Perte de matériel en hôpital met en danger les informations de 1.6 millions de personnes
Nemours, une organisation américaine pour la santé des enfants annonce à travers un communiqué de presse la perte de trois bandes de sauvegarde non cryptées qui contenaient des donnés comme le nom, adresse, date de naissance, numéro de sécurité sociale, informations sur les assurances et traitements médicaux et les informations de compte bancaire de 1.600.000 patients et employés.
Ces trois bandes de sauvegarde étaient déposées dans une armoire qui pourrait avoir disparu durant un projet de modernisation des bureaux.
Jusqu’ici il n’existe aucune preuve que les bandes auraient été volées, accédées ou utilisées dans des buts frauduleux.
Nemours offre surveillance gratuite de crédit, protection contre le vol d’identité et support par un centre d’appels.
Leur communiqué ici: http://www.nemours.org/mediaroom/news/2011/missingtapes.html
La compagnie US Postal Services perd un CD contenant des infos sur 4000 personnes
Un CD contenant les données non-cryptées (mais protégées par mot de passe) de 4000 anciens employés de US Steel Mining a été perdu dans un incident chez US Postal Services.
La brèche de données a exposé les noms, dates de naissance et numéros de sécurité sociale des personnes affectées. L’incident a été fait publique car le CD envoyé en août par Benefits Administration Services n’était pas arrivé à la destination en mi-septembre.
L’expéditeur du CD travaille avec US Postal Services pour trouver le support de mémoire perdu, mais sans résultats jusqu’ici, même si on n’a pas encore des preuves que les données soient utilisées dans des buts frauduleux.
Les incidents de l’automne : les hacks
Septembre vient de commencer et les incidents de sécurité ne cessent pas. Il semble que cet automne les hacks sont ceux qui feront les news. Trois tels incidents se sont passés en seulement 2 jours :
Le premier a été une brèche de sécurité sur les serveurs de El Paso Independent School District, Etats-Unis. Les hackers ont accédé aux noms, adresses, dates de naissance et numéros de sécurité sociale des étudiants et des employés. Le pire est le fait que les numéros de sécurité sociale n’étaient pas chiffrés.
Le second incident implique deux étudiants de Birdville qui ont accédé à un serveur du réseau scolaire où ils ont eu accès à un fichier contenant les noms et numéros de sécurité sociale de 14.500 étudiants. Les coupables risquent des peines disciplinaires.
Le troisième incident a été le piratage du site web de l’association des chefs de police de Texas, Texas Police Chief Association. Les conséquences de cet événement ont été des informations confidentielles et des emails publiés. Le groupe de hackers Anonymus réclame la responsabilité pour ce piratage.
Est-ce que ces cas de piratage continueront comme jusqu’ici ? Qu’en pensez-vous ?
Une compagnie de recrutement dévoile les salaires des prestataires de RBS
Un email non-autorisé envoyé par la compagnie de recrutement Hays à 800 employés de RBS (Royal Bank of Scotland) a relevé les sommes payées aux prestataires qui travaillent temporairement pour la-banque.
Bien que les personnes qui ont reçu l’email soient employés de la banque et donc obligés à garder la confidentialité sur les informations contenues, RBS se déclare ‘extrêmement déçue’ et collabore avec Hays pour récupérer les données exposées. La compagnie de recrutement a déjà lancé une enquête sur cette brèche.
Suite à cet incident, des discussions sont issues sur les grands salaires offerts aux prestataires par une banque ayant un capital majoritairement détenu par l’Etat.
Plus de détails: http://www.computerweekly.com/Articles/2011/08/24/247707/RBS-pay-leak-reveals-the-contractors-paid-1632000-a.htm
Les hackers et les données volées
Les hackers ne ciblent pas toujours les plus grandes entreprises. Mais ils sont partout, il semble, et assez prolifique à briser les protocoles de sécurité et à exposer des informations précieuses en ligne. Seulement dans ces derniers jours, des histoires de trois tels incidents ont fait les nouvelles.
La première telle violation a ciblé la police colombienne. Anonymus peut être le meilleur connu groupe de hackers à l’époque, mais les « hackers colombiens » ont utilisé des bombes spam pour avoir accès à et exposer les données personnelles des employés de la Police Nationale, invitant le public à les harceler aussi.
BET24.com est la deuxième victime d’un incident de perte de données et abus déclenchée par le piratage. Les clients ont été avisés 19 mois après l’incident, bien que le site dit qu’ils ont amélioré leur sécurité plus tôt pour prévenir de tels incidents. Le piratage à rendu accessibles les détails comme les noms, adresses, adresses e-mail, identifiants de compte d’utilisateur, mots de passe cryptés et comptes bancaires de paiement par carte des clients. Ces informations ont été trouvées dans la possession d’autres personnes que les hackers, qui les ont acquis après le piratage.
