Pour vivre heureux, vivons isolés

Apple a envoyé une nouvelle vague de notifications de menace à des utilisateurs potentiellement visés par des logiciels espions mercenaires, dans 110 pays. Le constructeur a aussi revu sa manière de communiquer ces notifications aux victimes.

Fin 2021, Apple portait plainte contre NSO Group, une société israélienne à l’origine de Pegasus, un logiciel d’espionnage qui s’installe discrètement sur iPhone en exploitant des failles de sécurité. Dans la foulée, le constructeur informatique annonçait la mise en place d’un programme visant à prévenir des utilisateurs que leurs appareils avaient été compromis par ce type de logiciels espions.

Si les poursuites contre NSO ont finalement été abandonnées trois ans plus tard, Apple a continué d’envoyer des « notifications de menace » à des utilisateurs visés par des attaques mercenaires à travers le monde. L’entreprise a ainsi annoncé avoir alerté jeudi 13 août un certain nombre de victimes potentielles de spywares dans 110 pays. Depuis le lancement de ce programme, des notifications ont été envoyées à des utilisateurs dans plus de 150 pays.

Le groupe américain a également revu la manière dont ces notifications s’affichent : elles apparaissent sur l’iPhone de l’utilisateur, sur l’écran de verrouillage ainsi que dans les réglages. Une notification est également envoyée par email aux adresses associées aux comptes Apple de la personne (à partir de cette adresse : threat-notifications@email.apple.com). Enfin, une bannière est présente en haut de la page du compte Apple sur account.apple.com.

Cette notification ne signifie pas que l’appareil a été compromis, mais elle représente une « alerte très fiable » qui doit être prise « très au sérieux », explique Apple dans une nouvelle note d’assistance. Apple recommande vivement de se rapprocher d’équipes spécialisées en sécurité, en donnant l’exemple de l’assistance téléphonique 24/7 de l’ONG Access Now.

Apple suggère aussi d’activer le mode Isolement, qui réduit fortement la surface d’attaque en limitant ou en bloquant certaines fonctions de Messages, FaceTime, de la navigation web, des services Apple ou encore des albums partagés. Souvent, un logiciel espion s’installe après avoir touché un lien dans un message.

Des attaques très rares et très coûteuses

Tout le monde n’est pas concerné par ces attaques. En fait, très peu de personnes sont visées, « souvent des journalistes, des militants, des hommes politiques ou des diplomates », détaille Apple. Ces attaques « coûtent des millions de dollars et se produisent souvent sur une courte durée, ce qui les rend beaucoup plus difficiles à détecter et à empêcher ». Ce coût très élevé limite la portée de ces menaces, ce qui explique pourquoi elles sont « associées à des acteurs étatiques, y compris à des entreprises privées développant des logiciels espions mercenaires pour le compte de ces acteurs, par exemple Pegasus de NSO Group. »

Pour Apple, « le coût extrême, la sophistication et le caractère international des attaques via des logiciels espions mercenaires en font l’une des menaces numériques les plus avancées qui existent actuellement ». Apple ne détaille pas les enquêtes qui aboutissent aux notifications de menace, en revanche, car « cette information pourrait aider les personnes derrière ces logiciels espions mercenaires à adapter leur comportement pour éviter d’être détectés. »

Pour le grand public, Apple rappelle quelques règles simples : mettre à jour ses appareils avec les dernières mises à jour sécurité (très prolifiques actuellement), utiliser la biométrie (Touch ID, Face ID) pour protéger l’accès à un appareil, utiliser l’authentification à deux facteurs, activer la protection en cas de vol de l’appareil, utiliser des passkeys, installer des apps depuis l’App Store (attention, la boutique laisse passer tout et n’importe quoi), et surtout ne pas ouvrir des liens ou des pièces jointes envoyés par des inconnus.

Pour vivre heureux, vivons isolés

Apple a envoyé une nouvelle vague de notifications de menace à des utilisateurs potentiellement visés par des logiciels espions mercenaires, dans 110 pays. Le constructeur a aussi revu sa manière de communiquer ces notifications aux victimes.

Fin 2021, Apple portait plainte contre NSO Group, une société israélienne à l’origine de Pegasus, un logiciel d’espionnage qui s’installe discrètement sur iPhone en exploitant des failles de sécurité. Dans la foulée, le constructeur informatique annonçait la mise en place d’un programme visant à prévenir des utilisateurs que leurs appareils avaient été compromis par ce type de logiciels espions.

Si les poursuites contre NSO ont finalement été abandonnées trois ans plus tard, Apple a continué d’envoyer des « notifications de menace » à des utilisateurs visés par des attaques mercenaires à travers le monde. L’entreprise a ainsi annoncé avoir alerté jeudi 13 août un certain nombre de victimes potentielles de spywares dans 110 pays. Depuis le lancement de ce programme, des notifications ont été envoyées à des utilisateurs dans plus de 150 pays.

