#cybersécurité

  • Ubisoft victime d’un « incident » informatique, un groupe de pirates laisse entendre son implication
    https://www.lemonde.fr/pixels/article/2022/03/14/ubisoft-victime-d-un-incident-informatique-un-groupe-de-pirates-laisse-enten

    Ces dernières semaines, ce groupe spécialisé dans le vol de données avait publié des documents qu’il affirme avoir volés à d’autres entreprises spécialisées dans les nouvelles technologies.

    #jeu_vidéo #jeux_vidéo #ubisoft #sécurité #piratage #lapsus #vs-underground #nvidia #cybersécurité #cybercriminalité #police #justice

  • « Mon espace santé » : ce qu’il faut savoir sur le nouveau dossier médical numérique
    https://www.francetvinfo.fr/sante/politique-de-sante/mon-espace-sante-ce-qu-il-faut-savoir-sur-le-nouveau-dossier-medical-nu

    Nouvelle révolution" du côté de la santé. Avec quelques semaines de retard liées à la cinquième vague de Covid-19, le gouvernement a ouvert la généralisation de « Mon espace santé », jeudi 3 février. « Les Français sont prêts » pour ce « nouveau cap dans le développement du numérique en santé », a déclaré Olivier Véran lors d’une conférence de presse, comparant ce lancement à celui de la carte Vitale en 1998. Le dispositif permettra à tout assuré de bénéficier d’un carnet de santé numérique, créé automatiquement. Franceinfo fait le point sur ce compte en ligne, grâce auquel il sera possible pour les assurés de « stocker et d’accéder à leurs données de santé en toute confiance et en toute sécurité ».

    Les comptes « Mon espace santé » sont créés automatiquement. Cette automatisation est d’ailleurs dénoncée comme un « passage en force » et une « négation du droit des patients sur le consentement libre et éclairé » par le Syndicat de la médecine générale (SMG), minoritaire dans la profession.

    #santé #numérisation #data #cybersécurité #contrôle_social

  • Gros succès pour le #fédivers, il est maintenant utilisé par le logiciel malveillant (en l’occurrence pour trouver le C&C ou C2, le centre de commandement du botnet où le zombie va prendre ses ordres).

    https://www.bleepingcomputer.com/news/security/vidar-stealer-abuses-mastodon-to-silently-get-c2-configuration

    https://heimdalsecurity.com/blog/vidar-stealer-returns-and-has-a-new-target-mastodon

    Notez la remarque vicieuse, classique chez les sécuritaires, comme quoi le fédivers n’est pas assez censuré.

    (Ne regardez pas le compte cité dans l’article, il a déjà été fermé.)

    Les logiciels malveillants ont déjà utilisé le DNS, IRC, XMPP, le Web, Ethereum, Twitter, des pads, pour communiquer avec leur C&C, tôt ou tard, ils devaient utiliser le fédivers. Tout outil de communication peut être utilisé ainsi. C’est pour ça que des remarques comme « Mastodon a relatively under-moderated space » sont très connes : est-ce qu’il propose qu’un censeur (« modérateur », en politiquement correct) lise tous les profils et comprenne que scan:192.0.2.1 est une instruction ?

    Un bon exemple d’une utilisation d’un outil existant pour la communication du logiciel malveillant : https://www.bleepingcomputer.com/news/security/russian-state-hackers-use-britney-spears-instagram-posts-to-contro

    #cybersécurité

  • La voiture autonome ? Une catastrophe écologique Celia Izoard pour Reporterre
    https://reporterre.net/La-voiture-autonome-Une-catastrophe-ecologique

    L’industrie automobile prépare activement la généralisation des véhicules autonomes. Problème : leur mise en œuvre à grande échelle aurait des conséquences écologiques très néfastes.

    Dans le principe, la prouesse technologique consistant à remplacer par des machines les innombrables opérations complexes qu’effectue une personne au volant paraît difficilement compatible avec l’idée de sobriété. Un des derniers modèles, présenté en janvier au dernier Consumer’s Electronic Show de Las Vegas, le SUV Range Rover équipé par l’entreprise Valeo, comporte pas moins de quatre ou cinq caméras, huit lidars (qui permettent de mesurer les distances à partir d’un faisceau laser), plusieurs radars longue portée, un ordinateur central de grande puissance, une caméra trifocale sur le pare-brise et d’autres capteurs. La généralisation de ces véhicules impliquerait, pour abaisser les coûts de façon acceptable, le lancement d’une production de masse de tous ces objets, en supplément de l’électronique déjà présente dans les véhicules actuels. Aux États-Unis, la National Mining Association rappelle régulièrement aux décideurs que « la sophistication croissante des produits de l’industrie automobile va faire exploser la demande en métaux et la compétition pour ces ressources » [1]. En clair, impossible d’obtenir la matière première de tous ces superalliages sans provoquer une augmentation de l’activité minière, qui compte parmi les industries les plus polluantes [2].

    Deuxième problème : la croissance exponentielle des #données (le #data). La conduite automatisée repose sur de gigantesques volumes d’informations que les divers capteurs transmettent aux algorithmes de traitement d’images. Selon Brian Krzanich, PDG d’Intel, un véhicule autonome va générer et consommer, pour huit heures de conduite, environ 40 téraoctets de données, soit l’équivalent de 40 disques durs d’ordinateur. « En circulation, chacun de ces véhicules produira autant de données que 3.000 utilisateurs d’ #internet », précise-t-il [3]. Or la facture énergétique du traitement et du stockage du big data est déjà préoccupante. En France, les #datacenters consommaient déjà en 2015 plus d’électricité que la ville de Lyon. En 2017, ils ont consommé à eux seuls 3 % de l’électricité produite dans le monde, soit 40 % de plus qu’un pays comme le Royaume-Uni [4].

    « L’autonomie apparente du propriétaire d’une automobile recouvrait sa radicale dépendance » 
    Enfin, la généralisation des véhicules autonomes nécessite le déploiement de la #5G et le renouvellement des infrastructures routières. « Il est probable que l’environnement deviendra plus standardisé et proactif à mesure que sera développée une infrastructure plus communicante, résume un article de la Harvard Business Review. Il faut s’imaginer des transmetteurs radio à la place des feux rouges, des réseaux sans fil permettant aux véhicules de communiquer entre eux et avec les infrastructures, et des unités de bord de route fournissant des informations en temps réel sur la météo, le trafic, et d’autres paramètres [5]. »

    L’Union européenne finance plusieurs projets de ce type via le programme #Codecs, notamment le projet #Cooperative_ITS_Corridor, une autoroute expérimentale connectée desservant #Amsterdam, #Francfort et #Vienne. Une portion test de 8 km est déjà équipée d’une « unité de bord de route » (comprenant une antenne 5G et des ordinateurs) tous les 500 m et d’une caméra tous les 100 m. On imagine la quantité de matériel nécessaire pour équiper ne serait-ce que toutes les autoroutes d’Europe ! Le projet est loin d’être marqué par la sobriété, et moins encore si l’on imagine « des caméras avec des unités de communication (...) installées sur les feux rouges pour avertir le conducteur du passage “au vert” », comme les auteurs du Livre blanc #Mobility_Nation, le rapport du Boston Consulting Group remis au gouvernement pour accélérer l’essor du #transport_autonome [6].


    Un prototype de véhicule autonome Nissan, en 2014.

    On peut dès lors s’interroger sur la dénomination de ces véhicules : autonomes, vraiment ? André Gorz montrait déjà en 1973 à quel point l’automobile, qui dépend d’un approvisionnement en pétrole et d’une infrastructure gigantesque, reposait sur une autonomie largement fictive : « Ce véhicule allait obliger [l’automobiliste] à consommer et à utiliser une foule de services marchands et de produits industriels que seuls des tiers pouvaient lui fournir. L’autonomie apparente du propriétaire d’une automobile recouvrait sa radicale dépendance [7]. » La démonstration paraît encore plus probante pour ces véhicules qui ne pourraient « rouler tout seuls » qu’à la condition de modifier radicalement leur environnement en déployant autour d’eux un ensemble de macrosystèmes techniques.

