Salut les Shakerz 👋

Ça y est, c’est la rentrée… 😪 Bien chargée n’est-ce pas ? Heureusement, votre Shake hebdo est là pour vous dire l’essentiel de ce qu’il s’est passé cette semaine en digital et en cyber.Dans l’actu : comment 🇷🇺 Vladimir Poutine s’organise pour mieux surveiller sa population, 🐙 une campagne de phishing nommée 0ktopus a ciblé 130 entreprises (et pas des moindres), 🤿 la première application de messagerie pour communiquer sous l’eau… A tester pour vos prochaines vacances d’été ?

Retrouvez aussi : les méthodes d’accès préférées des cyberattaquants, les prédictions de Gartner pour les responsables de la sécurité et des risques en 2022, des ingrédients à la carte pour pour composer vos propres créations, et, bien évidemment, la question de la semaine.

Cette semaine, une mise à jour critique : iOS 12.5.6 disponible pour iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3, and iPod touch (6ème génération). Pas de panique, c’est pour les vieux modèles d’iPhone (et assimilés).

Bonne lecture et bon week-end !

PS: un bon pote vous a fait passer ce Shake ?

〰️ La reco du barman 〰️

🇷🇺 Vladimir Poutine veut surveiller sa population sur le web

Le président russe suit l’exemple de son homologue chinois

Si le gouvernement chinois arrive parfaitement à surveiller tous ses citoyens sur le web, c’est encore loin d’être le cas pour la Russie. En effet, si Beijing réussit si bien, c’est parce que les Chinois utilisent quasi exclusivement Baidu comme moteur de recherche et WeChat comme application de messagerie.  

La Russie, certes, possède Yandex comme moteur de recherche, qui représente plus de 60% du marché russe des recherches en ligne, et VKontakte comme réseau social dont 76% de la population détient un compte. Mais le problème réside dans le fait que ses habitants privilégient WhatsApp, Telegram ou Google pour leurs échanges privés.

Pour y parvenir, Vladimir Poutine prend des mesures

Yandex alias le “Google russe”, déjà critiqué pour son rôle dans la propagande et censure russes, vient de céder ses activités médias au propriétaire de VK. Et il ne s’agit pas de n’importe qui : Vladimir Kirienko est le fils de Sergueï Kirienko, membre de l'administration présidentielle russe et proche de Vladimir Poutine. Le Kremlin possède donc désormais une part non négligeable de l’information accessible en Russie.

Mais ce n’est pas tout. Le Roskomnadzor, organisme russe qui supervise les communications, a trouvé une entreprise pouvant développer une intelligence artificielle effrayante. Nommée Oculus, elle serait en mesure d’examiner les URLs, images, vidéos, échanges et  même conversations privées sur les réseaux sociaux des utilisateurs russes. 

Le but ? Découvrir l’existence de “propagande homosexuelle”, de signes d’extrémisme, de terrorisme, d’informations sur la vente de drogues ou armes, d’évènements illégaux ou toute autre information dite “interdite”. Toutefois, les experts estiment que, même soutenue par l’Etat russe, cette entreprise n’aura pas les capacités financières et techniques de suivre la masse des internautes Russes (85% des 144 millions de Russes).

Les méthodes d’accès préférées des cyberattaquants

〰️ Insight 〰️

La mobilisation la plus large : seul levier viable et pérenne pour contrer les cyberattaques

Par Sylvan Ravinet

Face aux cyberattaques comme face aux piqûres de guêpes, il faut désensibiliser. Vous avez bien lu, le préfixe "dé" est clé : il ne faut plus "sensibiliser" à la cybersécurité ou aux autres "gestes barrière" cyber. Il faut encore moins mener des tests de phishing.

Notre “logiciel” collectif sur le domaine cyber est à mettre à jour

Pourquoi ? Pour maximiser l'efficacité de nos interventions individuelles et notre protection collective. Car l'écosystème des attaquants évolue beaucoup plus vite que celui des défenseurs.

En effet, l'efficacité collective des attaquants est redoutable. L’écosystème s’industrialise. Sur leurs enjeux cyber, les cybercriminels pensent “client” beaucoup plus efficacement que les défenseurs et détournent les outils marketing usuels. Les cybercriminels et cyber espions collaborent, échangent des outils, partagent leur R&D. Ils coopèrent avec les mafias criminelles classiques. Et même avec certains États. Pendant que nous, défenseurs, sommes aux balbutiements et restons dispersés, malgré les initiatives d’ampleur comme le Campus Cyber.

Et si l’on arrêtait de chercher à sensibiliser ? 

80% des salariés d’entreprises françaises de plus de 50 collaborateurs disent appliquer les bonnes pratiques de cybersécurité. 

Simultanément, l’étude révèle aussi que 78% d’entre eux utilisent des mots de passe identiques pour plusieurs plateformes, ce qui peut laisser penser que bon nombre de salariés se voilent la face.

Alors, y a-t-il vraiment un intérêt à ajouter une couche de sensibilisation ? Faut-il l’ajouter au marteau ? Ou à coup de tests de phishing ?...

Découvrez pourquoi dans ma tribune expert (accès abonné).

Sylvan Ravinet, expert en cybersécurité.

〰️ Vos shots 〰️

👮🏻‍♂️ En Inde, des policiers spécialisés en… fausses preuves informatiques

De faux documents fournis par des pirates ont donné lieu à l’emprisonnement de militants des droits de l’Homme. Le coupable ? Il s’agirait de l’acteur de cybermalveillance “ModifiedElephant”, connu pour ses opérations d’espionnage. 👉 Plus dans les slides de la conférence Black Hat USA 2022.

