Newsletter Cybersécurité #10
Comment éviter les escroqueries sur Facebook Marketplace ?
🚨 Chaque semaine, retrouvez l'information business et les bonnes pratiques sur la cybersécurité, le lundi sur le Web3 et le jeudi sur la 5G. Chaque mois une newsletter gratuite !
Si vous souhaitez soutenir la démarche et que ça vous fait gagner un temps précieux, vous pouvez nous soutenir en vous abonnant - 3 newsletters pour 1 abonnement.🚨
Les infos importantes :
🎯 Conseils pour une meilleure hygiène numérique
🎯 Escroqueries sur Facebook Marketplace
🎯 Les outils d'IA générative conduiront à un pic de violations de données internes
Vous voulez avoir accès à des informations cruciales sur la cybersécurité ? Abonnez-vous dès maintenant à nos 3 newsletters et obtenez un accès exclusif au contenu complet !
Les autres infos de la semaine :
Casser les préjugés sur la cyber
Les ransomwares sont en augmentation
Comment détecter une violation de mot de passe
Les 6 escroqueries courantes sur la Marketplace Facebook
Une nouvelle fonctionnalité Windows pour espionner les iPhone
Quelqu'un peut-il voir votre emplacement si votre téléphone est éteint ?
Le Pig Butchering
Qu'est-ce que la fatigue MFA ?
Casser les préjugés sur la cyber
54% des entreprises ont été attaquées en 2021
C’est la mission de la startup BonjourCyber qui est de protéger les entreprises, les entrepreneurs, les collaborateurs et leurs clients du cyber-risque. Et rendre le sujet passionnant et intéressant plutôt qu'anxiogène et stressant. 3 engagements pour la startup :
Rendre la cybersécurité plus humaine, plus accessible et moins anxiogène.
Faire de la cybersécurité un tremplin professionnel pour les jeunes diplômés ou non.
Promouvoir la diversité et l'égalité des genres dans le secteur de la cybersécurité.
Les ransomwares sont en augmentation
Selon un nouveau rapport sur les ransomwares du groupe de recherche ThreatLabz de Zscaler, les attaques de ransomwares deviennent de plus en plus sophistiquées à mesurer que les acteurs de la menace se tournent vers de nouvelles tactiques tels que les ransomwares en tant que service ( RaaS ) et l'extorsion sans cryptage. Le rapport Ransomware a révélé que dans le cloud Zscaler, les attaques de ransomware ont connu une augmentation de près de 40% d'avril 2022 à avril de cette année, signalant une menace croissante pour les organisations du monde entier. Les charges utiles ( le code malveillant qui est livré et exécuté sur un système cible dans le cadre d'une cyberattaque ) ont bondi de 57,50%. Depuis 2022, ThreatLabz de Zscaler a identifié des vols de taille croissante – atteignant plusieurs téraoctets de données - dans le cadre de plusieurs attaques de ransomwares réussies, qui ont ensuite été utilisées pour extorquer des rançons.
En 2021, a été observé le lancement de 19 nouvelles familles de ransomwares qui utilisaient des tactiques de double ou de multi-extorsion. Vingt-cinq nouvelles familles de rançongiciels ont été identifiées comme utilisant des attaques de double extorsion ou d'extorsion sans cryptage cette année.
Comment détecter une violation de mot de passe
L'un des principaux problèmes dans nos entreprises est que, dans de nombreux cas, les employés et les clients continuent d'utiliser des mots de passe qui ne sont pas seulement faciles à craquer, mais ils ont en fait déjà été compromis, en partie parce que les gens utilisent le même mot de passe dans de nombreux endroits. Mais alors, comment savoir si le mot de passe d'un utilisateur est sûr ? Comment détecter une violation de mot de passe ? Et comment éviter que ces problèmes ne se produisent ? Les violations de mots de passe se répartissent généralement en deux catégories : les attaques ciblées, dans lesquelles un criminel se concentre sur l'obtention d'informations d'identification pour obtenir un accès, et les attaques automatisées, qui tentent de compromettre à plus grande échelle.
Comment détecter les violations de mots de passe ?
Selon un expert de Ping Identity, les listes de mots de passe violés constituent également une ressource essentielle pour améliorer la sécurité des mots de passe. L'outil le plus connu dans ce domaine est haveibeenpwned.com, un site web qui permet aux utilisateurs de saisir un mot de passe et de vérifier s'il figure dans une liste de mots de passe frauduleux. Vérifier automatiquement si un mot de passe a déjà fait l'objet d'une violation est un bon premier pas vers la prévention des attaques malveillantes et des activités frauduleuses telle que la prise de contrôle de comptes et l'usurpation d'identité. Mais il est plus difficile de prévenir les violations de mot de passe.
