Étiquette : spearphishing

Doublement des cyberattaques en Amérique latine
Il y a moins d’articles publiés sur les attaques cybernétiques de type ransomware, mais pourquoi ? La banalité d’un phénomène devenu courant ? La lassitude des lecteurs ou des journalistes ? Un peu des deux. L’information est dominée par d’autres sujets. Pour autant, les cyberattaques perdurent, les opérateurs derrière les ransomwares ne faiblissent pas, bien au contraire. Le constat est quasiment identique sur le globe terrestre, comme en Amérique latine où les cyberattaques ont doublé au premier trimestre 2025 par rapport à 2024.
Selon les chiffres de Check Point, les établissements, de la très petite entreprise à la multinationale de la région américaine, ont subi 2,6 attaques par semaine. Une augmentation significative de 108 % par rapport au premier trimestre de l’année passée.
Les cyberattaques croissent de 47 %
Le constat est alarmant. « Une augmentation de près de 50 % des menaces cybernétiques dans le monde, avec une hausse de 126 % des attaques par ransomware. » Au premier trimestre de l’année 2025, les cyberattaques ont augmenté de 47 %, ce qui représente une moyenne de 1 925 attaques hebdomadaires (Afrique 3 286, +39% ; Asie-Pacifique 2 934, +38% ; Amérique latine 2 640, +108% ; Europe 1 612, +57% ; Amérique du Nord 1 357, +40 %). À travers la planète et de manière générale, l’éducation termine en tête avec 4 484 attaques par semaine. Suivent le gouvernement (2 678) et les télécommunications (2 664).
Si l’Afrique concentre la moyenne la plus élevée, avec 3 286 attaques hebdomadaires, l’Amérique latine n’est malheureusement pas en reste. Elle affiche la plus forte augmentation avec 108 %. La banalité des attaques augmente, quand celles par ransomware croissent de 126 %. L’Amérique du Nord concentre 62 % des incidents mondiaux, l’Europe 21 %. Les biens et services de consommation sont le secteur le plus ciblé (13,2 %).
« Même les journalistes qui écrivent habituellement sur les ransomwares ne parlent plus des incidents aussi souvent qu’avant. Plusieurs journalistes m’ont même dit que Cl0p s’est plaint que personne ne couvre son exploit Cleo et les fuites de données qui ont suivi », explique Allan Liska, spécialiste du renseignement sur les menaces chez Recorded Future. (Crédits : Darwin Laganzon/Pixabay)
Allan Liska indique avoir abordé le sujet de la lassitude à l’égard des ransomwares dans les conseils d’administration, mais concernant ces attaques cybernétiques, tous s’en moquent la majeure partie du temps.
Les différents vecteurs d’attaques
Les attaques de type ransomware augmentent, affichant 126 % de croissance au niveau mondial par rapport au premier trimestre 2024. Soit un total de 2 289 incidents signalés. Ils usent de faux courriels, de faux messages, de phishing, de spearphishing… mais pas seulement. Le clonage, plus ou moins bien réussi, de sites existants est de plus en plus prégnant.
Au Mexique, c’est la marque de vêtements de plein air MAJA Sportswear qui met en garde ses clients. Un site WEB reproduisant son image tente d’escroquer les utilisateurs. Cela reflète l’évolution de la société, avec l’utilisation exponentielle de l’intelligence artificielle. Qui plus est, avec la saturation d’information et de communication, qui rend difficile la distinction entre le réel et le virtuel.
« Ce que nous avons détecté, c’est une tentative de reproduction de notre site. Le design est similaire, les images sont les mêmes, les produits sont les mêmes. La seule chose qui n’était pas authentique était l’intention : il s’agissait d’une escroquerie visant nos clients », explique Jesús Polanco, responsable du commerce électronique de MAJA.
Comment ça fonctionne ?
Les cybercriminels clonent la conception et le contenu d’un site en question. Cela ne ressemble en rien au défaçage d’un site. Ils achalandent et proposent des produits à des prix très bas, défiant toute concurrence. Ils obtiennent ainsi vos données personnelles et bancaires.
Les secteurs les plus touchés jusqu’à présent sont la mode, les cosmétiques et la technologie, mais toute entreprise ayant une présence numérique est vulnérable.
Comment identifier un faux site ?
Par des attentions abordables à tout un chacun. Il faut vérifier l’URL du site. Elle doit commencer par « https:// ». Elle correspond lettre pour lettre au domaine officiel. Ne pas faire confiance aux promotions absurdes, trop alléchantes, ni aux liens qui arrivent par courriels ou par les réseaux sociaux non vérifiés. (Crédits : Sid Maia/Pexels)
Les diverses fuites renforcent la pseudo véracité des messages reçus. En cas de doute, il suffit de choisir votre moteur de recherches préféré, de taper le nom de la marque ou du produit. Consultez toujours les réseaux officiels de la marque, ou encore écrire directement en cas de doute. Jamais, Ô grand jamais votre banque, la direction générale des finances publiques (DGFIP), et tout autre organisme ne vous demanderont de confirmer les données en leur possession.
mai 23, 2025
Fuite de données du CNSS au Maroc
La recherche de deux mots — Maroc et cyberattaque — fournit 234 000 réponses en un sixième de seconde. Souvent lors d’une cyberattaque, bien moins de résultats sont produits. Pourtant ce n’est pas le premier pays à subir une attaque cybernétique, qui plus est en Afrique. La cyberattaque du site du ministère de l’Inclusion économique, de la Petite Entreprise, de l’Emploi et des Compétences (MIEPEEC) et de la caisse nationale de sécurité sociale (CNSS) affole la presse, et ravive les tensions entre l’Algérie et le Maroc, par réseaux sociaux interposés.