Le groupe américain a également revu la manière dont ces notifications s’affichent : elles apparaissent sur l’iPhone de l’utilisateur, sur l’écran de verrouillage ainsi que dans les réglages. Une notification est également envoyée par email aux adresses associées aux comptes Apple de la personne (à partir de cette adresse : threat-notifications@email.apple.com). Enfin, une bannière est présente en haut de la page du compte Apple sur account.apple.com.

Cette notification ne signifie pas que l’appareil a été compromis, mais elle représente une « alerte très fiable » qui doit être prise « très au sérieux », explique Apple dans une nouvelle note d’assistance. Apple recommande vivement de se rapprocher d’équipes spécialisées en sécurité, en donnant l’exemple de l’assistance téléphonique 24/7 de l’ONG Access Now.

Apple suggère aussi d’activer le mode Isolement, qui réduit fortement la surface d’attaque en limitant ou en bloquant certaines fonctions de Messages, FaceTime, de la navigation web, des services Apple ou encore des albums partagés. Souvent, un logiciel espion s’installe après avoir touché un lien dans un message.

Des attaques très rares et très coûteuses

Tout le monde n’est pas concerné par ces attaques. En fait, très peu de personnes sont visées, « souvent des journalistes, des militants, des hommes politiques ou des diplomates », détaille Apple. Ces attaques « coûtent des millions de dollars et se produisent souvent sur une courte durée, ce qui les rend beaucoup plus difficiles à détecter et à empêcher ». Ce coût très élevé limite la portée de ces menaces, ce qui explique pourquoi elles sont « associées à des acteurs étatiques, y compris à des entreprises privées développant des logiciels espions mercenaires pour le compte de ces acteurs, par exemple Pegasus de NSO Group. »

Pour Apple, « le coût extrême, la sophistication et le caractère international des attaques via des logiciels espions mercenaires en font l’une des menaces numériques les plus avancées qui existent actuellement ». Apple ne détaille pas les enquêtes qui aboutissent aux notifications de menace, en revanche, car « cette information pourrait aider les personnes derrière ces logiciels espions mercenaires à adapter leur comportement pour éviter d’être détectés. »

Pour le grand public, Apple rappelle quelques règles simples : mettre à jour ses appareils avec les dernières mises à jour sécurité (très prolifiques actuellement), utiliser la biométrie (Touch ID, Face ID) pour protéger l’accès à un appareil, utiliser l’authentification à deux facteurs, activer la protection en cas de vol de l’appareil, utiliser des passkeys, installer des apps depuis l’App Store (attention, la boutique laisse passer tout et n’importe quoi), et surtout ne pas ouvrir des liens ou des pièces jointes envoyés par des inconnus.

Bercy donne des détails

Le piratage de la plateforme du fisc, confirmé par la DGFiP cette semaine, aboutit à l’ouverture d’une enquête de l’Office anticybercriminalité. Bercy a donné des détails supplémentaires sur cette attaque, qui touche 678 000 contribuables et entreprises.

Après une période de flottement, la Direction générale des Finances publiques a donné de plus amples détails et précisions sur le piratage de son système d’information. Un acteur malveillant a donc accédé à cette plateforme « en juin et en juillet », grâce à des usurpations d’identifiants d’un agent et d’un tiers habilité. Une attaque « plus sophistiquée que par le passé », a rapporté Bercy.

impots.gouv.fr en sécurité

Ces accès illégitimes ont permis au pirate de consulter et d’extraire des données concernant un total de 678 000 particuliers et professionnels ; pour les particuliers, ce sont des données fiscales (revenu fiscal de référence, quotient familial ou taux de prélèvement à la source). Pour les professionnels, il s’agit de la raison sociale ou du numéro SIREN. La DGFiP ajoute que des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers ont également été consultées.

Il est important de noter que les identifiants et les mots de passe des usagers n’ont pas été compromis, ni leurs espaces Finances publiques. Autrement dit, les données volées ne permettent pas l’accès au compte sécurisé sur impots.gouv.fr.

Néanmoins, l’enquête interne se poursuit pour déterminer « précisément » la nature et le volume des données extraites, ainsi que le nombre de victimes du piratage. Les usagers touchés seront directement contactés dès la semaine prochaine : ils recevront une information individuelle par courriel ou par courrier avec les mesures de vigilance à adopter (en espérant que des petits malins n’en profitent pas pour orchestrer une campagne de hameçonnage entretemps).

La Direction a « immédiatement interrompu » les accès de l’ensemble des comptes utilisés dans les incidents dès que les intrusions ont été détectées. Des mesures de sécurité complémentaires ont également été mises en œuvre (coupures préventives des accès à des systèmes d’informations sensibles). Une plainte sera aussi déposée.