    « Un moment de confort, dépourvu de stress, qui offre au consommateur son espace privé, des horaires flexibles, et presque aucune tâche de conduite » 
    Pour les entreprises, les véhicules dits autonomes participent pourtant de la « #mobilité_durable ». Leur argumentaire a largement été repris par le gouvernement : dans les « Neuf solutions de la nouvelle France industrielle » du président macron, les véhicules autonomes figurent en bonne place dans le volet « #mobilité_écologique ». Quels sont les arguments ? D’une part, l’interconnexion des véhicules et des infrastructures va réduire les embouteillages en permettant d’ajuster les itinéraires en temps réel. Ensuite, la conduite autonome, plus fluide, consommerait moins d’ #énergie. Surtout, le transport autonome serait porteur de la fameuse révolution de l’ #autopartage : on pourrait délaisser son véhicule personnel au profit des services de #robots-taxis en #covoiturage. Mais en analysant cette promesse, on constate qu’elle sert surtout à contrebalancer le principal problème que pose le transport autonome : le redoutable #effet_rebond, tel que les économies d’énergie procurées par une technique vont susciter l’augmentation de la consommation.

    Selon un rapport de Morgan Stanley, il paraît vraisemblable que les premiers véhicules autonomes opérationnels à grande échelle seront des #camions de transport routier. Ils seraient pilotés à distance sur des routes complexes et en conduite automatique sur autoroute ; ces camions pourraient circuler en convois, avec un seul chauffeur à la tête de plusieurs véhicules. Étant donné que la paie des chauffeurs représente environ 40 % du coût du transport, les grandes entreprises du secteur s’attendent à une baisse historique des prix, qui donnerait à la route un avantage certain par rapport au #ferroviaire [8]. Que ce soit pour du fret ou de la livraison, on aurait là une incitation à augmenter le nombre de marchandises en circulation, pour le plus grand profit des monopoles de la vente en ligne. Et comment les particuliers, les actifs surmenés par exemple, résisteraient-ils à la tentation de se faire livrer tout et n’importe quoi à domicile ?

    Selon ce même rapport, les véhicules autonomes pourraient concurrencer les transports en commun, d’une part en diminuant de deux tiers le coût d’un #taxi, d’autre part en rendant la voiture personnelle plus attractive : « Si l’automobile devient un moment de confort, dépourvu de stress, qui offre au consommateur son espace privé, des horaires flexibles, et presque aucune tâche de conduite, le consommateur pourrait échapper aux désagréments des transports publics en optant pour la “conduite” d’un véhicule autonome personnel. » La voiture autonome renforcerait ainsi le phénomène de suburbanisation, rendant acceptable de vivre plus loin de son travail en permettant à beaucoup de commencer leur journée dès l’aube dans une sorte de bureau privatif mobile. Elle permettrait à de nouveaux usagers — enfants, personnes très âgées — de se déplacer facilement, ce qui augmenterait encore, comme l’a confirmé une étude de l’université de Leeds, le nombre de véhicules sur les routes [9]. En gros, concluent les chercheurs, à partir du moment où il ne sera plus nécessaire de toucher le volant, les effets négatifs se multiplieront.


    Un prototype de voiture sans chauffeur d’Uber à San Fransisco, en novembre 2016.

    « Au plan environnemental, la voiture autonome est a priori catastrophique, puisqu’elle va faciliter le recours à l’automobile », confirme Bertrand-Olivier Ducreux, du service transport et mobilités de l’Agence pour l’environnement et la maîtrise de l’énergie (Ademe). Ce service est notamment chargé de l’appel à projets « expérimentation du véhicule routier autonome » qui subventionne les entreprises du secteur via le plan d’investissement d’avenir. « La position de l’ #Ademe, c’est de tenter d’orienter les véhicules autonomes vers une mobilité vertueuse, en faisant en sorte qu’ils soient utilisés comme un service d’autopartage. L’idéal, pour nous, c’est une navette de six, huit places sans conducteur. » Par exemple, un véhicule Uber sans chauffeur qui viendrait chercher plusieurs clients effectuant des trajets semblables.

    « Une solution efficace serait de réserver les véhicules autonomes aux systèmes de transport collectif plutôt qu’aux particuliers » 
    En admettant l’idée de confier l’avenir des transports collectifs à Uber et autres géants du net, la promotion de ces robots-taxis pourrait-elle suffire à enrayer ce qui ressemble à une étape de plus vers la #surconsommation ? Pour Thomas Le Gallic, chercheur en prospective au sein du laboratoire Ville Mobilité Transport, le pari est risqué. « Les études concluent que les véhicules autonomes pourraient aussi bien doubler que diviser par deux la consommation d’énergie associée à la mobilité des personnes. Mais l’augmentation semble plus probable, parce que les gens seront incités à faire des trajets plus longs. Pour moi, une solution efficace serait de réserver les véhicules autonomes aux systèmes de transport collectif plutôt qu’aux particuliers. Mais ce n’est pas la tendance qui se dessine. »

    Ainsi, loin de l’étiquette « mobilité écologique » sous laquelle les pouvoirs publics investissent dans les véhicules autonomes, il faudrait inverser le constat : pour que cette innovation ne soit pas catastrophique, il faudrait une politique extrêmement volontariste.

    Cela impliquerait que le gouvernement, de manière assez invraisemblable, décide de rendre la voiture personnelle prohibitive pour la remplacer par une ambitieuse politique de transports publics et de navettes. Est-ce vraiment le projet ? L’État prévoit-il de se donner les moyens de limiter drastiquement les ventes des constructeurs automobiles ? Est-ce vraiment ce qu’Emmanuel Macron avait en tête, lors de son discours de mars 2018 sur l’ #intelligence_artificielle, quand il déclarait vouloir mener la « bataille essentielle » de la voiture autonome parce que « la #France est une grande nation automobile, et nous y avons notre rôle historique » ?

    En mai 2018, l’État avait déjà dépensé près de 200 millions d’euros pour subventionner la #recherche en véhicules autonomes [10]. C’est sans commune mesure avec ce que pourrait ensuite coûter la mise en œuvre de la 5G, la refonte des infrastructures routières, les mesures de #cybersécurité, soit les investissements publics colossaux nécessaires à leur déploiement, auxquels il faut ajouter le coût social de la mise au chômage de plusieurs centaines de milliers de chauffeurs professionnels.

    Si l’objectif est de mener la « révolution de l’autopartage » et d’en finir avec la voiture personnelle, a-t-on besoin des véhicules autonomes ? Ces investissements ne pourraient-ils pas tout aussi bien servir à mener une aussi ambitieuse politique de transports collectifs avec conducteurs en finançant les trains, les bus et les navettes que réclament les habitants des campagnes et de la France périurbaine pour délaisser leur voiture personnelle ?

    Notes
    [1] « Minerals Drive the Auto Industry », American Mining Association, 10/02/14.
    [2] Cf. Revue Z, n° 12, « Trésors et conquêtes », Agone, 2018.
    [3] « Just one autonomous car will use 4000 GB of data per day », Network World, 7/12/16.
    [4] « Quand le stockage de données consommera plus d’énergie que le monde n’en produit », L’Usine nouvelle, 29/06/18.
    [5] « To Make Self-Driving Cars Safe, We Also Need Better Roads and Infrastructure », 14/08/18.
    [6] « Réinventer la mobilité urbaine et périurbaine à l’horizon 2030 », novembre 2017. Le Boston Consulting Group est une émanation du Forum économique mondial financé par 1.000 multinationales réalisant un chiffre d’affaires supérieur à 3 milliards d’euros.
    [7] « L’idéologie sociale de la bagnole », Le Sauvage, automne 1973.
    [8] Blue Paper on Autonomous Cars, 2013.
    [9] « Self-driving Cars : Will They Reduce Energy Use ? », University of Leeds, 2016 ; « Will Self-driving Cars Be Good or Bad for the Planet ? », geekwire.com, 25/02/16.
    [10] Développement des véhicules autonomes : orientations stratégiques pour l’action publique, mai 2018.

  • Un cambriolage record de cryptomonnaies chez Poly Network par des pirates informatiques
    Le vol, évalué à 600 millions de dollars par des experts, est le plus important jamais observé par le secteur. La société Poly Network a invité les hackers à « (leur) parler pour trouver une solution »

    #Poly_Network, une société spécialisée dans les transferts de #cryptomonnaies, a rapporté mardi un vol record, le plus gros jamais observé par le secteur, évalué à 600 millions de dollars (512 millions d’euros) par des experts.

    « Cher hacker (...) nous voulons entrer en communication avec vous et vous exhorter à rendre les actifs que vous avez piratés », a écrit l’entreprise Poly Network dans une lettre adressée aux pirates informatiques et publiée sur Twitter. « La somme d’argent que vous avez piratée est la plus grosse dans l’histoire de la finance décentralisée. Cet argent vient de dizaines de milliers de membres de la communauté crypto. »

    https://twitter.com/PolyNetwork2/status/1425123153009803267/photo/1

    En tout, le vol de #jetons d’#Ethereum, #BinanceChain et #OxPolygon représente quelque 600 millions de dollars, selon des calculs d’utilisateurs comme le chercheur en #cybersécurité et spécialiste de l’Ethereum #Mudit_Gupta.