Les attaques cybernétiques sur le continent africain ne datent pas d’hier. « Depuis début 2025, j’ai au moins comptabilisé une 100 de cyberattaques, fuite de données et autres actes d’incidents de sécurité informatique en tout genre, qu’ils soient publics, semi-publics ou privés ! », explique SaxX sur X. Mais celle contre le Maroc, plus particulièrement concernant le CNSS affole la presse mondiale et marocaine. Cela confère un emballement médiatique, alors que l’enquête est en cours.
Que sait-on vraiment ?
Une personne ou un groupe de personnes, sous le pseudo jabaROOT DZ, poste sur un site bien connu, BreachForums pour ne pas le citer et sur Télégram des informations issues de la cyberattaque. Deux dossiers sont ainsi disponibles. Le premier intitulé fiches de paies, le second CNSS — Moroccan National Social Security fund. Ils résultent de la cyberattaque du MIEPEEC et de CNSS.
Le fichier, le plus important, affiche un poids compressé de 549 Mo. Il comporte 53 576 fichiers. Deux au format CSV, adhérents et salariés, les autres sont des documents au format PDF. Une fois décompressé, cela représente 6,9 Go.
L’autre à une taille de 75,5 Mo, puis décompressé de 84,4 Mo. Il contient 3101 fiches de paies. L’ensemble des composants sont datés de 2024 et 2023. Une possible fraude est envisageable. Les numéros P.P.R. (identification) et le numéro de la pièce d’identité (CIN) sont affichés. (Crédits : capture d’écran)
La problématique est que les entités potentiellement visées sont conséquentes. Le nombre de compagnies exposées est de 499 881. Parmi celles-ci existe le Fonds Mohammed VI pour l’Investissement, le Crédit du Maroc, la Banque centrale populaire, des entreprises de presse, le bureau de liaison d’Israël au Maroc, jusqu’à la holding du roi Mohammed VI, Siger.
Quels renseignements sont exhibés ?
Des fonctionnaires sont alors exposés, mais pas que. Dans les deux fichiers au format CSV, de très nombreuses lignes. Pour « Adhérents » 1 094 294 lignes de données et près de deux millions pour « Salariés » (1 996 026). Si en France, le sujet du salaire est encore tabou, le voile est ainsi levé sur les salaires déclarés de plusieurs personnalités au Maroc.
Pour le fichier salarié : l’identification de l’adhérent, la nouvelle immatriculation, prénom, nom, numéro d’immatriculation, pièce d’identité, numéro de passeport, numéro de résidence, date de création, mode de demande, nom de l’affilié, numéro de l’affilié, état de la demande.
Pour le fichier adhérents : nom de l’entreprise, la date d’adhésion, prénom et nom du mandataire, informations bancaires, numéro téléphone et e-mail du mandataire, attestations, identités et informations sur des salariés, numéro de passeport et adresse complète… (Crédits : capture d’écran)
La certitude est outre l’exploitation des données pour exercer du phishing, spearphishing, elles peuvent conduire à des attaques cybernétiques plus précises, plus ciblées en fonction des attaquants. Les experts marocains s’insurgent de l’ampleur de cette attaque. Celle-ci est connue, car rendue publique par le collectif jabaROOT, contrairement à l’ensemble de celles passées sous silence.
avril 10, 2025
Violation des données de la California Cryobank
Une intrusion non autorisée se déroule entre le 20 et le 22 avril 2024 à la California CryoBank (CCB). Le signalement au procureur de Californie s’effectue le 14 mars 2025. Le cabinet d’avocats The Lyon Firm a d’ores et déjà porté l’affaire devant les tribunaux. La CCB est l’une des plus grandes banques de sperme aux États-Unis. Mais elle permet également la conservation des autres tissus reproductifs, à savoir les ovules ou œufs. De nombreuses données personnelles sont ainsi exposées.
L’entreprise n’a à ce jour pas divulgué l’importance de cette intrusion, ce pour plusieurs raisons : l’enquête est en cours, et l’étendue de cette violation n’est pas encore totalement connue. Dans la lettre envoyée aux individus touchés, il est écrit qu’une ou plusieurs personnes ont obtenu « un accès à notre environnement informatique et peut avoir accédé et/ou acquis des fichiers conservés sur certains systèmes informatiques entre le 20 avril 2024 et le 22 avril 2024 », relate CyberNews.
CCB a signalé la violation des données aux autorités californiennes et celle du Maine. Une déclaration est déposée auprès du Bureau du Procureur général du Maine, car 28 résidents sont concernés.
Lors de cette intrusion, non encore revendiquée, des informations personnelles, donc sensibles sont exposées.
Les noms, numéro de sécurité sociale, les permis de conduire, les numéros des comptes bancaires, des informations sur l’assurance santé…
Bien d’autres informations sont potentiellement compromises, à savoir biométriques. Car l’entreprise offre ses services dans la congélation de sperme et d’ovules de donneurs, propose une gamme de services de reproduction, notamment la cryoconservation de sperme privé, le stockage d’ovules et d’embryons et la mise en banque de sang de cordon ombilical.
D’autant que la compagnie possède des laboratoires agréés et succursales à Palo Alto (Californie), New York (New York), Boston (Massachusetts) et Rockville (Maryland). Les services de justice insistent sur les risques de fraude et de tentatives sur les crédits et autres comptes bancaires. (Crédits : Nataliya Vaitkevich/Pexels)
mars 18, 2025
Une fuite de données gigantesque
Les fuites de données sont désormais légion. De France Travail à Boulanger, en passant par Cultura, vos, nos, mes données se retrouvent sur la toile dans de mauvaises mains. Une fois compilé, l’ensemble des informations permet de faire tout ou presque. Connue sous le nom de « vip-v3 », elle renferme 95 millions de données compromises de citoyens français. Outre-Atlantique une enquête est en cours sur le vol de données personnelles de 77 099 clients du groupe américain Fidelity Investments.
En plein milieu du mois d’août 2024, Fidelity Investments, société américaine spécialisée dans la gestion d’actifs pour le compte de tiers, se retrouve dans le collimateur de cybercriminels. Leurs données ont été compromises, l’ensemble des portefeuilles représente une somme supérieure à 4 fois la dette publique de la France : 14 000 milliards de dollars d’actif.
Une fuite au pays de l’Oncle Sam
Un attaquant créée deux faux profils pour s’introduire. Selon le bureau du Procureur du Maine (Maine Attorney General), l’incident se serait déroulé entre le 17 et le 19 août 2024. Le rapport des violations est éloquent.
La multinationale emploie plus de 75 000 personnes dans 11 pays d’Amérique du Nord, d’Europe, d’Asie et d’Australie. La firme est l’un des plus grands gestionnaires d’actifs au monde, avec 14,1 milliards d’actifs sous administration et 5,5 milliards de dollars sous gestion.
« Nous avons détecté cette activité le 19 août et nous avons immédiatement pris des mesures pour mettre fin à l’accès. Une enquête a été rapidement lancée avec l’aide d’experts externes en matière de sécurité », déclare Fidelity dans le courrier¹ adressé aux personnes concernées. (Crédits : capture d’écran/Maine.Gov)
La société déclare que « les noms, les numéros de sécurité sociale et les informations sur les permis de conduire étaient compromis », relate TechCrunch, mais les comptes clients ou les fonds de Fidelity ne seraient pas en danger. En mars, cette société faisait, déjà la douloureuse expérience de subir une violation des données de 28 000 clients² détenant des assurances vie. Tout juste la moitié de personnes touchées par la cyberattaque du mois de mars 2024 contre l’établissement Bank of America.
95 millions de données de citoyens français
Ce qui devait arriver arriva ! À force de voir ici et là des fuites de données, un opérateur inconnu stocke des informations personnelles provenant de différentes violations de données françaises et les compile dans une base de données au nom évocateur « vip-v3 ».
« L’équipe de recherche de Cybernews, avec Bob Dyachenko, chercheur en cybersécurité et propriétaire du site WEB SecurityDiscovery [.] com, a découvert un serveur Elasticsearch ouvert contenant un trésor pour les cybercriminels », relate le site éponyme³ le 27 septembre 2024.
Le dossier en question contenait 95 350 331 documents provenant d’au moins 17 violations de données. Sa taille totale est de 30,1 Go. Le nombre d’habitants en France, selon l’INSEE au 1er janvier 2024, de 68 373 433 personnes.
Les noms de fichiers avec l’extension « .txt » sont plus ou moins explicites quant à la possible origine des fuites : Lyca scrappe, Pandabuy-Email, darty.com, discorde 1-2024, dvm, electro-depot.fr, db-vandb, Snapchat SQL, frsfr, go-sport.com-export, intersport-scrapped.fr, ldlc, corsegsm.com, pinterest, minecraft.fr-forum, sfr.fr, shadow.tech.
(Crédits : Capture d’écran/Cybernews)
« Étant donné que la base de données est accessible au public depuis une longue période, il est très probable que d’autres acteurs malveillants ont déjà copié les données et pourraient les utiliser pour des activités criminelles », explique CyberNews. Les conséquences d’une telle base de données sont des attaques de spearphishing de plus en plus personnalisés, des détournements de comptes en ingénierie sociale et bien d’autres.
Une base de 50 000 dossiers de l’opérateur RED de SFR
« Cher client, le 3 septembre dernier, SFR a détecté un incident de sécurité portant sur un outil de gestion de commandes de ses clients. Cet incident a entraîné un accès externe non autorisé à des données personnelles vous concernant », explique l’opérateur à ses clients.
Les particuliers comme professionnels sont touchés. « Un groupe de hackers/cybercriminels/jeunes débutants dans la cybercriminalité française a publié l’équivalent de 900 Mo de données de l’opérateur SFR », écrit SaxX.
Les données concernées sont : prénom, nom, coordonnées renseignées au moment de la commande (numéro de téléphone, adresse électronique et postale, adresse de livraison le cas échéant), données contractuelles (offre souscrite, contenu de la commande), IBAN, ainsi que le numéro d’identification du terminal et de la carte SIM (pour les commandes de terminal mobile). SaxX relate sur le réseau X qu’« ils ont l’air vraiment très jeunes et ne sont pas encore rompus au code la cybercriminalité. » Il se questionne sur la compromission de techniciens chez l’opérateur ou encore de stealers.
La société évolue, le monde cybercriminel aussi.
(Crédits : capture d’écran/SaxX/X)
L’hygiène numérique se doit d’être une norme. « Les jeunes générations sont particulièrement vulnérables : 52 % des membres de la génération Z et 46 % des milléniaux ont déclaré avoir subi des pertes à la suite d’escroqueries en ligne », écrit ITSocial. La cyberattaque du ransomware, RansomHouse sur l’université Paris Saclay est un possible exemple. Une piqûre de rappel avec les conseils aux usagers, et en cas de doute, un tour du côté de l’ANSSI pour lire un document fort intéressant : le guide d’hygiène informatique.
octobre 12, 2024
Attention aux arnaques par e-mail
Suite aux cyberattaques, des fuites de données sont régulièrement possibles. C’est le cas après celle concernant France Travail (ex-Pôle Emploi). Ce sont 43 millions de personnes qui sont touchées. Et tout autant de cibles potentielles. Des liens arrivent dans votre boite. Ils sont bienveillants. Vous êtes invité à payer une somme dérisoire avant le retour de votre colis. Vous avez un nouveau document des impôts. Tous les moyens sont bons pour vous soutirer de l’argent et vous escroquer.
Rien de les arrêtent. Ils utilisent toutes les fuites pour s’enrichir. Que vous receviez par SMS, par courriel, la méthode est la même : jouer sur vos sentiments. Vous êtes surpris. Machinalement vous appuyez là où ça fait mal. De la fausse commande sur Amazon, la contravention pour stationnement, de nouveaux documents de la part des impôts, solutions écologiques venant d’Engie… autant il existe de vecteurs, autant vous risquez, en toute bonne foi de tomber dans le piège. Le nombre de quarante semble élever, c’est l’ensemble des cas que révèle CaniPhish.
Les techniques les plus fréquentes
Il existe sept techniques régulières utilisées. L’escroquerie à la fausse commande, aux impôts, à la livraison de colis, la vignette Crit’Air, bancaire, à la loterie et à la contravention. L’arnaqueur emprunte alors l’identité de l’agence nationale de traitement automatisé des infractions (ANTAI). Puis exige le règlement d’une contravention mentionnant un retard de paiement.
Pour vous convaincre d’effectuer le versement, l’e-mail frauduleux rappelle, les risques et pénalités encourus. Dans la capture d’écran, la majoration est de 130 €. En France il existe le stationnement abusif, gênant, très gênant et dangereux. Les majorations sont de 75 et de 575 € en cas de dépassement. La seule amende s’approchant est celle de 135 € pour stationnement très gênant.
En survolant le bouton, « Régler » l’URL « httxx://moulinauloin [.] com » s’affiche. En cliquant, une redirection s’opère en un peu plus de 500 ms. Un beau site à l’image de l’ANTAI apparaît. Avec « antai.gouv.fr » dans la barre d’adresse, mais ce n’est pas le site du gouvernement.
« Les victimes qui donnent suite se voient redirigées vers un site frauduleux d’apparence officielle où leur sera demandé leurs informations personnelles et de carte bancaire », explique la plateforme du Gouvernement.
En cas de doute, choisissez votre moteur de recherche et renseignez ANTAI. Il suffit de vous rendre sur infraction au paiement pour comprendre que le numéro de dossier est un faux.
(Crédits : capture d’écran)