Sans attendre, la section cyber du parquet de Paris a ouvert une enquête, indique l’AFP (via Le Monde). L’Office anticybercriminalité (Ofac) va se pencher sur « l’extraction frauduleuse de données contenues dans un système de traitement automatisé de données à caractère personnel mis en œuvre par l’Etat », « la participation à une association de malfaiteurs en vue de la préparation d’un délit puni d’au moins cinq ans d’emprisonnement » et « l’accès et maintien frauduleux dans un système de traitement automatisé de données en bande organisée ».

• Baroud d’honneur pour Bloctel, avec la fuite de 600 000 numéros opposés au démarchage
• Fuite de données à France Titres : au moins 11,7 millions de comptes touchés
• Au tour de l’Insee de se faire pirater, les données de 12 800 agents exfiltrées

Bercy donne des détails

Le piratage de la plateforme du fisc, confirmé par la DGFiP cette semaine, aboutit à l’ouverture d’une enquête de l’Office anticybercriminalité. Bercy a donné des détails supplémentaires sur cette attaque, qui touche 678 000 contribuables et entreprises.

Après une période de flottement, la Direction générale des Finances publiques a donné de plus amples détails et précisions sur le piratage de son système d’information. Un acteur malveillant a donc accédé à cette plateforme « en juin et en juillet », grâce à des usurpations d’identifiants d’un agent et d’un tiers habilité. Une attaque « plus sophistiquée que par le passé », a rapporté Bercy.

impots.gouv.fr en sécurité

Ces accès illégitimes ont permis au pirate de consulter et d’extraire des données concernant un total de 678 000 particuliers et professionnels ; pour les particuliers, ce sont des données fiscales (revenu fiscal de référence, quotient familial ou taux de prélèvement à la source). Pour les professionnels, il s’agit de la raison sociale ou du numéro SIREN. La DGFiP ajoute que des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers ont également été consultées.

Il est important de noter que les identifiants et les mots de passe des usagers n’ont pas été compromis, ni leurs espaces Finances publiques. Autrement dit, les données volées ne permettent pas l’accès au compte sécurisé sur impots.gouv.fr.

Néanmoins, l’enquête interne se poursuit pour déterminer « précisément » la nature et le volume des données extraites, ainsi que le nombre de victimes du piratage. Les usagers touchés seront directement contactés dès la semaine prochaine : ils recevront une information individuelle par courriel ou par courrier avec les mesures de vigilance à adopter (en espérant que des petits malins n’en profitent pas pour orchestrer une campagne de hameçonnage entretemps).

La Direction a « immédiatement interrompu » les accès de l’ensemble des comptes utilisés dans les incidents dès que les intrusions ont été détectées. Des mesures de sécurité complémentaires ont également été mises en œuvre (coupures préventives des accès à des systèmes d’informations sensibles). Une plainte sera aussi déposée.

Sans attendre, la section cyber du parquet de Paris a ouvert une enquête, indique l’AFP (via Le Monde). L’Office anticybercriminalité (Ofac) va se pencher sur « l’extraction frauduleuse de données contenues dans un système de traitement automatisé de données à caractère personnel mis en œuvre par l’Etat », « la participation à une association de malfaiteurs en vue de la préparation d’un délit puni d’au moins cinq ans d’emprisonnement » et « l’accès et maintien frauduleux dans un système de traitement automatisé de données en bande organisée ».

• Baroud d’honneur pour Bloctel, avec la fuite de 600 000 numéros opposés au démarchage
• Fuite de données à France Titres : au moins 11,7 millions de comptes touchés
• Au tour de l’Insee de se faire pirater, les données de 12 800 agents exfiltrées

Quand vous branchez un périphérique USB compatible "Plug'n'Play", Windows va télécharger et installer les pilotes correspondants, avec les droits maximum (NT AUTHORITY\SYSTEM).
Or certains de ces pilotes ont des failles de sécurité.
En émulant certains périphériques USB, il devient alors possible de forcer l'installation de ces pilotes et d'exploiter les failles correspondantes pour prendre le contrôle de la machine.
Cette faille est même exploitable à distance via RDP (donc sans même avoir d'accès au port USB, car RDP peut faire de l'USB via le réseau.)
(Permalink)

Bwaa pfouuu... plus personne n'en a rien à foutre. C'est yolo avec toutes nos données.

EDIT: Voir aussi https://www.huffingtonpost.fr/economie/article/ce-que-l-on-sait-de-la-double-cyberattaque-massive-visant-les-finances-publiques_304791.html
(Permalink)

Les contribuables ont peur

La Direction générale des Finances publiques (DGFiP) a confirmé les bruits de couloir qui circulaient depuis plusieurs heures sur les réseaux sociaux. Des données concernant des particuliers et des professionnels sont compromises, suite à l’ « accès illégitime » d’un acteur malveillant fin juin.

