Bonjour et bienvenue dans l’édition du lundi 23 juin !
A la une aujourd’hui:
- La fuite de 16 milliards d’identifiants n’est pas une nouvelle violation de données
- Les sites de grandes entreprises détournés avec de faux numéros d’assistance
- La justice Américaine saisit 225 millions de $ en cryptomonnaies liées à des fraudes
- Développement des systèmes d’IA : la CNIL publie ses recommandations sur l’intérêt légitime
- L’ANSSI critiquée pour ses contrôles insuffisants des entités régulées
La fuite de 16 milliards d’identifiants n’est pas une nouvelle violation de données
Points Clés :
- « L’une des plus grande fuite de données » est en réalité une compilation de données déjà divulguées, volées par des logiciels malveillants et des attaques antérieures
- Les identifiants proviennent principalement de « infostealers« , des logiciels malveillants qui volent les mots de passe stockés sur les appareils infectés
- Aucune preuve n’indique que cette compilation contient des données nouvelles ou inédites
Description :
Contrairement aux gros titres alarmistes, la récente fuite de 16 milliards d’identifiants n’est pas une nouvelle violation de données. Il s’agit plutôt d’une compilation de mots de passe déjà compromis, volés par des logiciels malveillants « infostealers », exposés lors de violations antérieures ou obtenus via des attaques par bourrage d’identifiants. Ces données circulent probablement depuis des années.
Pourquoi c’est important :
Cette situation souligne l’importance d’adopter de bonnes pratiques de cybersécurité : utiliser des mots de passe uniques pour chaque site, utiliser un gestionnaire de mots de passe et activer l’authentification à deux facteurs (2FA). La vigilance est particulièrement importante pour les services sensibles comme les emails, banques et impôts, ainsi que pour les personnes vulnérables de votre entourage.
Les sites de grandes entreprises détournés avec de faux numéros d’assistance
Points Clés :
- Des escrocs détournent les résultats de recherche pour insérer de faux numéros d’assistance sur les sites d’Apple, Netflix, Bank of America et autres
- La technique utilise des publicités sponsorisées sur Google avec des URL malveillantes qui intègrent de faux numéros dans les fonctions de recherche légitimes
- Les filtres de sécurité ne détectent pas ces arnaques car elles utilisent les domaines authentiques des entreprises
Description :
Des cybercriminels manipulent les résultats de recherche pour afficher de faux numéros d’assistance sur les sites légitimes d’Apple, Netflix, Bank of America et autres grandes entreprises. Cette technique sophistiquée utilise des publicités sponsorisées sur Google qui redirigent vers les véritables sites d’assistance, mais avec un faux numéro pré-rempli dans la barre de recherche, incitant les victimes à appeler des escrocs.
Pourquoi c’est important :
Cette arnaque est particulièrement dangereuse car elle contourne les protections de sécurité habituelles en utilisant les domaines authentiques des entreprises. Les victimes qui appellent ces faux numéros risquent de divulguer des informations personnelles, financières ou d’accorder un accès à distance à leur ordinateur. Cette technique illustre l’évolution constante des méthodes d’ingénierie sociale qui exploitent la confiance des utilisateurs envers les grandes marques.
La justice Américaine saisit 225 millions de $ en cryptomonnaies liées à des fraudes
Points Clés :
- Plus grande saisie de cryptomonnaies de l’histoire du Secret Service américain
- Les fonds volés à plus de 400 victimes ont été tracés grâce à l’analyse blockchain
- Collaboration entre le DOJ, le FBI, le Secret Service et des partenaires privés comme Tether
Description :
Le Département de la Justice américain a saisi plus de 225 millions de $ en cryptomonnaies liés à des fraudes d’investissement. Les enquêteurs ont utilisé l’analyse blockchain pour suivre les fonds volés à travers un réseau complexe conçu pour dissimuler leur origine. Malgré des techniques sophistiquées de blanchiment impliquant des milliers de transactions, les autorités ont réussi à cartographier le réseau et à geler les actifs.
Pourquoi c’est important :
Cette opération démontre la capacité croissante des autorités à tracer et récupérer des actifs numériques malgré les tentatives d’obscurcissement. La collaboration entre agences gouvernementales et entreprises privées comme Tether établit un précédent important dans la lutte contre la criminalité financière dans l’écosystème crypto. Cette affaire pourrait potentiellement permettre la restitution des fonds aux victimes, renforçant la confiance dans la régulation du secteur.
Développement des systèmes d’IA : la CNIL publie ses recommandations sur l’intérêt légitime
Points Clés :
- Publication de recommandations clés pour utiliser l’intérêt légitime comme base légale dans le développement de l’IA, notamment pour le web scraping
- Définition de garanties concrètes : transparence accrue, droit d’opposition, pseudonymisation des données et facilitation de l’exercice des droits
- Équilibre innovant entre développement technologique et protection des données personnelles, fruit d’une consultation publique approfondie
Description :
La CNIL publie de nouvelles recommandations pour encadrer le développement des systèmes d’IA sous le RGPD. Ces directives précisent quand et comment utiliser l’intérêt légitime comme base légale, notamment pour le moissonnage de données (web scrapping). Elles proposent des garanties concrètes et des exemples pratiques pour concilier innovation technologique et respect des droits fondamentaux des citoyens européens.
Pourquoi c’est important :
Ces recommandations apportent la sécurité juridique indispensable aux entreprises développant des solutions d’IA en Europe. Elles clarifient l’application du RGPD dans un secteur en pleine expansion, favorisant l’innovation responsable. En définissant un cadre précis pour l’intérêt légitime, elles permettent aux acteurs de développer des systèmes d’IA performants tout en préservant la confiance des utilisateurs et leurs droits fondamentaux.
L’ANSSI critiquée pour ses contrôles insuffisants des entités régulées
Points Clés :
- La Cour des comptes pointe des lacunes dans les capacités d’audit de l’Anssi
- La relation de confiance avec les organismes audités limite l’efficacité des contrôles
- La directive NIS 2 exige une approche plus structurée et rigoureuse
Description :
Dans un rapport de 116 pages, la Cour des comptes critique l’Agence nationale de la sécurité des systèmes d’information (ANSSI) pour ses contrôles insuffisants des entités régulées. Malgré sa capacité à imposer des sanctions administratives, l’ANSSI peine à réaliser suffisamment d’audits face à la demande croissante et privilégie une approche basée sur la confiance plutôt que sur la contrainte.
Pourquoi c’est important :
Cette situation devient « difficilement tenable » avec l’arrivée de la directive NIS 2. La Cour des comptes recommande un dispositif gradué permettant d’enjoindre des mesures correctives avant d’imposer des sanctions. Un meilleur équilibre entre relation de confiance et efficacité des contrôles est nécessaire pour renforcer la cybersécurité nationale, particulièrement face à l’augmentation des cybermenaces.