Edito

Bonjour à toutes et à tous,

Le mois d’Octobre est toujours un mois particulier pour les personnes qui travaillent, comme nous, dans le domaine de la sécurité informatique. C’est en effet le mois qui est consacré au niveau européen à promouvoir, informer et sensibiliser contre les menaces qui peuvent exister dans votre espace de vie numérique.

Un certain nombre d’événement en France et dans toute l’Europe sont programmés à cette occasion et vous pourrez en retrouver le détail pour l’hexagone : ici

Nous nous joignons donc à cette initiative en vous proposant, comme nous le faisons maintenant depuis plusieurs années, un ensemble de sujets ayant pour ambition de vous informer et sensibiliser aux cybermenaces auxquelles nous sommes tous exposés au quotidien.

Je vous laisse en découvrir le contenu pour ce Cybermois !

Bonne lecture,

Christophe Borry

CISO (Chief Information Security Officer) du Crédit Agricole Pyrénées Gascogne

La définition du Dictionnaire Larousse concernant l’illectronisme est celle-ci : « se dit de l’état d’une personne qui ne maîtrise pas les compétences nécessaires à l’utilisation et à la création des ressources numériques. ». L’analogie avec l’illettrisme est évidente et ses implications le sont tout autant…

17% de la population française

La couverture digitale et l’accès aux outils numériques se sont grandement améliorés dans l’hexagone ces dix dernières années, toutefois une part non négligeable de la population (on l’estime à 13 millions en 2020 selon l'INSEE) demeure non connectée ou en grande difficulté face à ces outils.

Ce phénomène qui ne concerne pas seulement (comme on pourrait le penser) nos ainés, est un des révélateurs de la fracture numérique qui existe dans notre pays.

Alors qu’aujourd’hui, de plus en plus de démarches sont dématérialisées pour simplifier la vie des usagers, c’est toute une frange de la population qui se trouve démunie face à ces évolutions.

Des raisons expliquent ce phénomène, on peut tout d’abord citer la réticence au fait de s’approprier le fonctionnement des nouveaux outils de notre quotidien digital.

Ceci s’apparente également à l’appréhension face à la nouveauté, aux craintes de ne pas savoir faire ou à la peur de se tromper.

Une autre raison réside dans l’écart qui existe entre les acquis numériques d’un individu (son « potentiel digital ») et sa propension à évoluer de concert avec l’essor rapide de la technologie, creusant souvent un fossé paraissant insurmontable pour ces personnes.

Une population fragilisée, cible privilégiée

Bien entendu, au-delà du risque de l’augmentation de la fracture numérique, se profile l’exclusion sociale... Ainsi on peut estimer que dans les usages d’Internet, les individus touchés par l’illectronisme sont de fait plus sensibles aux fausses informations qui y circulent, ainsi bien entendu qu’aux tentatives de piratage ou d’arnaques.

Même si grâce au RGPD (Règlement Général sur la Protection des Données), les politiques publiques sur la gestion des données personnelles se renforcent peu à peu, il est évident que ces populations peu avisées des risques ne prennent pas la mesure de la nécessité de se protéger lorsqu’elles naviguent sur Internet.

Pour ce qui est des outils, il est également évident que les « illectrés » sont bien plus exposés aux risques informatiques : mails de phishing ou malicieux, sécurisation hasardeuse de l’ordinateur (absence d’antivirus, de mises à jour du système d'exploitation…), téléchargement de logiciels malveillants, navigation sur des sites frauduleux, etc…

L’accompagnement et la sensibilisation sont les seules armes qui peuvent à terme contribuer à réduire la fracture entre ces laissés-pour-compte du digital et le reste de la population.

Heureusement des initiatives existent comme de nombreuses associations ou ce site (https://aidantsconnect.beta.gouv.fr/) du gouvernement qui met en relation aidants et personnes à accompagner mais le chemin risque d’être encore long !

L'initiative dont nous allons vous parler ce mois-ci a permis de récupérer les données de plus de 6 millions de personnes dans le monde.

No More Ransom

No More Ransom, est une initiative lancée en 2016 par les forces de l'ordre et des sociétés de sécurité informatique pour aider les victimes de ransomware à restaurer leurs fichiers. Son action sur les cinq dernières années a permis d’éviter plus de 900 millions de dollars de profits illégaux et la récupération de données appartenant à plus de 6 millions de personnes.

