Introduction au monde du piratage - février 2017

SOLUTIONS D’INTEGRATION
                                                                                                        & CYBER-SECURITE

Introduction au monde du piratage
                                                 février 2017

              Jérôme Christen / directeur, associé                               Avansis Sàrl – Rte de Sion 1 / CP 8 – 3960 Sierre
 T. +41(0)79 436 21 59 – m. jchristen@avansis.ch                T. +41(0)27 455 37 62 – w. www.avansis.ch – m. info@avansis.ch

Agenda
 Présentation d’Avansis

   Etat des lieux de la cybersécurité
   Quizz sécurité
   Le maillon faible: l'être humain
   Les techniques des hackers
   Comment se protéger

 Questions

Avansis sàrl
  Créé en 2001
  Basé à Sierre
  Agence web et conseil informatique

  Sécurité logicielle et hacking éthique
  Formation et sensibilisation
  Intégration middleware e-Commerce

SOLUTIONS D’INTEGRATION
                                                                  & CYBER-SECURITE

Etat des lieux de la criminalité informatique

                                           Avansis Sàrl – Rte de Sion 1 / CP 8 – 3960 Sierre
                          T. +41(0)27 455 37 62 – w. www.avansis.ch – m. info@avansis.ch

Marché / Intervenants

• cybercriminalité mondiale:
  445 milliards $ en 2015
  400 milliards $ en 2014
  (source Allianz)

• Cryptowall à récolté 325
  millions $ aux USA en 2015

• Le Retour sur Investissement
  d’un ransomware est de
  1425%

Chiffres
• Les petites entreprises ont subi
  huit fois plus d’attaques de
  ransomware au troisième
  trimestre 2016 qu’au troisième
  trimestre 2015

• 1 milliard de données ont
  été volés en 2014

• 1 donnée vaut entre
  0.5$ et 50$

Chiffres
• 70 % des installations
  Wordpress suisses sont
  vulnérables
 (source MELANI)

• Coût du piratage de
  TV5 Monde en 2015:
  4.6 millions €

Buts des criminels

Piratage – 2016 c’est …

Piratage – 2016 c’est …
 Mars
    Détournement de 81 Millions $ dans une banque au Bangladesh
    Chantage contre les banques suisse «Bitcoin contre DDoS»

 Avril
    Virus sur le site 20min.ch
    Panama papers

 Mai
    Piratage de Ruag Suisse

 Octobre
    Coupure d’Internet par le piratage d’objets connectés (caméras de surveillance)

Piratage – 2017 c’est …
 Janvier
   Un hôtel autrichen paralisé par un ransomware
      Plusieurs attaques ces derniers mois
      Le système de gestion des clefs magnétiques, de réservation et de la caisse bloqué
      Ranson de 1500€

Etat des lieux - Conclusion
 Personne n’est à l’abri, même les PME

 Les attaques sont de plus en plus sophistiquées,
      professionnelles et ciblées

 Il faut connaître les menaces pour les contrer

 Peu d’entreprises ont une stratégie de sécurité informatique

 La sécurité informatique commence par les employés

SOLUTIONS D’INTEGRATION
                                                   & CYBER-SECURITE

Quizz sécurité

                            Avansis Sàrl – Rte de Sion 1 / CP 8 – 3960 Sierre
           T. +41(0)27 455 37 62 – w. www.avansis.ch – m. info@avansis.ch

Quizz 1

Quizz 2

Quizz 3

Quizz 4

Quizz 5

SOLUTIONS D’INTEGRATION
                                               & CYBER-SECURITE

Réponses

                        Avansis Sàrl – Rte de Sion 1 / CP 8 – 3960 Sierre
       T. +41(0)27 455 37 62 – w. www.avansis.ch – m. info@avansis.ch

Quizz 1: Spam et/ou phishing

                               • Message en anglais

                               • Personne inconnue

                               • Adresse Internet douteuse

                               • Propose de gagner de l’argent
                                 facilement

Quizz 2: Virus

                 • Message en anglais

                 • Personne inconnue

                 • Fichier attaché
                   «urgent_payment»

                 • Détecté comme virus

Quizz 3:
Newsletter

Quizz 4: Phishing
• Fausse adresse email
  (swisscom.com)

• Avez-vous un compte
  Paypal?

