Les incidents de l’automne : les hacks

Septembre vient de commencer et les incidents de sécurité ne cessent pas. Il semble que cet automne les hacks sont ceux qui feront les news. Trois tels incidents se sont passés en seulement 2 jours :

Le premier a été une brèche de sécurité sur les serveurs de El Paso Independent School District, Etats-Unis. Les hackers ont accédé aux noms, adresses, dates de naissance et numéros de sécurité sociale des étudiants et des employés. Le pire est le fait que les numéros de sécurité sociale n’étaient pas chiffrés.

Le second incident implique deux étudiants de Birdville qui ont accédé à un serveur du réseau scolaire où ils ont eu accès à un fichier contenant les noms et numéros de sécurité sociale de 14.500 étudiants. Les coupables risquent des peines disciplinaires.

Le troisième incident a été le piratage du site web de l’association des chefs de police de Texas, Texas Police Chief Association. Les conséquences de cet événement ont été des informations confidentielles et des emails publiés. Le groupe de hackers Anonymus réclame la responsabilité pour ce piratage.

Est-ce que ces cas de piratage continueront comme jusqu’ici ? Qu’en pensez-vous ?

Un virus expose les données de 3000 patients d’une clinique américaine

Une investigation déroulée au sein de la clinique Living Healthy Clinic de Wisconsin, EU a relevé l’existence d’un virus sur un ordinateur du réseau qui a exposé 3000 enregistrements des patients.

Les experts ont conclu que l’attaque n’était pas ciblée car on avait découvert le même type de virus sur d’autres ordinateurs aux EU qui n’avaient pas de liaison avec la clinique.

Les informations exposées suite à l’attaque comprenaient les noms, les adresses, les numéros de sécurité sociale et les données médicales de quelques patients.

Les officiels vont annoncer les personnes affectées sur la brèche de sécurité et les informer sur les mesures à prendre pour se protéger.

Une compagnie de recrutement dévoile les salaires des prestataires de RBS

Un email non-autorisé envoyé par la compagnie de recrutement Hays à 800 employés de RBS (Royal Bank of Scotland) a relevé les sommes payées aux prestataires qui travaillent temporairement pour la-banque.

Bien que les personnes qui ont reçu l’email soient employés de la banque et donc obligés à garder la confidentialité sur les informations contenues, RBS se déclare ‘extrêmement  déçue’ et collabore avec Hays pour récupérer les données exposées. La compagnie de recrutement a déjà lancé une enquête sur cette brèche.

Suite à cet incident, des discussions sont issues sur les grands salaires offerts aux prestataires par une banque ayant un capital majoritairement détenu par l’Etat.

Plus de détails: http://www.computerweekly.com/Articles/2011/08/24/247707/RBS-pay-leak-reveals-the-contractors-paid-1632000-a.htm

Les hackers et les données volées

Les hackers ne ciblent pas toujours les plus grandes entreprises. Mais ils sont partout, il semble, et assez prolifique à briser les protocoles de sécurité et à exposer des informations précieuses en ligne. Seulement dans ces derniers jours, des histoires de trois tels incidents ont fait les nouvelles.

La première telle violation a ciblé la police colombienne. Anonymus peut être le meilleur connu groupe de hackers à l’époque, mais les « hackers colombiens » ont utilisé des bombes spam pour avoir accès à et exposer les données personnelles des employés de la Police Nationale, invitant le public à les harceler aussi.

BET24.com est la deuxième victime d’un incident de perte de données et abus déclenchée par le piratage. Les clients ont été avisés 19 mois après l’incident, bien que le site dit qu’ils ont amélioré leur sécurité plus tôt pour prévenir de tels incidents. Le piratage à rendu accessibles les détails comme les noms, adresses, adresses e-mail, identifiants de compte d’utilisateur, mots de passe cryptés et comptes bancaires de paiement par carte des clients. Ces informations ont été trouvées dans la possession d’autres personnes que les hackers, qui les ont acquis après le piratage.

