Comment voler les plans du palais de l’Elysée? Sur une clé USB!

Ce dimanche un incident des plus communs s’est passé à la gare Lyon de Paris: un voleur a fait disparaitre une clé USB d’une voiture. Rien de spécial ici, ce type de choses arrivent tous les jours!

Ce qui fait que cet incident soit spécial c’est les infos stockées sur la clé. Le propriétaire de la clé était un entrepreneur impliqué dans un projet d’installation de fibre optique dans quelques bâtiments importants de Paris. Sa clé contenait les plans hautement confidentiels du palais de l’Elysée, du ministère de l’intérieur et de la préfecture de police de Paris. Le plus grave c’est que la clé n’était pas cryptée, donc le voleur a accès plein à tous les documents!

La question qui se pose maintenant est: est-ce que le voleur savait à priori quel type d’informations se trouvaient sur la clé ou est-ce qu’il a volé cette clé précise par hasard?

L’ICO du Royaume-Uni prend des mesures sérieuses pour renforcer la protection des donnéees

L’ICO (Bureau du Commissaire de l’Information) a méné une investigation sur un cas de perte de matériel dans le mois de mai au Rochdale Metropolitan Borough Council. L’incident a consisté de la perte d’une clé de mémoire non chiffrée par un employé du département financier du Conseil, clé qui contenait les noms, adresses et détails de paiement de 18.000 résidents. Le ùatériel perdu n’a pas été trouvé à ce jour.

L’enquete a conclu que le Conseil de Rochdale a violé le Data Protection Act (Loi de Protection de Données) en ne fournissant pas aux employés des clés USB cryptées (meme s’il était un fait connu que ces périphériques étaient utilisés pour transférer des données privées) et en n’assurant pas la formation nécessaire pour bien utiliser les périphériques portables dans des buts proffésionnels.

Sally Anne Poole, le chef de renforcement d’ICO considère ce cas comme ‘inacceptable’ et dit que ‘Cet incident pourrait avoir été facilement évité si des mesures adéquates de sécurité auraient été en place’- dans une citation par eWeek.

Les mesures prises par ICO dans ce cas consistent en signer une liste d’actions à prendre pour implémenter des politiques de protection de données jusqu’au 31 mars 2012.

Espérons que plus qu’une organisation qui traite des données personnelles va apprendre de cet incident et chiffre les périphérique portables de stockage avec des solutions adéquates.

Perte de matériel en hôpital met en danger les informations de 1.6 millions de personnes

Nemours, une organisation américaine pour la santé des enfants annonce à travers un communiqué de presse la perte de trois bandes de sauvegarde non cryptées qui contenaient des donnés comme le nom, adresse, date de naissance, numéro de sécurité sociale, informations sur les assurances et traitements médicaux et les informations de compte bancaire de 1.600.000 patients et employés.

Ces trois bandes de sauvegarde étaient déposées dans une armoire qui pourrait avoir disparu durant un projet de modernisation des bureaux.

Jusqu’ici il n’existe aucune preuve que les bandes auraient été volées, accédées ou utilisées dans des buts frauduleux.

Nemours offre surveillance gratuite de crédit, protection contre le vol d’identité et support par un centre d’appels.

Leur communiqué ici: http://www.nemours.org/mediaroom/news/2011/missingtapes.html

Les hackers et les données volées

Les hackers ne ciblent pas toujours les plus grandes entreprises. Mais ils sont partout, il semble, et assez prolifique à briser les protocoles de sécurité et à exposer des informations précieuses en ligne. Seulement dans ces derniers jours, des histoires de trois tels incidents ont fait les nouvelles.

La première telle violation a ciblé la police colombienne. Anonymus peut être le meilleur connu groupe de hackers à l’époque, mais les « hackers colombiens » ont utilisé des bombes spam pour avoir accès à et exposer les données personnelles des employés de la Police Nationale, invitant le public à les harceler aussi.