🐙 130 entreprises prises dans les tentacules d’une campagne de phishing 

Twilio, Cloudflare, DoorDash et d’autres sociétés connues ont été victimes d’une attaque qui a abouti à la compromission de presque 10 000 comptes. Les pirates ont usurpé le système d'authentification multifactorielle d’Okta, ce qui a valu à cette campagne le surnom de de “0ktapus”.

🤿 AquaApp, l’application de messagerie pour les plongeurs

Du jamais vu. L’application, conçue par le doctorant Tuochao Chen et le professeur Shyam Gollakota, utilise une forme de "chirping", c'est-à-dire l'utilisation du haut-parleur du téléphone pour créer des signaux audio à haute fréquence (le retour des modems analogiques… la belle époque). La seule chose dont vous avez besoin : un étui de téléphone étanche. 👉 Voici AquaApp, gratuit, open source mais geek.

🇫🇷 FranceConnect n’est plus accessible depuis Ameli

Dans une lettre confidentielle adressée à la Direction interministérielle du numérique, la Caisse nationale de l'Assurance maladie (Cnam) affirme faire face à une faille de sécurité, selon Le Canard Enchaîné. Le bouton de connexion à FranceConnect depuis Ameli a donc été suspendu. Mais en profitant de cette faille, se connectant à la plateforme impots.gouv.fr, des pirates auraient volé quelques milliers d’euros à des contribuables. Une broutille toutefois face à l’étendue des dégâts possibles.

🔭 La fameuse image du télescope James Webb cache des logiciels malveillants

L'équipe de recherche sur les menaces de Securonix a identifié que des logiciels malveillants utilisaient la popularité des images du télescope James Webb. Diffusé par une campagne de phishing, le programme comprenait une pièce jointe Microsoft Office, piégée.

〰️ Bonne dégustation 〰️

BitSight propose de télécharger le rapport de Gartner qui offre un aperçu des problèmes les plus critiques auxquels seront confrontés les responsables de la sécurité et des risques en 2022. Au menu : l'évolution du rôle du professionnel de la cybersécurité, comment travailler en collaboration avec d'autres dirigeants d'entreprise, gérer l'exposition des tiers et prendre de meilleures décisions en matière de cyber-risque.

Que faut-il retenir ?

• La cybersécurité est en train de devenir un phénomène de société qui pousse les entreprises à mieux suivre et à communiquer publiquement leurs objectifs et mesures en la matière.

• Les clients sont de plus en plus intéressés et préoccupés par la posture de cybersécurité des organisations avec lesquelles ils collaborent.

• Les efforts traditionnels sur la sensibilisation ne donnent pas lieu à des comportements plus sûrs et conduisent même à une perte de contrôle.

• L'évaluation des performances des cadres est de plus en plus liée à leur capacité à gérer correctement le cyber-risque dans leur secteur d'activité.

〰️ Cul sec - La question 〰️

Quel montant a été injecté pour renforcer la cybersécurité des hôpitaux ?

A. 1 000 000 €B. 10 000 000 €C. 20 000 000 €D. 50 000 000 €

—> Réponse à la sortie du bar.

〰️ À la carte 〰️

⏪ Rewind - Le 24 août 2021, la Russie ciblait et bloquait le contenu de l'application "smart voting". Créée par Alexei Navalny et ses alliés, l’app était destinée à organiser un vote contre le Kremlin lors des élections législatives.

📒 Lecture - A Restaurant in Jaffa de Mark. E. Sorenson. Un entrepreneur informatique talentueux s'associe à un agent des services secrets israéliens pour lutter contre des pirates et des révolutionnaires qui ont infecté des ordinateurs essentiels aux États-Unis, exigeant une rançon qui pourrait changer tout le paysage du Moyen-Orient.

👨🏻 Expert à suivre - Troy Hunt. Multitâche, ce développeur, architecte et spécialiste de la cybersécurité partage son expérience et ses avis tranchés, notamment sur son Twitter. Il a fondé HaveInBeenPwnd qui permet à chacun de savoir si ses emails et mots de passe se retrouvent dans des bases de hacking.

🎙 Podcast - Chaque semaine, NoLimitSecu aborde des sujets liés à la cybersécurité, animés par des experts francophones passionnés.

🍸 Évènement - Du 12 au 15 octobre 2022, retrouvez Les Assises à Monaco. L’occasion de rencontrer et d’échanger avec la communauté de la cybersécurité en France grâce à des conférences, ateliers, tables-rondes. Rejoignez les 1200 invités ici.

〰️ Cul sec - La réponse 〰️

Réponse C - 20 000 000 €

Pour lutter contre les attaques informatiques ciblant les hôpitaux et d’autres établissements de santé, l’Etat a annoncé renforcer son plan de 20 millions d’euros, ce vendredi 26 août. L’objectif : doubler le nombre d’établissements de santé bénéficiant d’un accompagnement de cybersécurité coordonné par l’ANSSI et des prestataires référencés.

〰️ Digestif 〰️

Merci d’être passé ! Rendez-vous samedi prochain pour votre nouveau Shake de l’actu cyber et digitale ! 👋

Rejoignez les Shakerz, abonnez-vous gratuitement pour recevoir la newsletter hebdomadaire et soutenir notre travail. Faites tourner !