Investigation & transformation numériques

Quand le mail de phishing contient le formulaire

Je ne fais ici que retranscrire une information de MXLab qui m’a semblé particulièrement intéressante. Ainsi dans cet article de leur blog, ils notent une recrudescence des emails de phishing qui intègrent le formulaire dans leur contenu.

En pièce attachée au courriel illicite, une page Web. Trois exemples sont donnés par MXLab:

  • le premier s’en prend à Western Union et récupère les pages de styles, javascript et bannières directement sur le site Web de Western Union, tant qu’à faire !
  • le second s’attaque à Paypal, et semble reposer sur le même principe ;
  • le troisième s’en prend encore à Paypal mais parait vouloir utiliser un autre type de page HTML, le MIME HTML dont l’extension est .mht et qui a la particularité de regrouper dans un même conteneur la page Web au format HTML et les images et autres fichiers à incorporer pour l’affichage de la page.

La conséquence évidente de ce développement est que dans la détection des mails de phishing il faut prendre en compte ce nouveau format, qui ne contient plus de liens URL éventuellement masqués.

Ensuite, cela simplifie le travail de l’hébergement du site de phishing qui ne fait que recevoir le résultat des formulaires, donc est particulièrement discret (au passage le site Web de phishing ne commet pas en tant que tel de contrefaçon des marques attaquées – telles que Paypal et Western Union), rendant d’autant plus complexe et difficile la fermeture de ces sites. En effet, pour expliquer à l’hébergeur qu’il doit fermer le site de phishing, il faudra lui montrer les mails de phishing, ce que fait le formulaire, etc… sans pouvoir lui montrer de page de phishing qui apparaissait jusqu’à présent de façon évidente !

13 mars 2010 by Cybercriminalité Sécurité 0

Et on continue de dire des bêtises sur les outils d’espionnage

Aujourd’hui c’est le Parisien qui répète les mêmes erreurs contre lesquelles j’avais averti mes lecteurs le 7 février dernier et qu’avait commises M6 ce soir-là.

On peut lire dans l’article du Parisien du 8 mars 2010, qui est inclus dans un dossier sur les outils d’espionnage des téléphones portables:

Interdit à l’usage, pas à la vente
 Un an de prison et jusqu’à 45 000 € d’amende : c’est ce que l’on risque en jouant les apprentis espions. La loi française, en vertu des articles 226-1 et suivants du Code pénal, est très claire en matière d’atteinte à la vie privée.
Il est ainsi répréhensible de « capter, enregistrer ou transmettre, sans le consentement de leurs auteurs, des paroles prononcées à titre privé ou confidentiel ».

Eh bien non ! L’article 226-3 du code pénal interdit « […] la fabrication, l’importation, la détention, l’exposition, l’offre, la location ou la vente, en l’absence d’autorisation ministérielle dont les conditions d’octroi sont fixées par décret en Conseil d’Etat, d’appareils conçus pour réaliser les opérations pouvant constituer l’infraction prévue par le deuxième alinéa de l’article 226-15 ou qui, conçus pour la détection à distance des conversations, permettent de réaliser l’infraction prévue par l’article 226-1 et figurant sur une liste dressée dans des conditions fixées par ce même décret. […] »

Ce n’est d’ailleurs pas pour rien que les deux sociétés citées dans l’article du Parisien sont basées pour l’une au Royaume-Uni et pour l’autre en Suisse. Vous noterez au passage, que non seulement la vente sans autorisation, mais aussi la simple détention (notamment par un particulier) d’outils d’espionnage de cette nature sont illégales sans l’autorisation appropriée (on risque un an de prison et 45000 euros d’amende) !

9 mars 2010 by Juridique 1

Comment on vous attire presque automatiquement vers les faux antivirus

Régulièrement la presse en ligne se fait l’écho de l’exploitation des événements de l’actualité par les délinquants… Deux articles du 4 et du 5 mars derniers sur le blog de F-Secure ont attiré mon attention. Ils décrivent quelques techniques utilisées pour amener de futures victimes à télécharger de faux antivirus.

Dans les deux cas décrits, les moteurs de recherche (Google en l’espèce) sont abusés pour référencer les documents qui vont piéger leurs victimes. Ainsi des fichiers PDF sont publiés, avec du contenu intéressant et à l’intérieur pour inciter le visiteur à les télécharger. En réalité, les attaques réalisées grâce à des PDF malveillants ne sont pas nouvelles (voir cet article), elles ont été le phénomène massif de l’année 2009.

Ainsi, des fichiers PDF sont diffusés (sur des sites piratés, par des reprises de contenus, etc.). Le contenu de ces fichiers PDF est inspiré de l’actualité, contient des liens, des mots clés qui vont attirer l’attention des visiteurs, comme des moteurs de recherche. Ainsi, lors de chaque événement récent on a vu apparaître des tentatives basées sur le tremblement de terre au Chili, la mort d’un chanteur. D’ailleurs à la vitesse où se répandent ces manœuvres frauduleuses, on peut raisonnablement soupçonner qu’elles sont fabriquées automatiquement à partir des flux d’actualité. Les articles de presse en ligne qui annoncent que c’est événements sont « déjà » exploités se trompent donc de conclusion: ce n’est pas une vivacité particulière des délinquants numériques dont ils sont témoins, mais une preuve de l’existence de véritables plateformes automatisées de services criminels.