    Sur Twitter, l’entreprise a publié les adresses utilisées par les hackers, et appelé les détenteurs de portefeuilles de cryptomonnaies à les « blacklister ».

    Les piratages, une tendance « alarmante »

    Les transferts de #bitcoins et autres #crypto-actifs reposent sur la technologie de la #blockchain, qui permet a priori de se passer d’intermédiaires comme les banques, les transactions se faisant directement d’utilisateur à utilisateur.

    « Les autorités de n’importe quel pays vont considérer vos méfaits comme un crime économique majeur et vous serez poursuivis. (...) Vous devriez nous parler pour trouver une solution », insiste Poly Network dans sa lettre.

    Fin avril, les vols de cryptomonnaies, piratages et fraudes avaient atteint 432 millions de dollars (368,7 millions d’euros) en tout, selon #CipherTrace. « Ce chiffre peut sembler petit comparé aux années passées, mais si on regarde plus en détail, on observe une tendance alarmante : les piratages dans la #finance_décentralisée représentent désormais plus de 60% du volume total des #piratages et #vols », constate le cabinet spécialisé.
    #monaie #argent

  • La ville de Liège a relancé (partiellement) ses serveurs et ses ordinateurs Michel Gretry
    https://www.rtbf.be/info/regions/liege/detail_la-ville-de-liege-a-relance-partiellement-ses-serveurs-et-ses-ordinateur

    3 semaines de paralysie informatique et administrative dans une ville de prés de 200 000 habitants, et sa banlieue

    Les choses commencent enfin à s’améliorer, au cœur de la troisième semaine de paralysie informatique de la ville de Liège. La cyberattaque « de grande ampleur » dont elle a été victime a nécessité l’intervention de spécialistes pour relancer les services aux citoyens. Les tests de ce mardi ont été positifs, ce qui a permis, en fin d’après-midi, d’annoncer enfin concrètement, département par département, presque guichet par guichet, ce qui fonctionne.


    La première priorité a été donnée à l’état civil, qui est accessible uniquement sur rendez-vous. A partir de ce mercredi, sept mairies de quartier sont ouvertes en semaine, et parmi elles, trois le samedi matin. C’est là que les liégeois peuvent obtenir leurs cartes d’identité, les titres de séjour pour étrangers, les certificats de domicile, les compositions de ménage, les changements d’adresse, les passeports, les extraits de casier judiciaire, les permis de conduire provisoires. Au vu de l’arriéré accumulé en quinze jours, la patience reste de mise

    Le service des mariages n’est pas encore totalement opérationnel. Les cimetières sont ouverts, les funérailles peuvent avoir lieu, mais le registre des sépultures reste indisponible. La liste complète des consignes et des marches à suivre est consultable sur le site www.liege.be 

    #numérisation #informatisation par des #guignols #hacking #cyberattaque #cyberguerre #malware #ransomware #sécurité #cybersécurité #cyberattaques #algorithme #sécurité_informatique #piratage

    • Près de 20.000 clients stéphanois de SFR privés de téléphone et d’internet après un incendie
      https://www.lefigaro.fr/flash-eco/pres-de-20-000-clients-stephanois-de-sfr-prives-de-telephone-et-d-internet-

      Un incendie a interrompu vendredi la téléphonie et l’accès à internet chez près de 20.000 clients stéphanois de l’opérateur SFR, a-t-on appris de sources concordantes.

      « L’incendie, qui a touché des équipements techniques de collecte du réseau, a peu endommagé les infrastructures », a déclaré à l’AFP Cyrille-Frantz Honegger, délégué régional Centre-Est d’Altice France, précisant que « 19.000 particuliers et une centaine d’entreprises ont été impactés ». Le feu, qui a atteint des gaines par où transitent les câbles d’un serveur alimentant les clients de SFR en téléphonie fixe et en internet, aurait été provoqué par le groupe électrogène d’une entreprise voisine, selon les pompiers. Dans leur lutte contre le sinistre, les services de secours ont indiqué avoir « noyé » un serveur se trouvant dans des armoires métalliques adossées à l’entreprise.

      Fin de l’incident à 17h30
      L’incident, survenu peu avant 9 heures, a notamment impacté des services de la préfecture de la Loire et du CHU de Saint-Etienne, précisent les pompiers. Le retour à la normale était prévu pour la fin d’après-midi selon SFR. Vers 17h30, la préfecture de la Loire a indiqué sur Twitter la « fin de l’incident sur le réseau fixe » de l’opérateur, précisant que les « liaisons téléphoniques et télévisuelles » étaient « rétablies ». Le 8 juin dernier, le fonctionnement du standard du numéro d’urgence du Samu (15) dans la Loire avait été affecté pendant plusieurs heures à la suite d’une avarie technique sur l’infrastructure interne du réseau téléphonique du CHU de Saint-Etienne.

  • A New Kind of Ransomware Tsunami Hits Hundreds of Companies | WIRED
    https://www.wired.com/story/kaseya-supply-chain-ransomware-attack-msps

    IT WAS PROBABLY inevitable that the two dominant cybersecurity threats of the day— supply chain attacks and ransomware—would combine to wreak havoc.

    #États-Unis | Des dizaines d’entreprises visées par des #rançons après l’attaque de la société Kaseya | La Presse
    https://www.lapresse.ca/affaires/2021-07-02/etats-unis/des-dizaines-d-entreprises-visees-par-des-rancons-apres-l-attaque-de-la-soc

    Basée à Miami en Floride, Kaseya propose des outils informatiques aux petites et moyennes entreprises, dont l’outil VSA destiné à gérer leur réseau de serveurs, d’ordinateurs et d’imprimantes depuis une seule source. Elle revendique plus de 40 000 clients.

    #cybersécurité

  • Les méthodes douteuses des firmes de renseignement privées israéliennes exposées
    https://fr.timesofisrael.com/les-methodes-douteuses-des-firmes-de-renseignement-privees-israeli

    Selon un reportage, une agence de renseignements aurait usurpé l’identité de journalistes, soulevant des questions sur la régulation et les limites de l’industrie

    Un reportage a accusé, la semaine dernière, une firme israélienne des renseignements d’avoir usurpé l’identité de journalistes pour obtenir de manière illicite des informations d’opposants à un membre de la famille royale émiratie – mettant en lumière ces entreprises israéliennes de cyber-renseignements qui acceptent de travailler pour des régimes totalitaires.

    Une enquête du Times of Israël a révélé que le propriétaire de la firme en question, Bluehawk CI, a été traduit devant la justice au sein de l’État juif, dans le passé, et notamment pour fraude. Le ministère de la Défense a choisi de ne pas répondre à une requête de commentaire du Times of Israël concernant la raison pour laquelle il n’avait pas été amené à réguler les activités menées par la firme à l’étranger.

    Selon un reportage paru le 6 avril sur le site du Daily Beast , des individus qui avaient prétendu, début 2020, être journaliste pour Fox News et reporter pour le journal italien La Stampa avaient approché deux hommes qui s’opposaient aux autorités de Ras Al Khaimah, l’un des sept émirats constituant les Émirats arabes unis (EAU). Selon le Daily Beast , les deux individus qui avaient usurpé l’identité des deux journalistes avaient tenté d’extraire des informations aux deux hommes concernant leurs conflits judiciaires respectifs avec l’émirat.

    L’article publié sur le site souligne comment Israël, ces dernières années, a fait naître une industrie de firmes d’espionnage privées qui, de toute évidence, ne sont pas régulées – avec certains officiers militaires israéliens qui offrent au secteur privé les compétences qu’ils ont acquises dans les unités de renseignement secrètes, vendant souvent leur savoir-faire à des personnalités douteuses ou à des régimes autoritaires.

    Le Daily Beast aurait réussi à établir l’identité de la firme privée de renseignement en contactant Facebook, qui a révélé que les comptes utilisés par les deux journalistes présumés étaient associés à Bluehawk CI.

    Bluehawk CI s’est refusé, de son côté, à tout commentaire.

    Un porte-parole du ministère de la Défense a noté que Bluehawk CI n’apparaissait pas sur sa liste de vendeurs approuvés, mais il n’a pas répondu à une question de suivi sur le rôle présumé du ministère en termes de régulation initiale des initiatives de l’entreprise.

    Selon la loi sur le contrôle des exportations, tout exportateur d’équipements de défense ou de savoir-faire particulier, dans le secteur, doit d’abord s’inscrire et recevoir une autorisation de la part de l’Agence de contrôle des exportations de la Défense au sein de l’État juif.