Encore un doute ? Après de légères recherches, le nom de domaine est enregistré au Canada, à Toronto. Pour être sûr, il suffit de se rentre dans votre commissariat le plus proche, ou la caserne de gendarmerie pour demander conseil.
L’escroquerie bancaire, aux impôts
Cette technique cible principalement les particuliers. Elle consiste à usurper l’identité de l’administration fiscale pour que la victime divulgue ses données personnelles. En règle générale, le courriel frauduleux l’informe qu’elle peut bénéficier d’un remboursement. Pour crédibiliser l’objet de l’e-mail, les escrocs « exploitent parfois des thèmes d’actualité », rappelle Cybermalveillance.
De la même manière, juste en survolant le bouton « Accéder à mon espace » l’URL « capusrdv [.] com » apparaît. En cas de doute, prudence. Il suffit avec son moteur de recherche d’accéder auxdits services, par le lien fourni.
Côté bancaire, même combat. En dépit des nombreuses campagnes de prévention, le phishing bancaire fonctionne encore.
Un message frauduleux vous incite à effectuer une mise à jour de vos informations personnelles. Le but « activer une sécurité supplémentaire ».
Sur une réplique du site de votre banque, vous êtes invité à communiquer vos données bancaires, vos civilités, comme vos identifiants.
« Une fois l’hameçonnage terminé, la victime est généralement redirigée vers le véritable site Internet de sa banque, ce qui peut la laisser croire qu’il y a eu un dysfonctionnement ou une déconnexion imprévue » détaille le site du gouvernement. Depuis ledit site n’existe plus. (Crédits : capture d’écran)

Cette escroquerie constitue 16,9 % du total de fraudes chaque année. Lors du premier semestre 2023, le coût est de 628 millions d’euros. Ce qui représente une goutte d’eau parmi les 16,1 milliards de transactions effectuées. La carte symbolise 93 % des fraudes. Elle est le moyen préféré des Français (61,9 %), vu que dans de nombreux endroits le paiement par chèque est refusé. Ils sont à l’origine de 29 % des montants fraudés, quand les virements représentent eux 24 %.
La fausse commande, la livraison, l’offre exceptionnelle
Dans la suite logique les escroqueries aux fausses commandes et la livraison des faux colis. À des moments choisis, ils piquent. La première est somme toute bienveillante. Elle consiste à persuader une victime qu’une commande a été effectuée en son nom. Mais par grand bonheur il est encore envisageable de l’annuler. L’escroc vient de jouer sur vos sentiments.
Une autre possibilité, l’idée immanquable, qui défie toute concurrence. 25 ampoules au prix modique de 1,95 €. Sauf que si vous exercez votre œil, l’offre spécifie « nous vous proposons de recevez 25 ampoule ECO+… »
Étrangement des fautes grossières, même pour quelqu’un qui éprouve des difficultés en orthographe.
Mais aussi les courriels qui vous alertent que votre compte va être bloqué. C’est en sorte ce que le courriel à l’entête d’Amazon Prime m’indique. « Si cette action n’est pas effectuée immédiatement des frais d’un montant de 46.99EU vous seront facturés », assurent-ils. Pris de panique je clique.
(Crédits : capture d’écran)