Ce que décrivait F-Secure vendredi est qu’ensuite, les fichiers PDF disparaissent pour être remplacés par de simples pages HTML qui contiennent des animations Flash. Bien entendu, Google n’a pas eu le temps de repasser sur la page et de voir que le contenu avait changé et le référence encore comme un fichier PDF; et le contenu ressemble diablement à une page PDF. Et ce sont ces animations Flash qui contiennent des scripts malveillants qui vont vous amener à installer de faux antivirus:

Fausse détection de virus (F-Secure)

Le plus perturbant dans tout ça c’est que normalement votre véritable antivirus, s’il le détecte, va déclencher une alerte… pour peu que cette fausse alerte lui ressemble vous risquez d’être piégé ! Soyez donc particulièrement attentifs lors de votre navigation.

7 mars 2010 by Cybercriminalité Sécurité 1

Du statut juridique des traitements de l’adresse IP

(suite à mon billet précédent sur l’obligation de notification d’incidents de sécurité)

Le texte issu de la commission des lois

La proposition de loi Détraigne/Escoffier aborde aussi le statut de l’adresse IP dans les traitements de données et propose un article 2 finalement assez simple :

Le deuxième alinéa de l’article 2 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés est complété par une phrase ainsi rédigée :

« Tout numéro identifiant le titulaire d’un accès à des services de communication au public en ligne est visé par le présent alinéa. »

Et l’alinéa 2 de cet article 2 de la loi informatique et libertés dit aujourd’hui :

Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne.

Donc tout numéro identifiant le titulaire d’un accès à des services de communication au public en ligne serait réaffirmé comme étant une donnée à caractère personnel.

Le débat sur l’adresse IP

Le débat qui amène à cette rédaction est très bien résumé dans le rapport de la commission des lois du Sénat. Un des éléments clés de celui-ci est que seul l’opérateur qui attribue les adresses IP pour les connexions de ses abonnés et éventuellement la justice qui requerrait l’identification de l’adresse IP peut connaître l’identité de son titulaire. Et donc la collecte d’adresses IP pourrait ne pas être considérée comme une collecte de données personnelles, puisque seul un tiers peut faire cette relation.

Mais, cela se heurte à plusieurs réalités:

  • beaucoup de fournisseurs d’accès offrent des adresses IP « statiques » à leurs abonnés, et il suffit d’avoir un échange sur Internet avec une personne, ou chercher des traces de l’activité de cette adresse IP sur Wikipédia pour essayer de l’identifier ;
  • toute personne qui présente un préjudice par la publication d’un contenu sur Internet peut obtenir l’identification de l’adresse IP à l’origine de cette publication, en faisant appel à la justice, en vertu de l’article 6 de la loi pour la confiance dans l’économie numérique.

Est-ce que la loi proposée répond au problème technique ?

En préambule, il est très difficile de trouver des formulations légales qui décrivent complètement un problème technique donné et qui soient insensibles aux évolutions technologiques. Donc l’exercice auquel se livre ici le législateur est évidemment délicat.

Ainsi, avant l’intervention de la commission des lois, le texte de la proposition de loi visait :

toute adresse ou tout numéro identifiant l’équipement terminal de connexion à un réseau de communication

En termes techniques, cela recouvre une adresse MAC, une adresse IP ou même le numéro IMEI d’un téléphone mobile, donc à la fois des adresses et des identifiants. Le texte de la commission des lois est plus restrictif en ce qu’il ramène à l’adresse IP attribuée par un fournisseur d’accès à son abonné. Au passage, je ne suis pas tout à fait d’accord avec la commission des lois qui déclare dans son rapport :

En effet, son attention a été attirée sur le fait que la rédaction retenue visait l’adresse MAC de l’ordinateur, et non l’adresse IP attribuée par le fournisseur d’accès.

puisque, le texte faisait référence à « toute adresse ou tout numéro identifiant », l’interprétation aurait pu être plus large et bien inclure l’adresse IP.

Cela étant dit, est-ce que la rédaction proposée est satisfaisante ? Très modestement, je dirais que ce n’est pas encore le cas. En effet, « tout numéro identifiant le titulaire d’un accès à des services de communication au public en ligne » recouvre plusieurs situations.

1. Pour commencer cela recouvre tout numéro d’abonné qu’aurait attribué le fournisseur d’accès, y compris une donnée qui n’est pas utilisée sur Internet (le numéro « client »)

Pour répondre à cette difficulté, il suffirait d’écrire: « tout numéro identifiant, sur un réseau de communications électroniques, le titulaire d’un accès à des services de communication au public en ligne » pour bien signifier qu’on parle d’un identifiant technique sur Internet.

2. Ensuite, cela ne recouvre pas forcément les adresses publiques que verront les serveurs ou les autres machines sur Internet.

En effet, l’adresse attribuée à un abonné peut très bien être une adresse sur un réseau local ou privé, comme c’est le cas pour les abonnés se connectant via les services des opérateurs de téléphonie mobile qui attribuent des adresses IP privées et ne transparaissent pour les interlocuteurs sur Internet que les adresse IP des serveurs « proxy » de l’opérateur. Ainsi, plusieurs centaines ou plusieurs milliers d’abonnés utilisent l’adresse IP de ce proxy au même moment, cette adresse ne les identifie donc pas individuellement.

A un instant donné, ce sont par exemple l’adresse IP de ce proxy et le port utilisé pour sa communication qui identifient de façon unique un abonné vis à vis de l’Internet.

Selon la définition de la proposition de loi, l’adresse IP du proxy ne constitue pas une donnée à caractère personnel. Or il suffit de l’associer au numéro de port évoqué ci-dessus ou à un intervalle de temps suffisamment précis pour qu’on identifie bien une personne ou un nombre très restreint de personnes.

