Tous les mois, on vous dévoile les enjeux de cybersécurité actuels et à venir.
L'actualité Cyberswat
La semaine du télétravail: événement à ne pas manquer!
Pour la 2e année, Cyberswat participe à la semaine du télétravail organisée du 13 au 17 septembre 2021. Jean-Philippe Racine donnera une conférence sur le télétravail sécuritaire le 16 septembre à 14h.
L’inscription à cet événement est gratuite! https://teletravail.zohobackstage.com/semaineduteletravail2021
La cybersécurité des entreprises et l’assurance en cyberrisque: Par où commencer?
En mai dernier, nous avions donné un webinaire avec Luc Benoit, courtier en assurance de dommages chez Assurances Provencher Verreault. Si vous n’aviez pas pu y assister et que le sujet vous intéresse, voici le lien pour récupérer la vidéo 😊
https://inscription.cyberswat.ca/webinaire_assurance
Marqué au Fer Rouge
Saviez-vous que notre président sera dans le prochain livre d’Alexandre Vézina? Ce livre dédié à l’entrepreneuriat s’intitule « Marqué au Fer Rouge ». Il regroupe plusieurs évènements qui ont marqué à tout jamais plus d’une vingtaine d’entrepreneurs du Québec!
Une histoire qui a influencé toute la carrière de notre président, Jean-Philippe Racine, se retrouvera dans le chapitre intitulé « Le pirate fantôme ».
L'actualité en cybersécurité
Comment vérifier si votre cellulaire est surveillé par le logiciel espion Pegasus ?
Créé par la société israélienne NSO Group pour les forces de l’ordre et les services de renseignement, le logiciel espion « Pegasus » est largement utilisé pour espionner secrètement les résidents de différents pays. Ce logiciel espion permet de prendre le contrôle total de tout type de téléphone intelligent, de lire secrètement les messages, de mettre sur écoute les conversations téléphoniques, de visualiser les photos et les vidéos.
Les antivirus populaires ne peuvent pas détecter Pegasus, car ce malware exploite des vulnérabilités de type « zero day » qui sont inconnues des développeurs de systèmes d’exploitation et d’applications antivirus. Pour vérifier si votre cellulaire est surveillé par Pegasus et en savoir plus sur ce logiciel, vous pouvez lire ce merveilleux article publié par le journal Forbes https://www.forbes.fr/technologie/comment-verifier-si-votre-smartphone-est-surveille-par-le-logiciel-espion-pegasus/
L’authentification multifacteur, c’est pour toutes les applications!
On peut paraitre insistant avec ça, mais c’est vraiment quelque chose d’important. D’après l’étude de Twitter, l’adoption de l’authentification multifacteur, aussi appelée 2FA, reste relativement faible : 2,3 % seulement des comptes ont activé le 2FA. Certains vont se dire que ce n’est pas important, car ils utilisent le réseau uniquement pour consulter des nouvelles, mais pour d’autres, leur compte Twitter est essentiel à leur image de marque.
L’activation du 2FA garantit que même si le mot de passe de votre compte est compromis (peut-être en raison de la réutilisation de votre mot de passe Twitter sur d’autres sites Web moins sécurisés), les attaquants ne pourront toujours pas se connecter à votre compte sans accéder à l’authentification supplémentaire requise.
La saviez-vous, il a été demandé aux universités, cégeps et autres organismes de mettre en place cette mesure de sécurité? C’est une bonne nouvelle de le faire dès le plus jeune âge, car c’est 20 secondes en plus dans le pire des cas qui pourrait vous éviter des années de procédure et un compte en banque vide. Ce n’est pas pour rien que cela a aussi été mis en place pour les banques, le site de l’ARC et d’autres sites importants disposant d’information confidentielle sur nous.
Source : Account Security
Your Pa$word doesn’t matter
L’authentification en deux étapes : un essentiel pour protéger votre entreprise
New research: How effective is basic account hygiene at preventing hijacking
Back to basics: Multi-factor authentication (MFA)
Is password expiration no longer recommended?
Are password composition rules no longer recommended?
NIST Special Publication 800-63B
Configurer Azure Active Directory pour répondre aux niveaux d’assurance relatifs à l’authentification du NIST
Le coût total moyen d’une violation de données a augmenté de près de 10% en un an (chiffre en USD)
Les violations de données coûtent désormais aux entreprises un total de 4,24 millions de dollars par incident en moyenne, selon le rapport sur le coût d’une violation de données, réalisé par le Ponemon Institute et analysé par IBM Security.
La principale raison est (la même que les retards de livraison de votre nouvelle maison, chantier de rénovation ou encore la disparition du papier toilette dans nos épiceries) la pandémie. Effectivement, cela à apporter beaucoup de changements que ce soit dans notre mode de fonctionnement que celui des hackers. Un grand nombre d’entreprises sont passées au télétravail, mais les mesures de sécurité n’ont pas forcément toutes été mises en place. Ceci contribue pour beaucoup à cette augmentation.
Pour le secteur de la santé, c’est une augmentation de plus de 2 millions par brèche, pour atteindre 9,23 millions de dollars.
Près de 20 % des organisations étudiées ont déclaré que le travail à distance était un facteur de violation de données, et ces violations ont fini par coûter aux entreprises 4,96 millions de dollars (près de 15 % de plus que la violation moyenne).
Cependant, certaines entreprises utilisant l’IA pour des aspects de sécurité ont réussi à faire diminuer la facture. De plus, les entreprises plus matures dans l’utilisation des outils infonuagiques et avec des clouds hybrides ont été respectivement meilleures sur le temps de détection/réponse aux incidents et les surcoûts de violation de données.
