Le monde de la cybersécurité, de la confidentialité en ligne et de la protection des données évolue rapidement chaque mois. Il est difficile de tout suivre !
Notre résumé mensuel de la sécurité vous aide à rester informé des actualités les plus importantes en matière de cybersécurité et de confidentialité. Voici les événements marquants de septembre 2018.
Fin septembre 2018, une des plus grandes brèches de sécurité a été révélée : 50 millions de comptes utilisateurs Facebook ont été compromis. Facebook a réinitialisé les mots de passe de 90 millions de comptes par précaution, suggérant que le nombre final pourrait être plus élevé.
Les attaquants ont exploité une vulnérabilité dans la fonction « Afficher en tant que », qui permet de visualiser son profil comme le voient les autres. Trois failles ont été enchaînées : l'apparition de l'outil de téléchargement vidéo sur la page, la génération d'un jeton d'accès par cet outil, et l'obtention d'un jeton pour n'importe quel utilisateur.
Cette faille n'affecte pas seulement Facebook, mais aussi Instagram et de nombreux sites utilisant la connexion Facebook. Pour sécuriser vos comptes lors d'une connexion sociale, suivez nos conseils dédiés.
Initialement, les victimes étaient déconnectées sans avertissement. Facebook notifie désormais les utilisateurs concernés via un message en haut de leur fil d'actualité.
Cette brèche est cruciale pour les Européens : première violation majeure depuis l'entrée en vigueur du RGPD en mai 2018. Facebook, immatriculé en Irlande, risque une lourde amende de la Commission irlandaise de protection des données, une fois la nature de la violation évaluée.
Si vous êtes victime, suivez ces quatre étapes immédiates.
« Les gouvernements des États-Unis, du Royaume-Uni, du Canada, de l'Australie et de la Nouvelle-Zélande se sont engagés à respecter les droits personnels et la vie privée, et soutiennent le rôle du chiffrement dans la protection de ces droits. »
Les ministres des pays Five Eyes se sont réunis en Australie pour leur sommet annuel. Cette déclaration masque une menace : imposer aux géants tech (Apple, Facebook, Google) des « solutions d'accès licites », soit des portes dérobées dans le chiffrement.
Cela est techniquement impossible sans compromettre la sécurité de tous. Une porte dérobée profite aux criminels autant qu'aux autorités. Le débat persiste, avec peu d'arguments pour affaiblir le chiffrement. Certains outils comme GrayKey existent, mais sont limités. L'Allemagne explore l'interception à distance sur iOS, Android et BlackBerry.
British Airways a divulgué une attaque entre le 21 août 2018 (22h58) et le 5 septembre (21h45) : détails de paiement de 300 000 clients volés, sans données de passeport.
Le PDG Alex Cruz a qualifié cela d'« attaque criminelle sophistiquée » et promis une indemnisation totale. Les chercheurs de RiskIQ attribuent l'attaque au groupe Magecart (aussi derrière Ticketmaster et Newegg), via un code malveillant sur la page de paiement, hébergé en Roumanie.
« L'infrastructure était ciblée sur British Airways, avec des scripts furtifs imitant les paiements normaux. »
ESET a identifié le premier rootkit UEFI sauvage, persistant même après formatage. Traditionnellement protégé, l'UEFI est vulnérable ici, nécessitant un reflashage du firmware pour l'éliminer – hors portée des antivirus classiques.
Attribué au groupe Fancy Bear (lié à la Russie), il modifie l'outil LoJack d'Absolute Software pour réécrire les puces UEFI. Protection : activez Secure Boot UEFI pour rejeter les modules non certifiés.
Les États-Unis accusent Park Jin Hyok, lié à l'armée nord-coréenne, pour WannaCry (2017) et le piratage Sony (2014) qui a annulé The Interview.
Via une société écran, il a aussi visé banques et exchanges crypto. Le procureur John Demers dénonce ces cybercrimes mondiaux. Pyongyang nie, qualifiant l'accusation de « diffamation ».
« L'ampleur des cybercrimes allégués est stupéfiante et offensive pour l'état de droit. »
Ces cinq histoires dominent septembre 2018. D'autres faits notables :
Revenez pour octobre 2018. En attendant, vérifiez ces failles potentielles.
Crédit image : Thought Catalog Books/Flickr
[]