«Il est connu que les informations volées ont été utilisées pour accéder à un nombre limité de comptes clients BET24, comptes de messagerie des tiers et comptes personnels », dit un avis de sécurité. « Un petit nombre de clients nous ont alerté à l’activité non autorisée sur leurs comptes BET24 et nous leurs avons intégralement remboursé les pertes financières apparues sur leurs comptes. »
Le Gouvernement de Tasmanie a été la troisième cible du hack, les responsables prétendent avoir volé 1800 noms d’utilisateur, adresses email et mots de passe hachés. Les données appartenant aux employés de plusieurs organismes de l’Etat, dont les ministères du Premier ministre et du Cabinet, du Trésorerie, de l’Infrastructure, Énergie et Ressources, de la Santé et des Services Sociaux, Industries Primaires, des Parcs, de l’Eau et de l’Environnement et du Développement économique, du Tourisme et des Arts.
Juin, le mois avec le plus grand nombre de pertes de données de 2011 jusqu’ici
Selon datalossdb.org, le site de Open Security Foundation, où on peut trouver les dernières nouvelles sur les pertes de données, le mois le plus riche en évènements a été juin, avec 90 incidents.
Les causes de ces incidents ont été diverses : les toujours présents vols d’ordinateurs/laptops/disques portables, des fraudes, des attaques des hackers, des données personnelles exposées sur des sites web, virus, des documents jetés à la poubelle, etc.
La brèche la plus grande de Juin est celle produite chez Sony Pictures, quand les hackers de LulzSec ont accédé à 1.000.000 d’enregistrements personnels des clients Sony en Belgique et Hollande.
Le groupe de hackers Anonymus prétend être en possession d’un GB de données de l’OTAN
Un message apparu sur Twitter cet après-midi a déclenché une investigation sur un groupe de hackers qui prétend avoir obtenu un GB de données de l’OTAN suite à une brèche.
Les hackers ont publié seulement les liens vers deux documents classés comme ‘restreints’ ; ils considèrent que publier toutes les données sur l’Internet serait ‘irresponsable’.
Plus de détails ici.
Employé copie 9.000 enregistrements de ses collègues
Un employé du Département de Santé de Californie a pensé qu’il serait une excellente idée de copier sur une disque portable les informations personnelles appartenant à 9.000 anciens et actuels employés de l’Etat. La brèche de sécurité découverte à l’intérieur du Département implique des noms, des dates de naissance et des adresses.
Le Département de Santé déroule une enquete pour découvrir le but et l’ampleur de la brèche.
Entre le temps, le coupable est en congés administratif pour enlever les informations personnelles et il répond à toutes les questions pour permettre à comprendre l’incident.
La brèche de données a été découverte grâce à un système de détection de la sécurité, qui a alerté les résponsables sur une activité potentiellement dangereuse passée en avril. Le Département a déclare qu’ils ont enforcé leur sécurité pour prévenir de tels incidents
A-t-il une manière simple de prévenir telles brèches? Une solution de sécurité des ports et prévention des pertes de données qui puisse tracer les transferts de fichiers, en disant aux départements IT qui a copié quoi et vers quel périphérique.
ICSP-Organisation internationale pour la protection de la cybersécurité
ICSPA ou l’Alliance Internationale pour la Protection de la Cyber Sécurité, est une organisation internationale basée à Buckinghamshire, Royaume-Uni, fondée dans l’automne de 2010. Son but est d’améliorer la sûreté et la sécurité des milieux d’affaires en ligne en aidant à fournir des ressources et l’expertise du secteur privé pour soutenir les agences de renforcement de la loi (nationales et internationales) dans leur tentative de minimiser les dommages causés par le criminalité sur Internet.
La vision de ses membres est d’obtenir une réduction des effets de la criminalité en ligne grâce à la collaboration internationale et au leadership collectif en embrassant les meilleures pratiques et en soutenant les partenariats mondiaux et les efforts conjoints afin de définir, coordonner et promouvoir des systèmes de soutien et patronage de classe mondiale.
L’organisation a identifié plusieurs domaines d’action au service de leur mission:
- Programme d’aide internationale – on collaborera avec les gouvernements des différents pays, avec leurs organismes d’application de la loi et les entreprises du secteur privé qui travaillent sur ces marchés afin de financer des projets visant à accroître la capacité et les moyens de ces organismes, réduisant les dommages causées par la cybercriminalité.
- Programme d’aide national et régional – on travaillera avec les agences de renforcement de la loi et les corporations en Australie, au Canada, UE, la Nouvelle-Zélande et les Etats-Unis afin de fournir des fonds pour réduire la criminalité sur Internet.
- Accréditation des formations – on va s’efforcer de soutenir les efforts qui sont déjà faites pour l’introduction de normes et d’accréditation pour les cours de formation en cybersécurité et cybercriminalité
- Partage d’information – on travaillera à partager l’expertise, les connaissances et les bonnes pratiques parmi les sociétés membres et les organismes d’application de la loi.
Le lancement d’ ICSPA a eu lieu à Londres le 5 Juillet, et l’horaire de’activités futures peut être téléchargé à https://www.icspa.org/fileadmin/user_upload/Downloads/ICSPA_Meeting_Events_Schedule_2011.pdf