• Ne propose JAMAIS de
  téléchargement

• Pas de texte mais une
  image

Quizz 4: Phishing
• adresse email
  correcte

• Compte existant

• Langue adéquate

• Logo et visuel correct

Quizz 5: Phishing

 http://myonlinebonusservices.com
               /step1

SOLUTIONS D’INTEGRATION
                                                            & CYBER-SECURITE

Le maillon faible: l’être humain

                                     Avansis Sàrl – Rte de Sion 1 / CP 8 – 3960 Sierre
                    T. +41(0)27 455 37 62 – w. www.avansis.ch – m. info@avansis.ch

Faiblesses informatiques
         Erreurs de
       programmation

        Mises à jour

       Obsolescence

      Facteur humain

Ingénierie sociale
          (ou social engineering)

“Forme d'acquisition déloyale
d'information et d'escroquerie,
utilisée en informatique pour
obtenir d'autrui, un bien, un service
ou des informations clefs.”

Conséquences – vol de données

Conséquences – vol de données
 Toutes les entreprises en sont la cible
 Les privés sont des cibles indirects

 Les entreprises « externalisent » la gestion des données
   (services cloud et hébergés)

 Utilisation à des fins
         Commerciale et marketing
         Revente / Chantage
         Espionnage

Coûts et gains
   ROI mensuel maximum d’un ransomware: 1425%

   Vente de comptes emails:         5$ les 10’000
   Vente de carte bancaire:         50$ l’unité
   Vente de compte complet:         70$ l’unité

   Fraude à la bourse:              100$ millions en 5 ans
   Arnaque au trading en ligne:     +1000$ par jour

   Coûts en entreprise d’un ransomware: 2 à 5 jours d’inactivité

SOLUTIONS D’INTEGRATION
                                                         & CYBER-SECURITE

Les techniques des hackers

                                  Avansis Sàrl – Rte de Sion 1 / CP 8 – 3960 Sierre
                 T. +41(0)27 455 37 62 – w. www.avansis.ch – m. info@avansis.ch

Types d’attaques
 Ingénierie sociale

 Attaques logicielles

 Attaques réseau

Les techniques sociales
 Hameçonnage
  (phishing)
 Arnaque
 Usurpation d’identité
 Chantage webcam
  (sextorsion)

Hameçonnage
Définition:
Tentative d'accéder aux données confidentielles d'utilisateurs Internet ne se doutant de rien. Il peut s'agir p. ex. de données
d'accès à des comptes e-mails, de services de ventes en ligne (p. ex. eBay) ou de e-banking.
Les pirates font appel à la bonne foi, à la crédulité ou à la serviabilité de leurs victimes en leur envoyant des courriels avec
des adresses d'expéditeur falsifiées.

Exemples:
• Email frauduleux avec pièce jointe ou liens piégés
• Faux site Internet piégés

Conséquences et dangers:
• Grâce aux données acquises frauduleusement, l'escroc peut effectuer des transactions bancaires au nom de la victime, ou
  utiliser des services payants en son nom.
• Grâce aux données d’identification, les escrocs ont un contrôle complet sur le compte e-mail de leur victime. Toutes les
  données peuvent y être lues et les criminels peuvent écrire des e-mails frauduleux aux contacts de la victime.
• Les escrocs ont un accès complet à l’ordinateur.

Arnaque
Définition:
Un escroc appelle au téléphone en se faisant passer pour le support d’une entreprise (Microsoft), pour un organisme de
l’état (service des contributions, tribunal) ou d’un organisme légal (avocat). Ils essaient soit de forcer l’utilisateur à installer
un logiciel malveillant, soit à procéder à l’achat d’un service, voir au transfert d’argent direct ou à l’envoi de données
d’entreprise confidentiel.

Conséquences et dangers:
• Des frais de conseils sont demandés. Pour cela, les données de la carte de crédit doivent être communiquées ou un
  virement effectué.
• Des services bidons sont achetés ou de l’argent est transféré sans raison justifiée.