3. Écueil beaucoup plus important: la notion d’adresse sur Internet ne se limite pas à des numéros

En effet, une adresse IP est identifiée plus classiquement par un nom plus facile à manipuler par l’être humain, le nom d’hôte et le nom de domaine (ou nom d’hôte plus simplement). C’est le système des serveurs DNS qui fournit la correspondance entre les adresses IP et ces noms d’hôte. Tel que proposé par la commission des lois, le texte ne fait pas du nom d’hôte des abonnés à Internet une donnée à caractère personnel, puisqu’il ne renvoie qu’aux numéros.

Par exemple, un abonné de l’opérateur Free aura pour nom d’hôte déclaré une adresse de la forme « XXX.fbx.proxad.net » ou XXX est une série de lettres et de chiffres qui contiennent d’ailleurs dans ce cas l’adresse IP. Et il pourra tout aussi bien se faire attribuer des noms d’hôtes plus personnels comme sur dyndns.fr ou no-ip.com.

Pour répondre aux problèmes posés par les points 2. et 3. ci-dessus, on pourrait reprendre partiellement les termes proposés dans la rédaction initiale et écrire : « Tout numéro, toute adresse ou toute combinaison de ces informations identifiant, sur un réseau de communications électroniques, le titulaire de l’accès à des services de communication au public en ligne ».

4. Mais en fait, avec l’adresse IP, on n’identifie pas réellement le titulaire de l’accès

En effet, le titulaire de l’accès à Internet est une personne, physique ou morale, titulaire d’un abonnement. Au titre de cet abonnement, elle se voit attribuer temporairement (adresses IP dynamiques) ou pour toute la durée de son abonnement (adresses IP statiques) une adresse IP lui permettant de communiquer sur Internet. Sur Internet, cette adresse IP n’identifie pas le titulaire de l’abonnement mais une machine (la plupart du temps aujourd’hui sa box ADSL).

Il peut y avoir derrière cette adresse plusieurs équipements, dont des ordinateurs, des appareils mobiles connectés, des lecteurs DVD ou des téléviseurs (certains de ces appareils intègrent aujourd’hui des applications de navigation sur Internet). Rien ne dit qu’à un quelconque moment l’utilisateur de cet abonnement soit le titulaire de l’accès. Pourtant c’est bien la seule personne que le fournisseur d’accès est en mesure d’identifier.

Donc le technicien, arguera que l’adresse IP que l’on cherche ici à protéger n’identifie pas réellement le titulaire de l’abonnement, mais simplement un équipement connecté au réseau à un instant donné. L’enquêteur acquiescera volontiers, mais soulignera que la seule façon d’attribuer une action relative à cette connexion c’est d’abord d’identifier le titulaire de l’abonnement (qui dans une large partie des cas sera aussi l’utilisateur de cette connexion, ou le chef de famille).

Au passage, l’adressage de la norme future de l’Internet (IP v6), permettra d’attribuer des blocs entiers d’adresses IP à un même titulaire.

Donc, oui, au sens de la loi informatique et libertés, l’adresse IP ou le nom d’hôte, même s’ils correspondent sur le plan technique à des équipements, identifient bien à un instant donné un titulaire d’un accès au réseau. La rédaction proposée semble donc bien la seule possible pour répondre à cette problématique.

5. Quel sort donne-t-on aux autres adresses sur Internet ?

En effet, lorsqu’on est amené à collecter des adresses IP (ou des noms d’hôte), par exemple en vue d’identifier les sources des attaques contre ses équipements, est-ce que l’on est en mesure de faire la différence entre celles qui correspondent à des titulaires d’un accès à des services de communication au public en ligne (des abonnements Internet) et celles qui correspondent à des serveurs, des routeurs ou d’autres équipements sur Internet ?

Si l’on prend le cas des serveurs, mis à disposition dans le cadre d’un contrat d’hébergement, ils peuvent tout aussi bien permettre d’identifier leur titulaire et la fonction d’un serveur est aussi variée qu’on peut l’imaginer. Et pourtant les adresses de ces serveurs ne seraient pas concernés par une telle définition.

Si l’on veut être aussi large que possible, tout en excluant les équipements réellement « neutres » de l’Internet tels que les équipements de routage des opérateurs, on pourrait proposer la rédaction suivante : « […] identifiant le titulaire d’un service offert par une personne visée au 1 ou au 2 du I de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique. »

(Le I de l’article 6 de la LCEN est en effet le lieu de la définition en creux des FAI (1°) et des hébergeurs (2°))

Conclusion

Il est donc effectivement indispensable de clarifier la nature juridique de l’adresse IP ou de ses équivalents, pour éviter les fluctuations jurisprudentielles et donc les incertitudes juridiques pour les responsables de traitement et les correspondants informatique et libertés.

On ne peut pas imposer que tous les traitements d’adresses IP ou de noms d’hôte soient considérés par défaut comme des traitements de données à caractère personnel. Ainsi, le gestionnaire des adresses internes des équipements d’une salle machine dans une entreprise serait inutilement embarrassé, tout comme l’opérateur de communications électroniques qui gère un grand nombre d’identifiants purement techniques.

La proposition que je me permets modestement d’apporter aujourd’hui paraît donc au final complexe, mais semble répondre aux écueils que j’ai pu identifier jusqu’à présent, tout en respectant les définitions juridiques couramment employées :

« Tout numéro, toute adresse ou toute combinaison de ces informations identifiant, sur un réseau de communications électroniques, le titulaire d’un service offert par une personne visée au 1 ou au 2 du I de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique est visé par le présent alinéa. »

28 février 2010 by Criminalistique numérique Juridique 4

Il faut rendre les notifications d’incidents de sécurité obligatoires

Sénat (GNU FDL)

Retour sur le Paquet télécoms

J’évoquais voilà un an la volonté émise par l’Union européenne de rendre obligatoire la notification des incidents de sécurité dont sont victimes les opérateurs de communications électroniques, lorsqu’ils ont un impact sur des données personnelles. Cette disposition a été adoptée lors du vote final du « Paquet télécoms » au mois de novembre 2009 (un article à ce sujet et un résumé des dispositions sur le site de l’Union européenne).

