Microsoft compte améliorer la sécurité de Hotmail

La recrudescence du vol de comptes Hotmail contraint Microsoft à renforcer la sécurité de sa messagerie phare. L'éditeur met l'accent sur des dispositifs d'authentification renforcés.

Microsoft prépare une mise à jour de sécurité pour son service Hotmail. Elle a vocation d’empêcher des pirates de compromettre et prendre le contrôle de comptes utilisateurs.
La mise à jour, qui devrait s’effectuer en octobre, va faire basculer l’intégralité du site sous la protection de SSL. A ce jour, seul l’écran de connexion à son compte était sous ce protocole.

Microsoft indique qu’il cherche comment combler les failles qui pourraient permettre à un individus malveillant d’accéder de nouveau à un compte compromis.Les utilisateurs d’Hotmail seront désormais tenus de répondre à une preuve de sécurité avant d’être en mesure de changer les autres.D’autres outils viendront analyser les log-in et l’activité du compte pour aider à séparer les comptes de ceux mis en place par les spammeurs à partir des comptes légitimes qui ont été compromis.

Source : www.itespresso.fr

Comment les petits malins contournent la loi Hadopi

La nouvelle autorité antitéléchargement espère coincer 50 000 contrevenants par mois. Mais les pirates, petits et grands, savent déjà comment ne pas se faire prendre.

Depuis 2007, lorsque a débuté la réflexion sur la réponse graduée (e-mail, lettre recommandée, suspension de la connexion au Net), les bidouilleurs ont eu le temps de réfléchir.

En 2009, selon l’Ipsos, 15% des internautes français avouaient télécharger illégalement. Soit plus de 5 millions de personnes dont les ayants droit (sociétés d’auteurs et de producteurs comme la Sacem, l’Alpa, la SACD…) peuvent maintenant noter les adresses IP (le code qui identifie un PC en ligne) et les transmettre à une commission qui pourra aller en justice.

Les téléchargeurs de base ont eux aussi évolué depuis, ou le feront au premier avertissement. Avant même l’entrée en vigueur de la loi, les spécialistes ont ainsi constaté les progrès du téléchargement direct et de la capture des contenus diffusés en streaming , entre autres ficelles à la portée de tous.

Gare toutefois à ne pas vous faire prendre, même si vous ne piratez jamais. L’Hadopi a en effet institué une contravention de «négligence caractérisée». Car elle voyait venir la ligne de défense des abonnés à Internet : une adresse IP pouvant servir à plusieurs PC au sein d’un foyer, il aurait été simple de prétendre ignorer l’identité du coupable. En réalité, l’abonné risque 1 500 euros d’amende s’il n’a pas «sécurisé» sa ligne. C’est le moment d’installer un Contrôle Parental et un code d’accès, et de vérifier que votre Wi-Fi n’est pas utilisable par les voisins. En cas de soucis liés à la boulimie de MP3 de vos ados, vous pourrez au moins protester de votre bonne foi…

Source : www.capital.fr

Les gendarmes ont démantelé un réseau de "cybercriminels"

Basés à Rennes, les cybercriminels arnaquaient les opérateurs de téléphonie mobile. Un trafic international de plusieurs millions d'euros.

La brigade "cybercriminalité" de la section de recherches de Marseille vient de boucler un dossier au retentissement international. 9 suspects doivent être mis en examen.

Ils sont soupçonnés d'avoir placé des "taupes" chez les opérateurs ou des constructeurs de téléphones portables, afin de revendre des informations confidentielles à des centaines de milliers de clients, sur toute la planète.

Les gendarmes marseillais ont enquêté pendant six mois avant de procéder aux interpellations. Quatre hommes, membre du groupe "cybercriminalité", qui ont multiplié les investigations, notamment grâce à des techniques d'intrusion dans les systèmes informatiques des suspects. En plus des deux têtes de réseau en Bretagne,ils ont également identifié le créateur d'un site internet, qui était chargé de revendre les codes au grand public.

Avec près de 100 000 clients réguliers, son activité rapportait gros. C'est un ingénieur de haut niveau, qui travaille dans une grande entreprise informatique, à Toulon, révèle un enquêteur. Au départ, il avait créé un site pour vendre des sonneries de portables. Mais très vite, il a vu que les codes rapportaient plus, environ 25000 Euro par mois. Il avait des comptes aux États-Unis, grâce à une société qu'il avait créée là-bas, avec l'aide d'avocats américains. Pour vivre, il utilisait une carte bancaire US et retirait de l'argent aux distributeurs.