Les fuites de données se suivent, ne se ressemblent pas… mais elles gardent leur caractère inquiétant. 24 heures après la confirmation que feu Bloctel a laissé filé des centaines de milliers de numéros de téléphone, c’est au tour de la DGFiP d’annoncer qu’un acteur malveillant a eu accès au système d’information des impôts après une usurpation d’identité.

Le communiqué a été publié ce jeudi 13 août en fin de journée, mais l’intrusion remonte à fin juin. Le pirate a revendiqué cet accès hier, mercredi 12 août, ce qui a certainement poussé Bercy à réagir officiellement. Les premières investigations indiquent que l’accès avait été coupé fin juin « dans le cadre du contrôle opéré ». Néanmoins, l’acteur a consulté et extrait des données concernant des particuliers et des professionnels.

La nature et la quantité de ces données ne sont pas précisées. Cependant, les usagers concernés recevront une information individuelle qui spécifiera les données susceptibles d’avoir été consultées ou extraites. Le cas échéant, ils seront également conseillés sur les mesures de vigilance à adopter.

Comme le veut la réglementation, la CNIL va être notifiée de l’incident, et une plainte sera déposée. De nouveaux éléments seront communiqués au fur et à mesure de l’enquête, menée par les équipes de la Direction avec le service du Haut fonctionnaire de défense et de sécurité (SHFDS), ainsi qu’avec l’Agence nationale de la sécurité des systèmes d’information (ANSSI).

Mise à jour 14/08 – Le ministère de l’Économie a précisé à Next que le piratage des données de la plateforme des impôts concerne « des centaines de milliers d’usagers », sans plus de précision à l’heure actuelle.

Les contribuables ont peur

La Direction générale des Finances publiques (DGFiP) a confirmé les bruits de couloir qui circulaient depuis plusieurs heures sur les réseaux sociaux. Des données concernant des particuliers et des professionnels sont compromises, suite à l’ « accès illégitime » d’un acteur malveillant fin juin.

Les fuites de données se suivent, ne se ressemblent pas… mais elles gardent leur caractère inquiétant. 24 heures après la confirmation que feu Bloctel a laissé filé des centaines de milliers de numéros de téléphone, c’est au tour de la DGFiP d’annoncer qu’un acteur malveillant a eu accès au système d’information des impôts après une usurpation d’identité.

Le communiqué a été publié ce jeudi 13 août en fin de journée, mais l’intrusion remonte à fin juin. Le pirate a revendiqué cet accès hier, mercredi 12 août, ce qui a certainement poussé Bercy à réagir officiellement. Les premières investigations indiquent que l’accès avait été coupé fin juin « dans le cadre du contrôle opéré ». Néanmoins, l’acteur a consulté et extrait des données concernant des particuliers et des professionnels.

La nature et la quantité de ces données ne sont pas précisées. Cependant, les usagers concernés recevront une information individuelle qui spécifiera les données susceptibles d’avoir été consultées ou extraites. Le cas échéant, ils seront également conseillés sur les mesures de vigilance à adopter.

Comme le veut la réglementation, la CNIL va être notifiée de l’incident, et une plainte sera déposée. De nouveaux éléments seront communiqués au fur et à mesure de l’enquête, menée par les équipes de la Direction avec le service du Haut fonctionnaire de défense et de sécurité (SHFDS), ainsi qu’avec l’Agence nationale de la sécurité des systèmes d’information (ANSSI).

Mise à jour 14/08 – Le ministère de l’Économie a précisé à Next que le piratage des données de la plateforme des impôts concerne « des centaines de milliers d’usagers », sans plus de précision à l’heure actuelle.

Le club des cyber-flibustiers

Via un mémo officiel, Donald Trump change la politique de cybersécurité de son pays. Il autorise, sous contrôle de l’État fédéral américain, des entreprises préalablement listées à mener des cyberattaques contre des « organisations criminelles transnationales ».

Jusque-là, aux États-Unis, ce sont les agences gouvernementales fédérales qui menaient les missions de cybersécurité du pays. Mais, dans un mémo officiel, Donald Trump vient d’enclencher une nouvelle doctrine qui implique beaucoup plus facilement les acteurs privés du secteur. C’est un changement important qui était attendu depuis des années par le lobby de la cybersécurité américain. Ce dernier plaidait pour la relance des anciennes « lettres de marque » mises au gout du jour « cyber ».

Dans le mémo publié par la Maison-Blanche ce mercredi 12 aout, Donald Trump demande au National Coordination Center (NCC) du Département de la Sécurité intérieure des États-Unis de « mettre en place, gérer et d’assurer le suivi d’un programme visant à autoriser les entreprises participantes » à mener des opérations de cyber-surveillance mais aussi des opérations d’attaques (« Cyber Effects Operation », en anglais) contre des « organisations criminelles transnationales étrangères opérant sur Internet (CE-TCO), « sous le contrôle et la supervision du gouvernement fédéral ».