La solution à long terme consiste à supprimer complètement l'utilisation des mots de passe. Les technologies modernes d'authentification sans mot de passe peuvent renforcer votre modèle de sécurité et améliorer l'expérience des utilisateurs, car ils n'ont plus besoin de se souvenir de mots de passe compliqués ou de risquer d'être bloqués hors de vos systèmes. Elles réduisent également vos coûts informatiques, car les équipes d'assistance n'ont plus besoin de passer du temps à aider les utilisateurs à réinitialiser leurs mots de passe.
Conseils pour une meilleure hygiène numérique
Une étude récente de NordVPN a révélé qu’effectivement en France, 3 enfants sur 5 ont déjà été exposés à du contenu à caractère pornographique, et que 1 sur 5 est déjà allé de lui-même sur un site qui produit de tels contenus. Ce phénomène est supérieur chez les enfants âgés de 12 ans par rapport à l’ensemble des adolescents de 10-17 ans (25% vs 17%).
68% des 10-17 ans utilisent leur smartphone dans leur chambre. Un chiffre qui laisse penser qu’ils sont seuls lorsqu’ils naviguent sur internet. L’idéal serait d’ouvrir la discussion dès le départ sur la possibilité de ne pas utiliser leur smartphone dès le plus jeune âge en solitaire. Si votre enfant a un ordinateur, il est aussi préférable de le mettre dans un espace commun.
Sensibilisez vos enfants dès le début et le plus jeune âge à la question de contenus inappropriés : pornographie, violences physiques et psychologiques, etc.
Adaptez la pratique numérique des enfants en fonction de leur âge. Par exemple, les réseaux sociaux sont interdits aux moins de 13 ans et soumis à une validation parentale de 13 à 14 ans.
Faites une liste blanche de sites appropriés pour les plus jeunes. Ceci est possible en installant un contrôle parental qui permet de créer un espace internet limité à des sites que vous aurez choisis avec vos enfants. Bien entendu, ce n’est pas parce que vous avez mis des sites sur liste blanche qu’il ne faut pas régulièrement vérifier. Tout peut changer très rapidement. A noter que tout n'est pas bon à prendre dans le contrôle parental. Ces applications peuvent faciliter les comportements de contrôle ou d'abus. Et la technologie elle-même peut être ouverte à la manipulation et au piratage.
Utilisez les outils mis à disposition par le gouvernement. Pharos pour le signalement des contenus que vous jugez offensants. Ou le site jeprotègemonenfant.fr mis en place pour donner les clés d’une mise en place d’une vie Internet plus sécurisée.
Escroqueries sur Facebook Marketplace
Pour assurer la sécurité de vos informations personnelles et financières en ligne, il est important de connaître, que vous achetiez ou vendiez, les signes suspects à surveiller sur Facebook Marketplace et de savoir comment vous protéger contre les escroqueries. Facebook Marketplace est rapidement devenu un lieu de prédilection pour vendre ou acheter des objets d'occasion localement. Le fait que les acheteurs et les vendeurs puissent acheter des biens et communiquer facilement au sein de l'application Facebook a permis à l'adoption de Facebook Marketplace de monter en flèche.
Si la plupart des utilisateurs de Marketplace sont des acheteurs et des vendeurs de confiance, des personnes malintentionnées peuvent également profiter du site pour faire tomber les gens dans des escroqueries. Voici quelques signes clés qui peuvent indiquer que vous communiquez avec un escroc :
Trop beau pour être vrai : Les acheteurs doivent se méfier de toute annonce proposant un prix extrêmement bas pour un objet de valeur. De même, les vendeurs doivent se méfier des acheteurs potentiels qui proposent un prix supérieur à celui demandé.
L'urgence artificielle : Les escrocs utilisent souvent l'illusion de l'urgence pour inciter les acheteurs ou les vendeurs à conclure des transactions moins que légitimes.
Demandes de paiement étranges : Facebook recommande aux acheteurs d'éviter les ventes ou les transactions qui exigent que vous payiez avec des cartes-cadeaux. Il est également recommandé de vérifier la qualité et l'état de l'objet acheté avant d'échanger de l'argent ou des informations personnelles de quelque nature que ce soit.
