Shake 〰️ 17 septembre 2022

Salut les Shakerz 👋

Comme vous êtes toujours plus pressés, on vous envoie dès maintenant le numéro de demain. On espère que vous allez bien. Comme chaque semaine, votre Shake hebdo est là pour vous. Avec l’essentiel de ce qu’il s’est passé en digital et en cyber.Dans l’actu : 🚖 Uber profondément hacké, 💰 Google accusé de conserver illégalement sa place de leader des moteurs de recherche, 📰 la Commission Européenne annonce de nouvelles normes de cybersécurité et d’autres à déguster.

Retrouvez aussi : une statistique étonnante sur le pourcentage d’organisations ayant subi une cyberattaque, le rapport du Stanford Internet Observatory et de Graphika qui analyse un réseau de comptes supprimés, des ingrédients à la carte pour pour composer vos propres créations, et, bien évidemment, la question de la semaine.

Cette semaine, des mises à jour critiques ont été signalées à nos abonnés : Apple a publié des correctifs suite à la détection d’une faille “zero day”. Microsoft a publié une mise à jour qui corrige 64 nouvelles failles.

Bonne lecture et bon week-end !

PS: un bon pote vous a fait passer ce Shake ?

〰️ La reco du barman 〰️

🚖 Uber en plein hack

Uber a découvert jeudi 15 que son réseau informatique avait fait l'objet d'une intrusion, ce qui a conduit la société à mettre hors ligne plusieurs de ses systèmes de communication et d'ingénierie internes afin d'enquêter sur l'ampleur du piratage. La société a déclaré dans un tweet qu'elle enquêtait sur la brèche et qu’elle contactait les forces de l’ordre.

Une découverte plutôt caustique

Le New York Times révèle que la violation semble avoir compromis de nombreux systèmes internes d'Uber. Les employés d’Uber ont notamment reçu l’ordre de ne pas utiliser le service de messagerie interne Slack. Et pour cause : peu avant que ce dernier ne soit mis hors ligne, les employés avaient reçu le message suivant : "J'annonce que je suis un pirate informatique et qu'Uber a subi une violation de données." Dans le message, la personne a également fait passer une revendication : les chauffeurs Uber devraient recevoir un salaire plus élevé.

Une banale attaque d’ingénierie sociale

Le pirate a fourni des captures d’écran au New York Times pour démontrer son accès aux services internes d’Uber. Supposément âgé de seulement 18 ans, il a déclaré s'être introduit dans les systèmes d'Uber parce que la sécurité de l'entreprise était faible.

Pour compromettre les bases de données, le pirate indique avoir utilisé une technique d’ingénierie sociale en envoyant un SMS à un employé d'Uber dans lequel il se faisait passer pour un responsable informatique de l'entreprise. Le collaborateur a été persuadé de donner un mot de passe qui a permis au pirate d'accéder aux systèmes d'Uber.

Les employés et clients risquent donc de voir leurs données personnelles comme leur nom, numéro de téléphone et adresses fuiter dans les prochains jours et sont donc potentiellement sujets à des attaques de phishing.

Utilisateurs d’Uber, attention !

Les organisations américaines et européennes, en proie aux cyberattaques

〰️ Insight 〰️

Insight #5 〰️ Cybersécurité : designed to fail.

Même les géants de la tech ne sont pas à l’abri

Il n’y a rien qu’à voir l’actualité de ces dernières semaines : dénonciation de l’état de la cybersécurité chez Twitter par son ex. directeur sécurité devenu lanceur d’alerte, et hier le 15 septembre, attaque de Uber. Pire, ils semblent conserver des vulnérabilités connues depuis des dizaines d’années et n’ont pas nécessairement fait le nécessaire pour se mettre à niveau.

Ces trois dernières années, l'accélération des dégâts des rançongiciels a généré une prise de conscience des enjeux cyber. Pourtant, dans ce domaine cyber, la majorité des entreprises de toute taille restent « designed to fail » et les citoyens sont désarmés. Il est encore temps d’engager une révolution cyber. Elle est indispensable.

La prise de conscience est croissante

Dans les grandes entreprises, la prise de conscience des dirigeants est accélérée. En témoignent les rapports du Forum Economique Mondial (WEF) et la hausse des budgets cyber, représentant désormais 15% des budgets IT des grandes entreprises (Accenture). De nombreux dirigeants ont compris qu’il faut accélérer ces investissements. Mais du fait de manque de solutions adaptées, notamment financières, cette accélération ne touche pas encore toutes les entreprises (comme notre tissu de PME qui emploie pourtant 6,3 millions de salariés) ni les collectivités (parfois touchées à deux reprises par un rançongiciel, comme à Annecy, à un an d’intervalle) ni les associations.

Pour les entreprises, l'attention des conseils d'administration est tout aussi croissante. En témoignent les publications successives d’institutions qui leur sont destinées. Mais en parallèle, la dette cyber augmente inexorablement …

Découvrez pourquoi dans ma tribune expert (accès abonné).