Des opérations de contre-attaques comme celles autorisées en mer par les « lettres de marque »

Le texte d’explication du mémo publié par la Maison-Blanche cite comme cibles les organisations étrangères aux États-Unis qui mettent en place des attaques par ransomware, des campagnes de phishing, des fraudes financières, du chantage sexuel et des escroqueries par usurpation d’identité sur internet.

Dans son mémo, Donald Trump parle de « Cyber Effects Operation » et en donne une définition permettant aux entreprises autorisées à mener des opérations « de manipulation, de perturbation, de déni d’accès, de dégradation ou de destruction de systèmes d’information, de réseaux, d’infrastructures physiques ou virtuelles contrôlées par des systèmes d’information, ou des informations qui y sont stockées ». Nous ne sommes plus ici dans la simple défense mais dans des opérations d’attaques.

L’entourage de Donald Trump préparait ce changement depuis quelque temps. Comme nos confrères de Bloomberg le soulignaient en décembre dernier, cette nouvelle politique ouvre « de nouvelles perspectives commerciales lucratives aux entreprises qui, traditionnellement, ont conclu des contrats avec l’État dans le cadre de stratégies défensives plutôt que de mesures offensives », même si elles seront exposées à de nouveaux risques et notamment à celui d’être plus rapidement la cible de cyberattaques.

• L’administration Trump voudrait en finir avec la cyberdéfense et privilégier le « hack back »

Depuis plusieurs années, le lobby de la cybersécurité américain pousse (ici ou là, par exemple) à la mise en place de ce qu’il appelle des « lettres de marque cyber », adaptant à Internet le concept de « lettre de marque », existant dans la constitution américaine, qui permet aux navires privés de contre-attaquer dans les eaux internationales. Le concept a été repris récemment par le sénateur républicain qui a proposé une loi le 15 juillet dernier pour « autoriser le président des États-Unis à délivrer des lettres de marque et de représailles dans le domaine cybernétique, ainsi qu’à d’autres fins ».

Les budgets des agences en berne

Du côté des agences fédérales états-uniennes et de l’armée, l’argument est notamment de sous-traiter ces tâches de cybersécurité pour se concentrer sur leurs missions primaires. Surtout, que l’administration Trump a attaqué leur budget en matière de cybersécurité.

• L’Agence de cybersécurité américaine CISA met sur pause son travail sur la sécurisation des élections

« Alors que nos adversaires gagnent du terrain grâce à l’IA, la posture cyberfédérale a été affaiblie », déclarait le premier directeur de la CISA, Chris Krebs (nommé par Donald Trump avant d’être mis sur la touche par le même pour avoir nié le piratage des élections de 2020). « La stratégie manque de clarté, les effectifs sont en baisse et les capacités ont été considérablement réduites », estimait-il avant d’ajouter : « Que cela nous plaise ou non, nous ne sommes pas aussi forts aujourd’hui que nous devrions l’être ».

Ce changement de doctrine arrive aussi quelques mois après les annonces d’Anthropic concernant Mythos et la polémique entre Trump et Anthropic sur l’usage militaire de l’IA allant jusqu’à la désignation de l’entreprise de Dario Amodei comme « fournisseur à risque pour la sécurité nationale », même si finalement le Pentagone continue à utiliser Mythos.

Le club des cyber-flibustiers

Via un mémo officiel, Donald Trump change la politique de cybersécurité de son pays. Il autorise, sous contrôle de l’État fédéral américain, des entreprises préalablement listées à mener des cyberattaques contre des « organisations criminelles transnationales ».

Jusque-là, aux États-Unis, ce sont les agences gouvernementales fédérales qui menaient les missions de cybersécurité du pays. Mais, dans un mémo officiel, Donald Trump vient d’enclencher une nouvelle doctrine qui implique beaucoup plus facilement les acteurs privés du secteur. C’est un changement important qui était attendu depuis des années par le lobby de la cybersécurité américain. Ce dernier plaidait pour la relance des anciennes « lettres de marque » mises au gout du jour « cyber ».

Dans le mémo publié par la Maison-Blanche ce mercredi 12 aout, Donald Trump demande au National Coordination Center (NCC) du Département de la Sécurité intérieure des États-Unis de « mettre en place, gérer et d’assurer le suivi d’un programme visant à autoriser les entreprises participantes » à mener des opérations de cyber-surveillance mais aussi des opérations d’attaques (« Cyber Effects Operation », en anglais) contre des « organisations criminelles transnationales étrangères opérant sur Internet (CE-TCO), « sous le contrôle et la supervision du gouvernement fédéral ».

Des opérations de contre-attaques comme celles autorisées en mer par les « lettres de marque »

Le texte d’explication du mémo publié par la Maison-Blanche cite comme cibles les organisations étrangères aux États-Unis qui mettent en place des attaques par ransomware, des campagnes de phishing, des fraudes financières, du chantage sexuel et des escroqueries par usurpation d’identité sur internet.