Arnaques
• Arnaque au président

• Demande d’abonnement à
  de faux services

• Envoi de factures factices

• Emails piégés

• E-Banking et transferts illicites

Usurpation d’identité
Définition:
Souvent suite à un hameçonnage réussi, ou avec une récolte d’information sur les réseaux sociaux, l’escroc va se faire passer
pour la victime et perturber sa vie numérique. Une usurpation d’identité peut également servir à procéder à des contrats ou
à l’achat de biens.
Une version spécifique de l’usurpation d’identité sévit sur les sites de rencontres ou de petites annonces avec des jeunes
femmes africaines ou de l’est cherchant l’amour. L’escroc demande de transférer de l’argent pour continuer à correspondre.

Exemples:
• Vol de compte Linkedin, Facebook
• Vols de documents d’identités
• Usurpation de profils sur les sites de rencontres

Conséquences et dangers:
• Réputation de la personne ou de l’entreprise
• Achats de biens ou services à son nom

Chantage webcam / photos
Définition:
Sur des sites de rencontre, sur Facebook, ou de messagerie coquine, l’escroc va demander à la victime d’envoyer des photos
dénudées ou va enregistrer les vidéos compromettantes. Il le fait ensuite chanter contre une somme d’argent.

Conséquences et dangers:
• Réputation de la personne ou de l’entreprise
• Perte financière

Arnaque directe
Définition:
Une personne physique va soit tenter de pénétrer dans votre entreprise pour poser un système de surveillance ou voler des
données, soit se faire passer pour un vendeur ou représentant et essayer de vendre du matériel bidon.

Conséquences et dangers:
• Vol de matériel / vol de données
• Espionnage

Les techniques informatiques
   Ransomware
   Maliciels
   Exploitation de failles logicielles
   Attaques de services web

Ransomeware
Définition:
Logiciel malveillant qui chiffrent les données sur l'ordinateur de la victime ainsi que sur les lecteurs réseau auxquels cet
ordinateur est relié, ce qui les rend inutilisables pour la victime. Les rançongiciels font alors afficher un écran verrouillé
demandant à la victime de payer une certaine somme sous forme de bitcoins (une monnaie virtuelle) pour déverrouiller les
données.

Exemples:
• Email avec pièce jointe

Conséquences et dangers:
• Données de l'ordinateur rendues inutilisables
• Entreprise immobilisée dans son travail administratif
• Dommages financiers en cas de paiement d'une rançon

Maliciel (logiciel malveillant)
Définition:
Les cybercriminels conçoivent des e-mails qui incitent le destinataire à ouvrir une pièce jointe ou à suivre un lien. Le but est
d’installer un maliciel sur la machine de ce dernier. Il est également possible de se faire infecter par un maliciel en surfant sur
un site web malfaisant. Ce logiciel permet ensuite doit d’espionner l’ordinateur, soit de voler des données, soit de l’utiliser à
l’insu de son propriétaire. Il existent des virus spécialement conçus pour pirater les comptes e-banking.

Exemples:
• Virus
• Faux sites web
• Enregistreur de frappe

Conséquences et dangers:
• Destruction de données contenues sur l’ordinateur
• Détournement de l’ordinateur pour envoyer du spam depuis celui-ci
• Vol d’informations ou de données personnelles
• Fraude bancaire

Exploitation de failles logicielles
Définition:
Les cybercriminels profitent des logiciels qui ne sont pas à jour pour exploiter des failles connues. Il peut s’agir d’un
navigateur web, de son système d’exploitation ou d’une application classique. L’idée est d’accéder à distance, sans installer
de logiciel à l’ordinateur local ou aux serveurs.

Exemples:
• Flash
• Internet Explorer
• Windows

Conséquences et dangers:
• Destruction de données contenues sur l’ordinateur
• Détournement de l’ordinateur pour envoyer du spam depuis celui-ci
• Vol d’informations ou de données personnelles
• Fraude bancaire

Défiguration de site web
Définition:
La défiguration d'un ou plusieurs sites (mass defacement) consiste à tirer parti des lacunes de sécurité de serveurs web. Les
pirates modifient le contenu et le graphisme des sites. Leurs attaques ont parfois des mobiles politiques et sont l'oeuvre de
"hacktivistes" cherchant à donner de l'audience à leurs protestations. Selon l'importance que revêt le site pour l'activité
économique de l'entreprise victime, les conséquences d'une attaque vont des dégâts d'image à de lourdes pertes d'ordre
financier.