Aussitôt une page WEB s’affiche. Elle est entièrement rouge. Elle indique que cette page est trompeuse : « elle pourrait vous amener à réaliser des actions dangereuses comme installer un logiciel ou révéler des informations personnelles telles que vos mots de passe ou votre numéro de carte bancaire. » En résumé, prenez le temps, relisez le courriel, ne répondez pas. En cas de doute, ouvrez une page WEB, rendez-vous sur le véritable site et vérifiez. La même prudence est à respecter sur votre smartphone, quand vous recevez un SMS.
avril 23, 2024
Quelles sont les escroqueries les plus courantes sur le WEB ?
Les fuites de données sont une manne financière en devenir pour les escrocs et cyberdélinquants. Les personnes malveillantes surfent sur les annonces des géants du WEB, mais pas seulement. Ils se servent de fausse loterie, du chantage à l’amour, des remboursements, des appels de sois disant votre banque. Ainsi la recrudescence d’arnaques ou tromperies fleurit. Mais quelles sont-elles ? Comment opèrent-ils ? Comment s’en prémunir ? Que faire lorsque vous avez innocemment ou sans prêter attention « cliqué » sur le lien ?
« Vous avez gagné le gros lot » ou « Vous héritez de votre oncle Américain », ou etc. Toutes les possibilités pour vous arnaquer existent. Ils jouent avec vos sentiments, comme un commercial vous vend une cafetière sans vous parler du produit. Ils usent d’une ingénierie sociale, de l’OSINT à vos dépends, bref chaque année de nombreuses personnes en France sont victimes d’escroquerie par courrier électronique ou SMS.
Le top 5 des escroqueries en France
Plus les vecteurs d’attaques sont nombreux, plus la probabilité d’une réussite augmente. Les plus courantes sont l’arnaque à la carte vitale, la vignette Crit’Air, le faux procès-verbal via ANTAI, le vishing, les faux chèques de banque de France, qui peut engendrer une sixième : le « spearphishing ». Mais comme disait Albert Einstein, « il n’existe que deux choses infinies, l’univers et la bêtise humaine… mais pour l’univers, je n’ai pas de certitude absolue. » Les cyberdélinquants s’appuient sur la méconnaissance et la crédulité des utilisateurs.
La carte vitale est un élément essentiel de chaque Français. Mais depuis la cyberattaque de #Viamedis et #Almerys, et la fuite de 33 millions de numéros de sécurité sociale uniques, la recrudescence des tentatives de fraudes est possible.
Quid des tentatives de phishing ? Comme explique Damien Bancal sur Zataz « cela demanderait beaucoup de temps et d’énergie à un pirate que de regrouper d’autres données, via les réseaux sociaux par exemple. Pas sûr que l’opération soit rentable pour lui. » Donc l’usurpation d’identité semble plus accessible, il faut donc rester sur ses gardes, sans omettre une vigilance sur vos courriels, SMS et appels téléphoniques.
(Crédits : Interpol)
De très près suit la fameuse vignette Crit’Air. Parfois des prix exorbitants fleurissent. Alors que le tarif actuel est de 3,77 € en sus de l’affranchissement. Concernant le monde de l’automobile. Les tentatives d’arnaque aux faux PV sont nombreuses. Les délinquants se font passer pour l’agence nationale de traitement automatisé des infractions (ANTAI) via SMS.
Le monde de la banque touché
Un nouveau mot est à inclure à votre lexique, le « Vishing ». Contraction de deux termes anglais Voice pour voix et phishing pour hameçonnage. Imaginez, il est 16 h 45, votre conseiller bancaire vous contacte. « Monsieur X, nous avons détecté des mouvements suspects ce matin. Un virement de 500 € en direction de la Côte d’Ivoire via Western Union ».
Ledit conseiller vous confirme vos civilités pour vous conforter dans la véracité de l’échange. Une fois fait, il vous invite à vous rendre sur l’application de votre banque sur le smartphone. Il vous demande d’annuler le virement avec insistance.
« Stop !!! C’est une arnaque ».
Votre banquier n’a pas besoin de vous pour annuler une transaction. Il peut de son ordinateur, avec l’aval de sa hiérarchie l’effectuer. « L’Observatoire de la sécurité des moyens de paiements (OSMP) a relevé une hausse de 9 % des fraudes aux virements en 2022 », explique Le Revenu.
Ces fraudes constituent plus d’un quart des préjudices financiers, soit une somme totale de 1,19 milliard d’euros. Les principales victimes sont bien entendu, les particuliers et petites entreprises.
Le Parisien apporte des chiffres précis. « Déjà, en 2022, le préjudice avait atteint 340 millions d’euros (+ 27 % en un an). Et au 1er semestre 2023, la facture grimpe déjà à 203 millions d’euros, selon la Banque de France. »
(Crédits : Ralph Altrip Germany/Pixabay)
Une conférence en ligne de Cybermalveillance en partenariat avec l’UFC-Que Choisir et l’Association française des correspondants à la protection des données à caractère personnel (AFCDP) traitait d’une conférence. Son titre : « Une fraude bancaire toutes les 4 secondes : et si demain, c’était vous la victime ? » Les vecteurs sont multiples : courriel et SMS frauduleux, fausses applications, usurpation d’identité, spoofing, fraude au conseiller bancaire…
Les désormais « classiques »
Les tentatives hameçonnage (ou phishing) concernent plusieurs milliers de Français chaque année. Ils usent de ruses. En se faisant passer pour des sites gouvernementaux, ou d’organisations ayant pignon sur rue, ils veulent vous voler.
Vous les avez sûrement vues passées dans vos boîte aux lettres électroniques (BAL) dans les indésirables, spams… Un message bienveillant vous indique que votre Cloud est plein, que l’espace de Google Drive est épuisé. Vous êtes en retard pour payer votre contravention.
Un commissaire de police belge vous envoie un courriel, dans votre BAL. Une invitation à vous rendre à l’Hôtel de police pour des affaires de pédophilies, de détention d’images pédopornographiques… ou vous pouvez payer une forte somme, pour éviter l’embarras.
« Votre livraison de colis a échoué ! » Vous devez payer des frais supplémentaires pour recevoir le fameux colis. Aujourd’hui, nous regardons nos courriels de plus en plus sur notre smartphone, ou ordiphone, avec les risques que cela comprends.
(Crédits : Anna/Pixabay)
En cas de doute ne cliquez pas sur les liens contenus dans le courriel, ne scannez par le QR Code, accédez par le moteur de recherche de votre ordinateur ou de votre smartphone. Mieux, contactez directement votre banque, assurance… bref celui qui vous contacte, sans passer par le lien, SMS. Pour le reste la Task-Force nationale de lutte contre les arnaques se mobilise et publie un guide de prévention contre les arnaques au format PDF (Portable Document Format), et les conduites à tenir pour connaître vos droits « Ça n’arrive pas qu’aux autres ! »
février 20, 2024

Les services de police infectés par ransomware

Enfant, tous nous avons incarné les gendarmes et les voleurs, ou encore à la balle aux prisonniers. Imaginez-vous que cette fois-ci les rôles s’inversent. Mais d’autant plus inquiétant, les preuves de leurs larcins s’exposent, rendant compliqué le travail des forces de l’ordre. Voici le légendaire jeu des « gendarmes et des voleurs » version 2.0. Différents postes de police aux États-Unis comme au Royaume-Uni, bureau de procureur, avec les données des délinquants, des victimes et des personnes sous protection et anonymisation en accès libre.

Le département de police de l’Illinois aux États-Unis subit une attaque par code malveillant en 2017. Le pays de Lincoln, dont la capitale est Springfield, est à nouveau visé, via les opérateurs derrière le ransomware « Dopple ». Tous les renseignements à la disposition du procureur général de l’Illinois sont désormais diffusés, soit plus de 200 GB. Mais ce dernier n’est pas un procureur à proprement parler, il est l’équivalent du ministre de la Justice en France, le garde des Sceaux.

