Le « smishing » ou hameçonnage par SMS

Le site Cybermalveillance vient de publier une fiche pour savoir comment faire face aux SMS qui semblent provenir d’une administration ou d’une entreprise, mais qui sont en réalité des tentatives d’hameçonnage, appelées smishing.

Vous avez peut-être déjà reçu des SMS qui semblent être émis par une administration, une banque, un service de livraison ou tout autre organisme ou entreprise notoire et qui vous incitent à réaliser rapidement une action (se connecter, confirmer, mettre à jour, effectuer un paiement…), sous peine de vous voir appliquer des restrictions de service, une amende ou des frais. Attention, il s’agit probablement d’une tentative d’hameçonnage par SMS, également appelée « smishing ». Ce type de cyber-arnaque se multiplie depuis 2020, notamment parce qu’il est plus difficile d’identifier des SMS frauduleux que des mails d’hameçonnage.

Contacter l’entreprise en cas de doute

C’est pourquoi le site Cybermalveillance.gouv.fr vient de publier une fiche indiquant les ressorts et les spécificités de l’hameçonnage par SMS. Il rappelle comment se déroule ce type d’hameçonnage, donne plusieurs exemples concrets de messages frauduleux et explique quelles peuvent être les conséquences de ces arnaques. Enfin, la fiche indique comment réagir lorsque l’on reçoit un message d’hameçonnage par SMS et ce qu’il faut faire si on en est victime. Il est notamment conseillé, au moindre doute, de contacter directement l’administration ou l’entreprise qui est censée avoir adressé le SMS pour confirmer le message reçu. Sachant que l’administration n’adresse jamais à ses administrés de relance par SMS, ni de demande d’informations et encore moins d’amende.Pour consulter la fiche : https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/smishing-hameconnage-sms

Article publié le 29 juin 2023 – © Les Echos Publishing 2023 – Crédit photo : fizkes

Apple lance Vision Pro, un casque de réalité mixte

Apple vient enfin de dévoiler son casque de réalité mixte, Vision Pro. Son interface « VisionOS », entièrement en 3D, permet de naviguer à la fois en utilisant ses yeux, ses mains et même sa voix.

Le casque d’Apple utilise la réalité augmentée « passthrough » et offre l’illusion d’un monde réel avec des objets virtuels superposés grâce à ses écrans haute définition, ses caméras qui capturent l’environnement avec précision et l’exécution d’applications VR (virtual reality – réalité virtuelle) complètes. L’utilisateur a alors l’impression d’être transporté dans un autre univers tout en continuant à avoir un aperçu de ce qu’il se passe autour de lui pour ne pas s’isoler, comme c’est le cas habituellement avec les casques virtuels. Une couronne digitale au sommet du casque permet de personnaliser son niveau d’immersion.

Commercialisation début 2024

Concrètement, les applications s’affichent en face de l’utilisateur, qui peut les déplacer librement dans son champ de vision, pour regarder un film, faire un jeu, lire un article ou travailler. Il suffit de regarder une icône pour qu’elle s’agrandisse, de toucher avec ses doigts pour sélectionner, ou de parler pour faire une recherche. Le casque est doté d’une batterie externe d’une autonomie de 2 heures. Apple annonce qu’il devrait être commercialisé aux États-Unis début 2024 à partir de 3 499 $.

Article publié le 20 juin 2023 – © Les Echos Publishing 2023

Bilan des actions de la CNIL en 2022

Pour l’année 2022, la Commission nationale de l’informatique et des libertés (CNIL) indique dans son rapport annuel une baisse du nombre de plaintes concernant la protection des données personnelles, mais note aussi une activité répressive toujours élevée.

La CNIL vient de publier son rapport d’activité 2022. Elle y indique qu’elle a reçu 12 193 plaintes de personnes concernant des manquements à la réglementation sur la protection des données personnelles. Un chiffre significativement en baisse par rapport à l’année précédente qui avait vu l’enregistrement de 14 143 plaintes. Ces plaintes concernent principalement des problématiques liées à l’usage d’internet tels que l’emploi de « cookies » (+26 % par rapport à 2021), la difficulté d’obtenir l’effacement de données personnelles sur des sites, réseaux sociaux ou sites de presse en ligne, le refus de déréférencement (demande à un moteur de recherche de supprimer certains contenus associés à une personne).

