"Le voleur moderne peut voler plus avec un ordinateur qu'avec un fusil. Le terroriste de demain peut causer plus de dégâts avec un clavier qu'avec une bombe"
| LONDRES (Reuters) - Selon la police britannique, le développement rapide des connexions internet à haut débit risque de faciliter l'émergence d'un nouveau délit informatique: le cyber-racket. Avec le haut débit, les particuliers se connectent de plus en plus souvent et de plus en plus longtemps, et deviennent ainsi des cibles de choix pour les pirates informatiques, qui peuvent prendre le contrôle d'ordinateurs et s'en servir pour lancer des attaques dites de "déni de service" contre des sites web. Bien menées, ces offensives sont capables de bloquer pendant de longues périodes l'accès à un site ou à un réseau d'entreprise en le bombardant de fausses requêtes. Les criminels réclament ensuite de l'argent à leur victimes en échange de l'arrêt des attaques. "Au bout du compte, c'est du racket très classique en échange d'une protection, mais en utilisant des outils technologiques", déclare un porte-parole de la brigade britannique de lutte contre la criminalité informatique. Les racketteurs, dont une part importante viendrait d'Europe de l'Est, s'attaquent principalement aux casinos en ligne et aux sites de commerce électronique, mais également à des victimes plus inattendues comme le port américain de Houston. La police britannique a déclaré mercredi que le nombre d'attaques par déni de service contre les sites web augmente et a appelé les entreprises victimes de cyber-racket à porter plainte. En effet, la police manque d'informations sur les victimes, et ne sait donc pas avec certitude s'il s'agit simplement d'incidents isolés ou d'une nouvelle vague de criminalité.Reuters 12.11.2003 | Pour avoir détourné le nom de domaine du site de la chaîne d'information en langue arabe, un webmaster américain écope d’une amende et de 1000 heures travaux d’intérêt public. Une sentence modérée pour un geste patriotique déplacé. John William Racine II, qui avait piraté le site web de la chaîne télévisée d'information Al-Jazira, a été condamné par un juge californien à 1000 heures de travaux d'intérêt public et 2000 dollars d'amende. En mars dernier, ce jeune webmaster de Los Angeles, avait en fait détourné le nom de domaine "aljazeera.net" au niveau de son fournisseur ("registrar") Network Solutions Inc, une division de Verisign. Résultat: les visiteurs du site d'information se retrouvaient sur une page comportant un drapeau américain et la devise patriotique: "Let Freedom Ring" (traduction: "Que la liberté triomphe"). Racine avait également récupéré plus de 300 e-mails envoyés à aljazeera.net, peut-on lire dans un communiqué du département de la Justice américain. Le 26 mars, le jeune homme s'était finalement dénoncé au FBI. Au cours de la sentence, prononcée mercredi 12 novembre, le juge Howard Matz a indiqué qu'il ne pensait «pas que le jeune homme soit une personne mauvaise... mais que [ce qu'elle a commis] était un crime», rapporte Reuters. «Ce n'était pas simplement une blague d'enfant», a-t-il estimé. Reste que John William Racine, qui plaidait coupable, écope d'une condamnation relativement modérée; il risquait jusqu'à 25 ans de prison et 500.000 dollars d'amende.ZDNet 14.11.2003 | Un rejeton du programme malicieux Mimail occupe un premier rôle inédit dans une nouvelle arnaque aux coordonnées bancaires. Ses auteurs cherchent à détrousser les utilisateurs de Paypal, l'un des systèmes de paiement électronique du site d'enchères Ebay. W32/Mimail-I, une variante du virus-ver Mimail qui sévit depuis fin octobre, cible les utilisateurs de la plate-forme de paiement électronique Paypal, rachetée par Ebay fin 2002. Le but des auteurs du programme malicieux est de leur dérober leurs coordonnées bancaires. Certains ont reçu un e-mail copiant l'aspect du site de Paypal. «Votre compte Paypal.com arrive à expiration», indique le message. Suite à la mise en place d’une nouvelle politique de sécurité, l'utilisateur est ainsi invité à saisir les coordonnées de sa carte de crédit pour les mettre à jour, poursuit-il. Mais pour se différencier des récentes attaques similaires, la nouvelle variante a recours à une ruse. L’utilisateur est prié de ne pas envoyer des données personnelles par e-mail, décrit comme non sûr. Le message lui conseille d’exécuter un programme contenu dans le fichier attaché. C’est ce dernier qui contient le script malicieux. Un duo d'arnaqueurs