Salut les Shakerz 👋

C’est samedi, c’est le Shake. Avec ce qu’il s’est passé en digital et en cyber. Autant vous le dire tout de suite : on ne vous parlera pas du rachat de Twitter par Elon Musk - la presse générale en a largement parlé.Dans l’actu : 💵 Clearview AI condamnée à payer 20 millions d’euros d’amende par la CNIL, 👔 Linkedin va lancer de nouvelles fonctionnalités pour renforcer la sécurité sur sa plateforme, 🍏 Top départ pour la nouvelle version de macOS Ventura, et 🚀 l’Ukraine fait appel à ses citoyens pour protéger son espace aérien…

Retrouvez aussi : les méthodes pour la réalisation d’enquêtes sur les opérations d’influence, des ingrédients à la carte pour composer vos propres Shake, et, roulement de tambour… la question de la semaine !

Bonne lecture et bon week-end,

〰️ La reco du Barman 〰️

💵 Clearview AI condamné à payer 20 millions euros d’amende par la CNIL

Qu’est-ce que Clearview AI ?

Cette société, basée aux États-Unis, a mis au point une technologie de reconnaissance faciale. En interrogeant son moteur de recherche, il est possible de trouver une personne à partir de sa photo.

La technologie de Clearview AI s’appuie sur une base de données colossale de plus de 30 milliards d’images faciales provenant de sources web publiques dans le monde (réseaux sociaux, médias d’information, plateformes de vidéos, etc.). À partir de ces données, la technologie génère un “modèle biométrique” ou une représentation numérique des caractéristiques physiques du visage d’une personne.

Grâce à cette technologie et cette collecte d’informations, l’entreprise commercialise l’accès à son moteur de recherche et à sa base de données. Ses services sont notamment utilisés dans les enquêtes policières afin d’identifier les auteurs ou les victimes de crimes.

Seul problème : selon la CNIL, “Ces données biométriques sont particulièrement sensibles, notamment parce qu'elles sont liées à notre identité physique (ce que nous sommes) et nous permettent de nous identifier de manière unique.”

Le récap’ de l’affaire

Tout commence en mai 2020 lorsque la CNIL reçoit plusieurs plaintes de particuliers concernant le logiciel de reconnaissance faciale de Clearview AI et décide d’ouvrir une enquête. Un an plus tard, en mai 2021, la CNIL est de nouveau alertée sur les pratique de Clearview AI. Cette fois, par Privacy International, une ONG qui milite contre les violations de la vie privée commises par les gouvernements et autres organisations.

L’enquête de la CNIL en collaboration avec ses homologues européens a permis de révéler plusieurs manquements au Règlement général sur la protection des données (RGPD) :

• Collecte et utilisation de données biométriques effectuées sans base légale.

• Absence de prise en compte des droits des personnes, notamment celui d’accéder à ses données personnelles.

En conséquence, le 26 novembre 2021, la CNIL a décidé de mettre en demeure la société Clearview AI de cesser de collecter et d’utiliser les données des personnes en France et de faciliter l'exercice des droits des personnes, notamment celui de pouvoir effacer ses données. L’entreprise disposait alors de deux mois pour se conformer aux injonctions ci-dessus.

Sans nouvelle, la CNIL sanctionne

Depuis cette mise en demeure, la société Clearview AI n’a apporté aucune réponse. En conséquence, le jeudi 20 octobre 2022, la CNIL a donc décidé d’infliger une amende maximale de 20 millions d’euros à Clearview AI, conformément à l’article 83 du RGPD.

La startup new-yorkaise a également été enjointe à mettre un terme à la collecte et au traitement des données des personnes résidants en France. Aussi, dans un délai de deux mois, elle doit effacer les données des personnes déjà collectées. Au delà de cette date, l’entreprise écopera d’une astreinte de 100 000 euros par jour de retard.

🎣 Nouveau rapport sur les marques usurpées par le phishing

Check Point Research a publié cette semaine son troisième rapport (basé sur les données du troisième trimestre 2022) sur le phishing de marques. Voici les principales marques que les cybercriminels ont imité pour tenter d'inciter les gens à communiquer leurs données personnelles.

La société de transport maritime DHL vient occuper la première place (22%) de ce malheureux classement. Elle détrône Linkedin qui occupait la première place de la marque la plus imitée au premier (52%) et au deuxième (45%) trimestre 2022. Linkedin est désormais classé 3ème (11%) devancée par Microsoft (16%). La montée de DHL dans le classement pourrait s’expliquer par la campagne de phishing particulièrement vicieuse dont elle a été victime au début du trimestre. À noter également, l’apparition pour la toute première fois d’Instagram dans classement (10ème - 3%).