Dans son mémo, Donald Trump parle de « Cyber Effects Operation » et en donne une définition permettant aux entreprises autorisées à mener des opérations « de manipulation, de perturbation, de déni d’accès, de dégradation ou de destruction de systèmes d’information, de réseaux, d’infrastructures physiques ou virtuelles contrôlées par des systèmes d’information, ou des informations qui y sont stockées ». Nous ne sommes plus ici dans la simple défense mais dans des opérations d’attaques.

L’entourage de Donald Trump préparait ce changement depuis quelque temps. Comme nos confrères de Bloomberg le soulignaient en décembre dernier, cette nouvelle politique ouvre « de nouvelles perspectives commerciales lucratives aux entreprises qui, traditionnellement, ont conclu des contrats avec l’État dans le cadre de stratégies défensives plutôt que de mesures offensives », même si elles seront exposées à de nouveaux risques et notamment à celui d’être plus rapidement la cible de cyberattaques.

• L’administration Trump voudrait en finir avec la cyberdéfense et privilégier le « hack back »

Depuis plusieurs années, le lobby de la cybersécurité américain pousse (ici ou là, par exemple) à la mise en place de ce qu’il appelle des « lettres de marque cyber », adaptant à Internet le concept de « lettre de marque », existant dans la constitution américaine, qui permet aux navires privés de contre-attaquer dans les eaux internationales. Le concept a été repris récemment par le sénateur républicain qui a proposé une loi le 15 juillet dernier pour « autoriser le président des États-Unis à délivrer des lettres de marque et de représailles dans le domaine cybernétique, ainsi qu’à d’autres fins ».

Les budgets des agences en berne

Du côté des agences fédérales états-uniennes et de l’armée, l’argument est notamment de sous-traiter ces tâches de cybersécurité pour se concentrer sur leurs missions primaires. Surtout, que l’administration Trump a attaqué leur budget en matière de cybersécurité.

• L’Agence de cybersécurité américaine CISA met sur pause son travail sur la sécurisation des élections

« Alors que nos adversaires gagnent du terrain grâce à l’IA, la posture cyberfédérale a été affaiblie », déclarait le premier directeur de la CISA, Chris Krebs (nommé par Donald Trump avant d’être mis sur la touche par le même pour avoir nié le piratage des élections de 2020). « La stratégie manque de clarté, les effectifs sont en baisse et les capacités ont été considérablement réduites », estimait-il avant d’ajouter : « Que cela nous plaise ou non, nous ne sommes pas aussi forts aujourd’hui que nous devrions l’être ».

Ce changement de doctrine arrive aussi quelques mois après les annonces d’Anthropic concernant Mythos et la polémique entre Trump et Anthropic sur l’usage militaire de l’IA allant jusqu’à la désignation de l’entreprise de Dario Amodei comme « fournisseur à risque pour la sécurité nationale », même si finalement le Pentagone continue à utiliser Mythos.

Y'a vraiment des baffes qui se perdent, hein.
(Permalink)

Mise à jour de rsync en 3.5 avec...  33 failles de sécurité corrigées ! 😱

EDIT: Est-ce que ça serait dû à la slopification du logiciel ? (cf. https://sebsauvage.net/links/?lumWUQ)
https://github.com/RsyncProject/rsync/issues/929
(Permalink)

Quand l’open source va trop loin…

Bloctel devait protéger les utilisateurs opposés au démarchage téléphonique… mais ce n’était pas un franc succès. Bloctel a tiré officiellement sa révérence le 11 août, non sans un dernier fait d’arme : « Un accès frauduleux à un compte professionnel a permis à un cybercriminel de récupérer des fichiers contenant 3 millions de numéros de téléphone, dont 600 000 inscrits sur Bloctel ».

Un email envoyé aux utilisateurs, dont nous pouvons confirmer l’authenticité

Un des utilisateurs du service, Gauthier Huguenin, nous a transféré le message que Bloctel a envoyé. Nous avons ainsi pu vérifier son authenticité : il a bien été envoyé depuis un serveur autorisé par le domaine bloctel.gouv.fr et porte une signature cryptographique valide, comme en attestent les contrôles DKIM, SPF et DMARC.

• [Tuto] Comprendre les emails et vérifier leur légitimité à partir des métadonnées

Celui-ci évoque l’usurpation d’« un compte professionnel utilisateur du service » par «un tiers non autorisé » pour « accéder à ce compte et télécharger des fichiers échangés avec le service Bloctel ».

Deux fichiers sont listés : l’un « contenant des numéros de téléphone émanant du professionnel utilisateur du service » et l’autre est celui « restitué après vérification auprès de la liste d’opposition au démarchage téléphonique Bloctel ». En comparant les deux fichiers, on peut certainement en déduire les numéros inscrits sur Bloctel (qui ont donc disparu de la seconde liste).