La proposition de loi Détraigne/Escoffier

La France pourrait adopter très rapidement une telle disposition. En effet, une proposition de loi « visant à mieux garantir le droit à la vie privée à l’heure du numérique » (voir le dossier législatif), a été déposée au Sénat par M. Yves Détraigne et Mme Anne-Marie Escoffier et elle sera débattue dès ce 23 mars. Ce texte a pour objectif affirmé d’appliquer dès que possible un certain nombre de dispositions du Paquet télécoms. La commission des lois a déposé son rapport le 24 février dernier. On trouve dans ce texte plusieurs mesures portant notamment sur:

  • l’information des usagers sur l’utilisation des données personnelles (notamment sur le régime des cookies) ;
  • le droit à l’oubli ;
  • une clarification du statut de l’adresse IP ;
  • et l’obligation pour tous les responsables de traitements de données à caractère personnel de notifier la CNIL en cas d’atteintes à ces traitements.

Plus précisément, après l’examen par la commission des lois, l’article 7 serait ainsi rédigé :

L’article 34 de la loi n° 78-17 du 6 janvier 1978 précitée est ainsi rédigé :

« Art. 34. – Le responsable du traitement met en oeuvre toutes mesures adéquates, au regard de la nature des données et des risques présentés par le traitement, pour assurer la sécurité des données et en particulier protéger les données à caractère personnel traitées contre toute violation entraînant accidentellement ou de manière illicite la destruction, la perte, l’altération, la divulgation, la diffusion, le stockage, le traitement ou l’accès non autorisés ou illicites.

« En cas de violation du traitement de données à caractère personnel, le responsable de traitement avertit sans délai le correspondant « informatique et libertés », ou, en l’absence de celui-ci, la Commission nationale de l’informatique et des libertés. Le correspondant « informatique et libertés » prend immédiatement les mesures nécessaires pour permettre le rétablissement de la protection de l’intégrité et de la confidentialité des données et informe la Commission nationale de l’informatique et des libertés. Si la violation a affecté les données à caractère personnel d’une ou de plusieurs personnes physiques, le responsable du traitement en informe également ces personnes. Le contenu, la forme et les modalités de cette information sont déterminés par décret en Conseil d’État pris après avis de la Commission nationale de l’informatique et des libertés. Un inventaire des atteintes aux traitements de données à caractère personnel est tenu à jour par le correspondant « informatique et libertés ».

« Les dispositions du présent article ne s’appliquent pas aux traitements de données à caractère personnel désignés à l’article 26.

« Des décrets, pris après avis de la Commission nationale de l’informatique et des libertés, peuvent fixer les prescriptions techniques auxquelles doivent se conformer les traitements mentionnés aux 2° et 6° du II de l’article 8. »

C’est un réel progrès par rapport aux dispositions prévues dans la directive européenne. En effet, celle-ci se limite, à cause de son contexte, aux opérateurs de communications électroniques. La proposition de loi est ici plus rationnelle en ce qu’elle fait peser les mêmes responsabilités à tous les responsables de traitement.

A quelle situation cherche-t-on à répondre ?

Sans vouloir faire de reproches à l’un ou l’autre, les pays qui ont de tels régimes de notification nous montrent qu’en réalité ce ne sont pas les opérateurs qui rencontrent le plus d’incidents, mais beaucoup plus souvent les professionnels du commerce électronique. Certainement parce qu’ils sont beaucoup plus nombreux que les opérateurs de communications électroniques et peut-être parce que la sécurité des traitements de données personnelles y est malheureusement parfois jugée moins prioritaire ou trop coûteuse.

Ainsi, on apprenait vendredi que les clients du groupe hôtelier Wyndham ont été victimes pour la troisième fois (!) d’une attaque réussie contre le système d’information de cette entreprise. Et les exemples sont extrêmement nombreux aux Etats-Unis, à cause de l’obligation de notification qui tend à se généraliser (avec à la clé un projet de législation fédérale). Ainsi, le site databreaches.net (qui affiche comme titre presque comme un service fédéral « Bureau de la sécurité inadaptée« ) se fait fort de référencer toutes les attaques qui touchent des données personnelles.

En Europe des alertes semblables sont rares, en France elles sont quasi inexistantes. Pourtant, certains sites d’information se font fort de mettre en avant les failles de sécurité (et j’avais expliqué les risques juridiques inhérents à cette activité ici). En octobre dernier, une attaque réussie contre un commerçant espagnol avait des répercussions jusqu’en Finlande. Encore en Finlande, on apprenait cette semaine que près de 100.000 références bancaires ont été dérobées dans les ordinateurs d’un commerce.

Lorsque les clients sont avertis d’un tel incident avéré, cela leur permet de prendre des mesures. Par exemple, lorsque cela concerne leur numéro de carte bancaire, ils peuvent procéder à des vérifications plus approfondies qu’à l’habitude sur leurs relevés de compte et si nécessaire demander le renouvellement de leur carte compromise.