Le ransomware, sujet qui revient (malheureusement) très souvent dans nos colonnes est un type de logiciel malveillant qui bloque l'accès aux précieuses données des utilisateurs (généralement en utilisant le cryptage) et permet aux pirates qui les ont propagés d'exiger une rançon de leurs victimes pour retrouver l'accès aux informations verrouillées.

Ces dernières années, ce type de logiciels malveillants devenant extrêmement répandu, a causé de grandes pertes aux utilisateurs privés et entreprises de par le monde.

Né de l’idée d’aider les individus et les organisations à lutter contre les ransomwares, l'unité nationale de lutte contre la criminalité high-tech de la police nationale néerlandaise, le Centre européen de lutte contre la cybercriminalité d'Europol, ainsi que les éditeurs de logiciels de sécurité Kaspersky et McAfee, ont convenu en 2016 de créer conjointement un site Web.

Son objectif était d'aider les victimes d'attaques de ransomware à récupérer leurs données cryptées sans avoir à payer les criminels. Pour ce faire, les participants à l'initiative publient des outils de décryptage sur le site Web « nomoreransom ». Ces outils, une fois téléchargés et activés, peuvent aider les victimes de certains ransomwares spécifiques à récupérer leurs données sans payer de rançon.

En plus des outils de décryptage, le site Web est également doté de nombreux conseils de prévention et d’instructions sur la façon de signaler un cybercrime dans la plupart des pays.

Une initiative suivie

Depuis 2016 et ses quatre partenaires, l’initiative est passée à plus de 170 membres et elle compte aujourd'hui plus de 120 outils de décryptage pour les utilisateurs.

Ces outils qui couvrent plus 150 familles de ransomwares permettent désormais aux victimes de pouvoir lutter efficacement contre ce fléau. Pour preuve, au cours des cinq dernières années, environ 6 millions de personnes ont téléchargé ces outils de décryptage. Les experts de No More Ransom ont ainsi déclaré qu'ils estiment avoir empêché la réalisation illégale de plus de 900 millions de dollars de bénéfices au détriment des criminels.

Pour plus d’information, vous pouvez consulter (sans modération) les bons conseils prodigués sur le site : https://www.nomoreransom.org/fr/index.html

C’est le vendredi 3 septembre, par le biais d’un communiqué de presse, que le ministère de l’intérieur, conjointement avec le ministère des affaires étrangères, a annoncé cet incident. L’annonce faisait état d’une cyberattaque survenue en date du 10 aout 2021, à l’encontre du site France-Visas.

Ce site, qui est la porte d’entrée des Visas pour le territoire français, permet aux étrangers de pouvoir déposer leur demande du précieux sésame permettant de séjourner en France.

L’attaque « rapidement neutralisée » a seulement touché l’un des modules de la plateforme de demande visas, mais a permis aux assaillants d’accéder à un certain nombre de données utilisateurs.

8700 demandeurs victimes

Même si, aux dires du ministère de l’intérieur, cette attaque a pu être maîtrisée rapidement, des données enregistrées lors de la saisie des demandes de visas ont pu être dérobées par les responsables de cette cyberattaque.

Les données subtilisées comprendraient les noms/prénoms, dates de naissance, des détails relatifs au passeport ou à la carte d’identité (n°, date de délivrance, nationalité…), ce sont des informations de premier ordre pour les pirates car elles se monnayent cher sur les réseaux de cybercriminels…

Selon les autorités, le nombre de victimes potentielles dont les données auraient été récupérées pendant l’attaque, s’élèverait à près de 8700 demandeurs. Les deux ministères précisant toutefois dans le communiqué de presse que « les renseignements ne comprennent pas de données financières ou sensibles au sens du règlement général sur la protection des données (RGPD) ».

Le ministère de l’intérieur a, dans la foulée de la publication du communiqué de presse, adressé à l’ensemble des personnes concernées un message « avec des recommandations de vigilance et des précautions à prendre » précisant aux intéressés que les informations collectées « ne permettent pas non plus d'engager des démarches administratives au nom de la personne dont les données ont été divulguées, que ce soit sur le portail France-visas ou sur tout autre site institutionnel français ».