Bloctel assure à ses utilisateurs à qui il a envoyé l’email que leur numéro de téléphone est la seule donnée concernée par l’incident. Mais couplée au fait qu’il appartient à une liste d’opposition à tout démarchage téléphonique, cela augmente un peu l’intérêt de cette donnée.

Dans son mail, le service affirme avoir bloqué le compte en question dès confirmation du piratage et avoir mené une investigation pour circonscrire le problème. Comme nécessaire à chaque fuite de données, Bloctel explique avoir notifié l’incident à la CNIL.

Le pirate repart avec 3 millions de numéros, dont 600 000 inscrits sur Bloctel

La revendication du piratage avait déjà été relayée par FrenchBreaches depuis quelques jours sans confirmation. La liste de plus de 3 millions de numéros de téléphone est revendiquée sans que ce chiffre soit officiel. La DGCCRF est venue clarifier la situation avec un communiqué :

« Un accès frauduleux à un compte professionnel a permis à un cybercriminel de récupérer des fichiers contenant 3 millions de numéros de téléphone, dont 600 000 inscrits sur Bloctel ». La répression des fraudes confirme que « seuls des numéros de téléphone ont été exposés, sans aucune autre donnée personnelle (nom, adresse, etc.) ». Elle ajoute que « la base de données Bloctel elle-même n’a pas été compromise ».

Quand l’open source va trop loin…

Bloctel devait protéger les utilisateurs opposés au démarchage téléphonique… mais ce n’était pas un franc succès. Bloctel a tiré officiellement sa révérence le 11 août, non sans un dernier fait d’arme : « Un accès frauduleux à un compte professionnel a permis à un cybercriminel de récupérer des fichiers contenant 3 millions de numéros de téléphone, dont 600 000 inscrits sur Bloctel ».

Un email envoyé aux utilisateurs, dont nous pouvons confirmer l’authenticité

Un des utilisateurs du service, Gauthier Huguenin, nous a transféré le message que Bloctel a envoyé. Nous avons ainsi pu vérifier son authenticité : il a bien été envoyé depuis un serveur autorisé par le domaine bloctel.gouv.fr et porte une signature cryptographique valide, comme en attestent les contrôles DKIM, SPF et DMARC.

• [Tuto] Comprendre les emails et vérifier leur légitimité à partir des métadonnées

Celui-ci évoque l’usurpation d’« un compte professionnel utilisateur du service » par «un tiers non autorisé » pour « accéder à ce compte et télécharger des fichiers échangés avec le service Bloctel ».

Deux fichiers sont listés : l’un « contenant des numéros de téléphone émanant du professionnel utilisateur du service » et l’autre est celui « restitué après vérification auprès de la liste d’opposition au démarchage téléphonique Bloctel ». En comparant les deux fichiers, on peut certainement en déduire les numéros inscrits sur Bloctel (qui ont donc disparu de la seconde liste).

Bloctel assure à ses utilisateurs à qui il a envoyé l’email que leur numéro de téléphone est la seule donnée concernée par l’incident. Mais couplée au fait qu’il appartient à une liste d’opposition à tout démarchage téléphonique, cela augmente un peu l’intérêt de cette donnée.

Dans son mail, le service affirme avoir bloqué le compte en question dès confirmation du piratage et avoir mené une investigation pour circonscrire le problème. Comme nécessaire à chaque fuite de données, Bloctel explique avoir notifié l’incident à la CNIL.

Le pirate repart avec 3 millions de numéros, dont 600 000 inscrits sur Bloctel

La revendication du piratage avait déjà été relayée par FrenchBreaches depuis quelques jours sans confirmation. La liste de plus de 3 millions de numéros de téléphone est revendiquée sans que ce chiffre soit officiel. La DGCCRF est venue clarifier la situation avec un communiqué :

« Un accès frauduleux à un compte professionnel a permis à un cybercriminel de récupérer des fichiers contenant 3 millions de numéros de téléphone, dont 600 000 inscrits sur Bloctel ». La répression des fraudes confirme que « seuls des numéros de téléphone ont été exposés, sans aucune autre donnée personnelle (nom, adresse, etc.) ». Elle ajoute que « la base de données Bloctel elle-même n’a pas été compromise ».

La ville de Baltimore a fait baisser la criminalité par armes à feux de manière spectaculaire. 68% d'homicides en moins depuis 2019. Comment ? Avec 400 flics en *MOINS* et plusieurs bonnes idées.

Taper *FORT* contre le crime, ça fait bander les droitards, mais ça ne marche pas vraiment (Je rappelle que les USA ont un des plus forts taux de criminalité alors que certains états ont *encore* la peine de mort.)
(Permalink)

Sous le coude: Let's Encrypt étant américain, je garde sous le coude Actalis.it, une société italienne qui possède un service gratuit de délivrance de certificats.
Pour le jour où ça part encore plus en couille aux USA.
(Permalink)

Tiens, encore un bug de privilege escalation.
(Permalink)

Valve a prévenu les clients européens de la Steam Machine et du Steam Controller d’une fuite de données les concernant. CEVA, l’entreprise de logistique chargée de la distribution de ses produits sur le Vieux Continent, a en effet été victime d’une cyberattaque.