    Bluehawk CI est l’une des firmes de renseignement privées les moins connues dans le pays. Fondée en juin 2018, elle offre des solutions dans les domaines de la cybertechnologie et des renseignements, notamment dans la « gestion du génie social et de la campagne de relations publiques » et dans les « enquêtes de renseignement complexes », selon son site internet.

    La compagnie a été fondée par Guy Klisman, ancien major au sein de Tsahal – elle lui appartient encore aujourd’hui. Klisman est aussi directeur académique de l’Institut d’innovation Pafos à Chypre, un institut d’études en cybersécurité fondé par Uriel Reichman, professeur de droit à la tête de l’Institut interdisciplinaire de Herzliya. La compagnie de Klisman, Bluehawk CI, est l’un des sponsors de l’équipe de basket du Hapoel Tel Aviv.

    Des documents judiciaires révèlent qu’avant de fonder l’entreprise, Klisman a été mis en examen à deux reprises par les procureurs israéliens – une fois pour contrefaçon et une autre pour répondre de multiples débits non-autorisés réalisés sur la carte de crédit de l’une de ses connaissances. Il a plaidé coupable dans le premier dossier. La mise en examen a finalement été annulée dans le second.

    https://www.youtube.com/watch?v=XifQHRaSWdQ&feature=emb_imp_woyt

    Selon le Daily Beast , au mois de février 2020, une personne prétendant s’appeler « Samantha », journaliste de Fox News, a contacté un homme nommé Oussama El Omari par courriel. El Omari est l’ancien directeur-général de l’Autorité chargée de la zone de libre-échange de Ras Al Khaimah. Il a été condamné par contumace aux Émirats arabes unis pour « détournement de fonds et abus de pouvoir » suite à une bataille de succession à Ras Al Khaimah. El Omari, pour sa part, a dénoncé des inculpations purement politiques.

    « Samantha » aurait tenté d’obtenir des informations sur ses affaires judiciaires l’opposant à Ras Al Khaimah. Contacté par le Daily Beast , Facebook aurait déclaré à ce dernier que le compte de « Samantha » était lié à Bluehawk CI.

    Selon le site d’information, un autre utilisateur de Facebook prétendant être un journaliste pour La Stampa , un journal italien, a contacté Khater Massaad, autre adversaire du régime actuel de Ras Al Khaimah. Massaad était à la tête du fonds souverain de Ras Al Khaimah, RAKIA, jusqu’en 2021. Il a été condamné par une cour émiratie en 2015 pour détournement de fonds au sein de RAKIA, des accusations qui, selon Massaad, étaient tronquées et politiquement motivées.

    Le faux journaliste, que Facebook a lié à Bluehawk CI, a de la même façon tenté d’extraire des informations sur sa relation avec les gouvernants de Ras Al Khaimah, a fait savoir le Daily Beast .

    « Coût de la vie élevé »
    La normalisation récente des liens entre Israël et les Émirats arabes unis a été une aubaine pour les entreprises de renseignement et de cybersécurité, avec des entreprises comme NSO Group, spécialisée dans le hacking téléphonique, Synaptech Capital, spécialisée dans le capital-risque, et Cellebrite, qui ont toutes conclu des accords lucratifs dans ces émirats du désert.

    La cybersécurité est l’un des premiers secteurs technologiques en Israël en terme d’investissements récoltés, selon l’Autorité de l’innovation israélienne.

    Pour Bluehawk CI, travailler aux EAU a pu être une source de liquidités désespérément nécessaire.

    En 2015, avant de fonder Blackhawk CI, Klisman et son épouse – ils ont depuis divorcé – ont déclaré leur faillite devant les tribunaux israéliens. Le couple était endetté à hauteur de centaines de milliers de shekels, dettes qu’ils avaient attribuées au « coût de la vie élevé » au sein de l’État juif.

    Israël est l’un des pays les plus chers au monde. Tel Aviv a récemment intégré la cinquième place des villes les plus chères sur le globe.

    En 2016, les procureurs israéliens ont mis en examen Klisman pour avoir contrefait des documents judiciaires et des assignations de huissiers de justice pour tenter d’empêcher l’armée israélienne de saisir son salaire pour payer des créditeurs. Un juge l’a reconnu coupable, mais il n’a pas été officiellement condamné et a dû effectuer 250 heures de service communautaire. Klisman s’est retiré de Tsahal à la fin de l’année 2017 et a fondé son entreprise six mois plus tard.

    Au mois de janvier 2018, Klisman a été accusé par la police des fraudes d’avoir utilisé la carte de crédit d’une femme rencontrée via un groupe WhatsApp consacré au tennis pour procéder à des achats non-autorisés à hauteur de 1 577 shekels. Une année plus tard, le gouvernement a retiré cette mise en examen.

    Klisman n’a pas donné suite à une requête de commentaire de la part du Times of Israël .

    Tandis que la personnalité qui a eu recours aux services de Bluehawk reste indéterminée, Radha Stirling, directeur-général de Detained à Dubaï – une entreprise qui représente des clients dans des conflits juridiques avec les gouvernements aux EAU – a la certitude qu’il s’agit bien du gouvernement de Ras Al Khaimah.

    « C’est monstrueux », a déclaré Stirling dans un communiqué de presse.

    « En confiant par contrat une mission d’espionnage à une firme privée, le gouvernement de Ras Al Khaimah tente d’échapper à la responsabilité de devoir rendre des comptes pour espionner des ressortissants étrangers en-dehors de sa juridiction – mais c’est bien là une violation majeure. Les EAU et Israël doivent assumer leurs responsabilités », a-t-il ajouté.

    Où placer la ligne rouge de l’éthique ?
    Selon un rapport émis par la cyberadministration israélienne, fin 2018, Israël comptait 421 cyber-entreprises actives dont 7 % – soit une trentaine – sont spécialisées dans le « cyber-renseignement ».

    Elad Ratson, ex-diplomate israélien, qui est aussi le fondateur et le directeur-général de Vayehee, une compagnie qui utilise les technologies pour contrer les Fake-news , la désinformation venant de l’étranger ou ce qu’il qualifie « d’armes en ligne d’obstruction massive », a déclaré au Times of Israël qu’il pensait que ce nombre était supérieur, selon ses propres estimations.


    Elad Ratson. (Autorisation)

    La plus grande partie des firmes de cyber-renseignements israéliennes sont spécialisées dans l’OSINT, ou « renseignements open-source », a-t-il noté. « C’est un secteur d’expertise des services israéliens de renseignement. Il y a une forte quantité de données, en ligne, qui sont ouvertement disponibles et les services israéliens de renseignement sont connus pour leur usage efficace de l’apprentissage automatique et de l’intelligence artificielle et pour extraire des informations de qualité de cet océan de données. »

    La majorité des firmes israéliennes de renseignement se concentrent sur l’OSINT (Renseignement d’Origine Source Ouverte) passif, poursuit-il, en collectant des données qui sont largement disponibles.

    D’autres s’engagent toutefois également dans ce qu’il appelle « l’ingénierie de perception » ou la manipulation du point de vue d’une cible par le biais de méthodes appelées « duperie en ligne ». De telles firmes, affirme-t-il, peuvent souvent avoir mauvaise réputation en résultat de leurs activités. L’une des plus célèbres est Black Cube.

    Toutefois, Ratson estime que de nombreuses entreprises de cyber-renseignement se fixent des lignes rouges en termes d’éthique et qu’elles ne les franchissent pas.

    « Contrairement aux autres ministères en Israël, celui de la Défense a un bureau de régulation des exportations qui est fort. Les cyber-entreprises israéliennes font attention à ne pas travailler avec le ‘mauvais’ type de client et à ne pas se mettre, pour cela, dans une situation délicate vis-à-vis du ministère de la Défense », commente-t-il.