Enfin, il est très rare qu’une entreprise soit poursuivie au titre de l’article 226-17 du code pénal (pour défaut de sécurisation d’un traitement de données à caractère personnel). Non pas parce que de telles situations n’arrivent pas, mais très clairement, lorsqu’on compare au nombre d’incidents qui surviennent ailleurs dans le monde, parce qu’elles restent confidentielles. Je ne souhaite pas la multiplication de telles enquêtes, mais lorsqu’elles sont justifiées, la nouvelle rédaction de l’article 34 de la loi informatique et libertés sera soit plus dissuasive, soit plus facile à appliquer.

Cette proposition de loi remplit donc plusieurs objectifs :

  • rendre plus opérationnelle et plus claire l’obligation de sécurisation prévue par l’article 34 de la loi informatique et libertés ;
  • sensibiliser plus avant les responsables de traitement sur leurs obligations, ainsi que sur le rôle que peut jouer dans cette affaire le correspondant informatique et libertés ;
  • enfin, à permettre aux victimes d’être effectivement informées et de prendre toutes mesures pour prévenir un impact plus important sur leurs données personnelles.

Parmi les recommandations que je donnerais aux responsables de traitement – et donc aussi aux correspondants informatique et libertés qui sont mis en avant dans la proposition de loi – c’est de ne pas hésiter à déposer plainte lorsque de tels incidents sont découverts. En effet, le meilleur remède à ces attaques est de pouvoir en interpeller les auteurs et il ne nous est pas possible de le faire sans recueillir des preuves auprès des victimes et sans initier des enquêtes.

28 février 2010 by Cybercriminalité Juridique Sécurité 1

Quelques conférences cyber des semaines à venir

Conseil de l'Europe (GNU FDL)

Je vous propose quelques informations sur des conférences en rapport avec la cybercriminalité au cours des semaines à venir en France :

  • 16 mars 2010, JSSI Journée sécurité des systèmes d’information 2010, OSSIR, programme
  • 23 au 25 mars 2010, Conférence Octopus 2010, Conseil de l’Europe (Strasbourg), programme
  • 31 mars et 01 avril 2010, FIC 4ème Forum international sur la cybercriminalité, Lille, programme
  • 09 au 11 juin 2010, SSTIC Symposium sur la sécurité des technologies de l’information et des communications 2010, programme
27 février 2010 by Cybercriminalité Prospective 0

Koobface, un écosystème cybercriminel ou le conte des Mille et une nuits ?

Dancho Danchev revient dans son blog chez ZDNet sur le ver « Koobface ». Je vous propose un résumé de son article et quelques pointeurs.

Description de Koobface

Koobface est un ver qui utilise comme mode de propagation la messagerie du réseau social Facebook, mais aussi – selon les variantes – Twitter, hi5, Myspace, Bebo et Friendster. Les victimes sont redirigées vers un site où une mise à jour d’Adobe Flash leur est proposée qui est en fait un logiciel malveillant. (Pour plus d’informations voir l’article de Wikipédia en anglais, l’étude de Trend Micro publiée en Juillet 2009, ou cet article très détaillé sur abuse.ch de décembre 2009).

Dix informations intéressantes sur Koobface

Dancho Danchev nous explique que le botnet créé par Koobface n’est que le sommet de l’iceberg des activités menées par le groupe criminel qui gère Koobface au travers de dix informations intéressantes qu’il a pu collecter sur leur activité au cours des derniers mois.

On y découvre

On note en lisant son article qu’une véritable guerre est menée entre Dancho Danchev et ce groupe, dont le blog a été l’objet d’attaques ciblées en déni de service distribué. Selon Danchev, il s’agit ici encore d’un groupe criminel d’origine Ukrainienne (j’avais évoqué l’entreprise aux activités louches qu’a mis au jour récemment François Paget lors du panorama sur la cybercriminalité du Clusif), qui se présente sous le sobriquet d’Ali Baba.

La suite des aventures, très sûrement dans les mois à venir, sur le blog de Dancho Danchev.

24 février 2010 by Cybercriminalité Sécurité 1

Usurpation d’identité, Jeux dangereux

Assemblée nationale (Photo: GPL)

Le débat sur la LOPPSI s’achève bientôt en première lecture à l’Assemblée Nationale. L’objet de ce billet est d’aborder deux dispositions de ce texte, telles qu’elles ont été votées aujourd’hui 11 février 2010: l’usurpation de l’identité sur Internet et la diffusion de messages incitant aux jeux dangereux pour les enfants (le « jeu du foulard » par exemple).

L’usurpation d’identité en ligne

L’article 2 de ce projet de loi prévoit une nouvelle incrimination pour certaines formes d’usurpation d’identité commises sur les réseaux de communications électroniques. Le texte issu du vote d’aujourd’hui est le suivant:

Art. 222-16-1. – Le fait de faire usage, de manière réitérée, sur un réseau de communications électroniques, de l’identité d’un tiers ou de données de toute nature permettant de l’identifier, en vue de troubler la tranquillité de cette personne ou d’autrui, est puni d’un an d’emprisonnement et de 15 000 € d’amende.
Est puni de la même peine le fait de faire usage, sur un réseau de communications électroniques, de l’identité d’un tiers ou de données de toute nature permettant de l’identifier, en vue de porter atteinte à son honneur ou à sa considération.

Ainsi, deux modifications ont été apportées au projet issu de la commission des lois de l’assemblée nationale:

  • La suppression de la notion de réitération. En effet, l’objectif assigné au texte est de réprimer l’usurpation de l’identité dès lors qu’elle a pour intention de troubler la tranquillité d’une personne, ce qu’un seul de ces abus peut entraîner grâce à l’effet multiplicateur d’Internet.
  • La modification de la mention qui visait à recouvrir les formes de l’identité qui sont utilisées sur les réseaux de communication (pseudonymes, adresses de courrier électronique, …) pour la formule soulignée ci-dessus: « données de toute nature permettant de l’identifier ».