La police américaine infectée par les ransomwares

Sur l’Hexagone, il est un magistrat qui dirige les poursuites de la société envers la personne mise en examen. Les informations auxquelles il a accès sont gigantesques, et extrêmement sensibles. Les procès-verbaux, les enregistrements audios, les dépositions, les civilités des condamnés, leurs casiers judiciaires, les prénoms et noms des policiers, leurs adresses, mais pas seulement.

Le patronyme des victimes de délits, de crimes, de viols divulgués, avec leurs dossiers complets (adresse, témoignage, photos…). Comme le programme de confidentialité des adresses de l’Illinois (ACP). Il fournit aux victimes de violences domestiques, d’agressions sexuelles et de harcèlement criminel, ainsi qu’aux membres de leur famille, une adresse de remplacement à utiliser comme adresse de domicile, d’école et de travail, au lieu de l’adresse réelle figurant dans les registres publics.

Les rapports d’intervention des forces de l’ordre de l’Illinois font état des violences, avec victimes et auteurs présumés. (Crédits : capture d’écran)

Aucune n’est épargnée, la police de la capitale américaine en est la preuve. Les opérateurs derrière le ransomware « Babuk » affichent la couleur. Parmi ces informations sensibles figurent la liste des membres, dont certains en infiltration dans des enquêtes criminelles ou le profil « d’indics », fournisseurs de précieuses précisions pour les autorités. Si les identités de ces personnes étaient mises à jour ou partagées avec des gangs, leurs vies pourraient être en danger.

« Nous sommes conscients d’un accès non autorisé sur notre serveur. Alors que nous déterminons l’impact complet et continuons à examiner l’activité, nous avons engagé le FBI pour enquêter pleinement sur cette question », communique le département de la police métropolitaine de Washington D.C. La menace des opérateurs est explicite : « […] si aucune réponse n’est reçue dans les 3 jours, nous commencerons à contacter les gangs afin de drainer les informateurs, nous continuerons à attaquer le secteur de l’État des États-Unis, FBI CSA […] ».

Sur le continent américain, les USA subissaient déjà de nombreuses attaques en 2017 (comme la police de l’Illinois), comme le démontre cette carte. (Sources : Techtalk)

« Le fait que des données d’une nature aussi sensible aient pu être consultées par des pirates en dit long sur la qualité du service que les élus fournissent à cette ville. Ce qui est ironique, c’est qu’à une époque où les policiers sont pris pour cible par leurs dirigeants pour de prétendus méfaits, ce sont en réalité leurs dirigeants qui sont vraiment incapables de respecter les normes », a déclaré Gregg Pemberton, président du syndicat de la police de Washington D.C.

Du ransomware à la violation de données en Angleterre

À l’heure de la 5G, du tout internet et du tout électrique, la menace est plus que réelle. L’évolution des technologies a permis à des millions d’entreprises du monde entier de mettre au rancart leurs classeurs et de passer, lentement mais sûrement, au tout dématérialisé. Mais ont-ils pensé à la sécurité de leurs systèmes d’information ? C’est moins sûr !

À l’époque où les stylos et le papier avaient cours, nous pouvions enfermer les documents sensibles sous clé. Mais, comme nous avons déplacé nos activités en ligne, sur ordinateur, smartphone ou dans les nuages (Cloud computing) la protection est devenue plus difficile, au fur et à mesure.

En 2016, au Royaume-Uni, Tesco a vu ses clients se faire voler 2,6 millions de livres sterling après le piratage de plus de 10 000 comptes bancaires. La chaîne de supermarchés a été condamnée à payer une amende de 16,5 millions de livres par la Financial Conduct Authority, et a dû rembourser tous ses clients. La sécurisation des systèmes d’information a un coût, mais sûrement moins que 19,1 millions de livres sterling (22,2 millions d’euros).

(Crédits : Michaelpuche/Shutterstock)

En 2017, la chaîne de pharmacies Boots a été confrontée à une violation potentielle des données de quelque 150 000 clients. Elle a suspendu les règlements par carte de fidélité après les tentatives pour s’octroyer les mots de passe des différents comptes. L’organisme représentant plusieurs chaînes de pharmacies au Royaume-Uni avait mis en place une « équipe de crise » pour contrer les cyberattaques.

Rien n’est totalement sécurisé

Les data sont potentiellement de l’argent, comme l’explique le dernier numéro de Cash Investigation sur France 2 : « Nos données personnelles valent de l’or ». Les différents commissariats possèdent des données sur tout un chacun, car ils accèdent à de nombreux sites gouvernementaux et conservent, pour leurs enquêtes, de nombreuses informations (immatriculation, délinquant sexuel, historique judiciaire, dépôts de plainte, coordonnées…). Un site s’est intéressé au problème outre-Manche. Dans l’article, le journaliste David Janssen révèle que l’année 2020 fut prolixe.

Commissariat de police	Violation de données en 2020
Lancashire Constabulary	594
Police du Sussex	334
Humberside Police	230
Service de police d’Irlande du Nord	194
Durham Constabulary	125
Police des West Midlands	119
Leicestershire Constabulary	118

La liste est longue et compte 23 entités des forces de l’ordre. En 2021, les attaques ne cessent pas, ainsi la police du Sussex en enregistre 62, West Midlands 37, le nord du Pays de Galles 24 et le Wiltshire Constabulary 12. (Sources : VPNoverview)

Le FSB, cible de cyberattaques

La nouvelle peut surprendre et ravir les aficionados de James Bond. La fiction devient réalité, car cette dernière est issue de l’agence de presse anglaise, Reuters. Le service de sécurité de la Fédération de Russie a subi des attaques des systèmes d’information. Des opérateurs étrangers ont compromis, selon le rapport, des agences fédérales russes dans le cadre d’une campagne d’espionnage numérique. Les responsables russes qualifient de « sans précédent par son ampleur et sa sophistication ».

Chose inhabituelle, des détails techniques supplémentaires divulgués sur le fonctionnement interne des deux souches de logiciels malveillants. Le compte rendu indique également que les délinquants ont utilisé les installations de stockage en cloud des principales entreprises technologiques russes, Yandex et Mail.ru, pour exfiltrer des données. Andrei Nekrasov, chef du département principal d’organisation et d’analyse du bureau du procureur général de la Fédération de Russie, a indiqué lors d’une interview accordée à l’agence TASS, la situation de la cybercriminalité en Russie. Il indique les raisons de sa croissance continue, du travail des forces de l’ordre et des mesures proposées pour endiguer la vague de cybercriminalité.

Andreï Nekrasov est le chef du département principal d’organisation et d’analyse du bureau du procureur général de la Fédération de Russie. (Crédits : Service de presse du bureau du procureur général)

« Si ce rapport était un effort de signalisation par le gouvernement russe à un service de renseignement occidental — comme beaucoup l’ont prétendu —, alors c’était un signal très subtil », déclarait Stefan Soesanto, chercheur en cyberdéfense, à Reuters le mercredi 26 mai 2021. Ledit document a été publié conjointement par Rostelecom-Solar (division de cybersécurité du géant russe des télécommunications Rostelecom), et le Centre national de coordination des incidents informatiques (NKTsKI), une organisation de type CERT créée par le Service fédéral de sécurité (FSB) russe en 2018.

Les problèmes de sécurité liés à l’utilisation des technologies modernes sont légion. Ces dernières années, le nombre de délits commis à l’aide des systèmes d’information a atteint une telle ampleur que cela permet aux instances russes d’en parler comme d’une menace pour la sécurité nationale.

