SOLUTIONS D’INTEGRATION & CYBER-SECURITE curité-secureit... · PDF file•Avez-vous un compte Paypal? ... • Vol de compte Linkedin, Facebook ... Il existent des virus spécialement

Introduction au monde du piratage

février 2017

SOLUTIONS D’INTEGRATION& CYBER-SECURITE

Avansis Sàrl – Rte de Sion 1 / CP 8 – 3960 SierreT. +41(0)27 455 37 62 – w. www.avansis.ch – m. [email protected]

Jérôme Christen / directeur, associéT. +41(0)79 436 21 59 – m. [email protected]

Agenda Présentation d’Avansis

Etat des lieux de la cybersécurité Quizz sécurité Le maillon faible: l'être humain Les techniques des hackers Comment se protéger

Questions

Avansis sàrl

Créé en 2001 Basé à Sierre Agence web et conseil informatique

Sécurité logicielle et hacking éthique Formation et sensibilisation Intégration middleware e-Commerce

Etat des lieux de la criminalité informatique



• cybercriminalité mondiale:445 milliards $ en 2015400 milliards $ en 2014(source Allianz)

• Cryptowall à récolté 325 millions $ aux USA en 2015

• Le Retour sur Investissement d’un ransomware est de 1425%

Marché / Intervenants

• Les petites entreprises ont subi huit fois plus d’attaques de ransomware au troisième trimestre 2016 qu’au troisième trimestre 2015

• 1 milliard de données ontété volés en 2014

• 1 donnée vaut entre0.5$ et 50$

Chiffres

• 70 % des installations Wordpress suisses sont vulnérables (source MELANI)

• Coût du piratage de TV5 Monde en 2015: 4.6 millions €

Chiffres

Buts des criminels

Piratage – 2016 c’est …

Piratage – 2016 c’est … Mars

Détournement de 81 Millions $ dans une banque au Bangladesh Chantage contre les banques suisse «Bitcoin contre DDoS»

Avril Virus sur le site 20min.ch Panama papers

Mai Piratage de Ruag Suisse

Octobre Coupure d’Internet par le piratage d’objets connectés (caméras de surveillance)

Piratage – 2017 c’est … Janvier

Un hôtel autrichen paralisé par un ransomware Plusieurs attaques ces derniers mois Le système de gestion des clefs magnétiques, de réservation et de la caisse bloqué Ranson de 1500€

Etat des lieux - Conclusion Personne n’est à l’abri, même les PME

Les attaques sont de plus en plus sophistiquées,professionnelles et ciblées

Il faut connaître les menaces pour les contrer

Peu d’entreprises ont une stratégie de sécurité informatique

La sécurité informatique commence par les employés

Quizz sécurité



Quizz 1

Quizz 2

Quizz 3

Quizz 4

Quizz 5

Réponses



Quizz 1: Spam et/ou phishing

• Message en anglais

• Personne inconnue

• Adresse Internet douteuse

• Propose de gagner de l’argentfacilement

Quizz 2: Virus

• Message en anglais

• Personne inconnue

• Fichier attaché «urgent_payment»

• Détecté comme virus

Quizz 3:Newsletter

Quizz 4: Phishing

• Fausse adresse email(swisscom.com)

• Avez-vous un compte Paypal?

• Ne propose JAMAIS de téléchargement

• Pas de texte mais une image

Quizz 4: Phishing

• adresse email correcte

• Compte existant

• Langue adéquate

• Logo et visuel correct

Quizz 5: Phishing

http://myonlinebonusservices.com/step1

Le maillon faible: l’être humain



Faiblesses informatiques

Mises à jour

Facteur humain

Erreurs de programmation

Obsolescence

Ingénierie sociale

“Forme d'acquisition déloyaled'information et d'escroquerie,utilisée en informatique pourobtenir d'autrui, un bien, un serviceou des informations clefs.”

(ou social engineering)

Conséquences – vol de données

Conséquences – vol de données

Toutes les entreprises en sont la cible Les privés sont des cibles indirects

Les entreprises « externalisent » la gestion des données(services cloud et hébergés)

Utilisation à des fins Commerciale et marketing Revente / Chantage Espionnage

Coûts et gains ROI mensuel maximum d’un ransomware: 1425%

Vente de comptes emails: 5$ les 10’000 Vente de carte bancaire: 50$ l’unité Vente de compte complet: 70$ l’unité

Fraude à la bourse: 100$ millions en 5 ans Arnaque au trading en ligne: +1000$ par jour

Coûts en entreprise d’un ransomware: 2 à 5 jours d’inactivité

Les techniques des hackers



Types d’attaques

Ingénierie sociale

Attaques logicielles

Attaques réseau

Les techniques sociales Hameçonnage

(phishing)

Arnaque Usurpation d’identité Chantage webcam

(sextorsion)

HameçonnageDéfinition:Tentative d'accéder aux données confidentielles d'utilisateurs Internet ne se doutant de rien. Il peut s'agir p. ex. de données d'accès à des comptes e-mails, de services de ventes en ligne (p. ex. eBay) ou de e-banking.Les pirates font appel à la bonne foi, à la crédulité ou à la serviabilité de leurs victimes en leur envoyant des courriels avecdes adresses d'expéditeur falsifiées.