Plusieurs questions sont apparues dans le débat qui feront peut-être l’objet de clarifications lors des prochaines étapes du travail parlementaire:

  1. Couvre-t-on le cas des services de communication au public en ligne ? Les réseaux sociaux notamment ?
  2. De même, que penser des identifiants qui ne sont pas spécifiques à une personne ? En effet, le même pseudonyme peut-être utilisé par plusieurs personnes, dans des contextes ou à des moments différents, sans qu’il y ait d’intentions malhonnêtes, juste par le fait du hasard.
  3. L’objectif étant de viser l’usurpation d’identité sur les réseaux, n’interdit-on pas par la même occasion la possibilité d’utiliser l’image d’une personne à des fins légitimes ?

Sur le premier point, l’ensemble de ces services étant supportés par des réseaux de communications électroniques (la communication au public en ligne est en réalité une forme de communication supportée par les réseaux de communications électroniques), les réseaux sociaux et autres formes de communications en ligne sont couverts.

Sur le second point, je pense que les preuves collectées en vue de déterminer l’élément intentionnel de l’infraction devront effectivement démontrer la volonté d’abuser de l’identité d’un tiers en particulier, donc cet écueil semble écarté en première analyse.

Sur le troisième point, l’intention du législateur semble suffisamment claire pour que le contexte de l’usurpation d’identité sur les réseaux soit l’unique motivation retenue.

Les jeux dangereux pour les enfants

Le « jeu du foulard » et d’autres formes de jeux dangereux pratiqués par les jeunes adolescents et parfois de plus jeunes enfants occupe trop régulièrement l’actualité et de même qu’il est reproché la diffusion de certains messages incitant à des pratiques alimentaires dangereuses (anorexie), ou l’assistance au suicide (situation déjà réprimée par les articles 223-13 et suivants du code pénal), la publication de messages ou de vidéos faisant la promotion de ces jeux dangereux a été identifiée comme une cause possible de leur développement.

Ainsi, en octobre 2009, deux députés du groupe UMP de l’Assemblée nationale, Patrice Verchère et Cécile Dumoulin ont publié un rapport sur ce sujet qui faisait un certain nombre de propositions, dont des mesures de sensibilisation qui sont évidemment nécessaires pour prévenir ces actes, mais aussi l’aménagement de l’article 227-24 du code pénal pour réprimer la diffusion de ces contenus vers les plus jeunes.

Le texte, issu de l’amendement n°185 discuté aujourd’hui, aurait cette forme:

Le fait soit de fabriquer, de transporter, de diffuser par quelque moyen que ce soit et quel qu’en soit le support un message à caractère violent ou pornographique ou de nature à porter gravement atteinte à la dignité humaine ou à inciter des mineurs à se livrer à des jeux les mettant physiquement en danger, soit de faire commerce d’un tel message, est puni de trois ans d’emprisonnement et de 75000 euros d’amende lorsque ce message est susceptible d’être vu ou perçu par un mineur.

Lorsque les infractions prévues au présent article sont soumises par la voie de la presse écrite ou audiovisuelle ou de la communication au public en ligne, les dispositions particulières des lois qui régissent ces matières sont applicables en ce qui concerne la détermination des personnes responsables.

A noter que cette disposition a été votée à l’unanimité des députés présents, avec l’avis favorable du gouvernement et du rapporteur, M. Eric Ciotti. (L’amendement n°8 qui voulait étendre le blocage des sites pédopornographiques aux contenus relevant de l’infraction de l’article 227-24 a été retiré au cours des débats).

En clair, de tels messages ne sont pas illégaux, mais on doit empêcher les mineurs d’y accéder, ce sont bien eux qu’on cherche à protéger.

Les difficultés habituellement rencontrées dans l’application de l’article 227-24 subsistent toutefois. Comme le Forum des droits de l’Internet le rappelait les recommandations du groupe de travail « Les enfants du Net », il est difficile aujourd’hui de mettre en œuvre des solutions adaptées au contrôle de la majorité des visiteurs sur un site Internet. Toutefois, cela incitera – pénalement – les professionnels qui seraient amenés à héberger de tels contenus de prendre les mêmes mesures qu’ils prennent pour empêcher les mineurs d’y accéder (absence de publicité pour ces sites destinée aux mineurs, messages d’avertissements, marquage des pages pour en faciliter la détection par les logiciels de contrôle parental, etc.).

La suite donc sur ces deux nouveaux types d’infraction lors des débats au Sénat, qui pourrait se tenir à la mi-avril.

12 février 2010 by Cybercriminalité Juridique 12

Blocage des sites pédopornographiques (suite)

Assemblée nationale (Photo: GPL)

Préambule

En préambule, je tiens à rappeler certains éléments de contexte sur le projet de blocage des sites pédopornographiques:

  • L’idée n’est pas née en France, mais est défendue par ses services spécialisés suite à plusieurs années d’échanges avec nos collègues, en Europe notamment, qui ont initié le même type de projets (voir le site Web du projet CIRCAMP);
  • Le blocage n’est pas une fin en soi. L’objectif est de contribuer à la lutte contre la diffusion des contenus pédopornographiques, dont j’ai déjà expliqué ici qu’il comportait de nombreuses facettes;
  • Si ce dispositif spécifique était décidé par le législateur, nous ne déclarerons nullement victoire, car il y a encore beaucoup de pain sur la planche, et comme pour beaucoup de sujets qui touchent à la lutte contre la délinquance, les moyens humains et financiers sont cruciaux.

De nouveaux éléments de débat ?