En 2020, la tendance négative n’a fait que s’intensifier. « La croissance enregistrée de ces empiétements s’est élevée à 73,4 %, et leur nombre total pour l’année a atteint 510 300. De plus, s’il y a cinq ans, ces actes représentaient moins de 2 % de la structure globale de la criminalité, l’année dernière, ils représentaient déjà 25 % de tous les crimes enregistrés dans le pays. La croissance de ces crimes a été observée dans toutes les régions, la plus importante à Saint-Pétersbourg (de 2200 en 2019 à 19 500, soit 780 %) et dans la région de Leningrad (de 3000 à 7400, soit 143 %) », recueille le journaliste Alexander Shashkov. (Crédits : WikiImages/Pixabay)

Dans un timing parfait, l’annonce a été faite alors que le Kremlin fait l’objet d’un examen de plus en plus minutieux aux États-Unis et ailleurs. Non seulement en raison du piratage de SolarWinds, que Moscou nie avoir commis, mais aussi en raison d’allégations selon lesquelles la Russie héberge sciemment des cybercriminels à la recherche de rançons. Néanmoins, le Kremlin voit un message positif dans les propos de Biden sur les règles de la lutte contre la cybercriminalité.

mai 27, 2021

Avis de tempête au pays de vos données
Le « pass sanitaire » vient d’être voté en France par les chambres basse et haute, afin de pouvoir participer, selon les dires des autorités gouvernementales, à des événements qui pourront regrouper plus de 1000 personnes. Dans le même temps, des fuites plus que conséquentes de documents d’identités, de renseignements médicaux, d’informations bancaires, d’adresses e-mail, de numéros de téléphone, d’identités numériques sont légion. Qu’en est-il des données, de vos données ? Seront-elles sécurisées ?
L’infection d’AXA par le ransomware « Avaddon » affole la toile et le reste du monde. Mis à part le fait d’avoir touché un très gros poisson, cela démontre que les infrastructures doivent être renforcées, et les moyens mis en adéquation avec les risques encourus. D’autant qu’il s’agit de renseignements ultrasensibles. « Vous pouvez nous féliciter pour l’attaque réussie de l’entreprise, nous avons crypté AXA Asia dans les pays suivants : Thaïlande (Krungthai-AXA), Philippines, AXA Investment, Hongkong et Malaisie », se congratulent les opérateurs.
Données médicales volées
Ils revendiquent posséder trois téraoctets de données. Elles sont d’ordre médical (antécédents, y compris des comptes rendus sur le VIH, l’hépatite, les MST et d’autres maladies), les réclamations des clients, les paiements aux clients, toutes les pièces d’identité des clients, les comptes bancaires et tous les documents scannés des clients, mais pas seulement.
L’Agefi stipule que le matériel réservé des hôpitaux et des médecins (enquêtes privées pour fraudes, accords réservés, remboursements refusés, contrats et rapports, cartes d’identité, etc.) y figure également.
Les données sont en libre accès lorsque les opérateurs du ransomware n’obtiennent pas la rançon escomptée. Des informations extrêmement sensibles sont livrées à tous, comme les quasiment 200 GB de la ville de Presque Isle dans le Maine, aux États-Unis.
(Crédits : capture d’écran)
La société comme les personnes assurées sont les victimes, à plus d’un titre, de la cyberattaque. Le principe de la double extorsion est de mise. L’ingénierie sociale peut alors utiliser ses données sensibles pour d’autres méfaits.
Frappé deux fois de suite
Il y a plus de deux mois que l’incendie chez OVH Cloud, à la veille de son introduction en bourse, le 10 mars 2021, rendait inaccessibles différents sites. Dans un mail interne qu’Agefi avait pu consulter, Axa France indiquait avoir été « victime d’une extraction non autorisée de données concernant certains collaborateurs d’Axa en France ». Ainsi, début mai, ce sont 7500 actuels et anciens salariés de 55 ans et plus qui ont vu leurs civilités complètes divulguées.
Leurs adresses, numéros de sécurité sociale… ont fuité à la suite du feu, fragilisant les serveurs dans lesquels un des fournisseurs d’AXA hébergeait ses données. La dernière société à subir une infection est Acer Finance, basée à Paris, qui est une société de gestion de portefeuille.
Elle venait d’annoncer le 21 avril 2021 que « Laillet Bordier et Acer Finance fusionnent pour donner naissance à LB&AF ». Le message des opérateurs est sans appel. Les données sont cryptées et la menace de divulguer toutes les informations est réelle. Cathar Games a vu 779,06 GB de documents compressés en libre accès. (Crédits : capture d’écran)
Quelques jours auparavant, c’est la Fédération des syndicats des métiers de la prestation intellectuelle, du conseil, de l’ingénierie et du numérique de plus de 3000 TPE-PME, CINOV. Après la fuite datant de 2019, qui ressurgit en 2021, donne entrée à 20 millions de comptes de Français sur le réseau « social » Facebook, et les données de santé de 500 000 personnes en France au mois de février 2021.
500 000 dossiers médicaux
De son côté, la CNIL (Commission nationale de l’informatique et des libertés) avait annoncé mercredi 24 février 2021 qu’elle avait lancé une enquête pour savoir si les sociétés (dont les données ont été volées) ont manqué à leurs obligations. En plus de prodiguer des consignes de sécurisation des données, le RGPD impose aux entreprises ayant subi une violation de leurs données de le signaler.
Or la CNIL avait déclaré ne pas en avoir été avertie. Peut-être plus inquiétant, s’il en est, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) annonçait ce même mercredi 24 février 2021 qu’ils avaient identifié l’origine de cette fuite de données dès le mois de novembre 2020, et informé le ministère de la Santé, Olivier Véran.
« Les recommandations nécessaires ont été données par l’ANSSI pour traiter l’incident. »
(Crédits : capture d’écran)
Le groupe Stelliant aurait été victime d’une offensive malveillante dans la nuit du 14 au 15 mai 2021, qui paralysait certaines de ses activités depuis ce week-end. Le spécialiste de l’expertise travaille actuellement au redémarrage de ses systèmes. De l’autre côté de la mer du Nord, l’Irlande a subi également, dans la période, une infection.
« Il y a une attaque ransomware importante sur les systèmes informatiques de HSE. Par précaution, nous avons arrêté tous nos systèmes informatiques afin de les protéger de cette attaque et de nous permettre d’évaluer pleinement la situation avec nos propres partenaires de sécurité », tweetait l’organisme.
La maternité Rotunda de Dublin a prévenu que toutes les visites ambulatoires avaient été annulées, sauf pour les femmes enceintes d’au moins trente-six semaines, « en raison d’un grave problème informatique ».
Le docteur Fergal Malone, responsable de cette maternité, a expliqué à RTE que l’attaque visait des ordinateurs stockant des dossiers médicaux. (Crédits : Jonathan Borba/Pexels)
« Il n’y a pas de problème pour la sécurité des patients », a-t-il assuré et l’hôpital est passé en mode dégradé avec les dossiers papiers. « Mais évidemment, le débit sera beaucoup plus lent », a-t-il déclaré.
Le « Pass Sanitaire » est-il sécurisé ?
Clément Beaune, secrétaire d’État en charge des Affaires européennes, indiquait au Sénat que la version française du « pass sanitaire » serait « soumise, avant toute mise en œuvre, à l’avis de la CNIL ». Elle possède un pouvoir tout relatif de recommandation, souligne le journaliste Olivier Tesquet, interviewé par Salomé Saqué, sur Blast. L’exemple des caméras intelligentes de Datakalab, pour mesurer le port du masque dans les transports en commun, est criant de vérité.
La CNIL émettait des recommandations, mais l’État est passé par un décret. Les nouvelles sanctions que la CNIL, hormis le caractère pénal, peut prononcer sont :