Exemples:• Email frauduleux avec pièce jointe ou liens piégés• Faux site Internet piégés

Conséquences et dangers:• Grâce aux données acquises frauduleusement, l'escroc peut effectuer des transactions bancaires au nom de la victime, ou

utiliser des services payants en son nom.• Grâce aux données d’identification, les escrocs ont un contrôle complet sur le compte e-mail de leur victime. Toutes les

données peuvent y être lues et les criminels peuvent écrire des e-mails frauduleux aux contacts de la victime.• Les escrocs ont un accès complet à l’ordinateur.

ArnaqueDéfinition:Un escroc appelle au téléphone en se faisant passer pour le support d’une entreprise (Microsoft), pour un organisme de l’état (service des contributions, tribunal) ou d’un organisme légal (avocat). Ils essaient soit de forcer l’utilisateur à installer un logiciel malveillant, soit à procéder à l’achat d’un service, voir au transfert d’argent direct ou à l’envoi de données d’entreprise confidentiel.

Conséquences et dangers:• Des frais de conseils sont demandés. Pour cela, les données de la carte de crédit doivent être communiquées ou un

virement effectué.• Des services bidons sont achetés ou de l’argent est transféré sans raison justifiée.

Arnaques• Arnaque au président

• Demande d’abonnement àde faux services

• Envoi de factures factices

• Emails piégés

• E-Banking et transferts illicites

Usurpation d’identitéDéfinition:Souvent suite à un hameçonnage réussi, ou avec une récolte d’information sur les réseaux sociaux, l’escroc va se faire passerpour la victime et perturber sa vie numérique. Une usurpation d’identité peut également servir à procéder à des contrats ou à l’achat de biens.Une version spécifique de l’usurpation d’identité sévit sur les sites de rencontres ou de petites annonces avec des jeunes femmes africaines ou de l’est cherchant l’amour. L’escroc demande de transférer de l’argent pour continuer à correspondre.

Exemples:• Vol de compte Linkedin, Facebook• Vols de documents d’identités• Usurpation de profils sur les sites de rencontres

Conséquences et dangers:• Réputation de la personne ou de l’entreprise• Achats de biens ou services à son nom

Chantage webcam / photosDéfinition:Sur des sites de rencontre, sur Facebook, ou de messagerie coquine, l’escroc va demander à la victime d’envoyer des photos dénudées ou va enregistrer les vidéos compromettantes. Il le fait ensuite chanter contre une somme d’argent.

Conséquences et dangers:• Réputation de la personne ou de l’entreprise• Perte financière

Arnaque directeDéfinition:Une personne physique va soit tenter de pénétrer dans votre entreprise pour poser un système de surveillance ou voler des données, soit se faire passer pour un vendeur ou représentant et essayer de vendre du matériel bidon.

Conséquences et dangers:• Vol de matériel / vol de données• Espionnage

Les techniques informatiques

Ransomware Maliciels Exploitation de failles logicielles Attaques de services web

RansomewareDéfinition:Logiciel malveillant qui chiffrent les données sur l'ordinateur de la victime ainsi que sur les lecteurs réseau auxquels cet ordinateur est relié, ce qui les rend inutilisables pour la victime. Les rançongiciels font alors afficher un écran verrouillé demandant à la victime de payer une certaine somme sous forme de bitcoins (une monnaie virtuelle) pour déverrouiller les données.

Exemples:• Email avec pièce jointe

Conséquences et dangers:• Données de l'ordinateur rendues inutilisables• Entreprise immobilisée dans son travail administratif• Dommages financiers en cas de paiement d'une rançon

Maliciel (logiciel malveillant)Définition:Les cybercriminels conçoivent des e-mails qui incitent le destinataire à ouvrir une pièce jointe ou à suivre un lien. Le but estd’installer un maliciel sur la machine de ce dernier. Il est également possible de se faire infecter par un maliciel en surfant sur un site web malfaisant. Ce logiciel permet ensuite doit d’espionner l’ordinateur, soit de voler des données, soit de l’utiliser à l’insu de son propriétaire. Il existent des virus spécialement conçus pour pirater les comptes e-banking.

