Bonjour à toutes et à tous,
Inaugurée l’année dernière, l’édition de décembre de notre Newsletter est l’occasion pour nous de vous présenter à nouveau des articles publiés dans le passé.
Je vous le disais déjà l’an dernier et c’est toujours vrai, les sujets que nous avons choisi de vous présenter dans cette édition spéciale sont paradoxalement d’une étrange actualité aujourd’hui !
Nous profitons également de cette édition pour vous présenter une collaboration originale de Crédit Agricole Pyrénées Gascogne et de la Gendarmerie Nationale. Cette collaboration s’est matérialisée par une série de vidéos sur le thème de la Cybersécurité et de la fraude animées par le Colonel Cédric Gervais – Commandant de la Section de recherches de Pau.
Bonne lecture !
Christophe Borry
CISO (Chief Information Security Officer) du Crédit Agricole Pyrénées Gascogne
Article paru dans l’édition #4 de juillet 2018 :
Votre réseau Wi-Fi privé est en général sécurisé et permet des échanges de données cryptées. Ce n’est pas le cas sur un réseau Wi-Fi public qui est ouvert à toute personne après une simple authentification. Durant cette période estivale propice aux déplacements, il est bon de rappeler quelques règles simples.
En vacances et en manque de connexion Internet, il n’est pas rare que vous décidiez d'utiliser un réseau Wi-Fi public pour vérifier vos mails et consulter les réseaux sociaux.
Attention, ces connexions peu sécurisées peuvent être dangereuses.
À peine arrivé dans un lieu public (à l'hôtel ou au restaurant), lorsque vous faites défiler les réseaux Wi-Fi disponibles, la tentation est grande de vous connecter à celui qui n'affiche pas de cadenas (ce que l’on appelle un "réseau ouvert").
Le problème, c’est que ce dernier n'est pas du tout sécurisé.
C’est un sport prisé par les hackers dans les lieux publics : ils créent un réseau avec un nom approchant de celui du lieu dans lequel se trouvent les utilisateurs mal avisés. En effet, le nom d’un réseau est facile à créer, il est impératif de bien s’assurer de l’origine du réseau Wi-Fi gratuit sur lequel vous vous connectez. Il ne faut en aucun cas sélectionner au hasard ce dernier car vous risqueriez de tomber sur un pirate qui en profitera pour récupérer toutes les données personnelles que vous envoyez sur Internet : e-mails importants, données de carte bancaire, voire données d'identification permettant d'accéder à votre réseau d'entreprise. Une fois que les pirates disposent de ces renseignements, ils peuvent, à leur gré, accéder à vos systèmes en votre nom. Autre pratique utilisée par les pirates, se placer entre vous et le hotspot Wi-Fi. Par ce biais au lieu de communiquer en direct avec le point de connexion, toutes les informations passent par les pirates qui les relaient ensuite au point d’accès (en conservant ces données pour les utiliser plus tard bien entendu).
Comment se protéger ?
La règle la plus simple est d’éviter les réseaux publics qui ne nécessitent pas de mot de passe. Dans un lieu public comme un hôtel ou un restaurant, n’hésitez pas à demander systématiquement le nom du réseau Wi-Fi mis à disposition ainsi que le code associé pour vous assurer que vous êtes sur le bon réseau. Les autres réseaux ne renvoyant pas vers un site Internet au nom de l’établissement ou ceux ne demandant pas de code sont à fuir.
Une autre solution consiste à utiliser un Virtual Private Network, ou VPN, qui se charge de crypter les données que vous échangez.
 |
|
Article paru dans l’édition #16 d’octobre 2020 :
Sur 130 comptes visés, 45 avaient été piratés
Au cour de l'été, des comptes Twitter de grands noms de Tech ont été détournés dans le but de monter une énorme arnaque aux Bitcoins.
Ce sont les dirigeants des GAFAM (Google, Apple, Facebook, Amazon et Microsoft), qui ont été visés. Les comptes officiels d'Elon Musk, de Bill Gates, de Jeff Bezos, des sociétés Uber et Apple ont diffusé des messages sensiblement identiques proposant un deal inespéré : les abonnés de ces comptes pouvaient envoyer des bitcoins avec la promesse de doubler leur mise en retour !
Bien évidemment, l'appât était bien grossier, mais le plus frappant dans cette affaire, c'était que les comptes piratés étaient des comptes « Officiels » suivis par des millions de followers (abonnés des comptes Twitter), la probabilité de réussir à duper un grand nombre d'utilisateurs était donc très haute pour les pirates ayant monté cette arnaque…
Un butin de plus de 120 000 $
Ce sont en effet plus le 120 000 $ qui ont pu être dérobés aux abonnés Twitter grâce à cette escroquerie bien organisée. Le célèbre réseau social a immédiatement supprimé les tweets en question, mais le mal était fait… Beaucoup de malheureuses victimes avaient déjà cédé aux sirènes des BitCoins rapidement gagnés !
Une enquête fédérale diligentée par le FBI (Federal Bureau of Investigation) a immédiatement été lancée afin d'identifier les auteurs de cette fraude massive.