inédit Si l’utilisateur se laisse prendre au piège et exécute le fichier joint nommé "www.paypal.com.scr", une fenêtre portant le logo Paypal apparaît. Elle lui demande de remplir des champs (dont numéro de carte de crédit, code PIN confidentiel et sa date d’expiration). Munis de ces informations, les auteurs du programme peuvent effectuer des opérations à l’insu de l’utilisateur, mais pas seulement. Le virus enregistre les contacts enregistrés sur le disque dur de la victime, qui le reçoivent tous à leur tour. Pour un responsable de la société d'antivirus McAfee (Network Associates), ce virus-ver n’est pas considéré comme dangereux pour l’instant. En revanche, son mode de diffusion est inédit. «Nous avons vu ces deux dernières années des programmes qui introduisent des chevaux de Troie dans des systèmes pour récupérer des informations. Mais c’est la première fois que ce type de script est intégré à l’escroquerie dont est victime Paypal», indique-t-il. De manière générale, le bon sens suggère de ne jamais cliquer sur des liens ou fichiers joints à des e-mails, provenant soi-disant de banques ou d’organismes financiers. De son côté, Ebay explique sur son site comment repérer les e-mails frauduleux.ZDNet 17.11.2003 |
| SAN FRANCISCO (Reuters) - La propagation d'un nouveau virus transmis par courrier électronique, qui se fait passer pour un message du fournisseur de services de paiement en ligne PayPal afin d'inciter les internautes à révéler leurs coordonnées bancaires et leur numéro de sécurité sociale, ralentit depuis jeudi. Le ver Mimail.J, dixième variante apparue lundi d'un virus originel en circulation depuis août, n'est pas destructeur, mais comporte un risque de vol d'argent ou d'usurpation d'identité, a expliqué Craig Schmugar, un ingénieur spécialisé dans la recherche sur les virus informatiques chez l'éditeur de logiciels Network Associates. Le texte présenté par le message du ver explique au destinataire que son abonnement à PayPal expirera à moins de remplir un formulaire en fichier joint demandant plusieurs informations personnelles. Une fois celui-ci envoyé, l'internaute reçoit un message de confirmation qui semble lui aussi émaner de PayPal. Cette escroquerie s'avère particulièrement bien conçue dans la mesure où elle combine d'une part un virus de type ver, capable de se propager de lui-même en subtilisant des adresses électroniques enregistrées dans les machines infectées, d'autre part un message électronique de type "spam" envoyé en masse, et enfin une tromperie fondée sur l'ingénierie sociale afin d'inciter à livrer des informations confidentielles. La plupart des autres tromperies par courrier électronique élaborées dans le même but demandaient à l'internaute de se rendre sur un site web qui ressemblait à celui d'une société "légitime" connue, comme Amazon.com, eBay ou Citibank. EBay, qui contrôle PayPal, n'envoie jamais de message contenant une pièce jointe et ne demande jamais d'information par courrier électronique, a rappelé une porte-parole de la société.Reuters 21.11.2003 | Si, dans le cas d'une mission spatiale revenant sur Terre, les dangers d'une contamination possible par d'éventuels organismes extraterrestres sont évidents, on a toutefois peine à s'imaginer qu'un signal radio d'outre-espace pourrait véhiculer un contenu malveillant s'apparentant aux virus informatiques. Pourtant, un physicien du Fermilab mettait récemment en garde l'humanité contre cette menace potentielle. Même si, de prime abord, l'idée semble relever de la science-fiction, le physicien Richard Carrigan du Fermilab estime que la menace potentielle est à prendre au sérieux. Selon lui, les experts du programme de recherche d'intelligence extraterrestre SETI (Search for Extraterrestrial Intelligence), qui examinent sans succès depuis 1984 des signaux de l'espace, devraient considérer cette possibilité lorsqu'ils recueillent et manipulent les données. Même si le chercheur reste vague quant à la nature possible d'une telle menace, il avance l'hypothèse qu'un signal malveillant émis par des «pirates informatiques de l'espace» pourrait peut-être avoir un impact négatif sur des ordinateurs terrestres et les instruments de SETI. Utilisant la métaphore des sirènes qui tentaient de séduire Ulysse dans l'Odyssée, il va même beaucoup plus loin en suggérant qu'un message maléfique pourrait avoir une influence psychologique sur les personnes du projet SETI qui tenteraient de le décoder. Concrètement, Richard Carrigan