Exemples:• Virus• Faux sites web• Enregistreur de frappe

Conséquences et dangers:• Destruction de données contenues sur l’ordinateur• Détournement de l’ordinateur pour envoyer du spam depuis celui-ci• Vol d’informations ou de données personnelles• Fraude bancaire

Exploitation de failles logiciellesDéfinition:Les cybercriminels profitent des logiciels qui ne sont pas à jour pour exploiter des failles connues. Il peut s’agir d’un navigateur web, de son système d’exploitation ou d’une application classique. L’idée est d’accéder à distance, sans installer de logiciel à l’ordinateur local ou aux serveurs.

Exemples:• Flash• Internet Explorer• Windows

Conséquences et dangers:• Destruction de données contenues sur l’ordinateur• Détournement de l’ordinateur pour envoyer du spam depuis celui-ci• Vol d’informations ou de données personnelles• Fraude bancaire

Défiguration de site webDéfinition:La défiguration d'un ou plusieurs sites (mass defacement) consiste à tirer parti des lacunes de sécurité de serveurs web. Les pirates modifient le contenu et le graphisme des sites. Leurs attaques ont parfois des mobiles politiques et sont l'oeuvre de "hacktivistes" cherchant à donner de l'audience à leurs protestations. Selon l'importance que revêt le site pour l'activité économique de l'entreprise victime, les conséquences d'une attaque vont des dégâts d'image à de lourdes pertes d'ordre financier.

Exemples:• Armée américaine

Conséquences et dangers:• Dommage à la réputation• Manque à gagner sur l’activité en ligne• Utilisation de la vulnérabilité pour d’autres attaques

Perturbation de site webDéfinition:Les cybercriminels utilisent des outils spécifiques ou des réseaux d’ordinateurs fantômes dans le monde entier pour attaquer un site web ou un service en ligne. Le but c’est de le rendre inaccessible le plus longtemps possible pour lui faire perdre de l’argent. Depuis quelques mois il existent des chantages à ce genre d’attaque ou il faut payer à l’avance pour ne pas être attaqué.

Exemples:• Banques suisse• TV5 Monde

Conséquences et dangers:• Dommage à la réputation, image de la société• Manque à gagner sur l’activité en ligne

Conséquences• Vol de données

(Propriété intellectuelle)

• Perte financière

• Perturbation du travail

• Perte d’image, de confiance

Comment se protéger – prévention



Protections

• Techniques(machines, logiciels)

•Humaines(formations, simulations)

•Administratives(audits, procédures)

Protections en entreprise I Mise à jour régulier des systèmes

Gérer les accès des employés (droits et mots de passe)

Mettre en place des solutions de sauvegarde

Encrypter les données sensibles (emails, cloud)

Gérer les appareils externes (téléphones, tablettes, USB)

Protections en entreprise II Mise en place de système de détection et de prévention

(anti-virus, IDS, filtres réseau)

S’informer, se préparer, se former

Gestion du risque et des coûts

Solutions professionnelles (audits et tests de pénétration)

Faire appel à des spécialistes

Gestion des emails Ne pas ouvrir de fichier attaché par Email de source inconnue

Ne jamais exécuter de macro Word ou Excel

Signaler tout comportement suspect à son propriétaire

Ne jamais cliquer sur des URL courtes

Vérifier l’origine de l’email

Règles de comportement Ne pas ouvrir de fichier attaché par Email

Utiliser des mots de passe fort, changer régulièrement

Vérifier les informations avant d’agir

Ne pas fournir des données d’accès sensible

S’informer, se préparer, se former

Jouons avec les mots de passe

Quels sont les 10 mots de passes les plus utilisés en 2015

Jouons avec les mots de passe

123456 Password

12345 12345678

qwertz/azerty football

1234567890 1234

welcome login

Gestion des mots de passe• Longueur minimale de 8 signesIl devrait comprendre des lettres, des chiffres ainsi que des caractères spéciaux.

• Facile à mémoriserNe consignez pas vos mots de passe par écrit.Les meilleurs mots de passe sont des phrases entières comprenant des caractères spéciaux.

• N'utilisez pas plusieurs fois le même mot de passeUtilisez des mots de passe différents pour des usages différents (p. ex. pour différents comptes utilisateurs).

• Changer régulièrement de mot de passeUn mot de passe devrait être changé à intervalles réguliers (tous les trois à six mois à peu près)

Audits et formations

Piratage – futur (c’est déjà aujourd’hui) Internet des objets Secteur de la santé Attaque à large échelle (cyberwar)

Conclusion

En informatique, RIEN n’est JAMAIS sûr.

Mettre en place des solutions AVANT les problèmes.

Questions



Jérôme Christen / directeur, associéT. +41(0)79 436 21 59 – m. [email protected]

Documents

SOLUTIONS D’INTEGRATION & CYBER-SECURITE curité-secureit... · PDF file•Avez-vous un compte Paypal? ... • Vol de compte Linkedin, Facebook ... Il existent des virus spécialement