Photos suspectes : s'il n'y a qu'une seule photo d'un article provenant du site où il a été acheté à l'origine et aucune photo actuelle de l'article dans son état réel, il faut se méfier du fait que l'article n'existe peut-être pas, ou qu'il n'existe peut-être pas dans la qualité promise.
Selon Lookout, la meilleure façon d'éviter les problèmes est de rester vigilant et de connaître les arnaques courantes sur Facebook Marketplace. Sachez reconnaître les signaux d'alarme et suivez toujours les meilleures pratiques pour vendre et acheter en toute sécurité. Si vous utilisez des méthodes de paiement sûres, si vous vérifiez l'authenticité des produits et si vous refusez les offres ou les demandes suspectes, vous aurez beaucoup plus de chances de rester en sécurité. Si vous êtes tout de même victime d'une escroquerie, il est possible d’avertir le prestataire de services de paiement que vous avez utilisé pour lui signaler l'escroquerie et demander un remboursement par l'intermédiaire de son service de protection contre la fraude. Facebook Marketplace est une plateforme qui peut être très utile, mais à utiliser toujours de manière avertie.
Les 6 escroqueries courantes sur la Marketplace Facebook
Articles contrefaits : L'une des escroqueries les plus courantes sur Facebook Marketplace consiste à mettre en vente des articles contrefaits ou endommagés. Il est conseillé de toujours examiner attentivement le profil du vendeur et de lire les commentaires des clients avant d'acheter un article sur Facebook Marketplace, et d'obtenir autant d'informations que possible sur le produit avant de l'acheter afin de s'assurer qu'il est légitime.
Fausses annonces : Bien souvent, les escrocs exigent un paiement anticipé pour ensuite se retirer de l'affaire ou disparaître, et vous n'obtenez jamais l'article acheté.
Fraude immobilière : Les escrocs peuvent publier des photos de maisons ou d'appartements dont ils ne sont pas propriétaires et les "vendre" ou les "louer" à l'improviste à des acheteurs qui ne se doutent de rien. Facebook conseille de ne pas envoyer d'acompte pour des biens de grande valeur (y compris pour la location d'un appartement) sans s'être assuré au préalable qu'il s'agit bien d'un bien réel.
Trop-perçu : Les utilisateurs frauduleux envoient souvent plus d'argent que ce que vous avez demandé, pour ensuite exiger le remboursement du "trop-perçu". Lorsque vous essayez de déposer le chèque, il est sans provision et vous ne recevez donc aucun paiement. Si un acheteur envoie un trop-perçu, le vendeur peut refuser les fonds et demander à l'acheteur d'envoyer un autre paiement avec le solde correct.
Profils suspects : Vous devez pouvoir consulter ses évaluations et avis, ses autres annonces et son activité sur le marché. Si l'utilisateur n'est pas originaire de la région ou si son profil est vide, c'est peut-être le signe qu'il n'est pas celui qu'il prétend être.
Hameçonnage pour obtenir des informations personnelles : Les escroqueries par hameçonnage sur Facebook Marketplace ont pour but de voler vos données et informations personnelles. L'escroc peut vous demander un code ou un numéro de téléphone pour compléter un code de vérification à deux facteurs sur un système de messagerie non sécurisé. Ce code peut être lié à une autre application qui lui permet de voler votre numéro de téléphone portable et vos informations de compte, ce qui lui donne un accès complet à d'autres comptes qu'il souhaite utiliser.
Une nouvelle fonctionnalité Windows pour espionner les iPhone
Avec leur système d'exploitation fermé et leurs mises à jour régulières, les iPhone sont réputés pour leur excellente sécurité. Cependant, une fonctionnalité récemment publiée dans Windows 11 peut avoir créé une porte dérobée qui ciblent l'iPhone.
Une mise à jour récente de l'application Phone Link dans Windows 11 a ouvert par inadvertance une porte dérobée permettant aux cyberharceleurs d'espionner les utilisateurs d'iPhone. Cette application légitime permet aux appareils iOS de se connecter aux PC Windows, mais elle a été utilisée à mauvais escient pour obtenir un accès non autorisé à iMessages, à l'historique des appels et aux notifications.
Quelqu'un peut-il voir votre emplacement si votre téléphone est éteint ?
Avez-vous déjà éteint votre téléphone parce que vous craignez qu'il ne soit suivi par des cybercriminels?