Le débat sur Internet au sujet du projet de blocage des sites pédopornographiques, voulu par la LOPPSI, est réellement devenu confus.

Ainsi, depuis quelques semaines, une campagne contre les dispositions liées au blocage des sites pédopornographiques contenues dans la LOPPSI est menée avec à la clé, la publication d’un recueil d’articles (voir l’article de Fabrice Epelboin sur ReadWriteWeb) dont le premier porte sur l’analyse du témoignage d’un pédophile qui a été diffusé voilà un an sur Wikileaks.

Qu’apportent ces nouveaux arguments au débat ? Voici le résultat de mes réflexions et mes réactions aux reproches qui sont faits aux professionnels de la lutte contre ces formes de délinquance.

Le blocage serait favorable pour le commerce pédophile ?

L’argument principal présenté par Fabrice Epelboin est que les groupes criminels qui commercialisent sur Internet des contenus pédophiles seraient devenus de tels spécialistes des techniques permettant de faire circuler discrètement des contenus illicites sur Internet, qu’ils deviendront les maîtres des réseaux « underground ». Et sa conclusion en est que le blocage les rendra incontournables dans l’exploitation de l’Internet illégal et serait en réalité leur planche de lancement.

En préambule on comprend très bien que le défenseur de la pédophilie qui est cité décrit une situation déformée par le prisme de son expérience personnelle. Ainsi, il nous explique que l’Allemagne serait le lieu de tous les hébergements underground, grâce aux serveurs les plus « fiables, les plus rapides et les plus abordables ». D’autres vous diront que ce sont les prestataires hollandais ou américains, en fonction de leur expérience personnelle. On retrouve des serveurs aux activités illégales dans des hébergeurs du monde entier. Et effectivement, le reste de son discours est déformé par le même prisme.

Les pratiques décrites comme ayant été développées pour les réseaux de diffusion pédophiles, sont en réalité celles de tous les groupes criminels organisés sur Internet, ceux qui diffusent des contenus pédophiles, comme ceux qui se « contentent » de vendre de faux logiciels de sécurité, de contrôler les botnets qui permettent de collecter des données personnelles monnayables, etc… J’ai décrit pour mes lecteurs quelques facettes de ces pratiques dans différents articles sur les hébergeurs malhonnêtes.

La diffusion de contenus pédopornographiques par ces groupes remplit en réalité deux objectifs:

  • c’est une source de revenus, un produit supplémentaire à leur catalogue;
  • c’est un des multiples appâts dont ils se servent pour attirer des pigeons dans leurs filets.

En effet, certaines victimes tombent pour la publicité vantant un médicament puissant et pas cher, d’autres pour des images pornographiques ou encore des logiciels de sécurité, et certains sont recrutés grâce aux images pédophiles. Les techniques de publicité par spam (courriers électroniques non sollicités), de rabattage vers la plateforme commerciale au travers de diffusion de liens cachés dans des vidéos disponibles sur les échanges P2P, de diffusion de logiciels espion, sont toujours les mêmes. Et au bout du compte la victime (dans le cas des images pédopornographiques aussi un peu coupable et donc qui n’osera pas aller porter plainte), donne son numéro de carte bancaire et est prélevée une fois, deux fois, puis plusieurs mois de suite.

Au bout du compte, le blocage des sites pédopornographiques de ce type-là va avoir pour effet collatéral de rendre beaucoup plus difficiles les autres formes d’escroqueries. En effet, on retrouve souvent sur les mêmes serveurs, derrière la même adresse IP des centaines de sites Web de promotion, les uns pour des contenus pédophiles mais les autres pour toutes sortes d’autres produits tout aussi illégaux.

En réalité donc, le blocage des sites pédopornographiques va rendre beaucoup moins intéressant pour ces groupes-là ce genre de commerce, ce qui va nuire finalement à leur modèle économique. Donc pour certains d’entre eux, ils seront au contraire motivés à quitter le commerce pédopornographique : une première victoire pour nous, mais qui ne nous empêchera pas de continuer à travailler sur leurs autres formes d’activités illicites.

La lecture de l’excellent rapport d’Europol sur le crime organisé de 2009 pourra donner une meilleure idée de la très grande transversalité des activités des groupes criminels organisés. On pourra aussi lire avec intérêt la présentation faite par François Paget lors du dernier panorama du Clusif sur la cybercriminalité, dont je rendais compte voici quelques jours, sur une entreprise aux activités particulièrement suspectes en Ukraine.

Quid des autres arguments ?

Je passerai rapidement sur la tentation à laquelle succombent les différents participants de l’ouvrage à minorer l’ampleur du problème (la tête dans le sable encore ?). Ainsi, selon Epelboin, cette forme de commerce ne représenterait « que » quelques dizaines de millions d’euros de chiffres d’affaires annuels. Déjà en soit, quelques dizaines de millions d’euros seraient un résultat non négligeable. A l’appui de son savant calcul, les dires de notre fameux pédophile anonyme : « en 2004, le leader du marché totalisait un chiffre d’affaires de plus de 20 millions de dollars », valeur à multiplier donc par le nombre total de groupes criminels concernés. En réalité, les quelques dizaines de groupes criminels qui agissent dans ce domaine réalisent très certainement des chiffres d’affaires semblables (répartis sur plusieurs types de « produits » comme je l’évoquais au-dessus) et on doit être plus proche des 500 millions de dollars ou du milliard de dollars annuels. Certaines études évaluaient  en 2004 ce marché à 3 milliards de dollars.