Plus de 100 millions d’euros d’amendes

Dans son rapport, la Commission nationale de l’informatique et des libertés indique également qu’elle a procédé à 345 contrôles, dont 43 % faisaient suite à une plainte.21 sanctions ont été prises et 147 mises en demeure effectuées, pour un montant cumulé d’amendes de plus de 100 M€. Les sanctions concernent principalement des manquements à la sécurité des données personnelles et visent des organismes de toutes tailles, y compris des géants du numérique. Pour rappel, les sanctions prononcées dans le cadre d’une procédure simplifiée sont limitées à une amende maximale de 20 000 €, alors que pour une procédure classique, le montant peut s’élever jusqu’à 20 M€ ou 4 % du chiffre d’affaires annuel mondial.

Pour consulter le rapport d’activité : https://medias.vie-publique.fr/data_storage_s3/rapport/pdf/289539.pdf

Article publié le 13 juin 2023 – © Les Echos Publishing 2023

Des avatars pour Microsoft Teams

Pour pouvoir se connecter avec une présence en visio sans avoir à activer sa caméra, Microsoft Teams propose désormais à ses utilisateurs de s’afficher sous forme d’avatar personnalisé. La fonctionnalité était en phase test depuis plusieurs semaines.

La dernière mise à jour importante de l’application Microsoft Teams propose un déploiement progressif des avatars en 3D pour Windows et macOS. Cette fonctionnalité est, en effet, arrivée suffisamment à maturité pour être adoptée par le grand public. Pour en profiter, il suffit de disposer d’un abonnement à Microsoft 365 Enterprise, Microsoft 365 Business, ou Teams Premium. Il est ensuite nécessaire d’installer l’application Avatars, puis de créer son propre personnage.

Un large choix de personnalisation

Pour créer son avatar, un large choix de personnage de base est proposé comme point de départ, qu’il faut ensuite personnaliser en choisissant entre différentes catégories de corps, visage, cheveux, apparence et garde-robe. Une fois l’avatar créé, il restera à sélectionner et participer à une réunion dans son calendrier Microsoft Teams, en éteignant l’appareil photo, puis en ouvrant la barre d’état Effets et avatars, et en sélectionnant son avatar. L’avatar est ensuite capable de réagir comme rire ou lever la main en choisissant des icônes de réaction, mais aussi de changer son expression faciale à l’aide de la barre de curseur d’humeur.

Article publié le 06 juin 2023 – © Les Echos Publishing 2023

Rançongiciels : ne baissez pas la garde !

Même si le nombre d’attaques par rançongiciels a baissé en 2022 selon l’Agence nationale de la sécurité des systèmes d’information, ce malware peut causer de lourds dommages aux entreprises qui en sont victimes. Une bonne raison de revenir sur ce fléau technologique et sur les moyens à mettre en œuvre pour le contrer.

Le fonctionnement des rançongiciels

En cryptant les données d’un serveur, les rançongiciels ou ransomwares peuvent totalement bloquer le fonctionnement d’une entreprise.

Pour rappel, les rançongiciels sont des programmes malveillants qui, une fois installés sur une machine (station, serveur…), vont emprisonner les données qui y sont stockées en les cryptant. L’utilisateur en est alors averti via un écran d’informations et est invité à verser une rançon en échange de laquelle les clés de déchiffrement lui seront, en théorie du moins, communiquées. Ces logiciels malveillants sont redoutables, d’autant plus qu’ils utilisent des techniques de chiffrement d’un niveau si élevé qu’il est presque impossible de les décrypter. C’est pourquoi de nombreuses entreprises victimes se résignent à payer les maîtres-chanteurs. Et ces derniers s’attaquent aux multinationales, aux PME, mais aussi à des services publics. En 2022, au moins une dizaine de collectivités locales, parmi lesquelles Saint-Cloud (92) et Caen (14), en ont fait les frais.

Attention : beaucoup de rançongiciels ne vont pas se contenter de chiffrer les fichiers contenus sur le ou les disques durs de l’ordinateur infecté. Ils vont aussi s’attaquer aux données présentes sur les supports que la machine contrôle et à celles stockées par les machines auxquelles elle est reliée (clés USB, disque dur portable, données enregistrées sur un serveur en cas de connexion à un réseau…).

