Dans un rapport de 80 pages, les experts de l’Anssi livrent leurs recommandations pour limiter les violations de données applicatives. Des préconisations basées sur leur retour d’expérience après analyse des incidents de ce type.
Le pire n’est jamais certain. Et dans « un grand nombre » de cas, le piratage aurait pu être évité. Tel est en substance le message du centre gouvernemental de veille, d'alerte et de traitement des attaques informatiques (Cert-FR).
Dans un document touffu de 80 pages, ce dernier vient de livrer son retour d’expérience sur les violations de données applicatives. Autant d’incidents à l’origine d’une grande partie des fuites massives de données personnelles déplorées ces dernières années.
Pourtant, « dans la plupart des cas, ces exfiltrations résultent d’intrusions sans exploitation de vulnérabilité technique », rappelle le Cert-FR dans son rapport. Il s’agit ainsi généralement d’une « réutilisation d’identifiants légitimes », d’accès « obtenus par ingénierie sociale ou, simplement », d’une « exposition des données sans contrôle d’accès ».
Les experts de l’Anssi, la tutelle du Cert-FR, s’appuient sur plusieurs exemples pour illustrer leur propos. Il y a ainsi cette entité de la e-santé dont le piratage d’un compte utilisateur a permis à un attaquant d'avoir accès à une API pouvant requêter sa base de données.
Autre exemple similaire: celui d'un appplicatif limitant insuffisamment les accès via une API. Cela avait permis une exfiltration massive de données après le piratage d'un compte utilisateur.
Dans un troisième cas, des employés d'entreprises de l'agroalimentaire ont fait rentrer le loup dans la bergerie en installant un logiciel malveillant. Ce dernier était censé être un programme gratuit permettant de convertir des des documents Word en format PDF.
Une opération pourtant possible directement via des logiciels de traitement de texte. En réalité, le programme exfiltrait les documents téléversés par les utilisateurs avant de générer des documents provoquant l'installation d'un infostealer.
Il y a également, encore trop « fréquemment », des cas d’équipements pas mis à jour. Le patchage des équipements de sécurité et de réseau exposés sur Internet doit pourtant être fait « systématiquement et immédiatement ».
Dans d’autres cas, le Cert-FR a pu observer « des mesures temporaires de protection contre l’exploitation d’une vulnérabilité » finalement « pérennisées sans jamais corriger la faille ». « Cette pratique est dangereuse, car les attaquants tendent à développer des chemins d’exploitation alternatifs qui finissent par contourner les mesures temporaires », rappelle l’organisme.
De même, les experts de l’Anssi citent de « nombreux cas d’exposition involontaire de données, dus à une erreur de configuration ou à un manque de sécurisation ». Et de signaler ce cas d’une entreprise de la santé qui a exposé des données médicales sur ses sites. Une erreur avait été commise lors d’une intervention de maintenance sur un serveur. « Les données, très facilement accessibles, ont pu être consultées ou téléchargées », déplore le Cert-FR.
Autres boulettes à éviter : l’usage d’adresses publiques en interne d’infrastructures applicatives, par exemple. Cela peut rendre « confus l’interprétation de flux observés et aggrave toute erreur de configuration des protocoles de routage ». Tout comme de mauvaises configuration des serveurs de journaux UNIX, qui peuvent rendre « difficile le traçage des actions des attaquants ».
Aux pros de la sécurité de jouer désormais pour prendre en compte dans leurs organisations ce retour d'expérience.
Pendant un peu plus d'une heure lundi, le répertoire permettant de télécharger l'outil de contrôle en ligne de commande d'OVHcloud a été compromis pour diffuser un logiciel malveillant. L'attaque a été repérée par un utilisateur et bloquée par OVHcloud.
Le principal mis en cause dans l’affaire du détournement d’un milliard de jetons HLG, des cryptos qui pesaient alors environ 14 millions d’euros, s’était fait remarqué par des publications autour de la sécurité des NFT.
Et il n'existe aucune possibilité de se désinscrire.
L’ancien développeur d’une entreprise crypto est accusé d’avoir créé une porte dérobée dans le protocole pour générer ensuite un milliard de tokens et les revendre.
Mail, SMS ou faux site imitant PayPal, Amazon ou votre banque : voici comment reconnaître un phishing, le signaler et sécuriser vos comptes.
Family Link encadre applis, écran et contenu sur Android, mais ne bloque pas tout. Voici ce que le contrôle parental Google protège, et ses limites réelles.
Norton, Bitdefender, McAfee, Avast ou Surfshark proposent un antivirus avec VPN inclus. Voici ce que ces offres apportent vraiment, et leurs limites.
Windows intègre Microsoft Defender par défaut. Suffit-il face aux virus, au phishing et aux ransomwares, ou faut-il un antivirus tiers ?
Une nouvelle fonctionnalité introduite avec iOS 27 (et iPadOS 27) est un paramètre appelé « Détection des risques d’usurpation d’identité », qui vise à vous alerter en cas d’activité suspecte susceptible de vous exposer à une arnaque.
De nos jours, dans la lutte contre les menaces en ligne, les certifications et les années d'expérience ne suffisent plus. Avec l'automatisation renforcée par l’IA, trois compétences prennent le relais.
Le fichier de diagnostic caché détaille toutes les données enregistrées quotidiennement par votre Pixel, votre Samsung ou même votre Motorola. Voici ce que vous pouvez en tirer.
Mais si vous cherchiez cette fonctionnalité sur votre téléphone, j'ai une mauvaise nouvelle pour vous.