Des hackers en herbe
Les pirates à l'origine de cette affaire ont été appréhendés par la justice américaine le vendredi 31 juillet. Il s'agit d'un trio de hackers âgés de 17 à 22 ans.
Ceux-ci vont faire face à de très lourdes peines, pas loin de 30 délits pénaux leurs sont reprochés. À leur tête, un jeune homme de 17 ans, Graham Clark, véritable cerveau de l'affaire, n'était pas un génie de l'informatique mais déjà un maître de l'arnaque numérique. Du haut de ses 17 ans le jeune Californien serait déjà à la tête d'une petite fortune extorquée de la plus vieille façon du monde : en exploitant le facteur humain.
Un piratage pas si compliqué
Le trio n'a pas eu de mal à infiltrer un fil de discussion professionnel des employés du réseau social à l'oisillon et ainsi tromper les services de sécurité de Twitter en faisant croire à un employé de l'entreprise qu'il était un collègue du service informatique… À partir de là, rien de plus simple, ils sont parvenus à subtiliser les identifiants nécessaires à l'utilisation du portail du service client, et ensuite à détourner les comptes de personnalités populaires pour diffuser au plus grand nombre leur arnaque !
Article paru dans l'édition #21 d'octobre 2021 :
C’est le vendredi 3 septembre, par le biais d’un communiqué de presse, que le ministère de l’intérieur, conjointement avec le ministère des affaires étrangères, a annoncé cet incident. L’annonce faisait état d’une cyberattaque survenue en date du 10 aout 2021, à l’encontre du site France-Visas.
Ce site, qui est la porte d’entrée des Visas pour le territoire français, permet aux étrangers de pouvoir déposer leur demande du précieux sésame permettant de séjourner en France.
L’attaque « rapidement neutralisée » a seulement touché l’un des modules de la plateforme de demande visas, mais a permis aux assaillants d’accéder à un certain nombre de données utilisateurs.
8700 demandeurs victimes
Même si, aux dires du ministère de l’intérieur, cette attaque a pu être maîtrisée rapidement, des données enregistrées lors de la saisie des demandes de visas ont pu être dérobées par les responsables de cette cyberattaque.
Les données subtilisées comprendraient les noms/prénoms, dates de naissance, des détails relatifs au passeport ou à la carte d’identité (n°, date de délivrance, nationalité…), ce sont des informations de premier ordre pour les pirates car elles se monnayent cher sur les réseaux de cybercriminels…
Selon les autorités, le nombre de victimes potentielles dont les données auraient été récupérées pendant l’attaque, s’élèverait à près de 8700 demandeurs. Les deux ministères précisant toutefois dans le communiqué de presse que « les renseignements ne comprennent pas de données financières ou sensibles au sens du règlement général sur la protection des données (RGPD) ».
Le ministère de l’intérieur a, dans la foulée de la publication du communiqué de presse, adressé à l’ensemble des personnes concernées un message « avec des recommandations de vigilance et des précautions à prendre » précisant aux intéressés que les informations collectées « ne permettent pas non plus d'engager des démarches administratives au nom de la personne dont les données ont été divulguées, que ce soit sur le portail France-visas ou sur tout autre site institutionnel français ».
Il est bon de souligner que ces informations peuvent avoir cependant un intérêt certain pour des pirates qui souhaiteraient par la suite élaborer des arnaques personnalisées auprès des victimes dont ils détiendraient un certain nombre de détails….
Par ailleurs, en parallèle de ces communications, une plainte a été déposée et cette affaire a fait l’objet d’un signalement auprès de la CNIL (Commission Nationale Informatique et Liberté). L’enquête judiciaire est encore en cours au moment où nous écrivons ces lignes.
C’est avec plaisir que nous vous présentons ce mois-ci la première d’une série de vidéos dans lesquelles intervient le colonel Gervais, commandant de la section de recherches de la gendarmerie de Pau (d’août 2019 à août 2022). Cette collaboration est née au fil des échanges ponctuels entre notre service de Sécurité Financière et La Gendarmerie de Pau, au fil des années.
Travaillant principalement sur la fraude aux moyens de paiements, le Colonel Gervais a accepté d’apporter son expérience terrain proche de notre territoire, pour dispenser les bons réflexes à adopter face à la cybercriminalité.
Article paru dans l'édition #18 d'avril 2021
Définition Wikipédia : Le deepfake, ou hypertrucage, est une technique de synthèse d'images basée sur l'intelligence artificielle. Elle sert à superposer des fichiers audio et vidéo existants sur d'autres vidéos (par exemple : le changement de visage d'une personne sur une vidéo). Le terme deepfake est un mot-valise formé à partir de deep learning (« apprentissage profond ») et de fake (« faux »).