Si le phishing ne se limite pas aux marques les plus connues, cette liste appelle à renouveler la vigilance de chacun.

〰️ Vos shots 〰️

👔 Linkedin s’attaque aux activités frauduleuses sur la plateforme

Afin de lutter contre les activités illicites qui se développent sur sa plateforme, Linkedin va lancer dans les prochaines semaines une salve de nouvelles fonctionnalités et de nouveaux systèmes pour vous aider à prendre des décisions plus éclairées dans vos interactions avec les autres membres. Le but étant de maintenir une communauté professionnelle de confiance. Parmi ces nouvelles fonctionnalités, Linkedin va vous aider à stopper les messages suspicieux en ajoutant un avertissement sur les messages qui comportent un contenu à haut risque, à détecter les faux profils qui utilisent des photos de profil générées par l'IA et à vérifier l’authenticité des profils avec différents niveaux de vérification. Retrouvez un aperçu de ces fonctionnalités sur le blog Linkedin.

🍏 Top départ pour la nouvelle version de macOS Ventura

Annoncé le 6 juin 2022 lors de la WWDC 2022, la 13ème version du système d’exploitation pour mac, macOS Ventura, est enfin disponible depuis ce mardi 25 octobre. Elle vient succéder un an après à macOS Monterey. Le détail des nouvelles fonctionnalités et mises à jour de sécurité est disponible ici. Par ailleurs, Apple a également publié cette semaine les nouvelles mises à jour iOS 16.1 et iPadOS 16 incluant de nouvelles fonctionnalités et des correctifs de sécurité (dont une vulnérabilité zero-day activement exploitée). Ne tardez pas à mettre à jour vos appareils.

🚀 Les Ukrainiens protègent leur espace aérien

Les autorités ukrainiennes ont lancé une application mobile permettant à ses citoyens de signaler tout objet aérien suspect (drone, missile, avion …) pour aider l’armée à les neutraliser. Nommée “eAir Defense Observer” (ePPO), l'application est pour l'instant disponible uniquement sur Android. Une version IOS est attendue dans les prochaines semaines. Pour effectuer un signalement, il suffit de pointer le téléphone vers l’appareil, de préciser la nature de l’engin et d’appuyer sur le bouton. Les coordonnées géographiques sont alors transmises à la défense aérienne ukrainienne qui tentera de neutraliser la menace.

🕵 USA : des espions chinois interfèrent avec des enquêtes fédérales

Le ministère de la Justice des États-Unis a accusé ce lundi 24 octobre 2022, six citoyens chinois, dont cinq espions présumés, d’avoir tenté d’entraver des enquêtes fédérales. Parmi les accusés, 2 sont soupçonnés d’entraver une enquête criminelle de longue haleine concernant une société de télécommunications chinoise. Bien que les autorités américaines n’aient pas révélé l’identité de ladite société, selon CNN et le Wall Street Journal, la société visée n’est autre qu’Huawei. Aux États-Unis, Huawei a été banni du sol américain par Donald Trump en mai 2019 car l’entreprise représentait un danger pour la sécurité nationale en raison de soupçons de collusion avec la parti communiste chinois.

🇫🇷 FranceConnect+ renforce la sécurité de Mon Compte Formation

Annoncé il y a plusieurs semaines après des suspensions partielles du service dû à une augmentation des fraudes au CPF (qui se font aussi par téléphone, vigilance), ce renforcement de la sécurité tant attendu a finalement été déployé ce mardi 25 octobre. Désormais, pour tout financement d’une formation sur moncompteformation.gouv.fr, il faudra utiliser FranceConnect+ à la place de FranceConnect. FranceConnect+ n’est rien d’autre qu’une version plus sécurisée de FranceConnect, offrant une authentification renforcée à deux facteurs. Néanmoins, pour pouvoir utiliser FranceConnect+, il est nécessaire de se créer au préalable une identité numérique LaPoste, pour l’heure le seul et unique partenaire du dispositif…

🪆 Les poupées russes de l’agence InfoRos

Après une première enquête menée sur un réseau d’un millier de sites Internet russophones créés et maintenus par InfoRos, une agence de presse servant de société-écran au renseignement militaire russe (GRU), Open Facto a poursuivi ses investigations et a publié ce lundi 24 octobre un second rapport sur les opérations numériques de l’agence russe. Cette nouvelle enquête a permis d’identifier près de 600 nouveaux portails administrés par InfoRos depuis l’an 2000, portant le total à 1 945 noms de domaine liés à l’agence InfoRos. Ces portails sont essentiellement utilisés par l’agence Russe pour constituer un ancrage informationnel local en Russie, influencer la politique de pays étrangers et soutenir les intérêts diplomatiques, économiques, et militaires du gouvernement russe.