Exemples:
• Armée américaine

Conséquences et dangers:
• Dommage à la réputation
• Manque à gagner sur l’activité en ligne
• Utilisation de la vulnérabilité pour d’autres attaques

Perturbation de site web
Définition:
Les cybercriminels utilisent des outils spécifiques ou des réseaux d’ordinateurs fantômes dans le monde entier pour attaquer
un site web ou un service en ligne. Le but c’est de le rendre inaccessible le plus longtemps possible pour lui faire perdre de
l’argent. Depuis quelques mois il existent des chantages à ce genre d’attaque ou il faut payer à l’avance pour ne pas être
attaqué.

Exemples:
• Banques suisse
• TV5 Monde

Conséquences et dangers:
• Dommage à la réputation, image de la société
• Manque à gagner sur l’activité en ligne

Conséquences
• Vol de données
  (Propriété intellectuelle)

• Perte financière

• Perturbation du travail

• Perte d’image, de
  confiance

SOLUTIONS D’INTEGRATION
                                                           & CYBER-SECURITE

Comment se protéger – prévention

                                    Avansis Sàrl – Rte de Sion 1 / CP 8 – 3960 Sierre
                   T. +41(0)27 455 37 62 – w. www.avansis.ch – m. info@avansis.ch

Protections
• Techniques
 (machines, logiciels)

• Humaines
(formations, simulations)

• Administratives
(audits, procédures)

Protections en entreprise I
 Mise à jour régulier des systèmes

 Gérer les accès des employés (droits et mots de passe)

 Mettre en place des solutions de sauvegarde

 Encrypter les données sensibles (emails, cloud)

 Gérer les appareils externes (téléphones, tablettes, USB)

Protections en entreprise II
 Mise en place de système de détection et de prévention
  (anti-virus, IDS, filtres réseau)

 S’informer, se préparer, se former

 Gestion du risque et des coûts

 Solutions professionnelles (audits et tests de pénétration)

 Faire appel à des spécialistes

Gestion des emails
 Ne pas ouvrir de fichier attaché par Email de source inconnue

 Ne jamais exécuter de macro Word ou Excel

 Signaler tout comportement suspect à son propriétaire

 Ne jamais cliquer sur des URL courtes

 Vérifier l’origine de l’email

Règles de comportement
 Ne pas ouvrir de fichier attaché par Email

 Utiliser des mots de passe fort, changer régulièrement

 Vérifier les informations avant d’agir

 Ne pas fournir des données d’accès sensible

 S’informer, se préparer, se former

Jouons avec les mots de passe

Quels sont les 10 mots de passes les plus
             utilisés en 2015

Jouons avec les mots de passe

  123456             Password
  12345              12345678
  qwertz/azerty      football
  1234567890         1234
  welcome            login

Gestion des mots de passe
• Longueur minimale de 8 signes
Il devrait comprendre des lettres, des chiffres ainsi que des caractères spéciaux.

• Facile à mémoriser
Ne consignez pas vos mots de passe par écrit.
Les meilleurs mots de passe sont des phrases entières comprenant des caractères spéciaux.

• N'utilisez pas plusieurs fois le même mot de passe
Utilisez des mots de passe différents pour des usages différents (p. ex. pour différents comptes
utilisateurs).

• Changer régulièrement de mot de passe
Un mot de passe devrait être changé à intervalles réguliers (tous les trois à six mois à peu près)

Audits et formations

Piratage – futur (c’est déjà aujourd’hui)
 Internet des objets
 Secteur de la santé
 Attaque à large échelle (cyberwar)

Conclusion
En informatique, RIEN n’est JAMAIS sûr.
Mettre en place des solutions AVANT les problèmes.

SOLUTIONS D’INTEGRATION
                                                                                                  & CYBER-SECURITE

                                              Questions

             Jérôme Christen / directeur, associé                          Avansis Sàrl – Rte de Sion 1 / CP 8 – 3960 Sierre
T. +41(0)79 436 21 59 – m. jchristen@avansis.ch           T. +41(0)27 455 37 62 – w. www.avansis.ch – m. info@avansis.ch