Sans la plainte déposée par l'un des grands opérateurs et l'intervention des "cybergendarmes", le réseau aurait pu continuer à s'étendre. Aujourd'hui, toute la filière est paralysée. Sur internet, les premières plaintes commencent à circuler en masse. Des milliers, voire des centaines de milliers de clients ont payé pour des codes qu'ils ne recevront jamais.

Source : laprovence.com

Arnaque aux couleurs de McDonald´s

Prudence, un courriel aux couleurs de McDonald´s vous fait gagner une voiture... pour de faux. Voilà une tentative de filoutage intéressante à suivre. L'escroquerie ne vise pas les clients d'une banque, ni d'un Fournisseur d'Accès à Internet. L'arnaque cible les clients de McDonald´s, l'enseigne de restauration rapide.

Les gourmets Français sont visés par ce piège qui prend la forme d'une enquête de satisfaction McDonald's. Le courriel dirige les internautes vers un faux site mcdonalds.fr. La page usurpatrice a été cachée sur un serveur Allemand appartenant à la société asascatalog .com. L'espace pirate incite les lecteurs à remplir un questionnaire étonnant : "Bienvenue chez McDonald's officiel site. La raison pour laquelle vous êtes ici c'est parce que notre société veut améliorer la qualité des services. Et quelle est la meilleure façon de le faire?Facile! Demandons à nos clients. Qu'est-ce que vous avez à faire?Il suffit de suivre les 3 étapes. Il est facile! S'il vous plaît assurez-vous d'entrer des informations valides, sinon le paiement sera diminué. Nous apprécions votre honnêteté et votre fidélité sera récompensée avec 50Euro. Ne pas oublier! Si vous terminez les 3 étapes, vous serez dans la course pour l'un des 6 Honda CR-V et le quotidien "100Euro Cartes de l'essence."

Le pirate demande aux internautes piégés de fournir nom, adresse postale, numéro de permis de conduire, et bien évidement, les données de leur carte bancaire (16 chiffres, CVV, date de validité). Bien évidement, le courriel est à mettre à la poubelle. (François)

Source : www.zataz.com

BlurryPeople, un Chatroulette avec « Contrôle Parental »

Le site de chat par webcam BlurryPeople met en place un filtre visuel pour éviter aux internautes de tomber directement sur un exhibitionniste.

Lors de son lancement, au mois de février dernier, Chatroulette a fait couler beaucoup d’encre. Le site - dont le principe repose sur la mise en relation aléatoire d’internautes par webcam interposée - a rapidement été détourné par des individus désirant exposer aux yeux de tous certaines pratiques relevant de la sphère (très) privée.

En quelques clics, les utilisateurs ont toutes les chances de tomber sur un exhibitionniste. Malgré tout, ces derniers mois, le nombre de concurrents de Chatroulette s'est multiplié. L'un d'entre eux, récemment arrivé sur le secteur du chat aléatoire par webcam, semble se différencier.

A en croire BlurryPeople, les membres courent moins de risque d'être confrontés à une vue classée X. Tout comme Chatroulette, le site expose concomitamment les images de deux interlocuteurs. Mais lors de la connexion, BlurryPeople n'affiche pas directement des images prises par la webcam. Celles-ci sont floues.

Au fur et à mesure que les deux interlocuteurs discutent, les images se font plus nettes pour apparaître parfaitement à la troisième minute de conversation. Ce laps de temps permet à tout un chacun de passer à un autre internaute s'il voit se dessiner peu à peu une scène choquante.

Bien sûr, ce filtre visuel ne met pas l'utilisateur à l'abri des exhibitionnistes. Cela fut le cas pendant notre test. Mais les images fortement pixellisées permettent de distinguer que l'interlocuteur ne montre pas uniquement son meilleur profil. L'internaute peut ainsi passer son chemin. Au passage, il a la possibilité de bloquer cet individu, avec lequel il ne sera plus mis en relation.