〰️ Dégustation 〰️

Enquête sur les opérations d'influence : comment s’y prendre ?

Alors que les enquêtes sur les opérations d’influence en ligne se multiplient, des universitaires, des professionnels de l’industrie ou d’organismes sans but lucratif ont souhaité combler les lacunes en matière de capacités et de méthodes d’enquête. On y retrouve notamment des approches issues de divers univers tels que la cybersécurité et le contre-extrémisme. Car ce domaine en pleine effervescence manque cruellement de normes et meilleures pratiques cohérentes permettant de guider et d’évaluer les travaux. Dans ce recueil d’articles, des auteurs expérimentés nous délivrent des perspectives sur les défis auxquels ils ont été confrontés et nous éclairent quant à la manière dont ils abordent leurs recherches.

À retenir :

• Un domaine où les normes sont partagées produit des enquêtes plus fiables et permet d'identifier plus facilement celles qui sont défectueuses (c’est bien l’intérêt de la science).

• Les enquêteurs doivent s’appuyer sur leurs points forts. La combinaison des compétences que l'on possède doit être le moteur des questions de recherche.

• La connaissance d’outils et de techniques ne doit pas remplacer le processus analytique. Les enquêteurs doivent continuer à se poser des questions telles que : Les données appuient-elles la conclusion ? Peut-il y avoir d'autres explications ? Etc.

• Faciliter aux lecteurs la compréhension de l’étendue et des limites de l’enquête : conclusions claires et accessibles, affirmations étayées par des preuves, terminologie définie, méthodologie et faiblesses de l’enquête expliquées.

• La critique est normale. Étant donné l'absence de consensus sur les normes dans ce domaine, il est normal que d’autres chercheurs soient en désaccord. Les enquêteurs à tous les niveaux devraient en tirer des leçons.

〰️ Cul sec - La question 〰️

Voici Sébastien Vachon Desjardins, 27 ans à l’époque. Il n’a pas de grosse maison, pas de voiture sportive, ne va pas au restaurant. Mais il vient d’être condamné par la justice américaine.

Qui était-il avant son emprisonnement ?

A. Un cybercriminelB. Un cyberdélinquantC. Un traficant de drogueD. Un technicien en informatique

—> Réponse à la sortie du bar.

〰️ À La carte 〰️

👩🏻 Expert à suivre - Isabelle Simonetto est docteur en Neurosciences. Ces travaux sur la fiabilité du facteur humain du point de vue des neurosciences, en se concentrant sur le fonctionnement du cerveau, apportent des pistes de réflexions interessantes quant à la manière de mobiliser l’humain en entreprise, notamment sur les sujets cyber. Le facteur humain, selon les sources, mis en cause dans 70 à 95% des cyberattaques, est un enjeu majeur de la cybersécurité.

🍸 Évènement - Le 16 et 17 novembre prochain à Paris, participez gratuitement au salon Big Data & AI World Paris, le rendez-vous incontournable qui réunit les leadeurs et décideurs de la TECH en France. Parmi les thématiques abordées : la transformation numérique, les facteurs humains, la confidentialité des données, etc. Retrouvez le programme de conférences et inscrivez-vous au salon.

⚖️ Justice - L'organisme britannique de surveillance des données a infligé ce lundi 24 octobre une amende de 4,4 millions de livres au groupe de construction Interserve. Cette amende fait suite à la cyberattaque dont a été victime l’entreprise il y a maintenant 2 ans et qui avait permis d’exposer les données personnelles et financières de plus de 113 000 employés. L’entreprise est accusée de n’avoir pris aucune mesure pour empêcher l’attaque, et de disposer, à l’époque, de systèmes obsolètes et d'un manque de formation des utilisateurs finaux.

〰️ Cul sec - Réponse 〰️

Toutes les réponses sont justes

A. Un cybercriminel : oui, selon le vocabulaire utilisé outre-atlantiqueB. Un cyberdélinquant, selon le vocabulaire courant utilisé en France. Nos camarades de Numerama expliquent cette distinction.C. Un trafiquant de drogue, déjà arrêté en 2015D. Un technicien en informatique : il travaillait pour le centre national de recherche du Canada.

Voici son profil selon Radio Canada… Et une photo de sa confession en 2021.

〰️ Digestif 〰️

La technologie nous surprendra toujours 😅

Merci d’être passé ! Rendez-vous samedi prochain pour votre nouveau Shake de l’actu cyber et digitale ! 👋

Rejoignez les Shakerz, abonnez-vous gratuitement pour recevoir la newsletter hebdomadaire et soutenir notre travail. Faites tourner !