BET24.com est la deuxième victime d’un incident de perte de données et abus déclenchée par le piratage. Les clients ont été avisés 19 mois après l’incident, bien que le site dit qu’ils ont amélioré leur sécurité plus tôt pour prévenir de tels incidents. Le piratage à rendu accessibles les détails comme les noms, adresses, adresses e-mail, identifiants de compte d’utilisateur, mots de passe cryptés et comptes bancaires de paiement par carte des clients. Ces informations ont été trouvées dans la possession d’autres personnes que les hackers, qui les ont acquis après le piratage.

«Il est connu que les informations volées ont été utilisées pour accéder à un nombre limité de comptes clients BET24, comptes de messagerie des tiers et comptes personnels”, dit un avis de sécurité. “Un petit nombre de clients nous ont alerté à l’activité non autorisée sur leurs comptes BET24 et nous leurs avons intégralement remboursé les pertes financières apparues sur leurs comptes. ”

Le Gouvernement de Tasmanie a été la troisième cible du hack, les responsables prétendent avoir volé 1800 noms d’utilisateur, adresses email et mots de passe hachés. Les données appartenant aux employés de plusieurs organismes de l’Etat, dont les ministères du Premier ministre et du Cabinet, du Trésorerie, de l’Infrastructure, Énergie et Ressources, de la Santé et des Services Sociaux, Industries Primaires, des Parcs, de l’Eau et de l’Environnement et du Développement économique, du Tourisme et des Arts.

Juin, le mois avec le plus grand nombre de pertes de données de 2011 jusqu’ici

Selon datalossdb.org, le site de Open Security Foundation, où on peut trouver les dernières nouvelles sur les pertes de données, le mois le plus riche en évènements a été juin, avec 90 incidents.

Les causes de ces incidents ont été diverses : les toujours présents vols d’ordinateurs/laptops/disques portables, des fraudes, des attaques des hackers, des données personnelles exposées sur des sites web, virus, des documents jetés à la poubelle, etc.

La brèche la plus grande de Juin est celle produite chez Sony Pictures, quand les hackers de LulzSec ont accédé à 1.000.000 d’enregistrements personnels des clients Sony en Belgique et Hollande.

Perte ou vol de matériel, toujours une cause importante pour les pertes de données dans le secteur de la santé

Bien qu’il existe des mesures qui peuvent être prises pour prévenir les pertes de données causées par les salariés et pour impliquer plus le personnel pour éviter de tels événements, il y a beaucoup d’incidents de sécurité causés par la perte ou le vol du matériel appartenant à l’entreprise par les membres du personnel. Ordinateurs portables, disques durs, clés USB et d’autres périphériques de stockage sont perdus ou volés sur une base quotidienne, ce qui expose les données privées de milliers de personnes au vol d’identité ou fraude, et beaucoup de tels cas se produisent dans le secteur de la santé.

Par exemple, un ordinateur qui peut contenir des informations sur 20 000 patients de l’hôpital Reid a été volé du bureau à domicile d’un employé de l’hôpital il y a quelques mois. L’ordinateur contenait quelques fichiers Medicaid et Medicare pour les patients ayant reçu des services entre 1999 et 2008.

En outre, les services de santé d’Alberta ont récemment été informés par le Dr R. Burnham et la Clinique Medical Associates de Lacombe qu’un disque dur portable, contenant des copies d’environ 1000 dossiers des clients Alberta Health Services ‘Pain Central Alberta & Rehabilitation Institute (CAPRI) a récemment été volé. Aucune preuve de que les données soient utilisées est apparue jusqu’à présent, mais la menace est toujours bien réelle.

Sony annonce la perte des données personnelles de 70 millions utilisateurs

Un article publié sur le blog de Sony le mardi, 26 avril dévoile le fait que les serveurs des services PlayStation et Qriocity ont été attaqués entre le 17 et 19 avril.

Les officiels de Sony avertissent qu’il a eu une intrusion illégale et non-autorisée au niveau de leur réseau, ce qui  a mené à l’arrêt de ces services (depuis le mercredi passé) et qui a compromis les informations de certains utilisateurs. Selon Open Security Foundation, 70 millions de personnes ont été affectées.

Même si l’enquête est toujours en cours, Sony croit que l’attaqueur a obtenu le nom, l’adresse, le pays, l’adresse email, la date de naissance, l’identifiant et mot de passe pour PlayStation/Qriocity, et l’identifiant PSN en ligne. Il est possible que les données concernant les cartes de crédit (numéro de carte et date d’expiration) soient aussi compromises, mais ils n’existent pas des preuves claires dans ce sens.