Une astreinte
Le retrait d’une certification
Le retrait d’agrément
Des amendes administratives (de 4% du CA mondial à concurrence de 20 millions d’euros)
Dématérialisé, le dispositif pose évidemment la question de la protection des données. Selon le gouvernement, les données sont chiffrées et restent en local sur le terminal téléphonique des usagers. Ce dernier assure que l’application ne garde rien en mémoire pour scanner les codes. Grâce à l’usage de ces QR code, les autorités ou effectifs habilités n’ont par ailleurs accès qu’aux informations qui leur sont utiles selon le gouvernement : « Quand vous tendrez votre pass, la seule chose qui apparaîtra à l’écran sera du vert ou du rouge. Personne ne saura si vous pouvez vous déplacer grâce à un vaccin ou un test PCR », déclarait Cédric O, secrétaire d’État en charge du numérique, sur Europe 1.
La cocasserie du « pass sanitaire » vient de l’interview du maire de Nice, Christian Estrosi, par Jean-Jacques Bourdin, sur BFM-TV le 30 mars 2021. « Je suis en faveur d’un pass sanitaire tout de suite […] ce qui permettrait de libérer un certain nombre d’activités au plan culturel, au plan commercial […] muni de ce pass sanitaire, et la condition naturellement serait que vous n’ayez à aucun moment refusé d’être vacciné […] », explique l’édile. « C’est presque de la vaccination obligatoire », questionne le journaliste. (Crédits : Juliettpapa97/Wikipedia)
« Non, ça veut dire que vous acceptez de ne plus participer à un certain nombre d’activités où vous pourriez être contaminant. » Autrement dit, vous avez le choix d’approuver votre vaccination obligatoire pour vous rendre sur la promenade des Anglais. Endroit même où la reconnaissance faciale était testée lors du carnaval. Un sondage demandé par BFM-TV posait la question suivante : « Vous personnellement, seriez-vous favorable ou opposé à la mise en place de ce “pass sanitaire” permettant aux personnes ayant un test négatif récent ou étant vaccinées d’accéder à certains lieux (stades, salles de concert, voyages, etc.) et interdisant à celles n’ayant pas de test négatif ou non vaccinées d’y accéder ? » Près de deux tiers des personnes interrogées sont favorables (63 %), dont plus de 71 % de ces personnes ont plus de 50 ans. Concernant la sécurité, chiffrée ou non, il faut se rappeler qu’avant d’être ajoutés à « TousAntiCovid », les résultats de tests et autres certificats sont, quoi qu’il arrive, centralisés sur la plateforme sidep.gouv.fr et, aussi protégée soit-elle, aucun système informatique n’est infaillible. Mélangez toutes ces données, les confidentielles, celles qui ont fuité, celles qui échappent à tout contrôle, épicez de la loi de sécurité globale, saupoudrez de reconnaissance faciale, vous obtenez un cocktail explosif. Sachant qu’« il n’y aura pas de retour en arrière… »
mai 19, 2021
533 millions de Facebookiens, et moi, et moi, et moi…
Non, ce n’est pas un poisson d’avril qui s’extirpe d’un chapeau de magicien tardivement, la fuite est réelle. Les données de plus d’un demi-milliard d’utilisateurs du réseau social Facebook voient leurs données diffusées. Exfiltrées en 2019 par le biais d’une fonctionnalité non sécurisée, résolue depuis, elle circule depuis dans les méandres de l’Internet, pour apparaître samedi aux yeux de tous. 533 millions de profils du réseau social de Mark Zuckerberg ainsi exposés à la vue de tous.
Lorsqu’un réseau social, a plus de deux milliards d’utilisateurs, est attaqué, des quantités énormes de données fuitent. Les cyberattaques ne donnent pas toutes des publications. Certaines passent sous le radar, pour n’apparaître que bien plus tard.
Fuite massive de données
Les cloches ont sonné en plein week-end pascal, c’est samedi 3 avril 2021, qu’Alon Gal tire la sonnette d’alarme, sur twitter. Les données de plus de 500 millions de personnes s’affichent sur un site, elles sont classées par pays en ordre alphabétique. De l’Afghanistan, l’Allemagne, du Bahrain, le Bostwana, la Bulgarie, le Burundi, le Canada, Chypre, la Croatie, l’Égypte, les Émirats arabes unis, l’Espagne, les États-Unis, l’Éthiopie, la France, la Grèce, L’Islande, l’Inde, l’Irak, la Libye, le Luxembourg, le Mexique, la Namibie, la Norvège, les Pays-Bas, le Portugal, le Royaume-Uni, la Syrie… Ils sont cent six pays sur la liste.
Les données ayant fait l’objet d’une fuite ne sont pas valables que pour les années 2018 et 2019. Elles ne sont apparues qu’en 2021. Comment est-ce possible ?
En réalité, des cybercriminels exploitent la vulnérabilité en 2019, et Facebook l’a corrige immédiatement. Mais, la firme a oublié d’informer ses utilisateurs, de l’incident. En conséquence, Meta a été confrontée à des critiques sévères, ainsi qu’à une lourde amende de 265 millions d’euros (environ 276 millions de dollars américains).
Le tableau recense, selon son concepteur, les pays dont les utilisateurs ont été le plus touchés. (Crédits : Twitter/zlatanvano)
Ces données comportent en premier le numéro de téléphone, puis l’identifiant Facebook, votre civilité, la ville de résidence, l’ancien lieu de villégiature, la date de naissance, votre statut de relation (en couple, célibataire, compliqué, etc.), la date de création du compte, la biographie, et rarement l’adresse mail. Sur les 40 millions d’utilisateurs en France (en mars 2021), la moitié est concernée.
Qui est concerné ?
Maintenant, une question se pose : « Comment puis-je savoir si mes données ont fuité ? » Premièrement, ne pas surfer n’importe où. Le site Have I Been Pwned affiche depuis plusieurs années une sécurité des informations, et dans cette optique, son fondateur Troy Hunt, a décidé de débloquer la recherche par numéro de téléphone. Pour effectuer cette recherche, il faut se rendre sur le site « Have I Been Pwned » puis indiquer ledit numéro avec l’indicatif, +33 pour la France, en omettant le premier chiffre, le « 0 ».
Le site vous indique si le numéro recherché fait partie des 533 millions de données. Prenez garde aux différents messages que vous pourriez recevoir, des cybercriminels s’en servent via du phishing, ou hameçonnage pour collecter d’autres données encore plus sensibles. Ainsi des sites sont apparus, permettant, selon eux, de vérifier que votre numéro de téléphone apparaissait parmi la liste. Les données que vous indiquez sur le site « Have I Been Pwned » subissent un hachage, garantissant votre sécurité.
Rappelez-vous de cette maxime, littéralement, d’un certain Vladimir Lénine : « La confiance n’exclut pas le contrôle ».
(Crédits : Capture d’écran)
Quiconque entre en possession de données provenant de la violation, pour une éventuelle utilisation, même à des fins positives, est interdit par la législation sur la vie privée, ces informations étant le résultat d’un traitement illicite, et pénalement répréhensible. Le site « https://haveibeenfacebooked.com » permettant, selon les indications, de vérifier si votre numéro de téléphone est l’un des 533 millions, est suspendu pour une durée indéterminée. La fuite comprend également les numéros de téléphone du PDG de Facebook, Mark Zuckerberg, et des cofondateurs Chris Hughes et Dustin Moskovitz.
De plus, il apparaît que le même numéro de téléphone est également enregistré à son nom sur l’application de messagerie Signal, axée sur la protection de la vie privée, relate « The Hacker News ». « Mark Zuckerberg respecte également sa propre vie privée en utilisant une application de chat qui dispose d’un cryptage de bout en bout et qui n’est pas détenue par Facebook », a tweeté Dave Walker, chercheur à SynackRedTeam.
L’arroseur arrosé, car les données du fondateur de Facebook se trouvent parmi celles exfiltrées (Crédits : Dave Walker)