    Toutefois, la « tentation est élevée », ajoute Ratson. « Parfois, quand il y a beaucoup d’argent sur la table, certaines entreprises ont pu tenter de fermer un peu les yeux sur l’éthique. Et c’est là qu’on a pu voir apparaître, dans les médias, une couverture internationale négative concernant des firmes de cyber-renseignement israéliennes. »

    #Émirats_arabes_unis #EAU #israel #Tel_Aviv #espionnage #espionnage_privé #Bluehawk_CI #renseignement #cybertechnologie #cybersécurité #cyber-renseignement #Tsahal #fonds souverain #RAKIA #NSO_Group #hacking #Synaptech_Capital #Cellebrite #Detained #cyberadministration #cyber-entreprises actives #cyber-renseignement #Vayehee #Fake-news #cyber-renseignements #OSINT renseignements_open-source #IA #intelligence_artificielle #ingénierie_de_perception #duperie_en_ligne #Black_Cube #journalistes

  • Distinguer les noms de domaine détournés des noms de domaine enregistrés aux fins d’actes de malveillance à l’aide de COMAR : principaux résultats et perspectives d’avenir https://www.afnic.fr/observatoire-ressources/papier-expert/distinguer-les-noms-de-domaine-detournes-des-noms-de-domaine-enregistres-aux-f #Cybersécurité

    Distinguishing exploited from malicious domain names using COMAR : key findings and future directions https://www.afnic.fr/en/observatory-and-resources/expert-papers/distinguishing-exploited-from-malicious-domain-names-using-comar-key-findings- #DNS #Afnic #ccTLDs #gTLDs #CyberSecurity #Internet #Security

  • Report : Facebook Helped the FBI Exploit Vulnerability in a Secure Linux Distro for Child Predator Sting
    https://gizmodo.com/report-facebook-helped-the-fbi-exploit-vulnerability-i-1843988377

    Une affaire très intéressante. Tout part d’une « bonne intention » (arrêter un pédophile ; cela aurait aussi pu être des terroristes) mais conduit à d’une part avoir Facebook se comporter comme un Etat et d’autre part diminuer la sécurité des activistes, journalistes et autres usagers de systèmes hypersécurisés.

    Facebook security personnel and engineers helped the FBI track down a notorious child predator by helping a third-party company develop an exploit in a security-focused version of the Linux operating system, Tails, per a Wednesday report by Vice. But they did so quietly and without notifying the developers of Tails afterwards of the major security flaw, potentially violating security industry norms while handing over a surveillance backdoor to federal agents.

    Facebook had tasked a dedicated employee to unmasking Hernandez, developed an automated system to flag recently created accounts that messaged minors, and made catching Hernandez a priority for its security teams, according to Vice. They also paid a third party contractor “six figures” to help develop a zero-day exploit in Tails: a bug in its video player that enabled them to retrieve the real I.P. address of a person viewing a clip. Three sources told Vice that an intermediary passed the tool onto the FBI, who then obtained a search warrant to have one of the victims send a modified video file to Hernandez (a tactic the agency has used before).

    There’s no clear evidence as to whether the FBI knew the exploit was developed in part by Facebook, leading one to wonder how forthcoming it was planning to be about its involvement. There are also obvious ethical issues with developing exploits in another company’s product, especially Tails, which was designed with the security of users including reporters, whistleblowers, stalking victims, and political activists in mind.

    Facebook also never notified the Tails team of the flaw—breaking with a long industry tradition of disclosure in which the relevant developers are notified of vulnerabilities in advance of them becoming public so they have a chance at implementing a fix. Sources told Vice that since an upcoming Tails update was slated to strip the vulnerable code, Facebook didn’t bother to do so, though the social media company had no reason to believe Tails developers had ever discovered the bug.

    Some of the current and former Facebook employees aware of the decision to help the FBI were critical, with one telling Vice that the “precedent of a private company buying a zero-day to go after a criminal” was “fucked up” and “sketchy as hell.” Others told the site it was a decision made of last resort that doesn’t set a precedent, with one saying it was the “right thing” to do and other companies would not be willing to “[spend] the amount of time and resources to try to limit damage caused by one evil guy.”

    #Facebook #Cybersécurité #FBI

  • How a Bad App—Not the Russians—Plunged Iowa Into Chaos - The Atlantic
    https://www.theatlantic.com/technology/archive/2020/02/bad-app-not-russians-plunged-iowa-into-chaos/606052

    You may be wondering if the Iowa caucus chaos is a hit job by election-meddling Russians. The morning after caucus-goers filed into high-school gyms across Iowa, the state’s Democratic Party is still unable to produce results. The app it developed for precisely this purpose seems to have crashed. The party was questioned before by experts about the wisdom of using a secretive app that would be deployed at a crucial juncture, but the concerns were brushed away. Troy Price, the state party’s chairman, claimed that if anything went wrong with the app, staffers would be ready “with a backup and a backup to that backup and a backup to the backup to the backup.” And yet, more than 12 hours after the end of the caucus, they are unable to produce results. Last night, some precinct officials even waited on hold for an hour to report the results—and got hung up on.

    If the Russians were responsible for this confusion and disarray, that might be a relatively easy problem to fix. This is worse.

    It appears that the Iowa Democrats nixed the plan to have precincts call in their results, and instead hired a for-profit tech firm, aptly named Shadow, to tally the caucus results. (As if the name weren’t enough to fuel conspiracies, the firm is run by an alum of Hillary Clinton’s presidential campaign.) The party paid Shadow $60,000 to develop an app that would tally the results, but gave the company only two months to do it. Worried about Russian hacking, the party addressed security in all the wrong ways: It did not open up the app to outside testing or challenge by independent security experts.

    This method is sometimes dubbed “security through obscurity,” and while there are instances for which it might be appropriate, it is a fragile method, especially unsuited to anything public on the internet that might invite an attack. For example, putting a spare key in a secret place in your backyard isn’t a terrible practice, because the odds are low that someone will be highly motivated to break into any given house and manage to look exactly in the right place (well, unless you put it under the mat). But when there are more significant incentives and the system is open to challenge by anyone in the world, as with anything on the internet, someone will likely find a way to get the keys, as the Motion Picture Association of America found out when its supposedly obscure digital keys, meant to prevent copyright infringement, quickly leaked. Shadow’s app was going to be used widely on caucus day, and independent security experts warned that this method wasn’t going to work. The company didn’t listen.

    But why bother hacking the system? Anything developed this rapidly that has not been properly stress-tested—and is being used in the wild by thousands of people at the same time—is likely to crash the first time it is deployed.

    There never should have been an app. There are officials responsible for precinct results, but there are also representatives of campaigns on the ground in every precinct. Even without a more substantial reform of the complex and demanding caucus process, a simple adversarial confirmation system (a process used by many countries) would have worked well.

    America already knows how to do election integrity. The National Academy of Sciences released a lengthy report about it last year, complete with evidence-based recommendations for every step of the electoral process. I wrote a summary of that report, but the full thing is available online. It tells us why optical paper-scan systems offer us the best mix of convenience and security, and advises us how to keep a proper paper trail. Experts and civil-society organizations have been advocating for these changes for years. It would take just a bit of money and political will to fix much of this, and fairly quickly. Instead, we’ve kicked off a 2020 election season that promises to be fraught in any number of ways. Several campaigns have reported that the same app is due to be used in Nevada in just three weeks.

    Who needs the Russians?

    #Zeynep_Tufekci #Iowa_Caucus #App_inutile #Cybersécurité

  • Sonos Makes It Clear : You No Longer Own The Things You Buy - VICE
    https://www.vice.com/en_us/article/3a8dpn/sonos-makes-it-clear-you-no-longer-own-the-things-you-buy

    $300 smart hubs that are suddenly bricked when the manufacturer is sold. Video game consoles that mysteriously lose features after you bring them home. Books or films you purchase that you suddenly and inexplicably lose the ability to access. Printers that don’t print without an ink subscription.

    In the modern internet era, it’s increasingly clear that consumers no longer actually own the things we buy. Instead, we’re shelling out big bucks for products that can easily lose features or worse—stop working entirely on the whim of a corporation.

    The latest example comes courtesy of Sonos, which this week informed customers in an email that it would no longer be supporting certain speaker systems. In the email, the company says that certain “legacy” systems will stop receiving security and software updates starting in May.

    “Legacy products were introduced between 2005 and 2011 and, given the age of the technology, do not have enough memory or processing power to sustain future innovation,” the company’s email claims. Users that have shelled out hundreds or thousands of dollars for smart speakers that still work didn’t take the news particularly well.

    Nathan Proctor, the head of USPIRG’s Right to Repair Campaign, told Motherboard that Sonos’ decision to leave consumers between a rock and a hard place is emblematic of a tech industry in which sustainability, security, and consumer rights are often distant afterthoughts.

    “This is an epidemic problem,” Proctor said, noting that having millions of unsupported and unpatched devices connected to the internet poses significant security risks for an internet of things sector already widely criticized for being a privacy and security dumpster fire.

    Proctor said forced obsolescence also not only incentives the public to discard perfectly good hardware, products now effectively have expiration dates that consumers aren’t being clearly informed of at the time of purchase.

    #Obsolescence_programmée #Internet_des_objets #Cybersécurité

  • Zeynep Tufekci : Get a red team to ensure AI is ethical | Verdict
    https://www.verdict.co.uk/zeynep-tufekci-ai-red-team

    In cybersecurity, red team professionals are tasked with finding vulnerabilities before they become a problem. In artificial intelligence, flaws such as bias often become apparent only once they are deployed.

