Cybersécurité - Innovations digitales et numériques

De nombreux outils d'analyse sont disponibles gratuitement sur le web pour savoir si des sites reposent sur cette bibliothèque OpenSSL imparfaite, qui est utilisé depuis deux ans environ. OpenSSL est l'implémentation Open Source des Secure Sockets Layer, qui sont utilisés pour chiffrer les communications entre un navigateur et un serveur web. La vulnérabilité récemment mise à jour permet de consulter la mémoire du serveur et de voler les informations touchant à l'identification, les mots de passe et autres données.

Au moins un demi-million de serveurs, soit 17% des sites web sécurisés, présenteraient une vulnérabilité de type Heartbleed. Ce sont les cibles recherchées par les cybercriminels qui tentent d'atteindre les sites avant leurs administrateurs appliquent le patch disponible gratuitement.

Selon des chiffres officiels, en 2013, la cybercriminalité a causé en Côte d’Ivoire, un préjudice financier estimé à 3,6 milliards de FCFA contre 3,3 milliards en 2012 et durant cette période, quelque 70 personnes ont été arrêtées par la police.

Au Ghana, 80 cas de cybercrimes sont comptabilisés chaque mois, selon des chiffres publiés en juillet 2013 par le ministère de la Communication.

En Afrique de l’ouest, la cybercriminalité se réduit principalement à des cas d’escroquerie au préjudice des particuliers, contrairement au monde développé où les pirates s’attaquent aux grandes entreprises et aux gouvernements.

La faiblesse des législations constatée au niveau des pays par les experts, sévit aussi au niveau continental. Au sein de l’Union africaine, une convention sur la cybercriminalité est en projet depuis 2009, mais ce projet se heurte selon certains observateurs à un manque criard d’experts africains en cybersécurité.

Botnet pour robot network, c'est-à-dire un réseau d'ordinateurs contrôlés à distance sans le consentement de leurs propriétaires respectifs. Les botnets permettent d'envoyer des spams, de collecter des données personnelles ou de provoquer des attaques en déni de service (surcharge de requêtes sur un serveur). Les botnets peuvent frapper les ordinateurs mais aussi les tablettes, les téléphones... En janvier 2014, un cybercriminel a même piraté un frigo... Loin des fantasmes, la cybercriminalité est d'abord une criminalité organisée avec ses logiques de marché, ses spécialités et sa répartition des tâches. Il y a ceux qui créent les botnet, ceux qui les louent, ceux qui les exploitent et ceux qui les traquent. Face à cette criminalité, que peut la police ? Quels obstacles doit-elle surmonter ? Comment se déroule cette lutte sur la toile lorsqu'on joue en défense ? Invité en studio à représenter le  « côté clair de la force », Frédéric Le Bastard, expert en sécurité des systèmes d'information pour un grand groupe français.

«Nous avons traité 35 958 cas en 2013, contre 10 025 en 2012. Plus de 952 étaient considérés comme des incidents importants, conduisant à 1 006 investigations techniques réparties dans tous les secteurs d’activités majeurs du Grand-Duché», explique Alexandre Delaunoy, responsable au CIRCL, le centre en charge des incidents informatiques au Luxembourg. Trois types d'attaques ont d'ailleurs nettement augmenté. «On peut voir une augmentation notable dans les infections par malware (virus sur votre boîte mail par exemple)», précise-t-il. Le piratage de serveurs est également en hausse, ainsi que ce qu'on appelle les attaques drive-by exploit, c'est-à-dire l'infection de pages web, comme Facebook par exemple.

La version complète du rapport de spam pour mai 2014 est disponible à l’adresse suivante : http://www.securelist.com/en/analys...

Si cette découverte a le mérite d’exposer les activités de cybercriminels – une sorte de juste retour des choses – elle prouve également à quel point Heartbleed est dangereux. Ses conséquences et son utilisation ne sont pas prêtes de disparaître.

Terminé, les attaques informatiques lancées au hasard de la Toile par des gangsters de pacotille : place aux interventions ciblées et de grande envergure beaucoup plus rémunératrices, menées par des cyberpirates professionnels. Telle est la principale tendance observée par Symantec, qui a publié, hier, son rapport annuel 2013 sur le sujet. En amont, le cybergangster identifie l'entreprise à attaquer. Pour pénétrer son système informatique sans éveiller les soupçons, il repère sur le Web et les réseaux sociaux des salariés pouvant faire office de porte d'entrée. Dans le jargon, on appelle ça du « social engineering ». Il expédie, ensuite, des mails sur mesure (offres promotionnelles en adéquation avec la victime). « Un pirate envoie une vingtaine de messages, contre une centaine avant. C'est moins suspect », indique Laurent Heslault, directeur des stratégies de sécurité de Symantec.

Autre méthode pour s’immiscer dans nos mobiles selon Lookout, contaminer directement les kits de développement (SDK) mis à la disposition des développeurs d’applications. Ce fut récemment le cas avec un SDK pour développer de la publicité pour mobiles. « Ca venait de Russie, ça ne faisait à priori rien de mal, c’était très très pro, mais nous avons reconnu des lignes de code d’un malware qui y était injecté », relate Thomas Labarthe. Au final, les criminels ont attendu deux mois pour activer « Badnews ». Derrière lui, un « SMS Fraud », soit un module qui envoie des SMS surtaxés depuis les smartphones contaminés. Selon Lookout, 60% des arnaques aux SMS proviendraient de Russie. Une dizaine d’organisations criminelles seulement en seraient à l’origine.

Si quelqu'un appelle en prétendant être d'une qualité officielle, demandez des preuves. Demandez un numéro de poste afin de pouvoir rappeler cette personne. Si la personne prétend être un employé d'un autre bureau ou d'un fournisseur, demandez une information vous permettant de confirmer son identité. S'il s'agit d'un policier, demandez son numéro de badge. Si ces personnes sont légitimes, elles vous fourniront les informations demandées sans hésitation.

Ne cédez pas à la pression « vous avez quelques minutes pour agir ». Vous avez toujours le temps de réfléchir et de vérifier.

Méfiez-vous toujours des situations dans laquelle vous êtes activement contacté au sujet d'un problème. Aucune entreprise légitime ne vous demandera votre mot de passe, et le gouvernement enverra toujours une lettre pour les communications officielles. Et si vous recevez soudainement un appel d'un ami ou d'un parent prétendant être bloqué dans un pays étranger et ayant besoin que vous leur envoyez de l'argent au plus vite, ne leur faite pas simplement confiance parce qu'il ou elle connaît le nom de vos frères et sœurs ou le nom de votre chien.

Soyez conscient de ce que vous communiquez en ligne, et réglez les paramètres de contrôle de votre confidentialité. Il existe certaines informations que vous ne devriez jamais communiquer en ligne, telles que votre mot de passe, les réponses aux questions de sécurité (comme le nom de jeune fille de votre mère) ou votre numéro de sécurité sociale.

Vous pouvez toujours vous rendre utile, mais prenez le temps de douter et de tout évaluer. Une petite dose de scepticisme n'a jamais fait de mal, et peut faire une énorme différence lorsqu'il s'agit de cybercriminalité.