propose aux chercheurs de tenter de saisir l'esprit d'un message avant de le lire dans son intégralité ainsi qu'une espèce de «protection antivirus» appliquée aux signaux recueillis dans le cadre de SETI. Science-fiction, paranoïa? Pourtant, un astronome de l'Institut SETI, Seth Shostak, estime que les suggestions de Richard Carrigan sont intéressantes mais qu'il n'existe pas réellement de danger au niveau du contenu d'éventuels messages puisque les signaux sont «lissés», perdant ainsi les détails pour ne garder que la forme générale. Une déclaration qui ne manquera pas d'avoir un effet réconfortant sur les millions d'internautes dont les ordinateurs analysent les signaux de l'espace via le logiciel de calcul distribué SETI@home. Mais avant de se préoccuper de la nature du contenu des signaux, encore faudrait-il commencer par capter des émissions qui pourraient ressembler à un message, chose qui n'a pas encore été réalisée depuis le début du projet SETI en 1984. Branchez-vous 16.11.2003 | John William Racine II, qui avait piraté le site web de la chaîne télévisée d'information Al-Jazira, a été condamné par un juge californien à 1000 heures de travaux d'intérêt public et 2000 dollars d'amende. En mars dernier, ce jeune webmaster de Los Angeles, avait en fait détourné le nom de domaine "aljazeera.net" au niveau de son fournisseur ("registrar") Network Solutions Inc, une division de Verisign. Résultat: les visiteurs du site d'information se retrouvaient sur une page comportant un drapeau américain et la devise patriotique: "Let Freedom Ring" (traduction: "Que la liberté triomphe"). Racine avait également récupéré plus de 300 e-mails envoyés à aljazeera.net, peut-on lire dans un communiqué du département de la Justice américain. Le 26 mars, le jeune homme s'était finalement dénoncé au FBI. Au cours de la sentence, prononcée mercredi 12 novembre, le juge Howard Matz a indiqué qu'il ne pensait «pas que le jeune homme soit une personne mauvaise... mais que [ce qu'elle a commis] était un crime», rapporte Reuters. «Ce n'était pas simplement une blague d'enfant», a-t-il estimé. Reste que John William Racine, qui plaidait coupable, écope d'une condamnation relativement modérée; il risquait jusqu'à 25 ans de prison et 500.000 dollars d'amende. ZDNet 14.11.2003 |
| Un virus fait tomber les uns après les autres les sites spécialisés dans la lutte contre le spam. Des variantes de Mimail, découvert en août dernier, ont fait leur apparition la semaine dernière. Leur modus operandi consiste en l'envoi d'attaques par déni de service distribué ( DDoS ) vers des sites spécialisés dans la lutte antipourriels, notamment Spamhaus.org et Spew.org . L'objectif est de rendre inopérables les RBL (Realtime Blackhole List) fournies par ces sites et exploitées par la majorité des outils de lutte contre les pourriels. C'est d'ailleurs une nouvelle tendance dans les attaques sur Internet, et avec un certain succès. Ainsi, fin septembre, deux sites fournissant des services antipourriels, Monkeys.com et Compu.Net , ont jeté l'éponge, après avoir été victimes d'attaques DDoS. En septembre, l'éditeur MessageLabs démontrait dans une étude une corrélation entre les adresses IP des machines infectées par le ver SoBig et l'origine des pourriels, ce qui signifierait que les auteurs de virus et de pourriels seraient les mêmes. Concrètement, le ver, qui ne concerne que les plates-formes Windows, est contenu dans une pièce jointe à un e-mail. Si celle-ci est ouverte, le ver collecte toutes les adresses électroniques qu'il peut trouver sur le PC infecté, et leur envoie des messages pour se reproduire à l'aide de son propre serveur SMTP . Sans grand danger pour le PC infecté, il est éradiqué par les antivirus courants. Si la corrélation entre expéditeurs de spams et auteurs de virus est avérée, il y de quoi s'inquiéter. L'exploitation des RBL, même si elle n'est pas suffisante, est à la base de solutions de lutte contre les pourriels. Décision Micro 12.11.2003 | La Cnil estime que les puces RFID, les étiquettes radio, doivent être considérées comme des identifiants personnels. Et souligne les pièges en matière de protection de la vie privée. La Cnil ne prend pas les RFID à la légère. Pour elle, ces étiquettes radio miniatures capables de transmettre de l'information ne sont pas de simples codes-barres de plus. La commission vient de donner sa position sur la question : les RFID (Radio frequency identification) « sont des identifiants personnels