    One way to catch these AI flaws early is for organisations to apply the red team concept when developing new systems, according to techno-sociologist and academic Zeynep Tufekci.

    “Get a read team, get people in the room, wherever you’re working, who think about what could go wrong,” she said, speaking at Hitachi Vantara’s Next conference in Las Vegas, US, last week. “Because thinking about what could go wrong before it does is the best way to make sure it doesn’t go wrong.”

    Referencing Hitachi CEO and president Toshiaki Higashihara description of digitalisation as having “lights and shadows”, Tufekci warned of the risks associated with letting the shadowy side go unchecked.
    AI shadows

    One of these “shadows” is when complex AI systems become black boxes, making it difficult even for the AI’s creators to explain how it made its decision.

    Tufekci also cited the example of YouTube’s recommendation algorithm pushing people towards extremism. For example, a teenager could innocently search ‘is there a male feminism’ and then be nudged towards misogynistic videos because such controversial videos have received more engagement.

    And while data can be used for good, it can also be used by authoritarian governments to repress its citizens, or by election consultancies to manipulate our votes.

    Then there are the many instances of human bias finding their way into algorithms. These include AI in recruitment reflecting the sexism of human employers or facial recognition not working for people with darker skin.

    “If the data can be used to fire you, or to figure out protesters or to use for social control, or not hire people prone to depression, people are going to be like: ‘we do not want this’,” said Tufekci, who is an associate professor at the UNC School of Information and Library Science.

    “What would be much better is to say, what are the guidelines?”
    Using a red team to enforce AI ethics guidelines

    Some guidelines already exist. In April 2018, the European Union’s High-Level Expert Group on AI presented seven key requirements for trustworthy AI.

    These requirements include human oversight, accountability and technical robustness and safety. But what Tufekci suggests is having a team of people dedicated to ensuring AI ethics are adhered to.
    3 Things That Will Change the World Today
    Get the Verdict morning email

    “You need people in the room, who are going to say there’s light and there are shadows in this technology, and how do we figure out to bring more light into the shadowy side, so that we’re not blindsided, so that we’re not just sort of shocked by the ethical challenges when they hit us,” she explained.

    “So we think about it ahead of time.”

    However, technology companies often push back against regulation, usually warning that too much will stifle innovation.

    “Very often when a technology is this new, and this powerful, and this promising, the people who keep talking about what could go wrong – which is what I do a lot – are seen as these spoilsport people,” said Tufekci.

    “And I’m kind of like no – it’s because we want it to be better.”

    #Intelligence_artificielle #Zeynep_Tufekci #Cybersécurité #Biais #Big_data

  • Websites have been quietly hacking iPhones for years, says Google - MIT Technology Review
    https://www.technologyreview.com/s/614243/websites-have-been-quietly-hacking-iphones-for-years-says-google

    Websites delivered iOS malware to thousands of visitors in the biggest iPhone hack ever. There’s no telling who was infected—or who was behind it.
    by Patrick Howell O'Neill
    Aug 30, 2019
    Malware could steal passwords, encrypted messages and contacts
    It’s not clear who was behind the hacking campaign or who was targeted
    If you have updated your iPhone you are protected
    The largest ever known attack against iPhone users lasted at least two years and hit potentially thousands of people, according to research published by Google. 

    The malware could ransack the entire iPhone to steal passwords, encrypted messages, location, contacts, and other extremely sensitive information. The data was then sent to a command and control server which the hackers used to run the operation. The scope, execution, and persistence of the unprecedented hacking campaign points to a potential nation-backed operation but the identity of both the hackers and their targets is still unknown. 

    “The data taken is the ‘juicy’ data," says Jonathan Levin, a researcher who has written books on Apple’s operating system. “Take all the passwords from the keychain, location data, chats/contacts/etc, and build a shadow network of connections of all your victims. Surely by six degrees of separation you’ll find interesting targets there.”

    Sign up for The Download — your daily dose of what’s up in emerging technology

    Also stay updated on MIT Technology Review initiatives and events?YesNo

    Apple patched the bugs quickly in February 2019 so everyone who has updated their iPhone since then is protected. Rebooting the iPhone wiped the malware but the data had already been taken. Exactly who was infected remains an open question. iPhone users themselves likely wouldn’t know because the malware runs in the background with no visual indicator and no way for an iOS user to view the processes running on the device. 

    In January 2019, Google’s Threat Analysis Group (TAG), the tech giant’s counterespionage specialists, first found hacked websites that were delivering malware to thousands of visitors per week. The tactic is known as a watering-hole attack: attackers lace carefully selected websites with malware and wait for expected visitors to arrive to be infected. Just visiting the site was enough to download the malware.

    Google’s discovery included, over a period of years, five so-called “exploit chains” with 14 vulnerabilities including at least one active zero-day vulnerability, the term used to describe an exploitable bug undiscovered by a company like Apple. When one exploit chain was rendered useless by an Apple patch, the hacker quickly implemented the next one.

    TAG passed the intelligence to Apple, who issued iOS patch 12.1.4 on February 7 with a fix, as well as to others within Google. Google’s Project Zero, the company’s security analysis team, has spent the last seven months dissecting these bugs.

    “There was no target discrimination; simply visiting the hacked site was enough for the exploit server to attack your device, and if it was successful, install a monitoring implant. We estimate that these sites receive thousands of visitors per week,” Google’s Ian Beer wrote.

    It’s not clear who was infected. Google’s Project Zero did not release key information including which websites were infected. It seems likely that neither Apple nor Google would have a full accounting of victims but there could be other clues, including which populations typically visit the infected website. 

    So, who is behind it? There is an entire offensive hacking industry that creates and sells hacking tools to governments and companies around the world. NSO Group is the most famous but their tools have reportedly been tightly targeted. But Levin thinks the signs point to a nation state being behind this attack, as the model used is not something a typical hacker or small company could afford to run. 

    The revelation instantly made waves throughout the cybersecurity industry. "This is the first time evidence has been found of such exploits being used massively, indiscriminately as ‘net fishing’ against whatever unsuspecting individuals end up visiting the infected websites," says Levin.

    One of the most notable victims of iPhone malware ever is Ahmed Mansoor. Mansoor, a world-renowned human rights activist imprisoned for criticizing the United Arab Emirates government, is nicknamed “the million dollar dissident” because of the high cost of the malware used to hack his iPhone and spy on him.

    Until now, the implication of the high prices had been that deploying these weapons is rare and tightly targeted. Exploiting Apple’s iOS operating system, the software that powers both the iPhone and iPad, is a complex and expensive process. “iOS exploitation requires sidestepping and bypassing Apple’s formidable defenses, in multiple layers ,” says Levin. Google’s discovery throws some of those assumptions in the air.

    It will also upend perceptions of the security of iPhones. High-risk individuals including journalists, lawyers, activists, and more use iPhones in the hope that the devices will provide a real defense against hackers who, in some cases, can be a genuine life or death threat.

    “Real users make risk decisions based on the public perception of the security of these devices,” Beer wrote. “The reality remains that security protections will never eliminate the risk of attack if you’re being targeted."

    #Cybersécurité #iPhone

  • GitHub sued for aiding hacking in Capital One breach | ZDNet
    https://www.zdnet.com/article/github-sued-for-aiding-hacking-in-capital-one-breach

    Capital One and GitHub have been sued this week as part of a class-action lawsuit filed in California on allegations of failing to secure or prevent a security breach during which the personal details of more than 106 million users were stolen by a hacker.

    While Capital One is named in the lawsuit because it was its data that the hacker stole, GitHub was also included because the hacker posted details about the hack on the code-sharing site.
    Lawsuit claims GitHub failed to detect stolen data

    The lawsuit claims that “decisions by GitHub’s management [...] allowed the hacked data to be posted, displayed, used, and/or otherwise available.” According to the lawsuit, details about the Capital One hack were available from April 21, 2019, to mid-July before they were taken down.

    “GitHub knew or should have known that obviously hacked data had been posted to GitHub.com,” the lawsuit claims.

    The lawsuit said GitHub had an obligation under California law and industry standards to keep off or remove the Social Security numbers and personal information from its site. The plaintiffs believe that because Social Security numbers had a fixed format, GitHub should have been able to identify and remove this data, but they chose not to and allowed the stolen information to be available on its platform for three months until a bug hunter spotted the stolen data and notified Capital One.

    The lawsuit alleges that by allowing the hacker to store information on its servers, GitHub violated the federal Wiretap Act.