«Il est connu que les informations volées ont été utilisées pour accéder à un nombre limité de comptes clients BET24, comptes de messagerie des tiers et comptes personnels », dit un avis de sécurité. « Un petit nombre de clients nous ont alerté à l’activité non autorisée sur leurs comptes BET24 et nous leurs avons intégralement remboursé les pertes financières apparues sur leurs comptes.  »

Le Gouvernement de Tasmanie a été la troisième cible du hack, les responsables prétendent avoir volé 1800 noms d’utilisateur, adresses email et mots de passe hachés. Les données appartenant aux employés de plusieurs organismes de l’Etat, dont les ministères du Premier ministre et du Cabinet, du Trésorerie, de l’Infrastructure, Énergie et Ressources, de la Santé et des Services Sociaux, Industries Primaires, des Parcs, de l’Eau et de l’Environnement et du Développement économique, du Tourisme et des Arts.

Juin, le mois avec le plus grand nombre de pertes de données de 2011 jusqu’ici

Selon datalossdb.org, le site de Open Security Foundation, où on peut trouver les dernières nouvelles sur les pertes de données, le mois le plus riche en évènements a été juin, avec 90 incidents.

Les causes de ces incidents ont été diverses : les toujours présents vols d’ordinateurs/laptops/disques portables, des fraudes, des attaques des hackers, des données personnelles exposées sur des sites web, virus, des documents jetés à la poubelle, etc.

La brèche la plus grande de Juin est celle produite chez Sony Pictures, quand les hackers de LulzSec ont accédé à 1.000.000 d’enregistrements personnels des clients Sony en Belgique et Hollande.

Le groupe de hackers Anonymus prétend être en possession d’un GB de données de l’OTAN

Un message apparu sur Twitter cet après-midi a déclenché une investigation sur un groupe de hackers qui prétend avoir obtenu un GB de données de l’OTAN suite à une brèche.

Les hackers ont publié seulement les liens vers deux documents classés comme ‘restreints’ ; ils considèrent que publier toutes les données sur l’Internet serait ‘irresponsable’.

Plus de détails ici.

Employé copie 9.000 enregistrements de ses collègues

Un employé du Département de Santé de Californie a pensé qu’il serait une excellente idée de copier sur une disque portable les informations personnelles appartenant à 9.000 anciens et actuels employés de l’Etat. La brèche de sécurité découverte à l’intérieur du Département implique des noms, des dates de naissance et des adresses.

Le Département de Santé déroule une enquete pour découvrir le but et l’ampleur de la brèche.

Entre le temps, le coupable est en congés administratif pour enlever les informations personnelles et il répond à toutes les questions pour permettre à comprendre l’incident.

La brèche de données a été découverte grâce à un système de détection de la sécurité, qui a alerté les résponsables sur une activité potentiellement dangereuse passée en avril. Le Département a déclare qu’ils ont enforcé leur sécurité pour prévenir de tels incidents

A-t-il une manière simple de prévenir telles brèches? Une solution de sécurité des ports et prévention des pertes de données qui puisse tracer les transferts de fichiers, en disant aux départements IT qui a copié quoi et vers quel périphérique.

Etude de sécurité – Que font les employés du Gouvernement avec une clé USB trouvée ?

La curiosité est plus forte que tout désir de sécurité ou toute peur de hackers et d’autres individus malveillants a été la conclusion d’une étude de sécurité dirigée par le Department of Homeland Security des Etats-Unis. L’étude a démontré la facilité avec laquelle les pirates et d’autres personnes en dehors des sociétés peuvent aller au-delà des firewalls et d’autres mesures de sécurité, simplement en plantant des clés USB ou des disques durs dans le bon endroit.

Le test a tenté les employés du gouvernement en laissant tomber les dites clés USB et disques durs dans les stationnements des édifices gouvernementaux et des prestataires privés qui travaillent avec le gouvernement, juste en les attendant à prendre l’appât. 60% des gens qui ont ramassé les périphériques portables les ont réellement branchés dans leurs ordinateurs du bureau. Si un logo officiel a été ajouté au dispositif, le pourcentage des installations du logiciel qu’il contenait est allé jusqu’à 90%.