au sens de la loi Informatique et libertés ». Ces étiquettes radio investiront dans un futur proche notre environnement quotidien, de l'objet le plus banal au plus sophistiqué. C'est la conclusion d'une étude réalisée par Philippe Lemoine, commissaire du gouvernement auprès de la Cnil et coprésident des Galeries Lafayette. Le texte intégral devrait être disponible prochainement sur le site web de la commission. Ce document a valeur de position officielle de la Cnil sur ce dossier. Pour le commissaire, si les RFID existent déjà dans nos vies quotidiennes (cartes de transport telle Navigo, ou clés de voiture), la technologie est amenée à connaître une « dissémination massive » dans le secteur de la distribution. L'étude identifie plusieurs pièges « qui concourent à minorer le risque que présente cette technologie en matière de protection des données personnelles et de la vie privée ». Parmi eux, le fait que les données contenues dans l'étiquette soient apparamment insignifiantes et que cette dernière soit plutôt rattachée à un objet qu'à une personne. L'autre risque, de taille celui-là, est la « non-vigilance » de l'individu face à cette étiquette : il ne la voit pas, du moins pas aisément, et ne sait pas quand elle est active. Le porteur de la puce RFID peut alors livrer des informations sans même le savoir. Le maillage des informations, coeur du problème Plus que la technologie RFID elle-même, c'est surtout le maillage entre elles de toutes les informations contenues dans les étiquettes qui pose un réel problème. Selon la Cnil, « les technologies de radio-identification (...) font peser sur les individus un risque particulier » parce que la mise en relation des informations contenues sur les centaines, voire les milliers d'objets entourant un individu, permettrait, en interceptant l'information et en l'associant à des données personnelles (un passeport par exemple), de le « profiler ». C'est en cela que la vie privée se trouve exposée. « Compte tenu du prix de la technologie, de ses performances, de son expansion, de l'arrivée prochaine des adresses Ipv6 qui pourront être rattachées aux objets, on peut imaginer à terme un univers entièrement communiquant et identifiable », explique Thierry Jarlet, directeur de l'administration et de la communication de la Cnil. Cette inquiétude n'a rien de purement futuriste. Le 16 septembre dernier, un symposium a consacré la naissance d'EPC, Electronic Product Code, un réseau qui aura pour objectif de pister tous les produits marqués par une étiquette intelligente. Pour ces raisons, la Cnil considère que les RFID possèdent le statut de données personnelles, ce qui leur donne comme cadre législatif la loi Informatique et libertés de 1978 et la directive européenne 95/46 de 1995. Se pose alors, pour la Cnil, un problème inédit : celui du droit d'accès aux informations. La seule solution consisterait alors à permettre une neutralisation définitive ou temporaire de la puce, grâce à des dispositifs techniques « incorporés dès leur fabrication » . Pour y arriver, la Cnil reconnaît que la « recherche doit encore avancer ». Les RFID dans la peau Les RFID continuent de défrayer la chronique outre-Atlantique. Le Chicago Sun Times a révélé, début novembre, des tests secrets menés par le distributeur Wal-Mart et Procter, sur des bâtons de rouge à lèvres, dans des supermarchés d'Oklahoma. L'association américaine Caspian est montée au créneau, qui avait déjà donné de la voix lors des projets RFID annoncés par Gillette et Benetton . Le nouveau combat de Caspian s'appelle VeriPay, un système de paiment sécurisé s'appuyant sur une puce RFID qui peut s'implanter sous le bras , projet dévoilé par la société Applied Digital Solutions, lors du Salon ID World, les 20 et 21 novembre dernier à Paris. La puce est « de la taille d'un grain de riz » , « invisible à l'oeil nu » une fois insérée sous la peau « après une anesthésie locale ». Le CEO d'Applied Digital Solutions a appelé banques et organismes de crédit à rejoindre son programme. 01Net 28.11.2003 | |
Si vous connaissez votre ennemi et si vous savez ce que vous valez, vous n'avez pas besoin de craindre vos prochaines batailles. Si vous savez ce que vous valez et rien sur votre ennemi, pour chaque victoire remportée, vous subirez une défaite. Si vous ne connaissez rien sur vous-même ni sur votre ennemi, vous succomberez à chaque bataille. Sun Tzu-The Art of War
Cette chronique vous intéresse, indiquez-moi des liens intéressants...