Lire la suite : www.01net.com

Faille : Twitter victime d'un spam viral d'un nouveau genre

Une faille de sécurité sur le site officiel de Twitter, qui permet l'exécution de code javascript au survol de liens figurant dans les messages, a permis mardi en milieu de journée un déferlement de messages vérolés sur le service de micro-blogging.

La faille d'injection XSS a commencé à être exploitée à partir de la fin de matinée mardi, puis s'est rapidement propagée pour envahir tout Twitter à la mi-journée. Le site officiel du service de micro-blogging est victime d'une diffusion massive de messages incompréhensibles par le commun des mortels, du type : "tttp://a.no/@"onmouseover="...

Il s'agit en fait d'un bout de code javascript qui, profitant d'une faille sur le site web de Twitter, est interprété par le navigateur. Il se "retweet" alors automatiquement lors d'un simple survol du message par l'utilisateur. Diffusé sous plusieurs formes modifiées par des plaisantins plus ou moins intentionnés, il peut aussi ouvrir des pop-up ou des messages d'avertissement, avec des liens souvent masqués sous un bloc noir illisible.

Source : numerama.com

Signal Spam collecte vos pourriels pour la bonne cause

L'association invite les internautes à lui transférer des messages non sollicités. Pour leur faciliter la tâche, un bouton de signalement inclus dans les Webmails va être proposé à la fin de l’année.

Près de neuf courriers sur 10 envoyés dans le monde sont des spams. Si les filtres permettent d'en retenir une bonne partie, certains parviennent néanmoins dans les boîtes aux lettres des internautes. Ne les jetez plus, pour Signal Spam,  ils ont de la valeur. Ils contiennent des informations qui permettent d'identifier l'envoyeur, d'évaluer la nature et l'ampleur du phénomène, le tout pouvant servir à bloquer leur circulation, voire donner lieu à des actions judiciaires.

Signal Spam, une association créée en 2007 pour fédérer les efforts publics et privés contre ce fléau, lance un appel pour mobiliser les internautes afin qu'ils prennent en main leur protection.
Peu de participations de la part des particuliers

Depuis son lancement, l'association propose un formulaire en ligne où les utilisateurs peuvent signaler les e-mails reçus et non désirés. Une extension, compatible avec Outlook et Thunderbird, est également téléchargeable. Une fois installée, un bouton « Signal spam » s'affiche dans la barre d'outils du logiciel et permet d'un clic de renvoyer à l'association le courrier indésirable.

Mais  les volontaires font défaut : seulement 100 000 personnes ont le réflexe de transmettre le pourriel par l'intermédiaire de cette application. Signal Spam souhaite donc réveiller les consciences des internautes sur la nécessité de participer à cette lutte.

« Le spam, c'est une gêne, mais pas seulement. C'est un parasite quand il fait la promotion de produits défectueux. C'est aussi une menace quand il véhicule des virus ou des chevaux de Troie », explique Nathalie Kosciusko-Morizet, secrétaire d'État chargée de la Prospective et du Développement de l'économie numérique.

Bientôt un bouton de signalement dans les Webmails

Il y a urgence car les membres de l'association ont fait le constat d'une professionnalisation du spam. Les auteurs de phishing montrent désormais un talent certain à usurper l'identité d'administrations, de banques ou de prestataires de service afin de dérober les coordonnées bancaires des internautes. Ces fraudeurs  se détournent de plus en plus de l'envoi en masse pour lancer des campagnes de phishing de quelques centaines de messages seulement, mieux ciblées et plus difficilement détectables.

Pour que l'internaute devienne acteur de sa propre sécurité, Signal Spam est conscient qu'il doit lui faciliter la tâche au maximum en s'adaptant à ses habitudes. Comme la consultation des messages s'effectue de plus en plus par Webmail, l'extension Signal Spam devient insuffisante. L'association est donc en train de travailler à l'intégration d'un bouton de signalement directement dans ces interfaces en ligne. Il devrait être disponible à la fin de l'année.

Source : www.01net.com

Faille sur la Cnil

La faille aurait permis à des individus d'afficher des informations sur le site de la Cnil. Elle a été colmatée avant que des dégâts ne soient constatés.