L’étude complète menée par le Department of Homeland Security sera publié plus tard cette année. Pourtant, les premiers résultats misent une perspective sombre sur la sécurité des données et du réseau: la plupart des gens la viole dans une seconde pour aussi peu qu’une clé USB utilisée gratuite – le plus communes coûtent moins de 10 dollars.

Mark Rasch, directeur de la sécurité des réseaux et conseil de confidentialité pour Computer Sciences Corp  une compagnie basée en Falls Church, en Virginie, a déclaré à Bloomberg:

« Il n’y a aucun dispositif connu à l’humanité qui va empêcher les gens d’être idiots. »

Cette phrase est une conclusion aussi bonne que le vieil adage: « La curiosité a tué le chat. »

Les conseils que vous devez toujours garder à l’esprit est que les clés USB, cartes de mémoire, disques durs et pratiquement tous les disques portables qu’on trouve juste autour des bureaux, que ce soit des entreprises, des ONG ou les bâtiments du gouvernement, ne sont pas dignes de confiance. Il est préférable de les mettre dans une poubelle, si vous voulez réellement les ramasser, et de vous assurer que personne d’autre ne tombe dans un tel piège.

Sony annonce la perte des données personnelles de 70 millions utilisateurs

Un article publié sur le blog de Sony le mardi, 26 avril dévoile le fait que les serveurs des services PlayStation et Qriocity ont été attaqués entre le 17 et 19 avril.

Les officiels de Sony avertissent qu’il a eu une intrusion illégale et non-autorisée au niveau de leur réseau, ce qui  a mené à l’arrêt de ces services (depuis le mercredi passé) et qui a compromis les informations de certains utilisateurs. Selon Open Security Foundation, 70 millions de personnes ont été affectées.

Même si l’enquête est toujours en cours, Sony croit que l’attaqueur a obtenu le nom, l’adresse, le pays, l’adresse email, la date de naissance, l’identifiant et mot de passe pour PlayStation/Qriocity, et l’identifiant PSN en ligne. Il est possible que les données concernant les cartes de crédit (numéro de carte et date d’expiration) soient aussi compromises, mais ils n’existent pas des preuves claires dans ce sens.

Les utilisateurs sont conseillés de ne pas répondre aux demandes de données personnelles sensibles, parce que celles-ci peuvent être des tentatives de scams et de vérifier leurs comptes bancaires pour éviter les fraudes.

Les officiels  de Sony regrettent l’incident et assurent qu’ils mettent tout en œuvre pour restaurer les serveurs et augmenter leur niveau de sécurité.

Clé USB contenant des données confidentielles disparue des usines Dacia

Quelques dirigeants des usines Dacia ont reçu en début d’année des emails où on leur demandait une somme considérable d’argent ou une voiture Dacia Duster à l’échange de  garder silence sur les processus de fabrication de Duster. La tentative de chantage appartenait à Gheorghe M., qui avait attaché à son mail quelques fichiers sur les technologies de fabrication, pour démontrer qu’il possède les documents confidentiels.

L’homme dit qu’il a trouvé dans la cour des usines Dacia une clé qui contenait le processus de fabrication de Dacia Duster, mais qu’il n’est pas la personne qui avait entré dans le système informatique de la compagnie pour copier ces données sur la clé.

Suite à la demande juridique faite par les représentants Dacia, Gheorghe M. a été identifié, retenu et interrogé.

‘Nous l’avons identifié par des procédures  spécifiques, des descentes ont été effectuées à son domicile. Nous avons trouvé des preuves de son action dans son ordinateur portable personnel. L’accusé a menacé les représentants Dacia d’envoyer les documents aux compagnies concurrentes. Lors de l’interrogatoire il a reconnu les faites ’ dit le procureur en chef de DIICOT Pitesti.

Les recherches continuent pour établir qui est la personne qui est entrée dans le système informatique de l’entreprise pour copier les documents sur la clé.

Pour prévenir le vol et les fuites de données confidentielles, qui non seulement produisent des pertes financières, mais aussi endommagent l’image de la compagnie, les experts en sécurité recommandent  l’utilisation des outils logiciels pour crypter et surveiller les ports USB.