vérifier si l’individu qui la demandait était ou non le plaignant. Ce faisant, elle a violé l’article 6 du règlement général sur la protection des données (RGPD), ce qui est considéré comme une infraction très grave.
L’article 6 du règlement général de protection des données et au cœur de bien des amendes réglés par les sociétés incriminées. (Crédits : Wilfried Pohnke/Pixabay)
Au total, l’amende avait été fixée à 50 000 euros, mais la société a fini par s’acquitter des 30 000 euros en payant volontairement et en reconnaissant expressément sa responsabilité. Ces deux éléments prévus par l’AEPD pour réduire le montant des pénalités. L’AEPD fait valoir que l’affaire n’aurait pas eu lieu si la compagnie de téléphone avait été plus rigoureuse pour vérifier que le consommateur était bien celui qu’il prétendait être.
Ce n’est pas la première fois que l’agence espagnole de protections des données sanctionne Orange. En avril 2021, une amende de 150 000 euros pour avoir forcé ses clients à accepter ses politiques de confidentialité lui était infligée. De même, en juillet de l’année dernière, elle a dû régler 80 000 euros pour ne pas avoir pris de mesures visant à empêcher la contraction frauduleuse de contrats de lignes téléphoniques. En effet, six lignes avaient été acquises au nom de la plaignante tandis qu’elle n’avait pas donné son consentement. L’agence a fortement critiqué Orange pour avoir permis à l’escroc de se faire passer pour la victime après avoir obtenu ses documents. L’affaire est cocasse puisque la voix du malfrat était masculine alors que le client qu’il prétendait être une femme.
162 plaintes et 50 sanctions en deux ans
Le secteur des télécommunications est l’un des plus réprimés pour les atteintes à la vie privée en Espagne. En mars dernier, le gendarme ibérique a infligé une amende record de plus de huit millions d’euros à Vodafone pour avoir violé deux articles du RGPD. Au total, c’est 8 150 000 euros répartis en quatre sanctions. La première de quatre millions d’euros pour une violation du règlement général sur la protection des données. La deuxième de deux millions d’euros pour un nouveau non-respect du RGPD. La troisième de 150 000 euros pour un délit grave à la loi sur les services de la société de l’information et le commerce électronique (LSSICE), et enfin deux autres millions d’euros pour une infraction à la loi générale sur les télécommunications.
Le secteur des télécommunications est sous le feu des projecteurs, comme les banques pour le non-respect des règles. (Crédits : Pexels/Pixabay)
Vodafone estime que « le montant de la sanction est disproportionné » et « souligne que Vodafone traite les données de ses clients avec les garanties maximales de confidentialité et de respect de la vie privée ». Dans un délai de six mois, Vodafone Spain doit prouver à l’AEPD qu’elle s’est conformée aux lois sur la protection des données. En 2020, et selon le rapport annuel de l’AEPD pour cette année-là, ces entreprises ont eu des sanctions parmi les plus élevées, payant un million d’euros pour avoir violé les droits de leurs clients. Ils n’ont été dépassés que par les institutions financières, comme la Caixabank et ses 6 millions d’euros.
août 21, 2021