En 2022, sur l’ensemble des attaques de rançongiciels signalées à l’Agence nationale de la sécurité des systèmes d’information (Anssi), 40 % l’ont été par des TPE-PME-ETI, 23 % par des collectivités et 10 % par des établissements de santé.

Prévenir les attaques

Pour réduire les conséquences d’une attaque par rançongiciel, des précautions doivent être prises.

Les rançongiciels s’introduisent sur une machine en utilisant une faille technique ou en profitant d’une erreur humaine. Il convient donc de combler ces failles techniques en appliquant les mises à jour de sécurité sur les logiciels et en maintenant à jour ses antivirus. En termes de comportement, il est conseillé de ne pas donner suite aux courriels suspects (non sollicités, envoyés par un expéditeur non clairement identifié…) ou incongrus (envoi d’une facture par un prestataire connu à la mauvaise personne, par exemple), et surtout de ne jamais ouvrir les pièces jointes qu’ils contiennent. Il convient également d’éviter les sites internet non officiels et de ne jamais laisser un ordinateur connecté à un réseau allumé inutilement. Plus largement, l’Anssi, dans son Panorama de la cybermenace 2022, revient sur les vulnérabilités trop souvent utilisées par les pirates informatiques pour attaquer les entreprises. L’Agence rappelle notamment l’importance d’appliquer avec rigueur une politique de mises à jour afin de corriger, au plus vite, les failles techniques (via les correctifs de sécurité fournis par les éditeurs des logiciels utilisés) afin qu’elles ne puissent servir les hackers. Elle revient également, lorsque l’on recourt au cloud ou à l’externalisation de services dématérialisés, sur la nécessité d’imposer à ses prestataires, par contrat, un niveau de cybersécurité élevé.

Les indispensables sauvegardes

Enfin, l’ultime précaution à prendre pour limiter les conséquences d’une attaque par rançongiciel est de réaliser des sauvegardes régulières des données de l’entreprise (au moins une fois par jour) sur une machine ou via un service en ligne (cloud) non connecté en permanence au réseau de l’entreprise (afin qu’il ne puisse être touché par l’attaque du rançongiciel). Dès lors, même en cas d’impossibilité de déchiffrement, les pertes de données seront réduites.

Comment réagir ?

Protéger le réseau en débranchant la machine contaminée et appeler des informaticiens en renfort sont les premières actions à mener en cas d’attaque par rançongiciel.

Même en prenant toutes les précautions, le risque zéro n’existe pas. Il faut donc se préparer à réagir, si par malheur, un rançongiciel parvenait à s’introduire sur un des ordinateurs de votre entreprise. Ainsi, en cas d’attaque, vous devez : débrancher immédiatement la machine contaminée du réseau de l’entreprise. L’objectif est ici, dans la mesure du possible, d’éviter que le rançongiciel ne contamine le serveur mais aussi les autres ordinateurs connectés au réseau ; alerter le service informatique de votre entreprise ou votre prestataire technique. Ces professionnels de la sécurité informatique tenteront alors de contrer le rançongiciel afin de récupérer le plus de données possibles. Si les données de la machine touchée sont irrécupérables, ils régénéreront la dernière sauvegarde. Ensuite, ils nettoieront la machine avant de la reparamétrer et d’y recopier les données sauvegardées. Si vous n’avez pas de service informatique, une liste de prestataires spécialisés est proposée sur le site www.cybermalveillance.gouv.fr ; ne jamais payer la rançon ! Pourquoi ? Tout d’abord, parce que cela ne vous garantit pas du risque que le preneur d’otage tiendra sa parole et « libérera » vos données. Ensuite, car cela ne fera que l’encourager à continuer, voire à prendre à nouveau votre entreprise pour cible ; déposer plainte et notifier cette attaque à la CNIL si elle a entraîné une violation des données à caractère personnel des salariés ou des clients de l’entreprise.

Important : la sécurité informatique est l’affaire de tous, des salariés comme des dirigeants. Des informations sur les bonnes pratiques doivent donc être régulièrement communiquées à chacun. Sur ce point, des fiches techniques et mémo simples et pédagogiques sont proposées sur www.cybermalveillance.gouv.fr. N’hésitez pas à inviter vos équipes à les consulter.