La fuite questionne sur la sécurité, la directrice des communications de réponse stratégique, se veut rassurante dans un tweet : « Il s’agit d’anciennes données qui ont déjà été signalées en 2019. Nous avons trouvé et corrigé ce problème en août 2019 », déclare-t-elle. Alors que les dirigeants sont avares en communication avec la presse et les journalistes, Dave Walker ironise : « si les journalistes ont du mal à obtenir une déclaration de Facebook, peut-être peuvent-ils lui donner un coup de fil ? »
avril 7, 2021
Le ransomware « Cl0p » infecte six universités américaines
Elles sont six universités américaines à avoir subi une infection par code malveillant, en un peu plus de dix jours. L’attaque cybernétique est de type ransomware. L’université du Colorado, de Miami, de Yeshiva, du Maryland, de Californie et la non moins prestigieuse université de Stanford, deuxième au classement mondial derrière le légendaire MIT. Tout ceci est rendu possible par l’infection préalable de l’application FTA d’Accellion de « transferts de fichiers sécurisés ». Des données privées sont ainsi divulguées.
Tout commence avec la diffusion des notes, des numéros de sécurité sociale des étudiants de l’université du Colorado et de celle de Miami au début de l’année 2021. L’origine est l’application FTA (File transfer appliance) d’Accelion pour le transfert de données sécurisé. C’est un fournisseur de services de transfert de fichiers sécurisés qui permet aux organisations de partager « en toute sécurité » des documents sensibles avec des utilisateurs extérieurs à leur organisation.
Cl0p exploite une faille
Ce service, FTA, est populaire parmi les banques, les agences gouvernementales et les organisations financières qui partagent couramment des documents sensibles avec des utilisateurs externes. Une vulnérabilité a été découverte et documentée dans un rapport de onze pages, par la société de conseil en cybersécurité Mandiant. Il indique que la première faille a été découverte et résolue par Accellion le 16 décembre 2020, tandis que la seconde l’a été le 20 janvier 2021. En premier, l’opérateur malveillant a enchaîné les vulnérabilités suivantes : Injection SQL (CVE-2021-27101) et exécution de commandes du système d’exploitation (CVE-2021-27104).
Les attaques impliquaient l’exploitation de plusieurs vulnérabilités zero-day dans l’ancien logiciel FTA. Un « zero-day » (0-day) est une vulnérabilité n’ayant fait l’objet d’aucune mise à jour, car n’ayant pas de publication, elle n’est pas connue. Elle cesse de l’être dès qu’un exploitant s’en sert. Le but fut l’installation d’un nouveau shell web, ou « code encoquillé », nommé « Dewmode », permettant un accès et un contrôle à distance. L’ANSSI documente un shell web avec l’exemple « Supernova » suite à la présence d’un code malveillant dans Solar Winds Orion.
L’accès à des données de patients s’affich sur le site de fuite de Cl0p. (Crédits : capture d’écran)
Quatre failles critiques
Suite à de nombreuses attaques, l’entreprise Accellion a corrigé quatre vulnérabilités FTA. Elles étaient connues pour être exploitées par les opérateurs malveillants, en plus d’incorporer de nouvelles capacités de surveillance et d’alerte pour signaler tout comportement suspect. Les défauts sont les suivants :
- CVE-2021-27101 – Injection SQL via un en-tête Host spécialement conçu
- CVE-2021-27102 – Exécution de la commande OS via un appel de service Web local
- CVE-2021-27103 – SSRF via une requête POST spécialement conçue
- CVE-2021-27104 – Exécution de la commande du système d’exploitation via une requête POST spécialement conçue
« Bien que nous croyons, sur la base de notre enquête à ce jour, que l’incident est limité au serveur Accellion utilisé pour les transferts de fichiers sécurisés, nous continuons à améliorer notre programme de cybersécurité pour protéger davantage nos systèmes contre les cybermenaces. Nous continuons à servir notre communauté universitaire conformément à notre engagement envers l’éducation, la recherche, l’innovation et le service », assure l’université de Miami. Sans pour autant être devin, le site Bleeping Computer avertissait : « il est probable qu’il publiera davantage de fichiers à l’avenir pour faire pression sur les victimes, afin qu’elles paient. »
« Bien que l’ampleur de l’attaque n’ait pas encore été déterminée, les premières informations issues de l’enquête confirment que la vulnérabilité a été exploitée et que plusieurs types de données ont pu être consultées, notamment des informations personnelles identifiables sur les étudiants de Boulder et Denver, des informations personnelles identifiables sur les futurs étudiants, des informations personnelles identifiables sur les employés, des données cliniques et de santé limitées, ainsi que des données d’étude et de recherche », affirme l’université du Colorado dans son communiqué. Le 1^er avril, sans mauvaise blague, « un certain nombre d’universités ont été ajoutées au site de fuite sur le dark web des acteurs de la menace Cl0p », souligne le site Data Breaches.
La pression ne s’est pas fait attendre, sur leur site, les données s’affichent en cinq parties téléchargeables. (Crédits : capture d’écran)
Elles semblent être liées à la brèche d’Accellion en décembre et janvier, renchérit l’auteur. La menace est prise très au sérieux, ainsi le 2 avril, le directeur financier de Stanford Medicine, M Randy Livingston et le doyen Lloyd Minor, ont confirmé dans un e-mail, adressé à leur communauté, l’exfiltration de données, relate le journal The Stanford Daily.
Sous-investissements en cybersécurité ?
Accellion a déclaré que 300 clients utilisaient l’ancien logiciel FTA, vieux de 20 ans, et que moins de 100 d’entre eux ont été victimes d’une brèche par les opérateurs derrière le ransomware Clop et FIN11. La chaîne de télévision CBS SF annonçait que « le système informatique de l’un des plus grands districts scolaires du pays a été piraté par une bande criminelle qui a crypté les données du district et exigé une rançon de 40 millions de dollars, faute de quoi elle effacerait les fichiers et mettrait en ligne les informations personnelles des élèves et des employés ».
D’ailleurs, selon le site Bleeping Computer, des sources dans le domaine de la cybersécurité leur auraient révélé que la vulnérabilité du logiciel d’Accellion aurait été également à l’origine de l’infection de la Harvard Business School. Un sous-investissement en matière de sécurité des systèmes d’informations serait-il sous-jacent ?
Au vu des nombreuses infections, la question a le mérite d’être posée ! Car, déjà deux décennies auparavant, le 25 avril 2001, ZDNET relatait déjà une attaque de l’université de Stanford où était scolarisée Chelsea Clinton, fille du 42^e président des États-Unis.
(Crédits : Gerd Altmann/Pixabay)
Les opérateurs revendiquent que « nous n’avons jamais attaqué les hôpitaux, les orphelinats, les maisons de retraite, les fondations caritatives, et nous ne le ferons pas. Les organisations pharmaceutiques commerciales ne sont pas éligibles pour cette liste ; elles sont les seules à bénéficier de la pandémie actuelle. Si une attaque se produit par erreur sur l’une des organisations susmentionnées, nous fournirons le décrypteur gratuitement, nous nous excuserons et nous aiderons à corriger les vulnérabilités. » Parmi les autres victimes d’Accellion FTA infectées par « Cl0p » figurent le géant des supermarchés Kroger, la Reserve Bank of New Zealand, l’autorité australienne de régulation des marchés financiers (ASIC), Singtel, la société de cybersécurité Qualys, l’institut de recherche médicale QIMR Berghofer, le bureau de l’auditeur de l’État de Washington « SAO », ainsi que la société Shell.
avril 4, 2021