Ou peut-être avez-vous perdu votre téléphone et il est éteint ou manque de batterie? Quoi qu'il en soit, vous vous demandez peut-être si votre téléphone peut être suivi lorsqu'il est éteint. La réponse courte est oui — mais uniquement si vous avez des services tels que Apple Find My iPhone ou Google Find My Device activés sur votre appareil. Quiconque essaie de suivre votre position lorsque votre téléphone est éteint devra donc accéder à vos comptes Apple ou Google.
Les données de localisation fonctionnent-elles lorsque votre téléphone est éteint?
Si votre téléphone est éteint, tous les signaux seront arrêtés. Cependant, juste avant son arrêt, votre téléphone communiquera son dernier emplacement connu. Cela se produit même lorsqu'il manque de batterie et cela signifie que vous avez toujours une chance de trouver votre téléphone lorsqu'il est éteint. Find My for iPhone et Find My Device for Android peuvent être utilisés pour localiser les téléphones.
Un téléphone infecté par des logiciels espions pourrait suivre vos données de localisation même si vos paramètres de localisation sont désactivés. Pire encore, il pourrait être utilisé pour surveiller vos activités en ligne. Cela permet aux criminels de voler des informations personnelles, qu'ils peuvent ensuite utiliser pour commettre une fraude — par exemple, en piratant votre compte bancaire.
Le Pig Butchering
Le ministère de la Justice américaine a annoncé en avril dernier avoir saisi une monnaie virtuelle d’une valeur de 103 millions d’euros ( $112 millions), liés à des escroqueries à l'investissement dans les cryptomonnaies, communément appelée "Pig Butchering “ (dépeçage de cochons). Si nous n’avons pas de chiffres pour la France ou la Belgique, on peut imaginer du fait de l’ampleur du phénomène que des millions d’euros sont depuis ces derniers mois volés en Europe également.
Comment fonctionnent les escroqueries au Pig Butchering ?
Les escroqueries au pig butchering commencent par des messages envoyés sur diverses plateformes, tels que les réseaux sociaux, les applications de messagerie ou les applications de rencontre. Les escrocs prétendent avoir confondu le destinataire avec quelqu'un d'autre, mais continuent à établir une connexion. Ensuite, ils cherchent à gagner la confiance de la victime en établissant une relation personnelle, puis en vantant leur richesse, pour enfin suggérer des investissements dans des cryptomonnaies inconnues. La phase suivante consiste à "nourrir" la victime en l'encourageant à investir de petites sommes d'argent dans une plateforme de négociation spécifique. L'escroc montre de faux bénéfices pour renforcer la confiance. Lorsque la victime est convaincue, l'escroc la pousse à investir davantage, puis demande des frais exorbitants pour récupérer l'argent. Finalement, les escrocs disparaissent, laissant la victime dépouillée.
Selon NordVPN, pour se protéger du pig butchering qui peut entraîner des pertes d’argent colossales , nous recommandons de bloquer les faux numéros, se méfier des relations trop précipitées, de garder vos informations privées, de surtout prendre du recul sur des recommandations d'investissement d'inconnus et de faire vos propres recherches. Utilisez un logiciel de cybersécurité, un gestionnaire de mots de passe.
Qu'est-ce que la fatigue MFA ?
Certains utilisateurs peuvent approuver l'authentification du premier coup, tandis que d'autres la refusent dans un premier temps. Mais la plupart des utilisateurs approuveront l'authentification après plusieurs demandes, simplement pour que l'application ennuyeuse cesse d'envoyer des notifications toutes les quelques secondes.
Quatre façons d'éviter la lassitude face au MFA selon Ping Identity
1. Authentification FIDO2 : FIDO offre une excellente expérience à l'utilisateur tout en forçant la proximité entre l'utilisateur et l'appareil d'accès. Elle empêche également les attaques de type « man-in-the-middle » et « Modlishka », ce qu'aucune autre méthode d'authentification ne peut faire. Par-dessus tout, FIDO2 permet une expérience sans nom d'utilisateur et sans mot de passe. Néanmoins, la mise en œuvre de FIDO dans une organisation implique d'équiper chaque utilisateur d'un authentificateur FIDO, ce qui nécessite un ordinateur doté d'une plate-forme. L'autre option consiste à fournir à chaque utilisateur une clé de sécurité, ce qui augmente les frais généraux. Le coût de l'une ou l'autre de ces options est considérable et peut constituer un obstacle pour de nombreuses entreprises.