Des décrypteurs efficaces

Les rançongiciels ne sont pas toujours bien programmés, ce qui permet aux informaticiens travaillant dans les services de police et dans les sociétés éditrices de logiciels anti-malwares de créer des décrypteurs pour s’en libérer. Grâce à ces outils mis à disposition gratuitement sur le site No More Ransom (www.nomoreransom.org), il est possible de neutraliser plus d’une centaine de ces rançongiciels. Il est donc recommandé, en cas d’attaque et après avoir identifié le rançongiciel, de vérifier sur ce site si un décrypteur efficace n’existe pas. Un guide d’utilisation est associé à chaque outil de déchiffrement proposé sur le site.

Article publié le 01 juin 2023 – © Les Echos Publishing 2023

Des consignes pour les collaborateurs en cas de cyberattaque

Pour aider l’entreprise à répondre rapidement à une cyberattaque, le site Cybermalveillance propose un document synthétique visant à fournir aux collaborateurs les consignes d’urgence à appliquer dans ce type de situation.

Les conséquences d’une cyberattaque peuvent être très graves pour une entreprise victime, qu’elles soient techniques, financières, réputationnelles, juridiques ou encore humaines. Pour améliorer ses chances d’y faire face et limiter les dégâts, la réponse doit être immédiate et adaptée. Or ce sont souvent les collaborateurs de l’entreprise qui en sont les premiers témoin : fichiers chiffrés, difficultés ou impossibilité d’accès aux logiciels ou systèmes informatiques, etc.

Débrancher ses câbles internet

C’est pourquoi le site Cybermalveillance a souhaité éditer une affiche indiquant des mesures opérationnelles d’urgence à appliquer en cas de cyberattaque. Cette affiche peut être exposée dans les locaux, voire à proximité de chaque poste de travail. Elle délivre plusieurs conseils qui vont du débranchement d’internet ou du réseau informatique à l’alerte à donner à ses autres collègues, en passant par l’interdiction d’éteindre son appareil ou d’utiliser un équipement potentiellement compromis.

Pour télécharger l’affiche : https://www.cybermalveillance.gouv.fr/medias/2023/04/Consignes_Collaborateurs.pdf

Article publié le 01 juin 2023 – © Les Echos Publishing 2023

La CNIL lance un plan d’action sur l’intelligence artificielle

Avec le développement rapide des usages de l’intelligence artificielle, la Commission nationale de l’informatique et des libertés (CNIL) lance un plan d’action pour que ce déploiement soit respectueux de la vie privée des individus.

Depuis la publication en 2017 d’un rapport sur les enjeux éthiques des algorithmes et de l’intelligence artificielle, la CNIL travaille régulièrement sur les conséquences soulevées par cette nouvelle technologie et les outils qui l’utilisent. Elle souhaite aller plus loin et propose désormais un plan d’action qui va s’articuler autour de 4 grands axes : appréhender le fonctionnement des systèmes d’IA et leurs impacts pour les personnes ; permettre et encadrer le développement d’IA respectueuses de la vie privée ; fédérer et accompagner les acteurs innovants de l’écosystème IA en France et en Europe ; auditer et contrôler les systèmes d’IA et protéger les personnes.

Des systèmes d’IA respectueux de la vie privée

La CNIL veut ainsi instaurer des règles claires, protectrices des données personnelles des citoyens afin d’accompagner le développement de systèmes d’IA respectueux de la vie privée. Ces actions devraient permettre également de préparer l’entrée en application du projet de règlement européen IA, actuellement en discussion. En 2023, la CNIL souhaite particulièrement se pencher sur l’usage de la vidéosurveillance « augmentée », l’usage de l’intelligence artificielle dans la lutte contre la fraude, et sur l’instruction des plaintes déposées à ce sujet.

Pour en savoir plus : www.cnil.fr

Article publié le 23 mai 2023 – © Les Echos Publishing 2023

Attention aux fausses applis ChatGPT truffées de malwares !

C’est Meta, la maison mère de Facebook, qui lance l’alerte : ses ingénieurs ont repéré que les hackers surfent de plus en plus sur la popularité de ChatGPT pour proposer des liens vers des sites frauduleux.