Sylvan Ravinet, expert en cybersécurité.

〰️ Vos shots 〰️

💰Google mis à l’amende

Selon Bloomberg, le géant américain verse chaque année des milliards de dollars à Apple Inc, Samsung Electronics Co et d'autres géants des télécommunications pour conserver illégalement sa place de numéro un des moteurs de recherche, a indiqué jeudi le ministère américain de la Justice à un juge fédéral.

📺 Mais Google gagne face à FranceSoir

En pleine crise de Covid-19, Google accusait FranceSoir de diffuser du contenu complotiste sur la pandémie et quelques mois plus tard France Soir disparaissait de Google Search, ce à quoi la chaîne avait répondu par un procès et un édito. Le verdict est tombé il y a quelques jours : Shopper Union, la société éditrice du site France-Soir, a perdu son procès et doit payer 70 000 euros à Google.

♻️ Monti, le gang de ransomware qui recycle du code

BlackBerry et Intel471 viennent de publier séparément le résultat de leurs analyses sur le groupe. En juillet dernier, une campagne de ransomware d'un nouveau groupe appelé "Monti" avait été découverte. Elle s'appuie presque entièrement sur des fuites du code de Conti pour lancer ses attaques. 

📰 Cyber Resilience Act : de nouvelles normes de cybersécurité

Dans son communiqué de presse, la Commission Européenne a proposé un nouveau projet de loi baptisé « Cyber Resilience Act ». L’objectif : établir des règles de cybersécurité communes pour les fabricants et les développeurs de produits comportant des éléments numériques, couvrant à la fois le matériel et les logiciels. Une réponse à des situations telles que chez HP…

🖥 Des failles de sécurité de haute gravité toujours pas corrigées par HP

En août, lors de la conférence Black Hat USA, Binarly révélait qu’un certain nombre de failles de sécurité du micrologiciel se trouvaient dans les ordinateurs portables haut de gamme à vocation professionnelle de HP. Un certain nombre d’entre elles ne sont toujours pas corrigées sur certains appareils, même plusieurs mois après leur divulgation publique.

〰️ Bonne dégustation 〰️

Dans ce rapport, le Stanford Internet Observatory s’est associé à Graphika pour analyser un vaste réseau de comptes supprimés de Facebook, Instagram et Twitter. Cette opération d'information provenait probablement des États-Unis et visait une série de pays du Moyen-Orient et d'Asie centrale.

〰️ Cul sec - La question 〰️

Quelle blockchain a subi un bouleversement cette semaine ?

A. BitcoinB. EthereumC. CardanoD. SolanaE. BNB Chain

—> Réponse à la sortie du bar.

〰️ À la carte 〰️

⏪ Rewind - Le 22 septembre 2021, des pirates ont obtenu 15 To de données provenant de 8 000 organisations travaillant avec la société Voicenter, basée en Israël. Ils ont proposé ces données en ligne pour 1,5 million de dollars.

📒 Lecture - Breaking Backbones: Information Is Power de Deb Radcliff. Cette journaliste d’investigation raconte une histoire captivante dans ce cyberthriller qui soulève d'importantes questions sur les atteintes à la vie privée dans une course mondiale au pouvoir par le biais de la technologie.

👨🏻 Expert à suivre - Anton Chuvakin est un spécialiste de la sécurité informatique. Désormais impliqué dans la stratégie des solutions de sécurité chez Google Cloud, il était aussi directeur de recherche chez Gartner. Découvrez son podcast, sa page Twitter et son blog.

🎙 Podcast - Animé par Daniel Miessler, un professionnel de la sécurité informatique donne chaque semaine un aperçu de la sécurité numérique. En une demi-heure seulement, il livre le résultat de ses 5 à 20 heures de recherche sur la cybersécurité et la technologie avec précision, intérêt, diligence et exactitude.

🍸 Évènement - Du 15 au 17 novembre 2022, retrouvez la European Cyber Week à Rennes. L’occasion de rencontrer les décideurs et les acteurs de la cybersécurité et de l’intelligence artificielle de l’écosystème européen et peut-être de futurs partenaires !

〰️ Cul sec - La réponse 〰️

Réponse B - Ethereum

The Merge représente un changement important pour le réseau Ethereum, qui est passé cette semaine de la méthode Proof-of-Work à la méthode Proof-of-Stake. De nombreux avantages, y compris de mieux utiliser les ressources en énergie, pourraient découler de ce nouveau système. En revanche, le flou entourant cet évènement représente une opportunité supplémentaire pour les cyberattaquants.

〰️ Digestif 〰️

Merci d’être passé ! Rendez-vous samedi prochain pour votre nouveau Shake de l’actu cyber et digitale ! 👋

Rejoignez les Shakerz, abonnez-vous gratuitement pour recevoir la newsletter hebdomadaire et soutenir notre travail. Faites tourner !