Un peu d'histoire…
A l'origine, de ce phénomène nous trouvons une technique inventée en 2014 par Ian Goodfellow chercheur en informatique. Cette technologie dénommée GAN pour Generative Adversarial Networks (Réseaux Antagonistes Génératifs) est construite à base de réseaux de neurones artificiels dont la puissance de calcul permet de générer des contenus hautement réalistes. Concrètement cette technique combine deux algorithmes qui sont mis en compétition. Le premier dit Réseau Générateur produit des images de contrefaçon aussi réalistes que possible en se basant sur des données existantes. Le second dit Réseau Discriminateur vérifie l'authenticité des images créées par le Réseau Générateur et traque les erreurs (les faux).
C'est cet apprentissage combiné qui permet au Réseau Générateur d'apprendre et d'améliorer au fur et à mesure ces simulations en créant des clones d'images de plus en plus parfaites, en produisant le moins d'erreurs possibles découvrables par le Réseau Discriminateur.
Deepfake Audio & Deepfake Vidéo :
Cette technologie qui utilise le Deep Learning comme moteur d'apprentissage en utilisant l'intelligence artificielle, a vu ses premières applications en 2017. C'est cette année là où un utilisateur du réseau social Reddit nommé « Deepfakes » a posté des fausses vidéos à caractère pornographique mettant en scène le visage de célébrité en lieu et place des vraies actrices. Les premières dérives commençaient donc à se faire jour.
Par la suite sont apparues de nouvelles applications mobiles et autres filtres sur les réseaux sociaux qui ont apporté cette technologie au plus grand nombre.
Une utilisation plus marginale de cette technologie car plus complexe à mettre en œuvre, réside dans la reproduction audio de la voix d'un individu, c'est le Deepfake Audio.
Moins facile d'accès, ce procédé permet de dupliquer la voix d'un individu mais nécessite une énorme quantité de données (d'enregistrements) de la voix de la personne dont on souhaite « cloner » la voix.
De l'utilité des Deepfakes…
Cette technique révolutionnaire peut trouver des usages évidents dans l'industrie audiovisuelle. Certains studios de cinéma s'en servent régulièrement pour apposer une image rajeunie d'un acteur dans la force de l'âge pour filmer une scène se passant dans sa jeunesse, ou bien pour faire jouer un acteur ou une actrice disparue… Récemment les producteurs de la série « Plus belle la vie » ont dû user de ce stratagème pour « remplacer » une de leurs actrices (cas contact Covid) dans un des épisodes de la saga de France 3.
Depuis peu un site de généalogie propose à ses abonnés de faire « revivre » les photos de leurs ancêtres disparus en utilisant les possibilités de cette technique. A l'aide d'une simple photo le logiciel anime le portrait que l'on lui soumet et le sujet semble prendre vie en esquissant quelques mouvements de visage, c'est assez surprenant !
… aux risques qu'ils représentent
Dans la récente actualité, le « Buzz » de fausses vidéos de Tom Cruise sur le réseau social TikTok passées à la moulinette des Deepfakes a relancé le débat et remis en perspective les dangers de leur utilisation.
Les dérives des deepfakes seront de plus en plus nombreuses : Désinformation, manipulation, harcèlement et humiliation, ingénierie sociale... Tout autant d'usages pervertis de cette technologie qui pourront avoir des impacts sur notre vie numérique.
Si l'on prend par exemple les Deepfakes audio, ceux-ci ont été utilisés à plusieurs reprises pour la mise œuvre de « fraudes au président », comme par exemple en 2019 où les pirates s'en sont servis pour duper les collaborateurs d'une grosse entreprise allemande. Ils ont usé de cette technologie pour imiter la voix du CEO de cette entreprise et effectuer des virements frauduleux.
Les Deepfakes peuvent également générer la désinformation, en court-circuitant les discours d'une personnalité ou d'un dirigeant politique en pervertissant leurs discours.
Enfin, et c'est tout aussi préoccupant, cette technologie est très populaire chez les jeunes. Utilisée via les réseaux sociaux et les applications de messagerie instantanées qui propose des options de « faceswapping » (application pour échanger des visages), celle-ci pourrait conduire à des la création de vidéos truquées de pauvres victimes qui subiraient ce harcèlement numérique…
Comment s'en protéger ?
Il est de plus en plus difficile de démêler le vrai du faux, les grands acteurs d'internet travaillent à créer des outils de détection à l'image de Google qui a pris le problème très au sérieux. Pour autant, voici quelques indices qui peuvent vous aider à identifier les fausses vidéos :
Les variations de lumière d'une image à l'autre : la plupart des Deepfake utilisent une séquence réelle sur laquelle les faussaires viennent incruster le visage truqué ainsi il peut souvent y avoir des différences d'éclairage entre le corps et le visage.
La synchronisation des mouvements : là aussi même si la technique évolue on note souvent de léger décalage entre le discours et le mouvement de lèvres.
La pigmentation de la peau du sujet : Comme pour la lumière, des différences sensibles peuvent être remarquées à la jonction du faux visage et de la tête sur laquelle il est incrusté
Les yeux : Les clignements sont également un bon indice, car ils peuvent certaines fois être complétement absents ou très mal reproduits.
En résumé, plus que jamais, restez vigilants et sceptiques, le questionnement sera toujours la meilleure arme contre les contrefaçons !