Les utilisateurs sont conseillés de ne pas répondre aux demandes de données personnelles sensibles, parce que celles-ci peuvent être des tentatives de scams et de vérifier leurs comptes bancaires pour éviter les fraudes.

Les officiels  de Sony regrettent l’incident et assurent qu’ils mettent tout en œuvre pour restaurer les serveurs et augmenter leur niveau de sécurité.

Les données personnelles de 1800 patients en danger suite à une brèche de sécurité

L’hôpital St. Vincent d’Indiannapolis, USA a envoyé des lettres pour informer 1800 patients que leurs données personnelles sont à risque après avoir découvert des actions illégales ménées par un tiers pour obtenir les logins de certains comptes email.

Ces attaques sont susceptibles d’avoir permis l’accès aux noms et informations médicales des patients.

Les officiels de l’hôpital regrettent la situation et ils assurent qu’ils prennent toutes les mesures pour empêcher que ce type d’incident se passe dans le futur.

Plus de détails ici.

Les employés, une source fréquente d’incidents de fraude dans les entreprises

Les fraudes des employés ont coûté les compagnies moyennes environ 5% de leurs revenus en 2009, le vol des sources des entreprises représentant jusqu’à 90% des incidents.
Les employés semblent être tentés par l’accès privilégié aux données et commettre des fraudes. Selon un rapport publié par l’Association des Examinateurs Certifiés des Fraudes (ACFE) ce type de fraude est le plus dommageable, causant une perte de plus de 4 millions de dollars.

‘Ils ont un niveau d’accès élevé, qui leur donne des meilleures opportunités de commettre des fraudes.’ dit Ben Knieff, directeur de marketing pour les produits de fraude chez Actimize.

Pour prévenir ce genre de fraudes il y a quelques pas proactifs que les compagnies peuvent prendre:

Limiter l’accès aux données critiques – comme les données sont difficile à contenir, les compagnies doivent maintenir les employés sous une surveillance continue; l’accès aux données critiques doit être limité à un nombre d’employés autorisés.
Selon Shane Sims, directeur de pratique judiciaire chez PricewaterhouseCoopers, même si les compagnies ne peuvent pas contrôler avec succès le mouvement des données à l’intérieur de leurs réseaux, savoir quels employés accèdent aux données les plus importantes peut être suffisant pour prévenir les fraudes potentielles les plus significatives.

Utiliser l’avantage d’être à l’intérieur – quand il s’agit de fraude, les employés ont l’avantage de connaître le réseau et les politiques d’entreprise; néanmoins, les compagnies peuvent également collecter une grande quantité d’informations qui ne serait pas disponible hors du réseau, dans les cas d’auteurs externes.

Ecouter les employés – en formant leurs employés les compagnies peuvent beneficier du fait qu’ils détéctent le comportement malicieux d’autres employés.

Selon un rapport d’ACFE, 40% des cas de fraude sont signalés par un tiers, pendant que la moitié de ces indices sont transmises par un employé. Selon le même rapport, 43% des auteurs vivent dessus de leurs moyens et plus de 30% ont des problèmes financiers.

Perte de données à l’hôpital St Vincent de Dublin

Les officiels de St Vincent University Hospital de Dublin ont rapporté au bureau du Comissaire pour la Protection des Données la perte d’un disque dur externe qui contenait les informations médicales des patients qui ont souffert des maladies du larynx entre 2002 et 2008.
Le disque est disparu le 21 Octobre 2010. Des avis ont été affichés dans l’hôpital pour demander si quelqu’un avait vu le support de sauvegarde. On ne sait pas encore si les données étaient cryptées ou non.
Le porte-parole de l’hôpital a déclaré que cette perte n’affecte pas le processus médical et que l’institution va contacter les personnes affectées par la perte du disque.
Les officiels du bureau du Comissaire pour la Protection des Données ont déclaré qu’ils déroulent une enquête sur l’événement et qu’ils ne peuvent pas en faire des commentaires.