Il est aussi important de noter que près de la moitié des violations ont exposé des données personnelles des clients (nom, mot de passe, adresse courriel…); ce qui est d’autant plus inquiétant, car 82 % des personnes interrogées admettent réutiliser des informations de connexion sur plusieurs sites (en complément : 54% of all employees reuse passwords across multiple work accounts).
Petit rappel: Fournir un gestionnaire de mot de passe et imposer le 2FA, pourraient vous éviter bien des frais.
Source : Average total cost of a data breach increased by nearly 10% year over year
https://www.ibm.com/security/digital-assets/soar/cyber-resilient-organization-report/#/
📚 La protection des données personnelles: 100 questions-réponses pour comprendre et mieux se protéger, l’ouvrage qu’il vous faut
À semer ses données personnelles à la manière du Petit Poucet, chacun de nous s’expose à de nouvelles menaces: une recherche sur Internet, la consultation de ses comptes, un achat en magasin avec une carte bancaire ou simplement une photo publiée sur les réseaux sociaux; tout cela constitue autant de production de données qui sont exposées, exploitées et souvent détournées.
Le traçage abusif, les virus, l’usurpation d’identité, l’usage illicite de données et les tentatives d’escroquerie explosent à l’ère d’une société désormais numérique. Ces 100 questions/réponses permettent de comprendre ce qui se passe, à quoi servent nos données, de connaître les pièges, les éviter et surtout savoir se protéger en mettant un pied dans l’univers de la protection des données personnelles et de la cybersécurité.
Pour s’informer à titre personnel ou engager sa mise en conformité à titre professionnel, cet ouvrage de Laurane Raimondo est destiné à un large public et apporte des réponses à ceux qui s’intéressent au milieu de la protection des données et du cyber.
Il est donc à mettre entre toutes les mains et est disponible sur Amazon: https://amzn.to/3AUAYZ7
Guide du défenseur: BloodHound contre les rançongiciels
Saviez-vous que des outils offensifs peuvent aussi vous permettre d’augmenter votre sécurité ?
C’est le cas de BloodHound, qui permet d’identifier, examiner et par la suite d’éliminer les chemins d’attaque vers les comptes à privilèges. Si vous retirez les chemins les plus faciles d’utilisation, cela sera d’autant plus dur pour les attaques de compromettre votre système et de déployer des rançongiciels.
De plus, des institutions comme le NIST et PricewaterhouseCoopers recommandent son utilisation. Effectivement, cet outil permet d’aller vite dans l’identification d’indicateurs de compromission tels que décrits dans l’alerte d’activité du CISA (Cybersecurity & Infrastructure Security Agency) ou encore de détecter la présence d’un code « web shell » sur un serveur Microsoft Exchange compromis.
Voici un très bon article qui relate de l’utilisation de l’outil. Cela pourra vous donner une bonne idée.
1 million de cartes bancaires publiées dans le darkweb
Un pirate a mis en ligne un million de données de cartes bancaires, incluant numéros et code de validation CVV. Proposées gratuitement, elles constituent un échantillon pour faire la promotion de sa boutique en ligne frauduleuse. Pour en savoir plus, lisez cet article : https://www.lemondeinformatique.fr/actualites/lire-1-million-de-donnees-de-cartes-bancaires-gratuites-sur-le-dark-web-83806.html
N’hésitez pas à vérifier que vos données bancaires sont sécurisées. Si vous avez des doutes, contactez votre banque.
Article du mois
Le Patch Tuesday d’août 2021 a été rendu disponible. Le correctif cumulatif du mois traite 44 vulnérabilités, dont 7 critiques et 3 de type « zero-day ».
Ce correctif traite aussi de la vulnérabilité Print Nightmare découverte en juin et dont un correctif spécial avait été déployé début juillet.
Pour en savoir plus : https://msrc.microsoft.com/update-guide/releaseNote/2021-Aug
https://msrc.microsoft.com/update-guide/fr-ca
Pour aller plus loin sur Print Nightmare, Microsoft a publié un article dans sa base de connaissances décrivant la vulnérabilité CVE-2021-36958 et je vous invite à consulter l’information sur Cyber.gc.ca.
Le 9 août 2021, Apple a publié une mise à jour de sécurité visant à corriger des vulnérabilités liées au produit iTunes for Windows (des versions antérieures à la version 12.11.4). Cette mise à jour est disponible en anglais dans cette page web : https://support.apple.com/en-ca/HT212609
Le 11 août 2021, Palo Alto Network a publié un bulletin de sécurité visant à corriger une vulnérabilité jugée élevée (type : injection de commande système).
Nous vous recommandons de consulter la page Web suivante pour plus de détails. https://security.paloaltonetworks.com/CVE-2021-3050
Le 10 août 2021, Adobe a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à de multiples produits.
Les pages web suivantes vous donneront plus de détails :
https://helpx.adobe.com/security/products/magento/apsb21-64.html
https://helpx.adobe.com/security.html
Android a publié un bulletin de sécurité le 2 août 2021.Vous le trouverez ci-joint : https://source.android.com/security/bulletin/2021-08-01
Cisco a publié le 4 août 2021 des bulletins de sécurité visant à corriger des vulnérabilités.
L’exploitation de ces vulnérabilités pourrait mener à l’exécution de code arbitraire, à un déni de service et à l’exécution de commande arbitraire. Ces Bulletins de sécurité sont disponibles ici:
https://tools.cisco.com/security/center/publicationListing.x