2. Limiter le nombre de notifications push : Le risque qu'un utilisateur approuve une demande d'authentification qu'il n'a pas initiée augmente avec le nombre de notifications push qu'il reçoit. Même un utilisateur expérimenté peut approuver une notification push après l'avoir envoyée 10 fois, c'est pourquoi limiter le nombre de notifications push peut être utile. Mais cela laisse à l'utilisateur le soin de décider comment répondre aux premières notifications push, et de nombreux utilisateurs approuvent la première notification push qu'ils reçoivent.
3. Utilisation des notifications push avec sélection de numéros : Cette méthode utilise les notifications push mais impose la proximité en présentant un numéro à deux chiffres sur l'appareil de l'utilisateur et en lui demandant de le sélectionner dans une liste de trois numéros présentés dans l'application mobile. Si l'utilisateur sélectionne le bon numéro, l'authentification est approuvée. Cette méthode est plus sûre que l'envoi d'une notification push, car si c'est un fraudeur qui envoie la notification push, l'utilisateur authentique ne voit pas la page d'authentification avec le numéro qu'il doit sélectionner. Pour de nombreux utilisateurs, recevoir une notification push avec trois chiffres sans voir le numéro sur le dispositif d'accès semblera étrange, et ils éviteront d'appuyer sur l'un des chiffres.
4. Authentification basée sur le risque (RBA) : L'objectif de la RBA n'est pas seulement d'imposer le MFA uniquement lorsque c'est nécessaire, mais aussi d'imposer la bonne méthode de MFA en fonction de différentes conditions. La fatigue MFA peut être créée par des fraudeurs qui tentent de se connecter avec les informations d'identification de l'utilisateur, mais peut également être causée par l'organisation elle-même. Les utilisateurs qui doivent passer par le MFA encore et encore au cours d'une journée ont tendance à considérer le MFA comme une tâche ennuyeuse. La RBA ajoute de l'intelligence à vos politiques en traitant des signaux que le MFA standard ne traite pas. La RBA apprend les habitudes de chaque utilisateur, l'appareil utilisé, l'emplacement, le réseau et bien plus encore, et fournit un score de risque simple à digérer. Une politique MFA utilise ce score de risque pour décider d'approuver, de contester ou de refuser l'authentification et pour déterminer quel type de MFA doit être utilisé dans différents scénarios.
Les outils d'IA générative conduiront à un pic de violations de données internes
Imperva prévient que le double facteur des mauvais contrôles des données et l'avènement de nouveaux outils d'IA générative basés sur de grands modèles de langage (LLM) conduiront à un pic de violations de données internes au cours de l'année à venir.
Les chatbots alimentés par des LLM étant devenus plus puissants, de nombreuses organisations ont mis en place des interdictions totales ou sur les données qui peuvent être partagées avec eux. Cependant, comme une écrasante majorité (82 %) n'a pas mis en place de stratégie de gestion des risques internes, elles restent aveugles aux cas d'employés utilisant l'IA générative pour les aider dans des tâches telles que l'écriture de code ou le remplissage de demandes de propositions (RFP), malgré le fait que cela implique souvent que les employés donnent à des applications non autorisées l'accès à des stocks de données sensibles.
Plutôt que de compter sur les employés pour qu'ils n'utilisent pas d'outils non autorisés, les entreprises doivent se concentrer sur la sécurisation de leurs données et s'assurer qu'elles peuvent répondre à des questions clés telles que : qui y accède, quoi, comment et d'où. À cette fin, il existe un certain nombre de mesures que chaque organisation, quelle que soit sa taille, devrait prendre :
Visibilité : Il est crucial pour les organisations de découvrir et d'avoir une visibilité sur chaque référentiel de données dans leur environnement afin que les informations importantes stockées dans des bases de données fantômes ne soient pas oubliées ou utilisées de manière abusive.
Classification : Une fois que les organisations ont créé un inventaire de chaque stockage de données dans leur environnement, l'étape suivante consiste à classer chaque actif de données en fonction de son type, de sa sensibilité et de sa valeur pour l'organisation. Une classification efficace des données aide une organisation à comprendre la valeur de ses données, à savoir si les données sont à risque et quels contrôles doivent être mis en œuvre pour atténuer les risques.
Surveillance et analyse : Les entreprises doivent également mettre en œuvre des capacités de surveillance et d'analyse des données qui permettent de détecter les menaces telles que les comportements anormaux, l'exfiltration de données, l'escalade des privilèges ou la création de comptes suspects.