    However, spokespersons from both Capital One and GitHub have told ZDNet that the data uploaded on GitHub by the hacker did not contain any personal information.

    “The file posted on GitHub in this incident did not contain any Social Security numbers, bank account information, or any other reportedly stolen personal information,” a GitHub spokesperson told us. “We received a request from Capital One to remove content containing information about the methods used to steal the data, which we took down promptly after receiving their request.”
    Lawsuit claims GitHub actively encouraged hacking

    The lawsuit also makes a bold claim that “GitHub actively encourages (at least) friendly hacking.” It then links to a GitHub repository named “Awesome Hacking.”

    Plaintiffs might have a hard time proving that GitHub promoted hacking as this repository is not associated with GitHub staff or management, but owned by a user who registered on the platform and claims to live in India.

    There are thousands of similar GitHub repositories hosting hacking, pen-testing, cyber-security, and reverse engineering resources and tutorials — all of which are not illegal.

    Furthermore, other sites like Pastebin or AnonFile are also abused in a similar way that GitHub was during the Capital One breach, with hackers uploading stolen information on their respective servers, or hosting hacking tutorials.

    The lawsuit seems to gloss over the fact that users are responsible for abiding by a platform’s rules and terms of service, and not the platform itself.

    All in all, the chances of GitHub being found guilty are slim, as this just just another classic case of “guns don’t kill people; people kill people.” Otherwise, Apple might be similarly held accountable when someone uses an iPhone to commit a crime.

    But while Microsoft might have a case to convince the court to drop GitHub out of the lawsuit, Capital One does not, and will have to defend its cyber-security lapses in court.

    The lawsuit pointed out that Capital One had suffered previous security breaches before in November 2014, July 2017, and September 2017.

    The class-action lawsuit complaint is available here. Newsweek and Business Insider first reported the lawsuit.

    The hacker responsible for the Capital One breach, Paige Thompson, was arrested earlier this week. She is believed to have hacked multiple other companies, besides Capital One. The list includes Unicredit, Vodafone, Ford, Michigan State University, and the Ohio Department of Transportation.

    #Git_hub #Hacking #Cybersécurité #Plateformes

  • Baltimore paralysée par un virus informatique en partie créé par la NSA
    https://www.lemonde.fr/pixels/article/2019/05/29/la-ville-de-baltimore-paralysee-par-un-virus-informatique-en-partie-cree-par

    Le problème, c’est que, trois semaines plus tard, l’affaire n’est toujours pas résolue. Les serveurs et les e-mails de la ville restent désespérément bloqués. « Service limité », indiquent les écriteaux à l’entrée les bâtiments municipaux. Les équipes municipales, le FBI, les services de renseignement américains et les firmes informatiques de la Côte ouest s’y sont tous mis : impossible de débarrasser les dix mille ordinateurs de la ville de ce virus, un rançongiciel. Et pour cause : selon le New York Times, l’un des composants de ce programme virulent a été créé par les services secrets américains, la National Security Agency (NSA), qui ont exploité une faille du logiciel Windows de Microsoft. L’ennui, c’est que la NSA s’est fait voler en 2017 cette arme informatique devenue quasi impossible à contrôler.

    Alors, beaucoup de bruit pour rien ? Non, à cause du rôle trouble de la NSA. Selon le New York Times, celle-ci a développé un outil, EternalBlue (« bleu éternel »), en cherchant pendant plus d’une année une faille dans le logiciel de Microsoft.

    L’ennui, c’est que l’outil a été volé par un groupe intitulé les Shadow Brokers (« courtiers de l’ombre »), sans que l’on sache s’il s’agit d’une puissance étrangère ou de hackeurs américains. Les Nord-Coréens l’ont utilisé en premier en 2017 lors d’une attaque baptisée Wannacry, qui a paralysé le système de santé britannique et touché les chemins de fer allemands. Puis ce fut au tour de la Russie de s’en servir pour attaquer l’Ukraine : code de l’opération NotPetya. L’offensive a atteint des entreprises, comme l’entreprise de messagerie FedEx et le laboratoire pharmaceutique Merck, qui auraient perdu respectivement 400 millions et 670 millions de dollars.

    Depuis, EternalBlue n’en finit pas d’être utilisé, par la Chine ou l’Iran, notamment. Et aux Etats-Unis, contre des organisations vulnérables, telle la ville de Baltimore, mais aussi celles de San Antonio (Texas) ou Allentown (Pennsylvanie). L’affaire est jugée, à certains égards, plus grave que la fuite géante d’informations par l’ancien informaticien Edward Snowden en 2013.

    Le débat s’ouvre à nouveau sur la responsabilité de la NSA, qui n’aurait informé Microsoft de la faille de son réseau qu’après s’être fait voler son outil. Trop tard. En dépit d’un correctif, des centaines de milliers d’ordinateurs n’ayant pas appliqué la mise à jour restent non protégés. Un de ses anciens dirigeants, l’amiral Michael Rogers, a tenté de dédouaner son ancienne agence en expliquant que, si un terroriste remplissait un pick-up Toyota d’explosifs, on n’allait pas accuser Toyota. « L’outil qu’a développé la NSA n’a pas été conçu pour faire ce qu’il a fait », a-t-il argué.

    Tom Burt, responsable chez Microsoft de la confiance des consommateurs, se dit « en total désaccord » avec ce propos lénifiant : « Ces programmes sont développés et gardés secrètement par les gouvernements dans le but précis de les utiliser comme armes ou outils d’espionnage. Ils sont, en soi, dangereux. Quand quelqu’un prend cela, il ne le transforme pas en bombe : c’est déjà une bombe », a-t-il protesté dans le New York Times.

    #Virus #NSA #Baltimore #Cybersécurité

  • The Terrifying Potential of the 5G Network | The New Yorker
    https://www.newyorker.com/news/annals-of-communications/the-terrifying-potential-of-the-5g-network

    Two words explain the difference between our current wireless networks and 5G: speed and latency. 5G—if you believe the hype—is expected to be up to a hundred times faster. (A two-hour movie could be downloaded in less than four seconds.) That speed will reduce, and possibly eliminate, the delay—the latency—between instructing a computer to perform a command and its execution. This, again, if you believe the hype, will lead to a whole new Internet of Things, where everything from toasters to dog collars to dialysis pumps to running shoes will be connected. Remote robotic surgery will be routine, the military will develop hypersonic weapons, and autonomous vehicles will cruise safely along smart highways. The claims are extravagant, and the stakes are high. One estimate projects that 5G will pump twelve trillion dollars into the global economy by 2035, and add twenty-two million new jobs in the United States alone. This 5G world, we are told, will usher in a fourth industrial revolution.

    A totally connected world will also be especially susceptible to cyberattacks. Even before the introduction of 5G networks, hackers have breached the control center of a municipal dam system, stopped an Internet-connected car as it travelled down an interstate, and sabotaged home appliances. Ransomware, malware, crypto-jacking, identity theft, and data breaches have become so common that more Americans are afraid of cybercrime than they are of becoming a victim of violent crime. Adding more devices to the online universe is destined to create more opportunities for disruption. “5G is not just for refrigerators,” Spalding said. “It’s farm implements, it’s airplanes, it’s all kinds of different things that can actually kill people or that allow someone to reach into the network and direct those things to do what they want them to do. It’s a completely different threat that we’ve never experienced before.”

    Spalding’s solution, he told me, was to build the 5G network from scratch, incorporating cyber defenses into its design.

    There are very good reasons to keep a company that appears to be beholden to a government with a documented history of industrial cyber espionage, international data theft, and domestic spying out of global digital networks. But banning Huawei hardware will not secure those networks. Even in the absence of Huawei equipment, systems still may rely on software developed in China, and software can be reprogrammed remotely by malicious actors. And every device connected to the fifth-generation Internet will likely remain susceptible to hacking. According to James Baker, the former F.B.I. general counsel who runs the national-security program at the R Street Institute, “There’s a concern that those devices that are connected to the 5G network are not going to be very secure from a cyber perspective. That presents a huge vulnerability for the system, because those devices can be turned into bots, for example, and you can have a massive botnet that can be used to attack different parts of the network.”

    This past January, Tom Wheeler, who was the F.C.C. chairman during the Obama Administration, published an Op-Ed in the New York Times titled “If 5G Is So Important, Why Isn’t It Secure?” The Trump Administration had walked away from security efforts begun during Wheeler’s tenure at the F.C.C.; most notably, in recent negotiations over international standards, the U.S. eliminated a requirement that the technical specifications of 5G include cyber defense. “For the first time in history,” Wheeler wrote, “cybersecurity was being required as a forethought in the design of a new network standard—until the Trump F.C.C. repealed it.” The agency also rejected the notion that companies building and running American digital networks were responsible for overseeing their security. This might have been expected, but the current F.C.C. does not consider cybersecurity to be a part of its domain, either. “I certainly did when we were in office,” Wheeler told me. “But the Republicans who were on the commission at that point in time, and are still there, one being the chairman, opposed those activities as being overly regulatory.”