Il est bon de souligner que ces informations peuvent avoir cependant un intérêt certain pour des pirates qui souhaiteraient par la suite élaborer des arnaques personnalisées auprès des victimes dont ils détiendraient un certain nombre de détails….

Par ailleurs, en parallèle de ces communications, une plainte a été déposée et cette affaire a fait l’objet d’un signalement auprès de la CNIL (Commission Nationale Informatique et Liberté). L’enquête judiciaire est encore en cours au moment où nous écrivons ces lignes.

Comme vous pouvez le voir sur la copie du document ci-dessous, le message particulièrement anxiogène adressé à un grand nombre de clients et de collaborateurs de notre Caisse Régionale peut prêter à questionnement.

Nous avons marqué sur cette copie les éléments importants qui génèrent la confusion chez les lecteurs. La mécanique de cette arnaque repose sur deux éléments-clés :

• Des détails Réalistes : Les interlocuteurs désignés dans ce courrier existent bien. Christophe MOLMY par exemple est bien à la tête de la Brigade de Protection de Mineurs depuis janvier dernier et Jean-Philippe MESCLE est également en poste en qualité de procureur de la République adjoint près le tribunal judiciaire de Créteil.
• Encore et toujours : l’urgence ! Se manifester dans les 72h afin d’« évaluer les sanctions », le piège est destiné à profiter de la peur des victimes qui vont sans nul doute s’empresser de crier leur innocence et tomber dans une arnaque dont le scénario élaboré les conduira inexorablement à payer, au bout du compte.

Même si la ficelle est grosse - notez le : « Maintenant vous êtes prévenus. » assez incongru de la part d’un représentant de l’ordre – le piège peut apparaître légitime à la lumière des éléments cités plus haut et du contexte d’urgence…

Notre conseil : ne jamais céder à la pression, prendre du recul et se poser les bonnes questions. Par exemple, pourquoi :

• Le courrier n’est pas nominatif ?
• L’adresse de réponse est hébergée chez gmail et non sur un domaine affilié au ministère de l’intérieur ? (gouv.fr par exemple)
• S’agissant d’un message de la Police Judiciaire, c’est toutefois un « cyber gendarme » (donc de l’autre corps des représentants de l’ordre) qui aurait procédé à l’enquête ?
• L’expéditeur « POLICE JUDICIAIRE » dispose de l’adresse jacques.germon@neuf.fr?
• etc

La domotique est un ensemble des technologies numériques de l'information utilisées dans les domiciles. Elle permet d’assurer des fonctions de sécurité, de confort, de gestion d'énergie et de communication, de façon interopérable et connectée dans une maison. Complexes et chères par le passé, les installations domotiques sont désormais abordables et faciles d’accès, surtout depuis que les constructeurs ont développé des offres d’appareils grands publics favorisant la démocratisation de ce marché.

Afin de rendre une maison « intelligente », il est indispensable de disposer d’appareils eux-aussi intelligents c’est-à-dire capables de communiquer. Le marché des objets connectés s’est ainsi extrêmement développé ces dernières années, mais de façon assez anarchique, multipliant les protocoles, les ponts propriétaires (relais entre internet et les objets connectés propres à chaque marque), et complexifiant l’usage de ceux-ci au sein des domiciles. C’est dans ce domaine en pleine expansion qu’une petite révolution est en cours pour vous faciliter l’accès au merveilleux monde des automatisations.

En effet, vos appareils domestiques intelligents sont sur le point de devenir beaucoup plus compatibles entre eux, grâce au protocole Matter récemment annoncé.

Le protocole Matter, anciennement connu sous le nom de Project CHIP (Connected Home over IP) est un protocole de domotique (maison intelligente) développé par des sociétés telles qu'Amazon, Apple, Google et Comcast pour créer une norme industrielle pour tous les appareils domestiques intelligents, les rendant tous compatibles les uns avec les autres.

Ce type de système de certification est exactement ce dont l'industrie de la maison intelligente et plus généralement de l’internet des objets (Iot) a besoin : la compatibilité entre les appareils de différents fabricants.

Qu'est-ce que ce nouveau protocole ?