Toujours à minorer le problème, un autre intervenant de l’ouvrage intervient: proclamé expert informatique britannique, qui a commencé ses activités dans ce domaine voilà moins de deux ans, à l’avenir certainement très prometteur. Il nous affirme sans sourciller qu’il n’y aurait plus aujourd’hui d’échanges de contenus pédopornographiques sur les réseaux pair à pair classiques. Il dit par exemple: « la plupart de ce qu’on y trouve n’est pas réellement de la pédopornographie et ne peut donner lieu à des poursuites ». Malheureusement, il se trompe complètement. On y trouve les formes les plus graves d’atteintes sur des mineurs. Effectivement pas toujours les toutes dernières productions – encore qu’on y retrouve des productions non professionnelles récentes. Le P2P est malheureusement encore beaucoup utilisé pour partager des fichiers pédopornographiques et l’équipe du département de répression des atteintes aux mineurs sur Internet du STRJD à Rosny-sous-Bois en identifie plusieurs dizaines en France chaque mois.

C’est le même expert britannique qui nous explique que les techniques policières de collecte du renseignement sont inadaptées: « la surveillance est une énorme perte de temps », dit-il (en parlant de la surveillance de l’activité d’un suspect, par exemple par le biais d’interceptions, en comparaison de l’analyse forensique d’un ordinateur saisi au moment de la perquisition qui révélerait tout autant d’informations). Il manque très clairement de recul par rapport à ce qui est utile ou non dans une enquête judiciaire. Par exemple, avant d’envisager une perquisition qui permettra de saisir du matériel informatique, il est évident que les policiers doivent collecter des preuves en amont qui vont confirmer la nécessité de cette perquisition: il n’y a pas de perquisition « en aveugle ».

Enfin, l’argument de la censure et de la prohibition est longuement développé. Il n’aura pas échappé au lecteur averti que la possession, la fabrication et la diffusion de contenus pédopornographiques sont interdits. Oui, ces contenus sont illégaux, prohibés, pour des raisons évidentes. Je ne crois pas que les rues de Paris se soient transformées en champ de bataille à cause de cette prohibition de la pédopornographie. Les pays qui ont mis en place le blocage en Europe non plus. D’ailleurs le pédophile allemand qui est cité en appui de ces démonstrations souhaite carrément la libéralisation de la pédopornographie, je ne vois pas comment on peut utiliser ses arguments sur la prohibition pour critiquer le dispositif de blocage proposé! Le même nous explique qu’il a beaucoup plus peur du NCMEC (organisme américain chargé aux côtés du FBI de la lutte pour la protection de l’enfance) que des terroristes.

En conclusion, une bonne partie de ce qui est présenté comme nouveaux arguments consiste à affirmer que les services spécialisés en France, en Europe et au-delà ne savent pas de quoi ils parlent, ne connaissent pas les groupes criminels pédophiles, ne regardent pas du bon côté, travaillent mal… Soit. On a toujours des progrès à faire, c’est certain. Mais aujourd’hui je ne suis pas convaincu par ce qui nous est proposé à lire.

L’impact sur le réseau, la liberté d’expression, le surblocage

J’avais déjà eu l’occasion d’évoquer les autres éléments du débat. La mesure est-elle proportionnée ? Quels risques prend-on par rapport aux infrastructures ? Quelle transparence sera donnée au dispositif ? Qui contrôle ? Combien ça coûte ?

Ainsi, le surblocage est un sujet important à prendre en compte, en cas de mises en place de telles mesures. Supposons d’abord que les listes fournies par l’autorité chargée de les établir seront validées ou contrôlées par l’autorité judiciaire. Elles devront aussi être adaptées en fonction des techniques de blocage (selon que l’on bloque sur la base de l’adresse IP ou un nom d’hôte par exemple) de façon à limiter le surblocage. Il faudra aussi être en mesure de réagir promptement aux demandes éventuelles des personnes lésées. Ainsi, Europol a déjà mis en place un site d’information permettant à de telles situations d’être rapidement résolues. Cette initiative fait partie du projet CIRCAMP, financé par la Commission Européenne dans le cadre du Safer Internet Programme, pour aider les services de police à coordonner leur action dans la lutte contre les contenus illicites. On pourrait reprendre le même modèle plus spécifiquement à destination du public français. En effet, en plus du magistrat qui serait éventuellement chargé de contrôler l’autorité administrative – comme le prévoit la version issue de la commission des lois, le public sera lui-même un excellent arbitre de toute erreur en surblocage qui ne manquera pas d’être détectée et donc corrigée.

Enfin, l’action contre les flux financiers – je l’ai déjà évoqué à plusieurs reprises (ici au moment de la conférence Octopus du Conseil de l’Europe en 2009) – est évidemment une des priorités de l’action des services d’enquête en Europe, aux Etats-Unis et en Asie.

Efficacité supposée de la mesure

Ce soir, sur Public Sénat, Benjamin Bayart déclarait que l’efficacité de la mesure n’est pas évaluée. L’étude d’impact du projet de loi présenté devant le parlement (et disponible en suivant ce lien, voir la page 107 du PDF) explique pourtant le nombre de connexions qui sont bloquées chaque jour dans les pays qui appliquent la mesure :

  • 30.000 connexions / jour en Suède,
  • 15.000 connexions / jour en Norvège,
  • 12.000 connexions / jour au Danemark.

Il va de soi que l’efficacité devra être aussi mesurée en France.

En conclusion:

  • non, le blocage ne favorisera pas le commerce pédopornographique, au contraire !
  • oui, il y a un problème de la diffusion commerciale de ces contenus et l’action contre les flux financiers liés à ces activités est menée ;
  • oui, il faut un débat sur les moyens à mettre en œuvre, mais il ne faut pas tout mélanger.
7 février 2010 by Cybercriminalité Juridique