    Opening up new spectrum is crucial to achieving the super-fast speeds promised by 5G. Most American carriers are planning to migrate their services to a higher part of the spectrum, where the bands are big and broad and allow for colossal rivers of data to flow through them. (Some carriers are also working with lower-spectrum frequencies, where the speeds will not be as fast but likely more reliable.) Until recently, these high-frequency bands, which are called millimetre waves, were not available for Internet transmission, but advances in antenna technology have made it possible, at least in theory. In practice, millimetre waves are finicky: they can only travel short distances—about a thousand feet—and are impeded by walls, foliage, human bodies, and, apparently, rain.

    Deploying millions of wireless relays so close to one another and, therefore, to our bodies has elicited its own concerns. Two years ago, a hundred and eighty scientists and doctors from thirty-six countries appealed to the European Union for a moratorium on 5G adoption until the effects of the expected increase in low-level radiation were studied. In February, Senator Richard Blumenthal, a Democrat from Connecticut, took both the F.C.C. and F.D.A. to task for pushing ahead with 5G without assessing its health risks. “We’re kind of flying blind here,” he concluded. A system built on millions of cell relays, antennas, and sensors also offers previously unthinkable surveillance potential. Telecom companies already sell location data to marketers, and law enforcement has used similar data to track protesters. 5G will catalogue exactly where someone has come from, where they are going, and what they are doing. “To give one made-up example,” Steve Bellovin, a computer-science professor at Columbia University, told the Wall Street Journal, “might a pollution sensor detect cigarette smoke or vaping, while a Bluetooth receiver picks up the identities of nearby phones? Insurance companies might be interested.” Paired with facial recognition and artificial intelligence, the data streams and location capabilities of 5G will make anonymity a historical artifact.

    To accommodate these limitations, 5G cellular relays will have to be installed inside buildings and on every city block, at least. Cell relays mounted on thirteen million utility poles, for example, will deliver 5G speeds to just over half of the American population, and cost around four hundred billion dollars to install. Rural communities will be out of luck—too many trees, too few people—despite the F.C.C.’s recently announced Rural Digital Opportunity Fund.

    Deploying millions of wireless relays so close to one another and, therefore, to our bodies has elicited its own concerns. Two years ago, a hundred and eighty scientists and doctors from thirty-six countries appealed to the European Union for a moratorium on 5G adoption until the effects of the expected increase in low-level radiation were studied. In February, Senator Richard Blumenthal, a Democrat from Connecticut, took both the F.C.C. and F.D.A. to task for pushing ahead with 5G without assessing its health risks. “We’re kind of flying blind here,” he concluded. A system built on millions of cell relays, antennas, and sensors also offers previously unthinkable surveillance potential. Telecom companies already sell location data to marketers, and law enforcement has used similar data to track protesters. 5G will catalogue exactly where someone has come from, where they are going, and what they are doing. “To give one made-up example,” Steve Bellovin, a computer-science professor at Columbia University, told the Wall Street Journal, “might a pollution sensor detect cigarette smoke or vaping, while a Bluetooth receiver picks up the identities of nearby phones? Insurance companies might be interested.” Paired with facial recognition and artificial intelligence, the data streams and location capabilities of 5G will make anonymity a historical artifact.

    #Surveillance #Santé #5G #Cybersécurité

  • Branle-bas de combat sur touiteur !
    Le compte officiel D’EMA, l’Etat-Major des Armées (pas En MArche, nop) a déclenché son opération annuelle #DEFNET.
    C’est la 6e edition de cet « exercice annuel interarmées » d’entraînement « à la gestion de crise cyber »
    Pensant à un bug je me suis moquée en imaginant la panique chez les conspis à l’avant-veille de l’acte 18 des Gilets Jaunes :

    Les français parlent aux français...
    Je répète : les français parlent aux français...
     ???♨ ????

    https://twitter.com/ValKphotos/status/1106164986898984961
    Mais grand merci à la personne qui m’a fait découvrir ce qui est, en même temps, un grand exercice de communication :

    #DEFNET 2018 : plus forts ensemble.
    310 militaires de 7 nations, 250 étudiants, plus de 50 réservistes et les partenaires industriels réunis.

    https://twitter.com/EtatMajorFR/status/971716870456868864

    Voir aussi :

    http://www.defnet-etn.eu

    https://www.defense.gouv.fr/terre/actu-terre/defnet-l-exercice-d-une-cyber-armee-operationnelle

    #sécurité #cybersecurite #armée

  • « Le parlement thaïlandais a voté à l’unanimité une nouvelle loi sur la #cybersécurité ce jeudi 28 février 2019. Les agences gouvernementales dirigées par la junte militaire détiennent désormais des pouvoirs très étendus pour accéder aux données des réseaux informatiques ou saisir tout type d’appareil numérique en cas de "cybermenace". Les défenseurs des libertés civiles qualifient cette réglementation de "loi martiale numérique". »

    https://information.tv5monde.com/info/thailande-la-loi-martiale-numerique-votee-l-unanimite-288113

    #Thaïlande #sécurité_et_liberté

  • 40% of malicious URLs were found on good domains - Help Net Security
    https://www.helpnetsecurity.com/2019/03/01/malicious-urls-good-domains

    40 percent of malicious URLs were found on good domains. Legitimate websites are frequently compromised to host malicious content. To protect users, cybersecurity solutions need URL-level visibility or, when unavailable, domain-level metrics, that accurately represent the dangers.

    Home user devices are more than twice as likely to get infected as business devices. Sixty-eight percent of infections are seen on consumer endpoints, versus 32 percent on business endpoints.

    Phishing attacks increased 36 percent, with the number of phishing sites growing 220 percent over the course of 2018. Phishing sites now use SSL certificates and HTTPS to trick internet users into believing they are secure, legitimate pages. Seventy-seven percent of phishing attacks impersonated financial institutions, and were much more likely to use HTTPS than other types of targets. In fact, for some of the targeted financial institutions, over 80 percent of the phishing pages used HTTPS. Google was found to be the most impersonated brand in phishing overall.

    After 12 months of security awareness training, end users are 70 percent less likely to fall for a phishing attempt. Webroot found that organizations that combine phishing simulation campaigns with regular training saw a 70 percent drop in phishing link click-through.

    Nearly a third of malware tries to install itself in %appdata% folders. Although malware can hide almost anywhere, Webroot found several common locations, including %appdata% (29.4 percent), %temp% (24.5 percent), and %cache% (17.5 percent), among others. These locations are prime for hiding malware because these paths are in every user directory with full user permissions to install there. These folders also are hidden by default on Windows Vista and up.

    Devices that use Windows 10 are at least twice as secure as those running Windows 7. Webroot has seen a relatively steady decline in malware on Windows 10 machines for both consumer and business.

    “We wax poetic about innovation in the cybersecurity field, but you only have to take one look at the stats in this year’s report to know that the true innovators are the cybercriminals. They continue to find new ways to combine attack methods or compromise new and existing vectors for maximum results. My call to businesses today is to be aware, assess your risk, create a layered approach that protects multiple threat vectors and, above all, train your users to be an asset—not a weak link—in your cybersecurity program,” said Hal Lonas, CTO, Webroot.

    malicious URLs good domains

    Despite the decrease in cryptocurrency prices, cryptomining and cryptojacking are on the rise. The number of cryptojacking URLs Webroot saw each month in the first half of the year more than doubled in the period from September through December 2018. These techniques can be more lucrative than ransomware attacks, since they don’t require waiting for the user to pay the ransom, and they have a smaller footprint. As far as web-based cryptojacking, Coinhive still dominates with more than 80 percent market share, though some new copycat cryptojacking scripts are gaining in popularity.

    While ransomware was less of a problem in 2018, it became more targeted. We expect major commodity ransomware to decline further in 2019; however, new ransomware families will emerge as malware authors turn to more targeted attacks, and companies will still fall victim to ransomware. Many ransomware attacks in 2018 used the Remote Desktop Protocol (RDP) as an attack vector, leveraging tools such as Shodan to scan for systems with inadequate RDP settings. These unsecured RDP connections may be used to gain access to a given system and browse all its data as well as shared drives, providing criminals enough intel to decide whether to deploy ransomware or some other type of malware.

    #Cybersécurité #Phishing #Malware