La semaine dernière, les responsables du site Internet de la Commission nationale de l'informatique et des libertés (Cnil) on été alertés d'une vulnérabilité sur leur site Web. La faille de type Cross-Site Scripting, connue aussi sous le nom de XSS, aurait pu être exploitée par des individus malveillants pour accéder à certaines parties du site.

La découverte du bug revient à deux internautes français, Romain et Jérôme, alors qu'ils surfaient sur l'espace agenda du site de la Cnil. D'abord, avec l'apparition d'une page d'erreur, explique Romain, Je n'ai rien tapé de particulier. Juste une erreur de frappe dans l'URL de la page que je souhaitais visiter. » La mauvaise interprétation de l'adresse par le serveur a fait que ce dernier a renvoyé des informations, directement dans le navigateur des deux surfeurs, et affiché d'autres contenus.
Accès potentiel à la base de données

Nous avons pu reconstituer le scénario et constater qu'il était possible, avec une adresse officielle « cnil.fr » particulièrement formée, de procéder à certaines opérations peu rassurantes pour les visiteurs comme d'intercepter leur cookie de connexion, d'afficher des informations directement sur le site, de diffuser un code malveillant ou encore d'avoir un accès potentiel à la base de données de la Cnil. Pour ce qui concerne la base de données, confient les deux internautes, nous ne sommes pas allés chercher plus loin. »

Aussitôt contactée, la Cnil a colmaté la faille. Elle vient de confirmer la correction, ce mardi soir, par le biais de Yann Padova, son secrétaire général : Nous avons mené les expertises nécessaires pour vérifier la réalité de cette alerte. Nous avons effectivement détecté un léger dysfonctionnement relatif à une extension de notre outil de gestion des contenus. Nous avons immédiatement effectué une mise à jour… Je tiens à vous préciser que ce dysfonctionnement n'était pas de nature à corrompre le site Internet de la Cnil ou à mettre en péril nos données. »

Mais venant du site censé veiller sur nos libertés numériques, le scénario de cette découverte n'est pas très rassurant.

Source : www.01net.com

57 000 sites frauduleux seraient créés chaque semaine

Au travers d'une étude menée par les spécialistes de la sécurité informatique chez Panda Labs, chaque semaine, 57 000 sites Internet frauduleux feraient leur apparition sur Internet. D'une manière générale, ces hackers malintentionnés cibleraient 375 sites légitimes de grandes marques. La fraude par phishing consiste, le plus souvent, à rediriger l'internaute vers un faux site Internet afin de récupérer ses informations bancaires.

En consultant les statistiques de leurs bases de données, les experts ont ainsi pu déterminer quelles marques étaient les plus affectées. Le palmarès revient - sans grande surprise - à Amazon qui aurait inspiré 23,21% de ces sites Internet frauduleux. En seconde position nous retrouvons la société spécialisée dans le transfert d'argent Western Union avec une part de 21,15%. Visa, l'association américaine des services automobiles et la banque HSBC recueillent respectivement 9,51%, 6,85% et 5,98% des parts. Amazon (2,42%) arrive en sixième position devant Bank of America (2,29%) et Paypal (1,77%).

Au total les banques représenteraient 65% de ces fraudes contre 27% pour les plateformes e-commerce. Luis Corrons, directeur technique chez Panda Labs, explique : « bien que les moteurs de recherche aient fait des efforts pour améliorer la situation en changeant l'algorithme d'indexation, ils n'ont cependant pas été capables d'endiguer cette avalanche de sites créés par les hackers chaque jour ».

Source : www.clubic.com

L’État français ne sécurise pas ses accès à Internet

Un groupe de hackers français a communiqué une liste de failles informatiques  repérées sur de nombreux sites du gouvernement. Certaines de ces failles pourraient s’avérer critiques permettant de détruire une grande partie du dispositif internet mis en place par le gouvernement Français lors des dernières années.

Au total, ce sont plus de quarante sites gouvernementaux, dont ceux de plusieurs ministères qui sont susceptibles d’être piratés.

Amendes et coupures de l’accès ?

Pour rappel, le défaut de sécurisation d’une connexion à Internet est passible d’une amende de 1 500 euros et de la coupure de l’accès à Internet. Si les failles plus critiques devraient être comblées rapidement explique le site, le problème global de sécurisation de l’accès et des infrastructures est bien plus grave.

Source : www.infos-du-net.com