ChatGPT, ce programme informatique qui peut comprendre et répondre à des questions en utilisant le langage naturel, et qui a été développé par OpenAI, connaît un succès grandissant. Mais selon Meta, ce succès serait une véritable opportunité d’actions pour les hackers et escrocs qui cherchent par tous les moyens à frauder et à abuser les internautes. Car si les sites vers lesquels les internautes sont redirigés proposent bien parfois des fonctionnalités de ChatGPT, la plupart servent, en réalité, à installer un virus sur l’ordinateur des visiteurs.

Plus de 1 000 faux liens

En effet, les fausses applis ChatGPT se multiplient sur l’App Store et le Play Store, visant l’environnement Windows comme Mac. Ce serait ainsi plus de 1 000 faux liens vers l’appli ChatGPT qui seraient partagés sur les réseaux sociaux, de manière plus intensive ces 2 derniers mois, avec pas moins de 10 familles de malwares différents. Les principales victimes étant les internautes imprudents qui cherchent à profiter gratuitement des services du chatbot d’OpenAI et téléchargent ainsi des applications douteuses sur leur ordinateur. Facebook s’est engagé à lutter activement contre ce type d’escroqueries.

Article publié le 11 mai 2023 – © Les Echos Publishing 2023

De nouvelles directives pour le transfert de données hors UE

Encadrés par le Règlement général sur la protection des données (RGPD), les transferts de données hors Union européenne (UE) viennent de faire l’objet de lignes directrices émises par le Comité européen de la protection des données (CEPD).

Le développement d’internet a entraîné une circulation massive de données dans le monde, notamment dans les échanges commerciaux qui reposent de plus en plus sur des flux de données personnelles. Leur confidentialité et leur sécurité sont devenues un enjeu majeur à la fois pour les consommateurs, mais aussi pour les entreprises. Le RGPD impose deux conditions en matière de transferts des données hors UE. Tout d’abord, les responsables de traitement et les sous-traitants peuvent transférer des données hors de l’UE et de l’EEE (espace économique européen) à condition d’assurer un niveau de protection des données suffisant et approprié. Et d’autre part, le pays destinataire des données doit offrir un niveau de protection adéquat reconnu par l’UE.

Obtenir une certification

Pour apporter des garanties suffisantes dans les transferts de données à caractère personnel entre pays tiers, le responsable du traitement des données et le destinataire peuvent décider de s’appuyer sur l’obtention d’une certification. Le CEPD vient de livrer des lignes directrices pour fournir des orientations sur l’application du RGPD dans le cadre de transferts de données se basant sur une certification, notamment sur le processus d’obtention de cette certification utilisée comme outil de transfert ou encore sur les engagements qui devraient être pris.

Pour en savoir plus : https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072022-certification-tool-transfers_fr

Article publié le 09 mai 2023 – © Les Echos Publishing 2023

Google sécurise son appli de messagerie

Messages de Google devrait enfin proposer le chiffrage de toutes les conversations de groupe. Cette technologie assure que seules les personnes participant à un groupe peuvent lire les messages qui y sont échangés.

La sécurisation des données des utilisateurs est devenue un enjeu essentiel compte tenu de l’augmentation constante des cyberattaques. Or jusqu’à présent, Messages de Google, qui sert principalement aux possesseurs de smartphones sous Android pour envoyer et consulter des textos, échanger des photos et constituer des groupes de discussion, pêche sur la sécurité des informations, notamment dans les échanges de groupes.

Une confidentialité renforcée

Un point faible qui devrait disparaître dans les prochaines semaines, car Messages pour Android prévoit de proposer le chiffrage de bout en bout des conversations de groupe, alors que les discussions avec un unique interlocuteur sont déjà, depuis plusieurs mois, protégées par ce type de dispositif. Conséquence : ni les opérateurs téléphoniques, ni les FAI (fournisseurs d’accès à internet) et encore moins les pirates informatiques ne seront plus en mesure de savoir ce qui est dit dans ces groupes, garantissant ainsi une confidentialité totale aux utilisateurs.

Article publié le 02 mai 2023 – © Les Echos Publishing 2023