Matter est le protocole de connectivité IP (Internet Protocol) unifié créé par la Connectivity Standards Alliance (anciennement connue sous le nom de Zigbee Alliance) pour fournir des écosystèmes Internet des objets sécurisés.

La première version des spécifications du protocole Matter fonctionnera sur les technologies de réseau existantes telles que Ethernet (802.3), Wi-Fi (802.11) et Thread (802.15.4) et, pour faciliter la mise en service, le Bluetooth Low Energy (BLE).

Cette technologie peut, par exemple, permettre aux utilisateurs de contrôler l'éclairage, le chauffage et la climatisation, les caméras et portiers vidéo, les serrures et alarmes, le tout via leurs haut-parleurs intelligents, ou par le biais d’une seule et unique application.

Car tout le problème est là : De nombreux appareils domestiques intelligents peuvent déjà coopérer entre eux via certaines enceintes connectées comme Alexa, Google Assistant ou le HomePod d’Apple par exemple. Mais la plupart des utilisateurs ont encore besoin de plusieurs applications pour obtenir leurs paramètres et contrôles idéaux, car tous les produits ne sont pas conçus pour coopérer ensemble.

C'est justement l’objectif de Matter que de permettre aux nouveaux appareils domestiques intelligents certifiés selon ce protocole de pouvoir fonctionner de manière transparente avec vos divers appareils (que ce soit votre smartphone, tablette ou directement avec un assistant vocal ou une enceinte connectée).

La Connectivity Standards Alliance met à disposition les informations relatives au protocole Matter en libre accès (implémentation en open source), afin que d'autres entreprises technologiques puissent utiliser et bénéficier de ce standard.

Les premiers appareils à recevoir la certification arriveront dès cette année, en fonction des plans de marche des fabricants. Ces appareils comprendront des ampoules, des thermostats, des serrures de porte et des systèmes de sécurité, et d'autres suivront. Au-delà des meilleurs haut-parleurs intelligents, les appareils de plus de 100 entreprises différentes sont déjà engagés dans le support du protocole Matter.

Les conséquences à venir pour le consommateur ?

Aujourd’hui les clients doivent s'assurer que les ponts dédiés peuvent se connecter aux bons périphériques, ils doivent également opter pour des appareils en fonction de l'assistant et de l'écosystème dans lesquels ils ont déjà investi.

L'objectif de Matter est donc d'être un protocole d'interopérabilité avec des modèles de données standard qui garantissent que les appareils domestiques intelligents puissent fonctionner dans différents écosystèmes.

En résumé, plus besoin de se casser la tête ou de passer des heures sur les forums pour savoir si le nouvel appareil intelligent ou l’enceinte connectée que vous souhaitez acquérir par exemple, est compatible avec les appareils intelligents déjà en votre possession.

Cela signifiera également que le processus de configuration sera extrêmement simplifié et l’intégration aux autres appareils se fera de façon transparente.

L’autre avantage c’est que les travaux, déjà entrepris par les plus grandes marques, visent à permettre l’intégration des appareils existants dans ce nouveau protocole afin de faciliter la transition. Vos produits intelligents actuels, via des mises à jour logicielles, pourront donc être potentiellement éligibles à cette nouvelle norme. Ainsi les consommateurs auront accès à un choix accru, à une meilleure compatibilité et à un contrôle plus global sur leur expérience de domotique.

Etant donné l’enjeu économique pour les fabricants, même si ces améliorations ne se produisent pas du jour au lendemain, il ne faudra pas attendre longtemps avant que la grande majorité des objets connectés soient compatibles, quelle que soit la marque.

Un déploiement repoussé

Le lancement définitif de ce nouveau standard était planifié pour la fin de cette année, mais la Connectivity Standards Alliance a annoncé sur son blog début août que celui-ci était repoussé à 2022. La multiplicité des acteurs (mettre tout ce petit monde d'accord prend du temps), mais également les conséquences de la pandémie actuelle, sont vraisemblablement les raisons de ce rallongement de délai. Le kit de développement (sorte de « bible ») ne devrait être disponible qu'à partir du premier semestre 2022, avec dans le même temps l'ouverture du programme de certification officiel. Ce nouveau délai va laisser en outre le temps à de nombreuses nouvelles entreprises de rejoindre cette alliance.