Les données compromises sont le nom, l’adresse postale, le pays, le numéro de téléphone, l’adresse email, le type du produit acheté et son prix, d’après le courriel de Valve partagé par Digital Foundry. CEVA n’a accès ni aux informations de paiement, ni aux mots de passe des comptes Steam. Il n’est pas nécessaire de changer son mot de passe Steam ni de modifier quoi que ce soit dans les réglages du compte.

Valve recommande toutefois la plus grande vigilance dans les prochains jours, le risque de hameçonnage étant important. « Attendez-vous à recevoir de faux messages — par e-mail, SMS ou téléphone — mentionnant votre commande de matériel et semblant provenir de Steam, de Valve ou d’une société de livraison », prévient l’entreprise. Ces messages frauduleux pourraient indiquer l’adresse du client pour prouver leur authenticité, demander la confirmation d’une livraison ou de payer des frais de douane, ou encore de se connecter pour « vérifier » une commande.

L’assistance Steam ne traite les problèmes de compte que sur le site dédié https://help.steampowered.com/. « Jamais par email, chat Steam ou Discord. Toute personne qui vous contacte ailleurs en prétendant être l’assistance Steam ne l’est pas ». Valve conseille de saisir l’URL soi-même plutôt que de cliquer sur un lien présent dans un message ; les pages de connexion sont présentes sur store.steampowered.com, www.steampowered.com, steamcommunity.com ou help.steampowered.com. Enfin, l’assistance de la boutique ou un transporteur ne demandera jamais de mot de passe ou de code Steam Guard (le 2FA de Steam).

CEVA conserve les informations des clients de Steam pour les produits physiques jusqu’à 90 jours après la commande. L’enquête est toujours en cours, Valve ayant été notifiée de la fuite le 7 août. Les systèmes affectés ont été isolés et mis hors ligne. Étrangement, l’opérateur de Steam « fait pression » sur CEVA pour connaitre l’étendue complète de ce qui a été volé et la manière dont l’extraction s’est déroulée. Valve est aussi en train d’informer les autorités de protection des données dans les pays concernés.

Valve a prévenu les clients européens de la Steam Machine et du Steam Controller d’une fuite de données les concernant. CEVA, l’entreprise de logistique chargée de la distribution de ses produits sur le Vieux Continent, a en effet été victime d’une cyberattaque.

Les données compromises sont le nom, l’adresse postale, le pays, le numéro de téléphone, l’adresse email, le type du produit acheté et son prix, d’après le courriel de Valve partagé par Digital Foundry. CEVA n’a accès ni aux informations de paiement, ni aux mots de passe des comptes Steam. Il n’est pas nécessaire de changer son mot de passe Steam ni de modifier quoi que ce soit dans les réglages du compte.

Valve recommande toutefois la plus grande vigilance dans les prochains jours, le risque de hameçonnage étant important. « Attendez-vous à recevoir de faux messages — par e-mail, SMS ou téléphone — mentionnant votre commande de matériel et semblant provenir de Steam, de Valve ou d’une société de livraison », prévient l’entreprise. Ces messages frauduleux pourraient indiquer l’adresse du client pour prouver leur authenticité, demander la confirmation d’une livraison ou de payer des frais de douane, ou encore de se connecter pour « vérifier » une commande.

L’assistance Steam ne traite les problèmes de compte que sur le site dédié https://help.steampowered.com/. « Jamais par email, chat Steam ou Discord. Toute personne qui vous contacte ailleurs en prétendant être l’assistance Steam ne l’est pas ». Valve conseille de saisir l’URL soi-même plutôt que de cliquer sur un lien présent dans un message ; les pages de connexion sont présentes sur store.steampowered.com, www.steampowered.com, steamcommunity.com ou help.steampowered.com. Enfin, l’assistance de la boutique ou un transporteur ne demandera jamais de mot de passe ou de code Steam Guard (le 2FA de Steam).

CEVA conserve les informations des clients de Steam pour les produits physiques jusqu’à 90 jours après la commande. L’enquête est toujours en cours, Valve ayant été notifiée de la fuite le 7 août. Les systèmes affectés ont été isolés et mis hors ligne. Étrangement, l’opérateur de Steam « fait pression » sur CEVA pour connaitre l’étendue complète de ce qui a été volé et la manière dont l’extraction s’est déroulée. Valve est aussi en train d’informer les autorités de protection des données dans les pays concernés.

Microsoft élu "Plus mauvaise entreprise" pour avoir menacé de procès des spécialistes en sécurité qui ont remonté des failles.
(Permalink)